Framställan om ändring i säkerhetsskyddsförordningen
Föreningen har under en tid analyserat det nya tillsynsområdet och dess konsekvenser och kommit fram till att tillsynsområdet dels har tillkommit på felaktiga grunder, dels leder till märkliga tillämpningsproblem. Skälen till detta är följande.
Förslaget om ett nytt tillsynsområde har sitt ursprung i tidigare nämnt betänkande där basen för den säkerhetskänsliga verksamheten uppges utgöras av 1500–2000 försvarsmaterielföretag med vilka Försvarets materielverk (FMV) har säkerhetsskyddsavtal[1].
SOFF anser att den förutsättningen inte visar att det bedrivs säkerhetskänslig verksamhet vid dessa företag utan att det i stället är FMV som bedriver säkerhetskänslig verksamhet som sedan har utkontrakterats till dessa företag. Föreningen har svårt att följa resonemanget i betänkandet att detta skulle utgöra säkerhetskänslig verksamhet hos företagen och anser därför att den förutsättning som anges som skäl för det nya tillsynsområdet därmed inte är riktig.
SOFF anser vidare att det är problematiskt att anse att ett företag självständigt kan tillverka försvarsmateriel utan att det skulle föreligga något uppdrag. Förvisso kan det tänkas, vilket även framförs i betänkandet, att det pågår innovation och utveckling i ett förstadium till något som vid en senare tidpunkt kan bli försvarsmateriel, men att anse att det redan på ett sådant tidigt stadium skulle uppstå säkerhetskänslig verksamhet anser föreningen är att dra säkerhetsskyddslagstiftningens tillämpning för långt – särskilt mot bakgrund av de ingripande åtgärder som detta medför, inte minst avseende den personliga integriteten. Säkerhetsfrågorna är naturligtvis viktiga även under utveckling och de försvarsmaterielföretag som bedriver forskning och utveckling har redan, på kommersiella grunder, en hög säkerhet för sådan verksamhet.
Även med ett motsatt förhållningssätt blir tillämpningen komplicerad. Försvarsmateriel produceras på uppdrag. Om utvecklingen eller produktionen anses vara säkerhetskänslig ska uppdraget omfattas av ett säkerhetsskyddsavtal mellan uppdragsgivaren (vanligen FMV) och företaget. Av lagstiftningen följer då att uppdragsgivaren (FMV) ska kontrollera säkerhetsskyddet vid leverantören. SOFF har svårt att se hur en tillsyn av säkerhetsskyddet skulle förhålla sig till en sådan kontroll. I viss mån utgår uppdragen från andra uppdragsgivare (t.ex. Försvarsmakten) – skulle då den tillsyn som FMV ska utöva avse även uppdrag som har givits av en annan myndighet? Föreningen anser att denna ordning skulle kunna leda till otydlighet, t.ex. när det gäller behörighetsfrågor. Dessutom uppstår en svårighet i att avgöra vad som ska kontrolleras inom ramen för säkerhetsskyddsavtalen och vad som sedan kan anses återstå att kontrollera inom ramen för en tillsyn. Den sanktionsordning som är kopplad till tillsynen medför att en sådan otydlighet måste anses oacceptabel.
Ett försvarsmaterielföretag är i många fall beroende av underleverantörer i sin produktion. Om underleverantören ska delta i den säkerhetskänsliga verksamheten, ska affärsförhållandet regleras i ett säkerhetsskyddsavtal. Här uppstår också en otydlighet om säkerhetsskyddsavtalet ska tecknas med en verksamhetsutövare (en uppdragsgivare) eller om försvarsmaterielföretaget ska teckna det utifrån sin ”självständiga” säkerhetskänsliga verksamhet. I enlighet med tidigare resonemang skulle det även medföra att ”egen säkerhetskänslig verksamhet” bedrivs hos underleverantörer vilka då även skulle behöva teckna säkerhetsskyddsavtal med samtliga parter som tar del av den aktuella säkerhetskänsliga verksamheten. SOFF anser att detta enbart komplicerar relationen med underleverantörer samt medför stor administration vilket medför ökad ledtid utan att tillföra ytterligare säkerhet.
För att ytterligare belysa den komplicerade tillämpningen innebär det en märklig ordning i de fall där ett försvarsmaterielföretag i något skede behöver genomföra en materieldialog med FMV där försvarsmaterielen (givet att sådan överhuvudtaget kan förekomma hos företaget) är säkerhetskänslig. Företaget, och eventuella underleverantörer som levererat delar inom försvarsmaterielområdet till företaget, behöver då teckna ett säkerhetsskyddsavtal med FMV, genomföra ett förstagångsbesök för att se till att FMV kan hantera uppgifterna korrekt och att hos sin tillsynsmyndighet – som är FMV – begära att befattningshavare vid FMV placeras i säkerhetsklass för att kunna ta del av materieldialogen. SOFF bedömer att detta är en konsekvens som inte har beaktats i utredningen.
Slutligen innebär ordningen en icke önskvärd kostnadsöverföring från det allmänna till försvarsmaterielföretagen. Säkerhetsskydd medför kostnader och inte sällan omfattande sådana. För det fall att krav på säkerhetsskydd följer av ett säkerhetsskyddsavtal och är kopplat till ett specifikt uppdrag går det, åtminstone i teorin, att föra en dialog mellan verksamhetsutövaren och uppdragstagaren om hur säkerhetsskyddet behöver utformas och finansieras. Därmed finns det en tydligare koppling till kostnader för uppdraget som helhet. Om ett försvarsmaterielföretag anses självständigt bedriva säkerhetskänslig verksamhet måste kostnaderna för säkerhetsskyddet finansieras av företaget trots att uppdragen genomförs för försvarets behov.
SOFF anser att resonemanget i betänkandet är korrekt i att om ett företag har flera säkerhetsskyddsavtal, kan summan av avtalen motivera ett säkerhetsskydd som är högre än de krav som följer av de enskilda avtalen. SOFF anser dock, i likhet med ovan anfört resonemang, att kostnaderna för en sådan aggregering i första hand bör ankomma på den eller de verksamhetsutövare som ger uppdrag till företaget och att säkerhetsskyddets utformning i dessa fall behöver ske i dialog mellan företaget och aktuella verksamhetsutövare inom ramen för uppdragen. Det skulle innebära ett orimligt krav att företaget själv ska bedöma när en sådan aggregering kan anses ha uppkommit.
SOFF bedömer att säkerhetsskyddet kan tillgodoses på ett bättre och tydligare sätt genom att verksamhetsutövare i stället tecknar säkerhetsskyddsavtal i samband med uppdrag som innefattar säkerhetsskyddsklassificerade uppgifter eller deltagande i säkerhetskänslig verksamhet och att säkerhetsskyddet kontrolleras inom ramen för dessa säkerhetsskyddsavtal. Föreningen bedömer att det även med nuvarande ordning ändå krävs säkerhetsskyddsavtal när en verksamhetsutövare vill utkontraktera säkerhetskänslig verksamhet, trots att det aktuella försvarsmaterielföretaget skulle anses omfattas av säkerhetsskyddslagstiftningen. Ett tillsynsområde för försvarsmateriel komplicerar snarare tillämpningen, utan att förbättra säkerhetsskyddet och medför dessutom ett antal oönskade konsekvenser.
[1] SOU 2018:82, s. 493.