Deltagande av utländska medborgare och leverantörer

Det finns inga generella hinder enligt säkerhetsskyddslagstiftningen mot att anlita utländska leverantörer eller utländska medborgare för säkerhetsskyddade uppdrag och därigenom låta dem ta del av säkerhetsskyddsklassificerade uppgifter. Detta ska inte förväxlas med vad som gäller för sådana säkerhetsklassade anställningar i staten, en kommun eller en region, som kan kräva svenskt medborgarskap. 

Säkerhetsskyddslagens (2018:585) krav på att teckna säkerhetsskyddsavtal gäller även för det fall leverantören har sin juridiska hemvist i ett annat land. Utlämning av säkerhetsskyddsklassificerade uppgifter får inte ske till utländsk leverantör om inte Sverige dessutom på nationell nivå har ingått ett internationellt säkerhetsskyddsåtagande, ett så kallat General Security Agreement (GSA), med det andra landet i vilket leverantören har sitt säte. 

Dessa internationella säkerhetsskyddsåtaganden ingås av regeringen. Avtalen är traktat och därför folkrättsligt bindande för Sverige. Förenklat kan ett internationellt säkerhetsskyddsåtagande betraktas som en överenskommelse om att parterna bedömer varandras lagstiftning på säkerhetsskyddsområdet som tillräckligt likvärdiga. I GSA regleras säkerhetsskyddet utifrån respektive ländernas nationella lagar och andra författningar. 

Vidare ska den utländska leverantören, och i tillämpliga fall även den utländska leverantörens personal, innan utlämning av sådana uppgifter ha godkänts genom en kontroll enligt den andra statens säkerhetsskyddslagstiftning (ett så kallat säkerhetsintyg ska finnas). Den utländska myndigheten genomför i dessa fall en bedömning huruvida personen eller leverantören anses pålitlig att hantera säkerhetsskyddsklassificerade uppgifter till en viss nivå; se avsnittet nedan om Utländsk personal.  

I ett GSA brukar det även finnas regler om att säkerhetsgodkännanden av verksamhetsställen ska utfärdas. Ett sådant godkännande kan utfärdas om den upphandlande organisationen ska ingå ett säkerhetsskyddsavtal med en utländsk leverantör där den utländska leverantören ska hantera säkerhetsskyddsklassificerade uppgifter i sina lokaler i utlandet. 

Om ovanstående säkerhetsintyg och säkerhetsgodkännande utfärdats kan den upphandlande organisationen därefter ingå säkerhetsskyddsavtalet (eller i förekommande fall säkerhetsskyddsöverenskommelsen) med leverantören. 

För den upphandlande organisationen blir det således aktuellt att i säkerhetsskyddade upphandlingar där utländska leverantörer deltar kontrollera om Sverige har ingått ett tillämpligt GSA med berörda länder som leverantör har sitt säte i.  

Som beskrivs ovan blir upphandlingar som medför utlämnande av säkerhetsskyddsklassificerade uppgifter till utländska leverantörer föremål för en särskild procedur som i regel innebär fler involverade parter än i säkerhetsskyddade upphandlingar utan utländska leverantörer och personal. Upphandlingarna kräver god planering och framförhållning med en tidplan som tar höjd för tillkommande osäkra handläggningstider.  

Samtidigt är många av de internationella säkerhetsskyddsåtagandena som Sverige ingått med andra länder begränsade till att endast gälla försvars- och säkerhetsområdet. Vissa av de internationella säkerhetsskyddsåtagandena utgörs av GSA som utformats mer generellt och omfattar även civil verksamhet. Det finns dock i nuläget ett begränsat antal GSA (ett tjugotal totalt) som upphandlande organisationer kan tillämpa i sina upphandlingar. Detta gäller även i relation till leverantörer som har sitt säte inom EU.  

För att avgöra om en upphandling omfattas av ett visst GSA måste en tolkning göras i varje enskilt fall. Överenskommelserna finns i regeringens serie Sveriges internationella överenskommelser, SÖ-serien, och publiceras på regeringens webbplats Sveriges internationella överenskommelser.

I övergångsbestämmelserna till säkerhetsskyddsförordningen (2021:955) finns det undantag från bestämmelsen som reglerar skyldigheten att inte utlämna säkerhetsskyddsklassificerade uppgifter utan ett tillämpligt GSA. Undantaget innebär att bestämmelsen om när sådana uppgifter får lämnas till en utländsk myndighet, mellanfolklig organisation eller utländsk leverantör inte behöver tillämpas förrän från och med den 1 januari 2025.   

Skyldigheten är dock relevant även före 2025. 

Övergångsbestämmelsen påverkar nämligen inte skyldigheten för en upphandlande organisation att upprätthålla ett fullgott säkerhetsskydd. Vidare kommer uppdrag med en utländsk leverantör som omfattar utlämnande av säkerhetsskyddsklassificerade uppgifter inte kunna fortsätta efter den 1 januari 2025 om det inte finns ett tillämpligt GSA. I vart fall finns risk för att det aktuella avtalet med leverantören inte kommer kunna tillämpas som avsett. Detta gäller även om avtalet upphandlats innan 1 januari 2025.  

En utmaning till följd av detta ligger i att upphandlande organisationer fram till 2025 behöver se över dessa typer av affärer, behovet av anpassning av sina leverantörskedjor samt avtalens omfattning och närmare genomförande. Detta aktualiserar i sin tur behov att bedöma om anpassningarna är möjliga mot bakgrund av upphandlingslagstiftningens bestämmelser om ändring av avtal och likabehandlingsprincipen. 

Skyldigheten har följaktligen stor relevans redan i dagsläget inför pågående eller kommande upphandlingar ifall uppdraget ska fortlöpa efter den 1 januari 2025. Upphandlande organisationer behöver i förarbetet inför en kommande upphandling som rör utlämning av säkerhetsskyddsklassificerade uppgifter beakta i vilka länder möjliga leverantörer har sitt säte och överväga uteslutning av leverantörer från länder som inte har GSA med Sverige. Upphandlande organisationer ska i förfrågningsunderlag och avtal tydligt informera om och reglera villkoren för utlämning av säkerhetsskyddsklassificerad uppgift och eventuella krav på till exempel GSA och säkerhetsintyg.  

Detta aktualiserar i sin tur en bedömning som lagstiftaren inte givit någon närmare klarhet kring än, nämligen huruvida det är möjligt enligt upphandlingslagstiftningen att utesluta en leverantör baserat på var den har sitt säte, mot bakgrund av likabehandlingsprincipen och icke-diskrimineringsprincipen.  

Vad som står i ovanstående avsnitt om utländsk leverantörs deltagande gäller även för eventuella utländska underleverantörer som genom att anlitas för fullgörande av förpliktelser gentemot den upphandlande organisationen får tillgång till säkerhetskänslig verksamhet. 

Om det blir aktuellt att använda leverantörers personal som har eller har haft sin hemvist i annat land kan säkerhetsprövningen av dessa visa sig vara svårare att utföra. Det beror bland annat på att de registerkontroller som gäller utländska personer inte kan anses lika kvalitativa eftersom de ofta inte ger tillräckligt med information. Detta gäller särskilt information som behövs för att klarlägga om en person kan antas vara lojal mot svenska säkerhetsintressen, vilket är ett av de i lagstiftningen uttalade syftena med säkerhetsprövning.  

Som beskrivits ovan kan ett säkerhetsintyg inhämtas i de fall det finns ett tillämpligt GSA, vilket kan komplettera säkerhetsprövningen. Ett sådant säkerhetsintyg kan dock inte ersätta den registerkontroll som Säkerhetspolisen gör. Säkerhetsprövning av utländska medborgare bör därför anpassas i syfte att uppnå en korrekt, tillförlitlig och likvärdig säkerhetsprövning. Det kan exempelvis innebära högre krav på grundutredning, säkerhetssamtal och inhämtning av referenser med mera. Avsaknad av tillförlitliga uppgifter eller andra brister av betydelse för prövningen kan medföra att säkerhetsprövningen underkänns. 

Säkerhetsprövning

Mer information om vad som gäller i internationella förhållanden finns i Säkerhetspolisens vägledning, kapitel 5