Förbered upphandlingen

Vidare är genomförandet av flera moment starkt beroende av externa parter och deras interna handläggning, arbetsbelastning och rutiner, som ofta inte går att påverka. Det gäller exempelvis sådana moment som genomförande av samråd, parternas tecknande av säkerhetsskyddsavtal, genomförande av säkerhetsprövningar och eventuella anpassningar som leverantörer måste göra i sin verksamhet. Detta innebär bland annat att anbudens giltighetstid bör anpassas för den extra tidsåtgång som krävs. Generellt kan sägas att det är lämpligt att utöka tidplanen i säkerhetsskyddade upphandlingar med åtminstone 3 månader, men ofta betydligt mer om upphandlingen till exempel aktualiserar säkerhetsskyddsavtal på nivå 1, kräver samråd eller kan förväntas röra utländska leverantörer och personal. 

Det är även viktigt att behandla säkerhetsskyddsaspekterna så tidigt som möjligt i det förberedande arbetet, med fördel redan i samband med att ni identifierat ett upphandlingsbehov och påbörjar arbetet med en förstudie eller liknande förarbete. Det händer inte alltför sällan att analysen av säkerhetsskyddet blir lidande på grund av att de säkerhetsansvariga blivit involverade i ett för sent skede av upphandlingsarbetet. 

Börja tidigt identifiera vilka kompetenser och resurser som kommer behövas i arbetet. Vem ska delta, när och i vilken omfattning? Ha gärna en rutin för vem som gör vad och när inför upphandlingar, som detta förarbete kan utgå från.  

Genom en god intern samverkan mellan säkerhetsorganisationen, inköpsorganisationen och övriga kompetenser som brukar bli inblandade kan arbetet med säkerhetsskyddade upphandlingar gå mycket smidigare och utan onödigt dröjsmål.  

God säkerhetskultur och fungerande organisation

En annan sorts prövning är den prövning av leverantörers lämplighet som sker enligt upphandlingsreglerna i en upphandling inom ramen för de obligatoriska och frivilliga uteslutningsgrunderna samt kvalificering av leverantörer. I de fall det rör sig om en upphandling enligt LUFS finns det möjlighet, men inte en skyldighet, att utesluta leverantörer även utifrån en tillförlitlighetsbedömning med hänsyn till Sveriges säkerhet. 

Ni behöver inte göra en separat särskild säkerhetsskyddsbedömning inför säkerhetsskyddsavtal med underleverantörer. Däremot behöver ni i samband med den särskilda säkerhetsskyddsbedömningen beakta  

• i vilken mån underleverantörer kommer att anlitas eller kan antas komma att anlitas 
• vilka åtgärder som bör vidtas på grund av detta  
• vilken inverkan detta får på upphandlingens lämplighet.  

Dessutom måste ni inför ett eventuellt säkerhetsskyddsavtal med en underleverantör identifiera vilka skyddsvärden som underleverantören kan få tillgång till som kräver säkerhetsskydd. Den analysen behövs för att ni ska kunna avgöra om ni ska teckna säkerhetsskyddsavtal med underleverantören, hur det i så fall ska utformas och om det är lämpligt att underleverantören anlitas.  

Blir det först under upphandlingen känt att underleverantörer kommer att användas? Uppdatera då den särskilda säkerhetsskyddsbedömningen och lämplighetsprövningen med relevant information om det.  

När ni ska göra den särskilda säkerhetsskyddsbedömningen, utgå gärna från er verksamhetsövergripande säkerhetsskyddsanalys. Bedömningen är i sig väldigt lik en vanlig säkerhetsskyddsanalys, men är inriktad på den aktuella upphandlingen och uppdraget i fråga. Den ska identifiera vilka skyddsvärden, i form av säkerhetsskyddsklassificerade uppgifter eller säkerhetskänslig verksamhet i övrigt, som leverantören (och eventuella underleverantörer) kan få tillgång till och som kräver säkerhetsskydd.  

Den särskilda säkerhetsskyddsbedömningen ska beskriva 

• vilka skyddsvärden som kan komma att påverkas av upphandlingen och på vilket sätt  
• vilka säkerhetshot som föreligger mot de påverkade skyddsvärdena och den säkerhetskänsliga verksamheten i stort  

• vilka sårbarheter som föreligger för de påverkade skyddsvärdena och den säkerhetskänsliga verksamheten i stort samt hur sårbarheterna påverkas av upphandlingen 
• vilka säkerhetsskyddsåtgärder som är nödvändiga som en följd av upphandlingen.  

Bedömningen leder alltså fram till att ni identifierar och beskriver sådana säkerhetsskyddsåtgärder som behöver vidtas av er i den upphandlande organisationen respektive sådana säkerhetsskyddsåtgärder som ni behöver kräva av den andra avtalsparten.  

Bedömningarna i såväl den särskilda säkerhetsskyddsbedömningen som i lämplighetsprövningen ska avse hela upphandlingsprocessen liksom den efterföljande avtalsrelationen och dess avslut. De utgör således grunden för kravställningen och spelar en viktig roll när ni tar fram såväl upphandlingsunderlag som säkerhetsskyddsavtal.  

I förarbetena till säkerhetsskyddslagen har man särskilt uttryckt betydelsen av proportionalitet i säkerhetsskyddsåtgärderna. Bland annat betonas att säkerhetsskyddsåtgärderna bör utformas så att de inte medför skada eller annan olägenhet för allmänna eller enskilda intressen. 

Säkerhetsskyddsåtgärder kan potentiellt vara kostsamma och riskera att negativt påverka en verksamhets funktionalitet, effektivitet och tillgänglighet. Åtgärderna kan även vara mycket ingripande för enskilda. Det är därför viktigt att säkerhetsskyddet inte görs mer omfattande än nödvändigt och att valda åtgärder motiveras av behovet. En väl genomförd bedömning om vad som är skyddsvärt i verksamheten och vilka skyddsåtgärder som är nödvändiga ökar förutsättningarna för att säkerhetsskyddet blir väl avvägt och effektivt, det vill säga proportionerligt ur ett såväl verksamhetsmässigt som upphandlingsrättsligt perspektiv.   

Mer information om kravställning finns i avsnitt nedan. 

När det är fråga om ramavtal med få planerade avrop skulle proportionalitetsprincipen emellertid bättre kunna beaktas om ni ingår säkerhetsskyddsavtal i samband med respektive avrop i stället för inför ramavtalet. På så vis kan ni till exempel undvika onödiga registerkontroller av personal. Detta upplägg förutsätter dock att ingen tillgång ges till säkerhetsskyddsklassificerade uppgifter eller säkerhetskänslig verksamhet i övrigt under upphandlingsprocessen fram till dess att avrop sker. 

Om leverantörer (eller eventuella underleverantörer) kan komma att få tillgång till säkerhetsskyddsklassificerade uppgifter eller säkerhetskänslig verksamhet i övrigt redan genom upphandlingsunderlaget eller under upphandlingens gång i övrigt behöver säkerhetsskyddsavtal tecknas dessförinnan, det vill säga redan i anbudsskedet. Så kan vara fallet när upphandlingsföremålet och dess förutsättningar är sådana att leverantörer behöver få ta del av sådana uppgifter eller verksamhet för att kunna lämna ett affärsmässigt anbud.  

I dessa fall är det lämpligt att tillämpa ett tvåstegsförfarande, till exempel ett selektivt förfarande eller förhandlat förfarande med föregående annonsering. Säkerhetsskyddsavtalet tecknas då efter att ni bjudit in leverantörer att delta i upphandlingen (ansökningsinbjudan) men innan ni ger tillgång till de säkerhetsskyddsklassificerade uppgifterna eller säkerhetskänsliga verksamheten i övrigt inför inlämning av anbud.  

Ett säkerhetsskyddsavtal i detta skede i processen innebär en försäkran om att man som leverantör uppfyller ställda krav på säkerhetsskydd och kommer att hantera skyddsvärden på ett korrekt sätt under upphandlingsprocessen. 

I ett tvåstegsförfarande har ni som upphandlande organisation möjlighet att avvakta med att tillhandahålla viss information tills  

• antalet leverantörer har begränsats genom en kvalificering 
• säkerhetsskyddsavtal ingåtts  
• säkerhetsprövningar och andra åtgärder i enlighet med säkerhetsskyddsavtalet genomförts med godkänt resultat.  

Vad gäller tillgängliggörande av upphandlingsunderlaget kan nämnas att ni som upphandlande organisation vid bland annat annonsering om upphandling med elektroniska medel har en skyldighet att ge fri, direkt, fullständig och kostnadsfri tillgång till upphandlingsunderlaget från den dag då annonsen publiceras. Samtidigt är det i Sverige inte ovanligt att upphandlingsunderlag i tvåstegsförfaranden tas fram successivt och att skyldigheten om tillgängliggörande tillämpas utifrån vilka dokument som finns framtagna, relevanta steg i upphandlingsprocessen samt vem som är målgrupp (anbudssökanden eller anbudsgivare). Det finns inget prejudikat som tydliggör hur skyldigheten ska tolkas och rättsläget är därför inte helt klart.

Upphandlingsmyndigheten ser som utgångspunkt inte att leverantörer upphandlingsrättsligt lider skada av en tolkning som utgår utifrån vilka delar av upphandlingsunderlaget som hör hemma i respektive fas i upphandlingsprocessen och respektive målgrupp i de olika stegen. Kraven på annonsen ska dock uppfyllas, tidsfristerna vara skäliga och de grundläggande upphandlingsprinciperna följas. Det är också lämpligt att särskilda krav kopplat till säkerhetsskyddslagstiftningen framgår redan i steg 1 av upphandlingen även om de ska uppfyllas först senare. Detta för att leverantörerna så tidigt som möjligt ska få insikt i upphandlingens särart och på en övergripande nivå deras möjligheter att tilldelas kontraktet eller ramavtalet.

Ni har alltså möjlighet att i vissa fall vänta med säkerhetsskyddsavtal till efter tilldelning av kontraktet eller ramavtalet. I dessa situationer finns dock en risk att den vinnande leverantören efter tilldelning visar sig inte kunna uppfylla de krav på säkerhetsskydd som ni ställer. Om ni i det läget inte har möjlighet att välja en annan leverantör som deltagit i upphandlingen får ni lov att göra om upphandlingen.  

Det är således lämpligt att i de flesta fallen av säkerhetsskyddad upphandling tillämpa ett tvåstegsförfarande. På så sätt minskar ni risken för att upphandlingen behöver göras om och för onödiga överprövningar från leverantörer som kvalificerats men som inte uppfyller era krav på säkerhetsskydd. 

Det kan bli aktuellt att ingå en säkerhetsskyddsöverenskommelse i stället för säkerhetsskyddsavtal om tillgång endast ges till säkerhetsskyddsklassificerade uppgifter i säkerhetsskyddsklassen begränsat hemlig eller säkerhetskänslig verksamhet i övrigt av motsvarande betydelse för Sveriges säkerhet.  

Om så är fallet under anbudsskedet, men leverantören (eller eventuella underleverantör) sedan under uppdragets utförande kan komma att få tillgång till uppgifter eller verksamhet av mer känslig karaktär, kan ni ingå en säkerhetsskyddsöverenskommelse inför steg 2 i upphandlingen och sedan ett säkerhetsskyddsavtal efter tilldelningen. 

Läs mer om tidpunkt för när säkerhetsskyddsavtal ska ingås på sidan Genomför upphandlingen.

Vilken nivå det behöver vara på säkerhetsskyddsavtalet under anbudsskedet beror på var leverantörer (och eventuella underleverantörer) kommer eller kan komma att få tillgång till säkerhetsskyddsklassificerade uppgifter eller säkerhetskänslig verksamhet i övrigt. Det förenklar om de kan ta del av sådana uppgifter i den upphandlande organisationens egna lokaler (områden, byggnader och andra anläggningar eller objekt) istället för utanför. I så fall är det tillräckligt att ingå säkerhetsskyddsavtal på nivå 2 eller 3 i anbudsskedet.  

Skulle ni senare, under uppdraget, behöva ge tillgång till sådana uppgifter utanför era egna lokaler, kan ni ingå ett säkerhetsskyddsavtal på nivå 1 efter tilldelningen.  

Säkerhetsskyddsavtal med nivåerna 1–3 

Upphandlingsförfaranden

Ni är inte skyldiga att genomföra ett separat samråd inför ett säkerhetsskyddsavtal med en underleverantör som anlitats för att fullgöra huvudleverantörens förpliktigelser. Eventuella underleverantörers tillgång till den säkerhetskänsliga verksamheten ska redan ha beaktats vid samrådet inför den aktuella upphandlingen som kräver säkerhetsskyddsavtal.  

När anses en upphandling vara påbörjad? 

Säkerhetspolisens information om samråd vid säkerhetsskyddad upphandling.

Öppenhetsprincipen innebär vidare att kraven ska vara tydliga och transparenta. De ska även vara möjliga att kontrollera och följa upp. På så sätt blir det tydligt vilka krav som ställs på leverantörerna under upphandlingsprocessen samt under och efter avtalsperioden, vad kraven innebär och hur ni bedömer leverantörernas kravuppfyllnad. Det blir samtidigt möjligt för leverantörer att göra ekonomiska uppskattningar av den annonserade affären, inklusive korrekta kostnadsberäkningar med anledning av säkerhetsskyddskrav och kravställningen i övrigt.  

De grundläggande principerna 

Efter att lämplighetsprövningen uppdaterats och eventuellt samråd kompletterats med information om leverantören (och eventuella underleverantörer) kan förfarandet under upphandlingens gång komma att bedömas som olämpligt från säkerhetssynpunkt.  

Bedömningen kan bland annat baseras på att leverantör som är tilltänkt att ges tillgång till säkerhetsskyddsklassificerade uppgifter eller säkerhetskänslig verksamhet i övrigt inte anses vara tillräckligt tillförlitlig ur säkerhetsskyddssynpunkt. Att ge tillgång till uppgifter eller verksamhet kan bli aktuellt vid uppdragets genomförande men i vissa fall även inför anbudslämning.  

För att minska risken att behöva avbryta upphandlingen i ovan nämnda situationer behöver ni redan vid utformningen av upphandlingsunderlaget i förberedelsefasen ta höjd för sådana situationer. Genom att inkludera krav och villkor i upphandlingen kopplat till lämplighetsprövningen och eventuellt samrådsärende finns möjlighet till ökad transparens kring vad som gäller i en situation där leverantör som deltar i upphandlingen inte bedöms som tillräckligt tillförlitlig från säkerhetsskyddssynpunkt.  

Detta kan ske genom att i upphandlingsunderlaget inkludera beskrivning om det aktuella förfarandets moment inklusive information om särskild säkerhetsskyddsbedömning, lämplighetsprövning och samråd samt syftet med dessa moment. Det bör tydligt framgå att det är en förutsättning för tilldelning av kontrakt och leverantörens tillgång till säkerhetsskyddsklassificerade uppgifter eller säkerhetskänslig verksamhet i övrigt att leverantören dessförinnan till exempel: 

• Lämnat sådan information som krävs för att lämplighetsprövningen ska kunna genomföras 
• Bedömts som tillräckligt tillförlitlig från säkerhetsskyddssynpunkt inom ramen för lämplighetsprövningen 
• Bekräftat att denne tagit del av beskrivningarna av förfarandets moment och intygar att leverantören inte har kännedom om förhållanden som ger anledning till att ifrågasätta dennes lämplighet från säkerhetsskyddssynpunkt. 

Förutsättningarna i upphandlingen bör utformas i form av obligatoriska krav i upphandlingsunderlaget och ställas gentemot såväl leverantör som eventuella underleverantörer som ska ges tillgång till säkerhetskänsliga verksamheten. Resultatet av lämplighetsprövningen bör bedömas i de moment i upphandlingsprocessen som föregår tilldelningsbeslutet. Ni som upphandlande organisation ges på så sätt bättre möjlighet att under upphandlingens gång förkasta anbud från leverantörer som inte lever upp till de givna förutsättningarna i upphandlingen.  

Vidare bör ni i avtalet inkludera villkor som innebär att avtalets giltighet förutsätter att leverantören (och eventuella underleverantörer) vid lämplighetsprövning inom ramen för den aktuella upphandlingen bedömts som tillräckligt tillförlitliga från säkerhetssynpunkt och att tillsynsmyndigheten avslutat samrådsärende avseende den aktuella upphandlingen utan beslut om förbud att genomföra upphandlingen.  

Utforma säkerhetsskyddsavtalet som ett separat avtal, som ingår i upphandlingsunderlaget. Dess villkor ska framgå i upphandlingsunderlaget, på samma sätt som gäller för övriga avtalsvillkor.  

Säkerhetsskyddsavtalet ska ha företräde framför andra villkor i det upphandlade kontraktet eller ramavtalet. Detta bör ni ange i såväl upphandlingsdokumenten som i kontraktet eller ramavtalet. Det bör i kontraktet eller ramavtalet dessutom finnas hävningsvillkor för det fall leverantören (eller eventuella underleverantörer) inte fullgör sina åtaganden enligt gällande säkerhetsskyddsavtal.