– Transportstyrelsens tidigare IT-upphandling är ett exempel på varför denna förändring är viktig, säger inrikesminister Mikael Damberg (S) på en pressträff om den lagrådsremiss regeringen har färdig.
– Kraven skärps väsentligt, säger Damberg.
Säkerhetsskyddslagen omfattar både myndigheter och företag som sysslar med säkerhetskänslig verksamhet. Lagen ställer krav på att säkerhetsklassade uppgifter ska skyddas, bland annat när externa företag anlitas för vissa tjänster.
Myndigheter och företag måste i sådana fall redan i dag upprätta ett säkerhetsskyddsavtal där det framgår hur känsliga uppgifter ska skyddas.
Efter flera uppmärksammade händelser de senaste åren, bedömer regeringen att det finns ett behov av hårdare krav i situationer när säkerhetskänslig verksamhet utkontrakteras. I en lagrådsremiss föreslås därför att lagen skärps för att förhindra att nya skandaler inträffar, som den som uppdagades vid Transportstyrelsen 2017.
Möjligt med sanktioner
Myndigheten hade lagt ut IT-hantering av register där det förekom känsliga uppgifter på entreprenad till ett privat företag med förgreningar i många länder.
Damberg bedömer att säkerhetstänkandet är bättre i myndigheterna nu liksom kunskapen om vilka typer av uppgifter och känsliga verksamheter som hanteras.
Kravet på att ingå säkerhetsskyddsavtal vid upphandling ska utvidgas till att omfatta alla typer av avtal, samarbeten och samverkan där den andra parten får eller kan få insyn i den säkerhetskänsliga verksamheten. Rena samarbeten och samverkan mellan statliga myndigheter undantas.
De myndigheter som har tillsynsansvar för ett visst verksamhetsområde föreslås få ökade befogenheter att undersöka brister i säkerhetsskyddet. Det kan handla om att besluta att rutiner med luckor i säkerheten inte får användas eller att ingripa mot ett skeende med säkerhetsbrister. Tillsynsmyndigheterna ska också kunna besluta om viten och sanktionsavgifter. Det går inte i dag, med något undantag.
Det är däremot redan möjligt att stoppa uppköp av hela företag, till exempel om ett utländskt företag vill köpa ett svenskt som har en säkerhetskänslig verksamhet.
Lagändringarna föreslås träda i kraft den 1 december i år.