FOA-vurdering
Unntak fra sikkerhetsavtale ved oppsyn
Veiledningen sier at sikkerhetsavtale ikke kreves når leverandørens personell bare får tilgang til sikkerhetsgradert informasjon, skjermingsverdige objekter eller infrastruktur mens de er under oppsyn av oppdragsgiver. Oppsynet kan være fysisk eller logisk, for eksempel ledsagelse, tilgangsbegrensninger eller overvåkning i informasjonssystemer. Poenget er at oppdragsgiver da selv må ha løpende kontroll med hvor personellet er og hva de gjør. Teksten legger terskelen høyt: Kan tilgangen misbrukes på en måte som kan skade grunnleggende nasjonale funksjoner eller nasjonale sikkerhetsinteresser, må oppdragsgiver sørge for tilstrekkelig oppsyn. Unntaket gjelder bare når personellet ikke har selvstendig tilgang. Skal de arbeide mer fritt, er det krav om sikkerhetsavtale. Veiledningen peker også på at sikkerhetskravene bør tydeliggjøres i kontrakten, slik at partene er enige om hvordan leveransen skal gjennomføres.
Betydning for anskaffelser
Kilden brukes når oppdragsgiver vurderer om leverandørpersonell kan arbeide uten sikkerhetsavtale fordi tilgangen skjer under oppsyn. Den er relevant ved kontraktsutforming, risikovurdering og tvister om hvor strengt oppsynskravet er, om tilgangen faktisk er kontrollert, og om unntaket kan brukes når personellet ellers ville hatt selvstendig tilgang.
Sentrale kildepunkter
- Unntak fra sikkerhetsavtale gjelder bare ved tilgang under oppsyn av oppdragsgiver.
- Oppsyn kan være fysisk eller logisk kontroll.
- Ledsagelse, tilgangsbegrensninger og overvåkning nevnes som eksempler på oppsyn.
- Oppdragsgiver må til enhver tid ha kontroll med hvor personellet er og hva de gjør.
- Terskelen for unntak er høy når tilgang kan misbrukes til skade for nasjonale sikkerhetsinteresser.
- Hvis personellet skal ha selvstendig tilgang, kreves sikkerhetsavtale.
- Sikkerhetsmessige forutsetninger bør konkretiseres i kontrakten.
Berørte bestemmelser
- NSM-VEILEDER § 3.3.1 – Forklarer unntaket fra kravet om sikkerhetsavtale og hva som kreves av oppsyn.
- LOV OM NASJONAL SIKKERHET § § 5d – Teksten gjelder sikkerhetskrav i anskaffelser og forholdet til sikkerhetsavtale og kontroll med tilgang.
- ANSKAFFELSESREGELVERKET – Kontraktsvilkår og gjennomføring av anskaffelsen må tilpasses de sikkerhetsmessige kravene som beskrives i veiledningen.
Fulltekst
Dersom leverandørens personell kun får tilgang til sikkerhetsgradert informasjon, skjermingsverdige objekter eller infrastruktur under oppsyn av en representant fra oppdragsgiver, kreves det ikke sikkerhetsavtale. I slike tilfeller kan det inntas en bestemmelse i kontrakten med leverandøren som beskriver ordningen. 12 At personell skal holdes «under oppsyn» kan skje både ved fysisk og logisk kontroll. Som eksempler nevnes ledsagelse, tilgangsbegrensninger og/eller overvåkning i virksomhetens informasjonssystemer. 13 At personellet holdes under oppsyn innebærer at oppdragsgiver til enhver tid må ha kontroll med hvor leverandørens personell befinner seg og/eller hva disse gjør. En tilfredsstillende kontroll forutsetter at de som gjennomfører denne har tilstrekkelig kompetanse til å forstå hvordan gitt tilgang skal brukes og avdekke om det skjer avvik fra dette. All tilgang som kan misbrukes på en måte som kan skade grunnleggende nasjonale funksjoner eller nasjonale sikkerhetsinteresser bør kunne kontrolleres av oppdragsgiver. Dersom dette er en risiko ved anskaffelsen må oppdragsgiver sikre nødvendig grad av oppsyn med leverandørens arbeidsutførelse. Terskelen er derfor høy for å gjøre unntak fra kravet om sikkerhetsavtale. At personellet må holdes under oppsyn gjelder uavhengig av om de aktuelle personene er klarert og autorisert for tilgang på aktuelle nivåer. Skal personellet ha selvstendig tilgang er det krav om at det inngås en sikkerhetsavtale. Det kan være hensiktsmessig å konkretisere de sikkerhetsmessige aspektene ved anskaffelsen i kontrakten med leverandøren, selv om det er anledning til å gjøre unntak fra kravet om sikkerhetsavtale. Det sentrale er at alle parter er omforent om og kjent med hvordan anskaffelsen skal utføres i tråd med aktuelle sikkerhetskrav.