FOA-vurdering
Oppsummering: sikkerhet må bygges inn tidlig i anskaffelsen
Veilederen slår fast at oppdragsgiver må avklare behov tidlig og tilpasse anskaffelsesprosessen etter dem, uansett om anskaffelsen er sikkerhetsgradert eller ikke. Den peker også på at riktig kompetanse, gode risikovurderinger og kunnskap om egne verdier, sårbarheter og relevante trusler er nødvendig for å ivareta sikkerhet i anskaffelsen. Sikkerhet skal vektes reelt i prosessen, og oppdragsgiver må sikre forsvarlig sikkerhetsnivå før, under og etter kontraktsinngåelse, blant annet ved oppfølging av leverandører og underleverandører, tilgangskontroll og håndtering av sikkerhetstruende hendelser.
Betydning for anskaffelser
Brukes når anskaffelsen krever tidlig behovsavklaring, risikovurdering, kompetanseinnhenting og sikkerhetstiltak i prosess og kontrakt. Kilden er særlig relevant ved spørsmål om hvordan sikkerhet skal innarbeides i anskaffelsesprosessen, hvordan leverandøroppfølging skal organiseres, og når endringer i situasjonsbildet utløser nye vurderinger og tiltak.
Sentrale kildepunkter
- Behovene for anskaffelsen skal avklares tidlig og prosessen tilpasses dette.
- Kravet gjelder også når anskaffelsen ikke er sikkerhetsgradert.
- Oppdragsgiver må sikre riktig kompetanse i anskaffelsesprosessene.
- Risikovurderinger forutsetter kjennskap til virksomhetens verdier, sårbarheter og relevante trusler.
- Sikkerhetshensynet skal ikke tilsidesettes av mindre tungtveiende hensyn ved utforming av prosessen eller valg av leverandør.
- Forsvarlig sikkerhetsnivå må ivaretas før, under og etter kontraktsinngåelse.
- Det må etableres mekanismer for oppfølging av leverandører og underleverandører, tilgangskontroll og håndtering av sikkerhetstruende hendelser.
- Endringer i situasjonsbildet kan utløse nye risikovurderinger og tiltak.
Berørte bestemmelser
- VIRKSOMHETSIKKERHETSFORSKRIFTEN § § 18 annet ledd – Fotnoten viser til regelen som støtte for kravet om å ivareta forsvarlig sikkerhetsnivå og løpende oppfølging.
Fulltekst
Det er viktig at oppdragsgiver tidlig avklarer hvilke behov som gjør seg gjeldende for anskaffelsen og tilpasser anskaffelsesprosessen etter dette, uavhengig av om anskaffelsen er sikkerhetsgradert eller ikke. Oppdragsgiver må sikre riktig kompetanse inn i anskaffelsesprosessene slik at alle relevante behov og hensyn ivaretas, herunder til det som skal anskaffes, prosess og sikkerhet. Gjennomføring av gode risikovurderinger forutsetter at oppdragsgiver har kjennskap til virksomhetens verdier og sårbarheter, og at man innhenter nødvendig informasjon om trusler som er relevant for egen virksomhet og den enkelte anskaffelse. Hensynet til sikkerhet må vektlegges riktig, slik at det ikke tilsidesettes for mindre tungtveiende hensyn ved utforming av anskaffelsesprosessen og ved valg av leverandør. Oppdragsgiver må sørge for ivaretakelse av et forsvarlig sikkerhetsnivå både før, under og etter kontraktsinngåelse. Det innebærer blant annet etablering av mekanismer som sikrer nødvendig oppfølging av leverandører og underleverandører, kontroll med gitte tilganger til oppdragsgivers verdier, og håndtering av sikkerhetstruende hendelser. Oppdragsgiver må ta høyde for at situasjonsbildet er dynamisk og at endringer kan føre til behov for nye risikovurderinger og tiltak. 54 Jf. virksomhetsikkerhetsforskriften § 18 annet ledd. VEILEDER FOR IVARETAKELSE AV SIKKERHET I ANSKAFFELSER VEILEDER FOR IVARETAKELSE AV SIKKERHET I ANSKAFFELSER NSM Postboks 814