Undvik överraskningar vid säkerhetskänsliga företagsöverlåtelser
Fram till den 1 januari 2021 innehöll säkerhetsskyddslagstiftningen inte några bestämmelser som innebar en uttrycklig skyldighet för verksamhetsutövare att pröva lämpligheten av en överlåtelse, eller som gav tillsynsmyndigheterna möjlighet att ingripa mot eller förhindra en överlåtelse som är olämplig från säkerhetsskyddssynpunkt. Det har nu införts genom bestämmelser i säkerhetsskyddslagstiftningen.
Vad innebär bestämmelserna?
Sammanfattningsvis innebär de nya bestämmelserna en skyldighet för verksamhetsutövare att vidta vissa åtgärder om denne avser att överlåta hela eller en del av den säkerhetskänsliga verksamheten. Dessa åtgärder ska även vidtas om överlåtelsen gäller lös egendom som har betydelse för Sveriges säkerhet eller ett för Sverige förpliktigande internationellt åtagande om säkerhetsskydd (det vill säga folkrättsligt bindande traktat på säkerhetsskyddsområdet). Verksamhetsutövaren ska, för det första, göra en så kallad särskild säkerhetsskyddsbedömning följt av en lämplighetsprövning. Om överlåtelsen inte redan vid detta stadium bedömts som olämplig ska verksamhetsutövaren dessutom samråda med tillsynsmyndigheten.
Den särskilda säkerhetsskyddsbedömningen bör exempelvis innehålla en beskrivning av det som ska överlåtas och i vilken mån överlåtelseobjektet utgör säkerhetskänslig verksamhet. Vidare bör hotbilden klargöras. Sårbarheter bör beskrivas utifrån perspektivet att verksamheten eller egendomen överlåts. Även om bestämmelserna inte innefattar en lämplighetsprövning av köparen i sig så bör köparens identitet och hemvist finnas med i bedömningen. Mot bakgrund av den särskilda säkerhetsskyddsbedömningen prövas slutligen om det ur ett säkerhetsskyddsperspektiv är lämpligt att genomföra överlåtelsen. I huvudsak gäller det att utröna om de intressen som säkerhetsskyddslagstiftningen slår vakt om kan bibehållas efter överlåtelsen. Eventuellt med angivande av tillkommande säkerhetsskyddsåtgärder. Att inleda samråd med tillsynsmyndigheten innan verksamhetsutövaren upprättat dessa handlingar är inte lönt. Detta eftersom dessa handlingar kommer utgöra underlag för samrådet.
För vem gäller bestämmelserna?
Bestämmelserna gäller alla verksamhetsutövare som bedriver säkerhetskänslig verksamhet – enskilda, myndigheter, kommuner och regioner. Skyldigheten att samråda och att följa tillsynsmyndighetens föreläggande gäller även den som avser att överlåta aktier eller andelar i säkerhetskänslig verksamhet, om det inte rör sig om publika aktiebolag.
Reglerna innebär att det kan uppstå situationer där verksamhetsutövaren, till exempel ett företag, är skyldig att ta fram bedömningen och prövningen, men aktieägaren är skyldig att samråda med tillsynsmyndigheten tillsammans med verksamhetsutövaren. Under samrådet kan tillsynsmyndigheten förelägga både verksamhetsutövare och, i förekommande fall, ägare att vidta åtgärder. Det finns idag varken förordningsbestämmelser eller myndighetsföreskrifter om vad som krävs för att samrådsskyldigheten ska anses fullgjord.
Vidare skulle det kunna uppstå en situation där verksamhetsutövaren och ägaren har olika uppfattningar om verksamheten omfattas av säkerhetsskyddslagstiftningen. Ska då tillsynsmyndigheten avgöra detta eller är det verksamhetsutövaren som har sista ordet i sin säkerhetsskyddsanalys? En grundregel är att säkerhetsskyddslagens tillämplighet avgörs på verksamhetsnivå, vilket tillsynsmyndigheten också brukar påminna om. Ett annat fall skulle vara att en potentiell köpare anser att verksamheten är säkerhetskänslig och villkorar överlåtelsekontraktet med att verksamhetsutövaren ska fullgöra sin samrådsskyldighet. Blir det då tillsynsmyndigheten som får avgöra frågan? Säkerhetsskyddsanalysen, om det finns en sådan, bör förstås väga tungt i detta sammanhang. Men det kan säkert uppstå komplexa situationer om tillsynsmyndigheten har synpunkter på säkerhetsskyddsanalysen.
Det kan också tänkas att en verksamhetsutövare avsiktligt väljer att avstå från att upprätta handlingarna och att inleda samråd. Blir tillsynsmyndigheten uppmärksammad på en sådan överlåtelse finns en laglig möjlighet att ogiltigförklara den i efterhand.
Vilka överlåtelser kan träffas av de nya bestämmelserna?
För det första kan noteras bestämmelserna inte träffar överlåtelseförfaranden som inletts före ikraftträdandet. Vad avses då med att inleda ett överlåtelseförfarande? I vart fall torde krävas att viljan att förvärva eller sälja har manifesterats och att den blivit känd för motparten. En tänkbar situation är att så länge som säljare och köpare skrivit på ett överlåtelseavtal innan årsskiftet, men slutför affären under 2021 så gäller inte de nya kraven. Samma torde gälla en påskriven avsiktsförklaring eller att ett bud har lagts innan årsskiftet.
För det andra omfattar bestämmelserna inte endast verksamhet utan även lös egendom. Det motiveras av att en innovation eller produkt som kommer i fel händer kan leda till att förmågor som är väsentliga för Sveriges säkerhet försämras. Ett annat exempel på egendom som kan vara olämplig att överlåta är kritisk infrastruktur, som till exempel vissa energisystem eller viss 5G-teknik. En överlåtelse av egendomen ska kunna leda till en skada för Sveriges säkerhet i ett nationellt perspektiv. I regel kan till exempel omsättningsvaror och egendom som framställs för försäljning inte anses ha sådan betydelse. Motsatsen kan däremot gälla för bakomliggande teknik eller ritningar avseende sådan egendom. Det bör nämnas att fast egendom förmodligen kommer att omfattas av bestämmelserna på sikt.
Företagets samlade uppdrag kan ha betydelse för Sveriges säkerhet
Något som inte nämns särskilt i motiven till de nya reglerna, men som är av betydelse för företag som är tveksamma till om de bedriver säkerhetskänslig verksamhet, är frågan om en leverantörs samlade uppdrag kan ha betydelse för Sveriges säkerhet. Det vill säga, leverantören har ett antal samhällsviktiga kunder som är starkt beroende av att det inte sker avbrott i leverantörens erbjudande till dem och att produkterna eller tjänsterna är pålitliga ur säkerhetssynpunkt. Normalt förhåller det sig så att en leverantör som ingått ett säkerhetsskyddsavtal med till exempel en myndighet inte anses bedriva säkerhetskänslig verksamhet enbart på grund av säkerhetsskyddsavtalet. Emellertid kan leverantörens samlade uppdrag innebära risker för de myndigheter som den utför tjänster åt vid ett antagonistiskt angrepp, vilket i slutänden skulle leda till effekter för samhället i stort. Exempel på det är en leverantör som exempelvis tillhandahåller driftstjänster åt ett flertal myndigheter, vilken genom sitt samlade engagemang anses bedriva säkerhetskänslig verksamhet. Vid större koncentrationer av uppdrag kan detta gälla även om de enskilda uppdragen inte omfattas av säkerhetsskyddsavtal. Säkerhetsskyddslagstiftningen kan alltså i sådana fall bli direkt tillämplig på leverantören av driftstjänsterna. Bedömningen är förstås komplex och många faktorer behöver beaktas. Exempel på detta är vilket antal samhällsviktiga kunder som leverantören har, vilka samhällssektorer kunderna verkar inom, deras roll i totalförsvaret, respektive kunds beroendeförhållande till leverantören och betydelsen av ett kontinuerligt och pålitligt erbjudande från leverantören.
Andra faktorer för bedömning kan vara hur lång tid det skulle ta för kunderna att byta leverantör och om konsekvenserna av ett avbrott är acceptabla eller ej. Här uppkommer förstås även frågan om det finns konkurrenter till leverantören, varför leverantörens ställning på marknaden blir en viktig faktor. Har leverantören en monopolställning så innebär det en sårbarhet i sig om det skulle saknas alternativ. Att byta leverantör när det finns alternativ kan också ta tid och vara kostsamt bortsett från praktiska svårigheter. Detta är exempel på bedömningsfaktorer som behöver analyseras noggrant i verksamhetsutövarens säkerhetsskyddsanalys och även i den särskilda säkerhetsskyddsbedömningen inför en överlåtelse.
Frågan om ett företag omfattas av säkerhetsskyddslagen kan uppkomma överraskande i förvärvsprocesser och i så kallade företagsundersökningar (ofta kallat due diligence på fackspråk). Det är då viktigt att som säljare och verksamhetsutövare inte bli tagna på sängen eftersom det kan påverka affären i hög grad.