I Säpos årsbok för 2015 anges att ”Många länder bedriver underrättelseverksamhet i och mot Sverige eller svenska mål utomlands. Detta görs för att få tillgång till information och teknologi. Andra stater försöker också påverka Sveriges politiska beslutsfattande exempelvis genom att försöka vinna upphandlingar hos bland annat svenska myndigheter.”
Säpo har berättat för Sverige Radios Ekoredaktion att de har konkreta exempel på detta, men inte vill ange dem på grund av sekretess. Samtidigt skriver Säpo till Ekot att det kan röra upphandlingar av exempelvis IT-drift, bevakning eller lokalvård på svenska myndigheter i syfte att spionera och ibland påverka myndigheterna.
Lars Nicander, chef för Centrum för asymmetriska hot vid Försvarshögskolan, anser att det är dags att ta hoten på allvar samt att det behövs mer samarbete och en bättre överblick.
– Detta kräver samverkan mellan olika myndigheter och framförallt samverkan mellan olika departement och utgiftsområden som är ganska stuprörsaktiga i dag. Vi måste ta ett grepp om hoten här. Alla hot är inte farliga, det är bara de hot vi inte kan skydda oss emot, säger han till Ekot.
Dessutom varnas för att outsourcing av IT ofta innebär att leverantören placerar olika kunders system och
information i samma fysiska datorsystem. Säpo menar vidare att om en stor mängd hemlig information hamnar hos en enskild leverantör riskerar denne att bli ett attraktivt mål för bland annat andra länders underrättelse inhämtning. ”Den mängd information som samlas hos en leverantör kan medföra att leverantörens verksamhet sammantaget är av stor betydelse för rikets säkerhet”, står det i rapporten.
I rapporten anges även att fler myndigheter än tidigare kontaktar dem med anledning av att de lägger ut särskilt skyddsvärda delar av sin verksamhet till leverantörer i andra länder, så kallad offshoring. Säpo konstaterar att ansvariga myndigheter i dessa fall har samma ansvar att ställa krav på säkerhetsskyddsåtgärder som om leverantören vore baserad i Sverige.
”Det är alltid den upphandlande myndigheten som har det yttersta ansvaret för att säkerhetsskyddet är väl anpassat hos de leverantörer som hanterar de delar av verksamheten som bedömts som särskilt skyddsvärd. Ansvaret går inte att avtala bort”, står det i rapporten.
