Fra lovendring til praksis – sikkerhet og beredskap i
offentlige anskaffelser

Fra 1. juli 2026 er sikkerhet og beredskap løftet inn i anskaffelseslovens formålsbestemmelse i § 1 og den nye bestemmelsen om samfunnshensyn i § 5d. Lovendringen innebærer ikke at oppdragsgivere får et helt nytt anskaffelsesrettslig handlingsrom, men den tydeliggjør at sikkerhets- og beredskapshensyn må vurderes tidligere, mer systematisk og mer risikobasert i relevante anskaffelser.

Det praktiske spørsmålet er derfor ikke bare om slike hensyn kan ivaretas, men hvordan oppdragsgiver bør identifisere risiko, velge egnede virkemidler, begrunne kravene og følge dem opp innenfor de anskaffelsesrettslige rammene.

Sikkerhet og beredskap får en tydeligere plass i loven

 Sikkerhets- og beredskapshensyn er nå uttrykkelig forankret i anskaffelsesloven §§ 1 og 5d.

 § 1 – Formål

«Formålet med loven er å fremme effektiv og bærekraftig bruk av samfunnets ressurser. Med bærekraftig menes økonomisk, sosial og miljømessig bærekraft. Loven skal også bidra til at det offentlige ivaretar sikkerhets- og beredskapshensyn og opptrer på en tillitvekkende måte.»

§ 5d – Sikkerhet og beredskap

«Oppdragsgiver kan stille krav eller kriterier i alle ledd av en anskaffelsesprosess for å ivareta sikkerhets- og beredskapshensyn. Oppdragsgiver bør vurdere å stille slike krav i anskaffelser der det er relevant.»

Formålsbestemmelsen løfter sikkerhets- og beredskapshensyn inn som en del av lovens overordnede formål. Den nye § 5d konkretiserer dette ved å gi oppdragsgiver adgang til å stille krav eller kriterier i alle ledd av anskaffelsesprosessen og samtidig oppfordre til å vurdere slike krav der det er relevant.

Bruken av «kan» og «bør» innebærer at oppdragsgiver ikke har en generell plikt til å stille sikkerhets- og beredskapskrav i enhver anskaffelse, men en tydelig oppfordring til å vurdere behovet når slike hensyn er relevante.

Fra handlingsrom til risikobaserte vurderinger

Forarbeidene gir et klart utgangspunkt for lovendringens rettslige rekkevidde. Nærings- og fiskeridepartementet uttaler i Prop. 147 L (2024–2025) punkt 7.4:

«Å ta inn sikkerhet og beredskap som et samfunnshensyn i loven endrer ikke oppdragsgivers nåværende handlingsrom, men kan skape bevissthet hos oppdragsgiver til å vurdere i forkant om det er særlige sikkerhets- og beredskapshensyn som er relevante i en anskaffelse. Dette er viktig i tiden fremover.»

Lovendringen gir etter dette ikke oppdragsgivere nye anskaffelsesrettslige virkemidler. Oppdragsgivere har også tidligere kunnet ivareta sikkerhets- og beredskapshensyn innenfor anskaffelsesregelverket. Den praktiske betydningen ligger særlig i at lovendringen kan styrke insentivene til å bruke det eksisterende handlingsrommet mer systematisk gjennom bevisste og risikobaserte vurderinger.

De anskaffelsesrettslige rammene er derfor fortsatt i hovedsak de samme. Krav, kriterier og kontraktsvilkår som skal ivareta sikkerhet og beredskap, må fortsatt utformes innenfor de grunnleggende prinsippene om konkurranse, likebehandling, forholdsmessighet og etterprøvbarhet. Det betyr at sikkerhets- og beredskapstiltak må begrunnes konkret og knyttes til den risikoen anskaffelsen faktisk reiser.

Det er foreløpig uklart om lovendringen vil få selvstendig rettslig betydning. Departementet peker samtidig på at formålsbestemmelsen kan bli tillagt vekt ved tolkningen av regelverket i tilfeller der flere løsninger er rettslig forsvarlige. Det gjenstår også å se hvordan KOFA og domstolene vil tolke og anvende de nye bestemmelsene. Både KOFA og domstolene er imidlertid generelt tilbakeholdne med å overprøve oppdragsgivers innkjøpsfaglige skjønn.

DFØ har også publisert en omfattende veileder om hvordan de nye bestemmelsene kan anvendes i praksis. Denne artikkelen bygger videre på veilederen ved å drøfte hvordan det eksisterende handlingsrommet kan brukes mer systematisk gjennom risikobaserte vurderinger i konkrete anskaffelser.

Bakgrunnen for at sikkerhets- og beredskapshensyn nå løftes tydeligere frem i anskaffelsesloven, er en utvikling mange offentlige virksomheter allerede har erfart i praksis. Offentlige tjenester er blitt stadig mer avhengige av digitale løsninger, komplekse leverandørkjeder og leverandører som leverer kritiske varer og tjenester. Krig, geopolitisk uro og økt sårbarhet i globale leverandørkjeder har gjort forsyningssikkerhet og kontinuitet til sentrale vurderingstemaer i offentlige anskaffelser. De siste årenes hendelser har vist hvor store konsekvenser det kan få dersom slike leveranser svikter.

For oppdragsgivere kan dette bidra til at vurderingene forankres tidligere og tydeligere i planleggingen av den enkelte anskaffelsen og i virksomhetens prioriteringer.

For leverandørene kan lovendringen gi økte insentiver til å investere i leveringssikkerhet, dokumenterte sikkerhetsrutiner og bedre kontroll med egne leverandørkjeder. Slike forhold kan i større grad bli etterspurt, vurdert og fulgt opp i offentlige anskaffelser.

Det er nettopp denne bevisstgjørende funksjonen som kan bidra til at både oppdragsgivere og leverandører prioriterer tid, kompetanse og ressurser til målrettede risikoanalyser og nødvendige sikkerhets- og beredskapstiltak.

På sikt kan det bli behov for nye vurderinger når den vedtatte opphevingen av anskaffelsesloven § 4 trer i kraft. Hvilken betydning dette vil få for samspillet mellom de nye bestemmelsene om sikkerhet og beredskap og de grunnleggende anskaffelsesrettslige prinsippene, gjenstår å se.

Risikoen må identifiseres før tiltakene velges

Gjennom snart ti år med arbeid innen offentlige anskaffelser, med erfaring fra forsvarssektoren, konsulentbransjen og advokatrollen, har jeg erfart at diskusjonen ofte raskt dreier seg om hvilke sikkerhetskrav som bør stilles til leverandøren. De viktigste vurderingene bør imidlertid gjøres tidligere: Hva skal anskaffes, hvilke verdier og funksjoner skal beskyttes, og hvilken risiko kan kontrakten skape eller forsterke?

Først når dette er avklart, kan oppdragsgiver vurdere hvilke sikkerhets- og beredskapstiltak som faktisk er nødvendige.

Dette får praktiske konsekvenser for utformingen av konkurransegrunnlaget. Sikkerhets- og beredskapshensyn bør ikke reduseres til generelle standardformuleringer, men forankres i den konkrete anskaffelsen. Oppdragsgiver må identifisere hva som skal beskyttes: en samfunnskritisk tjeneste, sensitive opplysninger, leveringssikkerheten eller virksomhetens evne til å opprettholde driften.

Tenk for eksempel på en kommune som skal anskaffe en skyløsning for behandling av helseopplysninger. I en slik konkurranse kan spørsmål om datalagring, tilgangsstyring, kontinuitet og hendelseshåndtering stå sentralt. Hvilke krav og tiltak som bør stilles, må bero på risikoen i den aktuelle anskaffelsen.

Sikkerhets- og beredskapstiltak er ikke et mål i seg selv. De er virkemidler for å redusere risikoen for at viktige samfunnsfunksjoner svikter.

Fem spørsmål oppdragsgiver bør stille før konkurransen lyses ut:

Før oppdragsgiver vurderer hvilke krav som skal stilles til leverandøren, bør følgende spørsmål besvares:

ü  Hva er det egentlig som skal beskyttes?

ü  Hvilke verdier eller funksjoner er kritiske?

ü  Hvilke leverandør- eller verdikjedeavhengigheter finnes?

ü  Hvilke sikkerhets- og beredskapstiltak følger av den identifiserte risikoen?

ü  Hvordan skal tiltakene følges opp gjennom kontrakten?

Risikovurderingen må styre konkurransegrunnlaget

En risiko- og sårbarhetsanalyse har liten verdi dersom den ikke påvirker hvordan anskaffelsen gjennomføres. Det er først når risikovurderingen omsettes til konkrete valg i konkurransegrunnlaget at den får praktisk betydning. Det er også ofte her de vanskeligste vurderingene oppstår.

Når risikoen er identifisert, blir det enklere å velge riktig anskaffelsesrettslig virkemiddel. Vurderingen av kvalifikasjonskrav, kravspesifikasjon, tildelingskriterier og kontraktsvilkår bør derfor ta utgangspunkt i risikobildet, ikke omvendt.

La oss gå tilbake til eksempelet med skyløsningen. Enkelte sikkerhetstiltak kan være så grunnleggende at de bør fastsettes som minstekrav. Andre forhold kan egne seg bedre som tildelingskriterier dersom de representerer en dokumenterbar merverdi, for eksempel løsninger som gir høyere tilgjengelighet eller raskere gjenoppretting ved driftsavbrudd.

Det samme gjelder andre typer anskaffelser. Ved en entrepriseanskaffelse kan sikkerhets- og beredskapshensyn for eksempel knytte seg til leveringssikkerhet for kritiske materialer, krav til adgangskontroll på byggeplassen eller entreprenørens evne til å opprettholde fremdriften dersom en sentral underleverandør faller bort. Hvilke tiltak som er nødvendige, vil avhenge av prosjektets konkrete risikobilde.

Det avgjørende er ikke hvilket anskaffelsesrettslig virkemiddel som brukes, men at virkemiddelet er valgt fordi det håndterer den identifiserte risikoen på en egnet og treffsikker måte.

Et bevisst valg av virkemidler bidrar ikke bare til å ivareta sikkerhets- og beredskapshensyn på en bedre måte. Det gjør det også enklere å dokumentere og begrunne at kravene eller kriteriene er relevante, nødvendige og forholdsmessige i den konkrete anskaffelsen. Slik styrkes anskaffelsens etterprøvbarhet, og vurderingene står sterkere dersom de senere møtes med innsigelser, påklages til KOFA eller bringes inn for domstolene.

Kort oppsummert:

·       Identifiser risikoen.

·       Velg riktig virkemiddel.

·       Begrunn valget.

·       Følg opp kontrakten.

Markedsdialog er også sikkerhetsarbeid

Markedsdialog forbindes ofte med innovasjon og bedre konkurranse. Etter min erfaring er den også et viktig virkemiddel for å ivareta sikkerhet og beredskap.

Dette handler ikke om å redusere sikkerhetsnivået, men om å finne tiltak som både ivaretar sikkerheten og legger til rette for reell konkurranse. Gjennom dialogen kan oppdragsgiver få bedre innsikt i hvilke løsninger som faktisk finnes, hvilke tiltak som er realistiske, og hvilke krav som kan få utilsiktede konkurransebegrensende virkninger. Den kan også bidra til å avdekke risiko som oppdragsgiver selv ikke har identifisert gjennom den innledende risikovurderingen.

Markedets innspill kan videre synliggjøre kritiske leverandør- og verdikjedeavhengigheter og vise hvordan endringer i teknologi, geopolitikk eller leverandørmarkedet kan påvirke risikoen i den konkrete anskaffelsen. Slik blir markedsdialogen ikke bare et virkemiddel for bedre konkurranse, men også et viktig grunnlag for mer treffsikre og risikobaserte anskaffelsesfaglige vurderinger.

Kontraktsoppfølging er den virkelige testen

I praksis innebærer dette at oppdragsgiver ikke bare må ta stilling til hvilke sikkerhets- og beredskapstiltak som er nødvendige i konkurransen. Det må også vurderes hvordan tiltakene skal følges opp etter kontraktsinngåelsen.

Kontraktsoppfølging får fortsatt for liten plass i offentlige anskaffelser. Det brukes ofte betydelige ressurser på å utforme konkurransegrunnlaget og beskrive hvilke krav leverandøren skal oppfylle. Langt mindre innsats legges i å sikre at de samme kravene faktisk etterleves. Etter min erfaring er det nettopp her mange sikkerhetstiltak står sin virkelige prøve.

Sikkerhet og beredskap er ikke en statisk tilstand. Trusselbildet utvikler seg kontinuerlig. Nye sårbarheter oppstår, teknologi endres, og leverandørkjeder påvirkes av forhold som verken oppdragsgiver eller leverandøren nødvendigvis kunne forutse da konkurransen ble gjennomført.

Den samme skyløsningen illustrerer hvorfor oppfølgingen er avgjørende. Selv om leverandøren dokumenterer gode sikkerhetsrutiner i tilbudet, er ikke det i seg selv tilstrekkelig. Oppdragsgiver må også ha mekanismer for å kontrollere at rutinene etterleves, at sikkerhetshendelser rapporteres, og at sikkerhetsnivået videreutvikles dersom risikobildet endrer seg.

På samme måte kan en entreprisekontrakt kreve oppfølging av leverandørens beredskapsplaner eller kontroll av kritiske underleverandører gjennom kontraktsperioden. Hvilke oppfølgingsmekanismer som er nødvendige, bør være en naturlig konsekvens av risikovurderingen som ble gjort før konkurransen.

Behovet for rapportering, revisjonsrett, sikkerhetstesting, kontroll av underleverandører og håndtering av nye sikkerhetstrusler bør vurderes allerede når konkurransegrunnlaget og kontrakten utformes. Risikovurderingen bør heller ikke anses som avsluttet ved kontraktsinngåelsen. Leverandørkjeder, eierskap og det sikkerhetspolitiske risikobildet kan endre seg gjennom kontraktsperioden. Oppdragsgiver bør derfor fastsette varslingsplikter, regelmessige oppfølgingsmøter og krav om oppdaterte beredskaps- og kontinuitetsplaner som gjør det mulig å fange opp og håndtere slike endringer. Slik blir risikovurderingen et løpende styringsverktøy, ikke bare en vurdering som foretas før kontraktsinngåelsen.

Et sikkerhetstiltak som aldri følges opp, styrker verken sikkerheten eller beredskapen.

God kontraktsoppfølging handler derfor ikke først og fremst om kontroll. Den handler om å sikre at tiltakene som ble valgt på bakgrunn av risikovurderingen, faktisk fungerer som forutsatt gjennom hele kontraktsperioden.

Kort oppsummert:

• Følg opp tiltakene.

• Revider ved endret risiko.

• Kontroller at tiltakene fungerer i praksis.

Handlingsrommet må brukes, ikke bare beskrives

Den største utfordringen blir likevel ikke å identifisere handlingsrommet for å ivareta sikkerhets- og beredskapshensyn gjennom krav, kriterier og kontraktsvilkår, men å vurdere når, hvordan og i hvilket omfang handlingsrommet bør benyttes i den konkrete anskaffelsen.

Det finnes ingen standardløsning. Ved anskaffelse av medisinsk utstyr kan det for eksempel være nødvendig å stille krav til reservedeler, alternative leverandørkjeder eller leveringstid ved feil på kritisk utstyr. I andre anskaffelser vil slike tiltak være unødvendige.

Lovendringen får først praktisk betydning når de hensynene lovgiver forventer at oppdragsgivere vurderer og implementerer gjennom hele anskaffelsesprosessen, omsettes til konkrete og risikobaserte valg i den enkelte anskaffelsen.

Eksempler på hvordan risiko kan påvirke valg av sikkerhets- og beredskapstiltak

Anskaffelse

Eksempler på forhold som bør vurderes

Skyløsning

Datalagring, tilgangsstyring, kontinuitet og hendelseshåndtering

Entreprise

Leveringssikkerhet, adgangskontroll og kritiske underleverandører

Medisinsk utstyr

Reservedeler, leveringssikkerhet og alternative leverandører

Kantinedrift

Normalt mer begrensede sikkerhets- og beredskapshensyn, men tiltak må fortsatt vurderes konkret

Den nye § 5d innebærer ikke at oppdragsgivere generelt skal stille flere sikkerhetskrav. Bestemmelsen tydeliggjør først og fremst at sikkerhets- og beredskapshensyn må vurderes konkret, risikobasert og i sammenheng med den enkelte anskaffelsens formål, verdi og betydning.

En risikovurdering har liten verdi dersom den ikke påvirker hvordan anskaffelsen planlegges, hvordan konkurransen utformes og hvordan kontrakten følges opp. Først når vurderingene omsettes til konkrete valg gjennom hele anskaffelsesprosessen, får lovendringen den praktiske betydningen lovgiver har ønsket å oppnå.

Sett i lys av forarbeidene og DFØs veiledning bør lovendringen først og fremst forstås som en oppfordring til bedre metode: Oppdragsgiver må identifisere relevant risiko, velge et egnet anskaffelsesrettslig virkemiddel, begrunne valget og sikre at tiltaket faktisk kan følges opp.

Fem grep for å omsette § 5d til anskaffelsespraksis

For oppdragsgivere og leverandører blir hovedspørsmålet hvordan de nye bestemmelsene skal omsettes til konkrete, forholdsmessige og etterprøvbare valg i anskaffelsesprosessen.

 Særlig fem grep er sentrale:

1.     Begynn med risikoen, ikke med kravene

Oppdragsgivere bør ikke starte med hvilke sikkerhetstiltak som kan stilles, men med hvilke verdier som skal beskyttes, hvilke sårbarheter som finnes, og hvilke konsekvenser en svikt kan få. Leverandører bør på sin side vurdere hvilke sikkerhets- og beredskapsrisikoer egen leveranse, leverandørkjede og driftsmodell kan innebære.

2.     Begrunn hvert sikkerhetstiltak

Oppdragsgivere bør kunne begrunne hvert tiltak i en konkret risiko, en verdi som skal beskyttes eller en beredskapsfunksjon. Dersom begrunnelsen er uklar, bør tiltaket vurderes på nytt. Leverandører bør samtidig være forberedt på å dokumentere hvordan relevante krav oppfylles, og på å forklare hvordan foreslåtte løsninger faktisk reduserer risiko.

3.     Velg riktig anskaffelsesrettslig virkemiddel

Ikke alle sikkerhetstiltak bør reguleres på samme måte. Oppdragsgivere bør vurdere bevisst om risikoen best håndteres gjennom kvalifikasjonskrav, kravspesifikasjon, tildelingskriterier eller kontraktsvilkår. Leverandører bør tilsvarende lese konkurransegrunnlaget med dette for øye og vurdere om kravene er tydelige, saklig begrunnet og praktisk gjennomførbare.

4.     Bruk markedet aktivt

Tidlig markedsdialog kan gi bedre innsikt i hvilke løsninger markedet faktisk kan levere. Det kan bidra til at sikkerhet og beredskap ivaretas uten at konkurransen begrenses mer enn nødvendig. For leverandører er markedsdialogen også en anledning til å synliggjøre realistiske løsninger, begrensninger, alternative leveransemodeller og mulige risikoreduserende tiltak.

Markedsdialogen kan også gi oppdragsgiver bedre innsikt i kritiske leverandør- og verdikjedeavhengigheter og vise hvordan endringer i teknologi, geopolitikk eller leverandørmarkedet kan påvirke risikoen i den konkrete anskaffelsen.

5.     Sikkerhetsarbeidet stopper ikke ved kontraktsinngåelsen

Sikkerhets- og beredskapstiltak har liten verdi dersom de ikke følges opp. Oppdragsgivere bør derfor sørge for at tiltakene dokumenteres, kontrolleres og videreutvikles gjennom hele kontraktsperioden. Leverandører bør på sin side ha rutiner som sikrer etterlevelse over tid, herunder oppfølging av underleverandører, avvikshåndtering og nødvendig rapportering.

Lovendringens betydning vil ikke først og fremst avhenge av de nye lovbestemmelsene i seg selv, men av om de bidrar til at oppdragsgivere og leverandører arbeider mer systematisk med sikkerhets- og beredskapshensyn i praksis.

Når hensynene omsettes til konkrete valg i planleggingen, konkurransegjennomføringen og kontraktsoppfølgingen, kan offentlige anskaffelser bidra til mer stabile leveranser, bedre forsyningssikkerhet og et styrket totalforsvar. Det forutsetter samtidig at vurderingene oppdateres når teknologi, leverandørkjeder og risikobildet endrer seg.