Guide till FMV:s process för säkerhetsskyddschefen

Säkerhetsskyddschefen ska vara anställd i företaget och i säkerhetsfrågor lyda direkt under VD — med fullt mandat att fatta säkerhetsskyddsrelaterade beslut och helst en adjungerad plats i ledningsgruppen. VD och säkerhetsskyddschef får inte vara samma person, med undantag för enmansföretag.

• Avtal på nivå 1: säkerhetsskyddsorganisationen ska minst bestå av säkerhetsskyddschef och registrator.
• Avtal på nivå 2 och 3: det räcker med en säkerhetsskyddschef.
• Samtliga befattningshavare i säkerhetsskyddsorganisationen ska vara svenska medborgare.
• Varje befattning ska ha en skriftlig befattningsbeskrivning, godkänd av VD.

Chefen för löpande förteckningar över behörig personal, säkerhetsprövad och klassad personal samt underleverantörers personal — och anmäler utan dröjsmål till FMV Säkerhetsskydd allt som kan påverka säkerhetsskyddet: IT-incidenter, skadade klassificerade försändelser, saknad uppgift, brister hos underleverantör, misstänkt spioneri eller sabotage.

Beställarens säkerhetsskyddskrav för det aktuella uppdraget är utgångspunkten för hela kedjan nedan — utan dem går det inte att avgöra vilka tillgångar som faktiskt behöver skyddas.

1. 1VerksamhetsanalysVilka uppgifter ska lösas, vem ansvarar, och vilken personal, materiel, information och vilka anläggningar krävs för den säkerhetskänsliga verksamheten.
2. 2SäkerhetsskyddsanalysHotbedömning, identifiering och prioritering av säkerhetskänsliga tillgångar, sårbarhets- och konsekvensbedömning — vägs samman till en riskbedömning på en femgradig skala.
3. 3SäkerhetsskyddsplanRiskhanteringsbeslutet omsätts i en tidsatt åtgärds- och ansvarsplan, fastställd av VD.
4. 4SäkerhetsskyddsinstruktionPlanens åtgärder blir konkreta rutiner — vad som görs, hur och av vem. Granskas och godkänns av FMV Säkerhetsskydd, skrivs på svenska och får inte peka ut FMV som beställare.

Planeringen behöver inte göras om från grunden för varje uppdrag om säkerhetsskyddschefen skriftligen bedömer att den fortfarande är aktuell — men ska ses över minst årligen eller vid väsentlig förändring. FMV har rätt att begära in planeringen.

Företagets ledande befattningar placeras alltid i säkerhetsklass när FMV tecknar avtal — FMV Säkerhetsskydd säkerhetsprövar och registerkontrollerar ledningen och avgör i varje enskilt fall vilka befattningar det gäller. Kan ledningen inte klareras kan FMV inte teckna avtalet.

Utöver ledningen gäller kravet säkerhetsskyddsorganisationens egna befattningar (minst säkerhetsskyddschefen) och var och en som ska hantera säkerhetsskyddsklassificerad uppgift eller på annat sätt delta i den säkerhetskänsliga verksamheten.

Klassen — 1, 2 eller 3 — styrs av vilken uppgiftsnivå befattningen ger tillgång till och den skada ett röjande skulle kunna orsaka. I praktiken är det beställarens säkerhetsskyddskrav för uppdraget som anger vilka befattningar som ska klassas och till vilken nivå.

Byter en person till en befattning i en annan säkerhetsklass krävs en ny säkerhetsprövningsintervju och en ny framställan om registerkontroll — ett tidigare godkännande följer inte automatiskt med till den nya klassen.

Kontrollorsaken är texten som förklarar varför en person ska bli behörig och därmed placeras i säkerhetsklass. Den väger samman tre saker: personens faktiska arbetsuppgifter, insynen i den säkerhetskänsliga verksamheten och arbetets omfattning, samt hur stor skada personen skulle kunna orsaka om uppgifter röjs.

Den tas normalt fram av beställarens projektsäkerhetsskyddsansvarige och anges i säkerhetsskyddskraven för uppdraget. En leverantör som anlitar underleverantör kan behöva justera formuleringen tillsammans med beställaren, så att den stämmer med underleverantörens faktiska arbete.

Kontrollorsaken registreras av Säkerhetspolisen vid registerslagningen och är unik för varje uppdrag och befattning — den får aldrig innehålla säkerhetsskyddsklassificerad uppgift. En felaktig eller för vag kontrollorsak kan göra att FMV inte får del av ett eventuellt utfall, vilket gör att varken FMV eller företaget kan ta sitt ansvar.

Grundutredningen — betyg, intyg, referenser och identitetskontroll — kompletteras alltid med ett strukturerat samtal: säkerhetsprövningsintervjun. Den får bara hållas av den som gått FMV:s obligatoriska utbildning för säkerhetsskyddschefer, eller av någon säkerhetsskyddschefen i sin tur utbildat internt — aldrig av en extern part.

Personen som ska prövas informeras i god tid om att prövningen ska ske och vad den innebär. Själva intervjuformuläret får varken lämnas över för egen ifyllning eller skickas i förväg — det är intervjuledaren som fyller i det, under samtalet.

Längre utlandsvistelse eller andra medborgarskap kräver extra eftertanke: i vissa länder går uppgifter inte att verifiera, och Säkerhetspolisen samarbetar inte med alla länders säkerhetstjänster.

Den ifyllda handlingen är skyddsvärd. Förvara den inlåst hos säkerhetsskyddsorganisationen eller personalfunktionen — i personalakten om personen anställs.

1. 1SamtyckeSkriftligt samtycke inhämtas från den som ska kontrolleras — utan samtycke, ingen kontroll.
2. 2Ansökan fylls iBlanketten ”Ansökan om registerkontroll” fylls i digitalt (den skannas av Säkerhetspolisen), med kontrollorsak och rätt säkerhetsklass.
3. 3Underlaget skickas till FMVKopia av intervjun, ansökan och ev. bilagor skickas till FMV Säkerhetsskydd — insändandet räknas som företagets kvittens på en samlad, positiv bedömning.
4. 4FMV gör framställanFMV Säkerhetsskydd beslutar om registerkontroll ska begäras och gör framställan hos Säkerhetspolisen.
5. 5Ev. utfall prövas av SINVid träff i registren går ärendet till Registerkontrolldelegationen vid Säkerhets- och integritetsskyddsnämnden. Personen tillfrågas innan uppgiften lämnas till FMV.
6. 6Intyg utfärdasVid godkännande utfärdar säkerhetsskyddschefen ett intyg om godkänd säkerhetsprövning (giltigt högst ett år) till beställaren.

För säkerhetsklass 1 och 2 tillkommer en särskild personutredning om ekonomi — och i förekommande fall om make, maka eller sambo.

FMV skiljer skarpt mellan vanliga ärenden och skyddsvärt innehåll. Utgångspunkten: uppgifter om en enskild persons ekonomi, familj, bakgrund eller sårbarheter hör aldrig hemma i en vanlig, okrypterad e-post.

Rutinerna för hur underlag ska skickas in kan ändras. Sista ordet är alltid FMV Säkerhetsskydds egen anvisning i det enskilda ärendet — hör av dig innan du skickar något du är osäker på.

Uppföljande säkerhetsprövning ska ske löpande, minst årligen, och helst av samma person som höll den ursprungliga intervjun — gärna i anslutning till medarbetar- eller utvecklingssamtal. Syftet är att fånga nya sårbarheter, inte att bekräfta det gamla beslutet.

När någon varaktigt lämnar den säkerhetskänsliga verksamheten hålls ett avslutande samtal: intryck, eventuella hot, och en påminnelse om att tystnadsplikten gäller även efter att uppdraget är slut.

En säkerhetsincident — allt från intrång och stöld till slarv som exponerat en skyddsvärd tillgång — anmäls skyndsamt. Vid misstanke om brott där dröjsmål kan förstöra bevis görs polisanmälan omgående, parallellt med anmälan till FMV.