Vanliga frågor om säkerhetsskydd

Den som till någon del bedriver säkerhetskänslig verksamhet är verksamhetsutövare och omfattas av lagen, oavsett om det är en myndighet, en kommun, en region eller ett privat företag. Säkerhetskänslig verksamhet är verksamhet av betydelse för Sveriges säkerhet, eller verksamhet som omfattas av ett för Sverige förpliktande internationellt åtagande om säkerhetsskydd.

Ja, om ni genom uppdraget deltar i säkerhetskänslig verksamhet eller kan få tillgång till säkerhetsskyddsklassificerade uppgifter. Kravet följer verksamheten, inte avtalskedjans längd. Underleverantören ska anmälas till uppdragsgivaren och teckna eget säkerhetsskyddsavtal innan arbetet påbörjas.

Nej. Nivå 3 innebär att ni inte hanterar säkerhetsskyddsklassificerade uppgifter, men ni deltar i säkerhetskänslig verksamhet. Då gäller lagens krav i den delen: egen säkerhetsskyddsanalys, säkerhetsskyddschef om det inte är uppenbart obehövligt, säkerhetsprövad personal med dokumenterad placering i säkerhetsklass, och uppföljning av prövningarna.

Vid verksamhet som omfattas av lagen ska det finnas en säkerhetsskyddschef, om det inte är uppenbart obehövligt. Undantaget är smalt och ska kunna motiveras. För ett företag med säkerhetsskyddsavtal är utgångspunkten att en säkerhetsskyddschef ska finnas, även om rollen kombineras med andra uppgifter.

Nej. Analysen svarar på vad som ska skyddas, mot vilka hot och vilka åtgärder som behövs. Planen svarar på hur behovet tillgodoses: vilka åtgärder som ska vidtas, när de ska vara på plats och vilken funktion som ansvarar. Analysen är kravet i förordningen; planen är formen Säkerhetspolisens vägledning anvisar för att omsätta den i arbete.

Vid behov, dock minst vartannat år, enligt 2 kap. 1 § säkerhetsskyddsförordningen (2021:955). Uppdatering vid behov väger tyngre i praktiken: ny lokal, nytt informationssystem, nytt uppdrag eller förändrad hotbild ska leda till översyn direkt.

Nej, det finns ingen föreskriven mall. Säkerhetspolisens vägledning i säkerhetsskyddsanalys beskriver metod och innehåll, och uppdragsgivare som FMV har egna förväntningar på struktur. Det avgörande är inte formen utan att varje åtgärd har ansvarig funktion och datum, och att det går att följa vad som gjorts.

Håll planen på öppen nivå så långt det går. Detaljer som skulle skada Sveriges säkerhet om de röjdes hör hemma i det underliggande analysunderlaget, som klassificeras och förvaras därefter. En öppen plan är enklare att arbeta med, revidera och visa upp vid tillsyn.

Grundutredning med kontroll av identitet, betyg och intyg, referenstagning och säkerhetsprövningssamtal. För befattningar i säkerhetsklass tillkommer registerkontroll, och för säkerhetsklass 1 och 2 även särskild personutredning med uppgifter om ekonomi och registerkontroll av make, maka eller sambo.

Inte i den säkerhetskänsliga delen. Säkerhetsprövningen ska vara gjord innan någon genom anställning eller på annat sätt deltar i säkerhetskänslig verksamhet. Personen kan arbeta med uppgifter som ligger utanför, men gränsdragningen måste vara tydlig och dokumenterad.

Löpande, under hela den tid deltagandet pågår. Något fast intervall anges inte i lagen, men uppföljningen ska vara planerad och dokumenterad. Många verksamhetsutövare håller ett återkommande samtal årligen och gör en ny bedömning vid förändrade förhållanden eller byte till högre säkerhetsklass.

Klassen styrs av vilka uppgifter befattningen ger tillgång till och i vilken omfattning. Klass 1 avser kvalificerat hemliga uppgifter i en omfattning som kan medföra synnerligen allvarlig skada. Klass 2 avser kvalificerat hemliga uppgifter i mindre omfattning eller hemliga uppgifter i stor omfattning. Klass 3 avser konfidentiella uppgifter eller hemliga uppgifter i begränsad omfattning. Klass 1 och 2 innebär även särskild personutredning.

Det beror på sektor. Säkerhetspolisen har tillsyn över större delen av civil verksamhet och över enskilda verksamhetsutövare utan annan tillhörighet. Försvarsmakten och Försvarets materielverk har tillsyn inom försvarsområdet. Sektorsmyndigheter som Post- och telestyrelsen, Transportstyrelsen, Finansinspektionen, Strålsäkerhetsmyndigheten och Affärsverket svenska kraftnät ansvarar för sina områden, och länsstyrelserna för kommuner och regioner i länet.

Lägst 25 000 kronor och högst 50 miljoner kronor. För statliga myndigheter, kommuner och regioner är taket 10 miljoner kronor. Vid bedömningen vägs bland annat överträdelsens art och omfattning, om den varit uppsåtlig, vad verksamhetsutövaren gjort för att begränsa verkningarna och tidigare överträdelser.

Sällan att dokumenten saknas. Oftast att de inte hängt med: åtgärder utan ansvarig funktion och datum, en plan som speglar en organisation som inte finns kvar, säkerhetsprövningar som aldrig följts upp efter anställningen, och avsaknad av historik som visar när något faktiskt gjordes.

Säkerhetsskyddsanalysen med datum för senaste översyn, säkerhetsskyddsplanen med fastställandebeslut, förteckningen över befattningar i säkerhetsklass med skäl, prövningarnas status och historik, åtgärdsplanen med ansvar och datum, utbildningsläget, samt resultatet av den interna kontrollen.