Säkerhetsskyddsanalys: så gör du den, steg för steg

Analysen är utgångspunkten för allt säkerhetsskyddsarbete. Den avgör vad som ska skyddas, mot vilka hot, och vilka åtgärder som behövs — och den är det enda av dokumenten som lagen uttryckligen kräver.

Senast avstämd mot gällande författningar 6 september 2026

2 kap. 1 § säkerhetsskyddsförordningen (2021:955)

Vad förordningen kräver

Den som till någon del bedriver säkerhetskänslig verksamhet ska utreda behovet av säkerhetsskydd i en säkerhetsskyddsanalys. Analysen ska identifiera vilka säkerhetsskyddsklassificerade uppgifter och vilken i övrigt säkerhetskänslig verksamhet som finns, vilka hot och sårbarheter som är förknippade med dem, och vilka säkerhetsskyddsåtgärder som behövs.

Analysen ska dokumenteras och uppdateras när det behövs, dock minst vartannat år.

2 kap. 1 § säkerhetsskyddsförordningen (2021:955), i sammanfattning

Tvåårsgränsen är ett golv, inte ett schema. Skyldigheten att uppdatera när det behövs är den som styr i praktiken — och den som tillsynen prövar mot när något har förändrats i verksamheten utan att analysen följt med.

Fem steg genom analysen

Säkerhetspolisens vägledning i säkerhetsskyddsanalys beskriver en metod i den här ordningen. Stegen bygger på varandra: hoppar man över beskrivningen av verksamheten blir skyddsvärdena en gissning.

Arbetsgången

1Beskriv verksamhetenVad gör ni, för vem, var och med vilka system? Beskrivningen ska vara konkret nog att någon utanför funktionen förstår vad verksamheten faktiskt består av.
2Identifiera skyddsvärdenVilka uppgifter och vilken verksamhet är av betydelse för Sveriges säkerhet? Här bestäms också vilken informationssäkerhetsklass uppgifterna hör till.
3Bedöm hot och antagonisterVem skulle vilja komma åt, störa eller förstöra, och med vilken förmåga? Hotbilden hämtas från tillsynsmyndighetens och Säkerhetspolisens underlag, inte från egen spekulation.
4Kartlägg sårbarheterVar i verksamheten finns svagheterna — i informationshanteringen, i lokalerna, i personalprocesserna eller hos leverantörer och underleverantörer?
5Bedöm åtgärdsbehovetVilka säkerhetsskyddsåtgärder krävs för att skyddet ska bli tillräckligt? Det är den här slutsatsen som blir ingång till säkerhetsskyddsplanen.

Informationssäkerhetsklasserna

Säkerhetsskyddsklassificerade uppgifter delas in i fyra nivåer efter vilken skada ett röjande skulle kunna medföra för Sveriges säkerhet. Klassificeringen görs i analysen och styr sedan hur uppgiften får hanteras, förvaras och kommuniceras.

Informationssäkerhetsklass	Skada för Sveriges säkerhet vid röjande
Kvalificerat hemlig	Synnerligen allvarlig skada
Hemlig	Allvarlig skada
Konfidentiell	Inte obetydlig skada
Begränsat hemlig	Ringa skada

Nivån har direkta följder. Från konfidentiell och uppåt krävs säkerhetsskyddsavtal innan en leverantör får tillgång till uppgifterna, och deltagande i verksamheten förutsätter placering i säkerhetsklass.

Att hålla analysen aktuell

Analysen är ett levande dokument. Det som utlöser en översyn i praktiken:

Ny eller ändrad säkerhetskänslig verksamhet, till exempel ett nytt uppdrag
Nytt eller ändrat säkerhetsskyddsavtal, egna eller underleverantörers
Byte av lokal, informationssystem eller driftleverantör
Förändrad hotbild enligt tillsynsmyndigheten
Omorganisation som flyttar ansvar mellan funktioner
Att det gått två år sedan senaste kontrollen av aktualiteten

Dokumentera även när ni gått igenom analysen och kommit fram till att den fortfarande gäller. En översyn utan ändring är också en översyn — men bara om den syns.

Frågor om säkerhetsskyddsanalysen

Hur ofta ska säkerhetsskyddsanalysen uppdateras?

Analysen ska dokumenteras och uppdateras vid behov, dock minst vartannat år. Det framgår av 2 kap. 1 § säkerhetsskyddsförordningen (2021:955). Uppdatering vid behov väger tyngre än tvåårsgränsen: en ny lokal, ett nytt informationssystem eller en förändrad hotbild ska leda till översyn direkt, inte vid nästa ordinarie tillfälle.

Vem ska göra säkerhetsskyddsanalysen?

Verksamhetsutövaren ansvarar för analysen. Arbetet leds normalt av säkerhetsskyddschefen men görs tillsammans med dem som känner verksamheten: verksamhetsansvariga, IT, HR och lokalansvarig. En analys som säkerhetsfunktionen gör ensam missar oftast var skyddsvärdena faktiskt finns.

Måste säkerhetsskyddsanalysen klassificeras?

Inte per automatik, men den innehåller ofta uppgifter som gör det. En sammanställning av verksamhetens skyddsvärden, sårbarheter och brister kan i sig vara en säkerhetsskyddsklassificerad uppgift, eftersom ett röjande skulle kunna skada Sveriges säkerhet. Bedöm klassificeringen som en del av analysen och förvara dokumentet därefter.

Vad är skillnaden mot en vanlig riskanalys?

En riskanalys utgår från verksamhetens egna risker och konsekvenser för verksamheten. Säkerhetsskyddsanalysen utgår från Sveriges säkerhet: vad som skulle skada landet om det röjdes, förstördes eller gjordes otillgängligt, och vilken antagonist som skulle vilja åstadkomma det. Analyserna kan komplettera varandra men ersätter inte varandra.

Läs vidare

Källor

Innehållet är en sammanfattning och ersätter inte författningstexten eller tillsynsmyndighetens anvisningar. Stäm av tolkningar med din tillsynsmyndighet.