Säkerhetsskyddsavtal (SUA): nivå 1, 2 och 3

Ett säkerhetsskyddsavtal gör leverantören till en del av uppdragsgivarens säkerhetsskydd. Det är också det ögonblick då leverantören själv blir verksamhetsutövare — med egna krav att uppfylla.

Senast avstämd mot gällande författningar 6 september 2026

4 kap. säkerhetsskyddslagen (2018:585)

När avtalet ska tecknas

Ett säkerhetsskyddsavtal ska tecknas när en verksamhetsutövare avser att genomföra en upphandling, ett avtal eller ett annat förfarande som innebär att en leverantör kan få tillgång till säkerhetsskyddsklassificerade uppgifter i klassen konfidentiell eller högre, eller i övrigt kan delta i säkerhetskänslig verksamhet.

Innan förfarandet inleds ska uppdragsgivaren göra en särskild säkerhetsskyddsbedömning och en lämplighetsprövning. I vissa fall ska samråd ske med tillsynsmyndigheten, som kan förelägga om åtgärder och ytterst förbjuda förfarandet.

För dig som leverantör betyder det att kraven kommer i förväg. Ett bolag som inte kan visa ett fungerande säkerhetsskydd riskerar att sorteras bort innan avtalet ens diskuteras.

De tre nivåerna

Nivåindelningen är inte författningstext utan uppdragsgivarens sätt att beskriva uppdragets omfattning. FMV, Försvarsmakten och andra använder samma tre nivåer, och uppdragsgivaren bestämmer nivån i varje enskilt fall.

Nivå	Vad leverantören gör	Vad det kräver av er
Nivå 1	Hanterar och förvarar säkerhetsskyddsklassificerade uppgifter i egna lokaler som uppdragsgivaren godkänt.	Godkända lokaler och förvaring, godkänt informationssystem, egen säkerhetsskyddsorganisation, personal i säkerhetsklass.
Nivå 2	Hanterar säkerhetsskyddsklassificerade uppgifter, men endast i uppdragsgivarens eller anvisade lokaler.	Personal i säkerhetsklass, rutiner för arbete på plats, säkerhetsskyddsorganisation — men ingen egen godkänd förvaring.
Nivå 3	Hanterar inga säkerhetsskyddsklassificerade uppgifter, men deltar i säkerhetskänslig verksamhet.	Registerkontrollerad personal placerad i säkerhetsklass, och rutiner som håller uppgifterna borta från er egen miljö.

Nivå 3 underskattas ofta. Att inget klassificerat material lämnar uppdragsgivaren betyder inte att kraven är små: personalen ska vara prövad, placeringen ska vara dokumenterad och uppföljningen ska ske precis som på övriga nivåer.

Vad avtalet kräver av leverantören

Checklista inför avtalstecknande

SäkerhetsskyddschefUtsedd och direkt underställd verksamhetens chef, med en ställföreträdare som kan träda in.
Egen säkerhetsskyddsanalysEr egen analys av den del av verksamheten som uppdraget omfattar. Uppdragsgivarens analys räcker inte.
SäkerhetsskyddsplanÅtgärder, ansvarig funktion och datum, inklusive de krav avtalet ställer.
Befattningar i säkerhetsklassFörteckning med skäl för varje placering, och prövningar som är klara före deltagandet.
UtbildningGrundutbildning i säkerhetsskydd före deltagande, och repetition med bestämt intervall.
UnderleverantörerAnmälda och godkända, med egna säkerhetsskyddsavtal på plats innan de börjar.
Intern kontrollEn plan för hur ni själva kontrollerar säkerhetsskyddet, och dokumenterade resultat.

Särskilt om uppdrag åt FMV och Försvarsmakten

FMV upprättar säkerhetsskyddsavtal när en upphandling omfattar säkerhetsskyddsklassificerade uppgifter eller ger leverantören tillgång till säkerhetskänslig verksamhet, och avgör i varje enskilt fall vilken avtalsnivå som behövs. Kraven ställs på både huvudleverantör och underleverantör.

Två saker skiljer försvarsmaterielområdet från andra sektorer i praktiken. Uppdragen är långa, vilket gör uppföljningen av prövningar och revideringen av planen till den verkliga arbetsinsatsen. Och leverantörskedjorna är djupa, vilket gör att brister ofta uppstår ett eller två led ned — hos någon som inte uppfattat sig som verksamhetsutövare.

Frågor om säkerhetsskyddsavtal

Vad är ett säkerhetsskyddsavtal?

Ett säkerhetsskyddsavtal är ett avtal mellan en uppdragsgivare och en leverantör som reglerar säkerhetsskyddet i ett uppdrag. Avtalet ska tecknas när en leverantör genom uppdraget får tillgång till säkerhetsskyddsklassificerade uppgifter i klassen konfidentiell eller högre, eller i övrigt deltar i säkerhetskänslig verksamhet. Avtalet kallas ofta SUA, efter säkerhetsskyddad upphandling med säkerhetsskyddsavtal.

Vad innebär nivå 1, 2 och 3?

Nivåerna beskriver var och hur leverantören hanterar uppgifterna. På nivå 1 hanterar och förvarar leverantören säkerhetsskyddsklassificerade uppgifter i egna lokaler som uppdragsgivaren godkänt. På nivå 2 sker hanteringen i uppdragsgivarens lokaler eller i lokaler som uppdragsgivaren anvisar. På nivå 3 hanterar leverantören inga säkerhetsskyddsklassificerade uppgifter, men personalen måste vara registerkontrollerad och placerad i säkerhetsklass. Nivån bestäms av uppdragsgivaren i varje enskilt fall.

Blir vi verksamhetsutövare av att teckna ett säkerhetsskyddsavtal?

Ja, i den delen. En leverantör som genom ett säkerhetsskyddsavtal deltar i säkerhetskänslig verksamhet bedriver själv säkerhetskänslig verksamhet i den delen och omfattas då av säkerhetsskyddslagens krav: egen säkerhetsskyddsanalys, egen säkerhetsskyddschef om det inte är uppenbart obehövligt, och eget säkerhetsskydd i övrigt.

Får vi anlita underleverantörer?

Bara efter uppdragsgivarens medgivande. Leverantören ska anmäla att man avser anlita en underleverantör, och underleverantören måste teckna säkerhetsskyddsavtal innan den får delta. Kedjan av avtal måste hålla hela vägen — ett brutet led i underleverantörskedjan är en av de vanligare bristerna vid tillsyn.

Vad krävs innan avtalet tecknas?

Uppdragsgivaren ska göra en särskild säkerhetsskyddsbedömning och en lämplighetsprövning inför förfarandet, och i vissa fall samråda med tillsynsmyndigheten. Tillsynsmyndigheten kan förelägga om åtgärder och ytterst förbjuda förfarandet om säkerhetsskyddet inte är tillräckligt.

Läs vidare

Källor

Innehållet är en sammanfattning och ersätter inte författningstexten eller tillsynsmyndighetens anvisningar. Stäm av tolkningar med din tillsynsmyndighet.