Säkerhetsskyddsplan: vad den ska innehålla och hur den hålls aktuell

Säkerhetsskyddsplanen är dokumentet som omsätter säkerhetsskyddsanalysen i arbete. Den svarar på vilka åtgärder som ska vidtas, när de ska vara på plats och vilken funktion som ansvarar för dem.

Senast avstämd mot gällande författningar 6 september 2026

Säkerhetspolisens vägledning i säkerhetsskyddsanalys

Vad en säkerhetsskyddsplan är

En säkerhetsskyddsplan beskriver hur det behov av säkerhetsskyddsåtgärder som säkerhetsskyddsanalysen har identifierat ska tillgodoses: vilka åtgärder som ska vidtas, när de ska vara genomförda och vilken funktion som ansvarar för dem.

Begreppet står inte i författningstexten. Kravet som planen svarar mot gör det. Säkerhetsskyddsanalysen ska dokumenteras och hållas uppdaterad, åtgärderna ska planeras och vidtas med analysen som utgångspunkt, och Säkerhetspolisens föreskrifter om säkerhetsskydd kräver att bedömningar, beslut, planer och åtgärder samt uppföljning dokumenteras. Säkerhetsskyddsplanen är den form Säkerhetspolisens vägledning anvisar för att uppfylla det.

Praktiskt betyder det att planen är verksamhetsutövarens eget styrdokument, inte en blankett till myndigheten. Den skrivs för att arbetet ska bli gjort — och blir därmed också det som visas upp när tillsynen frågar vad ni har gjort.

2 kap. 1 § säkerhetsskyddsförordningen (2021:955)

Skillnaden mot säkerhetsskyddsanalysen

Analysen och planen förväxlas ofta. De besvarar olika frågor och har olika livslängd.

	Säkerhetsskyddsanalys	Säkerhetsskyddsplan
Frågan	Vad ska skyddas, mot vad, och vilka åtgärder behövs?	Hur tillgodoses behovet, när och av vem?
Kravet	Uttryckligt i 2 kap. 1 § säkerhetsskyddsförordningen	Följer av dokumentationskraven och Säkerhetspolisens vägledning
Innehåll	Skyddsvärden, hot, sårbarheter, bedömt åtgärdsbehov	Åtgärder, ansvarig funktion, tidpunkt, uppföljning
Klassificering	Innehåller ofta uppgifter som behöver klassificeras	Bör hållas på öppen nivå så långt det går
Uppdatering	Vid behov, dock minst vartannat år	Löpande, och vid varje väsentlig förändring

Vad planen ska innehålla

Det finns ingen föreskriven mall. Den indelning nedan följer den ordning FMV och andra uppdragsgivare brukar förvänta sig, och är den struktur tjänsten är byggd kring.

Struktur att utgå från

1VerksamhetsbeskrivningVad verksamheten gör, var den bedrivs och vilka delar som är säkerhetskänsliga. Anger också vilken tillsynsmyndighet som gäller och vilka säkerhetsskyddsavtal som finns.
2Säkerhetsskyddsanalysens slutsatserSammanfattning på öppen nivå av vilka skyddsvärden som identifierats och vilket åtgärdsbehov analysen kommit fram till. Själva analysunderlaget ligger kvar där det klassificerats.
3InformationssäkerhetHur säkerhetsskyddsklassificerade uppgifter hanteras, förvaras, kommuniceras och gallras. Vilka informationssystem som får användas och vilka som inte får.
4Fysisk säkerhetTillträdesbegränsning, larm, förvaring, besökshantering och skalskydd för de lokaler där verksamheten bedrivs.
5PersonalsäkerhetBefattningar i säkerhetsklass, säkerhetsprövningsprocessen, uppföljning under anställningen, utbildning och rutin vid avslut.
6ÅtgärdsplanVarje åtgärd med ansvarig funktion, startdatum, måldatum och status. Det är den här delen tillsynen läser noggrannast.
7Plan för kontroll och uppföljningHur säkerhetsskyddet kontrolleras internt, hur ofta, av vem och hur avvikelser tas om hand.

Anpassa efter verksamheten. En mindre leverantör kan slå ihop del 1 och 2 — det viktiga är att varje åtgärd har en ansvarig funktion och ett datum.

2 kap. 7 § säkerhetsskyddslagen (2018:585)

Fastställande och revision

Planen bereds av säkerhetsskyddschefen och fastställs av verksamhetens ledning. Två regler är värda att bygga in i rutinen från början:

En plan fastställs inte halvfärdig. Om en del saknar innehåll är beslutet tomt. Det som fastställs ska vara den text som faktiskt granskats.
En ändrad fastställd del går tillbaka till att vara under revidering. Fastställandet gäller innehållet, inte rubriken. Utan den regeln blir dokumentet formellt godkänt men sakligt inaktuellt — och det är exakt den luckan tillsynen letar efter.

Sätt ett revisionsdatum vid varje fastställande. Tolv månader fram är ett vanligt val: det ligger innanför analysens tvåårsgräns och följer verksamhetsårets rytm.

Fyra brister som återkommer vid tillsyn

Bristerna handlar sällan om att planen saknas. De handlar om avståndet mellan planen och verkligheten.

Åtgärder utan ansvarig funktion. "Ska ses över" utan namngiven funktion och datum är inte en åtgärd, det är en avsikt.
Planen speglar inte den nya organisationen. Efter en omorganisation pekar planen på funktioner som inte finns kvar.
Ingen spårbarhet. Nuläget går att visa, men inte att processen följts över tid. Utan historik går det inte att visa när en åtgärd stängdes eller varför.
Uppföljningen av säkerhetsprövningar har slutat ske. Prövningen gjordes vid anställningen och sedan aldrig mer, trots att den ska följas upp under hela deltagandet.

Frågor om säkerhetsskyddsplanen

Är säkerhetsskyddsplan ett krav i lagen?

Ordet säkerhetsskyddsplan står inte i säkerhetsskyddslagen eller säkerhetsskyddsförordningen. Kravet bakom planen gör det: analysen ska dokumenteras och hållas uppdaterad, åtgärderna ska planeras och vidtas, och Säkerhetspolisens föreskrifter kräver att bedömningar, beslut, planer, åtgärder och uppföljning dokumenteras. Säkerhetsskyddsplanen är den form Säkerhetspolisens vägledning anvisar för att uppfylla det.

Hur lång ska en säkerhetsskyddsplan vara?

Längden styrs av verksamheten, inte av en mall. En mindre leverantör med ett säkerhetsskyddsavtal på nivå 3 kan ha en plan på några sidor. Det avgörande är att varje åtgärd som analysen pekat ut har en ansvarig funktion och ett datum, och att det går att följa vad som faktiskt gjorts.

Vem beslutar om säkerhetsskyddsplanen?

Planen fastställs av verksamhetens ledning, normalt efter beredning av säkerhetsskyddschefen. Säkerhetsskyddschefen leder och samordnar arbetet, men ansvaret för säkerhetsskyddet ligger kvar hos verksamhetsutövaren.

Får säkerhetsskyddsplanen innehålla säkerhetsskyddsklassificerade uppgifter?

Den bör hållas på en öppen nivå så långt det går. Detaljer som skulle skada Sveriges säkerhet om de röjdes — exempelvis exakta sårbarheter eller skyddsvärden i klartext — hör hemma i det underliggande analysunderlaget, som klassificeras och förvaras därefter. En öppen plan är enklare att arbeta med, revidera och visa upp.

Hur ofta ska planen revideras?

Planen följer analysen. Säkerhetsskyddsanalysen ska ses över minst vartannat år, och många verksamhetsutövare väljer att revidera planen årligen så att den ligger i fas med budget- och verksamhetsplanering. Planen ska dessutom revideras när verksamheten förändras väsentligt: ny lokal, nytt informationssystem, nytt säkerhetsskyddsavtal eller förändrad hotbild.

Planen som levande dokument

En plan i ett textdokument åldras tyst. Ingen påminns när revisionsdatumet passerar, ingen ser att en åtgärd blivit försenad, och versionen som visas vid tillsyn är inte alltid den som gällde.

Skyddsplan håller samma struktur som ovan, men med status, datum och historik på varje del. Åtgärder som närmar sig sitt måldatum mejlas till säkerhetsskyddschefen, och varje uttag inför tillsyn fryses så att det går att visa exakt vad som lämnades in. Se hur tjänsten fungerar.

Läs vidare

Källor

Innehållet är en sammanfattning och ersätter inte författningstexten eller tillsynsmyndighetens anvisningar. Stäm av tolkningar med din tillsynsmyndighet.