Handbok för
Säkerhetsskyddad
upphandling med
säkerhetsskyddsavtal

Handbok SUA

Handbok Säkerhetsskyddad upphandling med säkerhetsskyddsavtal (Handbok SUA) 2010 års utgåva (M7739-352025) fastställs för tillämpning fr.o.m. 2010-12-20.

Handboken vänder sig främst till Försvarsmaktens organisationsenheter och de myndigheter över vilka Försvarsmakten har ett tillsynsansvar. Den är en omarbetning av handboken Säkerhetsskyddad upphandling med säkerhetsskyddsavtal (H SÄK SUA) 2000 års utgåva, som utarbetades i samverkan mellan Försvarsmakten och Säkerhetspolisen och riktade sig till båda myndigheternas tillsynsområden.

I samband härmed upphävs Handbok för Säkerhetsskyddad upphandling med säkerhetsskyddsavtal (H SÄK SUA) 2000 års utgåva (M7745-734101).

Beslut i detta ärende har fattats av generalmajor Stefan Kristiansson. I den slutliga handläggningen har kontorschef John Daniels och överstelöjtnant Peter Bengtsson deltagit samt, som föredragande, Birgit Carlsson.

© 2010 Försvarsmakten

Layout: FMLOG APSA Grafisk Produktion, Stockholm.

Illustrationer: Anna Svanberg MUST

Tryck: FMLOG APSA Grafisk Produktion, Stockholm

M7739-352025

Central lagerhållning: Försvarets Bok- och blankettförråd

Förord

Denna handbok beskriver säkerhetsskyddsarbetet vid nationell upphandling. Processen benämns säkerhetsskyddad upphandling med säkerhetsskyddsavtal, SUA.

För verksamhet där säkerhetsskyddslagen gäller ska det säkerhetsskydd finnas som behövs med hänsyn till verksamhetens art, omfattning och övriga omständigheter.

När uppgifter, som är hemliga för att skydda rikets säkerhet, förekommer i samband med upphandling krävs ett säkerhetsskyddsavtal. Syftet med detta är att reglera de säkerhetsskyddsåtgärder som uppdraget kräver. Nivån på säkerhetsskyddet ska motsvara den som myndigheten är skyldig att uppfylla.

Ansvaret för säkerhetsskyddet har alltid den som är verksamhetsansvarig oavsett om den skyddsvärda uppgiften löses av egen organisation eller genom köpt tjänst.

Handbokens syfte är att vara ett stöd för det praktiska säkerhetsskyddsarbetet och för utbildning inom området säkerhetsskyddad upphandling som kräver säkerhetsskyddsavtal.

En väl skött SUA-process med säkerhetsmedvetna parter är ett bra infiltrationsskydd.

Innehåll

Handbok SUA

1 Inledning

1.1 Allmänt

1.2 Regelverk

1.3 Begreppsförklaringar

2 Offentlig upphandling

2.1 Allmänt

2.2 Upphandlingar som rör rikets säkerhet och försvarsupphandlingar

2.3 Upphandlingsprocessen

3 Säkerhetsskydd

3.1 Grunder

3.2 Säkerhetsskyddsavtal

3.3 Skyddsåtgärder och deras syfte

3.3.1 Informationssäkerhet

3.3.2 Tillträdesbegränsning

3.3.3 Säkerhetsprövning

3.3.4 Intern utbildning och kontroll

3.3.5 Tillsyn av leverantörer

4 SUA-processen

4.1 Planering

4.2 SUA-upphandling, förfrågningsunderlaget ej hemligt

4.2.1 Översiktsbild hur upphandlingen genomförs

4.2.2 Kronologisk åtgärdslista vid SUA, förfrågningsunderlaget ej hemligt

4.3 SUA-upphandling, förfrågningsunderlaget är hemligt

4.3.1 Översiktsbild hur upphandlingen genomförs

4.3.2 Kronologisk åtgärdslista vid en SUA, förfrågningsunderlaget är hemligt

4.4 Säkerhetsanalys och säkerhetsplan

4.5 Säkerhetsskyddsavtal med anbudsgivare ochleverantörer

4.6 Säkerhetsskyddsinstruktion

4.7 Underrättelse till Säkerhetspolisen

4.8 Säkerhetsprövning av ledning och styrelser

4.8.1 Förbindelse om sekretess, sekretessbevis

4.9 Förstagångsbesök

4.10 Affärsavtal

4.11 Säkerhetsprövning av övriga i uppdraget

4.12 Utbildning

4.13 Tillsyn, uppföljning och kontroll

4.14 SUA-upphandlingens avslutande

4.15 Säkerhetsrapportering

Bilaga 1.1 Exempel på säkerhetsskyddsavtal nivå 1 med villkorsbilaga (företaget utför uppdraget i egna lokaler)

Bilaga 1.2 Exempel på säkerhetsskyddsavtal nivå 2 (företaget hanterar och förvarar hemliga uppgifter enbart i av beställande myndighet anvisad och godkänd lokal)

Bilaga 1.3 Exempel på säkerhetsskyddsavtal nivå 3 med villkorsbilaga (företaget kan komma att få del av hemliga uppgifter)

Bilaga 1.4 Exempel på villkorsbilaga till säkerhetsskyddsavtal avseende informationssäkerhet i IT-miljö

Bilaga 2 Mall för säkerhetsprövning

Bilaga 3 Blankett SUA-underlag/Förstagångsbesök

Bilaga 4 Exempel på sekretessbevis SUA

Bilaga 5 Exempel på disposition av säkerhetsskyddsinstruktion

Bilaga 6 Exempel på säkerhetsskydds-instruktion

Bilaga 7 Lathund för kontroll/ tillsyn av ett företag med säkerhetsskyddsavtal nivå 1

Sökregister

1 Inledning

1.1 Allmänt

För verksamhet där säkerhetsskyddslagen (1996:627) gäller ska det säkerhetsskydd finnas som behövs med hänsyn till verksamhetens art, omfattning och övriga omständigheter. Ansvaret för säkerhetsskyddet ligger hos den som är verksamhetsansvarig.

I lagen (2007:1091) om offentlig upphandling (klassiska sektorn) respektive lagen (2007:1092) om upphandling inom områdena vatten, energi, transporter och posttjänster (försörjningssektorn) regleras hur en upphandling ska genomföras. Säkerhetsskyddet vid en upphandling måste tillgodoses samtidigt som upphandlingslagstiftningen tillämpas korrekt . Detta uppnås genom att säkerhetsskyddskraven specificeras i förfrågningsunderlaget.

För att tillgodose kravet på säkerhetsskydd vid anbudsinfordran - eller i kontrakt om upphandling - där det förekommer uppgifter, som med hänsyn till rikets säkerhet omfattas av sekretess ska uppdragsgivande myndighet träffa ett skriftligt avtal (säkerhetsskyddsavtal) med anbudsgivaren eller leverantören om det säkerhetsskydd som behövs i det enskilda fallet. Detta avtal ska tecknas innan kontraktet ingås.

Vid förhandling om säkerhetsskyddsavtal ska myndighetens säkerhetsskyddschef eller annan säkerhetsansvarig medverka. Processen benämns säkerhetsskyddad upphandling med säkerhetsskyddsavtal, som hädanefter i texten benämns SUA. Säkerhetsskyddad upphandling får inte utnyttjas i konkurrensbegränsande eller annat diskriminerande syfte.

1.2 Regelverk

Handboken beskriver endast upphandlingar där anbudsgivaren eller leverantören har sitt säte i Sverige, d.v.s. då svensk lag gäller. Säkerhetsskyddad upphandling med företag som har sitt säte utanför Sverige kräver en internationell överenskommelse om tillämpningen av respektive lands säkerhetsskyddslagstiftning. Med ett så kallat generellt säkerhetsskyddsavtal, GSA, som grund tecknas säkerhetsskyddsavtal för ett specifikt upphandlingsuppdrag. Regeringstillstånd krävs som huvudregel för att lämna ut hemliga uppgifter till annat land.

Följande bestämmelser ligger till grund för SUA:

• Säkerhetsskyddslagen (1996:627); SäkL

• Offentlighets- och sekretesslag (2009:400); OSL

• Lagen (2007:1091) om offentlig upphandling; LOU (klassiska sektorn)

• Lagen (2007:1092) om upphandling inom områdena vatten, energi, transporter och posttjänster; LUF (försörjningssektorn)

• Säkerhetsskyddsförordningen (1996:633); SäkF

• Offentlighets- och sekretessförordningen (2009:641); OSF

• Försvarsmaktens föreskrifter (FFS 2003:7) om säkerhetsskydd

• Rikspolisstyrelsens föreskrifter (RPSFS 2010:03) och allmänna råd om säkerhetsskydd; 8 kap. Registerkontroll

• Handbok för Försvarsmaktens säkerhetsskyddstjänst, Sekretessbedömning (H SÄK Sekrbed 1999) med undantag av kap 1 och 20, samt bilagorna 1 och 2.

• Handbok för Sekretessbedömning (Handbok Sekrbed del A 2010)

• Handbok för Försvarsmaktens säkerhetstjänst – Hotbedömning (H Säk Hot 2006)

• Handbok för Försvarsmaktens säkerhetstjänst - Säkerhetsskydd (H SÄK Skydd 2007)

Härutöver gäller för Försvarsmakten:

• Försvarsmaktens interna bestämmelser (FIB 2007:2) om säkerhetsskydd och skydd av viss materiel (senast ändrad genom FIB 2010:1)

Ytterligare information om upphandling finns i Upphandlingsreglerna, en introduktion (Konkurrensverket 2008, www.kkv.se)

Där det i denna handbok står myndighet avser detta för Försvarsmaktens del chef för organisationsenhet. Chef för organisationsenhet är ett samlingsbegrepp för chefer för förband, skolor, staber, centra m.fl.

1.3 Begreppsförklaringar

Nedanstående begrepp används enligt följande förklaringar i denna handbok. Observera att begreppen kan definieras på annat sätt i andra sammanhang.

Beställande myndighet

Statliga myndigheter, kommuner eller landsting som själva tar initiativ till genomför eller påbörjar en säkerhetsskyddad upphandling. Beställande myndighet är även den som efter ett uppdrag fullföljer av annan beställande myndighet påbörjat uppdrag och som ska teckna säkerhetsskyddsavtal om sådant uppdrag.

Direktupphandling
(LOU 2 kap. 23 §)

En upphandlingsform utan krav på anbud i viss form.

Förenklat förfarande
(LOU 2 kap. 24 §)

En upphandlingsform där alla leverantörer har rätt att delta, deltagande leverantörer skall lämna anbud och den upphandlande myndigheten får förhandla med en eller flera anbudsgivare.

Företagshemligheter

Sekretess, på ett företags begäran, hos myndighet avseende uppgift om företagets affärs- och driftförhållande. Se 31 kap. 16 -19 § § offentlighets- och sekretesslagen (2009:400).

Förfrågningsunderlag
(LOU 2 kap. 8 §)

Det skriftliga underlag för anbud som en upphandlande myndighet/enhet tillhandahåller en leverantör.

Förstagångsbesök

Ett besök av beställande myndighet hos en utvald leverantör i syfte att förvissa sig om att leverantören är lämplig, från säkerhetsskyddssynpunkt, att hantera eller förvara hemliga uppgifter i egna lokaler. Beställande myndighet ska upprätta ett protokoll över vad som från säkerhetsskyddssynpunkt framkommit och iakttagits vid besöket.

Hemlig uppgift
Definition enligt Handbok
SUA

Uppgift som omfattas av sekretess enligt offentlighets- och sekretesslagen (2009:400) och som rör rikets säkerhet (15 kap. 1-2 § § samt 18 kap. 1-4 och 8-14 § §).

IT-säkerhet

Säkerhet relaterad till informationsteknologi som utgör en viktig del av informationssäkerheten. IT-säkerhet kan tekniskt indelas i datasäkerhet och kommunikationssäkerhet.

Konkurrenspräglad dialog
(LOU 2 kap. 9 b §)

Ett upphandlingsförfarande som varje leverantör kan begära att få delta i och där den upphandlande myndigheten för en dialog med de anbudssökande som har bjudits in att delta.

Kontrakt (affärsavtal)
(LOU 2 kap. 10 §)

Ett skriftligt avtal med ekonomiska villkor som

1. sluts mellan en eller flera upphandlande myndigheter och en eller flera leverantörer

2. avser utförande av byggnadsentreprenad, leverans av varor eller tillhandahållande av tjänster, och

3.undertecknas av parterna eller signeras av dem med en elektronisk signatur.

Kontrollplan

En tidsplan för genomförande av intern kontroll, inklusive SUA-företag, av säkerhetsskyddet.

Leverantör

Företag (aktie-, handels- eller kommanditbolag, ekonomisk förening eller enskild firma) eller tillhörande filial, region- eller lokalkontor, eller organisation som en beställande myndighet avser att anlita för att utföra leverans eller uppdrag som kräver SUA.

Leverantör med sitt säte i utlandet

Som ovan men med sitt säte i annat land än Sverige. För att svensk lag ska gälla måste ett företag ha sitt säte i Sverige. SUA med leverantör med sitt säte i utlandet förutsätter ett internationellt avtal där berörda länder är överens om gemensamma säkerhetsskyddsregler. Med detta avtal som grund görs en säkerhetsskyddsöverenskommelse utifrån uppdragets krav. I Sverige är det regeringen som beslutar om att uppgift, som är sekretessbelagd med hänsyn till rikets säkerhet, får lämnas till annat land.

Offentlig upphandling
(LOU 2 kap. 13 §)

De åtgärder som vidtas av en upphandlande myndighet i syfte att tilldela ett kontrakt (affärsavtal) eller ingå ett ramavtal avseende varor, tjänster eller byggentreprenader enligt LOU (2007:1091) och LUF (2007:1092).

Ramavtal
(LOU 2 kap. 15 §)

Ett avtal som ingås mellan en eller flera upphandlande myndigheter och en eller flera leverantörer i syfte att fastställa villkoren för senare tilldelning av kontrakt under en given tidsperiod.

Sekretess

Bestämmelser om tystnadsplikt i det allmännas verksamhet och om förbud att lämna ut allmänna handlingar, d.v.s. en begränsning av den i tryckfrihetsförordningen stadgade rätten att ta del av allmänna handlingar. Bestämmelserna avser förbud att röja uppgift vare sig det sker muntligt, eller att allmänna handlingar lämnas ut, eller att det sker på annat sätt. Se offentlighets- och sekretesslagen (2009:400).

SUA

Säkerhetsskyddad upphandling med säkerhetsskyddsavtal.

SUA-arbete

Uppdrag som med hänsyn till rikets säkerhet ska hållas hemligt i enlighet med det säkerhetsskyddsavtal som tecknats mellan den beställande myndigheten och uppdragstagaren.

SUA-företag

Ett företag som tecknat säkerhetsskyddsavtal med en beställande myndighet för att svara på ett anbud eller för att utföra ett visst uppdrag, som med hänsyn till rikets säkerhet ska hållas hemligt.

Säkerhetsplan

Säkerhetsplanen är en direkt fortsättning av säkerhetsanalysen och syftar till att reglera hur vi ska skydda tillgångarna mot säkerhetshoten för att få nödvändig skyddsnivå. Säkerhetsplanen är en konkret handlingsplan som ska säkerställa att besluten om skyddsåtgärder verkligen genomförs.

Säkerhetsskyddsavtal

Ett skriftligt avtal mellan beställande myndighet och anbudsgivare eller leverantör som reglerar vilka säkerhetsskyddsåtgärder (informationssäkerhet inklusive IT-säkerhet, tillträdesbegränsning, säkerhetsprövning samt utbildning och kontroll) som bedöms som nödvändiga för den enskilda upphandlingen.

Säkerhetsskyddsinstruktion

Av leverantören upprättade bestämmelser eller arbetsordning för hur säkerhetsskyddet med hänsyn till kontrakterat SUA-uppdrag ska bedrivas inom företaget. Säkerhetsskyddsinstruktionen och förändringar i den ska alltid godkännas av den beställande myndigheten. Beställande myndighet bör tillhandahålla ett underlag för utarbetande av instruktionen.

Upphandlande enhet
Definition enligt LUF

Begrepp som används i LUF (2007:1092) för dem som bedriver verksamhet inom områdena vatten-, energi-, transport- och posttjänster.

Upphandlande myndighet
( LOU 2 kap. 19 §)

Begrepp som används i LOU (2007:1091) för dem som upphandlar. Dessa är bl.a. statliga och kommunala och andra myndigheter.

Upphandlingssekretess

En absolut sekretess som innebär att uppgifter ur anbudsansökningar och anbud inte får lämnas ut under upphandlingsprocessen till annan än den som lämnat anbudet eller ansökan. Se kap. 19 § 3 offentlighets- och sekretesslagen (2009:400).

Urvalsförfarande
(LOU 2 kap. 25 §)

En upphandlingsform där alla leverantörer har rätt att ansöka om att få lämna anbud. Den upphandlande myndigheten inbjuder vissa leverantörer att lämna anbud och den upphandlande myndigheten får förhandla med en eller flera anbudsgivare.

2 Offentlig upphandling

2.1 Allmänt

Med offentlig upphandling avses de åtgärder som vidtas av en upphandlande myndighet för att tilldela kontrakt (affärsavtal) eller ingå ramavtal avseende varor, tjänster eller byggentreprenader. Med ramavtal avses ett avtal som ingås mellan en eller flera upphandlande myndigheter och en eller flera leverantörer för att fastställa villkoren för senare tilldelning av kontrakt (affärsavtal) under en given tidsperiod.

Upphandling inom försörjningssektorerna kallas inte offentlig, utan enbart ”upphandling”, eftersom även privata organ kan vara upphandlande enheter inom dessa sektorer. När man talar om offentlig upphandling görs emellertid inte alltid denna åtskillnad utan offentlig upphandling kan i dagligt tal omfatta såväl upphandling inom den klassiska sektorn som försörjningssektorerna. Lagen (2007:1091) om offentlig upphandling (LOU), den klassiska sektorn, tillsammans med lagen (2007:1092) om upphandling inom områdena vatten, energi, transporter och posttjänster (LUF), försörjningssektorerna, reglerar vår offentliga upphandling. Lagarna bygger på EU-direktiv frånsett kap. 15 som utgör våra nationella bestämmelser.

De som omfattas av definitionen i LOU benämns upphandlande myndigheter. De som omfattas av definitionen i LUF benämns upphandlande enheter. I begreppet upphandlande enhet ingår upphandlande myndighet.

2.2 Upphandlingar som rör rikets säkerhet och försvarsupphandlingar

Upphandling som omfattas av sekretess, eller andra särskilda begränsningar med hänsyn till rikets säkerhet, samt upphandlingar av försvarsprodukter och tjänster som inte har civil användning regleras av 15 kap. LOU respektive 15 kap. LUF oavsett ekonomiskt värde. Dessa kapitel reglerar områden som är undantagna från EU-direktiven. Regeringen kan besluta undantag från bestämmelserna för sådan upphandling med hänsyn till försvars- eller säkerhetspolitiska intressen. Försvarsmakten, Försvarets materielverk, Försvarets radioanstalt och Säkerhetspolisen får med stöd av LOU besluta om vissa undantag.

Upphandlingsformer som är aktuella när kapitel 15 tillämpas är antingen förenklat förfarande eller urvalsförfarande.

Direktupphandling får användas om kontraktets värde uppgår till högst 15 procent av gällande tröskelvärde eller om det finns synnerliga skäl. Tröskelvärdet är en beloppsgräns som gäller för flertalet av upphandlingsformerna som regleras i den direktivstyrda delen av upphandlingslagstiftningen. Europeiska gemenskapernas kommission beslutar eller lämnar meddelande om dessa belopp. Regeringen tillkännager i Svensk författningssamling tröskelvärdena i euro och svenska kronor varje gång de ändras.

Konkurrenspräglad dialog får, under omständigheter, användas om inte förenklat förfarande eller urvalsförfarande medger tilldelning av kontrakt.

2.3 Upphandlingsprocessen

En offentlig upphandling inleds med att man identifierar ett behov och gör en analys av hur behovet kan tillgodoses. Man sammanställer ett förfrågningsunderlag. Förfrågningsunderlaget är det underlag för anbud som en upphandlande myndighet tillhandahåller leverantören inför en upphandling.

Det är viktigt att den upphandlande myndigheten noggrant formulerar förfrågningsunderlaget så att det blir fullständigt och tydligt, eftersom detta som huvudregel inte får ändras under upphandlingens gång. Förfrågningsunderlaget ska innehålla uppgifter om säkerhetsskyddskrav.

Om en upphandlande myndighet under upphandlingen - av skilda skäl - finner det nödvändigt att väsentligen ändra kraven, måste upphandlingen normalt göras om från början. Att avbryta en upphandling kan medföra kostnader för leverantörerna och får endast göras om sakliga skäl finns.

3 Säkerhetsskydd

3.1 Grunder

Säkerhetsskyddet ska förebygga

1. att uppgifter som omfattas av sekretess och som rör rikets säkerhet obehörigen röjs, ändras eller förstörs (informationssäkerhet)

2. att obehöriga får tillträde till platser där de kan få tillgång till uppgifter som avses i eller där verksamhet som har betydelse för rikets säkerhet bedrivs (tillträdesbegränsning), och

3. att personer som inte är pålitliga från säkerhetsskyddssynpunkt deltar i verksamhet som har betydelse för rikets säkerhet (säkerhetsprövning).

Säkerhetsskyddet ska även i övrigt förebygga terrorism

7 § säkerhetsskyddslagen

Med säkerhetsskydd avses skydd mot spioneri och andra brott mot rikets säkerhet. Uppgifter som omfattas av sekretess med hänsyn till rikets säkerhet ska skyddas så att de inte obehörigen eller av oaktsamhet röjs, ändras eller förstörs. Brottslig verksamhet som innebär användning av våld, hot eller tvång för politiska syften (terrorism) ska förebyggas även om verksamheten inte kan sägas beröra rikets säkerhet.

De myndigheter som bedriver verksamhet som omfattas av säkerhetsskyddslagstiftningen ska se till att verksamheten har tillräckligt säkerhetsskydd. Nivån på säkerhetsskyddet bestäms med hänsyn till verksamhetens art, omfattning och övriga omständigheter.

Skyddsvärda resurser kopplat till hot, risk och sårbarhet ska regelbundet inventeras i en s.k. säkerhetsanalys, enligt 5 § säkerhetsskyddsförordningen.

3.2 Säkerhetsskyddsavtal

Säkerhetsskyddsavtal

När staten avser att begära in anbud eller träffa avtal om upphandling där det förekommer uppgifter som med hänsyn till rikets säkerhet omfattas av sekretess, skall staten träffa ett skriftligt avtal (säkerhetsskyddsavtal) med anbudsgivaren eller leverantören om det säkerhetsskydd som behövs i det särskilda fallet. Detsamma gäller för kommuner och landsting.

Om säkerhetsskyddslagen gäller för anbudsgivaren eller leverantören på grund av 1 § 2 eller 3, kan anbudsgivarens eller leverantörens skyldigheter enligt lagen inte göras mindre långtgående genom villkoren i säkerhetsskyddsavtalet.

8 § säkerhetsskyddslagen

Myndighet som vill begära in anbud eller genomföra en upphandling måste ta ställning till om det, i den verksamheten som anbudet eller upphandlingen avser, förekommer uppgifter som omfattas av sekretess som har betydelse för rikets säkerhet. Om myndigheten gör bedömningen att så är fallet, ska den se till att ett tillfredsställande säkerhetsskydd anordnas vid arbetets eller tjänstens utförande. Säkerhetsskyddet ska regleras i ett särskilt avtal - säkerhetsskyddsavtal.

Ett företag, enskilt eller offentligt, som vill konkurrera om ett kontrakt måste acceptera beställande myndighets uppfattning att ett säkerhetsskyddsavtal krävs. I säkerhetsskyddsavtalet bestäms vad som ska gälla för att säkerhetsskyddet ska motsvara den nivå som lagen kräver för verksamheten, d.v.s. säkerhetsskyddet anpassas till behovet. Ett säkerhetsskyddsavtal innebär således inte att säkerhetsskyddslagen blir tillämplig på den (det företag) som lämnar anbud eller genomför en upphandling.

Om anbudslämnaren eller leverantören omfattas av säkerhetsskyddslagen exempelvis p.g.a. att denne bedriver verksamhet av betydelse för rikets säkerhet, kan i lagen föreskrivna skyldighet inte inskränkas genom ett säkerhetsskyddsavtal. Oavsett sådant förhållande är det viktigt att myndigheten träffar avtal med anbudsgivaren eller leverantören vari skyddet preciseras till vad som krävs för den aktuella upphandlingen.

En leverantör som är bunden av ett säkerhetsskyddsavtal är skyldig att se till att även hans underleverantörer tecknar ett säkerhetsskyddsavtal. Ett sådant avtal ska träffas mellan den beställande myndigheten och underleverantören. Det är alltid den beställande myndigheten som tecknar säkerhetsskyddsavtalet, aldrig en huvudleverantör med en underleverantör.

Säkerhetsskyddsavtalen kan indelas i tre nivåer med hänsyn till var uppdraget ska genomföras.

Nivå 1 = Leverantören kommer att hantera och förvara hemliga uppgifter i sina egna lokaler.

Nivå 2 = Leverantören kommer att hantera och förvara hemliga uppgifter enbart i godkänd lokal, som anvisas av beställande myndighet.

Nivå 3 = Leverantören kan komma att få del av hemliga uppgifter.

Bilaga 1.1 Exempel på Säkerhetsskyddsavtal nivå 1

Bilaga 1.2 Exempel på Säkerhetsskyddsavtal nivå 2

Bilaga 1.3 Exempel på Säkerhetsskyddsavtal nivå 3

Bilaga 1.4 Exempel på IT-säkerhetsskyddsavtal

3.3 Skyddsåtgärder och deras syfte

Skyddsåtgärderna är: Informationssäkerhet inkluderande IT-säkerhet, tillträdesbegränsning, säkerhetsprövning samt utbildning och kontroll. Innebörden beskrivs nedan. Läsanvisningar ges genomgående till H SÄK SKYDD motsvarande avsnitt.

3.3.1 Informationssäkerhet

Läsanvisning

Kap. 2 och 7 FFS 2003:7

Kap. 3 H SÄK Skydd

3.3.2 Tillträdesbegränsning

Läsanvisning

Kap. 3 FFS 2003:7

Kap. 5 H SÄK Skydd

3.3.3 Säkerhetsprövning

Säkerhetsprövning vid SUA

Innan en myndighet får lämna ut hemliga uppgifter till företaget ska myndigheten göra en säkerhetsprövning, och i de fall det krävs även göra en registerkontroll av företagets ledning, styrelseledamöter och anställda som kan antas komma att få del av hemliga uppgifter. Säkerhetsskyddsavtalet måste träffas innan registerkontroll får genomföras. Säkerhetsprövningen i övrigt, d.v.s. den allmänna bedömningen av företagets lämplighet, bör ha gjorts innan säkerhetsskyddsavtalet ingås.

Förändringar i styrelse, ledning eller bland övriga anställda ska alltid resultera i en ny säkerhetsprövning. En framställan om registerkontroll ska göras på de formulär som beskrivs i 8 kap. 2 § RPSFS 2010:03. Blanketter finns på Säkerhetspolisens webbplats, www.sakerhetspolisen.se.

Anbudsgivare eller leverantör ska bifoga ett registreringsbevis från Bolagsverket tillsammans med underlaget för registerkontroll. Registreringsbeviset ska vara aktuellt och inte äldre än tre månader.

Uppgifter som kommer fram vid registerkontrollen kan utlämnas om de har betydelse för uppdraget som personen ska delta i. Registerkontrolldelegationen, som är en del av Säkerhets- och integritetsskyddsnämnden, beslutar om utlämnande av uppgifter i varje enskilt ärende. Uppgifterna lämnas i så fall enbart ut till den myndighet som har beslutat om registerkontrollen.

Den myndighet som har beslutat om registerkontroll bestämmer i vilken omfattning som den som kontrollerats får användas i uppdraget. Utlämnade uppgifter bör normalt inte delges arbetsgivaren. En myndighet kan emellertid ha behov av att samråda med arbetsgivaren för att få ytterligare underlag för bedömningen av den anställdes pålitlighet från säkerhetssynpunkt eller då beslut efter registerkontroll ska meddelas. Uppgifterna ska hanteras med stor varsamhet och endast delges företagets säkerhetsskyddsansvarig och övrig som absolut behöver uppgifterna.

Det finns inga hinder i säkerhetsskyddslagen mot att använda en utländsk medborgare i SUA-uppdrag. Särskild hänsyn bör dock tas till svårigheten att genomföra en adekvat och trovärdig säkerhetsprövning. Normalt bör det ställas högre krav på referenstagningen för utländska medborgare. Detsamma bör gälla för svenska medborgare som har vistats en längre tid utomlands.

Läsanvisning

11-13, 17-19, 29 § § SäkL

14, 18-19, 38 § § SäkF

Kap. 4 FFS 2003:7

Kap. 8 RPSFS 2010:03

Kap. 6 H SÄK Skydd

3.3.4 Intern utbildning och kontroll

Intern utbildning och kontroll

Myndigheter och andra som lagen gäller för skall se till

1. att personalen får utbildning i frågor om säkerhetsskydd, och
2. att säkerhetsskyddet kontrolleras

30 § säkerhetsskyddslagen

En grundläggande förutsättning för ett effektivt säkerhetsskydd är att all personal får utbildning i frågor om säkerhetsskydd. Utbildningen syftar främst till att klargöra varför och hur man skall vidta skyddsåtgärder mot hot av olika slag. Utbildningen bör genomföras så att det skapas en positiv och aktiv inställning till säkerhetsskydd samt ett ökat säkerhetsmedvetande hos målgruppen.

Vid varje myndighet ska det finnas en plan för utbildning i säkerhetsskydd. Denna plan ska även omfatta utbildningen för myndighetens SUA-företag. En förteckning ska föras, företagsvis, över personal som har genomgått utbildning i säkerhetsskydd .

Vid varje myndighet ska det dessutom finnas en plan för intern kontroll av säkerhetsskyddet. Denna plan ska även omfatta kontroll av myndighetens SUA-företag. Myndigheten ska föra protokoll över varje kontroll. Protokollen ska förvaras samlade hos myndigheten.

Läsanvisning

Kap. 5-6 FFS 2003:7

Kap. 9 H SÄK Skydd

3.3.5 Tillsyn av leverantörer

Tillsyn

Den som regeringen bestämmer skall kontrollera säkerhetsskyddet hos myndigheter och andra som lagen gäller för samt för anbudsgivare och leverantörer som har träffat ett säkerhetsskyddsavtal.

Därutöver skall staten, kommuner och landsting se till att det finns ett tillfredsställande säkerhetsskydd hos aktiebolag, handelsbolag, föreningar och stiftelser över vilka de utövar ett rättsligt bestämmande inflytande samt hos anbudsgivare och leverantörer med vilka de har träffat säkerhetsskyddsavtal.

31 § säkerhetsskyddslagen

.

Säkerhetsskyddet hos anbudsgivare och leverantörer som har träffat säkerhetsskyddsavtal enligt 8 § första stycket säkerhetsskyddslagen (1996:627) skall kontrolleras av den avtalsslutande myndigheten.

41 § säkerhetsskyddsförordningen

Enligt 41-42 § § SäkF ska kontroll av säkerhetsskyddet hos leverantören utföras av beställande myndighet. Kontrollen kan även genomföras av Säkerhetspolisen eller Försvarsmakten efter samråd med den beställande myndigheten.

Läsanvisning

Kap. 6 FFS 2003:7

Kap. 9 H SÄK Skydd

4 SUA-processen

I kapitlet redovisas i flödesscheman två olika upphandlingsförfarande där säkerhetsskydd krävs. I det första fallet, (4.2) innehåller förfrågningsunderlaget ingen hemlig information. I det andra fallet, (4.3) innehåller förfrågningsunderlaget hemlig information, vilket innebär krav på säkerhetsskyddsavtal innan anbudslämnare kan få del av detta underlag.

4.1 Planering

Anskaffningsplanering/Budgetering

Myndighetens säkerhetsskyddsansvarige bör tillsammans med ansvarig chef medverka i anskaffningsplaneringen. Genom att från säkerhetsskyddssynpunkt granska myndighetens anskaffningsplan får man en förhandsinformation om var säkerhetsskydd kan komma att behövas. Om behov av SUA visar sig bör detta införas som en handlingsregel i anskaffningsplanen. På detta sätt kan beslutade SUA säkerhetsplaneras och förberedas i god tid. Den säkerhetsskyddsansvariges medverkan i anskaffningsplanering regleras lämpligen i myndighetens arbetsordning.

Upphandlingsfunktionen bör samverka med säkerhetsskyddsansvariga om upphandlingar som ligger utanför fastställd anskaffningsplan och där det förekommer hemliga uppgifter.

Upphandling

All SUA ska bedrivas i samverkan mellan säkerhetsskydds- och upphandlingsansvariga. Kravspecifikation avseende upphandlingen, inklusive specificerade säkerhetsskyddskrav, ska lämnas till upphandlingsfunktionen.

Upphandling ska genomföras med stöd av 15 kap. LOU (2007:1091) alternativt 15 kap. LUF (2007:1092). Vid SUA med hemligt förfrågningsunderlag är det lämpligt att använda upphandlingsformen urvalsupphandling. Denna upphandlingsform underlättar arbetet med att göra anbudsgivarna behöriga att få ta del av det hemliga förfrågningsunderlaget.

4.2 SUA-upphandling, förfrågningsunderlaget ej hemligt

4.2.1 Översiktsbild hur upphandlingen genomförs

4.2.2 Kronologisk åtgärdslista vid SUA, förfrågningsunderlaget ej hemligt

En beställande myndighet ska:

1. planera och fastställa aktuellt upphandlingsbehov.

2. genomföra en säkerhetsanalys, d.v.s. pröva om det krävs säkerhetsskydd av det aktuella anbudet eller den enskilda upphandlingen.

3. upprätta en säkerhetsplan (se kap 4.4).

4. lämna kravspecifikation, inklusive specificerade säkerhetsskyddskrav, för upphandlingen till Upphandlingsfunktionen, som tar fram dokumentet förfrågningsunderlag. (Se kap. 2).

5. välja leverantör bland inlämnade anbud efter anbudstidens slut. Upphandlingsfunktionen inom myndigheten ansvarar för detta. Innan upphandlingskontrakt tecknas, ska beställaren teckna säkerhetsskyddsavtal (se bilaga 1) med vald leverantör och genomföra säkerhetsprövning av ledning och styrelse, inklusive registerkontroll.

6. genomföra ett förstagångsbesök om det rör sig om säkerhetsskyddsavtal nivå 1. Upprätta ett besöks-PM för besöket (se bilaga 3).

7. medverka till att leverantören upprättar säkerhetsskyddsinstruktion där så behövs. Det ska alltid finnas en säkerhetsskyddsinstruktion vid säkerhetsskyddsavtal nivå 1.

8. sända registreringsbevis och SUA-underlag till Säpo1 samtidigt med eventuell framställan av registerkontroll. När säkerhetsskyddsåtgärderna är genomförda meddela upphandlingsfunktionen.

9. teckna affärsavtal. I affärsavtalet görs en hänvisning till säkerhetsskyddsavtalet.

10. genomföra säkerhetsprövning av övrig personal som ska utföra uppdraget.

11. genomföra säkerhetsskyddsutbildning med leverantörens personal och teckna sekretessbevis.

12. kontrollera att säkerhetsskyddschefen hos anbudsgivaren/leverantören har vidtagit de avtalade säkerhetsskyddshöjande åtgärderna, genomfört en säkerhetsskyddsutbildning och tecknat sekretessbevis med de personer som kommer att få del av hemliga uppgifter i uppdraget.

13. planera för uppföljning genom tillsyn och kontroller. Samverka med upphandlingsfunktionen avseende ekonomisk uppföljning av företaget.

14. upprätta en kontrollplan som ska omfatta uppföljande kontroller samt avslutande kontroller. Ett protokoll ska upprättas av den som ansvarar för att kontrollerna genomförs.

15. vid behov genomföra uppföljning och meddela om det behövs besökstillstånd till skyddsobjekt.

16. avanmäla personal och slutförda uppdrag (se kap. 4.14).

4.3 SUA-upphandling, förfrågningsunderlaget är hemligt

4.3.1 Översiktsbild hur upphandlingen genomförs

4.3.2 Kronologisk åtgärdslista vid en SUA, förfrågningsunderlaget är hemligt

En beställande myndighet ska:

• planera och fastställa aktuellt upphandlingsbehov.

• genomföra en säkerhetsanalys. D.v.s. pröva vilket säkerhetsskydd som krävs med anledning av det aktuella anbudet eller den enskilda upphandlingen.

• upprätta en säkerhetsplan för upphandling där förfrågningsunderlaget är hemligt (se kap 4.4).

• lämna en kravspecifikation, som innehåller specificerade säkerhetsskyddskrav, för upphandlingen till upphandlingsfunktionen, som utarbetar förfrågningsunderlaget (se kap. 2). När förfrågningsunderlaget innehåller information som är sekretessbelagd med hänsyn till rikets säkerhet måste intresserade leverantörer först bli behöriga att ta del av informationen innan de får ut anbudshandlingarna. Det innebär att säkerhetsskyddsavtal måste tecknas innan anbudshandlingarna lämnas över till leverantören. Lämplig upphandlingsform är då urvalsupphandling (LOU kap. 15).

• välja leverantör bland inlämnade anbud efter anbudstidens slut. Upphandlingsfunktionen inom myndigheten ansvarar för detta. Innan upphandlingskontrakt tecknas, ska beställaren vid behov revidera tidigare tecknat säkerhetsskyddsavtal (se bilaga 1) med vald leverantör och genomföra säkerhetsprövning av ledning och styrelse, inklusive registerkontroll.

• genomföra ett förstagångsbesök om det rör sig om säkerhetsskyddsavtal nivå 1. Upprätta ett besöks-PM för besöket (se bilaga 3).

• medverka till att leverantören upprättar säkerhetsskyddsinstruktion där så behövs. Det ska alltid finnas en säkerhetsskyddsinstruktion vid säkerhetsskyddsavtal nivå 1.

• sända Registreringsbevis och SUA-underlag till Säpo2 samtidigt med eventuell framställan av registerkontroll. När säkerhetsskyddsåtgärderna är genomförda meddelas upphandlingsfunktionen.

• teckna affärsavtal. I affärsavtalet görs en hänvisning till säkerhetsskyddsavtalet.

• genomföra säkerhetsprövning av övrig personal som ska utföra uppdraget.

• genomföra säkerhetsskyddsutbildning med leverantörens personal och teckna sekretessbevis.

• kontrollera att säkerhetsskyddschefen hos anbudsgivaren/leverantören har vidtagit de avtalade säkerhetsskyddshöjande åtgärderna, genomfört en säkerhetsskyddsutbildning och tecknat sekretessbevis med de personer som kommer att få del av hemliga uppgifter i uppdraget.

• planera för uppföljning genom tillsyn och kontroller. Samverka med upphandlingsfunktionen avseende ekonomisk uppföljning av företaget.

• upprätta en kontrollplan som ska omfatta uppföljande kontroller samt avslutande kontroller. Ett protokoll ska upprättas av den som ansvarar för att kontrollerna genomförs.

• vid behov genomföra uppföljning och meddela om det behövs besökstillstånd till skyddsobjekt.

• avanmäla personal och slutförda uppdrag enligt (se kap. 4.14).

4.4 Säkerhetsanalys och säkerhetsplan

Myndighet som omfattas av säkerhetsskyddslagstiftningen är skyldig att undersöka vilka uppgifter i verksamheten som ska hållas hemliga med hänsyn till rikets säkerhet eller till skydd mot terrorism. Resultatet av denna undersökning – säkerhetsanalysen – ska dokumenteras. Säkerhetsanalysen ska revideras regelbundet.

Säkerhetsanalysen leder fram till en säkerhetsplan som fokuserar på åtgärder som krävs för att skydda de skyddsvärda resurserna. Säkerhetsanalysen utgör även ett beslutsunderlag för myndighetens ledning när de fattar beslut om verksamhetens säkerhetsskydd.

Inför ett anbud eller en upphandling genomförs en säkerhetsanalys, som kan utgöra underlag för bedömning om anbudet eller upphandlingen helt eller delvis ska omges med säkerhetsskyddsåtgärder. Analysen ska utgå från säkerhetsanalysen av myndighetens verksamhet. De säkerhetsskyddsåtgärder som bedöms som nödvändiga i det aktuella anbudet eller upphandlingen bör dokumenteras i en säkerhetsplan. Krav på säkerhetsskyddsåtgärder som direkt påverkar en leverantör ska specificeras i förfrågningsunderlaget inför upphandlingen.

Säkerhetsplanen ska i tillämpliga delar innehålla uppgifter om:

• Behörighet

• Tystnadsplikt

• Förvaring av hemliga handlingar

• Tillträdesbegränsning

• Yttre och inre bevakning

• Passerkontroll

• Kontroll av lokaler och terräng

• Säkerhetsprövning

• Registerkontroll

• Utbildning

• Kontroll

Om säkerhetsbedömningen inför en förestående upphandling visar att SUA inte behövs, kan bedömningen ändå vara att det är lämpligt att vidta vissa säkerhetsskyddsåtgärder. Exempel på sådana åtgärder är utbildning av personalen eller delgivning av information om tystnadsplikt. Krav på säkerhetsskyddsåtgärder kan då ingå i upphandlingskontraktet.

Läsanvisning kap.10 H SÄK SKYDD

4.5 Säkerhetsskyddsavtal med anbudsgivare och
leverantörer

Alternativ 1

Om förfrågningsunderlaget innehåller information som är sekretessbelagd med hänsyn till rikets säkerhet ska ett säkerhetsskyddsavtal tecknas innan underlaget lämnas till anbudsgivaren. Lämplig upphandlingsform är då urvalsupphandling, jml. kap.15 LOU eller LUF.

Alternativ 2

Om förfrågningsunderlaget inte innehåller information som är sekretessbelagd med hänsyn till rikets säkerhet ska ett säkerhetsskyddsavtal tecknas innan upphandlingskontraktet tecknas. Eftersom det ska finnas ett tillfredställande säkerhetsskydd innan den verksamhet som ska skyddas får påbörjas. Avtalet ska sedan vid behov revideras innan man tecknar upphandlingskontrakt.

Vid förhandling om säkerhetsskyddsavtal företräds det allmänna av den myndighet som avser att begära in anbud eller träffa avtal. Myndighetens säkerhetsskyddschef eller annan säkerhetsansvarig ska medverka vid förhandlingen.

Myndigheten ska teckna avtal med såväl huvudleverantör som eventuella underleverantörer. En huvudleverantör kan inte ansvara för säkerhetsskyddet hos en underleverantör gentemot myndigheten.

Säkerhetsskyddsavtalet ska i tillämpliga delar innehålla överenskommelse om:

• Säkerhetsskyddsorganisation

• Informationssäkerhet

• IT-säkerhet

• Tillträdesbegränsning

• Säkerhetsprövning inklusive registerkontroll

• Utbildning och information

• Sekretessbevis

• Kontroll

• Giltighetstid

• Fördelning av kostnaderna för säkerhetsskyddsarbetet

• Äganderättsförhållanden

• Vitesklausul vid avtalsbrott

• Säkerhetsplan

• Säkerhetsskyddsinstruktion

Bilaga 1 Exempel på säkerhetsskyddsavtal (nivå 1, nivå 2, nivå 3).

Observera att exemplen ska ses som ett stöd vid utformningen av ett säkerhetsskyddsavtal. Innehållet måste anpassas efter uppdragets specifika säkerhetsskyddskrav. Kompletteringar av säkerhetsskyddsavtalet med hänsyn till säkerhetsanalysen av uppdraget kan t.ex. införas under punkten ”Uppdragsspecifika tillägg” i säkerhetsskyddsavtalet.

Läsanvisning 8 kap. FFS 2003:7

4.6 Säkerhetsskyddsinstruktion

När ett säkerhetsskyddsavtal har träffats ska företaget upprätta en säkerhetsskyddsinstruktion eller noggrant pröva om en tidigare godkänd instruktion uppfyller de nu aktuella säkerhetsskyddskraven. I instruktionen ska företaget redovisa vilka säkerhetsskyddsåtgärder som ska vidtas mot eventuella hot och risker. Det betyder att företaget ska reglera sitt säkerhetsskydd kring den kommande hanteringen av hemliga uppgifter. Säkerhetsskyddsinstruktionen ska godkännas av den beställande myndigheten. I de fall företaget ska utföra arbete i myndighetens lokaler eller i lokaler som har anvisats av myndigheten får myndigheten bevilja att en säkerhetsskyddsinstruktion inte behöver upprättas.

Av såväl säkerhetsskyddsavtalet som säkerhetsskyddsinstruktionen ska det framgå att kontroll av säkerhetsskyddet hos leverantören ska utföras av den beställande myndigheten. Kontroll får även utföras av Säkerhetspolisen eller Försvarsmakten i samråd med beställande myndighet.

Bilaga 5 Exempel på disposition av säkerhetsskyddsinstruktion

Bilaga 6 Exempel på en säkerhetsskyddsinstruktion

4.7 Underrättelse till Säkerhetspolisen

En beställande myndighet ska genast underrätta Säkerhetspolisen om säkerhetsskyddsavtal som har träffats och om säkerhetsskyddsavtal som har upphört. Detta sker enklast genom att använda blanketten SUA-underlag. Blanketten kan hämtas på Säkerhetspolisens webbplats, www.sakerhetspolisen.se.

En myndighet som övertar en pågående SUA och därmed även säkerhetsskyddsansvaret från en annan beställande myndighet ska upprätta ett eget säkerhetsskyddsavtal med leverantören för uppdraget. Även detta ska snarast anmälas till Säkerhetspolisen enligt ovanstående. Inom Försvarsmakten ska uppgifterna sändas in via MUST:s säkerhetskontor.

4.8 Säkerhetsprövning av ledning och styrelser

Innan myndigheten lämnar hemliga uppgifter till ett företag ska myndigheten göra en säkerhetsprövning och, där så krävs, låta göra en registerkontroll av företagets ledning och övriga inom företaget som avses få del av uppgifterna. Innan registerkontroll får genomföras ska ett säkerhetsskyddsavtal ha träffats. När avtalet är klart ska Säkerhetspolisen underrättas om detta (se kap. 4.7).

Vid framställan om registerkontroll ska kontrollorsaken anges så att det framgår att det handlar om leverantörens företrädare i ett uppdrag. Varje uppdrag ska ges ett specifikt namn som ska anges på blanketten. Vidare ska ett registreringsbevis från Bolagsverket bifogas framställan. Registreringsbeviset får inte vara äldre än tre månader. Enskilda firmor är inte alltid registrerade hos bolagsverket, men för att få delta i säkerhetsskyddad upphandling eftersträvas denna registrering eftersom den innebär viss garanti för namnskydd m.m. vilket minimerar risken för sammanblandning etc. Kravet på svenskt medborgarskap gäller inte vid registerkontroll i SUA-sammanhang.

Säkerhetsprövningen i övrigt, d.v.s. den allmänna bedömningen av företagets lämplighet, bör ha gjorts innan säkerhetsskyddsavtalet ingås. För ytterligare information om säkerhetsprövning vid SUA (se kap. 2.3.3).

Blanketter för registerkontrollframställan kan hämtas på Säkerhetspolisens webbplats, www.sakerhetspolisen.se.

4.8.1 Förbindelse om sekretess, sekretessbevis

Den som tillåts ta del av hemliga uppgifter skall upplysas om räckvidden och innebörden av sekretessen.

8 § säkerhetsskyddsförordningen

Den som medges ta del av hemliga uppgifter ska upplysas om innebörden och räckvidden av sekretessen. I samband med SUA sker detta genom att den beställande myndigheten, eller den som denna myndighet bestämmer, informerar berörda befattningshavare och ser till att en förbindelse om sekretess, sekretessbevis, undertecknas.

Undertecknande av sekretessbevis är en skriftlig bekräftelse på att uppdragstagaren har informerats om innebörden av sekretess- och säkerhetsskydd. Sekretessbevis som tecknas med den som är ansvarig för säkerhetsskyddet hos leverantören (säkerhetsskyddschefen) ska förvaras hos beställande myndighet. Övriga sekretessbevis förvaras hos den som är säkerhetsskyddsansvarig hos leverantören så länge uppdraget pågår. När uppdraget är slutfört lämnas även dessa förbindelser till den beställande myndigheten.

När uppdraget som föranlett SUA avslutas är det lämpligt att påminna om att tystnadsplikten kvarstår och även kräva ett nytt undertecknande av förbindelsen om sekretess. I en eventuell rättegång är ett sekretessbevis ett intyg om att den anställde har eller borde ha förstått att han eller hon bröt mot sin tystnadsplikt. Brottet, som dessutom strider mot säkerhetsskyddsavtalet, kan medföra att företaget förlorar sitt pågående uppdrag och blir diskvalificerat för kommande uppdrag p.g.a. opålitlighet från säkerhetssynpunkt.

Brott mot rikets säkerhet som behandlas i 19 kap. Brottsbalken, är straffbart oavsett om brottet begås inom eller utom kontraktsförhållande.

Bilaga 4 Exempel på sekretessbevis

4.9 Förstagångsbesök

Om hemliga uppgifter ska lämnas ut till en anbudsgivare eller leverantör som ska hantera och förvara handlingarna i egna lokaler, ska den beställande myndigheten genomföra ett förstagångsbesök hos leverantören innan några uppgifter lämnats ut. Syftet är att kontrollera att lokalerna och förvaringsutrymmena är lämpliga från säkerhetsskyddssynpunkt. Resultatet av den tidigare genomförda säkerhetsanalysen och säkerhetsskyddsplanen styr vilka krav som ska ställas på säkerhetsskyddet.

Ett protokoll ska upprättas över vad som vid besöket har framkommit och iakttagits från säkerhetsskyddssynpunkt. Om ställda säkerhetsskyddskrav inte är uppfyllda, måste bristerna åtgärdas och en ny kontroll utföras innan företaget kan godkännas för hantering och förvaring av hemliga uppgifter.

Blankett för förstagångsbesök kan hämtas på Säkerhetspolisens webbplats, www.sakerhetspolisen.se.

4.10 Affärsavtal

Ett affärsavtal ska tecknas med leverantören. I affärsavtalet skrivs in en hänvisning till säkerhetsskyddsavtalet.

4.11 Säkerhetsprövning av övriga i uppdraget

När upphandlingskontrakt har tecknats ska säkerhetsprövning ske av övriga anställda hos leverantören som kan antas komma att ta del av hemliga uppgifter. För ytterligare information om säkerhetsprövning vid SUA, se kapitel 3.3.3

4.12 Utbildning

En grundläggande förutsättning för ett effektivt säkerhetsskydd är att all personal får grundläggande utbildning i ämnet. Utbildning i säkerhetsskydd ska främst syfta till att klargöra varför och hur man ska vidta skyddsåtgärder mot hot av olika slag. Varje myndighet som omfattas av säkerhetsskyddslagstiftningen är skyldig att anordna utbildning för eget behov.

Ytterligare utbildning bör ges till dem som har sin arbetsplats förlagd i ett område där säkerhetskänslig verksamhet bedrivs, eller som särskilt behöver skyddas mot terrorism. Den personal som berörs kan t.ex. vara chefsgrupper, säkerhetsskyddsansvariga, IT-handläggare, expeditionspersonal, personalhandläggare, inköpsansvariga och vaktpersonal.

Varje myndighet ska ha en plan för utbildning i säkerhetsskydd samt föra en förteckning över de anställda som har säkerhetsprövats och som har genomgått utbildning i säkerhetsskydd.

4.13 Tillsyn, uppföljning och kontroll

Det är myndighetens ansvar att ha uppsikt och kontrollera de företag man tecknat SUA med. Myndigheten ska planera och genomföra uppföljning genom tillsyn. Dessutom ska myndigheten samverka med sin upphandlingsfunktion för ekonomisk uppföljning av företaget.

Genom kontroller granskas att leverantörens säkerhetsskyddschef har vidtagit och kontinuerligt lever upp till de avtalade säkerhetsskyddshöjande åtgärderna. Myndigheten kontrollerar att företaget genomför säkerhetsskyddsutbildning och tecknar sekretessförbindelse med de personer som kommer att få ta del av hemliga uppgifter i uppdraget.

Upprätta en kontrollplan som ska omfatta uppföljande kontroller samt avslutande kontroller. Ett protokoll ska upprättas av den som ansvarar för kontrollernas genomförande. Kontroll-/tillsynsrätt ska skrivas in i säkerhetsskyddsavtalet så att det klart framgår vem som har denna rätt.

Inom Försvarsmakten kan MUST SÄKK, inom ramen för sin lagstadgade rätt att utföra säkerhetsskyddskontroller, genomföra kontroll av företag som utför SUA-uppdrag åt Försvarsmaktens förband.

Se bilaga 7 Lathund vid kontroll av SUA hos förband/företag

4.14 SUA-upphandlingens avslutande

När företaget fullgjort uppdraget som omgetts av säkerhetsskydd ska myndigheten säga upp SUA-avtalet. Det bör finnas rutiner för vilka åtgärder som ska vidtas när ett säkerhetsskyddsavtal sägs upp. Det är också lämpligt att reglera vem som ska ansvara för dessa åtgärder.

Det är viktigt att säkerställa att företaget återlämnar exempelvis information och utrustning till myndigheten när uppdraget har slutförts . Nycklar och passerkort ska lämnas in och i förekommande fall bör koder till larm ändras och behörighet i IT-system avslutas.

Myndigheten ska säkerställa att det som har avtalats om tystnadsplikt ska bestå. Detta kan ske genom en påminnelse och nytt undertecknande av sekretessförbindelsen. Sekretessbevis som under uppdragstiden förvarats hos uppdragstagaren ska lämnas till myndigheten.

Myndigheten ska underrätta Säkerhetspolisen om att säkerhetsskyddsavtalet har upphört att gälla och avanmäla samtliga registerkontroller enligt avtalet.

Blankett för avanmälan kan hämtas på Säkerhetspolisens webbplats, www.sakerhetspolisen.se. Blanketten heter SUA-underlag.

Observera! Ett uppdrag kan avslutas på grund av avtalsbrott. Vid brott mot säkerhetsskyddsavtalet ska behövliga åtgärder vidtas för att minimera skadan. Säkerhetsrapportering ska genomföras i linjeorganisationen.

4.15 Säkerhetsrapportering

Var och en som får kännedom om säkerhetshotande verksamhet ska snarast möjligt rapportera detta till sin närmaste chef, arbetsledare eller säkerhetschefen. Motsvarande gäller för den personal som arbetar i ett uppdrag som är säkerhetsskyddat. När ett säkerhetsskyddsavtal ska tecknas ska Säkerhetsskyddsföreträdaren för företaget utbildas i säkerhetsrapportering.

Grunden för att kunna bedöma det aktuella säkerhetshotet eller dess utveckling är ett erfarenhetsunderlag. För MUST och territoriell chef utgörs detta av de rapporter om säkerhetshändelser som underställda, sidoordnade och enskilda lämnar, liksom orienteringar från, och samverkan med civila myndigheter. Ett annat viktigt underlag är de säkerhetsunderrättelser som inhämtas av den militära säkerhetstjänsten.

Kunskap om den säkerhetshotande verksamheten tillsammans med en väl fungerande säkerhetsrapportering skapar goda förutsättningar för att tecken på säkerhetshot ska upptäckas tidigt och därmed undanröjas. Rapportering sker normalt ordinarie tjänsteväg och enligt gällande rapporteringsbestämmelser.

1 Inom Försvarsmakten skickas underlaget till säkerhetskontoret, MUST.

2 Inom Försvarsmakten skickas underlaget till säkerhetskontoret, MUST.

Bilaga 1 Säkerhetsskyddsavtal

Bilaga 1.1 Exempel på säkerhetsskyddsavtal nivå 1 med villkorsbilaga (företaget utför uppdraget i egna lokaler)

Säkerhetsskyddsavtal (nivå 1)

mellan

Myndigheten XX,

gatuadress/boxnummer, postnummer postadress, nedan kallad Myndigheten

och

Företaget YY, organisationsnummer, gatuadress/boxnummer, postnummer, postadress, nedan kallat Företaget

Kontaktpersoner

Myndigheten: (projektansvarig), (säkerhetsskyddschef)

Företaget: (projektansvarig), (säkerhetsskyddschef motsv.)

Myndigheten, som företräder staten, och Företaget träffar följande avtal om säkerhetsskydd

1 § Avtalets omfattning

Avtalet avser anbud/upphandling (SUA-arbete) angående:

(beskrivning av uppdraget)………………………

Avtalet reglerar vilka säkerhetsskyddsåtgärder som ska vidtas, främst avseende informationssäkerhet och IT-säkerhet, säkerhetsprövning, tillträdesbegränsning, utbildning samt kontroll och tillsyn. Åtgärderna framgår av villkorsbilaga 1 respektive 2 (IT-säkerhet). I affärsavtalet ska en hänvisning till detta säkerhetsskyddsavtal tas in.

Säkerhetsskyddsavtalet är en förutsättning men utgör ingen utfästelse eller garanti för att Myndigheten ska teckna affärsavtal med Företaget om uppdraget.

Uppdraget innebär att Företaget i sina egna lokaler kommer att hantera och förvara hemliga uppgifter av betydelse för rikets säkerhet.

Sekretess kan, om företaget så begär och i den utsträckning 31 kap. 16-19 § § offentlighets- och sekretesslagen (2009:400) medger, gälla hos Myndigheten för uppgifter som överlämnas till Myndigheten (t ex företagshemligheter).

2 § Avtalstid

Detta avtal träder i kraft vid undertecknandet och gäller tills vidare eller intill det skriftligen sägs upp av endera parten. Avtalet kan dock inte ensidigt sägas upp till tidigare tidpunkt än den dag då uppdraget som omfattas av detta avtal slutförts. Myndigheten kan dock ensidigt häva avtalet om företaget frångår detta avtal eller dess anda.

3 § Kostnader

Om inget annat avtalas i det särskilda affärsavtalet ska eventuella kostnader som uppkommer med anledning av detta säkerhetsskyddsavtal bäras av företaget.

4 § Allmänna villkor se bilagorna 1 respektive 2 (IT-säkerhet).

Underskrifter

Av detta avtal är två likalydande exemplar upprättade varav parterna tagit var sitt.

Villkorsbilaga 1 (nivå 1)

1. Allmänt

1.1 Detta avtal samt den av företaget upprättade och av Myndigheten godkända säkerhetsskyddsinstruktionen ska ligga till grund för säkerhetsskyddet inom Företaget. Säkerhetsskyddsinstruktionen, liksom förändringar eller tillägg i densamma, ska alltid godkännas av Myndigheten.

1.2 Samtliga handlingar, fysiska eller elektroniska, lagringsmedier, materiel, modeller eller övriga informationsbärare som har anknytning till uppdraget och som innehåller eller har innehållit hemliga uppgifter ska, så vitt inget annat avtalats, vara Myndighetens egendom.

1.3 Sådana handlingar, lagringsmedier, materiel, modeller eller övriga informationsbärare som avses i villkor 1.2 ska snarast efter fullgjort uppdrag återlämnas till myndigheten eller annars senast vid den tidpunkten som parterna kommit överens om särskilt.

2. Säkerhetsskyddsorganisation

2.1 Vid Företaget ska finnas en säkerhetsskyddschef och om så krävs även en stf säkerhetsskyddschef. Säkerhetsskyddschefen ska i säkerhetsskyddsfrågor vara direkt underställd verkställande direktören (VD).

2.2 Säkerhetsskyddsverksamheten inom Företaget ska ledas av säkerhetsskyddschefen. Denne är kontaktperson i säkerhetsskyddsfrågor gentemot Myndigheten.

2.3 Vid Företaget ska finnas en registrator om detta inte är uppenbart obehövligt.

3. Informationssäkerhet

3.1 Den information som omfattas av detta avtal utgör sådana uppgifter som omfattas av sekretess enligt offentlighets- och sekretess-lagen (2009:400) och som rör rikets säkerhet. Sådan information benämns fortsättningsvis hemlig uppgift, se 4 § Säkerhetsskyddsförordningen (1996:633). Vid beslut om ändring av skyddsnivån ska Myndigheten snarast underrätta Företaget.

3.2 Myndigheten ska klargöra för Företaget i vilken utsträckning information som överlämnas till Företaget innehåller hemlig uppgift och i vilken informationssäkerhetsklass uppgiften är placerad i.

3.3 För att genomföra uppdraget får Företaget endast använda personal som efter säkerhetsprövning godkänts av Myndigheten, om personalen ska få ta del av hemliga uppgifter enligt villkor i 3.1. Personalen får användas först efter Myndighetens godkännande. Motsvarande gäller när Företaget använder underleverantör. Myndighetens ställningstagande när det gäller Företagets personal grundas på den säkerhetsprövning som företaget vidtagit enligt villkor 6.1. De personer som får anlitas ska av företaget informeras om gällande tystnadsplikt och innebörden av denna. Som bevis på informationen ska sekretessbevis undertecknas och sparas. När uppdraget upphör ska Företaget överlämna sekretessbevisen till Myndigheten.

3.4 Hemlig uppgift får av Företaget endast delges den som har godkänts av Myndigheten enligt villkor i 3.3 och som är behörig att ta del av hemliga uppgifter.

Behörig att ta del av hemliga uppgifter är endast den som:

• bedöms pålitlig från säkerhetssynpunkt

• har tillräckliga kunskaper om säkerhetsskydd och

• behöver uppgifterna för sitt uppdrag/arbete i den verksamhet där de hemliga uppgifterna förekommer.

3.5 Utrymmen, som ska användas vid hantering och förvaring av handling och materiel som innehåller hemlig uppgift som avses i 3.1, ska alltid godkännas av Myndigheten.

3.6 Inventering av hemlig handling och hemlig materiel såväl hos behörig befattningshavare som på expedition och arkiv som hanterar hemliga handlingar ska fortlöpande ske genom Företagets försorg.

3.7 Handling och materiel som innehåller hemlig uppgift som avses i 3.1 får endast förstöras genom Myndighetens försorg eller enligt Myndighetens direktiv.

Handling och materiel som innehåller hemlig uppgift och som ej förstörts ska redovisas till Myndigheten enligt 1.3.

3.8 Innan en uppgift som rör uppdraget, och som Myndigheten angivit innehåller hemlig uppgift enligt 3.2, överlämnas genom Företaget till massmedia eller för publicering i broschyrer, tidskrifter, böcker, filmer etc. ska samråd ske med Myndigheten för kontroll att uppgifterna inte längre är hemliga. Detsamma ska gälla vid föredrag, utställning och förevisning dit annan person än, från säkerhetsskydds synpunkt, behörig enligt 3.5 äger tillträde.

3.9 Företaget får inte utan Myndighetens tillstånd offentliggöra att det är ett SUA-företag.

4. IT-säkerhet. Se exempel IT-säkerhetsavtal

5 Tillträdesbegränsning

5.1 Innan den säkerhetsskyddskrävande verksamheten får påbörjas,
ska Myndigheten i samråd med Företaget fastställa nivån på
tillträdesskyddet för de lokaler och områden eller motsvarande som
Företaget avser att utnyttja vid genomförandet av uppdraget.

5.2 Om Företaget vill utnyttja andra lokaler för uppdraget under tiden
för uppdragets genomförande ska detta omgående anmälas till
Myndigheten. Nivån på säkerhetsskyddet ska fastställas på
motsvarande sätt som i 5.1.

5.3 Om besökare till tillträdesskyddat område kan antas komma att få del av hemliga uppgifter ska Myndighetens godkännande begäras före besöket. Med besökare avses varje person som inte redan är behörig enligt 3.3.

6. Säkerhetsprövning

Innan en enskild person (anställd) delges hemlig uppgift ska företaget, genom säkerhetsprövning, pröva vederbörandes lämplighet och pålitlighet från säkerhetsskyddssynpunkt. Prövningen ska omfatta varje person (anställd) som får del av hemliga uppgifter oavsett om de blir föremål för registerkontroll enligt säkerhetsskyddslagen (1996:627) eller inte.

6.1 Säkerhetsprövningen ska omfatta:

• den personliga kännedomen som finns om den som prövningen gäller

• uppgifter som framgår av betyg, intyg och referenser

6.2 Säkerhetsprövningen enligt 6.1 ska dokumenteras av Företaget och vid begäran lämnas över till Myndigheten. Den utgör därefter underlag för bedömning om inplacering i säkerhetsklass och för Myndighetens beslut om registerkontroll.

6.3 Myndigheten ska, innan en ansökan om registerkontroll görs, uppdra åt Företaget att särskilt informera den person som ska bli föremål för kontrollen om vad kontrollen innebär. I samband därmed ska Företaget också begära samtycke till kontrollen. Samtycket bör dokumenteras och förvaras hos Företaget.

6.4 Företaget ska avvakta med att anlita registerkontrollerad person intill dess Företaget delges Myndighetens beslut efter verkställ registerkontroll.

6.5 Företaget ska till Myndigheten genast anmäla om en registerkontrollerad person vid Företaget lämnar det aktuella uppdraget eller slutar sin anställning.

6.6 Företaget ska till Myndigheten anmäla omständigheter som kan vara av betydelse för bedömningen av en säkerhetsprövad persons lämplighet och pålitlighet.

6.7 Om en person, som säkerhetsprövas inom ramen för detta avtal, under uppdragets genomförande befinns olämplig från säkerhetssynpunkt, ska Företaget vidta de åtgärder som är lämpliga för att vederbörande inte ska få tillgång till hemliga uppgifter.

7. Intern utbildning och kontroll

De personer som kan komma att få del av hemlig uppgift ska av Myndigheten ges lämplig utbildning i säkerhetstjänstfrågor innan uppdraget påbörjas. Därefter ansvarar Företaget för att dessa personer ges behövlig och fortlöpande utbildning. Utbildningen ska bland annat avse:

• hot och de risker som från säkerhetssynpunkt finns mot eller är förknippade med uppdraget

• säkerhetsskyddsåtgärder som enligt Företagets säkerhetsskyddsinstruktion ska vidtas mot rådande hot och risker.

Myndigheten kan vid behov och efter särskild framställning medverka i viss utbildning.

Företaget ska fortlöpande kontrollera att endast behöriga personer anlitas och att säkerhetsskyddet avseende informationssäkerhet och tillträdesbegränsning iakttas, samt att skyddsnivån är jämn och tillräckligt hög.

8. Säkerhetsrapportering

Företaget ska omedelbart underrätta Myndigheten om inträffade eller befarade händelser och omständigheter, som kan påverka säkerhetsskyddet vad avser uppdraget och anställda som faller under detta avtal.

9. Tillsyn

Myndigheten har rätt att kontrollera att de redovisade och avtalade säkerhets- skyddsbestämmelserna följs. Vid sådan tillsyn kan Myndigheten biträdas av representant från Säkerhetspolisen och/eller Försvarsmakten. Tillsynen eller kontrollen ska ske under Företagets ordinarie kontorstid eller på plats och tid enligt särskild överenskommelse. Tillsynen eller kontrollen får inte vara mer ingripande för Företaget än vad som är nödvändigt för ändamålet med den.

10. Övrigt

Hemlig uppgift som avses i 3.1 och som tillförts eller uppkommit under uppdragets fullgörande ska även efter att avtalet upphört omfattas av sekretess till dess annat meddelas av Myndigheten.

Företaget ska genast anmäla till Myndigheten när någon förändring sker beträffande firmanamn, organisationsnummer, post- och besöksadress samt styrelse och revisorer. Detsamma gäller vid ändrade ägarförhållanden eller om företaget råkar i ekonomiska svårigheter eller försätts i konkurs. Aktuellt registrerings- eller företagsbevis, som är högst tre månader gammalt, ska bifogas till anmälan.

Bilaga 1.2 Exempel på säkerhetsskyddsavtal nivå 2 (företaget hanterar och förvarar hemliga uppgifter enbart i av beställande myndighet anvisad och godkänd lokal)

Säkerhetsskyddsavtal (nivå 2)

mellan

Myndigheten XX, gatuadress/boxnummer, postnummer postadress,
nedan kallad Myndigheten

och

Företaget YY, organisationsnummer, gatuadress/boxnummer, postnummer, postadress, nedan kallat Företaget

Kontaktpersoner

Myndigheten: (projektansvarig), (säkerhetsskyddschef)

Företaget: (projektansvarig), (säkerhetsskyddschef motsv.)

Myndigheten, som företräder staten, och Företaget träffar följande avtal om säkerhetsskydd

1 § Avtalets omfattning

Avtalet avser anbud/upphandling (SUA-arbete) angående:

(beskrivning av uppdraget)………………………

Avtalet reglerar vilka säkerhetsskyddsåtgärder som ska vidtas, främst avseende informationssäkerhet och IT-säkerhet, säkerhetsprövning, tillträdesbegränsning, utbildning samt kontroll och tillsyn. Åtgärderna framgår av villkorsbilaga 1 respektive 2 (IT-säkerhet). I affärsavtalet ska en hänvisning till detta säkerhetsskyddsavtal tas in.

Säkerhetsskyddsavtalet är en förutsättning men utgör ingen utfästelse eller garanti för att Myndigheten ska teckna affärsavtal med Företaget om uppdraget.

Uppdraget innebär att Företaget inom Myndighetens fastigheter eller av Myndigheten anvisade områden eller lokaler kommer att hantera och förvara hemliga uppgifter av betydelse för rikets säkerhet.

Sekretess kan, om företaget så begär och i den utsträckning 31 kap. 16 – 19 § § offentlighets- och sekretesslagen (2009:400) medger, gälla hos Myndigheten för uppgifter som överlämnas till Myndigheten (t ex företagshemligheter).

2 § Avtalstid

Detta avtal träder i kraft vid undertecknandet och gäller tills vidare eller intill det skriftligen sägs upp av endera parten. Avtalet kan dock inte ensidigt sägas upp till tidigare tidpunkt än den dag då uppdraget som omfattas av detta avtal slutförts. Myndigheten kan dock ensidigt häva avtalet om företaget frångår detta avtal eller dess anda.

3 § Kostnader

Om inget annat avtalas i det särskilda affärsavtalet ska eventuella kostnader som uppkommer med anledning av detta säkerhetsskyddsavtal bäras av företaget.

4 § Allmänna villkor gäller enligt bilagorna 1 respektive 2 (IT-säkerhet).

Underskrifter

Av detta avtal är två likalydande exemplar upprättade varav parterna tagit var sitt.

Villkorsbilaga (nivå 2)

1. Allmänt

Vid företaget ska finnas en säkerhetsskyddschef och om så krävs en ersättare för denne. Säkerhetsskyddschefen ska i säkerhetsskyddsfrågor vara direkt underställd verkställande direktören (VD).

1.2 Samtliga handlingar, fysiska eller elektroniska, lagringsmedier, materiel, modeller eller övrig information som har anknytning till uppdraget ska, så vitt inget annat avtalats, vara Myndighetens egendom.

1.3 Sådan handling eller materiel som avses i villkor 1.2 ska snarast efter fullgjort uppdrag återlämnas till myndigheten.

2. Säkerhetsskyddsorganisation

2.1 Vid Företaget ska finnas en säkerhetsskyddschef och om så krävs även en stf säkerhetsskyddschef. Säkerhetsskyddschefen ska i säkerhetsskyddsfrågor vara direkt underställd verkställande direktören (VD).

2.2 Säkerhetsskyddsverksamheten inom Företaget ska ledas av säkerhetsskyddschefen. Denne är kontaktperson i säkerhetsskyddsfrågor gentemot Myndigheten.

2.3 Vid Företaget ska finnas en registrator om detta inte är uppenbart obehövligt.

3. Informationssäkerhet

3.1 Den information som omfattas av detta avtal utgör sådana uppgifter som omfattas av sekretess enligt offentlighets- och sekretesslagen (2009:400) och som rör rikets säkerhet. Sådan information benämns fortsättningsvis hemlig uppgift, se 4 § säkerhetsskyddsförordningen(1996:633). Informationssäkerhetsbestämmelser enligt Myndighetens arbetsordning/ säkerhetsskyddsinstruktion gäller.

3.2 Myndigheten ska klargöra för Företaget i vilken utsträckning information som överlämnas till Företaget innehåller hemlig uppgift.(inom FM tillsynsområde ska informationssäkerhetsklass anges).

3.3 För att genomföra uppdraget får Företaget endast använda personal som efter säkerhetsprövning godkänts av Myndigheten, om personalen ska få del av hemliga uppgifter enligt villkor i 2.1. Personalen får användas först efter Myndighetens godkännande. Motsvarande gäller när Företaget använder underleverantör.

3.4 Myndighetens ställningstagande när det gäller Företagets personal grundas på den säkerhetsprövning som företaget vidtagit enligt villkor 5.1. De personer som får anlitas ska av företaget informeras om gällande tystnadsplikt och innebörden av denna. Som bevis på informationen ska sekretessbevis undertecknas och sparas.

3.5 Hemlig uppgift får av Företaget endast delges den som har godkänts av Myndigheten enligt 2.3 och som är behörig att ta del av hemliga uppgifter.

Behörig att ta del av hemliga uppgifter är endast den som:

• bedöms pålitlig från säkerhetssynpunkt

• har tillräckliga kunskaper om säkerhetsskydd och

• behöver uppgifterna för sitt uppdrag/arbete i den verksamhet där de hemliga uppgifterna förekommer.

3.6 Hemlig uppgift (handling, disketter m.m.) får inte medföras från Myndigheten eller från av Myndigheten anvisade områden eller lokaler.

3.7 Inventering av hemlig handling och hemlig materiel, som lånats ut till behörig befattningshavare, ska ske genom Myndighetens försorg.

3.8 Innan en uppgift som rör uppdraget och som Myndigheten angivit innehåller hemlig uppgift enligt 2.2 överlämnas genom Företaget till massmedia eller för publicering i broschyrer, tidskrifter, böcker, filmer etc. ska samråd ske med Myndigheten för att kontrollera att uppgifterna inte längre är hemliga. Detsamma ska gälla vid föredrag, utställning och förevisning dit annan person, än från säkerhetsskyddssynpunkt behörig enligt 2.5, äger tillträde.

3.9 Företaget får inte utan Myndighetens tillstånd offentliggöra att det är ett SUA-företag.

4. IT-säkerhet

IT-säkerhetsbestämmelser enligt Myndighetens arbetsordning/ säkerhetsskyddsinstruktion gäller.

5. Tillträdesbegränsning

Tillträdesbestämmelser enligt Myndighetens arbetsordning/ Säkerhetsskyddsinstruktion gäller. Behörig person från Företaget som ska utföra uppdraget/arbetet inom Myndighetens lokaler ska följa dessa regler.

6. Säkerhetsprövning

Innan en enskild person (anställd) delges hemlig uppgift ska företaget, genom säkerhetsprövning, pröva vederbörandes lämplighet och pålitlighet från säkerhetsskyddssynpunkt. Prövningen ska omfatta varje person (anställd) som får del av hemliga uppgifter oavsett om de blir föremål för registerkontroll enligt säkerhetsskyddslagen (1996:627) eller inte.

6.1 Säkerhetsprövningen ska omfatta:

• den personliga kännedomen som finns om den som prövningen gäller

• uppgifter som framgår av betyg, intyg och referenser.

6.2 Säkerhetsprövningen enligt 5.1 ska dokumenteras av Företaget och vid begäran lämnas över till Myndigheten. Den utgör därefter underlag för bedömningen om inplacering i säkerhetsklass och för Myndighetens beslut om registerkontroll.

6.3 Myndigheten ska, innan en ansökan om registerkontroll görs, uppdra åt Företaget att särskilt informera den person som ska bli föremål för kontrollen om vad kontrollen innebär. I samband därmed ska Företaget också begära samtycke till kontrollen. Samtycket bör dokumenteras och förvaras hos Företaget.

6.4 Företaget ska avvakta med att anlita registerkontrollerad person intill dess Företaget delges Myndighetens beslut efter verkställd registerkontroll.

6.5 Företaget ska genast till Myndigheten anmäla om en registerkontrollerad person vid Företaget lämnar det aktuella uppdraget eller slutar sin anställning.

6.6 Företaget ska till Myndigheten anmäla omständigheter som kan vara av betydelse för bedömningen av en säkerhetsprövad persons lämplighet och pålitlighet.

6.7 Om en person, som säkerhetsprövas inom ramen för detta avtal, under uppdragets genomförande befinns olämplig från säkerhetssynpunkt, ska Företaget vidta de åtgärder som är lämpliga för att vederbörande inte ska få tillgång till hemliga uppgifter.

7. Intern utbildning och kontroll

De personer som kan komma att få del av hemlig uppgift ska av Myndigheten ges lämplig utbildning i säkerhetstjänstfrågor innan uppdraget påbörjas. Därefter ansvarar Företaget för att dessa personer ges behövlig och fortlöpande utbildning.

Utbildningen ska bland annat avse:

• hot och risker som från säkerhetssynpunkt finns mot eller är förknippade med uppdraget

• säkerhetsskyddsåtgärder

Myndigheten kan vid behov och efter särskild framställning medverka i viss utbildning.

8. Säkerhetsrapportering

Företaget ska omedelbart underrätta Myndigheten om inträffade eller befarade händelser och omständigheter, som kan påverka säkerhetsskyddet vad avser uppdraget och anställda som faller under detta avtal.

9. Tillsyn

Myndigheten har rätt att kontrollera att de redovisade och avtalade säkerhetsskyddsbestämmelserna följs. Vid sådan tillsyn kan Myndigheten biträdas av representant från Säkerhetspolisen och/eller Försvarsmakten.

10. Övrigt

Hemlig uppgift som avses i 2.1 och som tillförts eller uppkommit under uppdragets fullgörande ska även efter att avtalet upphör omfattas av sekretess till dess annat meddelas av Myndigheten.

Företaget ska genast anmäla till Myndigheten när någon förändring sker beträffande firmanamn, organisationsnummer, post- och besöksadress samt styrelse och revisorer. Detsamma gäller vid ändrade ägarförhållanden eller om företaget råkar i ekonomiska svårigheter eller försätts i konkurs. Aktuellt registrerings- eller företagsbevis, som är högst tre månader gammalt, ska bifogas till anmälan.

Bilaga 1.3 Exempel på säkerhetsskyddsavtal nivå 3 med villkorsbilaga (företaget kan komma att få del av hemliga uppgifter)

Säkerhetsskyddsavtal (nivå 3)

mellan

Myndigheten XX, gatuadress/boxnummer, postnummer postadress, nedan kallad Myndigheten

och

Företaget YY, organisationsnummer, gatuadress/boxnummer, postnummer, postadress, nedan kallat Företaget

Kontaktpersoner
Myndigheten: (projektansvarig), (säkerhetsskyddschef)

Företaget: (projektansvarig), (säkerhetsskyddschef motsv.)

Myndigheten, som företräder staten, och Företaget träffar följande avtal om säkerhetsskydd

1 § Avtalets omfattning

Avtalet avser anbud/upphandling (SUA-arbete) angående:

(beskrivning av uppdraget)………………………

Avtalet reglerar vilka säkerhetsskyddsåtgärder som ska vidtas, främst avseende informationssäkerhet och IT-säkerhet, säkerhetsprövning, tillträdesbegränsning, utbildning samt kontroll och tillsyn. Åtgärderna framgår av villkorsbilaga 1 respektive 2 (IT-säkerhet). I affärsavtalet ska en hänvisning till detta säkerhetsskyddsavtal tas in. Säkerhetsskyddsavtalet är en förutsättning men utgör ingen utfästelse eller garanti för att Myndigheten ska teckna affärsavtal med Företaget om uppdraget.

Uppdraget innebär att Företaget inom Myndighetens fastigheter eller av Myndigheten anvisade områden eller lokaler kan få del av hemliga uppgifter av betydelse för rikets säkerhet.

Sekretess kan, om företaget så begär och i den utsträckning 31 kap. 16–19 § § offentlighets- och sekretesslagen (2009:400) medger, gälla hos Myndigheten för uppgifter som överlämnas till Myndigheten (t ex företagshemligheter).

2 § Avtalstid

Detta avtal träder i kraft vid undertecknandet och gäller tills vidare eller intill det skriftligen sägs upp av endera parten. Avtalet kan dock inte ensidigt sägas upp till tidigare tidpunkt än den dag då uppdraget som omfattas av detta avtal slutförts. Myndigheten kan dock ensidigt häva avtalet om företaget frångår detta avtal eller dess anda.

3 § Kostnader

Om inget annat avtalas i det särskilda affärsavtalet ska eventuella kostnader som uppkommer med anledning av detta säkerhetsskyddsavtal bäras av företaget.

4 § Allmänna villkor gäller enligt bilagorna 1 respektive 2(IT-säkerhet).

Underskrifter

Av detta avtal är två likalydande exemplar upprättade varav parterna tagit var sitt.

Villkorsbilaga (nivå 3)

1. Allmänt

1.1 Vid företaget ska finnas en säkerhetsskyddschef och om så krävs även en ersättare för denne. Säkerhetsskyddschefen ska i säkerhetsskyddsfrågor vara direkt underställd verkställande direktören (VD).

1.2 Företaget ansvarar genom säkerhetsskyddschefen för att överenskommet säkerhetsskydd finns och efterlevs.

1.3 Samtliga handlingar, fysiska eller elektroniska, lagringsmedier, materiel, modeller eller övrig information som har anknytning till uppdraget, ska så vitt inget annat avtalats vara Myndighetens egendom.

2. Informationssäkerhet

2.1 Den information som omfattas av detta avtal utgör sådana uppgifter som omfattas av sekretess enligt offentlighets- och sekretesslagen (2009:400) och som rör rikets säkerhet. Sådan information benämns fortsättningsvis hemlig uppgift, se § 4 säkerhetsskyddsförordningen (1996:633). Myndighetens arbetsordning/säkerhetsskyddsbestämmelser avseende informationssäkerhet gäller. Vid beslut om ändring av skyddsnivån ska Myndigheten snarast underrätta Företaget.

2.2 För att genomföra uppdraget får Företaget endast använda personal som efter säkerhetsprövning godkänts av Myndigheten, om personalen ska få del av hemliga uppgifter enligt villkor i 2.1. Personalen får användas först efter Myndighetens godkännande.

2.3 Myndighetens ställningstagande när det gäller Företagets personal grundas på den säkerhetsprövning som företaget vidtagit enligt villkor 5.1. De personer som får anlitas ska av företaget informeras om gällande tystnadsplikt och vad denna innebär. Som bevis på informationen ska sekretessbevis undertecknas och sparas.

2.4 Myndigheten ska till godkänd personal från Företaget ange i vad mån information som överlämnas eller delges dem innehåller hemliga uppgifter

2.5 Hemlig uppgift får av Företaget endast delges den som har godkänts av Myndigheten enligt 2.3 och som är behörig att ta del av hemliga uppgifter.

Behörig att ta del av hemliga uppgifter är endas den som

• bedöms pålitlig från säkerhetssynpunkt

• har tillräckliga kunskaper om säkerhetsskydd och

• behöver uppgifterna för sitt uppdrag/arbete i den verksamhet där de hemliga uppgifterna förekommer.

2.6 Innan en uppgift som rör uppdraget och som Myndigheten angivit innehåller hemlig uppgift enligt 2.2 överlämnas genom Företaget till massmedia eller för publicering i broschyrer, tidskrifter, böcker, filmer etc. ska samråd ske med Myndigheten för att kontrollera att uppgifterna inte längre är hemliga. Detsamma ska gälla vid föredrag, utställning och förevisning dit annan person än från säkerhetsskyddssynpunkt behörig enligt 2.5 äger tillträde.

2.7 Företaget får inte utan Myndighetens tillstånd offentliggöra att det är ett SUA- företag.

3. IT-säkerhet

Myndighetens arbetsordning/säkerhetsskyddsbestämmelser avseende IT-säkerhet gäller för företagets personal om uppdraget omfattar IT-området.

4. Tillträdesbegränsning

Tillträdesbestämmelser enligt Myndighetens arbetsordning/säkerhetsskydds-instruktion gäller. Behörig person från Företaget som ska utföra uppdraget/arbetet inom Myndighetens lokaler ska följa dessa regler.

5. Säkerhetsprövning

5.1 Innan en enskild person (anställd) delges hemlig uppgift ska företaget, genom säkerhetsprövning, pröva vederbörandes lämplighet och pålitlighet från säkerhetsskyddssynpunkt. Prövningen ska omfatta varje person (anställd) som får del av hemliga uppgifter oavsett om de blir föremål för registerkontroll enligt säkerhetsskyddslagen (1996:627) eller inte.

Säkerhetsprövningen ska omfatta:

• den personliga kännedomen som finns om den som prövningen gäller

• uppgifter som framgår av betyg, intyg och referenser.

5.2 Myndigheten ska, innan en ansökan om registerkontroll görs, uppdra åt Företaget att särskilt informera den person som ska bli föremål för kontrollen om vad kontrollen innebär. I samband därmed ska Företaget också begära samtycke till kontrollen. Samtycket bör dokumenteras och Förvaras hos Företaget.

5.3 Företaget ska avvakta med att anlita (registerkontrollerad) person intill dess Företaget delges Myndighetens beslut efter verkställd registerkontroll. Företaget ska genast till Myndigheten anmäla om en registerkontrollerad person vid Företaget lämnar det aktuella uppdraget eller slutar sin anställning.

5.4 Om en person, som säkerhetsprövas inom ramen för detta avtal, under uppdragets genomförande befinns olämplig från säkerhetssynpunkt, ska Företaget vidta de åtgärder som är lämpliga för att vederbörande inte ska få tillgång till hemliga uppgifter.

6. Intern utbildning och kontroll

6.1 De personer som kan komma att få del av hemlig uppgift ska av Myndigheten ges lämplig utbildning i säkerhetstjänstfrågor innan uppdraget påbörjas. Därefter ansvarar Företaget för att dessa personer ges behövlig och fortlöpande utbildning.

Utbildningen ska bland annat avse:

• det hot och de risker som från säkerhetssynpunkt finns mot eller är förknippade med uppdraget.

6.2 Myndigheten kan vid behov och efter särskild framställning medverka viss utbildning.

7. Säkerhetsrapportering

Företaget ska omedelbart underrätta Myndigheten om inträffade eller befarade händelser och omständigheter, som kan påverka säkerhetsskyddet vad avser uppdraget och anställda som faller under detta avtal.

8. Tillsyn

Myndigheten har rätt att kontrollera att de redovisade och avtalade säkerhetsskyddsbestämmelserna följs.

9. Övrigt

9.1 Hemlig uppgift som avses i 2.1 och som tillförts eller uppkommit under uppdragets fullgörande ska även efter att avtalet upphört omfattas av sekretess till dess annat meddelas av Myndigheten.

9.2 Företaget ska genast anmäla till Myndigheten när någon förändring sker beträffande firmanamn, organisationsnummer, post- och besöksadress samt styrelse och revisorer. Detsamma gäller vid ändrade ägarförhållanden eller om företaget råkar i ekonomiska svårigheter eller försätts i konkurs. Aktuellt registrerings- eller företagsbevis, som är högst tre månader gammalt, ska bifogas till anmälan.

Bilaga 1.4 Exempel på villkorsbilaga till säkerhetsskyddsavtal avseende informationssäkerhet i IT-miljö

Villkorsbilaga 2 (IT-säkerhet)

1 § Avtalets omfattning

Detta IT-säkerhetsskyddsavtal utgör bilaga till det säkerhetsskyddsavtal (SUA-avtalet) som har ingåtts mellan Myndigheten och Företaget avseende Uppdraget. Såvida inget annat särskilt anges ska definierade termer ha den innebörd som anges i SUA-avtalet.

2 § Informationsklassning

Med hemlig information avses hemliga uppgifter i digital form som rör Uppdraget. Företaget ska samråda med Myndigheten om osäkerhet uppstår om vad som ska betraktas som hemlig information. Hemlig information ska så långt praktiskt möjligt hanteras på samma sätt som hemliga handlingar ska hanteras enligt SUA-avtalet med de tillägg som följer nedan.

3 § IT-systemets avgränsningar

Hemlig information ska om inte Myndigheten medger annat behandlas i ett IT-system som inte har några externa nätverkskopplingar. IT-systemet kan utgöras av en fristående dator med löstagbar hårddisk eller ett fysiskt separat nätverk med en eller flera datorer.

4 § Behörighetskontroll

Om ett nätverk används ska ett behörighetskontrollsystem användas där alla användare som har behörighet till hemlig information är unikt identifierbara och har ett personligt aktivt kort eller en säkerhetsdosa för att logga in i IT-systemet. IT-systemet ska reglera användarnas rättigheter samt logga användarnas aktiviteter för att kunna uppnå spårbarhet i efterhand.

Vid användning av fristående dator som nyttjas av flera personer ska det föras en förteckning över varje användning i en kvittenslista eller ett behörighetskontrollsystem. Alternativt kan varje individuell användare ha varsin löstagbar hårddisk.

Det ska finnas en förteckning över vilka som har behörighet att använda IT-systemet. Denna förteckning ska sparas för att kunna uppnå spårbarhet i efterhand. Förteckningen ska sparas i 10 år eller sådan kortare period som myndigheten meddelar Företaget.

§ 5 Hantering av utskrifter

Utskrift ska ske i en skrivare som är direkt ansluten till den dator eller de datorer som är anslutna till IT-systemet. Skrivaren ska vara placerad i nära anslutning till och inom synhåll från den dator där utskriften verkställs.

§ 6 Hantering av olika lagringsmedier

Dator med inbyggd hårddisk ska vara inlåst i ett godkänt säkerhetsskåp (SS 3492). Har datorn en löstagbar hårddisk ska hårddisken förvaras i säkerhetsskåpet. Även andra lagringsmedier såsom disketter, CD/DVD-skivor och USB-minnen, som innehåller eller har innehållit hemlig information ska förvaras i säkerhetsskåp. Endast behörig personal får ha tillgång till säkerhetsskåpet.

Lagringsmedier som innehåller eller har innehållit hemlig information får endast återanvändas inom Uppdraget av behörig personal. Sådant lagringsmedium får inte användas för annat ändamål.

Lagringsmedier som innehåller eller har innehållit hemlig information ska vara försedd med varaktig hemligbeteckning. En förteckning som beskriver innehållet på sådana lagringsmedier ska föras för att underlätta utredning av vilken information som är förlorad vid förlust av lagringsmedier. Lagringsmedier ska inventeras på samma sätt som hemliga handlingar.

När lagringsmedium kasseras ska det överlämnas till Myndigheten för destruering alternativt förstöras enligt Myndighetens anvisningar.

Lagringsmedier får inte lämna Företagets lokaler utan Myndighetens godkännande. Under transport ska, i förekommande fall, den hemliga informationen krypteras med av Myndigheten godkänd kryptoprodukt.

§ 7 Säkerhetskopiering

Säkerhetskopior ska tas regelbundet enligt en dokumenterad rutin och förvaras avskilt från den plats där berört IT-system finns. Kopiorna ska förvaras i ett godkänt säkerhetsskåp. Kopiorna bör krypteras.

§ 8 Kommunikation

Om Myndigheten medger externa nätverkskopplingar enligt § 3 ovan får hemlig information sändas via ett elektroniskt kommunikationsnät endast om signalskyddssystem (kryptosystem) som godkänts av Försvarsmakten används och sändningen sker enligt de regler som gäller för den aktuella graden av sekretess. Samråd ska ske med Myndigheten innan sändning sker.

§ 9 Skydd mot skadlig kod

Innan ny information tillförs IT-systemet ska informationen kontrolleras så att den inte innehåller skadlig kod. Uppdatering av programvara som skyddar mot skadlig kod ska ske kontinuerligt.

§ 10 Skydd mot obehörig avlyssning

IT-systemet ska skyddas mot obehörig avlyssning. Detta innebär att användning av trådlös utrustning för kommunikation inte är tillåten om inte signalskyddssystem (kryptosystem) som godkänts av Försvarsmakten används.

§ 11 Underhåll

Vid service och underhåll av lagringsmedier som innehåller hemliga uppgifter får endast den personal som är behörig att ta del av hemliga uppgifter enligt SUA-avtalet användas. Om Företaget inte förfogar över sådan personal utan önskar anlita extern hjälp ska Myndighetens godkännande skaffas dessförinnan i enlighet med … i SUA-avtalet.

12 § Systemsäkerhetsansvarig

För IT-systemet ska finnas en, av Företagets verkställande direktör utsedd, person som ansvarar för säkerheten i systemet.

13 § Säkerhetsrapportering

Företaget ska omedelbart underrätta Myndigheten om inträffade eller befarade händelser och omständigheter, som kan påverka säkerhetsskyddet vad avser uppdraget och anställda som faller under detta avtal.

Bilaga 2 Mall för säkerhetsprövning

(underlag enligt Säkerhetsskyddslagen 1996:627)

Den här handlingen förvaras hos vår säkerhetsansvarige alt. vår personalansvarige tills upphandlingskontrakt alt. anställningsavtal slutits. Handlingen förvaras därefter hos beställaren alt. i personakten. Kopia sänds till Myndighetens SÄK-organisation tillsammans med övriga blanketter och eventuellt tillhörande bilagor som underlag för den registerkontroll (RK) som Myndigheten gör hos Säkerhetspolisen (SÄPO) i det fall Dina arbetsuppgifter kommer att vara säkerhetsskyddsklassade. Handlingen är sekretessbelagd enligt Sekretesslagen.

Ovanstående uppgifter rörande min person bestyrks. Jag ger mitt medgivande till eventuell registerkontroll och att kopia sänds till myndighetens SÄK-organisation.

Bilaga 3 Blankett SUA-underlag/
Förstagångsbesök

Bilaga 4 Exempel på sekretessbevis SUA

Jag bekräftar härmed att jag denna dag har informerats om innebörden och omfattningen av följande:

• Begreppet sekretess enligt 1 kap. 1 § andra stycket och 3 kap. 1 § offentlighets- och sekretesslag (2009:400).

• att sekretess gäller även efter avslutad anställning eller annan tjänstgöring i vilken offentlighets- och sekretesslagen är tillämplig (t ex den som har uppdrag hos myndigheten).

• att sekretess kan råda enligt 15 kap. 1 § offentlighets- och sekretesslagen för uppgift som rör Sveriges förbindelser med en annan stat eller mellanfolklig organisation, den så kallade utrikessekretessen.

• att sekretess kan råda enligt 15 kap. 2 § offentlighets- och sekretesslagen för uppgift som rör verksamhet för att försvara landet eller som i övrigt rör totalförsvaret, den så kallade försvarssekretessen.

• jag har upplysts om innebörden av begreppet ”behörig” enligt 7-8 §§ säkerhetsskyddsförordningen (1996:633) och vad detta innebär i fråga om att lämna en hemlig uppgift till annan person oavsett hur sådant lämnande sker

• 19 kap. brottsbalken som behandlar brott mot rikets säkerhet.

Sekretessupplysningen har meddelats av undertecknad, som även bevittnar den egenhändiga namnteckningen.

Jag bekräftar att jag denna dag, med anledning av att min anställning (eller motsvarande) kommer att upphöra, tagit del av sekretessbevisets innehåll.

.

Bilaga 5 Exempel på disposition av säkerhetsskyddsinstruktion

1. Allmänt

1.1 Säkerhetstjänstens organisation

1.1.1 Säkerhetsmän

1.2 Ansvarsförhållanden

1.3 Styrande dokument

1.4 Rapportering

2. Säkerhetsbestämmelser

2.1 Utbildning i säkerhetstjänst

2.2 Informationssäkerhet

2.2.1 Upprättande av sekretessbelagda handlingar som rör rikets säkerhet (hemliga handlingar)

2.2.2 Upprättande av sekretessbelagda handlingar som inte rör rikets säkerhet

2.2.3 Behörighet att ta del av hemliga uppgifter

2.2.3.1 Sekretessbevis

2.2.4 Registrering av hemlig handling

2.2.5 Kvittering

2.2.5.1 Kvittering vid mottagande av hemlig handling

2.2.5.2 Kvittering vid delgivning av hemlig uppgift muntligt eller genom visning

2.2.5.3 Signaturlista

2.2.6 Delgivning

2.2.6.1 Godkända lokaler och områden

2.2.7 Förvaring av hemlig handling

2.2.7.1 Samförvaringsbeslut

2.2.7.2 Gemensam användning av hemlig handling

2.2.7.3 Medförande av hemliga handlingar

2.2.8 Kopiering eller utdrag av hemlig handling

2.2.9 Förstöring av hemlig handling

2.2.10 Inventering av hemlig handling

2.2.11 Distribution av hemlig handling

2.2.11.1 Distribution av hemlig handling inom företaget

2.2.11.2 Distribution av hemlig handling utanför företaget

2.2.11.3 Distribution av hemlig handling till utlandet

2.2.12 Förlust av hemlig handling

2.3 Tillträdesbegränsning

2.3.1 Legitimation och inpasseringsbevis

2.3.2 Besöksrutiner

2.3.2.1 Medförande av elektronisk utrustning

2.3.3 Förvaring

2.3.3.1 Stöldbegärlig utrustning

2.3.3.2 Nycklar och koder

2.3.3.3 Rutiner vid öppning av förvaringsutrymme utan närvaro av medarbetaren

2.3.4 Rutiner för larm och bevakning

2.4 IT-säkerhet

2.4.1 Laptop, mobiltelefon, PDA etc

2.4.2 Digitala lagringsmedier

2.5 Säkerhetsprövning

2.5.1 Inför nyanställning

2.5.2 Under anställning

2.5.3 Skyddssamtal

2.5.4 Säkerhetssamtal

2.6 Underleverantör

Bilaga 6 Exempel på säkerhetsskydds-instruktion

1. Syfte

Denna instruktion ska gälla i tillämpliga delar för ...............(Företagets namn)

Instruktionen är föranledd av att företaget utför en beställning där säkerhetsskydd krävs enligt 8 § säkerhetsskyddslagen (1996:627).

Berörd personal inom företaget är skyldig att noggrant följa bestämmelserna i denna säkerhetsskyddsinstruktion.

2. Begreppsförklaringar

SUA-arbete

Uppdrag eller arbete för statens behov som med hänsyn till rikets säkerhet ska hållas hemligt enligt ett säkerhetsskyddsavtal som upprättats mellan en beställande myndighet och en leverantör.

I SUA kan ingå studie/planering, utveckling/projektering, anbudsgivning, upphandling, prov och försök samt produktion. Även garantiåtgärder kan omfattas av SUA.

Ett SUA-arbete har påbörjats i och med att en myndighet beslutar sätta igång ett projekt som efter bedömning kan antas innehålla hemliga uppgifter av betydelse för rikets säkerhet och där i något avseende annan myndighet, företag eller enskild person kan komma att anlitas som anbudsgivare, leverantör, entreprenör eller konsult.

Beställande myndighet

Beställare kan vara staten, kommunerna, landstingen eller ett verksamhetsställe med ekonomiskt ansvar som själv tar initiativ till och ombesörjer SUA. Beställare är även den som efter ett uppdrag fullföljer av annan beställare påbörjat arbete och som enligt 8 § säkerhetsskyddslagen ska träffa avtal om sådant arbete.

Leverantör

Företag (aktie-, handels-, kommanditbolag ekonomisk förening eller enskild firma) eller tillhörande filial, region- eller lokalkontor eller organisation som en beställande myndighet avser att anlita för SUA såsom anbudsgivare eller leverantör. Med leverantör avses i registerkontrollsammanhang ägare, verk- eller institutionschef eller beträffande aktiebolag styrelsen och verkställande direktör.

Hemlig uppgift

Med hemlig uppgift förstås uppgift som omfattas av sekretess enligt offentlighets- och sekretesslagen (2009:400) och som rör rikets säkerhet. Hemliga uppgifter kan framgå av handlingar, visst förhållande, anläggning, föremål eller muntlig uppgift.

Behörig att ta del av hemliga uppgifter är endast den som

• Bedöms pålitlig från säkerhetssynpunkt

• Har tillräckliga kunskaper om säkerhetsskydd och

• Behöver uppgifterna för sitt arbete i den verksamhet där de hemliga uppgifterna förekommer.

Alla andra är obehöriga att ta del av hemlig uppgift.

Säkerhetsskyddsavtal

Ett skriftligt avtal mellan beställande myndighet och leverantör eller underleverantör angående det säkerhetsskydd som bedöms nödvändigt för den enskilda upphandlingen. Ett säkerhetsskyddsavtal ska träffas/bekräftas vid varje SUA-upphandling.

3. Säkerhetsskyddsorganisation

Säkerhetsskyddschef med ställföreträdare ska finnas vid företaget.

Säkerhetsskyddet inom företaget planläggs, leds och övervakas av säkerhetsskyddschefen. Denne ska i fråga om säkerhetstjänsten lyda direkt under företagets ledning.

Säkerhetsskyddschefen är kontaktman till beställande myndighets enhet och ska till denna ofördröjligen anmäla om:

• skadegörelse skett på försändelse med hemligt innehåll

• hemlig handling, hemligt arbetsmaterial eller hemlig materiel förkommit eller saknas

• brister i säkerhetsskyddet, som inte enkelt kan avhjälpas, uppmärksammas inom företaget eller hos underleverantör

• obehörig söker skaffa upplysning om hemligt förhållande

• misstanke finns om brott såsom spioneri, sabotage eller liknande

• inbrott skett vid företaget eller hos enskild anställd vilken deltar i SUA-arbete.

Säkerhetschefen ska dessutom

• snarast göra polisanmälan om dröjsmål kan innebära att bevis går förlorade eller utredning av en händelse äventyras

• dokumentera förhållanden och åtgärder om säkerhetsskyddet

• föra förteckning över behöriga med fördelning på aktuella säkerhetsklasser.

4. Säkerhetsskyddsmän

Vid behov utser företaget säkerhetsskyddsmän, som inom respektive arbetsområde övervakar att gällande bestämmelser följs och anmäler eventuella överträdelser och brister till säkerhetsskyddschefen. Utsedda säkerhetsskyddsmän ska framgå av förteckning.

5. Val av personal och underleverantörer

• Beställande myndighets skriftliga godkännande ska begäras avseende anställd person, innan denne informeras om eller tas i anspråk för SUA-arbete

• annan anställd vid företaget vars uppgifter eller arbetsplats innebär att kännedom om hemliga uppgifter inte utan omfattande åtgärder kan undvikas

• annan person som förtaget ämnar anställa eller anlita för SUA-arbete

• underleverantör eller underentreprenör, innan sådan informeras om eller tas i anspråk för SUA-arbete.

Beställande myndighets ställningstagande till lämplig personal för ett SUA-arbete och deras föreslagna inplaceringar i säkerhetsklass grundar sig på förslag från entreprenören och leverantören. Föreslagna personer ska därför vara kända av företaget som lämpliga och pålitliga. Finns inte sådan kännedom ska den införskaffas i enlighet med vad som gäller för anställning av kvalificerad arbetskraft i allmänhet. Föreslagen personal ska informeras om att de kommer att registerkontrolleras (H SÄK SUA kap. 3.3.3 Säkerhetsprövning). Skriftlig bekräftelse av att berörd person lämnat sitt samtycke till registerkontroll ska medfölja förslaget till begäran om registerkontroll.

Löfte om anställning för uppdraget får under inga förhållanden lämnas innan beställande myndighet lämnat sitt godkännande.

6. Framställning av hemlig handling

Hemlig handling får med beställande myndighets medgivande framställas endast i det antal exemplar som absolut krävs för arbetet.

Om en handling upprättas i flera exemplar ska dessa numreras. Består handlingen av flera blad ska sidorna numreras i löpande följd och fästas ihop. På första sidan ska anges antalet sidor, antalet exemplar, handlingens exemplarnummer och, om bilagor medföljer, deras antal.

Såväl kopia av, som hemligt utdrag ur, hemlig handling ska hemligstämplas och införas i register med angivande av datum, antal exemplar och hur dessa fördelas. På utdrag antecknas från vilken handling detta gjorts.

Fråga om hemligstämpling av hemlig handling eller annat hemligt föremål ska överenskommas med beställande myndighet.

Hemligt arbetsmaterial såsom koncept, extra kopior, datamedier, karbonpapper, tryckmedia eller liknande som använts vid framställning av hemlig handling ska förstöras när det inte längre behövs.

Karta, bild eller motsvarande som upprättats med användande av hemlig kart- eller bildmaterial ska behandlas som hemlig handling. Uppkommer fråga om spridning eller publicering ska godkännande för detta via beställande myndighet begäras hos Lantmäteriverket.

7. Registrering

Hemliga handlingar införs av säkerhetsskyddschefen eller av utsedd behörig registrator i särskilt register.

Av registret ska framgå:

• datum då handlingen mottagits eller avsänts, avsändare eller adressat samt i förekommande fall postens inlämningsnummer

• registreringsnummer i förekommande fall för såväl avsändare som mottagare

• handlingens innehåll i korthet i form av ärendemening samt antalet bilagor

• vem som öppnat eller emballerat försändelsen, om detta inte är fastställt genom företagets organisation

• hos vem handlingen förvaras

• anteckning då kopia eller utdrag gjorts

• datum då handling förstörts, utbytts, saknas eller förkommit.

Hemlig materiel registreras på motsvarande sätt.

8. Kvittering

Hemlig handling och hemlig materiel ska kvitteras av mottagaren om inte annat överenskommits med beställande myndighet.

Kvittering ska göras med namnteckning och namnförtydligande. Detta kan ske i register, liggare eller på särskild kvittoblankett. Om särskild kvittoblankett används ska kvittot upprättas i minst två exemplar.

Då handlingen eller materielen återlämnas ska kvitteringen förses med anteckning härom. Originalkvittot ska återlämnas och dubblettkvittot förses med anteckning om återlämnandet.

Delgivning av en handling genom läsning eller på annat sätt ska bestyrkas på särskild lista med namnteckning och namnförtydligande.

9. Förvaring

Hemliga handlingar och hemlig materiel ska förvaras så att inte någon obehörig kan komma åt dem. Hemliga handlingar ska förvaras i förvaringsutrymme med lägst skyddsnivå motsvarande säkerhetsskåp enligt Standardiseringskommissionens normer (SIS), Svensk Standard 3492. Den som har anförtrotts och kvitterat hemliga handlingar ska ha ett eget förvaringsutrymme. Bankfack och förvaringsutrymmen, t.ex. på hotell, kan inte godkännas för förvaring av hemliga handlingar. Beställande myndighet kan efter framställan i undantagsfall bevilja avsteg.

Hemliga handlingar bör om möjligt förvaras åtskilda från öppna handlingar.

Förvaringsutrymme för hemliga handlingar och hemlig materiel ska hållas låst under tider då det inte står under omedelbar uppsikt av den som har ansvaret för detsamma.

Under kortare frånvaro från tjänsterum får hemliga handlingar ligga framme och under förutsättning att rummet är låst och insynsskyddat så att obehöriga inte kan ta del av handlingarna.

Hemlig materiel ska i tillämpliga delar förvaras på samma sätt som hemlig handling.

Hemlig handling eller materiel som medförs från företaget ska hållas under omedelbar uppsikt eller förvaras under samma skydd som vid företaget. För sådant medförande ska det finnas fullgoda skäl och tillstånd av vederbörlig säkerhetsskyddsansvarig.

10. Koder och nycklar

Vid inköp av förvaringsutrymme eller dörr till fast förvaringsutrymme ska nyckel levereras separat och direkt till företagets säkerhetsskyddschef. Innan nyckel lämnas till den som ska ansvara för förvaringsutrymmet ska den förvaras av säkerhetsskyddschefen eller av denne utsedd person. Sänds lås eller nyckel per post, ska försändelsen skickas som värdepost eller motsvarande. Distributören som nyttjas ska vara godkänd av beställande myndighet.

Säkerhetsskyddschefen eller av denne utsedd behörig ska föra förteckning över nycklar och koder till:

• förvaringsutrymmen för hemliga handlingar eller hemlig materiel

• rum där hemliga handlingar under kortare frånvaro får ligga framme, under förutsättning att rummet är insynsskyddat och låst med individuellt lås

• ytterdörrar till lokaler i vilka hemliga handlingar eller hemlig materiel förvaras.

Av förteckningen ska framgå

• vem som levererat lås och nycklar

• antal nycklar till varje förvaringsutrymme och lokal

• till vem och när nyckel utdelats eller återlämnats

• hur reservnyckel (kod) förvaras.

Förteckning, nyckelkvittenser, reservnycklar och anteckningar om kod ska förvaras i för hemlig handling föreskriven ordning.

Nyckel ska kvitteras och förvaras så att obehörig inte kan använda eller kopiera den.

Vid överlämning av förvaringsutrymme ska nycklar återlämnas, vilket skriftligen noteras i nyckelförteckning. Omställning av koder, och om möjligt lås, ska ske innan annan person får förvara hemlig handling eller hemlig materiel i samma förvaringsutrymme.

Reservnyckel (kod) får av annan behörig än innehavaren till förvaringsutrymmet användas endast i vittnes närvaro.

Användning av reservnyckel (kod) vid innehavarens frånvaro ska vara bestyrkt skriftligt av de båda närvarande.

Om nyckel saknas ska anmälan omedelbart göras till säkerhetsskyddschefen. Om det kan befaras att nyckel kopierats eller att kod kommit till obehörigas kännedom eller att nyckel eller kod obehörigen utnyttjats, ska låset eller koden snarast ändras. Detsamma gäller om förvaringsutrymme ska övertas av annan person.

11. Inventering och gallring

Hemliga handlingar, hemlig materiel, nycklar och anteckningar om koder i kuvert ska tid efter annan, om möjligt en gång om året eller med lämpliga intervaller inventeras av säkerhetsskyddschefen. Inventeringar ska protokollföras. Protokollet ska hanteras och förvaras som hemlig handling. Vid inventering bedöms om handlingen kan återlämnas till beställande myndighet eller om den ska förstöras (se13 Förstöring). Huvudregeln ska vara att endast de handlingar som är nödvändiga för uppdragets fullgörande ska behållas av den enskilde.

Inventering ska i övrigt genomföras då:

• nyckel saknas, befaras ha kopierats eller om kod kommit till obehörigs kännedom

• befattningshavare lämnat sitt förvaringsutrymme öppet, under sådan tid och under sådana förhållanden att obehörig kan ha tagit del av hemliga handlingar

• byte sker av befattningshavare

• anbud ej medfört upphandling

• slutbesiktning skett av fullgjort uppdrag.

Inventeringsrapport ska avges till beställande myndighet minst en gång per år.

12. Förlust

Saknas hemlig handling eller hemlig materiel, eller om det finns misstankar om att obehörig tagit eller sökt ta del av hemlig handling ska anmälan omedelbart göras till säkerhetsskyddschefen. Säkerhetsskyddschefen ska omgående underrätta företagsledningen och den beställande myndigheten.

13. Förstöring

Hemlig handling, hemlig materiel och hemlig arbetsmateriel får endast förstöras genom den beställande myndighetens försorg eller enligt dess direktiv.

Om en hemlig handling, som beställande myndighet lämnat ut blir obrukbar ska den omgående bytas ut hos myndigheten. Förstöring eller utbyte ska antecknas i registret (se punkt 7).

14. Befordran av hemliga uppgifter

Hemlig handling/uppgift får endast lämnas till den som är behörig och på sådant sätt att obehörig förhindras få del av den.

Muntlig delgivning av hemliga uppgifter får endast ske i lokal eller på plats som är godkänd från säkerhetsskyddssynpunkt.

Riskerna för obehörig avlyssning och insyn ska alltid beaktas.

Befordran av hemlig uppgift med telekommunikation som radio, telefax, telefon och liknande får inte ske. Endast i nödfall får telefon användas och då med omskrivningar och täckbenämningar. Vid minsta tveksamhet om den andra partens identitet ska motringning ske.

Vid färd till eller från, samt besök vid hemlig anläggning ska mobiltelefon eller kommunikationsradio normalt vara frånslagen (strömmen bruten). Avsteg från ovanstående kan medges av beställande myndighet, som då också anger villkor för detta.

Uppgift i t.ex. annonser, telefonkataloger, publikationer och på vägvisare, som på något sätt berör hemligt förhållande får inte lämnas utan beställande myndighets godkännande.

15. Befordran med bud

Som bud får endast anlitas den som från säkerhetsskyddssynpunkt bedöms vara pålitlig.

Hemlig handling ska vara inlagd i kraftigt omslag, som förhindrar läsning vid genomlysning, och vara väl tillslutet. Alternativt kan portfölj eller dokumentlåda av god hållfasthet användas. I sådant fall krävs lås som har god dyrksäkerhet och till vilken endast avsändaren och mottagaren har nyckel.

Vid budsändning till och från postanstalt förvaras värdeförsändelser i låst väska. Nyckel finns hos postmästaren och hos av företaget utsedd ansvarig.

16. Befordran med post

Försändelse till eller från företaget ska adresseras enligt överenskommelse mellan företaget och beställande myndighet. Om försändelsen innehåller hemlig handling ska den behandlas som värdeförsändelse och postens ESS-brev REK användas.

Hemlig handling ska vara inlagd i väl tillslutet värdekuvert som yttre omslag. För att försvåra obehörigt öppnande och läsning vid genomlysning ska handlingen vara inlagd i ett innerkuvert med svärtad insida som klistras samman med värdekuvertet.

Omslag kring tung eller skrymmande försändelse ska tåla stor påfrestning. Närmare anvisning kan fås hos beställande myndighet.

Av försändelsens yttre, adresskort postbox och liknande, får inte framgå att innehållet är hemligt.

Den som hämtar ESS-brev REK eller ESS-brev VÄRDE på postkontor ska kontrollera att försändelsen överensstämmer med kvittensen och att försändelsen är oskadad. Om den är skadad ska budet begära att anteckning görs om skadans art och omfattning. Mottagaren vid företaget ska kontrollera att försändelsen är oskadad. Om försändelsen är skadad ska anmälan omedelbart göras till säkerhetsskyddschefen, som ansvarar för att den beställande myndigheten underrättas.

Mottagaren ska kontrollera att innehållet överensstämmer med uppgifter i huvudhandling, missiv, sändlista eller liknande. Om så inte är fallet ska avsändaren omedelbart underrättas.

17. Befordran på annat sätt

Om praktiska skäl talar för att försändning eller transport bör ske på annat sätt ska detta regleras enligt överenskommelse med beställande myndighet.

18. Röjande signaler (RÖS)

All informationsbehandlande utrustning i drift avger oönskad strålning, ”signaler”, som kan röja den information som behandlas. Signalerna kan vara akustiska eller elektromagnetiska. Om de är tillräckligt starka kan de tränga utanför den använda utrustningen och lokalen där utrustningen finns och därmed möjliggöra obehörig avlyssning. Företaget ska inom ramen för överenskommelsen med beställaren hindra och försvåra dessa möjligheter till avlyssning.

19. IT-säkerhet

För databearbetning av hemliga uppgifter krävs särskilt godkännande av beställande myndighet. Informationsteknologin (IT) inom företaget ska tillgodose samma säkerhetsskyddskrav som gäller för den informationsbehandling i övrigt som ingår i SUA-arbetet.

Instruktionen följer vad som överenskommits i säkerhetsskyddsavtalet och vad som framgår av gällande föreskrifter och H SÄK IT.

För den information som inom företaget behandlas med hjälp av IT, men som inte berörs av sekretess med hänsyn till rikets säkerhet, ska bestämmelser för informationsskyddet utformas i samråd med den beställande myndighetens IT-chef. Instruktionerna ska utformas så att säkerhetsskyddet främst säkerställs mot följande hot:

• Informationsröjning genom avlyssning

• Förstörelse av information

• Förvanskning av information

• Falsk identitet

20. Tystnadsplikt och sekretessbevis

I fråga om hemliga uppgifter gäller tystnadsplikt i förhållande till alla som inte är behöriga (se punkt 2).

De som är placerade i säkerhetsklass ska genom säkerhetsskyddchefens försorg upplysas om omfattningen och innebörden av tystnadsplikten. Skriftligt bevis om detta ska upprättas och förvaras av säkerhetsskyddschefen eller av denne utsedd behörig och på sådant sätt att det inte kan åtkommas av obehöriga. När leverantören upphör med sin verksamhet ska undertecknade sekretessbevis sändas till den beställande myndigheten.

21. Tillträdesbegränsning

Tillträdesbegränsning ska hindra obehörigt tillträde till område, anläggning inom eller del av företaget, där hemliga uppgifter eller annat av betydelse för rikets säkerhet förvaras, eller verksamhet av sådan betydelse bedrivs.

De väsentligaste delarna av tillträdesbegränsningen utgörs av områdesskydd och av inre skydd. Områdesskyddet ska med hjälp av inpasseringskontroll och andra bevakningsåtgärder hindra obehöriga att komma in på företagets område eller i dess lokaler. I områdesskyddet ingår tekniskt skydd såsom stängsel, larm och liknande.

Det inre skyddet ska alla anställda vid företaget medverka i. Säkerhetsskyddspersonal kan bära särskilda igenkänningstecken. För identifiering av anställda eller endast av dem som deltar i SUA-arbetet tillhandahåller företaget identitetshandling.

22. Utbildning

Säkerhetsskyddschefen ansvarar för den behörighetsgrundläggande säkerhetsskyddsutbildningen samt för att behörig personal fortlöpande får tillräcklig utbildning om föreskrifter och instruktioner rörande säkerhetsskyddet inom företaget.

23. Kontroll

Säkerhetsskyddschefen ska fortlöpande kontrollera att endast godkänd personal anlitas och att föreskrifterna rörande informationssäkerhet, säkerhetsprövning och tillträdesbegränsning iakttas samt att säkerhetsskyddsnivån är jämn och tillräckligt hög.

Säkerhetsskyddschefen ska hålla beställande myndighet underrättad om inträffade eller befarade händelser eller åtgärder som kan påverka säkerhetsskyddet kring avtalade uppdrag (Säkerhetsrapportering).

Anteckningar ska föras om vad som framkommit vid interna kontroller. Dessa ska förvaras hos säkerhetsskyddschefen.

Den beställande myndigheten kan kontrollera att överenskomna säkerhetsskyddsåtgärder följs vid företaget. Sådan kontroll kan också utföras av Säkerhetspolisen eller av Försvarsmakten i samråd med den beställande myndigheten.

Säkerhetsskyddschefen ska oberoende av kontroller se till att fel och brister säkerhetsskyddet genast åtgärdas.

24. Ekonomi-, materiel- och personaladministration etc.

I redovisningshandlingar, t.ex. fakturor, bokföringshandlingar, statistiska redovisningar av personal och varor/tjänster, som adresseras utanför kretsen av den behöriga personalen, får inte uppgifter av hemlig karaktär ingå.

I samband med SUA-arbete på hemlig plats får endast beställande myndighets beteckning beträffande arbete eller företagets arbetsnummer, dock inte arbetsplatsen, anges på faktura, reseräkning eller annan handling.

25. Övrigt

När leverantör ämnar vidta personella ändringar beträffande säkerhetsskyddspersonalen ska detta omgående meddelas den beställande myndigheten. Detsamma gäller när leverantör byter namn, styrelse, adress, försätts i konkurs eller annat som förändrar förutsättningarna för det ingångna säkerhetsskyddsavtalet.

Säkerhetsskyddsinstruktionen

Bilaga 7 Lathund för kontroll/ tillsyn av ett företag med säkerhetsskyddsavtal nivå 1

Förberedelser inför kontroll:

• Ta fram säkerhetsskyddsavtalet/-en

• Ta fram senast genomförda säkerhetsanalys för uppdraget /-en

• Ta fram protokoll från tidigare gjord(a) kontroll(er). (Bra utgångspunkt om förutsättningarna inte ändrats alltför mycket sedan tidigare kontroll.)

• Ta fram företagets säkerhetsskyddsinstruktion eller motsvarande

• Om flera förband/myndigheter har säkerhetsskyddsavtal med företaget, kontakta dessa och undersök samordningsmöjligheter, efterforska deras erfarenheter av företaget etc.

• Kontrollera pågående beställningar via upphandlingsenheten

• Vid behov begär kopior på fakturor från genomförd verksamhet.

Läs igenom grunderna i SäkL, SäkF, FFS 2003:7 samt FIB 2007:2, senast ändrad genom FIB 2010:1, samt Handbok SÄK SUA.

Kontakta MUST för att få uppgifter om vilka säkerhetsskyddsavtal som företaget, som ska kontrolleras, har ingått med FM och eventuellt andra myndigheter.

Klara ut vilka funktioner (personer) som behöver medverka vid kontrollen avseende SUA (Säk, upphandling, ekonomi m.fl.) och avtala tid.

Samla uppkomna frågor som ska besvaras under kommande kontrollbesök.

Observera! SUA är inte en upphandlingsfråga eller en säkerhetsskyddsfråga. SUA är en upphandlings- och säkerhetsskyddsfråga, som i princip enbart kan tillgodoses i samarbete mellan beställare, upphandlare och beställarens säkerhetsskyddsfunktion. Syftet är att samtidigt uppfylla säkerhetsskydds- och upphandlingslagstiftningen.

Genomförande av kontroll vid besök

• Kontrollen anpassas till företagets verksamhet

• Uppfyller företaget ställda krav enligt Säkerhetsskyddsavtalet och egen Arbetsordning/ Säkerhetsskyddsinstruktion?

• Är företagsledningen den som anmälts till Bolagsverket (kontrollera aktuellt registreringsbevis)

• Är personallistorna korrekta/uppdaterade?

• Har sekretessbevis tecknats med SUA- företagets personal?

• Hur genomförs säkerhetsprövningen?(vilka personer omfattas av uppdraget och hur är de säkerhetsprövade)

• Registerkontroll? Medgivande?

• Utbildning av SUA- företaget?