Säkerhetsskydd

Säkerhetsskyddsavtal och exponering av säkerhetskänslig verksamhet

Ett säkerhetsskyddsavtal, ofta benämnt SUA, tecknas när säkerhetsskyddsklassificerade uppgifter ska överlämnas till en part utanför den egna organisationen, eller när en extern part på annat sätt ska delta i säkerhetskänslig verksamhet.

Detta uppstår inte enbart vid upphandling från en myndighet, utan kan även gälla mellan privata aktörer, vid samarbeten, uppdrag eller andra situationer där skyddsvärden överlämnas eller delas. Avtalet reglerar vilka säkerhetsskyddsåtgärder motparten ska vidta och är en förutsättning för att överlämnandet eller samarbetet ska få genomföras.

För verksamhetsutövare

Beställaren ansvarar för att identifiera vilka krav som behöver ställas på leverantören utifrån den egna verksamhetens skyddsvärden och den aktuella upphandlingens karaktär. Kraven omfattar typiskt personalsäkerhet, informationssäkerhet och fysisk säkerhet, och ska vara funktionsbaserade och proportionerliga i förhållande till verksamhetens behov. Utöver att formulera avtalet ansvarar beställaren även för att följa upp att leverantören lever upp till sina åtaganden genom hela avtalstiden.

För leverantörer och underleverantörer

En verksamhet som har ingått ett säkerhetsskyddsavtal behöver vidta de säkerhetsskyddsåtgärder som avtalet föreskriver. För verksamheter utan tidigare erfarenhet av säkerhetsskyddsarbete kan detta innebära ett omfattande arbete, både organisatoriskt och tekniskt. Det omfattar bland annat en säkerhetsskyddsorganisation med tydligt fördelat ansvar, rutiner för vilka medarbetare som får del av säkerhetsskyddsklassificerade uppgifter, informationssystem och lokaler som håller den skyddsnivå avtalet anger, samt förmågan att rapportera och hantera säkerhetshändelser.