SUA: Så fungerar säkerhetsskyddad upphandling
SUA betyder säkerhetsskyddad upphandling med säkerhetsskyddsavtal. Själva avtalet heter säkerhetsskyddsavtal och krävs när en extern aktör kan få tillgång till uppgifter i säkerhetsskyddsklassen konfidentiell eller högre, eller till säkerhetskänslig verksamhet av motsvarande betydelse. Avtalet ska finnas innan åtkomst ges och kompletteras av prövningar, kontroll och ibland samråd med tillsynsmyndigheten.
·
Bild från: NVBS
När krävs ett SUA?
Ett säkerhetsskyddsavtal krävs när en verksamhetsutövare låter en annan aktör få möjlig tillgång till säkerhetsskyddsklassificerade uppgifter på nivån konfidentiell eller högre. Samma krav gäller när aktören kan få tillgång till annan säkerhetskänslig verksamhet av motsvarande betydelse för Sveriges säkerhet.
Kravet omfattar upphandling, avtal, samverkan och samarbete. Det gäller också en underleverantör som genom sitt uppdrag kan få den aktuella åtkomsten. Säkerhetsskyddsavtalet ska vara ingånget innan motparten får tillgång till verksamheten.
| Situation | Följd |
|---|---|
| Åtkomst till konfidentiell eller högre klassificerad uppgift | Säkerhetsskyddsavtal krävs. |
| Åtkomst till annan säkerhetskänslig verksamhet av motsvarande betydelse | Säkerhetsskyddsavtal krävs. |
| Underleverantör får sådan åtkomst | Ett separat säkerhetsskyddsavtal ska ingås med underleverantören. |
SUA-kravet gäller även vid direktupphandling och vid upphandling som är undantagen från upphandlingslagarnas tillämpningsområde. Bedömningen utgår från den möjliga åtkomsten, inte från vilket upphandlingsförfarande som används.
Vilka bedömningar ska göras före en säkerhetsskyddad upphandling?
Före en säkerhetsskyddad upphandling ska verksamhetens säkerhetsskyddsanalys, en särskild säkerhetsskyddsbedömning och en lämplighetsprövning göras. Analysen ska dokumentera behovet av säkerhetsskydd och ligga till grund för åtgärder inom informationssäkerhet, fysisk säkerhet och personalsäkerhet.
Inför ett förfarande som kräver SUA tillkommer en särskild säkerhetsskyddsbedömning och en lämplighetsprövning. Den särskilda bedömningen identifierar vilka uppgifter eller vilken verksamhet den externa aktören kan få tillgång till. Lämplighetsprövningen avgör om förfarandet är lämpligt från säkerhetsskyddssynpunkt. Båda ska dokumenteras, och ett olämpligt förfarande får inte inledas.
| Underlag | Fråga som ska besvaras | Tidpunkt |
|---|---|---|
| Säkerhetsskyddsanalys | Vilka skyddsvärden och säkerhetsskyddsåtgärder finns i verksamheten? | För verksamheten och som grund för det löpande arbetet. |
| Särskild säkerhetsskyddsbedömning | Vilken säkerhetskänslig åtkomst kan motparten få? | Före det planerade förfarandet. |
| Lämplighetsprövning | Är förfarandet lämpligt från säkerhetsskyddssynpunkt? | Före det planerade förfarandet. |
Hur genomförs SUA-processen före åtkomst?
SUA-processen går från den särskilda säkerhetsskyddsbedömningen och lämplighetsprövningen till avtal, säkerhetsprövning och kontrollerad åtkomst. Förfarandet ska stoppas om lämplighetsprövningen visar att det är olämpligt från säkerhetsskyddssynpunkt.
- Identifiera åtkomsten: Gör den särskilda säkerhetsskyddsbedömningen utifrån de uppgifter och delar av verksamheten som motparten kan nå.
- Pröva lämpligheten: Dokumentera om upplägget kan genomföras med ett tillräckligt säkerhetsskydd.
- Samråd när tröskeln nås: Samråd ska ske med tillsynsmyndigheten före förfarandet om åtkomsten gäller hemlig eller högre klassificerad uppgift, eller verksamhet av motsvarande betydelse.
- Teckna SUA: Avtalet ska ange motpartens krav, verksamhetsutövarens kontroll och rätten att revidera avtalet när förhållandena ändras.
- Säkerhetspröva personer: Den som ska delta i säkerhetskänslig verksamhet ska prövas innan deltagandet börjar och följas upp under tiden.
Vem ansvarar för säkerhetsprövning och kontroll?
Verksamhetsutövaren ansvarar för att säkerhetsskyddsbehovet utreds, att rätt avtal tecknas och att motpartens efterlevnad kontrolleras. En säkerhetsskyddschef ska finnas om det inte är uppenbart obehövligt. Säkerhetsskyddschefen leder, samordnar och kontrollerar arbetet, och det ansvaret kan inte delegeras.
Säkerhetsprövningen ska bedöma lojalitet, pålitlighet från säkerhetssynpunkt och sårbarheter. Den innehåller alltid en grundutredning. Registerkontroll görs när deltagandet har placerats i säkerhetsklass, och en särskild personutredning ska göras vid registerkontroll i säkerhetsklass 1 eller 2.
Verksamhetsutövaren ska kontrollera avtalet under hela förfarandet och revidera det när förhållandena ändras. Om motparten inte följer avtalet ska verksamhetsutövaren vidta de åtgärder som krävs för att säkerhetsskyddet ska upprätthållas.
Vad händer vid samråd, tillsyn och avtalets slut?
Vid samråd och tillsyn kan tillsynsmyndigheten förelägga verksamhetsutövaren att vidta åtgärder eller förbjuda ett planerat förfarande när lagens förutsättningar är uppfyllda, medan säkerhetsskyddsavtalet ska upphöra när kontraktet eller ramavtalet upphör. Tillsynsmyndigheten får även utöva tillsyn hos motparten. Tillträdesrätten omfattar inte bostäder.
Sanktionsavgiften är minst 25 000 kronor och högst 50 000 000 kronor. För en statlig myndighet, kommun eller region är högsta beloppet dock 10 000 000 kronor.
Klassificerade handlingar ska återlämnas eller förstöras enligt verksamhetsutövarens anvisningar, och enskilda registerkontroller ska avslutas separat.
Ett tecknat säkerhetsskyddsavtal ska anmälas till Säkerhetspolisen på en särskild blankett. Ett pågående förfarande enligt 4 kap. 1 a § säkerhetsskyddslagen ska i stället utan dröjsmål anmälas till tillsynsmyndigheten. Skyldigheten enligt 4 kap. 1 a § ska fullgöras först från och med den 1 januari 2027.
Vanliga frågor om SUA
Kan ett sekretessavtal ersätta ett SUA?
Nej, inte när förutsättningarna för ett säkerhetsskyddsavtal är uppfyllda.
Måste ett SUA anmälas till Säkerhetspolisen?
Ja. När säkerhetsskyddsavtalet har tecknats ska det anmälas till Säkerhetspolisen på en särskild blankett. Säkerhetspolisen ska också meddelas om avtalet upphör eller förlängs.
Kan beslut om SUA och säkerhetsskydd överklagas?
Vissa beslut kan överklagas. Förelägganden och sanktionsavgifter som räknas upp i säkerhetsskyddslagen överklagas till Förvaltningsrätten i Stockholm, medan vissa förbud överklagas till regeringen.
