Hur sätts nivån på ett säkerhetsskyddsavtal mot bakgrund av säkerhetsklassningen?

Hej!

Är det möjligt att ställa krav på en leverantör att den måste uppfylla nivå 1 i en säkerhetsskyddad upphandling men att säkerhetsskyddsklassificeringen av handlingarna sedan kanske bara når nivå 3 eller till och med 4?

Hej.

Inledningsvis bör det nämnas att Säkerhetspolisen (eller den myndighet som utövar tillsyn på er verksamhet) är tillsynsmyndighet inom det här området. Renodlade frågor om säkerhetsskydd, som den ni ställer, ska i första hand ställas till er tillsynsmyndighet.

Säkerhetsskydds­avtalets olika nivåer regleras i Säkerhetspolisens föreskrifter om säkerhetsskydd (PMFS 2022:1). Nivåerna på säkerhetsskyddsklassificerade uppgifter (säkerhetsskyddsklasser) regleras i säkerhetsskyddslagen (2018:585).

I säkerhetsskyddslagen delas säkerhets­skydds­klassificerade uppgifter in enligt följande säkerhetsskyddsklasser:

1. kvalificerat hemlig vid en synnerligen allvarlig skada,
2. hemlig vid en allvarlig skada,
3. konfidentiell vid en inte obetydlig skada, eller
4. begränsat hemlig vid endast ringa skada.

Säkerhetsskyddsavtal med nivå 1 blir enligt Säkerhetspolisens föreskrifter tillämplig om leverantören utanför verksamhets­utövarens lokaler eller utrymmen kommer

• få tillgång till eller möjlighet att förvara säkerhetsskydds­klassificerade uppgifter i säkerhetsskydds­klassen konfidentiell (motsvarar säkerhetsskyddsklass 3) eller högre, eller
• få tillgång till säkerhetskänslig verksamhet där åtkomst till verksamheten kan medföra en inte obetydlig skada för Sveriges säkerhet.

Av Säkerhetspolisens föreskrifter framgår det även att en verksamhetsutövare som avser att genomföra en upphandling eller motsvarande som rör säkerhetsskyddsklassificerade uppgifter i säkerhetsskyddsklassen begränsat hemlig (motsvarar säkerhetsskyddsklass 4) eller säkerhetskänslig verksamhet av motsvarande betydelse för Sveriges säkerhet, ska säkerställa att säkerhetsskyddet regleras på något annat sätt än genom ett säkerhetsskyddsavtal.

Huvudregeln är alltså att det inte är möjligt att ställa krav på säkerhetsskyddsavtal om det endast rör sig om säkerhetsskyddsklassificerade uppgifter i säkerhetsskyddsklass 4. Men det är möjligt att ställa krav på säkerhetsskyddsavtal nivå 1 om de säkerhetsskyddsklassificerade uppgifterna uppnår säkerhetsskyddsklass 3 eller högre. Det är dessutom möjligt att ställa krav på säkerhetsskyddsavtal nivå 1 om det rör sig om säkerhetskänslig verksamhet där åtkomst till verksamheten kan medföra en inte obetydlig skada för Sveriges säkerhet.

Den nya säkerhets­skydds­lagen gäller för den som till någon del bedriver verksamhet som är av betydelse för Sveriges säkerhet eller som omfattas av ett för Sverige förpliktande internationellt åtagande om säkerhetsskydd. Denna verksamhet benämns som säkerhetskänslig verksamhet i säkerhets­skydds­lagstiftningen.

I detta sammanhang måste man särskilja på följande:

• nivåerna för säkerhetsskyddsklassificerade uppgifter (säkerhetsskyddsklasser),
• nivåerna för säkerhetsskyddsavtal samt
• nivåerna för säkerhetsklassning.

Observera att i detta svar har endast säkerhetsskyddsklasserna och dess relation till säkerhetsskyddsavtalets olika nivåer behandlats. Nivåerna för säkerhetsklassning av personal har egna bestämmelser i säkerhetsskyddslagstiftningen.

Om säkerhetsskydd blir aktuellt i samband med en upphandling ska även de grundläggande upphandlingsprinciperna följas.

Läs mer
Läs mer om säkerhetsskyddade upphandlingar på vår webbplats. Information om säkerhetsskydd finns även på Säkerhetspolisens webbplats. Se även Säkerhetspolisens vägledning Säkerhetsskyddad upphandling vilken beskriver processen samt ger vägledning till relevanta bestämmelser i säkerhetsskyddslagen, säkerhetsskyddsförordningen och 7 kap. Säkerhetspolisens föreskrifter om säkerhetsskydd.

Källhänvisningar

• Säkerhetsskyddslagen 2018:585.
• Säkerhetspolisens föreskrifter om säkerhetsskydd PMFS 2022:1.

Med vänlig hälsning,