Offentliga och privata verksamheter ställs med jämna mellanrum inför frågor från tillsynsmyndigheter om sin hantering av säkerhetsskydd. Svaren på dessa frågor kan få långtgående konsekvenser – därför krävs ett genomtänkt, systematiskt tillvägagångssätt. Den här texten belyser varför en säkerhetsskyddsanalys är avgörande innan man besvarar sådana enkäter.
Vanliga frågor – och det snabba, felaktiga svaret
”Hanterar ni säkerhetsskyddsklassificerade uppgifter enligt 1 kap. 2 § andra stycket säkerhetsskyddslagen (2018:585)?”
”Har ni anläggningar, system eller tillgångar som är av betydelse för Sveriges säkerhet, enligt 2 kap. 3 § i Säkerhetspolisens föreskrifter (PMFS 2022:1)?”
För den som snabbt tänker och kryssar i ”nej” och sedan skriver under enkäten, kan det kännas som att saken är avklarad – verksamheten är inte säkerhetskänslig, alltså gäller inget särskilt ansvar. Men det är just här ett vanligt, men allvarligt tankefel smyger sig in.
Det vanliga tankefelet – att anta istället för att göra en säkerhetsskyddsanalys
En verksamhetsutövare kan inte avgöra om den bedriver säkerhetskänslig verksamhet bara genom magkänsla eller allmän uppfattning. Det krävs något mer – en grundläggande, systematisk och dokumenterad säkerhetsskyddsanalys med bakomliggande resonemang och bedömningar.
Säkerhetsskyddsanalysen är nyckeln – inte resultatet i sig
Säkerhetsskyddsanalysen är inte något som bara behövs när man redan vet att verksamheten är säkerhetskänslig. Den är i själva verket det verktyg som ska användas för att ta reda på om så är fallet. Utan analysen saknas ett stabilt underlag för att svara på frågorna i enkäten, och risken är stor att man – i god tro – missar faktorer som i själva verket gör att man omfattas av säkerhetsskyddslagstiftningen.
En korrekt genomförd säkerhetsskyddsanalys hjälper verksamhetsutövaren att identifiera skyddsvärda tillgångar, bedöma konsekvenser vid olika typer av hot och analysera om verksamheten bidrar till samhällets funktionalitet eller Sveriges säkerhet på ett sådant sätt att säkerhetsskydd krävs. Först när analysen är gjord kan man med saklighet, transparens och rättssäkerhet motivera sina svar – oavsett om de är ”ja” eller ”nej”.
Och, detta är det värt att påminna om: Även om analysen landar i att verksamheten inte bedriver säkerhetskänslig verksamhet, så har den fyllt en avgörande funktion. Den har skapat förståelse, tydliggjort risknivåer, och dokumenterat varför vissa skyldigheter inte anses vara aktuella. Det är i sig en del av att bedriva ett ansvarsfullt säkerhetsskyddsarbete.
Avslutning: Börja med analys – inte med svar
Säkerhetsskyddslagstiftningen bygger på principen att skyddsåtgärder ska anpassas efter vad som faktiskt behöver skyddas. Men för att kunna göra den anpassningen måste vi först veta vad som finns att skydda. Det tar vi reda på genom analysen – inte genom en kryssruta i en enkät.
Så nästa gång frågan kommer från tillsynsmyndigheten – börja inte med att svara. Börja med att analysera.
