OM SÄKERHETSSKYDDAD UPPHANDLING MED SÄKERHETSSKYDDSAVTAL (SUA) OBS SKA EJ FYLLAS I! ENDAST FÖR KÄNNEDOM. (EV.) BILAGA TILL AFFÄRSAVTAL KONTAKTPERSONER Beställare: Leverantör: Tfn. [x] Tfn. [x] Mobil [x] Mobil [x] E-post [x] E-post [x] Beställarens säkerhetshandlä ggare (SUA) Ev. leverantörens arbetsledare: Tfn. [x] Tfn. [x] Mobil [x] E-post [x] Beställarens lokalt säkerhetsansvarige (Tillträde m.m.) Leverantörens säkerhetsansv arige Tfn. [x] Tfn. [x] Mobil [x] E-post [x] Kontaktperson hos leverantören (företaget/uppdragstagaren) har, om inte annat skriftligen meddelats Polismyndigheten, behörighet att på Leverantörens vägnar och med för denne bindande verkan, företräda honom i frågor som berör uppdragets specifikation och genomförande. Säkerhetsansvarig/säkerhetsskyddschefen ska i detta uppdrag vara direkt underställ företagets ledning (se nedan). 2 VERKSAMHETSSKYDD, SÄKERHET M.M. Polismyndighetens verksamhet kräver ett omfattande verksamhets- och säkerhetsskydd. Det finns ett antal allvarliga hot mot rättsväsendet och inte minst mot Polisen. Det finns också styrande regler i lagstiftning inom området. I detta ingår bl.a. att det säkerhetsskydd som behövs ska finnas i verksamheten. Skyddet ska upprätthållas även hos de eventuella leverantörer och andra uppdragstagare, som berörs.
Säkerhetsskyddsavtal (SUA) ska tecknas. Se vidare nedan. Polismyndigheten har bl.a. därför beslutat att placera bl.a. denna typ av tjänst/uppdrag med de anställda i säkerhetsklass enligt Säkerhetsskyddslagen (1996:627). Detta förutsätter att säkerhetsskyddsavtal enligt 8 nämnda lag, träffas mellan myndigheten och leverantören. Se vidare under pkt 3.3. nedan. 2.0 Polismyndighetens säkerhetsorganisation. Polismyndigheten har vid rikspolischefens kansli en verksamhetsskyddsenhet. Där finns myndighetens verksamhetsskyddschef, tillika säkerhetsskyddschef. Vid de sju Polisregionernas kanslier finns också verksamhetsskydd och en regional verksamhetsskyddschef tillika biträdande säkerhetsskyddschef i Polismyndigheten (av åtta stycken i myndigheten. Den sistnämnda resursen hanterar verksamhets- och säkerhetsskyddsfrågor på regional nivå. Respektive Polisområde (PO) har säkerhetsskyddsansvar för och inom sin verksamhet och lokaler. Vanligen finns det en utpekad handläggare/ansvarig för dessa frågor på denna nivå. Undantag är Rättscentrum (RC) Göteborg, huvudsakligen Polishuset byggnadsdelarna A-, B- och C- husen, där bl.a. detta och lokaler på Stampgatan, där det regionala verksamhetsskyddet har ett utpekat ansvar för dessa lokaler även på lokal nivå. I och för detta uppdrag finns en särskild handläggare, säkerhetsamordnare, en medarbetare vidverksamhetsskyddet. 1.1 Verksamhets- och säkerhetsskydd, säkerhet m.m. Mot den bakgrund som redovisats ovan har Polismyndigheten att vidta ett antal åtgärder för att uppfylla sina verksamhetsskydds- och säkerhetsskyddskrav. Vid användning av externa leverantörer m.fl. ska dessa åtgärder säkerställas även hos dessa. 1.2 Säkerhetsskyddad upphandling med säkerhetsskyddsavtal (SUA). Säkerhetsskyddsavtal ska tecknas. Enligt reglerna i 8 Säkerhetsskyddslagen (1996:627) företräder Polismyndigheten Staten. Polisverksamheten innebär att myndigheten måste skydda sekretessbelagda (hemliga) uppgifter i samband med upphandlingen och tjänsten/uppdraget. Detta innebär att i dessa fall kräver Polismyndigheten att reglerna gällande Säkerhetsskyddad upphandling med säkerhetsskyddsavtal (SUA) avtalas (tecknas) och följs. Aktuella lagrum och författningsregler för SUA är bl.a.: Lagen om offentlig upphandling (2007:1091). Lagen (2011:1029) om upphandling på försvars- och säkerhetsområdet (med sin gemensamma förordning ((2010:1040)). Säkerhetsskyddslagen (1996:627) Säkerhetsskyddsförordningen (1996:633). Rikspolisstyrelsens (dåvarande) föreskrifter om säkerhetsskydd Till detta kommer Polismyndighetens regler om säkerhetsskydd, 244 samt Offentlighets och sekretesslagen (2009:400). De uppgifter som ska skyddas är vanligen sådana som berör Rikets- och Polisens säkerhet. Däribland skyddsvärda uppgifter, t.ex. säkerhets- eller bevakningsåtgärder som rör byggnader, anläggningar, larm, lås och passersystem m.m. Anndra skyddsvärda uppgifter rör Polismyndighetens verksamhet för förebygga, uppdaga, utreda eller beivra brott. Personbedömning med registerkontroll är också en viktig del. På samma grunder ska även den som är föremål för Polisens intresse skyddas.
Det finns tre olika klasser (nivåer) av SUA, nivå 3, 2 och 1. Främst beroende av hur mycket sekretess samt på vilket sätt som leverantören, eller dess anställda, beräknas få eller kan komma att få del av samt hur eventuella handlingar m.m. ska förvaras/hanteras. Vissa av Polismyndighetens lokaler är skyddsobjekt där särskilda regler kan gälla. Dessa regler är dock inte styrande för säkerhetsskyddet utan snarare en del av detta. Reglerna finns i Skyddslagen (2010:305). Det är vanligen förbjudet att avbilda (t.ex.fotografera) Polismyndighetens skyddsobjekt och lokaler (även i eller inom, dessa). Om företaget måste kunna förvara Polismyndighetens sekretess i sina, företagets, lokaler ställs samma krav på säkerhetsskydd hos detta som hos Polismyndigheten. Det innebär bl.a. att man troligen måste skaffa förvaringsmöjligheter, säkerhets- eller värdeskåp. Ha särskilda larminstallationer, lås och visst övrigt skydd. Man kan ibland behöva göra visa ombyggnader av lokaler. Detta är främst aktuellt i SUA-avtalsnivå 1. För uppdrag gäller vanligen säkerhetsskyddsavtal samt kontroll och klassning enligt SUA nivå 3 (alt. 2 eller 1). Detta innebär att anbudsgivare och leverantörer och/eller dess personal normalt inte ska eller avses komma att hantera och förvara sekretessbelagda (hemliga ) uppgifter men kan komma att få del av sådana uppgifter i anbudet eller i samband med arbetet. Om leverantören kommer att behöva förvara Polismyndighetens sekretess i företagets egna lokaler så ska det finnas SUA-avtal i nivå 1 (ett) och då med särskilda krav från Polismyndigheten på företagets säkerhetsskydd (i och för företagets lokaler). X.2. Säkerhetsskyddsavtal och krav på företaget/leverantören. I enlighet med det säkerhetsskyddsavtal som tecknats skall leverantören utse en säkerhetsansvarig (säkerhetsskyddschef) och vid behov och enligt överenskommelse med Polismyndigheten, eventuellt lokalt säkerhetsansvariga för region, visst arbetsställe eller motsvarande. Säkerhetsansvarig ska i enlighet med säkerhetsskyddsavtalet ansvara för att villkorat och överenskommet säkerhetsskydd upprätthålls och efterlevs samt att utbildningar av personal genomförs. Leverantören ansvarar genom säkerhetsansvarig för den säkerhetsskyddshantering samt hantering av underlag och handlingar som krävs enligt säkerhetsskyddsavtalet. Leverantören ska med sin säkerhetsansvarige delta i de möten som behövs för att - erhålla den utbildning som krävs för att leverantören ska kunna hålla det avtalade säkerhetsskyddsansvaret. - erhålla underlag och utbildning för att ta fram de handlingar som krävs för säkerhetsskyddsarbetet. - fortlöpande göra och bevaka personbedömning m.m. samt anmäla/avanmäla registerkontroller och hantera dessa. - utbilda personalen och sköta hanteringen av sekretessbevis. - i övrigt enligt säkerhetsskyddsavtalet vara myndighetens kontakt i säkerhetsskyddsfrågor. Beställaren/Polismyndigheten kommer att kalla till en (eller flera) säkerhetsgenomgång före entreprenadens eller uppdragets start, där Leverantörens personal i uppdraget ska medverka. Beställaren/myndigheten kan vid behov medverka i den säkerhetsutbildning m.m. som leverantörens personal ska genomgå.
1.3 Användning och byte av personal Behörig personal. Leverantören får inte för arbete eller uppdrag för Polismyndigheten använda personal som inte medgivit och genomgått registerkontroll och som myndigheten därefter godkänt från säkerhetssynpunkt. Leverantören ska ha gjort en personbedömning från säkerhetssynpunkt. Leverantören ska omedelbart byta ut sådan personal som inte bedöms eller längre kan bedömas lämpliga från säkerhetssynpunkt. Leverantören ska snarast byta ut sådan personal vilken Polismyndigheten anser sakna erforderlig kompetens eller med vilken myndigheten anser sig ha samarbetssvårigheter. Säkerhetsskyddsavtal om vilka regler som gäller och vilka åtgärder som ska vidtas skrivs mellan Polismyndigheten och Leverantören/företaget. Detta avtal kan i vissa fall (t.ex. SUA-avtalsnivå 1) göra att företaget ska upprätta en säkerhetsskyddsinstruktion. Instruktionen är en beskrivning och regler av och för de säkerhetsskyddsåtgärder och säkerhetsskyddsrutiner som gäller för och inom företaget (företagets egna säkerhetsskyddsregler). Polismyndigheten brukar inte alltid kräva att en sådan upprätts om inte överenskommelse om detta träffats särskilt. Personbedömning. Företaget får bra använda pålitlig personal. Med detta menas att företaget ska ha bedömt att dessa är pålitliga från säkerhetssynpunkt. Detta kräver bl.a. referenstagning med annat innehåll än arbetsduglighet. Vidare samtal som gör att bedömaren har ställt frågor som rör denna pålitlighet. Har man haft kontakter med Polisen, Rättsväsendet m.m. Registerkontroll ska genomföras av företagets ledning (kan komma att inte genomföras), säkerhetsansvarige, eventuell registrator/motsvarande (om en sådan ska finnas) samt den personal som ska delta i arbetet hos beställaren eller i myndighetens lokaler. Registerkontroll innebär att uppgifter om berörda kontrolleras i olika polisregister (se mer detaljerad info nedan). Sekretessbevis tecknas med företagets VD (inte alltid), säkerhetsskyddsansvarig och den personal som Leverantören/företaget behöver för att genomföra uppdraget. Polismyndigheten gör registerkontroll på (den personal som kommer att komma i kontakt med sekretessen). Sekretessbeviset är bl.a. en förbindelse att inte röja någon hemlig (sekretessbelagd) information till den som inte är behörig till den (se bl.a. Brottsbalken (1962:700) 20 kap 4 om brott mot tystnadsplikt och andra hithörande brott). Säkerhetsskyddsutbildning med den personal som ska delta i arbetet/uppdraget och säkerhetsansvarig kan ske under det s.k. förstagångsbesöket där Polismyndigheten står för utbildningen. Utbildning av tillkommande personal ska ske genom säkerhetsansvarigs försorg. Utbildningen omfattar bland annat: Hot och hotbild. De hot och risker som Polismyndigheten utgår ifrån och som grundar verksamhets- och säkerhetsskyddsbehovet. De regelverk som finns för tillträdesbegränsning såsom lås, larm, fönster dörrar väggar passerkontrollsystem, nyckel- eller korthantering m.m. (inkl. användning av dessa). Den informationssäkerhet som myndigheten tillämpar bl.a. för förvaring, hantering, delgivning och transport av hemliga uppgifter (papper, mediaskivor, ritningar, USB-minnen, datorer m.m.). IT-säkerhetskrav för hantering och förvaring av öppna och hemlig uppgifter i ITsystem. Personbedömningskrav. Vad som ingår i personbedömningen. Registerkontroll. Polisregister m.m. Sekretesskrav och regler som följd av dessa. Den sekretess och andra skyddsvärda uppgifter som myndigheten har att hantera. Förstagångsbesöket följs normalt upp med ett eller flera kontrollbesök, föranmälda eller överraskande. Hela SUA förfarandet, inkl. registerkontroller, måste vara klart innan något arbete får påbörjas. Säkerhetsprövning med registerkontroll. Registerkontroll är en del av personbedömningen (se ovan). Personbedömningen svarar företaget/leverantören för. Det är Säkerhetspolisen (SÄPO) som gör de registerslagningar som ingår, på begäran av Polismyndigheten. Innan en registerkontroll genomförs ska den som ska kontrolleras personligen godkänna (skriftligen medge) att kontrollen görs. Om någon person inte lämnar godkännande till registerkontroll får denne inte ianspråktas i
SUA-uppdraget. Det är Polismyndigheten som beslutar om en anställd ska få delta i verksamheten. Inte t.ex. Säpo. Polismyndigheten grundar beslutet på leverantörens personbedömning, egna underlag samt eventuella uppgifter i registerkontrollen. Leverantören ska avvakta Polismyndighetens beslut i dessa ärenden. Ingen får delta i arbetet för än Polismyndigheten godkänt detta. Om det finns uppgift i polisens register avgör Registerkontrolldelegationen, en del av myndigheten Säkerhetsoch Integritetsskyddsnämnden, om en uppgift ska lämnas ut. Polismyndigheten (SäkE) avgör därefter huruvida den aktuelle ska eller inte ska få delta i arbetet eller uppdraget. Om det finns uppgift att lämna ut till Polismyndigheten meddelas (kommuniceras) den berörde innan uppgifterna lämnas ut till Polismyndigheten. Den berörde har då möjlighet att avsäga sig sin medverkan i arbetet eller uppdraget (projektet) eller komma med ett svar (inlaga). Inga uppgifter lämnas ut till Polismyndigheten om den omfrågade inte vill kvarstå utan registerkontrollen genomförs då inte vidare.. Detta innebär då också självklart att personen inte får delta i uppdraget. Om någon i SUA-uppdraget registerkontrollerad person under uppdragets/arbetets gång gör sig skyldig till brott eller på annat sätt skrivs in i/hamnar i något av de aktuella registren sker ett så kallat spontanutfall. Utlämning bedöms på samma sätt som ovan av Registerkontrolldelegationen och den så kallade kommuniceringen sker innan uppgift lämnas ut. Polismyndigheten avgör därefter huruvida den aktuelle ska eller inte ska få fortsätta att delta i arbetet eller uppdraget. Polismyndigheten använder också viss annan information, t.ex. underrättelseinformation som grund för beslut om rätten att delat i uppdrag. Detta hanteras från fall till fall (se även nedan). När SUA-uppdraget är slutfört eller någon anställd slutar vid företaget dessförinnan, avanmäler Polismyndigheten berörda personer från registerkontrollen hos Säkerhetspolisen (SÄPO) efter anmälan från företaget/leverantören. Det är mycket viktigt att företaget noga bevakar vilka som inte länger ska vara aktuella för uppdraget. Företagets säkerhetsansvarige ska hålla Polismyndigheten underrättad om och ansvara för hanteringen av sådana förändringar. Polismyndigheten kan även av andra skäl utesluta någon från deltagande t.ex. om någon förekommer eller uppmärksammas med sådana uppgifter i t.ex. Polisens kriminalunderrättelseverksamhet att deltagande inte kan tillåtas. 1.4 Tillträdesbestämmelser m.m. Polisområde, avdelning eller enhet har vanligen lokala regler för säkerhetsskydd däribland tillträde m.m. Överenskommelse om dessa sker med respektive arbetsställe. För RC och Polishuset Ernst Fontells plats gäller särskilda regler. SäkE har, som tidigare redovisats, en särskild säkerhetssamordnare som ansvarar för säkerhetsskyddet i och för dessa lokaler och området. I och inom t.ex. Polisområden (Po) är det Po-chefen som har motsvarande ansvar. Lokaler som ligger inom eller är skyddsobjekt får t.ex. inte avbildas m.m. 1.5 Nycklar och/eller passerkort samt badge Polismyndigheten ska vid behov, mot kvittens från Leverantören eller dess anställda, tillhandahålla eventuellt erforderliga nycklar och/eller inpasseringskort för personal. Närmare om detta regleras vi varje arbetsställe. Nycklar och passerkort ska och får endast kvitteras ut av personal som finns upptagen på Leverantörens tjänstgöringslista (motsv.). Ibland sker utkvittering vid varje arbetstillfälle. På de flesta arbetsplatser krävs också en badge (behörighetsbevis) som ska bäras synlig inom lokalerna. Hantering som för inpasseringskort. Nycklar får inte kopieras. Nycklar och inpasseringskort får inte lämnas till obehöriga. Leverantören eller dennes personal ska omgående anmäla förlust av nyckel eller inpasseringskort till beställarens kontaktman (Polisen). Vid arbetsdagens slut ska Leverantören vanligen återlämna samtliga nycklar och inpasseringskort till angiven funktion/befattningshavare hos Polismyndigheten eller enligt överenskommelse med lokalt säkerhetsansvarig på/för arbetsstället.
Leverantören ska svara för eventuella kostnader som uppkommer till följd av förlust av nyckel eller inpasseringskort. Detta gäller såväl anskaffning av nycklar och kort som nödvändiga kostnader för utbyte av låssystem, omprogrammering av passersystem och dyl. Leverantören ska även svara för eventuella utryckningskostnader på grund av falsklarm, förorsakade av Leverantörens personal. Meddelandeskyldighet. Om Leverantörens personal upptäcker eller förorsakar skador eller förmodade skador som kan leda till större skador ska dessa omedelbart meddelas beställaren. UNDERLEVERANTÖR Företaget får inte utan Polismyndighetens tillstånd använda annan än företagets egen anställd personal i verksamheten hos myndigheten. Inte heller får en underleverantör användas i verksamheten inom myndighetens lokaler utan särskild hantering och tillstånd. Leverantören får endast använda eventuell underleverantör som från säkerhetssynpunkt godkänts av Polismyndigheten. Säkerhetsskyddsavtal tecknas med denne i likhet med vad som gäller för leverantören. Leverantören har endast rätt att använda underleverantör till de delar av uppdraget som i så fall avtalats särskilt och angetts eller beskrivits under en särskild punkt i kravspecifikationen (eller affärsavtalet). Leverantören svarar för underleverantörs arbete så som för eget arbete. Byte av underleverantör ska ske i samråd med beställaren. Detta ska skriftligen godkännas av Beställaren. Om underleverantörer anlitas i strid med det sagda äger beställaren rätt att säga upp avtalet helt eller delvis med omedelbar verkan. ÖVERLÅTELSE AV AVTAL Om ägarskifte sker hos Leverantören ska skriftligt godkännande för överlåtelse omedelbart inhämtas av Polismyndigheten. Detta kräver också ett nytt säkerhetsskyddsavtal och hantering i likhet med vad som gäller för det nuvarande företaget( leverantören eller huvudleverantören). Nytt företag får endast anlitas om det kan ske i enlighet med lagstiftning och praxis gällande offentlig upphandling och endast med Polismyndighetens skriftliga medgivande. Myndigheten får överlåta sina rättigheter och skyldigheter enligt detta avtal till annan statlig myndighet eller annat statligt organ. Leverantören får inte avbryta eller uppskjuta fullgörande av de prestationer som avtalats under åberopande av att tvisteförfarande inletts eller pågår.