Bilaga 5 Sida 1 (7) Datum 2016- Dnr. /2016 SÄKERHETSSKYDDSAVTAL (nivå 1) VID SÄKERHETSSKYDDAD UPPHANDLING (SUA). Mellan Polismyndigheten, 202100-0076, Box 348, 631 05 Eskilstuna nedan kallad Polismyndigheten och Företaget, namn, orgnummer, adress, telnummer Kontaktmän hos Polismyndigheten och företaget Polismyndigheten: poliskommissarie Gunnar Sylvén, Polismyndigheten, Box 348, 631 05 Eskilstuna Telefonnummer: 010-566 90 90 Företaget: säkerhetschef/säkerhetsskyddschef/säkerhetsansvarig, namn, ev. annan adress (än företagets), telnummer, mobilnummer epostadress@ Polismyndigheten, som företräder staten, och företaget träffar följande avtal om säkerhetsskydd. 1 Bakgrund Företaget ska Detta avtal grundar sig på att företaget vilket kräver SUA-avtal. Uppdraget innebär att företaget/dess anställda (motsvarande) i sina egna lokaler kommer att hantera, ansvara för och förvara sekretess (hemliga uppgifter), SUA-avtalsnivå 1. Säkerhetsskyddet ska förebygga att hemliga uppgifter obehörigen röjs, ändras, görs otillgängliga eller förstörs (informationssäkerhet), att obehöriga får tillgång till hemliga uppgifter eller verksamhet som har betydelse för rikets säkerhet (tillträdesbegränsning) och att personer som inte är pålitliga från säkerhetssynpunkt deltar i verksamhet som har betydelse för rikets säkerhet (säkerhetsprövning). Säkerhetssyddet ska även i övrigt förebygga terrorism. Andra säkerhetsskyddsåtgärder är utbildning och kontroll.
Bilaga 5 Sida 2 (7) Detta avtal avser säkerhetsskydd för uppgifter som hos Polismyndigheten omfattas av sekretess enligt Offentlighets- och Sekretesslagen (2009:400) och som rör Rikets och Polisens säkerhet och skyddet mot terrorism. En sådan uppgift benämns i fortsättningen hemlig uppgift. En hemlig uppgift kan framgå av en handling, information i IT-tekniska system, ett visst förhållande eller föremål eller objekt av olika slag. Den kan vara muntlig. 2 Avtalets omfattning Detta avtal tillsammans med företagets säkerhetsskyddsinstruktion reglerar vilka säkerhetsskyddsåtgärder som företaget ska vidta i samband med uppdraget. En övergripande beskrivning framgår av villkorsbilagan, bilaga 1. De ekonomiska villkoren avseende uppdraget regleras i ett kontrakt, affärsavtalet. Detta säkerhetsskyddsavtal är en förutsättning för men utgör ingen utfästelse eller garanti för att Polismyndigheten ska teckna eller förlänga affärsavtal med företaget om uppdraget. Om det förekommer motstridiga uppgifter i affärsavtalet gäller detta säkerhetsskyddsavtal framför affärsavtalet. Motsvarande skrivning ska även tas in i affärsavtalet. Företaget får endast använda de underleverantörer som har tecknat säkerhetsskyddsavtal med och godkänts av Polismyndigheten. Säkerhetskyddet ska samordnas av företaget. Sekretess kan om företaget så begär, och i den utsträckning 31 kap. 16 Offentlighets- och sekretesslagen medger, gälla hos Polismyndigheten för uppgifter som överlämnas till Polismyndigheten (t ex företagshemligheter). 3 Säkerhetsskyddsorganisation Det ska finnas en säkerhetsskyddschef/säkerhetsskyddsansvarig och, vid behov, en ställföreträdande säkerhetsskyddschef/säkerhetsansvarig på företaget. Det kan även finnas regionalt/lokalt säkerhetsansvariga. Dessa ska i uppdragets säkerhetsskyddsfrågor vara direkt underställda företagets ledning. De leder säkerhetsskyddsverksamheten inom företaget och är kontaktpersoner i dessa frågor gentemot Polismyndigheten. På företaget ska det även finnas en systemsäkerhetsansvarig om IT-system avses och tillåtits användas för behandling av hemliga uppgifter. 4 Avtalstid Detta avtal träder i kraft vid undertecknandet och gäller tillsvidare eller intill det att det, med en uppsägningstid om tre (3) månader, skriftligen sägs upp av endera parten. Avtalet kan dock inte ensidigt sägas upp till tidigare tidpunkt än den dag då uppdraget (grundas i affärsavtal, motsv.) som omfattas av detta avtal slutförts. Polismyndigheten kan dock med omedelbar verkan, ensidigt häva detta avtal liksom affärsavtalet om företaget eller de i denna ingående företagen frångår detta avtal eller i övrigt inte sköter den överenskomna säkerheten.
Bilaga 5 Sida 3 (7) 5 Kostnader Företaget ska bära eventuella kostnader som uppkommer med anledning av detta säkerhetsskyddsavtal om inget annat avtalats i affärsavtalet. 6 Allmänna och särskilda villkor Allmänna villkor, bilaga 1. Av detta avtal är två likalydande exemplar upprättade varav parterna tagit var sitt. Ort, 2016- Ort, 2016- Polismyndigheten Företaget namn. Namnförtydligande Behörig firmatecknare, namn
Bilaga 5 Sida 4 (7) Villkorsbilaga, bilaga 1, säkerhetsskyddad upphandling (SUA) nivå 1. 1. Allmänt 1.1 Vid företaget ska det finnas en säkerhetsskyddschef/säkerhetsansvarig och, vid behov, en ställföreträdande (stf) säkerhetsskyddschef/säkerhetsansvarig. Det ska, enligt särskild överenskommelse och vid behov, även finnas en systemsäkerhetsansvarig för IT-system som är avsedda för behandling av hemliga uppgifter om sådan hantering medgivits. Det kan också finnas regionalt/lokalt säkerhetsansvariga. Säkerhetsskyddschefen/säkerhetsansvarig ska i säkerhetsskyddsfrågor vara direkt underställd företagets ledning. 1.2 Säkerhetsskyddsverksamheten inom företaget ska ledas av säkerhetsskyddschefen/säkerhetsansvarig. Denne är kontaktman i dessa frågor gentemot Polismyndigheten. Vissa uppgifter får, efter överenskommelse med Polismyndigheten, delegeras till regionalt/lokalt säkerhetsansvarig. 1.3 Företaget ansvarar för samordning av säkerhetsskyddet genom företagets säkerhetsansvarige. Företaget ansvarar genom sin säkerhetsskyddschef/säkerhetsansvarig att överrenskommet säkerhets- och säkerhetsskydd genomförs och efterlevs. Företaget ska följa den mellan Polismyndigheten och företaget överenskomna rutinen för säkerhetsrelaterade frågor som t.ex. registerkontroller, säkerhets- och sekretessutbildning m.m. 1.4 Företaget ska upprätta en säkerhetsskyddsinstruktion när SUA-avtalet har undertecknats eller vid det senare tillfälle som överenskommits. Säkerhetsinstruktionen, inklusive eventuella förändringar eller tillägg i/till denna ska godkännas av Polismyndigheten. Företaget ska dokumentera de säkerhetsskyddsåtgärder som har vidtagits i uppdraget. 1.5 Samtliga eventuellt förekommande handlingar, IT-lagringsmedier som hårddiskar, DVD/CD-skivor, bandminnen, minnen (däribland t.ex. USB-minnen), disketter m.m. materiel, modeller, ritningar eller övrig information som har anknytning till uppdraget och som innehåller i avtalet villkorad hemlig information ska, såvitt inget annat avtalats, anses vara Polismyndighetens egendom. Användande av datorer regleras särskilt. Detta och eventuell IT-hantering i och för uppdraget regleras i så fall i den särskilda villkorsbilagan, bilaga 2. 1.6 Företagets säkerhetsskyddschef/säkerhetsansvarig ansvarar för att SUA, när så krävs, aktualiseras även vid användande av underleverantör (motsvarande). 2. Behörighet Behörig att ta del av hemliga uppgifter är endast den som - bedöms pålitlig från säkerhetssynpunkt
Bilaga 5 Sida 5 (7) - har tillräckliga kunskaper om säkerhetsskydd - behöver uppgifterna för sitt arbete i den verksamhet där de hemliga uppgifterna förekommer Hemliga uppgifter får endast delges personer som har säkerhetsprövats (inkl. registerkontroll) och godkänts av Polismyndigheten. 3. Informationssäkerhet 3.1 Polismyndigheten, eller en huvudleverantör, ska klargöra för företaget i vilken utsträckning handlingar m.m. som överlämnas till företaget eller uppstår i uppdraget innehåller hemliga uppgifter. Sådana hemliga handlingar ska kvitteras. 3.2 Om hemliga uppgifter uppkommer som inte tidigare varit kända under uppdragets utförande i företaget, ska företaget vidta de skyddsåtgärder som är nödvändiga. Företaget ska utan dröjsmål meddela Polismyndigheten om sådana hemliga uppgifter uppkommit samt vilka säkerhetsskyddsåtgärder som har vidtagits. 3.3 Den information som omfattas av detta avtal utgör sådana uppgifter som omfattas av sekretess enligt offentlighets- och sekretesslagen och som rör rikets säkerhet. Sådan information benämns fortsättningsvis hemlig uppgift, se 4 säkerhetsskyddsförordningen (1996:633). Se även säkerhetsskyddsavtalet under 1. Bakgrund. 3.4. Samtliga som har fått del av den hemliga informationen (såväl muntligen som vid genomläsning, motsv.) ska kvittera delgivningen på särskild till handlingen, motsv. fogad delgivningshandling. Kvittenserna ska överlämnas tillsammans med handlingen m.m. när den återlämnas. OBS! Denna delgivningshandling får inte (aldrig) förstöras även om handlingen får det. Motsvarande loggning ska eventuellt och vid behov, finnas i IT-tekniska system. 3.5 Polismyndigheten ska alltid godkänna utrymmen och system som används vid förvaring, övervakning av (t.ex. larmsystem) och hantering av hemliga uppgifter. 3.6 Företaget får inte utan Polismyndighetens tillstånd offentliggöra att företaget är ett SUAföretag. Innan en uppgift som rör uppdraget av företaget av någon anledning önskas delges massmedia eller för publicering i broschyrer, tidskrifter, böcker, filmer, o dyl. ska samråd ske med myndigheten för kontroll av att uppgifterna kan och får lämnas ut. Detsamma ska gälla vid föredrag, utställning, och förevisning dit annan än från säkerhetssynpunkt behörig enligt villkor 3.7 äger tillträde. 3.7 Företaget eller dess anställda får inte publicera bilder eller göra beskrivningar av uppdrag som omfattas av detta avtal på Internet t.ex. i s.k. sociala medier som Facebook, Twitter m.m. 4. Tillträdesbegränsning 4.1 Myndighetens ska i samråd med företaget bestämma nivå på tillträdesbegränsningen (skyddet) för de lokaler och områden som företaget avser att använda vid genomförandet av uppdraget. Detta ska ske och vara klart innan företaget får del av hemliga uppgifter eller den säkerhetskänsliga verksamheten påbörjas. Polismyndighetens bestämmelser om
Bilaga 5 Sida 6 (7) tillträdesbegränsning vad gäller myndighetens lokaler gäller för företagets personal som ska delta i uppdraget. 4.2 Företaget får inte utan Polismyndighetens godkännande byta eller använda andra lokaler, områden eller motsvarande för uppdragets genomförande. 4.3 Endast behöriga personer som har godkänts av Polismyndigheten får ha tillträde till de lokaler, områden eller motsvarande där uppdraget genomförs. Inom Polismyndighetens lokaler gäller de tillträdesbestämmelser som är reglerade i myndighetens eller Polisregionens tjänsteföreskrift eller motsvarande. 4.4 Om besökare (eller annan) vid/till tillträdesskyddat område kan komma att få del av hemliga uppgifter ska Polismyndighetens godkännande inhämtas före besöket. Med besökare avses varje person som inte redan är behörig (enligt 4.3, ovan). Detsamma ska gälla vid närvaro vid annan hantering som arbete för utförande av uppdraget. 5. Säkerhetsprövning 5.1 För genomförandet av uppdraget och innan någon får del av hemliga uppgifter, får företaget endast använda personal eller underleverantör, konsult (motsvarande) som efter säkerhetsprövning godkänts av Polismyndigheten, om dessa ska eller kan komma att få del av hemliga uppgifter enligt villkoren. Detta gäller oavsett om de blir föremål för registerkontroll eller inte. 5.2 Polismyndighetens ställningstagande när det gäller företagets personal grundas på den av företaget vidtagna säkerhetsprövningen enligt villkor 5.1. De personer som får anlitas ska av företaget informeras om att tystnadsplikt gäller och om innebörden av detta. De ska ha utbildats av Polismyndigheten. De ska också underteckna ett sekretessbevis. 5.3 Företaget ska innan en enskild person delges hemlig uppgift, genom säkerhetsprövning pröva vederbörandes lämplighet och pålitlighet från säkerhetssynpunkt. Prövningen ska omfatta alla som kan få del av hemliga uppgifter oavsett om de blir föremål för registerkontroll enligt säkerhetsskyddslagen (1996:627) eller inte. Säkerhetsprövningen ska omfatta: - den personliga kännedom som finns om den som prövningen gäller - uppgifter som framgår av referenser betyg, intyg eller på annat sätt. Är arbetet eller deltagandet i uppdraget placerat i säkerhetsklass ska säkerhetsprövningen även omfatta registerkontroll och i vissa fall särskild personutredning. 5.4 Säkerhetsprövningen enligt villkor 5.1 ska dokumenteras av företaget och vid begäran överlämnas till Polismyndigheten. Den utgör bl.a. underlag för bedömningen av inplacering i säkerhetsklass och för Polismyndighetens beslut om en ev. registerkontroll. 5.5 Företaget ska invänta och följa Polismyndighetens ställningstagande vad gäller 5.1 ovan. 5.6 Polismyndigheten ska, innan en ansökan om registerkontroll görs, uppdra åt företaget att särskilt informera den person som ska bli föremål för kontrollen om vad kontrollen innebär. I
Bilaga 5 Sida 7 (7) samband därmed ska företaget också inhämta samtycke till kontrollen. Samtycke ska dokumenteras och i original överlämnas till Polismyndigheten. 5.7 Företaget ska följa Polismyndighetens beslut efter utfall vid registerkontroll 5.8 Företaget ska till Polismyndigheten utan dröjsmål anmäla om en registerkontrollerad person vid företaget lämnar det aktuella uppdraget eller slutar sin anställning. 5.9 Om besökare (eller annan) vid/till tillträdesskyddat område kan komma att få del av hemliga uppgifter ska Polismyndighetens godkännande inhämtas före besöket. Med besökare avses varje person som inte redan är behörig enligt 3.3. 6. Intern utbildning och kontroll 6.1 De personer som kan komma att få del av hemlig uppgift ska av Polismyndighetens ges lämplig utbildning om sekretessregler och i säkerhetsskyddsfrågor innan uppdraget påbörjas. Därefter ansvarar företaget för att dessa, eller nyanställda, ges erforderlig och fortlöpande utbildning. Utbildningen ska bland annat avse: de hot och risker som från säkerhetssynpunkt föreligger mot eller är förknippade med uppdraget de sekretessregler som gäller 6.2 Vid behov och efter särskild framställning kan Polismyndigheten medverka i viss utbildning i övrigt vid företaget eller för dess anställda. 6.3 Företaget ska fortlöpande kontrollera att endast behöriga anlitas och att säkerhetsskyddet är tillräckligt, att reglerna efterlevs samt att skyddsnivån är jämn och tillräckligt hög. 6.4 Företaget ska omedelbart underrätta Polismyndigheten (genom säkerhetsenheten, SäkE) om inträffade eller befarade händelser och omständigheter, som kan påverka säkerhetsskyddet, vad avser uppdrag och anställda som faller under detta avtal. 7. Tillsyn Polismyndigheten har rätt att kontrollera att de redovisade och avtalade säkerhetsskyddsbestämmelserna efterföljs. 8. Övrigt 8.1 Hemlig uppgift som avses i villkor 3.1 och som erhållits eller uppkommit under fullgörande av uppdraget som omfattas av detta avtal ska även efter avtalets upphörande hemlighållas till dess annat meddelas av Polismyndigheten. 8.2 Företaget ska utan dröjsmål anmäla till Polismyndigheten när någon ändring sker beträffande firmanamn, organisationsnummer, post- och/eller besöksadress samt styrelse och revisorer. Detsamma gäller vid ändrade ägarförhållanden eller om företaget råkar i ekonomiska svårigheter eller försätts i konkurs. Aktuellt registrerings- eller företagsbevis, som är högst 3 månader gammal, ska bifogas till anmälan.