Verktygslådan SMART Titel Utgåva Instruktion för arbete med säkerhetsskydd 2011-11-04 1. Syfte Säkerhetsskyddet skall förebygga: Att uppgifter som omfattas av sekretess och som rör rikets säkerhet obehörigen röjs, ändras eller förstörs (informationssäkerhet). Att obehöriga får tillträde till platser där de kan få tillgång till uppgifter som avses ovan eller där verksamhet som har betydelse för rikets säkerhet bedrivs (tillträdesbegränsning). Att personer som inte är pålitliga från säkerhetssynpunkt deltar i verksamhet som har betydelse för rikets säkerhet (säkerhetsprövningar). Brott som kan hota rikets säkerhet så som spioneri och sabotage. 2. Omfattning Följande områden ska särskilt beaktas: Säkerhetsskyddsanalys Informationssäkerhet Tillträdesbegränsning Säkerhetsprövningar Utbildning och kontroll Bestämmelserna om säkerhetsskydd omfattar kommunens egen verksamhet, bolag, föreningar och stiftelser som kommunen utövar ett rättsligt bestämmande eller inflytande över. Det rättsliga inflytandet finns när kommunen har mer än 50 % av aktierna eller motsvarande inflytande, eller när kommunen har rätt att utse eller avsätta mer än hälften av styrelseledamöterna. 3. Genomförande 3.1 Säkerhetsskyddsanalys En säkerhetsskyddsanalys ska upprättas och vid behov uppdateras. Uppdatering och översyn ska ske minst en gång per år. Analysen ska omfatta: Behovet av säkerhetsskydd. Vilka uppgifter i verksamheten som ska hållas hemliga. Vilka funktioner som ska säkerhetsprövas. Vilka anläggningar och platser som har behov av säkerhetsskydd. Säkerhetsskyddsanalysen är hemlig och ska förvaras enligt reglerna för hemlig handling (3.6). 3.2 Säkerhetsskyddschef En säkerhetsskyddschef och en ersättare utses vid varje ny mandatperiod av kommunstyrelsen.
3.3 Säkerhetskänsliga uppgifter Behörig att ta del av säkerhetskänsliga uppgifter är endast den som: Bedöms pålitlig från säkerhetssynpunkt. Har tillräckliga kunskaper om säkerhetsskydd. Behöver uppgifterna för sitt arbete i den verksamhet där hemliga uppgifter förekommer. Säkerhetsprövning ska göras av personer i vars befattningar ingår att handlägga eller få del av säkerhetskänsliga uppgifter. 3.4 Säkerhetsklassning I säkerhetsanalysen framgår det vilka befattningar som är säkerhetsklassade. Om en befattning säkerhetsklassats innebär detta att befattningen endast får innehas av personer som registerkontrollerats, säkerhetsprövats och är svenska medborgare. Klassningen är kopplad till i vilken omfattning som personen i aktuell befattning kommer att hantera hemlig information. Följande säkerhetsklasser kan bli aktuella: Säkerhetsklass 1: I stor omfattning får del av kvalificerad hemlig information (Klassning endast efter beslut av regeringen). Säkerhetsklass 2: I en omfattning som inte är obetydlig får del av sådana uppgifter. Säkerhetsklass 3: I övrigt får del av uppgifter som omfattas av sekretess. Säkerhetsprövning, säkerhetsklassning och uppgifter från registerkontroll är en hemlig handling och förvaras därför på avsedd plats. Säkerhetsprövning ska göras innan en person tillträder en säkerhetsklassad befattning. För den som har anlitats i befattning i säkerhetsklass 1 och 2 gäller att ny registerkontroll ska göras: Minst vart femte år. När den som innehar befattningen har ingått äktenskap eller inlett ett samboförhållande efter den senaste registerkontrollen. Vid annan särskild anledning. Bestämmelserna om säkerhetsprövning ska ingå i det anställningsavtal som upprättas vid anställningen. 3.5 Säkerhetsprövning 3.5.1 Syfte och omfattning Säkerhetsprövning syftar till att pröva personers pålitlighet att ta del av hemlig information eller delta i verksamhet där sekretessbelagd verksamhet behandlas. Säkerhetsprövning ska göras för alla personer som på ett eller annat sätt får del av hemliga handlingar, tillträde till säkerhetsskyddade anläggningar eller ska delta i någon verksamhet som rör rikets säkerhet. Vid säkerhetsprövning gäller inte kravet på svenskt medborgarskap. Kommunen ska återrapportera till säkerhetspolisen om resultatet av säkerhetsprövningen.
Säkerhetsprövning grundas bl.a. på: Personlig kännedom om personen. Referenser, intyg, betyg mm. Uppgifter från registerkontroll och särskild personutredning (om detta är tillämpligt). Identitetskontroll ska göras om detta inte är obehövligt. Registerkontroll utförs av säkerhetspolisen på begäran av säkerhetsskyddschefen eller dennes ersättare. Säkerhetsskyddschefen beslutar om de uppgifter som framkommit vid registerkontrollen ska beaktas i säkerhetsprövningen. Förtroendevald kan inte registerkontrolleras, men är den förtroendevald även anställd i en säkerhetsklassad befattning säkerhetsprövas han/hon i denna egenskap. Förtroendevald som är styrelseledamot i ett kommunalt bolag kan säkerhetsprövas om bolaget har sådan verksamhet som omfattas av säkerhetsskyddslagen. En säkerhetsklassad anställning får innehas endast av den som är Svensk medborgare. Regeringen ha möjlighet att i enskilda fall medge undantag från kravet. 3.5.2 Registerkontroll Framställan om registerkontroll sker på särskilt formulär till Rikspolisstyrelsens säkerhetsskyddsrotel. Den som ska genomgå registerkontroll ska ge sitt samtycke till kontrollen genom att detta antecknas på formuläret. Lämnat samtycke gäller även för de obligatoriska förnyade kontroller som ska genomföras. 3.5.3 Särskild personutredning och personligt samtal (Säkerhetsklass 1 och 2) En särskild personutredning ska äga rum vid registerkontroll som avser funktioner som placerats in i säkerhetsklass 1 och 2. En särskild blankett som kan rekvireras från SÄPO fylls i av den som ska kontrolleras. Vid anställning i funktion i säkerhetsklass 1 ska ett personligt samtal genomföras av en tjänsteman vid SÄPO. 3.6 Hemlig handling 3.6.1 Definition av hemlig handling Sekretessbelagd (hemlig) totalförsvarsinformation som vi får från andra myndigheter och/eller som vi själva producerar om förhållanden, förutsättningar, personal, anläggningar, verksamheter och planer och som berör rikets säkerhet 3.6.2 Behörighet att ta del av hemlig handling Endast den som är behörig att ta del av hemliga uppgifter får göra detta. Behörig är den som: Bedömts som pålitlig ur säkerhetssynpunkt utifrån genomförd säkerhetsprövning. Har tillräckliga kunskaper om säkerhetsskydd. Behöver uppgifterna för sitt arbete i den verksamhet där de hemliga uppgifterna förekommer.
3.6.3 Framställning av hemlig handling På första sidan anges: Handlingens beteckning. Exemplarnummer. Antal sidor. Eventuella bilagor och i så fall även antalet bilagor. På sändlistan eller särskild förteckning ska framgå hur många exemplar som upprättats och vilka som är mottagare av handlingen. 3.6.4 Spridning av hemlig handling eller hemliga uppgifter Vid kopiering av hemlig handling eller vid utdrag av delar av hemlig handling ska det antecknas på handlingen till vem kopian lämnats. När en hemlig handling delges muntligt ska även detta antecknas på handlingen. Kvittering av hemlig handling ska ske genom namnteckning och namnförtydligande i register, liggare eller på särskilt kvitto. På samma sätt ska återlämnandet kvitteras. 3.6.5 Hemlighetsbeteckning En allmän handling som är hemlig ska, hemligbetecknas genom utmärkning med stämpel eller på annat lämpligt sätt. Hemlighetsbeteckningen ska innehålla beteckningen " HEMLIG" samt ange tillämplig bestämmelse, dagen för anteckningen och den myndighet som låtit göra den. För kvalificerad hemlig handling skall hemlighetsbeteckningen dessutom innehålla uppgift om vilken myndighet som är behörig att pröva frågan om utlämnande av handlingen. En hemlighetsbeteckning på en allmän handling utgör endast en varningssignal för att det kan föreligga sekretess vilket innebär att hemlighetsbeteckningen inte innebär något bindande avgörande i sekretessfrågan. 3.6.6 Förvaring, inventering och distribution Hemliga handlingar ska förvaras i utrymme av minst säkerhetsskåpsstandard (Svensk standard 3492). Medförs hemliga handlingar utanför arbetsplatsen ska dessa hållas under omedelbar uppsikt. Av diarier/register ska det framgå var och av vem hemlig handling förvaras samt vilka åtgärder som vidtagits med handlingen (gallring etc.) Inventering av hemliga handlingar ska ske minst en gång vart femte år och protokoll ska föras. Förstöring av hemlig handling ska ske så att åtkomst eller återskapande av uppgifterna inte kan ske t.ex. genom bränning eller i dokumentförstöringsapparat eller genom fysisk förstöring av IT-media. Förstöringen ska dokumenteras. Hemliga handlingar ska sändas på ett sådant sätt att obehöriga hindras att få del av uppgifterna.
Försändelse med hemlig handling ska sändas som värdepost med posten eller annan likvärdig distributör. 3.6.7 Vad gör vi om vi misstänker att en hemlig uppgift kan ha röjts Om en hemlig handling saknas eller om uppgiften på annat sätt kan misstänkas var röjd och konsekvensen bedöms medföra men för rikets säkerhet ska SÄPO omedelbart kontaktas. 3.6.8 IT-system Uppgifter som klassificerats som hemliga får inte finnas eller förmedlas i kommunens datanät. Särskilda fristående dator och skrivare ska användas för behandling av hemlig information. Säkerhetskopiering ska utföras regelbundet. Datamedier ska förses med aktuell hemlighetsbeteckning. Hemliga uppgifter får sändas med telekommunikation endast om försvarsmaktens kryptosystem används. 3.6.9 Nycklar, kort mm Förvaringsutrymmen för hemliga handlingar ska vara försedda med kodlås och koden innehas av den som har ansvaret för förvaringsutrymmet. Kort, koder och nycklar som berör hemliga handlingar ska förvaras så att inte obehörig inte kan komma åt dessa. Förteckning över nycklar/motsvarande som berör sekretess och vem som är innehavare ska föras och förvaras enligt säkerhetsskyddschefens beslut. 3.7 Tillträdesbegränsning Tillträdesbegränsning (fysisk säkerhet) skall skydda mot sabotage, terrorism och spioneri. Skyddet skall utformas så att obehörigt tillträde så långt möjligt förhindras. Skyddet ska även medföra att obehöriga inte får tillträde till platser där hemlig uppgift eller annat av betydelse för rikets säkerhet förvaras Skyddet vid anläggningar skall ha den nivå som är rimlig med hänsyn till anläggningens betydelse, genomförda riskanalyser och ekonomiska förutsättningar. Om beslut fattas om skyddsobjekt innebär detta en kvalificerad form av tillträdesbegränsning. Reglerna i Skyddslagen (SFS 2010:305) om skydd för samhällsviktiga anläggningar ska i så fall tillämpas. Tillträdesbegränsningen ska utformas utifrån resultatet av säkerhetsskyddsanalysen. 3.8 Utbildning och kontroll Personal som kommer i kontakt med sekretessbelagd information ska genomgå utbildning i säkerhetsskydd. 3.9 Säkerhetsskyddad upphandling Kommunen ska innan en upphandling sker pröva om denna, helt eller delvis, ska omfattas av säkerhetsskydd. Det enskilda uppdraget inplaceras i säkerhetsklass 1-3 varvid kontroll sker mot aktuella personer. Nivåerna delas in i:
Nivå 1: Leverantören kommer att hantera och förvara hemliga uppgifter i sina egna lokaler. Nivå 2: Leverantören kommer att hantera hemliga uppgifter enbart i godkänd lokal som anvisats av beställande myndighet. Nivå 3: Leverantören kan komma att få del av hemliga uppgifter i sina egna lokaler. Om så är fallet ska "Säkerhetsskyddad Upphandling med säkerhetsavtal" (SUA) upprättas med leverantör och/eller underleverantör. Säkerhetspolisen ska alltid underrättas och är behjälplig med avtalsupprättande. Normalt ingår följande delar i avtalet: SUA-avtal formuleras av beställaren och underskrivs av båda parter innan affärsavtalet tecknas. Säkerhetsskyddsinstruktion i vilken Entreprenören beskriver hur säkerheten skall utformas för att möta Beställarens krav. Företagsbesök för att kontrollera de lokaler Entreprenören avser använda för att förvara sekretessbelagda handlingar. Utbildning av personal i säkerhetsskydd. Säkerhetsprövning av ledning och den personal som skall arbeta åt beställaren.
3.10 Ansvar och uppgifter Uppgift Kommentarer och ansvarig Övergripande ansvar för att säkerställa rätt Kommunstyrelsen är högsta civila nivå på säkerhetsskyddet totalförsvarsmyndighet på lokal nivå varför de även har det yttersta ansvaret för att säkerställa rätt nivå på Utse en säkerhetsskyddschef samt en ersättare till denne Fastställa riktlinjer och föreskrifter Upprätta och hålla säkerhetsskyddsanalysen aktuell Upprätta riktlinje och interna föreskrifter om säkerhetsskyddet Kontaktperson med säkerhetspolisen beträffande registerkontroll, säkerhetsprövning och säkerhetsklassning Fatta beslut om vem som ska handa kvalificerade hemliga uppgifter i organisationen Utformning av säkerhetsskyddet Tillsyn över säkerhetsskyddet i bolaget Tillse att anställda som innehar eller ska tillträda säkerhetsklassad befattning genomgår säkerhetsprövning Hålla diarier/register aktuella avseende var och av vem hemlig handling förvaras samt vilka åtgärder som vidtagits med handlingen (gallring etc.) Inventering av hemliga handlingar ska ske minst en gång vart femte år och protokoll ska föras säkerhetsskyddet Kommunstyrelsen fastställer varje ny mandatperiod vem som har till uppgift att verka som säkerhetsskyddschef samt en ersättare till denne Kommunstyrelsen fastställer varje ny mandatperiod riktlinjerna för säkerhetsskyddet Säkerhetsskyddschefen ska upprätta en säkerhetsskyddsanalys som uppdateras och ses över minst en gång per år. Respektive bolag ska biträda i analysen Säkerhetsskyddschefen ska upprätta interna riktlinjer och rutiner för säkerhetsskyddet Säkerhetsskyddschefen och dennes ersättare är kontaktpersoner beträffande registerkontroll, säkerhetsprövning och säkerhetsklassning Myndighetens chef fattar beslut om vilka som ska handa kvalificerade hemliga uppgifter i organisationen Bolagets VD/Berörd kontorschef har ansvar att etablera rätt nivå på säkerhetsskyddet Säkerhetsskyddschefen och dennes ersättare utövar tillsyn över säkerhetsskyddet Bolagets VD/Berörd kontorschef har ansvar för att tillse att anställda som innehar eller ska tillträda säkerhetsklassad befattning genomgår säkerhetsprövning Berörd befattningshavare som "äger" den hemliga handlingen ansvarar för att hålla diarier/register aktuella Säkerhetsskyddschefen och dennes ersättare ansvarar för inventeringen 4. Bilagor Bilaga 1: Säkerhetsskyddsanalys Bilaga 2: Hemlig handling Bilaga 3: Processbeskrivning säkerhetsprövning