Diarienummer A10 17 04 1 Säkerhetsöverenskommelse 1 (12) 2.1.2017 PARTERNA I ÖVERENSKOMMELSEN Ålands polismyndighet (nedan Beställaren ) Företag Ab (nedan "Företaget") Parterna har idag ingått denna säkerhetsöverenskommelse (nedan "Säkerhetsöverenskommelsen") som berör och definierar parternas ömsesidiga samarbete och säkerhetsarrangemang. Parterna förbinder sig att iaktta Säkerhetsöverenskommelsen i all verksamhet som berör den andra parten. 1 SÄKERHETSARRANGEMANG 1.1 Sekretessgrad Företaget förbinder sig att hemlighålla information om Beställarens personal och deras person- och andra uppgifter, Beställarens säkerhets- och beredskapsarrangemang samt alla uppgifter som Företaget har fått i samband med uppdrag och som Beställaren har överlåtit till Företaget, uppgifter som inte är avslutade, uppgifter under beredning eller Beställarens sekretessbelagda uppgifter eller uppgifter som klassificerats som icke offentliga genom föreskrift eller bestämmelse i lag 1. Uppgifter om sekretessbelagd information, handlingar och material får lämnas ut endast åt separat utsedda personer. Tystnadsplikten gäller även efter att denna Överenskommelse har upphört att gälla. Beställaren förbinder sig att hemlighålla all information som Företaget har överlåtit till Beställaren eller Företagets uppgifter som är sekretessbelagda genom föreskrift eller bestämmelse i lag, såsom uppgifter som Företaget betraktar som sina affärs- och yrkeshemligheter. Uppgifter om sekretessbelagd information, handlingar och material får lämnas ut endast åt separat utsedda personer eller myndigheten. Tystnadsplikten gäller även efter att Säkerhetsöverenskommelsen har upphört att gälla. Företaget förbinder sig att förvara och hantera uppgifter, handlingar, utrustning, maskiner, fotografier, arbetsritningar, datamedium och motsvarande data och föremål så att endast personer som har användarrätt har tillgång till dem och att inga utomstående kommer i besittning av dem, kommer åt att granska dem eller får vetskap om dem. Det är förbjudet att fotografera ovan nämnda saker och material, kopiera, föra bort från verksamhetsstället eller göra anteckningar om sekretessbelagd information utan separat tillstånd. När Säkerhetsöverenskommelsen har upphört att gälla vid en tidpunkt som parterna fastställt tillsammans ska parterna i överenskommelsen och eventuella underleverantörer om den andra parten så kräver återlämna sekretessbelagd information med anknytning till uppdraget eller förstöra informationen på avtalat sätt. Företaget ansvarar på det sätt som avtalats i Säkerhetsöverenskommelsen för att säkerheten vid Beställarens verksamhetsställen eller Beställarens verksamhet inte utsätts för risk på grund av personalens vårdslöshet, felaktiga arbetssätt eller annan verksamhet som strider mot överenskommelsen. 1 Lag om offentlighet i myndigheternas verksamhet 621/1999, Landskapslag (1977:72) om allmänna handlingars offentlighet 2 kap. 9 c punkt
Diarienummer A10 17 04 1 Beställaren ansvarar för att säkerheten vid Företagets verksamhetsställen eller Företagets verksamhet inte utsätts för risk på grund av personalens vårdslöshet, felaktiga arbetssätt eller annan verksamhet. 1.2 Referenser Företaget eller dess underleverantörer får inte nämna samarbetet med Beställaren som kommersiell eller annan referens, eller använda avtal som ingåtts med Beställaren som referens i offerter, om inte Företaget har ingått ett separat skriftligt avtal om saken med Beställaren. Även om Företaget får upphovsrätt eller annan immateriell rätt på basis av de avtal som ingåtts eller kommer att ingås, omfattar den inte rätten att offentliggöra sekretessbelagd information eller annat material som är sekretessbelagt med stöd av Säkerhetsöverenskommelsen. 1.3 Riskhantering och normer som används Företaget ska ha systematiska metoder som omfattar hela organisationen för att identifiera, bedöma, följa upp och hantera risker. För att bedöma och hantera risker med anknytning till denna överenskommelse används i första hand de metoder, normer och referensramar som Beställaren använder eller i enskilda fall även andra bedömningsmetoder som fastställts tillsammans. De normer och referensramar som används är bland annat statsförvaltningens anvisningar och kriterier som gäller vid tidpunkten i fråga samt inrikesförvaltningens och polisens säkerhetsföreskrifter. 1.4 Säkerhetsgranskning Beställaren har rätt att granska Företagets säkerhetsarrangemang avseende Säkerhetsöverenskommelsen vid en på förhand meddelad tidpunkt. Beställarens rätt omfattar hela underleverantörskedjan. Företaget gör upp en plan med tidtabell och ansvarsfördelning för att korrigera observerade avvikelser och Beställaren godkänner planen. Beställaren har också rätt att granska säkerhetsarrangemangen utan att meddela Företaget på förhand. 1.5 Företagets personal Företaget informerar sin personal som samarbetar med Beställaren och som omfattas av Säkerhetsöverenskommelsen om den tystnadsplikt som Säkerhetsöverenskommelsen medför samt förbinder sig att övervaka att personalen iakttar Säkerhetsöverenskommelsen. Företaget ser till att säkerhetsutredningsblanketter som har fyllts i och undertecknats av de medlemmar av personalen som handhar uppgifter som omfattas av Säkerhetsöverenskommelsen lämnas till Beställaren för säkerhetsutredning 2. En säkerhetsutredning görs för personer som i sitt arbete hanterar sekretessbelagda uppgifter som omfattas av Säkerhetsöverenskommelsen eller som har tillträde till sådana av Beställarens lokaler till vilka det finns orsak att begränsa tillträdet. En person som utsetts för samarbetet och godkänts av Beställaren ska underteckna en sekretessförbindelse på en blankett som godkänts av Beställaren innan ett kommersiellt avtal ingås. Om personalen vid Företaget eller underleverantörer som kan komma i fråga är utländska medborgare och de har vistats i Finland i mindre än tio år krävs att de uppvi- 2 Säkerhetsutredningslag 726/2014
Diarienummer A10 17 04 1 sar ett personligt säkerhetsintyg (Personal Security Clearance, PSC) med skyddsnivå III (CONFIDENTIAL) eller högre, som utfärdas av myndigheterna i personens hemland. Beställaren kan i enskilda fall också godkänna ett annat av myndighet utfärdat intyg över eller utredning av en persons pålitlighet eller oklanderlighet. 1.6 Underleverantörer Om Företaget använder underleverantörer, underentreprenörer eller andra tjänsteleverantörer i Beställarens projekt, ska Företaget inhämta Beställarens godkännande av underleverantörerna och deras personal som deltar i samarbetet enligt de tillvägagångssätt som beskrivs i Säkerhetsöverenskommelsen innan ett underentreprenadavtal eller annat avtal ingås, under förutsättning att underleverantören hanterar Beställarens sekretessbelagda information eller arbetar i lokaler där man hanterar sekretessbelagd information. Om Företaget använder en underleverantör som hanterar eller förvarar sekretessbelagd information utanför Finlands gränser, ska underleverantören när förutsättningarna föreligger skaffa ett säkerhetsintyg för företag (Facility Security Clearance, FSC), som utfärdats av myndigheterna i hemlandet. Utländska medborgare som hanterar sekretessbelagd information ska dessutom skaffa nödvändiga personliga säkerhetsintyg. Som utländskt säkerhetsintyg godkänns ett intyg utfärdat av den nationella säkerhetsmyndigheten i landet (National Security Authority, NSA). I enskilda fall kan Beställaren också godkänna ett annat motsvarande intyg över en persons eller ett företags pålitlighet eller oklanderlighet samt dess förmåga att hantera säkerhetsklassificerad information. Om villkoren i ovanstående stycken uppfylls, ska Företaget ingå en säkerhetsöverenskommelse med sin underleverantör, som till sina villkor motsvarar Säkerhetsöverenskommelsen. Företaget ska informera sin underleverantör om att vissa kostnader kan orsakas av arbetet med att höja säkerhetsarrangemangen till den nivå som Beställaren kräver. Innan Företaget och underleverantören ingår en säkerhetsöverenskommelse ska detaljerna i överenskommelsen godkännas av Beställaren. Det är i första hand den person som berett säkerhetsöverenskommelsen mellan Företaget och Beställaren som fattar beslutet om godkännande. 1.7 Godkännande av personal och underleverantörer Innan arbetet eller avtalsperioden inleds eller medan den pågår har Beställaren rätt att förbjuda att vissa separat nämnda personer och företag deltar i arbetet med att verkställa avtalet. Det ska finnas en aktuell förteckning över personer som har godkänts för arbetet, av vilken framgår minst följande uppgifter: Namn, personbeteckning, uppgift samt företagets namn/avdelning, datum för godkännande för arbetet samt datum för avlagd informationssäkerhetsutbildning. Beställaren och Företaget upprätthåller förteckningen i samarbete. 1.8 Utbildning och upprätthållande av kompetensen Företaget är skyldigt att upprätthålla personalens säkerhetskompetens regelbundet. Företaget förbinder sig att utbilda de personer som deltar i samarbetet enligt kraven i Säkerhetsöverenskommelsen samt andra krav som Beställaren ställer på Företaget. På begäran förbinder sig Företaget att överlämna ett utbildningsregister till Beställaren. Av registret ska framgå att de personer som deltar i samarbetet har deltagit i den utbildning som krävs.
Diarienummer A10 17 04 1 Företaget ansvarar för de underleverantörer som används på samma sätt som för sin egen personal. 1.9 Förändringar i ägarförhållanden, personal eller verksamhet Företaget är skyldigt att informera Beställaren, om förändringar sker i Företagets eller en underleverantörs verksamhet eller personal- eller säkerhetsarrangemang som är väsentliga med tanke på Säkerhetsöverenskommelsen, eller om avsevärda förändringar sker i Företagets eller en underleverantörs ägarförhållanden. Företaget får inte utan separat tillstånd göra ändringar i fråga om den plats där arbetet utförs eller information förvaras. 1.10 Hantering av sekretessbelagt informationsmaterial Företaget förbinder sig att bokföra allt det sekretessbelagda informationsmaterial som det får i samarbete med Beställaren. Av registret ska framgå när Företaget har fått informationsmaterialet. Med tanke på skyddsnivå III ska Företaget dessutom bokföra till vem informationsmaterialet har lämnats ut och när informationsmaterial på skyddsnivå III har förstörts. 1.11 Hantering av säkerhetsincidenter Företaget är skyldigt att utan dröjsmål göra en skriftlig anmälan till Beställaren om händelser eller omständigheter som utgör en säkerhetsrisk eller om förändringar som utgör en risk för konfidentialiteten i fråga om Beställarens uppgifter. I brådskande fall ska en anmälan göras omedelbart, och den skriftliga anmälan kan göras senare, dock utan dröjsmål. Företaget är skyldigt att omedelbart göra en skriftlig anmälan till Beställaren om händelser eller omständigheter som utgör en säkerhetsrisk eller om förändringar som utgör en risk för konfidentialiteten i fråga om Beställarens uppgifter. 1.12 Beredskap När samarbetet är särskilt viktigt för Beställaren ingås en separat överenskommelse om metoder för kontinuitet och krav på att trygga informationen. Syftet med kraven är att trygga säkerheten men också att skapa kontinuitet och användbarhet vid störningar och exceptionella situationer som påverkar de normala omständigheterna. 2 ANDRA PUNKTER I ÖVERENSKOMMELSEN 2.1 Kontaktpersoner Separat utsedda personer fungerar som kontaktpersoner och ansvariga personer i frågor med anknytning till verkställandet av Säkerhetsöverenskommelsen. Parterna uppger sin kontaktperson i samband med underskriften av Säkerhetsöverenskommelsen (bilaga 1). Företagets kontaktperson ska ha en aktuell förteckning över alla projekt som omfattas av Säkerhetsöverenskommelsen.
2.2 Uppdatering av överenskommelsen Diarienummer A10 17 04 1 Kontaktpersonerna ansvarar för nödvändiga uppdateringar av Säkerhetsöverenskommelsen. Behovet av uppdateringar bedöms av kontaktpersonerna med två års mellanrum eller oftare om fler bedömningar behövs. Ändringar i överenskommelsen ska bekräftas med båda parternas underskrift. Byte av kontaktperson betraktas inte som en ändring av överenskommelsen. 2.3 Skadestånd och avtalsvite Beställaren har rätt att få skadestånd och avtalsvite, om Företaget bryter mot säkerhetsbestämmelserna i denna överenskommelse. Avtalsvite beräknas enligt följande beräkningsmodell: Beställaren har rätt till avtalsvite som uppgår till tio procent av det kommersiella avtalets totalpris eller minst 50 000 euro. Det maximala beloppet som ska betalas för brott mot säkerhetsbestämmelserna i överenskommelsen kan emellertid inte vara högre än avtalets totalpris för ett enskilt avtal. I en separat säkerhetsbilaga till ett upphandlingsavtal kan man i enskilda fall, om upphandlingen så kräver, vid behov använda någon annan beräkningsmodell än ovanstående, som godkänts av båda parterna i överenskommelsen. Denna rätt till avtalsvite gäller alla de avtal där man har brutit mot säkerhetsbestämmelserna. 2.4 Uppsägning och hävande av överenskommelsen Båda parterna kan säga upp Säkerhetsöverenskommelsen att upphöra tre (3) månader efter ett skriftligt meddelande om uppsägning. En uppsägning fråntar inte parterna plikten att uppfylla de skyldigheter som uppkommit före uppsägningen. Båda parterna har rätt att häva Säkerhetsöverenskommelsen omedelbart med ett skriftligt meddelande till den andra parten i överenskommelsen, om den ena parten har gjort sig skyldig till ett så stort brott mot sina skyldigheter att den andra parten inte rimligtvis kan förväntas fortsätta avtalsförhållandet ens under uppsägningstiden. Om Säkerhetsöverenskommelsen sägs upp eller hävs kan Beställaren omedelbart häva också de kommersiella avtal och andra överenskommelser som ingåtts med Företaget och som hänvisar till Säkerhetsöverenskommelsen. En hävning av Säkerhetsöverenskommelsen orsakar Företaget de påföljder av brott mot säkerhetsbestämmelserna som fastställts i kommersiella avtal och andra överenskommelser. 2.5 Tillämplig lag På denna överenskommelse tillämpas finsk lag. Meningsskiljaktigheter som orsakats av Säkerhetsöverenskommelsen ska i första hand lösas genom förhandlingar mellan parterna. Om parterna inte når en lösning ska meningsskiljaktigheterna lösas i Ålands tingsrätt. 2.6 Överenskommelsens giltighetstid Säkerhetsöverenskommelsen är i kraft tills vidare. Säkerhetsöverenskommelsen träder i kraft när båda parterna i överenskommelsen har undertecknat den.
Diarienummer A10 17 04 1 Två likalydande exemplar av Säkerhetsöverenskommelsen har upprättats, varav parterna tagit var sitt. Mariehamn, XX.XX.20XX Företag Ab Ålands polismyndighet SÄNDLISTA Polisenhet Företag Ab BILAGOR BILAGA 1 Parternas kontaktpersoner med anknytning till Säkerhetsöverenskommelsen BILAGA 2 Anvisning för hantering av sekretessbelagd information och informationsmaterial BILAGA 3 Sekretessförbindelser BILAGA 4 Beskrivning av Företagets säkerhetspolicy och/eller säkerhetsarrangemang
Bilaga 1 Diarienummer A10 17 04 1 Parternas kontaktpersoner Beställarens kontaktperson Efternamn, Förnamn, Gatuadress, postnummer, postanstalt Telefon Mobiltelefon E-post Företagets kontaktperson Efternamn, Förnamn, Gatuadress, postnummer, postanstalt Telefon Mobiltelefon E-post
Bilaga 2 Diarienummer A10 17 04 1 1. Anvisning för hantering av sekretessbelagd information och informationsmaterial a. Allmänt Företaget förbinder sig att hemlighålla alla icke offentliga uppgifter som behövts för att sköta uppdraget samt Beställarens sekretessbelagda uppgifter eller uppgifter som klassificerats som icke offentliga genom föreskrift eller bestämmelse i lag. Tystnadsplikten gäller Beställarens information i alla olika former och under alla skeden av informationens livscykel. Denna anvisning beskriver de regler för hantering som Företaget ska iaktta vid hantering av Beställarens information på skyddsnivåerna IV och III. För hantering av information på högre skyddsnivåer ges separata anvisningar vid behov. 2. Klassificeringar av informationsmaterial Beställarens sekretessbelagda information klassificeras på skyddsnivåerna IV I. En handling på skyddsnivå I är på den mest konfidentiella skyddsnivån. Handlingar kan också förses med en anteckning om säkerhetsklassificering. Då tilllämpas reglerna för hantering enligt motsvarande skyddsnivå. Om inget annat har avtalats skriftligt med Företaget, ska Företaget märka handlingar som produceras eller bearbetas för Beställarens del på det sätt som beskrivs här. 3. Rätt att inneha och hantera informationsmaterial Informationsmaterial på skyddsnivåerna IV och III får innehas och hanteras av alla personer som Företaget har utsett till samarbetet och Beställaren har godkänt, i ärenden som hör till deras arbetsuppgifter.
4. Mottagning och registrering av informationsmaterial Diarienummer A10 17 04 1 Mottagning av informationsmaterial på skyddsnivåerna IV och III ska antecknas i ett separat mottagningsregister. Av registret ska framgå den mottagna informationen och handlingens namn, klassificering och mottagningsdatum. För handlingar på skyddsnivå III ska av registret också framgå till vem handlingen har överlåtits eller vilka personer som har tillgång till handlingen samt, om handlingen har förstörts, datumet för när den förstörts. 5. Hantering, sparande på datamedium och utskrift av informationsmaterial Elektroniskt informationsmaterial på skyddsnivåerna IV och III får hanteras och sparas endast på den utrustning eller i de informationssystem som Beställaren har godkänt. Utrustning som används för att hantera information på skyddsnivå IV ska uppfylla kraven för grundnivån i KATAKRI. Utrustning som används för att hantera information på skyddsnivå III ska uppfylla kraven för den förhöjda nivån i KATAKRI, om inte annat har avtalats med Beställaren. Sekretessbelagt informationsmaterial ska sparas i informationssystem, på skivenheter eller separata datamedier så att informationen kan hanteras endast av personer som har rätt att göra det. Sekretessbelagt informationsmaterial får lagras i ett flyttbart datamedium endast när innehållet i datamediet har stark kryptering. Vilken kryptering som ska användas fastställs tillsammans med Beställaren. Sekretessbelagt informationsmaterial får skrivas ut på en skrivare som är kopplad till utrustningen som används för hantering. Utskrift via ett nätverk är möjligt när Beställaren har godkänt den LAN-lösning som används och den utskrivna handlingen hämtas från skrivaren omedelbart. 6. Utrymmen för hantering och förvaring av informationsmaterial Utrymmen för hantering och förvaring av informationsmaterial på skyddsnivåerna IV och III ska vara godkända av Beställaren. Sekretessbelagt informationsmaterial får inte hanteras någon annanstans i någon form. Informationsmaterial som klassificerats som skyddsnivå IV ska läggas i ett kassaskåp eller låsbara skåp och arbetsutrymmet ska låsas när man lämnar det. Om informationsmaterialet förvaras i ett låst skåp ska utrymmet vara försett med ett automatiskt brottslarmsystem (brottsanmälningscentral minst klass 2 FK). Bärbara datorer eller motsvarande utrustning som används vid hantering av material på skyddsnivå IV ska förvaras på samma sätt som informationsmaterialet på skyddsnivå IV. Informationsmaterial som klassificeras som skyddsnivå III ska förvaras (material på papper, externa minnen och motsvarande) i ett kassaskåp av typen EURO II eller ett förvaringsutrymme som godkänts för motsvarande syfte, såsom ett valv (EURO IV) med larmsystem, när materialet inte behövs i arbetet. Arbetsutrymmet ska dessutom låsas när man lämnar det. Bärbara datorer eller motsvarande utrustning som används vid hantering av material på skyddsnivå III ska förvaras på samma sätt som informationsmaterialet på skyddsnivå III. Endast identifierade personer ska ha tillträde till utrymmen för hantering och förvaring av informationen. Samma krav gäller också arkiv, datasalar eller andra utrymmen som har betydelse med tanke på underhållet av informationssystemen eller data-
kommunikationen, där man hanterar eller förvarar information på skyddsnivå III eller IV. Underhåll, städning eller andra uppgifter som måste utföras i utrymmena ska utföras under övervakning. Sekretessbelagt informationsmaterial får inte ligga framme när utomstående personer är närvarande. Både kassaskåp och skåp där handlingar förvaras ska vara väggfasta. Diarienummer A10 17 04 1 Material med anknytning till samarbetet ska avlägsnas ur mötesrum och motsvarande senast när mötet är slut. 7. Transport av informationsmaterial utanför Företaget under övervakning Informationsmaterial på skyddsnivå IV och III får transporteras utanför Företaget i samband med arbetsuppgifter. Informationsmaterial i elektroniskt format måste ha stark kryptering. Informationsmaterial på papper på skyddsnivå IV ska transporteras i ett förseglat, ogenomskinligt kuvert eller motsvarande förpackning. Ingen anteckning om skyddsnivån får göras på kuvertet. På kuvertet antecknas mottagarens uppgifter och andra uppgifter som behövs för leverans. Materialet ska transporteras så att det inte väcker uppmärksamhet. Informationsmaterial på papper på skyddsnivå III ska transporteras i ett förseglat, ogenomskinligt, dubbelt kuvert eller motsvarande förpackning. Ingen anteckning om skyddsnivån får göras på det yttre kuvertet. På det yttre kuvertet antecknas mottagarens uppgifter och andra uppgifter som behövs för leverans. Materialet ska transporteras så att det inte väcker uppmärksamhet. Man ska se till att materialet är övervakat under hela transporten och att transporten ordnas så att den inte väcker uppmärksamhet. 8. Leverans eller överföring av informationsmaterial till en mottagare utan övervakning Informationsmaterial på skyddsnivå IV får skickas till mottagaren elektroniskt, om materialet har kraftig kryptering. Vilken kryptering som ska användas fastställs tillsammans med Beställaren. Informationsmaterial på skyddsnivå IV får levereras som telefaxmeddelande om man kan vara säker på vem som är mottagare. Informationsmaterial på skyddsnivå IV får skickas till mottagaren per post eller på annat motsvarande sätt. Material i elektroniskt format ska ha kraftig kryptering och vilken kryptering som ska användas fastställs tillsammans med Beställaren. Informationsmaterial på papper på skyddsnivå IV ska skickas i ett förseglat, ogenomskinligt kuvert eller motsvarande förpackning. Ingen anteckning om skyddsnivån får göras på kuvertet. På kuvertet antecknas mottagarens uppgifter och andra uppgifter som behövs för leverans. Informationsmaterial på skyddsnivå III får skickas till mottagaren elektroniskt, om materialet har kraftig kryptering. Vilken kryptering som ska användas fastställs tillsammans med Beställaren. Material på skyddsnivå III får inte skickas som telefaxmeddelande. Informationsmaterial på skyddsnivå III får skickas till mottagaren per post eller på motsvarande sätt. Informationsmaterial på skyddsnivå III ska skickas som rekommenderad försändelse. Material i elektroniskt format ska ha kraftig kryptering. Vilken kryptering som ska användas fastställs tillsammans med Beställaren. Informationsmaterial på papper på skyddsnivå III ska skickas i ett förseglat, ogenomskinligt, dubbelt kuvert eller motsvarande förpackning. Ingen anteckning om skyddsnivån får göras på det yttre kuvertet. På det yttre kuvertet antecknas mottagarens uppgifter och andra uppgifter som behövs för leverans.
Diarienummer A10 17 04 1 9. Förstörande av informationsmaterial Informationsmaterial i elektroniskt eller pappersformat som ska förstöras tas ur bruk antingen genom att fysiskt förstöra det eller genom att försätta det i sådan form att innehållet inte kan användas. Informationsmaterialet ska förstöras om det inte längre behövs, dock senast när ett uppdrag slutförts. För informationsmaterial på skyddsnivå III ska datumet för när materialet förstörts antecknas i mottagningsregistret för informationsmaterial. Om Företaget är skyldigt att förvara informationsmaterial efter att ett uppdrag har slutförts av orsaker som är oberoende av Beställaren, ska man komma överens om tillvägagångssättet separat för varje enskilt fall. Handlingar i pappersformat på skyddsnivå III och IV förstörs i en pappersförstörare eller samlas in i låsbara pappersinsamlingskärl. För att godkännas får ytan på en pappersbit vara maximalt 30 mm2 och en strimla maximalt 2 mm bred (DIN 66399/P- 5). Lagringsmedier som innehåller sekretessbelagt informationsmaterial och som ska förstöras, såsom hårddiskar, CD- och DVD-skivor, magnetband, kassetter, minnepinnar samt minneskort, ska överskrivas eller förstöras enligt anvisningarna från NCSA- FI. Beställaren har rätt att godkänna eller förkasta en leverantörs förstöringsmetoder.
10. Sammanfattning av hanteringen av sekretessbelagt informationsmaterial HANTERING Skyddsnivå Diarienummer A10 17 04 1 IV III Hantering, utarbetande Företagets egen permanenta arbetsstation Nej Nej Företagets egen permanenta arbetsstation som godkänts av Beställaren Ja Nej Polisförvaltningens arbetsstation som är kopplad till ett datanät Ja Ja* Polisförvaltningens arbetsstation som är avskild från datanätet Ja Ja* Företagets egna mobila enheter Nej Nej Distansanvändning Nej Nej Utskrift och kopiering Företagets nätskrivare Nej Nej Nätskrivare eller multifunktionsenhet kopplad till ett datanät, som är Ja Nej* godkänd av polisförvaltningen, observera kraven på nätet Skrivare eller multifunktionsenhet som är avskild från datanätet Ja Ja Registrering av sekretessbelagt informationsmaterial Registrering av handlingar Ja Ja Obligatorisk registrering vid överlåtelse av handlingar på SN III Nej Ja Obligatorisk registrering vid förstörande av handlingar på SN III Nej Ja Skicka handlingar Inte rekommenderat brev, specialkrav för SN IV ska beaktas Ja Nej Rekommenderat brev, specialkrav för SN III ska beaktas Ja Ja Okrypterad e-post Nej Nej Kraftigt krypterad e-post Ja Ja Fax, mottagaren ska säkras Ja Nej Förvaring, arkivering Inbrottsskyddat utrymme, t.ex. kassaskåp eller valv Ja Ja Låst skåp eller motsvarande utrymme Ja Ja Arbetsstation: se kraven i punkten Hantering, utarbetande Företagets lagringsserver som är kopplad till ett datanät, okrypterat Nej Nej informationsmaterial Företagets lagringsserver som är kopplad till ett datanät, kraftigt Nej Nej krypterat informationsmaterial Företagets lagringsserver som är godkänd av Beställaren och kopplad Ja Nej* till ett datanät, kraftigt krypterat informationsmaterial Krypterade lagrings- och minnesenheter som är godkända av polisförvaltningen Ja Ja Förstörande Pappersinsamling Nej Nej Låst skyddslåda för information eller låsbara insamlingskärl för externa Nej Nej lagringsmedier Förstörare, förstörarens klassificering ska tas i beaktande (nivån ska Ja Ja utmärkas på förstöraren) Tömning av massminnen i arbetsstationer och andra godkända hanterings- och lagringsenheter enligt polisens anvisningar Ja Ja * Beställaren kan i enskilda fall godkänna också hantering av material på SN III i leverantörens informationssystem.