Datum. Området ligger centralt placerat i Linköping, intill Mjärdevi Science Park och Universitetssjukhuset.

1 (10) Datum 2016-02-05 Diarienr (åberopas) Saknr HD-5900-14/2016 913 Ekonomiavdelningen Inköpsenheten Bo Stålhammar 1. INLEDNING Polismyndigheten (Polisen) genomför rubricerad upphandling och inbjuder er att ansöka om att få lämna anbud. Upphandlat entreprenadkontrakt ska efter avslutad upphandling övertas av Polisens hyresvärd, I4/A1 Garnisonsfastigheter AB (Garnisonsfastigheter). Garnisonsfastigheter blir därefter byggherre och beställare i entreprenaden. I4/A1 Garnisonsfastigheter, ingår i Regementsfastigheter Holding AS. Garnisonsfastigheter har sedan 1997 förädlat och utvecklat Garnisonsområdet i Linköping. Området ligger centralt placerat i Linköping, intill Mjärdevi Science Park och Universitetssjukhuset. Upphandlingen avser en totalentreprenad enligt ABT06. Inbjudan sker genom annonsering i databasen www.mercell.se och genom publicering av denna ansökningsinbjudan jämte bilagor (Ansökningsinbjudan) på Polisens upphandlarprofil: http://www.polisen.se/aktuellt/aktuella-upphandlingar. Anbudssökande är själv skyldig att kontrollera att fullständig Ansökningsinbjudan erhållits. Ansökningsförfarandets omfattning och de krav som ställs på anbudssökande framgår av denna Ansökningsinbjudan. Om behov av klargörande uppstår önskar Polisen erhålla eventuella frågor skriftligen, per e-post ställda till ansvarig upphandlare: Bo Stålhammar E-post: bo.stalhammar@polisen.se Sista dag att inkomma med frågor är 2016-03-14. Sista dag Polisen lämnar svar på inkomna frågor är 2016-03-18. Endast skriftliga svar från ansvarig upphandlare ska anses utgöra del av Ansökningsinbjudan. Ansökningsinbjudan Region Öst.docx

2 2016-02-05 HD-5900-14/2016 Alla som ansöker om att få lämna anbud kommer att delges samtliga inkomna frågor och avgivna svar. Detta sker genom att frågor och svar löpande publiceras på Polisens upphandlarprofil och det är anbudssökandes skyldighet att hålla sig uppdaterad i upphandlingen genom att frekvent gå in och se vad som där publicerats i upphandlingen. 2. INFORMATION 2.1 Omfattning Objektet avser om- och tillbyggnation av lokaler för Polisen och Garnisonsfastigheter, inom Brigaden Hus 007, i Linköping (Brigadgatan 17). Behovet föranleds av att en nuvarande länskommunikationscentral ska avvecklas och ersättas av en regionsledningscentral (RLC) för Region Öst. Huvudbehovet består i att skapa en modern ledningscentral, effektiva kontorsytor, omklädningsrum m m. Projektet är ett projekt med högt säkerhetstänk och med stora krav på den byggnadstekniska säkerheten med säkerhetszoner samt tillgänglighetsanpassning för personal. Arbetena omfattar ca 2900m 2 ombyggnation och ca 200m 2 tillbyggnation. Ingen ordinarie verksamhet kommer att pågå i lokalerna men väl i fastigheten i övrigt under ombyggnadstiden. 2.2 Målsättning Beställaren söker en totalentreprenör (TE) med erfarenhet och kompetens nog för att bygga om och till i fastigheter med förhöjt byggnadstekniskt skydd. TE:s kommande organisation bör ha ett starkt personligt intresse av att arbeta engagerat i en nära och öppen samverkan med alla andra aktörer och personer i projektet. Entreprenörens värderingar och projektspecifika genomförandeplan ska uppfylla de intentioner Beställaren har. 2.3 Personuppgiftslagen (PUL) I enlighet med personuppgiftslagen (SFS 1998:204) lämnas här information om att samtliga personuppgifter som begärs in i denna upphandling endast kommer att användas i syfte att kunna vidimera i anbud angivna kravuppfyllelser. Uppgifterna blir efter avslutad upphandling att anses som allmän handling såvida inte 6.11 nedan eller säkerhetsskyddslagen (SFS 1996:627) kan bli tilllämplig. Det ankommer på anbudssökande att informera samt inhämta godkännande från berörda personer om detta förfarande. 2.4 Preliminära tider Preliminärt kan entreprenaden påbörjas september 2016.

3 2016-02-05 HD-5900-14/2016 Preliminärt bör entreprenaden kunna vara färdigställd för slutbesiktning september 2017. 3. KONTRAKT Beställaren har för avsikt att tilldela kontrakt till en (1) totalentreprenör. 3.1 Förutsättning för kontrakt a) Polisen i samband med kontraktskrivning kan överföra sin del av kontraktet på Garnisonsfastigheter. b) Säkerhetsskyddsavtal enligt 5.3 tecknas och upprätthålls. c) Garnisonsfastigheters styrelse kan teckna investeringsbeslut d) Bygglov erhålls e) Polisen och Garnisonsfastigheter har tecknat hyresavtal 4. KRAV PÅ ANBUDSSÖKANDEN De krav som ställs på den anbudssökande och dess eventuella underentreprenörer (UE) framgår nedan: 4.1 Företagsuppgifter Anbudssökanden skall fylla i och underteckna Formulär till ansökan (bilaga 1) och foga det till ansökan. 4.2 Uteslutningsgrunder Anbudssökanden skall vara fri från hinder för deltagande enligt 10 kap. 1-2 LOU och lämna fullständiga och korrekta uppgifter i anbudsansökan samt ej utelämna information av betydelse för urvalsförfarandet. Anbudssökanden intygar genom att underteckna (bilaga 1) och foga den till ansökan att kravet enligt ovan är uppfyllt. 4.3 Register-/tillståndskontroll Anbudssökande skall uppfylla i Sverige eller i hemlandet lagenligt ställda krav avseende registrerings-, skatte- och avgiftsskyldigheter. Polisen kommer via Skatteverket och Kronofogdemyndigheten kontrollera detta för svensk anbudssökande. Utländsk anbudssökande skall bifoga handling/-ar med motsvarande information som Skatteverkets Blankett SKV 4820 (bilaga 3) utfärdade av behörig officiell myndighet i hemlandet. Handling/- arna får ej vara äldre än tre (3) månader från den sista dagen att inkomma med anbudsansökan. I det fall anbudssökanden UE är skyldig att vara registrerad i aktiebolags- eller handelsregister eller motsvarande register som förs i det land där anbudssökandens verksamhet är etablerad skall anbudssökanden visa att denne är registrerad. Anbudssökanden skall visa detta genom att bifoga anbudsansökan en kopia av registreringsbevis utfärdat av Bolagsverket. Utländsk anbudssökande kan visa detta genom att bifoga anbudsansökan intyg med motsvarande uppgifter eller

4 2016-02-05 HD-5900-14/2016 om sådana intyg inte kan erhållas i det land i vilken anbudssökanden har sin verksamhet genom att avge en utsaga på heder och samvete. Inlämnade handlingar enligt denna punkt får ej vara äldre än tre (3) månader från den sista dagen att inkomma med anbudsansökan. 4.4 Ekonomisk ställning 4.4.1 Kapacitet Anbudsökanden skall ha en sådan ekonomisk kapacitet att han kan genomföra entreprenaden. Anbudssökanden styrker uppfyllelse av kravet på lättaste sätt genom att bifoga anbudsansökan ett utdrag från affärs- och kreditupplysningsföretaget UC AB (som visar att anbudssökanden har erhållit riskklass 3 eller högre, beräknat på värden redovisade vid utgången av det senast registrerade och avslutade räkenskapsåret) eller utdrag från likvärdigt affärs- och kreditupplysningsföretag (som visar att anbudssökanden har erhållit motsvarande riskklass). I det fall anbudssökanden har godtagbara skäl för att inte inkomma med efterfrågade handlingar eller om anbudssökandens erhållna riskklass är lägre än 3 eller motsvarande kan anbudssökanden istället visa sin ekonomiska kapacitet genom att bifoga antingen: a) en moderbolagsgaranti eller likvärdig garanti, utfärdad av anbudssökandens moderbolag eller annan garant som uppfyller kravet i första stycket i denna punkt, i vilken anbudssökandens åtaganden enligt avtalet garanteras som för eget åtagande; eller b) en redovisning av anbudssökandens revisor, eller annan fysisk eller juridisk person med insyn i anbudssökandens ekonomi, som visar att anbudssökanden kan upprätthålla ett långsiktigt avtal. I det fall lägre riskklassificering redovisas kan anbudsgivaren också anses uppfylla dessa krav om anbudsgivaren i årsredovisning från de två (2) senaste avslutade räkenskapsåren kan visa att soliditeten är och har varit 20% eller bättre samt att kassalikviditeten är 1 eller högre för bägge åren. Begärda handlingar i denna punkt får ej vara äldre än tre (3) månader från den sista dagen att inkomma med anbudsansökan. Gäller ej årsredovisningarna. Polisen kommer att genomföra en individuell prövning av varje anbudssökandes redovisade ekonomiska kapacitet. 4.4.2 Omsättning Anbudssökanden skall under de två (2) senast föregående och avslutade räkenskapsåren haft en genomsnittlig nettoomsättning om minst 80 miljoner kronor (SEK). Detta skall styrkas genom att till ansökan bifoga årsredovisningar innefattande efterfrågade uppgifter.

5 2016-02-05 HD-5900-14/2016 4.5 Teknisk och yrkesmässig kapacitet 4.5.1 Tidigare åtaganden Anbudssökande skall inge tre (3) Referensblad, bilaga 2 som styrker att anbudssökande har utfört tre (3) entreprenader under de senaste fem (5) åren som till omfattning och utförande liknar det som efterfrågas samt att dessa har utförts på ett tillfredsställande sätt. Med liknande entreprenader avses här en entreprenadstorlek upp till 50Mkr (referenser för större entreprenader accepteras också), att höga krav ställts på säkerhet, kvalitetssäkring i utförande och dokumentation. För att uppfylla kravet om att entreprenaderna har utförts på ett tillfredställande sätt skall snittbetyget för vardera referensblad vara tre (3) poäng eller högre. Anbudssökande skall själv ombesörja för att referenternas omdömen fylls i. Polisen kan komma att kontakta angivna referensperson för att verifiera lämnade uppgifter. 4.5.2 Kvalitetssäkring För att kunna säkerställa kvaliteten på avtalets genomförande och färdigställd byggnation krävs bland annat att anbudssökande skall arbeta efter ett kvalitetssystem, antingen i form av en ISO 9001-certifiering eller i form av ett eget dokumenterat kvalitetssystem. Anbudssökande skall styrka att kravet uppfylls genom att bifoga ansökan antingen intyg om certifiering eller en redovisning av den egna kvalitetssäkringen av verksamheten. Minst följande skall då framgå: a) kvalitetspolicy b) allmän beskrivning av kvalitets mål c) allmän beskrivning av kvalitetssäkring. 4.5.3 Miljöskyddsåtgärder För att kunna säkerställa miljöarbetet i avtalet genomförande sker på ett effektivt och rationellt sätt krävs bland annat att anbudssökande skall arbeta efter ett miljöledningssystem, antingen i form av en ISO14000-certifiering eller i form av ett eget dokumenterat miljöledningssystem. Anbudssökande skall styrka att kravet uppfylls genom att bifoga ansökan antingen intyg om certifiering eller en redovisning av det egna miljöledningssystemet för verksamheten. Minst följande skall framgå: a) miljöpolicy

6 2016-02-05 HD-5900-14/2016 b) allmän beskrivning av miljömål c) allmän beskrivning av miljösäkring. 4.5.4 Organisation Anbudsgivare skall förfoga över en organisation som klarar en entreprenad i denna storlek. Anbudsgivaren skall styrka detta genom att till anbudet foga en beskrivning över tänkt organisation och med en motivation till varför anbudsgivaren anser att han är lämplig att vara med i fortsatt anbudsgivning. 4.5.5 Underentreprenörer/konsulter Anbudsgivare kommer under upphandlingen att vid behov få komplettera med underentreprenörer. För att en underentreprenör/konsult ska kunna komma ifråga gäller då att de uppfyller samma krav som gäller för anbudsgivaren i 4.2, 4.3 och 5.3.1 i denna anbudsinbjudan. 5. URVALSFÖRFARANDE Endast de krav som ställts i Ansökningsinbjudan med bilagor (och eventuella kompletteringar till dessa) kommer att kontrolleras. Ansökningsinbjudan med bilagor innehåller ett antal skall-krav. En förutsättning för att ansökan skall kunna godkännas är att samtliga skall-krav är uppfyllda. Polisen kommer att pröva samtliga inkomna ansökningar i tre (3) på varandra följande steg enligt nedan: 5.1 Uteslutning och kvalificering Vid kvalificeringen sker en prövning om anbudsgivare uppfyller de ställda kvalifikationskraven i punkten 4 Krav på anbudssökande samt om ansökan är korrekt inlämnad och innehåller all den dokumentation och de uppgifter som infordrats. De anbudsgivare som uppfyller kvalifikationskraven och vars ansökan är korrekt inlämnad har kvalificerat sig för nästa steg (5.2). 5.2 Urval Här kontrolleras att ansökan uppfyller övriga i Ansökningsinbjudan med bilagor (och eventuella kompletteringar) ställda skall-krav. Om fler än fem (5) anbudssökande uppfyller dessa skallkrav kommer lottning att ske. 5.3 Säkerhetsskyddsavtal och registerkontroll De (maximalt 5) anbudsökande som går vidare kommer då att få ta del av hemliga uppgifter med hänsyn till rikets säkerhet och skyddet mot terrorism. En förutsättning för att anbudsgivaren ska få del av handlingarna är att anbudsgivaren har tecknat ett säkerhetsskyddsavtal (SUA-avtal) med Polisen, se bilaga 4 Säkerhetsskyddsavtal (nivå 1)" och företagets lokaler och förvaringsmöjligheter m m godkänts av Polisen samt att en godkänd säkerhetsprövning av personal och registerkontroll genomförts. Anbudssökanden skall redan här i steg 1 visa att han acceptera samtliga säkerhetsskyddsvillkor utan reservationer, ändringar eller tillägg.

7 2016-02-05 HD-5900-14/2016 Acceptans av säkerhetsskyddsvillkoren skall bekräftas genom att bifoga anbudsansökan bilaga 1 Formulär till ansökan undertecknad av behörig företrädare för anbudssökanden. De anbudsgivare som blir aktuella kommer att bli kontaktade av Polisen för ett företagsbesök. Detta för att nivån på och behövliga åtgärder för säkerhetsskyddet ska kunna bedömas Vid detta besök kommer Polisens representant att inspektera och värdera de lokaler, förvaring, utrustning, larmsystem m.m. som anbudsgivaren avser använda för att förvara och hantera handlingarna. Om delgivning av handlingarna kommer att ske i digital form kommer en särskild värdering och överenskommelse om förvaring och hantering att ske. Anbudsgivaren kommer, som en förutsättning för att erhålla avtal, beredas möjlighet att på egen bekostnad anpassa och åtgärda sina lokaler och sin utrustning, larmåtgärder m.m. så att de uppfyller Polisens krav för att kunna förvara Polisens hemliga handlingar m.m. enligt ovan. Vid detta möte, företagsbesöket, ska anbudgivarens säkerhetsskyddschef/säkerhetsskyddsansvarige vara närvarande. Säkerhetsskyddschefen/säkerhetsskyddsansvarige skall namnges och kontaktuppgifter lämnas i anbudet. Polisens krav på anbudsgivare enligt stycke två ovan (avser SUA-nivå 1) är vanligen men kan vara mer omfattande: - det ska finnas en godkänd värdeförvaring för förvaring (t.ex. enligt normen SS 3492) av hemliga handlingar ingående i uppdraget. Tillgång till förvaringen får endast de ha som är behöriga till att få del av underlaget ha, -det/de utrymmen där handlingarna hanteras ska ha individuell låsning och endast behöriga får ha tillgång till nyckel/kod för komma in i utrymmet, kunna larma av m.m. - det ska finnas upprättade och godkända rutiner för att säker-ställa att utrymmet låses vid kortare frånvaro (om skyddsvärda handlingarna ligger framme) t.ex. vid toalettbesök, kortare kaffe-rast, med närvaro i lokalerna (de lokaler som omger utrymmet). Vid längre frånvaro, eller frånvaro utanför lokaler enligt ovan, t.ex. lunch, ska handlingarna låsas in i förvaringen. Handlingar som hanteras digitalt, om detta medgivits (i varje enskilt fall), ska hanteras i en dator som inte får vara kopplad till något nätverk (stand alone ev. med löstagbar hårddisk), - det ska i så fall finnas upprättade rutiner för att datorn ska låsas in i överenskommen förvaring när den inte används. - Inga hemliga handlingar får sändas i e-postsystem (utom i vissa särskilda fall i totalförsvarsgodkända sådana). Det ska finnas upprättade

8 2016-02-05 HD-5900-14/2016 och överenskomna rutiner som föreskriver att inga hemliga handlingar får skickas med e-post, - krav kommer vanligen att ställas på att förvaringsutrymmen, rum och/eller säkerhetsförvaringen, ska skyddas med larmtekniska åtgärder och att det sker övervakning, loggning, med ett passerkontrollsystem. Anbudsgivaren ska ha egen rådighet över larm- och passersystemet. Krav kan, och kommer vanligen, även ställas på att larmet ska överföras via skyddad och övervakad överföring oavsett om det är en fast ledning eller en mobil överföring, till en bevakningscentral med avtalad åtgärd, utryckningsverksamhet. Då Polisen i förväg inte har kännedom om hur aktuella lokaler ser ut kan, efter företagsbesöket, även andra åtgärder av byggnads- eller säkerhetsskyddsteknisk karaktär bli aktuella beroende på fastighetens lokalisering, placering, berörda lokalers placering i fastigheten samt annan närliggande hyresgäst m.m. behöva, på anbudsgivarens egen bekostnad, vidtas innan hemliga handlingar överlämnas och avtalet kan träda i kraft. Underentreprenör (UE) Beroende på UE:s åtagande kan säkerhetsskyddsavtal nivå 2 eller 1 bli aktuellt för tecknande mellan denne och Polisen. 5.3.1 Säkerhetsskyddsavtal och säkerhetsprövning inklusive registerkontroll i fortsatt anbudsförfarande. Anbudsgivare ska anmäla till Polisen alla underentreprenörer/konsulter som anbudsgivaren vill anlita i upphandlingen. Dessa UE/konsulter ska teckna egna säkerhetsskyddsavtal med Polisen. Säkerhetsprövning och registerkontroller kommer att utföras. Det finns två (2) nivåer på säkerhetsskyddsavtal som kan bli aktuellt beroende på vilken roll företaget/konsulten har för framtagande av anbudet. Nivå 1 är för de företag som ska hantera hemlig handling i egna lokaler, se bilaga 4. Nivå 2 är för de företag som ska hantera hemlig handling i annans av Polisen godkända lokaler, se bilaga 6. Då säkerhetsprövning med registerkontroller kan vara tidskrävande är det av största vikt att aktuella UE identifieras och anmäls så snart behovet uppstår. Risk föreligger annars att anbudsgivare inte hinner lämna anbud inom föreskriven tid. Detta gäller framförallt för de anbudsgivare som kvalificerat sig för steg 2 i upphandlingen. 5.4 Anbudsgivning Preliminärt kommer förfrågningsunderlag för steg 2 att lämnas ut i maj 2016.

9 2016-02-05 HD-5900-14/2016 6. ADMINISTRATIVA BESTÄMMELSER 6.1 Upphandlingsförfarande Vid denna upphandling tillämpas urvalsförfarande enligt 15 kap 3 lagen (2007:1091) om offentlig upphandling (LOU), vilket innebär att Polisen bjuder in maximalt fem (5) anbudsgivare som har kvalificerat sig för att få lämna anbud. 6.2 Anbudsansökans uppställning Anbudsansökan bör följa dispositionen i denna Ansökningsinbjudan. 6.3 Anbudsansökans språk All dokumentation i detta upphandlingsärende inklusive all korrespondens skall vara på svenska. Intyg, certifikat eller liknande som ej kan erhållas på svenska accepteras på annat EU-språk under förutsättning att de kompletteras med en vidimerad översättning av auktoriserad tolk till svenska eller engelska. Eventuella intyg, certifikat eller liknande på engelska språket behöver ej översättas till svenska. 6.4 Anbudsansökans form Anbudsansökan, inklusive bilagor, skall lämnas skriftligen. Det är inte möjligt att lämna anbudsansökan via telefax eller e-post. 6.5 Anbudsansökan försändelse Anbudsansökan skall lämnas i en sluten neutral försändelse försedd med diarienummer HD-5900-14/2016 samt texten ANBUDSANSÖKAN- RLC i Linköping som bekräftelse på att försändelsen innehåller ansökan om att lämna anbud. 6.6 Anbudsansökans avlämnande Anbudsansökan skall vara Polisen tillhanda senast den 23 mars 2016. Anbudssökanden svarar för att anbudsansökan är inkommen i rätt tid. För sent inkomna anbudsansökningar kommer inte att beaktas. Anbudsansökan skickas till: Polismyndigheten Registratorskontoret Box 12256 102 26 Stockholm Anbudsansökan kan även skickas med bud eller avlämnas personligen till Polismyndigheten på Polhemsgatan 30 i Stockholm (vardagar 06-20). 6.7 Anbudsansökans öppning Sluten vid protokollfört möte. 6.8 Anbudsansökans giltighetstid Anbudssökande skall vara bunden av sin ansökan till och med 2016-09- 30. Acceptans av ansökans giltighetstid bekräftas i ansökan genom undertecknande av bilaga 1.

10 2016-02-05 HD-5900-14/2016 6.9 Kostnader i samband med anbudsansökan Anbudssökanden äger inte rätt till ersättning för anbudsansökan eller för kostnader i samband med anbudsansökan. 6.10 Sekretess Under anbudstiden råder absolut sekretess. 6.11 Offentlighetsprincipen Som myndighet omfattas Polisen av offentlighetsprincipen. Offentlighetsprincipen innebär att allmänheten har rätt att ta del av till myndigheten inkomna handlingar. För att en uppgift i en sådan handling ska kunna hemlighållas måste stöd finnas i offentlighets och sekretesslagen (2009:400). Efter det att en upphandling avslutats är inkomna anbud som huvudregel offentliga. Av 31 kap. 16 offentlighets och sekretesslagen följer dock att sekretess gäller för uppgift i anbud som rör anbudssökandes affärs- eller driftsförhållanden, om det av särskild anledning kan antas att anbudssökande lider skada om uppgiften röjs. Det ankommer på Polisen att pröva en begäran om att få ta del av anbud. För att underlätta eventuell sekretessprövning ombeds anbudssökande att i anbudet skriftligen: a) begära att viss uppgift skall hållas hemlig; b) ange vilken/-a uppgift/-er som skall gälla som skyddsvärda; c) ange vilken skada anbudssökande skulle lida om uppgiften röjdes. En sekretessprövning kan endast ske i samband med en begäran från allmänheten om att få ta del av anbud. Ett beslut om att sekretessbelägga anbud eller vissa uppgifter i ett anbud kan överklagas och prövas i domstol. Bo Stålhammar Bilagor 1. Bilaga 1 Formulär till ansökan 2. Bilaga 2 Referensblad Företaget 3. Bilaga 3 SKV 4820B (Engelsk) 4. Bilaga 4 Säkerhetsskyddsavtal (nivå 1) vid säkerhetsskyddad upphandling, med bilaga 1 5. Bilaga 5 Förslag till säkerhetsskyddsinstruktion 6. Bilaga 6 Säkerhetsskyddsavtal nivå 2 (bilaga 1 är samma som för nivå 1). 7. Bilaga 7 Säkerhetsskydd 8. Bilaga 8 Sanningsförsäkran underentreprenör

Bilaga 1 1 (3) Datum 2016-02-05 Diarienr (åberopas) HD-5900-14/2016 Saknr Formulär till ansökan avssende om- och tillbyggnad för RLC i Linköping Härmed ansöker vi i enlighet med er ansökningsinbjudan daterad 2016-02-05 om att få deltaga i upphandling avseende om- och tillbyggnation RLC i Linköping. Vi bifogar alla efterfrågade handlingar enligt nedan: 4.1 Formulär till ansökan Detta dokument. 4.3 Utländsk anbudsgivare bifogar uppgifter motsvarande SKV 4820B (i förekommande fall) Bilaga 1 4.3 Kopia av registreringsbevis utfärdat av Bolagsverket. (eller motsvarande för utländsk anbudsgivare) Bilaga 2 4.4.1 Utdrag från UC AB eller motsvarande Bilaga 3 4.4.2 Årsredovisningar från de senaste 2 och avslutade räkenskapsåren Bilaga 4 4.5.1 Tre (3) stycken referensblad Bilaga 5 4.5.2 Intyg om certifiering ISO 9001 eller motsvarande Bilaga 6 4.5.3 Intyg om certifiering ISO 14000 eller motsvarande Bilaga 7 4.5.4 Beskrivning över tänkt organisation med motivation för fortsatt Bilaga 8 deltagande. 4.5.5 Dokument rörande vid ansökningstillfället kända underentreprenörer (i förekommande fall) Bilaga 9 5.3 Namn och kontaktuppgifter till Bilaga 10 säkerhetschefen. 6.11 Vi begär sekretess på följande (i förekommande fall) Bilaga 11 Bilaga 1 Formulär till ansökan.docx

2 Polismyndigheten 2016-02-05 HD-5900-14/2016 Frågor beträffande vår ansökan besvaras av: Namn.. Tfn.. Epost. Sanningsförsäkran 10 kap. 1 LOU En upphandlande myndighet ska utesluta en leverantör från att delta i en offentlig upphandling, om myndigheten får kännedom om att leverantören enligt en lagakraftvunnen dom är dömd för brott som innefattar 1. sådan brottslighet som avses i artikel 2 i rådets rambeslut 2008/841/RIF av den 24 oktober 2008 om kampen mot organiserad brottslighet, 2. bestickning enligt definitionen i artikel 3 i rådets akt av den 26 maj 1997 om utarbetande på grundval av artikel K 3.2 c i fördraget om Europeiska unionen av konventionen om kamp mot korruption som tjänstemän i Europeiska gemenskaperna eller Europeiska unionens medlemsstater är delaktiga i, respektive artikel 3.1 i rådets gemensamma åtgärd 98/742/RIF av den 22 december 1998 beslutad av rådet på grundval av artikel K 3 i fördraget om Europeiska unionen rörande korruption inom den privata sektorn, 3. bedrägeri i den mening som avses i artikel 1 i konventionen som utarbetats på grundval av artikel K.3 i fördraget om Europeiska unionen, om skydd av Europeiska gemenskapernas finansiella intressen, eller 4. penningtvätt enligt definitionen i artikel 1 i rådets direktiv 91/308/EEG av den 10 juni 1991 om åtgärder för att förhindra att det finansiella systemet används för tvättning av pengar, ändrat genom Europaparlamentets och rådets direktiv 2001/97/EG. Är leverantören en juridisk person, ska leverantören uteslutas om en företrädare för den juridiska personen har dömts för brottet. 10 kap. 2 LOU En leverantör får uteslutas från att delta i en upphandling, om leverantören 1. är i konkurs eller likvidation, är under tvångsförvaltning eller är föremål för ackord eller tills vidare har inställt sina betalningar eller är underkastad näringsförbud, 2. är föremål för ansökan om konkurs, tvångslikvidation, tvångsförvaltning, ackord eller annat liknande förfarande, 3. genom lagakraftvunnen dom är dömd för brott avseende yrkesutövningen, 4. har gjort sig skyldig till allvarligt fel i yrkesutövningen och den upphandlande myndigheten kan visa detta, 5. inte har fullgjort sina åligganden avseende socialförsäkringsavgifter eller skatt i det egna landet eller i det land där upphandlingen sker, eller

3 Polismyndigheten 2016-02-05 HD-5900-14/2016 6. i något väsentligt hänseende har låtit bli att lämna begärda upplysningar eller lämnat felaktiga upplysningar som begärts med stöd av bestämmelserna i 10 eller 11 kap. Är leverantören en juridisk person, får leverantören uteslutas om en företrädare för den juridiska personen har dömts för brott som avses i första stycket 3 eller gjort sig skyldig till sådant fel som avses i första stycket 4. Undertecknad, som är behörig att företräda totalleverantören försäkrar på heder och samvete att grund för uteslutning enligt 10 kap. 1-2 lagen (2007:1091) om offentlig upphandling inte föreligger för totalleverantören. Ansökan förklaras från vår sida bindande till och med 2016-09-30. Vi accepterar säkerhetsskyddsvillkoren i säkerhetsskyddsavtalet (bilaga 4 (Nivå 1) med bilagor) Datum: Företag:.. Organisationsnummer:.. Adress:. Postnummer och ort:. Underskrift av behörig Namnförtydligande Bilagor 1. SKV 4820B eller motsvarande (i förekommande fall) 2. Kopia på registreringsbevis utfärdat av Bolagsverket eller motsvarande 3. Utdrag från UCAB eller motsvarande 4. Årsredovisningar 5. Referensblad Företaget 6. Intyg om ISO 9001 eller motsvarande 7. Intyg om ISO 14001 eller motsvarande 8. Beskrivning av tilltänkt organisation m.m 9. Dokument för nu kända underentreprenörer (i förekommande fall) 10. Namn och kontaktuppgifter till säkerhetschefen 11. Begäran om sekretess (i förekommande fall)

1 (1) Datum 2016-02-05 Diarienr (åberopas) HD-5900-14/2016 Ekonomiavdelningen Inköpsenheten Bo Stålhammar Bilaga 2 Referensblad - Företag SAMTLIGA NEDAN EFTERFRÅGADE UPPGIFTER SKALL LÄMNAS. *Anbudsgivare *Beställare/Uppdragsgivare/Referens *Kontaktperson Befattning (kontaktperson) *Telefonnummer (kontaktperson) E-postadress (kontaktperson) *REFERENSOBJEKT Plats för entreprenaden *Entreprenadform Tidpunkt för entreprenaden Utförd under de senaste fem åren. Entreprenadens värde Totalentreprenad Utförandeentreprenad I vilken grad upplevde du att FÖRE- TAGET: 1) Hade erforderlig kompetens för uppdraget? 2) Utfördes entreprenaden enligt gängse branschnormer? Omdöme, 5=Mycket bra, 4=Bra, 3=Godkänt, 2=Med tvekan godkänt, 1=Ej godkänt, 1 2 3 4 5 3) Blev entreprenaden färdigställd i tid, utan opåkallad mängd kvarstående besiktningsanmärkningar? För att uppfylla kravet på att entreprenaden ska ha utförts på ett tillfredsställande sätt, i enlighet med 4.5.1 i ansökningsinbjudan skall snittet vara tre poäng eller högre. Bilaga 2 Referensblad - Företag.docx

HD-5900-14/2016 1 SÄKERHETSSKYDDSAVTAL (nivå 1) mellan POLISMYNDIGHETEN, (202100-0076), Box 12256, 102 26 Stockholm som företräder staten, nedan kallad Myndigheten och Företaget AB (org.nr), adress, postadress, nedan kallat Företaget träffar följande avtal om säkerhetsskydd 1 Bakgrund Företaget ska få del av förfrågningsunderlag HD-5900-14/2016 angående projekt ombyggnation för RLC i Linköping. Uppdraget innebär att Företaget i sina egna lokaler kommer att hantera och förvara hemliga uppgifter. Säkerhetsskyddet ska förebygga; att hemliga uppgifter obehörigen röjs, ändras, görs otillgängliga för behöriga eller förstörs (informationssäkerhet) att obehöriga får tillgång till hemliga uppgifter eller verksamhet som har betydelse för rikets säkerhet eller till skydd mot terrorism (tillträdesbegränsning), och att personer som inte är pålitliga från säkerhetssynpunkt deltar i verksamhet som har betydelse för rikets säkerhet eller till skydd mot terrorism (säkerhetsprövning) Andra säkerhetsskyddsåtgärder är utbildning och kontroll. Detta avtal avser säkerhetsskydd för uppgifter som på Myndigheten omfattas av sekretess enligt offentlighets- och sekretesslagen (2009:400) och som rör rikets säkerhet och skyddet mot terrorism. En sådan uppgift benämns fortsättningsvis hemlig uppgift. En hemlig uppgift kan framgå av en handling, ett visst förhållande, en anläggning eller föremål av olika slag. 2 Avtalets omfattning, Detta säkerhetsskyddsavtal tillsammans med Företagets säkerhetsskyddsinstruktion reglerar vilka säkerhetsskyddsåtgärder som Företaget ska vidta i samband med Uppdraget. De ekonomiska villkoren avseende Uppdraget regleras i ett kontrakt, nedan kalla Affärsavtalet. Detta säkerhetsskyddsavtal är en förutsättning men utgör ingen utfästelse eller garanti för att Myndigheten ska teckna Affärsavtal med Företaget. Om det förekommer motstridiga uppgifter i Affärsavtalet gäller detta säkerhetsskyddsavtal framför Affärsavtalet. Motsvarande skrivning ska även tas in i Affärsavtalet. Företaget får endast använda underleverantörer som har tecknat säkerhetsskyddsavtal med Myndigheten.

2 3 Säkerhetsskyddsorganisation Det ska finnas en säkerhetsskyddschef och en ställföreträdande säkerhetsskyddschef på Företaget. Säkerhetsskyddschefen ska i Uppdragets säkerhetsskyddsfrågor vara direkt underställd Företagets ledning. Säkerhetsskyddschefen leder säkerhetsskyddsverksamheten inom Företaget och är kontaktperson i säkerhetsskyddsfrågor gentemot Myndigheten. På Företaget ska det även finnas en systemsäkerhetsansvarig för IT-system som är avsedda för behandling av hemliga uppgifter.. 4 Säkerhetsskyddsåtgärder Företaget ska upprätta en säkerhetsskyddsinstruktion när säkerhetsskyddsavtalet har undertecknats. Säkerhetsskyddsinstruktionen inklusive eventuella förändringar eller tillägg i säkerhetsskyddsinstruktionen ska godkännas av Myndigheten. Företaget ska dokumentera de säkerhetsskyddsåtgärder som har vidtagits i Uppdraget. 5 Behörighet Behörig att ta del av hemliga uppgifter är endast personer som; bedöms pålitliga från säkerhetssynpunkt har tillräckliga kunskaper om säkerhetsskydd behöver uppgifterna för sitt uppdrag eller arbete i den verksamhet där de hemliga uppgifterna förekommer Hemliga uppgifter får endast delges personer som har säkerhetsprövats och godkänts av Myndigheten. 6 Informationssäkerhet Myndigheten ska klargöra för Företaget i vilken utsträckning handlingar med mera som överlämnas till Företaget innehåller hemliga uppgifter. Om hemliga uppgifter uppkommer under Uppdragets utförande på Företaget, ska Företaget vidta de säkerhetsskyddsåtgärder som är nödvändiga. Företaget ska utan dröjsmål meddela Myndigheten om hemliga uppgifter har uppkommit samt vilka säkerhetsskyddsåtgärder som har vidtagits. Myndigheten ska alltid godkänna utrymmen som används vid hantering och förvaring av hemliga uppgifter. Hemliga uppgifter får endast hanteras i IT-system som har godkänts för sådan hantering av Myndigheten. Beträffande hemliga uppgifter i IT-miljö gäller för Uppdraget bestämmelserna i bilaga 1. Företaget bör klargöra för Myndigheten i vilken utsträckning uppgifter avseende affärs- eller driftsförhållanden som överlämnas till Myndigheten är att anses som hemliga, samt varför Företaget kan komma att lida skada om dessa röjs (enligt offentlighets- och sekretesslagen [2009:400]). Företaget är dock medvetet om att Myndigheten ändå kan vara skyldig att lämna ut sådana uppgifter. Företaget får inte utan Myndighetens tillstånd lämna uppgifter till massmedia som rör Uppdraget och som enligt Myndigheten innehåller hemlig uppgift. Detsamma gäller för publicering i broschyrer, tidskrifter, böcker, filmer etc., samt vid föredrag, utställningar och förevisningar dit personer som inte är behöriga ( 5) har tillträde.

Företaget får inte utan Myndighetens tillstånd offentliggöra att de träffat ett säkerhetsskyddsavtal. Denna information får därmed inte användas i marknadsföring eller på annat sätt. 7 Tillträdesbegränsning Myndigheten ska i samråd med Företaget fastställa nivån på tillträdesskyddet för de lokaler och områden eller motsvarande som Företaget avser att använda vid genomförandet av Uppdraget. Detta ska ske innan Företaget får del av hemliga uppgifter eller den säkerhetskänsliga verksamheten påbörjas. Företaget får inte utan Myndighetens godkännande byta eller använda andra lokaler, områden eller motsvarande för Uppdragets genomförande. Endast behöriga personer som har godkänts av Myndigheten får ha tillträde till de lokaler, områden eller motsvarande där Uppdraget genomförs. 8 Säkerhetsprövning Innan person får del av hemliga uppgifter ska Företaget genom säkerhetsprövning pröva vederbörandes lojalitet och pålitlighet från säkerhetssynpunkt. Säkerhetsprövningen ska omfatta varje person som får del av hemlig uppgift, oavsett om de blir föremål för registerkontroll enligt säkerhetsskyddslagen (1996:627) eller inte. Säkerhetsprövning ska omfatta en personbedömning samt inhämtande av betyg, intyg och referenser. Är befattningen placerad i säkerhetsklass ska säkerhetsprövningen även omfatta registerkontroll och i vissa fall särskild personutredning. Säkerhetsprövningen ska dokumenteras av Företaget och på begäran lämnas till Myndigheten. Tillsammans med uppgifter som har framkommit vid registerkontroll och särskild personutredning utgör säkerhetsprövningen underlag för Myndighetens beslut om att personen får anlitas. Företaget får inte anlita personen innan Företaget har fått del av Myndighetens beslut. Innan en ansökan om registerkontroll skickas till Myndigheten ska Företaget särskilt informera den person som ska bli föremål för registerkontroll om vad kontrollen innebär. Företaget ska i samband med detta också inhämta personens samtycke till kontrollen. Samtycket ska dokumenteras och förvaras på Företaget. Företaget ska utan dröjsmål anmäla till Myndigheten om en registerkontrollerad person på Företaget lämnar uppdraget. Myndigheten ska utan dröjsmål anmäla till Säkerhetspolisen att personen har lämnat Uppdraget. Företaget ska till Myndigheten anmäla omständigheter som kan vara av betydelse för bedömningen av ensäkerhetsprövad persons lämplighet och pålitlighet. Om en person som har säkerhetsprövats inom ramen för detta säkerhetsskyddsavtal under Uppdragets genomförande befinns olämplig från säkerhetssynpunkt, ska Företaget vidta de åtgärder som är lämpliga för att vederbörande inte ska få tillgång till hemliga uppgifter eller tillträde till lokaler, områden eller motsvarande där säkerhetskänslig verksamhet bedrivs. 9 Intern utbildning och kontroll Myndigheten ska innan Uppdraget påbörjas ge lämplig utbildning i säkerhetsskyddsfrågor till de personer på Företaget som kan komma att få del av hemlig uppgift eller tillträde till lokaler, områden eller motsvarande där säkerhetskänslig verksamhet bedrivs. Därefter ansvarar Företaget 3

för att dessa personer ges behövlig och fortlöpande utbildning. Utbildningen ska bland annat behandla: 4 hot och risker som från säkerhetssynpunkt föreligger mot eller är förknippade med Uppdraget säkerhetsskyddsåtgärder som enligt Företagets säkerhetsskyddsinstruktion ska vidtas mot föreliggande hot och risker Myndigheten kan vid behov och efter särskild framställan medverka i viss utbildning som Företaget ger. Företaget ska fort löpande kontrollera att endast behöriga personer som har godkänts av Myndigheten anlitas och att säkerhetsskyddet avseende informationssäkerhet och tillträdesbegränsning iakttas, samt att skyddsnivån är jämn och tillräckligt hög. Företaget ska omedelbart underrätta Myndigheten om inträffade eller befarade händelser och omständigheter som kan påverka säkerhetsskyddet vad avser Uppdraget och personer som faller under detta avtal. 10 Tillsyn Myndigheten har rätt att kontrollera att de i säkerhetsskyddsinstruktionen redovisade och avtalade säkerhetsbestämmelserna följ. Vid en sådan tillsyn kan Myndigheten biträdas av en representant från Säkerhetspolisen och/eller Försvarsmakten. Tillsynen ska ske under Företagets ordinarie kontorstid eller på plats och tid enligt särskild överenskommelse. Tillsynen får inte vara mer ingripande för Företaget än vad som är nödvändigt. 11 Kostnader Företaget ska bära eventuella kostnader som uppkommer med anledning av detta säkerhetsskyddsavtal om inget annat avtalats i Affärsavtalet. 12 Övrigt Hemliga uppgifter som har tillförts eller uppkommit under Uppdragets genomförande ska även efter att avtalet har upphört, eller till dess att Myndigheten meddelar något annat, omfattas av tystnadsplikt. Företaget ska informera berörd personal om innebörden av tystnadsplikten och säkerhetsskyddet samt se till att personalen undertecknar sekretessförbindelser. Dessa förvaras på Företaget så länge Uppdraget pågår. När Uppdraget är slutfört lämnas sekretessförbindelserna till Myndigheten. Företaget ska utan dröjsmål anmäla till Myndigheten när någon förändring sker beträffande firma, organisationsnummer, styrelse, verkställande direktör, revisor, post- och besöksadress eller telefonnummer. Avser ändringen firma, organisationsnummer, styrelse, verkställande direktör eller revisor ska ett nytt registreringsbevis från Bolagsverket bifogas anmälan. En anmälan ska också göras om ägarförhållandena ändras, om Företaget råkar i ekonomiska svårigheter eller försätts i konkurs. Samtliga handlingar, material eller övrigt som innehåller hemliga uppgifter och som har anknytning till Uppdraget är Myndighetens egendom om inget annat har avtalats. Dessa handlingar eller dylikt ska senast i samband med fullgjort Uppdrag återlämnas till Myndigheten eller vid den tidpunkt som parterna särskilt har kommit överens om.

5 13 Avtalsperiod Detta säkerhetsskyddsavtal träder i kraft vid undertecknandet och gäller tills vidare eller till dess det skriftligen med en uppsägningstid om tre (3) månader sägs upp av endera parten. Avtalet kan dock inte ensidigt sägas upp till en tidigare tidpunkt än den dag då Uppdraget har slutförts eller alla hemliga uppgifter har återlämnats till Myndigheten. Myndigheten kan dock ensidigt säga upp detta avtal liksom Affärsavtalet med omedelbar verkan om Företaget frångår detta avtal. Detta avtal har upprättats i två (2) likalydande exemplar varav parterna har tagit var sitt. [Ort och datum] [Myndigheten] [Ort och datum] [Företaget AB]............................................. (Namnteckning) (Namnteckning)............................................. (Namnförtydligande) (Namnförtydligande)

Bilaga 1. Bestämmelser avseende informationssäkerhet för hemliga uppgifter i IT-miljö 1. ALLMÄNT Denna bilaga innehåller bestämmelser avseende hantering av hemliga uppgifter i IT-miljö som rör Uppdraget. Det som har avtalats avseende hemliga uppgifter gäller även för kvalificerat hemliga uppgifter, om inte annat anges. Hemliga uppgifter får endast hanteras i IT-system som har godkänts för sådan hantering av Myndigheten. Företaget ska samråda med Myndigheten om osäkerhet uppstår angående vad som ska betraktas som hemlig uppgift. Företaget ska dokumentera mål och riktlinjer för säkerheten i IT-system från anskaffning till avveckling. Företaget ska även dokumentera instruktioner för användning, förvaltning och drift av IT-system som är avsedda för behandling av hemlig uppgift. Dokumentationen avseende mål och riktlinjer samt instruktionerna ska godkännas av Myndigheten. IT-system får inte tas i drift förrän Myndigheten har godkänt systemen för behandling av hemlig uppgift. Inför godkännandet ska IT-systemet granskas för att verifiera att det uppfyller kraven på säkerhetsskydd. Vid granskningen är det särskilt viktigt att granska om IT-systemet samverkar med andra IT-system. Granskningen ska ske av annan än den som uppförde systemet. Granskningen ska dokumenteras. 2. IT-SYSTEM FÖR BEHANDLING AV HEMLIG UPPGIFT Ett IT-system kan utgöras av en fristående dator som har en löstagbar hårddisk, eller ett fysiskt separat nätverk med flera datorer. En okrypterad dataförbindelse får användas för hemlig uppgift inom ett område eller en lokal som disponeras av Företaget om Företaget har vidtagit och dokumenterat betryggande åtgärder mot obehörig avlyssning, och om Myndigheten har godkänt detta. Hemlig uppgift får inte behandlas i ett IT-system som har externa nätverkskopplingar om inte Myndigheten har medgett annat. Om Myndigheten medger externa nätverkskopplingar får hemlig uppgift sändas via ett elektroniskt kommunikationsnät endast om ett av Försvarsmakten godkänt signalskyddssystem (kryptosystem) används. Sändningen måste också ske enligt de bestämmelser som gäller för den aktuella sekretessnivån. Det är viktigt att försäkra sig om till vilket IT-system den hemliga uppgiften ska skickas. Samråd ska ske med Myndigheten innan sändning förekommer.

Bilaga 1. 3. SYSTEMSÄKERHETSANSVARIG Företaget ska utse en systemsäkerhetsansvarig som ansvarar för säkerheten i det IT-system som ska hantera hemlig uppgift. 4. HANTERING AV ELEKTRONISKA HEMLIGA HANDLINGAR Hemlig uppgift i IT-system ska så långt praktiskt möjligt hanteras på samma sätt som hemlig handling. Hemlig elektronisk handling ska märkas enligt anvisningar i säkerhetsskyddsinstruktionen. En kvalificerad hemlig elektronisk handling får inte skicka elektroniskt. Anvisningar om övrig hantering av hemlig elektronisk handling anges i den av Företaget upprättade och av Myndigheten godkända säkerhetsskyddsinstruktionen. 5. BEHÖRIGHETSKONTROLL OCH SÄKERHETSLOGGNING Om IT-systemet utgörs av ett nätverk ska ett behörighetskontrollsystem användas där alla användare är unikt identifierbara och har ett personligt aktivt kort eller en säkerhetsdosa för att logga in i IT-systemet. Om IT-systemet utgörs av en fristående dator som nyttjas av flera personer ska det vid varje användning finnas ett behörighetskontrollsystem eller föras en förteckning i en kvittenslista. Alternativt kan varje individuell användare ha varsin löstagbar hårddisk. Det ska finnas en förteckning över vilka som har behörighet att använda IT-systemet. Denna förteckning ska sparas för att spårbarhet ska kunna uppnås i efterhand. Förteckningen ska överlämnas till Myndigheten när Uppdraget är avslutat. IT-systemet ska logga användaridentitet, datum och tidpunkt för inloggning och utloggning samt användaraktiviteter i övrigt som är av betydelse för säkerheten i systemet. Företaget ska dokumentera hur säkerhetsloggar ska analyseras. Myndigheten ska godkänna anvisningarna. Säkerhetsloggarna ska överlämnas till Myndigheten när Uppdraget är avslutat. 6. SKYDD MOT SKADLIG KOD Innan ny information tillförs IT-systemet ska informationen kontrolleras så att den inte innehåller skadlig kod. Programvara som skyddar mot skadlig kod ska uppdateras kontinuerligt. Företaget ska dokumentera skyddet mot skadlig kod och Myndigheten ska godkänna skyddet. 7. INTRÅNGSDETEKTERING OCH SKYDD MOT INTRÅNG IT-systemet ska vara försett med intrångsskydd och funktioner för intrångsdetektering. Företaget ska dokumentera intrångsskyddet och intrångsdetekteringen, och Myndigheten ska godkänna skyddet och detekteringen.

Bilaga 1. 8. SKYDD MOT RÖJANDE SIGNALER OCH OBEHÖRIG AVLYSSNING Företaget ska analysera och dokumentera behovet av skydd mot röjande signaler. Myndigheten ska godkänna analysen. Om det behövs ska IT-systemet ha ett betryggande skydd mot röjande av signaler. IT-system ska vara försedda med betryggande skydd mot obehörig avlyssning. 9. INCIDENTHANTERING Företaget ska dokumentera rutiner för hantering, rapportering och uppföljning av incidenter av betydelse för säkerheten i eller kring ett IT-system. Myndigheten ska godkänna incidenthanteringen. 10. SÄKERHETSKOPIERING Säkerhetskopior ska tas enligt en Företaget dokumenterad rutin, och förvaras avskilt från den plats där det berörda IT-systemet finns. Säkerhetskopiorna ska testas regelbundet och förvaras i ett godkänt säkerhetsskåp. Säkerhetskopiorna bör krypteras. Myndigheten ska godkänna rutinerna för säkerhetskopiering. 11. KONTINUITETSPLAN Företaget ska bedöma och dokumentera den längsta tid som IT-systemet kan vara ur funktion utan att Uppdraget i väsentlig omfattning störs. Företaget ska också bedöma och dokumentera vilken reservrutin som ska användas om det inträffar. Myndigheten ska godkänna kontinuitetsplanen. 12. HANTERING AV UTSKRIFTER Skrivare eller plotter ska vara placerad i nära anslutning till och inom synhåll från den dator där utskriften upprättas. 13. HANTERING AV DIGITALA LAGRINGSMEDIER En dator med inbyggd hårddisk ska vara inlåst i ett godkänt säkerhetsskåp (SS 3492). Har datorn en löstagbar hårddisk ska hårddisken förvaras i säkerhetsskåpet. Även andra lagringsmedier som disketter, CD- eller DVD-skivor och USB-minnen, som innehåller hemlig uppgift, ska förvaras i säkerhetsskåp. Endast behörig personal får ha tillgång till säkerhetsskåpet. Ett lagringsmedium som innehåller eller har innehållit hemlig uppgift får endast återanvändas inom Uppdraget av behörig person. Ett sådant lagringsmedium får endast användas i utrustning som har godkänts för hantering av hemlig uppgift. Ett lagringsmedium som innehåller eller har innehållit hemlig uppgift ska vara försett med en varaktig hemligbeteckning. En förteckning ska föras som beskriver innehållet på lagringsmediet, för att underlätta utredning av vilka uppgifter som har förlorats vid en eventuell förlust av lagringsmediet. Lagringsmedier ska inventeras på samma sätt som hemlig handling. När ett lagringsmedium utrangeras ska det överlämnas till Myndigheten för destruering, alternativt förstöras enligt Myndighetens anvisningar.

Bilaga 1. Ett lagringsmedium får inte lämna Företagets lokaler utan Myndighetens godkännande. Om ett lagringsmedium medförs från Företagets lokaler ska det hållas under omedelbar uppsikt eller förvaras på ett sätt som motsvarar den säkerhetsskyddsnivå som gäller för förvaring av lagringsmediet inom Företagets lokaler. Under transport ska, i förekommande fall, den hemliga uppgiften krypteras med av Myndigheten godkänd kryptoprodukt. 14. UNDERHÅLL Vid service och underhåll av lagringsmedier som innehåller hemlig uppgift får Företaget endast använda personal som är behörig att ta del av hemlig uppgift enligt säkerhetsskyddsavtalet.

Bilaga 5 1(12) POLISMYNDIGHETEN Förslag till säkerhetsskyddsinstruktion Innehållsförteckning 1. SYFTE... 2 2. BEGREPPSFÖRKLARINGAR... 2 3. SÄKERHETSSKYDDSORGANISATION... 3 4. SÄKERHETSSKYDDSMÄN... 4 5. VAL AV PERSONAL OCH UNDERLEVERANTÖR... 4 6. FRAMSTÄLLNING AV HEMLIG HANDLING... 4 7. REGISTRERING... 5 8. KVITTERING... 6 9. FÖRVARING... 6 10. LÅSKOD/NYCKEL... 7 11. INVENTERING/GALLRING... 8 12. FÖRLUST... 8 13. FÖRSTÖRING M.M.... 8 14. BEFORDRAN AV HEMLIG HANDLING... 8 15. BEFORDRAN MED BUD... 9 16. BEFORDRAN MED POST... 9 17. BEFORDRAN PÅ ANNAT SÄTT... 10 18. RÖJANDE SIGNALER, (RÖS)... 10 19. IT-SÄKERHET... 10 20. TYSTNADSPLIKT OCH SEKRETESSBEVIS... 11 21. TILLTRÄDESBEGRÄNSNING... 11 22. INTERN UTBILDNING... 11 23. KONTROLL... 11 24. REDOVISNING... 12 25. ÖVRIGT... 12

Bilaga 5 2(12) 1. SYFTE Denna instruktion skall gälla i tillämpliga delar för Företaget AB med org.nr xxxxxx-xxxx. Nedan kallat Företaget. Detta föranlett av att Företaget effektuerar en beställning där säkerhetsskydd krävs enligt 8 säkerhetsskyddslagen (1996:627). Det åligger berörd personal inom Företaget att noggrant följa föreskrifterna i denna instruktion. 2. BEGREPPSFÖRKLARINGAR SUA-arbete Uppdrag eller arbete som med hänsyn till rikets säkerhet skall hållas hemligt enligt ett säkerhetsskyddsavtal som upprättats mellan en beställande myndighet och en leverantör. I SUA kan ingå studie/planering, utveckling/projektering, anbudsgiv-ning, upphandling, prov och försök samt produktion. Även garanti-åtgärder kan omfattas av SUA. Ett SUA-arbete föreligger fr.o.m. att en myndighet beslutat sätta igång ett projekt som efter bedömning kan antas innehålla hemliga uppgifter och där i något avseende annan myndighet, företag eller enskild person kan komma att anlitas som anbudsgivare, leverantör, entreprenör eller konsult. Beställande myndighet Staten, kommunerna, landstingen eller ett verksamhetsställe med ekonomiskt ansvar som själv tar initiativ till och ombesörjer eller påbörjar en SUA. Beställare är även den som efter ett uppdrag fullföljer av annan beställare påbörjat arbete och som enligt 8 säkerhetsskyddslagen skall träffa avtal om sådant arbete. Leverantör Myndighet, företag (aktie-, handels-, kommanditbolag, ekonomisk förening eller enskild firma) eller tillhörande filial, region- eller lokal-kontor eller organisation som en beställande myndighet avser anlita för SUA såsom anbudsgivare eller leverantör. Med leverantör avses i registerkontrollsammanhang ägare, verkseller institutionschef eller, beträffande aktiebolag styrelsen och Verkställande direktör. Hemlig uppgift Med hemlig uppgift förstås uppgift som omfattas av sekretess enligt Offentlighets- och sekretesslagen (2009:400) och som rör rikets säkerhet.

Bilaga 5 3(12) Hemliga uppgifter kan framgå av handlingar, visst förhållande, anläggning, föremål eller muntlig uppgift. Behörig att ta del av hemliga uppgifter är endast den som 1. bedöms pålitlig från säkerhetssynpunkt, 2. har tillräckliga kunskaper om säkerhetsskydd, och 3. behöver uppgifterna för sitt arbete i den verksamhet där de hemliga uppgifterna förekommer. Alla andra är obehöriga att ta del av hemlig uppgift. Säkerhetsskyddsavtal Ett skriftligt avtal vid SUA som ingås mellan beställande myndighet och leverantör angående det säkerhetsskydd som bedöms nödvändigt för den enskilda upphandlingen. Ett säkerhetsskyddsavtal skall träffas/bekräftas vid varje SUA-upphandling. 3. SÄKERHETSSKYDDSORGANISATION Säkerhetsskyddschef med ställföreträdare skall finnas vid Företaget. Säkerhetsskyddet inom Företaget planläggs, leds och övervakas av säkerhetsskyddschefen. Säkerhetsskyddschefen skall i fråga om säkerhetsskyddstjänsten lyda direkt under Företagets ledning. Säkerhetsskyddschefen är kontaktman till beställande myndighet och skall till denna ofördröjligen anmäla om - skadegörelse skett på försändelse med hemligt innehåll, - hemlig handling, hemligt material eller hemligt arbetsmateriel förkommit eller saknas, - brister i säkerhetsskyddet, som inte enkelt kan avhjälpas, som uppmärksammas inom Företaget eller hos underleverantör - obehörig söker skaffa upplysning om hemligt förhållande - misstanke föreligger om brott såsom spioneri, sabotage eller liknande. - inbrott skett vid Företaget eller hos enskild anställd vilken deltar i SUA-arbete

Bilaga 5 4(12) Säkerhetsskyddschefen skall dessutom; - snarast göra en polisanmälan om dröjsmål kan innebära att bevis går förlorade eller utredning av en händelse äventyras. - dokumentera förhållanden och åtgärder om säkerhetsskyddet - föra förteckning över behöriga med ev. fördelning på aktuella säkerhetsklasser. 4. SÄKERHETSSKYDDSMÄN Vid behov utser Företaget säkerhetsskyddsmän som inom respektive arbetsområden övervakar efterlevnaden av gällande bestämmelser och till säkerhetsskyddschefen anmäler överträdelser och brister. Utsedda säkerhetsskyddsmän skall framgå av förteckning. 5. VAL AV PERSONAL OCH UNDERLEVERANTÖR Beställande myndighets skriftliga godkännande skall inhämtas avseende. - anställd person, innan denne informeras om eller tas i anspråk för SUA-arbete, - annan anställd vid Företaget vars uppgifter eller arbetsplats innebär att kännedom om hemliga uppgifter inte utan omfattande åtgärder kan undvikas, - annan person, som Företaget har för avsikt att anställa eller anlita för SUA-arbete och - underleverantör eller underentreprenör, innan sådan informeras om eller tas i anspråk för SUA-arbete. Beställande myndighets ställningstagande till lämplig personal för ett SUA-arbete och deras föreslagna inplacering i säkerhetsklass grundar sig på förslag från entreprenören/leverantören. Föreslagna personer skall därför vara kända av Företaget som lämpliga och pålitliga. Finns inte sådan kännedom skall denna införskaffas i likhet med vad som gäller för anställning av kvalificerade arbetskraft i allmänhet. Föreslagen personal skall informeras om att de kommer att registerkontrolleras (H SÄK SUA kap 3 Registerkontroll). Skriftlig bekräftelse av att berörd person lämnat sitt skriftliga samtycke till registerkontroll skall medfölja förslaget till begäran om registerkontroll. Löfte om anställning (motsv.) får under inga förhållanden lämnas innan beställande myndighets godkännande erhållits. 6. FRAMSTÄLLNING AV HEMLIG HANDLING

Bilaga 5 5(12) Hemlig handling får med beställande myndighets medgivande framställas endast i det antal exemplar som oundgängligen erfordras för arbetet. Om en handling upprättas i flera exemplar skall dessa numreras. Består handlingen av flera blad, skall sidorna numreras i löpande följd och hopfästas. På första sidan skall anges antalet sidor, antalet exemplar, handlingens exemplarnummer och, om bilagor medföljer, deras antal. Såväl kopia av eller hemligt utdrag ur hemlig handling skall hemlig-stämplas och införas i register med angivande av datum, antal exemplar och hur dessa fördelas. På utdrag antecknas från vilken handling det gjorts. Fråga om hemligbeteckning av hemlig handling eller annat hemligt föremål skall överenskommas med beställande myndighet. Hemligt arbetsmaterial såsom koncept, extra kopior, datamedium, karbonpapper, tryckmedia eller liknande som använts vid framställning av hemlig handling, skall förstöras, när de inte längre behövs. Karta, bild eller motsvarande som upprättats med användande av hemligt kart- eller bildmaterial skall behandlas som hemlig handling. Uppkommer fråga om spridning - publicering - skall godkännande härför via beställande myndighet inhämtas hos Statens lantmäteriverk. 7. REGISTRERING Hemliga handlingar införs av säkerhetsskyddschefen eller av utsedd behörig (registrator) i särskilt register. Av registret skall framgå - datum då handlingen mottagits eller avsänts, avsändare eller adressat samt i förekommande fall postens inlämningsnummer, - registreringsnummer i förekommande fall för såväl avsändare som mottagare, - handlingens innehåll i korthet (ärendemening), och antalet bilagor, - vem som öppnat eller emballerat försändelsen, om detta inte är fastställt genom Företagets organisation, - hos vem handlingen förvaras, - anteckning då kopia eller utdrag gjorts och

Bilaga 5 6(12) - datum då handling förstörts, utbytts, saknas eller förkommit. Hemlig materiel registreras på motsvarande sätt. 8. KVITTERING Hemlig handling, hemlig materiel och hemligt arbetsmateriel skall kvitteras av mottagaren om intet annat överenskommits med beställande myndighet. Kvittering skall göras med namnteckning och namnförtydligande. Detta kan ske i register, liggare, på särskild kvittoblankett e. dyl. Om särskild kvittoblankett används skall kvittot upprättas i minst två exemplar. Då handlingen eller materielen återlämnas skall kvitteringen förses med anteckning härom. Originalkvitto skall återlämnas och dubblettkvitto (register/liggare) förses med anteckning om återlämnandet. Delgivning av en handling genom läsning eller på annat sätt skall bestyrkas på särskild lista med namnteckning och namnförtydligande. Hemlig handling eller del därav som innehåller bestyrkande om delgivning av handling skall då den inte längre behövs för uppdraget återlämnas till beställande myndighet. (Jämför punkterna 11 och 13). 9. FÖRVARING Hemliga föremål, handlingar och materiel förvaras så att inte någon obehörig kan komma åt dem. Hemliga handlingar skall förvaras i förvaringsutrymme med lägst skyddsnivå motsvarande säkerhetsskåp enligt Standardiseringskommissionens normer (SIS), Svensk Standard 3492. Den som har anförtrotts och kvitterat hemliga handlingar skall ha ett eget förvaringsutrymme. Bankfack och förvaringsutrymmen på t ex hotell kan inte godkännas. Beställande myndighet kan efter framställan i undantagsfall bevilja avsteg. Hemliga handlingar bör om möjligt förvaras åtskilda från öppna handlingar. Förvaringsutrymme för hemliga handlingar och materiel skall hållas låst under tider, då det inte står under omedelbar uppsikt av den som har ansvaret för detsamma. Under kortare frånvaro från tjänsterum får hemliga handlingar ligga framme under förutsättning att rummet är låst och insynsskyddat så att obehörig inte kan ta del av handlingarna. Hemligt materiel skall i tillämpliga delar förvaras på samma sätt som hemlig handling. Hemlig handling (materiel), som medförs från Företaget, skall hållas under omedelbar uppsikt eller förvaras under samma skydd som vid Företaget. För sådant medförande skall

Bilaga 5 7(12) det finnas fullgoda skäl och tillstånd av vederbörlig säkerhetsskyddsansvarig. 10. LÅSKOD/NYCKEL Vid inköp av förvaringsrum eller dörr till fast förvaringsutrymme skall nyckel levereras separat och direkt till Företagets säkerhetsskyddschef. Innan nyckel lämnas till den som skall ansvara för förvaringsutrymmet, skall den förvaras av säkerhetsskyddschefen eller av denne utsedd person. Sänds lås eller nyckel per post, skall försändelsen sändas som värdepost eller motsvarande och av en av beställande myndighet godkänd distributör. Säkerhetsskyddschefen eller av denne utsedd behörig skall föra förteckning över nycklar och koder till - förvaringsutrymmen för hemliga handlingar eller hemlig materiel, m.m. - rum där hemliga handlingar under kortare frånvaro får ligga framme, då rummet är insynsskyddat och låst med individuellt lås. - ytterdörrar till lokaler i vilka hemliga handlingar eller hemlig materiel förvaras. Av förteckningen skall framgå - vem som levererat lås och nycklar, - antal nycklar till varje förvaringsutrymme och lokal, - till vem och när nyckel utdelats eller återlämnats, - hur reservnyckel (kod) förvaras. Förteckning, nyckelkvittenser, reservnycklar och anteckningar om kod skall förvaras i för hemlig handling föreskriven ordning. Nyckel skall kvitteras och förvaras så att obehörig inte kan använda eller kopiera den. Vid överlämning av förvaringsutrymme skall nycklar återlämnas vilket skriftligt noteras i nyckelförteckning. Omställning av koder och, om möjligt lås, skall ske innan annan person får förvara hemlig handling eller material i samma förvaringsutrymme. Reservnyckel (kod) får av annan behörig än innehavaren till förvaringsutrymmet användas endast i vittnes närvaro. Användning av reservnyckel (kod) vid innehavarens frånvaro skall vara skriftligt bestyrkt av de båda närvarande. Om nyckel saknas skall anmälan omedelbart göras till säkerhets- skyddschefen. Om det befaras att nyckel kopierats eller att kod kommit till obehörigs kännedom eller att nyckel eller kod obehörigen utnyttjats, skall låset eller koden snarast ändras. Detsamma gäller om

Bilaga 5 8(12) ett förvaringsutrymme skall övertas av annan person. 11. INVENTERING/GALLRING Hemliga handlingar, hemligt materiel, nycklar och anteckningar om koder och kuvert skall tid efter annan, om möjligt en gång om året eller med lämpliga intervaller inventeras av säkerhetsskyddschefen. Vid inventeringen skall bedömas om handlingar kan återlämnas till beställande myndighet eller förstöras (se punkt 13). Huvudregeln skall vara att endast handlingar som behövs skall behållas av den enskilde. Inventering skall i övrigt genomföras då; - nyckel saknas, befaras ha kopierats eller om kod kommit till obehörigs kännedom, - befattningshavare lämnat sitt förvaringsutrymme öppet under sådan tid och under sådana förhållanden att obehörig kan ha tagit del av hemliga handlingar, - byte sker av befattningshavare, - anbud ej medfört upphandling och - när slutbesiktning har skett av fullgjort uppdrag. Inventeringsrapport skall avges till beställande myndighet minst en gång per år. 12. FÖRLUST Om en hemlig handling eller materiel eller misstanke om att obehörig tagit eller sökt ta befattning därmed, skall anmälan omedelbart göras till säkerhetsskyddschefen. Denne skall omgående underrätta företags-ledningen och den beställande myndigheten. 13. FÖRSTÖRING M.M. Hemlig handling, hemlig materiel och hemligt arbetsmateriel får förstöras endast genom beställande myndighets försorg eller enligt dess direktiv. Om hemlig handling, som erhållits från beställande myndighet, blir obrukbar, skall den omgående bytas ut hos myndigheten. Anteckning om eventuell förstöring och utbyte görs i registret. ( se punkt 7). 14. BEFORDRAN AV HEMLIG HANDLING Hemlig handling/uppgift får endast lämnas till den som är behörig och på sådant sätt att obehörig förhindras få del av den. Muntlig delgivning av hemliga uppgifter får endast ske i lokal eller på plats som är godkänd från säkerhetssynpunkt.

Bilaga 5 9(12) Riskerna för obehörig avlyssning och insyn skall alltid beaktas. Befordran av hemlig uppgift med telekommunikation (radio, telefax, telex, telefon m.m.) får inte ske. Endast i fall av nöd får telefon användas och då med omskrivningar, täckbenämningar. Vid minsta tveksamhet om andra partens identitet skall motringning ske. Vid färd till eller från, samt besök vid hemlig anläggning skall mobil-telefon eller kommunikationsradio normalt vara frånslagen (strömmen bruten) inom ett säkerhetsavstånd av minst 40 km. Avsteg från ovanstående kan medges av beställande myndighet som då också anger villkor härför. Uppgift i t.ex. annonser, telefonkataloger, publikationer och på väg-visare, som på något sätt berör hemligt förhållande får inte ges utan beställande myndighet gett sitt godkännande. 15. BEFORDRAN MED BUD Som bud får endast anlitas den som från säkerhetsskyddssynpunkt bedöms vara pålitlig. Hemlig handling skall vara inlagd i kraftigt omslag som förhindrar läsning vid genomlysning och vara väl tillslutet. I stället för sådant omslag kan portfölj, dokumentlåda av god hållfasthet användas och med lås som har god dyrksäkerhet och till vilken endast avsändaren och mottagaren har nyckel. Vid budsändning till och från postanstalt förvaras värdeförsändelser i låst väska. Nyckel skall finnas hos postmästaren och hos av Företaget utsedd ansvarig. 16. BEFORDRAN MED POST Försändelse till eller från Företaget skall adresseras enligt överenskommelse mellan Företaget och beställande myndighet. Om försändelsen innehåller hemlig handling skall den behandlas som värdeförsändelse och postens EssBrev REK användas. Hemlig handling skall vara inlagd i väl tillslutet värdekuvert yttre omslag. För att försvåra obehörigt öppnande och läsning vid genomlysning skall handlingen vara inlagd i ett innerkuvert med svärtad insida som klistras samman med värdekuvertet. Omslag kring tung eller skrymmande försändelse skall tåla stor påfrestning. Närmare anvisningar kan erhållas hos beställande myndighet. Av försändelsens yttre, adresskort, postbox och liknande får inte framgå att innehållet är hemligt. Den som hämtar REK eller ESS-brev Värdeförsändelse på postanstalt skall kontrollera att försändelsen överensstämmer med kvittensen och att försändelsen är oskadad. Om den är

Bilaga 5 10(12) skadad, skall budet begära att anteckningar görs om skadans beskaffenhet. Mottagare vid Företaget skall kontrollera att försändelsen är oskadad. Om försändelsen är skadad, skall anmälan omedelbart göras till säkerhetsskyddschefen, som ansvarar för att den beställande myndigheten underrättas. Mottagare skall kontrollera att innehållet överensstämmer med uppgifter i huvudhandling, missiv, sändlista eller liknande. Om så inte är fallet, skall avsändare omedelbart underrättas. 17. BEFORDRAN PÅ ANNAT SÄTT Om praktiska skäl talar för att försändning eller transport bör ske på annat sätt skall detta regleras enligt överenskommelse med beställande myndighet. 18. RÖJANDE SIGNALER, (RÖS) All informationsbehandlande utrustning i användning avger oönskad strålning, "signaler", som kan röja den information som behandlas. Signalerna kan vara akustiska eller elektromagnetiska. Om de är tillräckligt starka, kan de gå utanför den använda utrustningen och lokalen där utrustningen finns och obehörigas avlyssning möjliggörs. Företaget skall inom ramen för överenskommelse med beställande myndighet hindra och försvåra dessa möjligheter till avlyssning. 19. IT-SÄKERHET För databearbetning av hemliga uppgifter krävs särskilt godkännande av beställande myndighet. Informationsteknologin (IT) inom Företaget skall tillgodose samma säkerhetsskyddskrav, som gäller för den informationsbehandling i övrigt som ingår i SUAarbetet. Instruktionen följer vad som överenskommits i säkerhetsskyddsavtalet och vad som framgår av gällande föreskrifter och publikationen H SÄK IT. För information som inom Företaget behandlas med hjälp av IT, men som inte berörs av sekretess skall bestämmelser för informations-skyddet utformas i samråd med den beställande myndighetens IT-chef. Instruktionen utformas så att säkerhetsskyddet främst säkerställs mot följande hot. - Informationsröjning avlyssning - förstörelse av information - förvanskning av information - falsk identitet

Bilaga 5 11(12) 20. TYSTNADSPLIKT OCH SEKRETESSBEVIS I fråga om hemlig information gäller tystnadsplikt i förhållande till alla som inte är behöriga enligt punkt 2. De som är placerade i säkerhetsklass skall, genom säkerhetsskydds-chefens försorg, upplysas om omfattningen och innebörden av tystnadsplikten. Skriftligt bevis härom skall upprättas och förvaras av säkerhetsskyddschefen eller av denne utsedd behörig och på sådant sätt att det inte kan åtkommas av obehöriga. När leverantör upphör med sin verksamhet vid t.ex. konkurs eller nedläggning, skall undertecknade sekretessbevis sändas till beställande myndighet. 21. TILLTRÄDESBEGRÄNSNING Tillträdesskyddet skall hindra obehörigt tillträde till område, anläggning, inom eller del av Företaget, där hemlig uppgift eller annat av betydelse för rikets säkerhet förvaras eller verksamhet av sådan betydelse bedrivs. De väsentliga delarna av tillträdesbegränsningen utgörs av områdesskydd och av inre skydd. Områdesskyddet, skall med hjälp av inpasseringskontroll och andra bevakningsåtgärder hindra obehörig att komma in på Företagets område eller i dess lokaler. I områdesskyddet ingår tekniskt skydd som stängsel, larm och liknande. Det inre skydd skall alla anställda vid Företaget medverka i. Säkerhetspersonal kan bära särskilda igenkänningstecken. För identifiering av anställda eller endast av dem som deltar i SUA-arbetet tillhandahåller Företaget identitetshandling. 22. INTERN UTBILDNING Säkerhetsskyddschefen ansvarar för den behörighetsgrundläggande säkerhetsskyddsutbildningen samt att behörig personal fortlöpande erhåller tillräckliga kunskaper om föreskrifter och instruktioner rörande säkerhetsskyddet inom Företaget. 23. KONTROLL Säkerhetsskyddschefen skall fortlöpande kontrollera att endast godkänd personal anlitas och att föreskrifterna rörande informationssäkerhet, infiltrationsskydd och tillträdesbegränsning iakttas samt att skyddsnivån är jämn och tillräckligt hög. Säkerhetsskyddschefen skall hålla beställande myndighet underrättad om inträffade eller befarade händelser eller åtgärder som kan påverka säkerhetsskyddet kring det avtalade uppdraget. Anteckningar skall föras om vad som framkommit vid kontrollen. Dessa skall förvaras hos säkerhetsskyddschefen. Den beställande myndigheten kan kontrollera att överenskomna säkerhetsskyddsåtgärder

Bilaga 5 12(12) följs vid Företaget. Sådan kontroll kan också utföras av Säkerhetspolisen eller av Försvarsmakten efter samråd med den beställande myndigheten. Säkerhetsskyddschefen skall oberoende av myndighetens kontroller, se till att fel och brister i säkerhetsskyddet åtgärdas utan dröjsmål. 24. REDOVISNING I redovisningshandlingar, t ex fakturor, bokföringshandlingar, statistiska redovisningar av personal och varor som skall gå utanför den behöriga kretsen får inte uppgifter av hemlig karaktär ingå. I samband med SUA-arbete på hemlig plats får endast beställande myndighets beteckning beträffande arbete eller Företagets arbets-nummer, dock inte arbetsplatsen anges på faktura, reseräkning eller annan handling. 25. ÖVRIGT När leverantören ämnar vidta personella förändringar beträffande säker-hetspersonalen, skall detta omgående meddelas till beställande myndighet. Detsamma gäller när leverantören byter namn, styrelse, adress, försätts i konkurs eller på annat sätt förändrar förutsättningarna för det ingångna säkerhetsskyddsavtalet. Säkerhetsskyddsinstruktionen: Fastställd av Företaget Godkänd av Polismyndigheten 2016 - - 2016 - -............................................

HD-5900-14/2016 1 SÄKERHETSSKYDDSAVTAL (nivå 2) mellan POLISMYNDIGHETEN, (202100-0076), Box 12256, 102 26 Stockholm som företräder staten, nedan kallad Myndigheten och Företaget AB (org.nr), adress, postadress, nedan kallat Företaget träffar följande avtal om säkerhetsskydd 1 Bakgrund Företaget ska få del av förfrågningsunderlag HD-5900-14/2016 angående projekt ombyggnation för RLC i Linköping. Uppdraget innebär att Företaget i Myndighetens eller av Myndigheten anvisade områden eller lokaler kommer att hantera och förvara hemliga uppgifter. Säkerhetsskyddet ska förebygga; att hemliga uppgifter obehörigen röjs, ändras, görs otillgängliga för behöriga eller förstörs (informationssäkerhet) att obehöriga får tillgång till hemliga uppgifter eller verksamhet som har betydelse för rikets säkerhet eller till skydd mot terrorism (tillträdesbegränsning), och att personer som inte är pålitliga från säkerhetssynpunkt deltar i verksamhet som har betydelse för rikets säkerhet eller till skydd mot terrorism (säkerhetsprövning) Andra säkerhetsskyddsåtgärder är utbildning och kontroll. Detta avtal avser säkerhetsskydd för uppgifter som på Myndigheten omfattas av sekretess enligt offentlighets- och sekretesslagen (2009:400) och som rör rikets säkerhet och skyddet mot terrorism. En sådan uppgift benämns fortsättningsvis hemlig uppgift. En hemlig uppgift kan framgå av en handling, ett visst förhållande, en anläggning eller föremål av olika slag. 2 Avtalets omfattning Detta säkerhetsskyddsavtal tillsammans med Företagets säkerhetsskyddsinstruktion om en sådan har upprättats) reglerar vilka säkerhetsskyddsåtgärder som Företaget ska vidta i samband med Uppdraget. De ekonomiska villkoren avseende Uppdraget regleras i ett kontrakt, nedan kalla Affärsavtalet. Detta säkerhetsskyddsavtal är en förutsättning men utgör ingen utfästelse eller garanti för att Myndigheten ska teckna Affärsavtal med Företaget om uppdraget.

Om det förekommer motstridiga uppgifter i Affärsavtalet gäller detta säkerhetsskyddsavtal framför Affärsavtalet. Motsvarande skrivning ska även tas in i Affärsavtalet. 2 Företaget får endast använda underleverantörer som har tecknat säkerhetsskyddsavtal med Myndigheten. 3 Säkerhetsskyddsorganisation Det ska finnas en säkerhetsskyddschef och en ställföreträdande säkerhetsskyddschef på Företaget. Säkerhetsskyddschefen ska i Uppdragets säkerhetsskyddsfrågor vara direkt underställd Företagets ledning. Säkerhetsskyddschefen leder säkerhetsskyddsverksamheten inom Företaget och är kontaktperson i säkerhetsskyddsfrågor gentemot Myndigheten. På Företaget ska det även finnas en systemsäkerhetsansvarig för IT-system som är avsedda för behandling av hemliga uppgifter. 4 Säkerhetsskyddsåtgärder Företaget ska upprätta en säkerhetsskyddsinstruktion när säkerhetsskyddsavtalet har undertecknats. Säkerhetsskyddsinstruktionen inklusive eventuella förändringar eller tillägg i säkerhetsskyddsinstruktionen ska godkännas av Myndigheten. Företaget ska dokumentera de säkerhetsskyddsåtgärder som har vidtagits i Uppdraget. 5 Behörighet Behörig att ta del av hemliga uppgifter är endast personer som; bedöms pålitliga från säkerhetssynpunkt har tillräckliga kunskaper om säkerhetsskydd behöver uppgifterna för sitt uppdrag eller arbete i den verksamhet där de hemliga uppgifterna förekommer Hemliga uppgifter får endast delges personer som har säkerhetsprövats och godkänts av Myndigheten. 6 Informationssäkerhet Myndigheten ska klargöra för Företaget i vilken utsträckning handlingar med mera som överlämnas till Företaget innehåller hemliga uppgifter. Om hemliga uppgifter uppkommer under Uppdragets utförande på Företaget, ska Företaget vidta de säkerhetsskyddsåtgärder som är nödvändiga. Företaget ska utan dröjsmål meddela Myndigheten om hemliga uppgifter har uppkommit samt vilka säkerhetsskyddsåtgärder som har vidtagits. Företaget får endast hantera och förvara hemliga uppgifter i av Myndigheten anvisade och godkännda utrymmen. Hemliga uppgifter får inte medföras från Myndigheten eller från av Myndigheten anvisade områden eller lokaler.

3 Hemliga uppgifter får endast hanteras i IT-system som har godkänts för sådan hantering av Myndigheten. Beträffande hemliga uppgifter i IT-miljö gäller för Uppdraget bestämmelserna i bilaga 1. Företaget bör klargöra för Myndigheten i vilken utsträckning uppgifter avseende affärs- eller driftsförhållanden som överlämnas till Myndigheten är att anses som hemliga, samt varför Företaget kan komma att lida skada om dessa röjs (enligt offentlighets- och sekretesslagen [2009:400]). Företaget är dock medvetet om att Myndigheten ändå kan vara skyldig att lämna ut sådana uppgifter. Företaget får inte utan Myndighetens tillstånd lämna uppgifter till massmedia som rör Uppdraget och som enligt Myndigheten innehåller hemlig uppgift. Detsamma gäller för publicering i broschyrer, tidskrifter, böcker, filmer etc., samt vid föredrag, utställningar och förevisningar dit personer som inte är behöriga ( 5) har tillträde. Företaget får inte utan Myndighetens tillstånd offentliggöra att de träffat ett säkerhetsskyddsavtal. Denna information får därmed inte användas i marknadsföring eller på annat sätt. 7 Tillträdesbegränsning Myndighetens bestämmelser om tillträdesbegränsning gäller för Företagets personal som ska delta i Uppdraget. Företaget får inte utan Myndighetens godkännande byta eller använda andra lokaler, områden eller motsvarande för Uppdragets genomförande. Endast behöriga personer som har godkänts av Myndigheten får ha tillträde till de lokaler, områden eller motsvarande där Uppdraget genomförs. Det åligger Företagets personal att följa Myndighetens tillträdesbestämmelser. 8 Säkerhetsprövning Innan person får del av hemliga uppgifter ska Företaget genom säkerhetsprövning pröva vederbörandes lojalitet och pålitlighet från säkerhetssynpunkt. Säkerhetsprövningen ska omfatta varje person som får del av hemlig uppgift, oavsett om de blir föremål för registerkontroll enligt säkerhetsskyddslagen (1996:627) eller inte. Säkerhetsprövning ska omfatta en personbedömning samt inhämtande av betyg, intyg och referenser. Är befattningen placerad i säkerhetsklass ska säkerhetsprövningen även omfatta registerkontroll och i vissa fall särskild personutredning. Säkerhetsprövningen ska dokumenteras av Företaget och på begäran lämnas till Myndigheten. Tillsammans med uppgifter som har framkommit vid registerkontroll och särskild personutredning utgör säkerhetsprövningen underlag för Myndighetens beslut om att personen får anlitas. Företaget får inte anlita personen innan Företaget har fått del av Myndighetens beslut. Innan en ansökan om registerkontroll skickas till Myndigheten ska Företaget särskilt informera den person som ska bli föremål för registerkontroll om vad kontrollen innebär. Företaget ska i

samband med detta också inhämta personens samtycke till kontrollen. Samtycket ska dokumenteras och förvaras på Företaget. 4 Företaget ska utan dröjsmål anmäla till Myndigheten om en registerkontrollerad person på Företaget lämnar uppdraget. Myndigheten ska utan dröjsmål anmäla till Säkerhetspolisen att personen har lämnat Uppdraget. Företaget ska till Myndigheten anmäla omständigheter som kan vara av betydelse för bedömningen av ensäkerhetsprövad persons lämplighet och pålitlighet. Om en person som har säkerhetsprövats inom ramen för detta säkerhetsskyddsavtal under Uppdragets genomförande befinns olämplig från säkerhetssynpunkt, ska Företaget vidta de åtgärder som är lämpliga för att vederbörande inte ska få tillgång till hemliga uppgifter eller tillträde till lokaler, områden eller motsvarande där säkerhetskänslig verksamhet bedrivs. 9 Intern utbildning och kontroll Myndigheten ska innan Uppdraget påbörjas ge lämplig utbildning i säkerhetsskyddsfrågor till de personer på Företaget som kan komma att få del av hemlig uppgift eller tillträde till lokaler, områden eller motsvarande där säkerhetskänslig verksamhet bedrivs. Därefter ansvarar Företaget för att dessa personer ges behövlig och fortlöpande utbildning. Utbildningen ska bland annat behandla: hot och risker som från säkerhetssynpunkt föreligger mot eller är förknippade med Uppdraget säkerhetsskyddsåtgärder som enligt Företagets säkerhetsskyddsinstruktion ska vidtas mot föreliggande hot och risker Myndigheten kan vid behov och efter särskild framställan medverka i viss utbildning som Företaget ger. Företaget ska fort löpande kontrollera att endast behöriga personer som har godkänts av Myndigheten anlitas och att säkerhetsskyddet avseende informationssäkerhet och tillträdesbegränsning iakttas, samt att skyddsnivån är jämn och tillräckligt hög. Företaget ska omedelbart underrätta Myndigheten om inträffade eller befarade händelser och omständigheter som kan påverka säkerhetsskyddet vad avser Uppdraget och personer som faller under detta avtal. 10 Tillsyn Myndigheten har rätt att kontrollera att de i säkerhetsskyddsinstruktionen redovisade och avtalade säkerhetsbestämmelserna följ. Vid en sådan tillsyn kan Myndigheten biträdas av en representant från Säkerhetspolisen och/eller Försvarsmakten. Tillsynen ska ske under Företagets ordinarie kontorstid eller på plats och tid enligt särskild överenskommelse. Tillsynen får inte vara mer ingripande för Företaget än vad som är nödvändigt. 11 Kostnader Företaget ska bära eventuella kostnader som uppkommer med anledning av detta säkerhetsskyddsavtal om inget annat avtalats i Affärsavtalet.

5 12 Övrigt Hemliga uppgifter som har tillförts eller uppkommit under Uppdragets genomförande ska även efter att avtalet har upphört, eller till dess att Myndigheten meddelar något annat, omfattas av tystnadsplikt. Företaget ska informera berörd personal om innebörden av tystnadsplikten och säkerhetsskyddet samt se till att personalen undertecknar sekretessförbindelser. Dessa förvaras på Företaget så länge Uppdraget pågår. När Uppdraget är slutfört lämnas sekretessförbindelserna till Myndigheten. Företaget ska utan dröjsmål anmäla till Myndigheten när någon förändring sker beträffande firma, organisationsnummer, styrelse, verkställande direktör, revisor, post- och besöksadress eller telefonnummer. Avser ändringen firma, organisationsnummer, styrelse, verkställande direktör eller revisor ska ett nytt registreringsbevis från Bolagsverket bifogas anmälan. En anmälan ska också göras om ägarförhållandena ändras, om Företaget råkar i ekonomiska svårigheter eller försätts i konkurs. Samtliga handlingar, material eller övrigt som innehåller hemliga uppgifter och som har anknytning till Uppdraget är Myndighetens egendom om inget annat har avtalats. Dessa handlingar eller dylikt ska senast i samband med fullgjort Uppdrag återlämnas till Myndigheten eller vid den tidpunkt som parterna särskilt har kommit överens om. 12 Avtalsperiod Detta säkerhetsskyddsavtal träder i kraft vid undertecknandet och gäller tills vidare eller till dess det skriftligen med en uppsägningstid om tre (3) månader sägs upp av endera parten. Avtalet kan dock inte ensidigt sägas upp till en tidigare tidpunkt än den dag då Uppdraget har slutförts eller alla hemliga uppgifter har återlämnats till Myndigheten. Myndigheten kan dock ensidigt säga upp detta avtal liksom Affärsavtalet med omedelbar verkan om Företaget frångår detta avtal. Detta avtal har upprättats i två (2) likalydande exemplar varav parterna har tagit var sitt. [Ort och datum] Polismyndigheten [Ort och datum] [Företaget AB]............................................. (Namnteckning) (Namnteckning)............................................. (Namnförtydligande) (Namnförtydligande)

Datum 1 (6) Polismyndigheten Verksamhetsskydd 1 RPC Kansli Christer Rundström Poliskommissarie 2015-01-19 Diarienr (åberopas) Saknr Vid säkerhetsskyddad upphandling med säkerhetsskyddsavtal (SUA) Nivå 1 Vägledning och sammanställning över de säkerhetsskyddskrav som kan komma att ställas vid anbud eller upphandling där säkerhetsskyddslagens (SSL1996:627) krav skall tillämpas. PM 150119 ver l Säkskydd