Så avgör ni om säkerhetsskyddslagen gäller er verksamhet

Säkerhetsskyddslagen fungerar inte som andra regelverk som träffar ett företag. Det finns ingen lista att slå upp sig själv i. Ingen skickar ett brev.

I stället ligger hela utredningsbördan hos er. Ni ska själva ta reda på om verksamheten omfattas. Skyldigheten börjar gälla den dag verksamheten har betydelse för Sveriges säkerhet, oavsett vad ni vet om saken.

Det är därför bolag kan gå i åratal utan att veta att de omfattas. Det är också därför andra lägger stora summor på ett säkerhetsskydd de aldrig behövde.

Frågan lagen faktiskt ställer

Lagen skyddar inte ert bolag. Den skyddar Sveriges säkerhet.

Ni finns i bilden bara i den mån er verksamhet har betydelse för den. Frågan är alltså inte hur viktiga ni är för era kunder. Frågan är om skada på er verksamhet skulle kunna skada Sverige.

Det är en hög tröskel. Den är också kvalitativ. Antalet anställda spelar ingen roll. Omsättningen spelar ingen roll. Ett litet bolag med tio anställda kan omfattas medan en koncern med tusen anställda står utanför.

Tre missuppfattningar som leder fel

Den vanligaste är att lagen bara gäller myndigheter. Den gäller alla verksamhetsutövare som bedriver säkerhetskänslig verksamhet, oavsett ägarform.

Den näst vanligaste är att samhällsviktig verksamhet automatiskt är säkerhetskänslig. Det stämmer inte. En verksamhet kan vara helt avgörande för en kommun och ändå sakna betydelse för Sveriges säkerhet.

Den tredje är att någon annan har koll. Er tillsynsmyndighet gör ingen kartläggning åt er. Er bransch har ingen förteckning. Er revisor tittar inte på det.

Var ni faktiskt börjar

Börja med att beskriva vad ni gör, i klartext och utan branschspråk. Vilka tjänster levererar ni. Till vem. Vad skulle hända om leveransen upphörde i en vecka.

Gå sedan igenom fyra saker i verksamheten.

Information. Har ni uppgifter som skulle skada Sverige om de kom i fel händer. Ritningar över anläggningar, systembeskrivningar, uppgifter om andras verksamhet.

Anläggningar. Finns det fysiska platser vars förstörelse skulle få konsekvenser långt utanför er egen verksamhet.

Funktioner. Levererar ni något som andra samhällsviktiga verksamheter är beroende av för att fungera.

Beroenden. Är ni ensam leverantör av något, eller en av mycket få.

Faller alla fyra ut med tydliga nej är sannolikheten låg att ni omfattas. Faller en av dem ut med ett kanske behöver ni titta närmare.

Bedömningen görs i en säkerhetsskyddsanalys

Om ni landar i att verksamheten kan vara säkerhetskänslig är nästa steg en säkerhetsskyddsanalys. Det är analysen som avgör saken formellt, och den är obligatorisk för den som bedriver säkerhetskänslig verksamhet.

Analysen är svår att göra rätt på egen hand. Det beror sällan på kunskapsbrist. Det beror på att ni står för nära er egen verksamhet.

En verksamhetsutövare inom dricksvatten tog fram sin analys internt. Slutsatsen var att de bedrev säkerhetskänslig verksamhet. De hade börjat bygga upp ett säkerhetsskydd i enlighet med det.

Analysen vilade på ett missförstånd om den egna rollen. Verksamheten var i högsta grad samhällsviktig, men lokalt. Ett avbrott hade drabbat en ort hårt utan att beröra Sveriges säkerhet. De omfattades inte.

Beskedet sparade dem ett par miljoner kronor.

Ett nej är ett giltigt svar

Mycket av det som skrivs om säkerhetsskydd utgår från att målet är att omfattas. Det är fel utgångspunkt.

Målet är att veta. Ett korrekt nej frigör pengar och tid till annat i bolaget. Ett korrekt ja gör att ni kan börja arbeta i rätt ände.

Det farliga ligger i det tredje alternativet. Att gissa.

Vad ett år av att avvakta kostar

Kostnaden för att inte veta stiger på tre sätt samtidigt.

Ni bygger fel. Varje månad utan besked är en månad då investeringar i säkerhet görs utan att någon vet vilket regelverk de ska svara mot. Pengarna går sällan till rätt saker.

Ni tappar affärer. Kommer kravet på säkerhetsskyddsavtal i en upphandling har ni veckor på er, inte månader. Den som redan har svaret klarar tidsplanen. Den som ska börja utreda hinner inte.

Ni bygger upp en skuld. Omfattas ni och har inte gjort någonting växer avståndet mellan var ni är och var ni ska vara för varje år som går. Den skulden betalas till slut, och den blir dyrare ju längre den får ligga.

Gör det här den här veckan

Sätt av en timme. Skriv ner svaren på de fyra frågorna ovan, kortfattat, i ett dokument.

Ni kommer inte att få ett slutgiltigt svar av den övningen. Men ni kommer att veta om ni har en fråga att ta itu med eller inte, och det är skillnaden mellan att avvakta medvetet och att avvakta av vana.

Är ni osäkra efteråt är det ett resultat i sig. Osäkerhet betyder att någon behöver titta på det, inte att frågan kan vänta.