Säkerhetskänslig verksamhet är något annat än samhällsviktig verksamhet

Den vanligaste felslutet inom säkerhetsskydd ser ut så här. Vi är samhällsviktiga, alltså är vi säkerhetskänsliga, alltså omfattas vi.

Varje steg i den kedjan är fel.

Samhällsviktig verksamhet och säkerhetskänslig verksamhet är två skilda begrepp i svensk rätt. De har olika syften, olika trösklar och olika konsekvenser. En verksamhet kan vara det ena utan att vara det andra.

Samhällsviktig handlar om funktion

Samhällsviktig verksamhet är sådan som samhället behöver för att fungera. Vatten ur kranen. El i uttaget. Vård på akuten. Sopor som hämtas.

Begreppet används inom krisberedskap och civilt försvar. Det används också i cybersäkerhetslagen och i den föreslagna lagen om motståndskraft hos kritiska verksamhetsutövare, där det avgör vilka sektorer som omfattas.

Tröskeln är förhållandevis låg och tydligt kopplad till leverans. Levererar ni något samhället är beroende av är ni samhällsviktiga.

Säkerhetskänslig handlar om Sveriges säkerhet

Säkerhetskänslig verksamhet är verksamhet som har betydelse för Sveriges säkerhet. Det är en helt annan storleksordning.

Här handlar det om rikets försvar, om skyddet mot spioneri och sabotage, om funktioner vars förstörelse skulle försvaga Sverige som stat. Skyddsobjektet är nationen, inte medborgarnas vardag.

Tröskeln är hög och kvalitativ. Den mäts inte i antal berörda kunder eller i omsättning.

Var gränsen faktiskt går

Skillnaden går att fånga i en fråga. Vem drabbas när ni slutar leverera.

Drabbas era kunder, er kommun eller er region är ni samhällsviktiga. Drabbas Sveriges förmåga att försvara sig, att fatta beslut eller att stå emot påverkan från främmande makt är ni säkerhetskänsliga.

Ett kommunalägt bolag inom dricksvatten illustrerar skillnaden väl. Verksamheten var oumbärlig för orten. Ett längre avbrott hade fått allvarliga följder för invånarna.

Men konsekvenserna hade stannat där. Sveriges säkerhet hade inte påverkats.

Bolaget hade själva gjort en säkerhetsskyddsanalys som sa motsatsen. De hade dragit slutsatsen att lokal oumbärlighet var samma sak som nationell betydelse. Det kostade dem nästan ett par miljoner kronor i onödigt arbete innan misstaget upptäcktes.

Varför sammanblandningen är så vanlig

Det finns tre skäl, och inget av dem handlar om okunskap.

Språket bjuder in till det. Orden låter lika. Båda innehåller en känsla av att vara viktig, och ingen chef vill hävda att den egna verksamheten är oviktig.

Sektorslistorna överlappar. Energi, transport, dricksvatten och hälso- och sjukvård finns med i regelverken kring samhällsviktig verksamhet. Delar av samma sektorer kan också vara säkerhetskänsliga. Att branschen står med i en lista säger ingenting om vilken av lagarna som träffar just er.

Rådgivningen är otydlig. Leverantörer av säkerhetsprodukter har sällan anledning att skilja begreppen åt. För den som säljer en tjänst räcker det att ni känner er berörda.

Konsekvensen av att blanda ihop dem

Blandar ni ihop begreppen får ni fel svar på tre frågor samtidigt.

Ni får fel svar på vilket regelverk som gäller. Säkerhetsskyddslagen ställer krav på säkerhetsprövning av personal, på registerkontroll och på hantering av säkerhetsskyddsklassificerade uppgifter. De kraven finns inte i något annat regelverk och de är dyra att uppfylla utan skäl.

Ni får fel svar på vem ni ska prata med. Tillsynsmyndigheterna skiljer sig åt mellan regelverken.

Ni får fel svar på vad som är bråttom. Cybersäkerhetslagen gäller redan idag och kom utan infasning. Säkerhetsskyddet kräver en analys innan något annat kan göras. Det är två helt olika tidsplaner.

Ni kan vara båda samtidigt

Det vanligaste utfallet för ett samhällskritiskt bolag är inte antingen eller.

Många är samhällsviktiga och omfattas därmed av cybersäkerhetslagen. En del av dem är dessutom säkerhetskänsliga i en avgränsad del av verksamheten. Då gäller båda regelverken, med olika krav på olika delar av bolaget.

Att vara samhällsviktig utesluter alltså ingenting. Det avgör bara ingenting heller.

Gör den här övningen den här veckan

Ta tio minuter och skriv två meningar.

Den första börjar med orden ”Om vår verksamhet stannade i en vecka skulle följande drabbas”. Räkna upp vilka.

Den andra börjar med ”Sveriges säkerhet skulle påverkas genom att”. Försök fylla i den. Går det inte att skriva en trovärdig fortsättning är det ett starkt tecken på att ni är samhällsviktiga men inte säkerhetskänsliga.

Går det att skriva en trovärdig fortsättning har ni just formulerat början på en säkerhetsskyddsanalys. Då bör någon som gjort det förr titta på den innan ni bygger vidare.

Det svåra är inte att göra övningen. Det svåra är att göra den ärligt om sig själv, och det är också därför så många analyser landar fel.