Privatägda bolag omfattas oftare än ägarna tror

Fråga en vd i ett privatägt bolag om säkerhetsskyddslagen gäller dem. Svaret blir ofta att den där lagen är till för Försvarsmakten och för myndigheter.

Lagen gör ingen skillnad på ägarform. Den träffar den som bedriver säkerhetskänslig verksamhet. Om ägaren är staten, en kommun eller en familj saknar betydelse.

Andelen privata verksamhetsutövare har dessutom vuxit under lång tid. Stora delar av det som en gång drevs i offentlig regi ligger idag hos privata bolag. Kraftproduktion, nätdrift, transporter, livsmedelsförsörjning, telekom och it-drift.

Säkerheten följde med. Ägarformen ändrade ingenting.

Fyra vägar in i lagen för ett privat bolag

Den första går genom vad ni levererar. Levererar ni en tjänst eller en funktion som Sveriges säkerhet vilar på finns ni i bilden. Det behöver inte vara en stor del av omsättningen.

Den andra går genom vem ni levererar till. Är ni leverantör till en verksamhetsutövare som bedriver säkerhetskänslig verksamhet kan ni bli bundna genom ett säkerhetsskyddsavtal. Kravet kommer då i en upphandling eller i ett avtalsvillkor.

Den tredje går genom vad ni vet. Har ni tillgång till uppgifter om andras säkerhetskänsliga verksamhet kan ni omfattas även om er egen verksamhet är oskyldig i sig. Det gäller ofta konsulter, driftleverantörer och byggbolag.

Den fjärde går genom vad ni äger. Anläggningar, mark och infrastruktur kan ha betydelse för Sveriges säkerhet oberoende av vad ni använder dem till.

Varför missförståndet är så segt

Tre saker håller det vid liv.

Ordvalet i lagen. Begreppet verksamhetsutövare låter myndighetsnära. Det låter som något man är om man har ett tillsynsansvar, inte som något man är om man driver ett aktiebolag.

Frånvaron av kontakt. En privat bolagsledning som aldrig har haft ett ärende hos Säkerhetspolisen har heller aldrig haft anledning att tänka på saken. Tystnaden tolkas som besked.

Ägarens perspektiv. I ett privatägt bolag är styrelsen ofta upptagen av tillväxt och lönsamhet. Regelverk som handlar om rikets säkerhet ligger långt från den agendan tills dagen de blir ett hinder.

Var det brukar smälla

Det vanligaste ögonblicket är en upphandling.

En offentlig eller privat kund ställer krav på säkerhetsskyddsavtal. Anbudstiden är fyra veckor. Bolaget har aldrig gjort en säkerhetsskyddsanalys och har ingen säkerhetsskyddschef.

Då finns två utfall. Antingen lämnar bolaget in ett anbud det inte kan uppfylla, vilket är sämre än att avstå. Eller så avstår de från affären.

Det andra ögonblicket är en ägarförändring. Ska bolaget säljas, eller ska en ny delägare in, kan säkerhetsskyddsfrågan behöva hanteras innan affären kan slutföras. Kommer den upp sent i processen blir den dyr, och ibland avgörande.

Det tredje är en incident. Något inträffar, en myndighet ställer frågor, och bolaget upptäcker att de har haft en skyldighet under flera år.

Storleken spelar ingen roll

Det finns ingen tröskel i säkerhetsskyddslagen som liknar den i cybersäkerhetslagen. Där avgör antal anställda och omsättning om ni omfattas.

Här finns inget sådant. Ett bolag med sju anställda kan bedriva säkerhetskänslig verksamhet. En koncern med tvåtusen anställda kan stå helt utanför.

Det avgörande är vad ni gör, inte hur stora ni är.

Vad det kostar att ha fel

Kostnaden för att felaktigt tro att ni står utanför är inte främst en sanktionsavgift, även om den möjligheten finns.

Kostnaden är affärer ni inte kan ta. Marknaden för samhällskritiska leveranser växer, och kraven på leverantörer skärps i takt med det. Den som inte kan svara på säkerhetsskyddsfrågan sorteras bort i ett tidigt skede, ofta utan att få veta varför.

Kostnaden är också tid. Att bygga upp ett säkerhetsskydd från noll tar månader, inte veckor. Den tiden finns aldrig när kravet väl dyker upp.

Och kostnaden är förtroende. En verksamhetsutövare som upptäcker att en leverantör missat en lagstadgad skyldighet under flera år drar slutsatser om leverantörens ordning i övrigt.

Vad ni bör göra den här veckan

Ta reda på en enda sak. Vem hos er skulle svara om en kund ställde frågan i morgon.

Om svaret är att ingen vet, och att frågan skulle skickas runt tills den landade hos någon som får gissa, då har ni just identifierat er verkliga risk. Den ligger inte i lagen. Den ligger i att ingen äger frågan.

Utse någon. Ge dem en eftermiddag att ta reda på hur det ligger till. Det är billigare än varje annat alternativ, och det är det enda steget som inte kräver att ni redan kan området.