Beskedet att ni inte omfattas är värt lika mycket som motsatsen

Nästan allt som skrivs om säkerhetsskydd utgår från samma antagande. Att målet är att omfattas, och att den som kommer fram till ett ja har gjort rätt.

Det antagandet kostar svenska bolag stora summor varje år.

Fallet

Ett kommunalägt bolag inom dricksvatten hade tagit fram en säkerhetsskyddsanalys på egen hand. De hade gjort arbetet noggrant och med god vilja.

Slutsatsen var att verksamheten var säkerhetskänslig och att säkerhetsskyddslagen gällde dem. De hade börjat bygga i enlighet med det. Rutiner, roller, planer för säkerhetsprövning av personal.

Det fanns bara ett problem. Slutsatsen var fel.

Vad som hade gått snett

Analysen vilade på ett missförstånd om den egna rollen och omfattningen.

Bolaget var oumbärligt för sin ort. Ett längre avbrott i leveransen hade fått allvarliga följder för invånarna. Det hade märkts på varje hushåll och i varje verksamhet i kommunen.

Men konsekvenserna hade stannat där. Sveriges säkerhet hade inte påverkats. Verksamheten var i högsta grad samhällsviktig, men lokalt.

Säkerhetsskyddslagen sätter en annan tröskel. Den frågar om skada på verksamheten skulle kunna skada Sverige som stat, inte om den skulle skada dem som är beroende av leveransen.

Bolaget hade läst sin egen betydelse som nationell när den var lokal.

Varför de inte såg det själva

Det handlade inte om okunskap. De som skrev analysen kunde sin verksamhet bättre än någon utomstående.

Det var problemet.

En säkerhetsskyddsanalys kräver att man ser den egna verksamheten utifrån. Det är svårt av två skäl som drar åt samma håll.

Det första är att man känner sin egen betydelse i detalj. Man vet exakt hur mycket som slutar fungera om leveransen stannar. Den kunskapen gör konsekvenserna levande och stora.

Det andra är att ingen i en ledningsgrupp gärna argumenterar för att den egna verksamheten är oviktig. Det finns ingen som driver den linjen, och därmed ingen som prövar den.

Resultatet blir en analys där alla vägar leder till ja.

Vad det hade kostat att fortsätta

Ett säkerhetsskydd som byggs utan att behövas kostar på flera sätt samtidigt.

Säkerhetsprövning av personal tar tid från både chefer och medarbetare, och den är återkommande. Rutiner för hantering av säkerhetsskyddsklassificerade uppgifter påverkar hur människor arbetar varje dag. Krav på leverantörer gör upphandlingar långsammare och dyrare.

Till det kommer den löpande förvaltningen. Ett säkerhetsskydd är inget projekt som avslutas.

Sammanlagt handlade det om ett par miljoner kronor för det här bolaget. Pengar som i stället gick till verksamheten.

Det verkliga värdet låg i nästa steg

Beskedet att säkerhetsskyddslagen inte gällde dem var korrekt. Men det var bara halva svaret.

Dricksvatten står med bland de sektorer som omfattas av cybersäkerhetslagen. Bolaget omfattades mycket riktigt av den i stället.

De hade alltså inte fel om att de hade ett regelverk att förhålla sig till. De hade fel om vilket. Och de hade lagt sina resurser på det de inte omfattades av, medan det de faktiskt omfattades av låg orört.

Det arbetet pågår nu.

Ett nej är en handling, inte ett undantag

Den som lämnar ett nej tar på sig något. Beskedet ska hålla vid en tillsyn, vid en upphandling och vid en incident. Det ska gå att förklara hur man kom fram till det.

Därför är ett väl underbyggt nej lika mycket arbete som ett ja. Skillnaden är vad det frigör.

Det som gör ett nej svårt är sällan analysen. Det är att någon ska våga stå för slutsatsen att den egna verksamheten inte har betydelse för rikets säkerhet. Det känns som ett underbetyg, trots att det inte är det.

Vad ni bör göra den här veckan

Om ni har en säkerhetsskyddsanalys, ta fram den och läs sammanfattningen. Leta efter en enda sak.

Står det någonstans varför konsekvenserna når utanför er egen krets av kunder och användare. Går det att peka på en mening som förklarar kopplingen till Sveriges säkerhet, snarare än till samhällsnyttan i er egen verksamhet.

Hittar ni ingen sådan mening är det inte bevis för att analysen är fel. Men det är skäl att låta någon utan lojalitet till slutsatsen läsa den.

Det svåra är inte att göra om analysen. Det svåra är att be någon annan titta på ett arbete man redan har bestämt sig för att man är nöjd med, och varje månad som går gör det steget lite svårare att ta.