Det här är det säkerhetsskyddslagen faktiskt skyddar

Säkerhetsskyddslagen vilar på tre begrepp. Sveriges säkerhet, säkerhetskänslig verksamhet och säkerhetsskyddsklassificerade uppgifter.

De hänger ihop i en bestämd ordning. Det första avgör vad som är skyddsvärt. Det andra avgör om ni omfattas. Det tredje avgör hur information ska hanteras.

Här är vad de betyder.

Sveriges säkerhet

Detta är det yttersta skyddsobjektet, och det är snävare än ordet låter.

Det handlar om Sveriges förmåga att existera och verka som stat. Försvaret av landet. Det demokratiska statsskicket. Förmågan att fatta självständiga beslut och att stå emot påtryckningar från främmande makt. De funktioner samhället inte klarar sig utan ens under svåra förhållanden.

Det handlar däremot inte om trygghet i allmänhet. Inte om enskilda människors säkerhet. Inte om att en verksamhet är viktig för sina kunder eller för sin kommun.

Prövningen är alltid nationell. Frågan är om skadan når staten, inte om den är stor för dem som drabbas.

Det är här de flesta felbedömningar börjar. En ledningsgrupp beskriver hur allvarligt det vore om deras leverans upphörde, och beskrivningen stämmer. Men den handlar om konsekvenser för användarna, inte om konsekvenser för Sverige.

Säkerhetskänslig verksamhet

Säkerhetskänslig verksamhet är verksamhet som har betydelse för Sveriges säkerhet. Det är den kopplingen som avgör om lagen gäller er.

Betydelsen kan finnas i tre former.

I information, om ni hanterar uppgifter vars röjande skulle skada Sverige.

I funktioner, om ni levererar något som Sveriges säkerhet vilar på.

I anläggningar, om ni äger eller driver fysiska objekt vars förstörelse skulle få nationella följder.

Verksamhet som omfattas av ett för Sverige förpliktande internationellt åtagande om säkerhetsskydd räknas också hit.

Notera att storleken inte nämns någonstans. Ett litet bolag kan bedriva säkerhetskänslig verksamhet. Ett stort kan låta bli.

Säkerhetsskyddsklassificerade uppgifter

Detta är den tredje delen, och den som oftast förväxlas med vanlig känslig information.

En säkerhetsskyddsklassificerad uppgift är en uppgift som rör säkerhetskänslig verksamhet och som därför omfattas av sekretess enligt offentlighets- och sekretesslagen. Det är kopplingen till Sveriges säkerhet som gör uppgiften klassificerad, inte att den är affärskänslig eller privat.

Uppgifterna delas in i fyra klasser efter hur allvarlig skadan skulle bli om de röjdes. Begränsat hemlig innebär ringa skada. Konfidentiell innebär inte obetydlig skada. Hemlig innebär allvarlig skada. Kvalificerat hemlig innebär synnerligen allvarlig skada.

Klassen styr sedan hur uppgiften får hanteras, förvaras och kommuniceras, och vilken säkerhetsklass en person behöver för att få ta del av den.

Vad som inte är säkerhetsskyddsklassificerat

Det här är värt att vara tydlig med, eftersom missförståndet är dyrt.

Personuppgifter är inte säkerhetsskyddsklassificerade i sig. Affärshemligheter är det inte. Konstruktionsritningar, kundregister och prisuppgifter är det inte, hur känsliga de än är för er.

De kan behöva skyddas av andra skäl och enligt andra regelverk. Men de utlöser inte säkerhetsskyddslagen.

En verksamhet som klassificerar sin information för brett får kostnader den inte behöver, och tappar dessutom skärpan i skyddet av det som faktiskt behöver det.

Så hänger de ihop i praktiken

Kedjan går att sammanfatta i tre steg.

Först frågar ni om något i verksamheten har betydelse för Sveriges säkerhet. Blir svaret nej stannar det där, och lagen gäller inte er.

Blir svaret ja bedriver ni säkerhetskänslig verksamhet, och då ska en säkerhetsskyddsanalys göras.

I analysen identifieras skyddsvärdena, och de uppgifter som rör dem blir säkerhetsskyddsklassificerade i en av de fyra klasserna. Först därefter går det att avgöra vilka konkreta åtgärder ni behöver.

Att hoppa över de första stegen och börja i det tredje är vanligt. Det ger ett skydd som ser gediget ut och som skyddar fel saker.

Var gränsen går

Frågan om var gränsen går mellan att bedriva och att inte bedriva säkerhetskänslig verksamhet har inget generellt svar. Den avgörs i det enskilda fallet.

Men riktningen är tydlig. Ju mer konsekvenserna av en skada stannar hos era egna kunder och användare, desto längre från lagen ligger ni. Ju mer de sprider sig till statens förmåga att försvara sig, styra sig och stå emot påverkan, desto närmare är ni.

Ett kommunalägt bolag inom dricksvatten hamnade fel på just den här punkten. Verksamheten var oumbärlig för orten. Ett avbrott hade drabbat varje hushåll. Men konsekvenserna hade stannat i kommunen, och Sveriges säkerhet hade inte påverkats.

De omfattades inte, och beskedet sparade dem ett par miljoner kronor.

Gör det här den här veckan

Ta era tre viktigaste informationsmängder. Skriv för varje en mening om vad som skulle hända om de röjdes.

Läs sedan meningarna igen och stryk under vem som drabbas. Är det era kunder, era anställda eller ert eget bolag handlar det om affärsrisk och integritet. Är det Sveriges förmåga att försvara sig eller att fungera som stat är ni inne på säkerhetsskyddets område.

Övningen tar tjugo minuter och avgör ingenting formellt. Men den visar vilken sorts fråga ni har framför er, och det är skillnaden mellan att arbeta systematiskt och att gissa.