Säkerhetsskyddsavtalet, även kallat SUA-avtal, tecknas vid sidan av det allmänna avtalet vid en upphandling. SUA-avtalet reglerar ramen för säkerhetsskyddsrutinerna som ska gälla för en leverantör som är i en situation där det finns uppgifter som omfattas av säkerhetsskydd.
Syftet med avtalet är att de intressen som säkerhetsskyddslagstiftningen värnar om ska hanteras med samma säkerhetsskyddsnivå oavsett var, när och hur verksamheten bedrivs. Det är därför viktigt att avtalets innehåll blir rätt från början.
Vilka är då dessa uppgifter? Om det inte redan skett, ska kommunen utreda vilka uppgifter som bör säkerhetsskyddsklassificeras, i vilken nivå de ska klassificeras och som kan föranleda att ett säkerhetsskyddsavtal behöver upprättas innan leverantören får se uppgifterna.
Det kan exempelvis vara uppgifter om flygplatser, dricksvattenförsörjning eller hamnar. Kommunen ska ju även kartlägga vilka samhällsviktiga verksamheter som behöver säkerhetsskydd.
En relevant fråga är i vilken situation ett säkerhetsskyddsavtal bör upprättas? Svar: för alla upphandlingar som rör säkerhetsskyddsklassificerade uppgifter från säkerhetsskyddsklassen ”begränsat hemlig” och uppåt till säkerhetskänslig verksamhet av motsvarande betydelse för Sveriges säkerhet.
Enligt lag måste även myndighetens säkerhetsskyddschef eller säkerhetsansvarig medverka vid förhandlingen.
Om förfrågningsunderlaget innehåller hemliga uppgifter ska ett säkerhetsskyddsavtal träffas redan innan underlaget lämnas ut till anbudsgivaren. Om förfrågningsunderlaget däremot inte innehåller hemliga uppgifter ska säkerhetsskyddsavtal träffas senast innan affärsavtalet tecknas.
Den upphandlande myndigheten ska kontrollera att leverantören följer säkerhetsskyddsavtalet. Det är även myndigheten som ansvarar för förhandlingarna med leverantörer om säkerhetsskyddsavtal - och inte Säkerhetspolisen vilket man skulle kunna tro.
Det finns vissa formkrav som ett säkerhetsskyddsavtal måste uppfylla, som att det måste vara skriftligt. Det bör innehålla bestämmelser rörande säkerhetsskyddsorganisation, säkerhetskyddsinstruktion, informationssäkerhet, behörighet, tillträdesbegränsning, tillsyn, utbildning och kontroll, tystnadsplikt och säkerhetsprövning under avtalsperioden.
Säkerhetsskyddsavtalet utgör grunden för uppdragets placering i säkerhetsklass och beslut om registerkontroll.
Mallar för hur ett säkerhetsskyddsavtal bör utformas finns att hämta hos Säkerhetspolisen. Mallarna finns i tre varianter, en för varje säkerhetsskyddsavtalsnivå. Valet av nivå styrs av var uppdraget ska utföras och vilken sorts information det rör sig om, är den kvalificerat hemlig eller konfidentiell? Ska uppdraget utföras hos leverantören eller hos den upphandlande myndigheten?
Säkerhetsskyddsavtalet gäller både för huvudleverantörer och eventuella underleverantörer. Samtliga personer som ska delta i det aktuella uppdraget och som kan antas få del av hemliga uppgifter ska säkerhetsprövas. De individer som får del av hemliga uppgifter eller deltar i verksamheten ska även upplysas om den tystnadsplikt som gäller för uppdraget.
Ett säkerhetsskyddsavtal ska även i vissa fall ske i olika former av samråd med den tillsynsmyndighet som är aktuell för respektive myndighet. Exempelvis måste statliga myndigheter som ska genomföra en säkerhetsskyddad upphandling med säkerhetsskyddsavtal nivå 1 samråda med Säkerhetspolisen och upprätta en särskild säkerhetsanalys innan upphandlingen inleds. Övriga upphandlande myndigheter är skyldiga att meddela tillsynsmyndigheten när SUA-avtal har ingåtts eller upphört att gälla.
Säkerhetsskyddsavtalet lägger ramen för hur samarbetet kring säkerhetsskydd mellan leverantör och upphandlande myndighet kommer att se ut. För att uppnå ett fullgott säkerhetsskydd och undvika oönskade konsekvenser som exempelvis fallet Transportstyrelsen, är det viktigt att upphandlaren har koll på säkerhetsskyddsriskerna och säkerhetsskyddsregelverket.
Detta gör man bäst genom utbildning och genom samarbete med tillsynsmyndigheter och leverantörer.
Har ni de rutiner och den överblick över era skyddsvärda platser och uppgifter som krävs?
Christoffer Stavenow och Max Thimmig
Stavenow advokatbyrå
Författarna är aktuella med boken Säkerhetsskyddad upphandling – juridik och praktik.
Kommentatorerna ansvarar för sina egna kommentarer