Skyddsplan håller ihop säkerhetsskyddsanalysen, planen, prövningsärendena och åtgärderna för verksamhetsutövare under säkerhetsskyddslagen. Systemet lagrar aldrig utredningsinnehåll — bara processen, statusen och datumen som tillsynen frågar efter.
Nästa revision12 mars 2027
Öppna åtgärder3 varav 1 försenad
Exempel ur tjänsten. Verksamheten är påhittad.
2 kap. 1 § säkerhetsskyddsförordningen
Säkerhetsskyddsanalysen identifierar vilka säkerhetsskyddsklassificerade uppgifter och vilken säkerhetskänslig verksamhet som finns, vilka hot och sårbarheter som gäller, och vilka åtgärder som behövs.
Så gör du analysen3 kap. säkerhetsskyddslagen
Prövningen ska göras innan någon deltar i säkerhetskänslig verksamhet och sedan följas upp under hela deltagandet. Det är uppföljningen som oftast fallerar vid tillsyn.
Prövningens delar2 kap. 7 § säkerhetsskyddslagen
Säkerhetsskyddschefen leder och samordnar arbetet och kontrollerar att verksamheten bedrivs enligt lagen. Uppdraget är direkt underställt verksamhetens chef och går inte att delegera bort.
Rollens innehållVarje steg lämnar ett spår efter sig. Det är spåret, inte nuläget, som avgör om verksamhetsutövaren kan visa att processen följts.
Vilka befattningar som är placerade i säkerhetsklass, och skälet till placeringen. Skälet följer med till redovisningen.
Ett ärende per person och befattning, med tillåtna statusövergångar. Varje övergång loggas och ger historiken tillsynen efterfrågar.
Verksamhetsanalys, säkerhetsskyddsanalys, plan för åtgärder, säkerhetsskyddsinstruktion och plan för kontroll. En del kan inte fastställas halvfärdig.
Varje åtgärd har ansvarig funktion och ett datum. Försenade åtgärder syns direkt och mejlas till säkerhetsskyddschefen.
En fryst ögonblicksbild inför tillsyn. Vad som lämnades in går att visa upp i efterhand, exakt som det såg ut då.
Om tjänsten lagrade utredningsmaterial skulle den bli en del av kundens säkerhetskänsliga verksamhet. Gränsen är dragen medvetet och den är hård: fält som skulle kunna bära utredningsinnehåll finns inte.
Vad som lagras, i detaljPersoner identifieras med en referens som organisationen själv väljer — internt anställningsnummer eller initialer.
Den som till någon del bedriver säkerhetskänslig verksamhet är verksamhetsutövare och omfattas av lagen — oavsett om det är en myndighet, en kommun eller ett privat företag. Säkerhetskänslig verksamhet är verksamhet som är av betydelse för Sveriges säkerhet eller som omfattas av ett internationellt åtagande om säkerhetsskydd. Även leverantörer som deltar genom ett säkerhetsskyddsavtal bedriver i den delen säkerhetskänslig verksamhet.
Nej. Säkerhetsskyddsanalysen svarar på vad som behöver skyddas, mot vilka hot och vilka åtgärder som behövs. Säkerhetsskyddsplanen svarar på hur det behovet tillgodoses: vilka åtgärder som ska vidtas, när de ska vara på plats och vilken funktion som ansvarar. Analysen är kravet i författningen; planen är det verktyg Säkerhetspolisens vägledning anvisar för att omsätta analysen i arbete.
Säkerhetsskyddsanalysen ska dokumenteras och uppdateras vid behov, dock minst vartannat år. Det följer av 2 kap. 1 § säkerhetsskyddsförordningen (2021:955). I praktiken innebär det att verksamhetsutövaren behöver en bevakning som säger till innan tvåårsgränsen passeras — och en spårbar notering om att kontrollen gjorts.
Tillsynsmyndigheten kan besluta om sanktionsavgift. Avgiften är lägst 25 000 kronor och högst 50 miljoner kronor. För statliga myndigheter, kommuner och regioner är taket 10 miljoner kronor. Vid bedömningen vägs bland annat överträdelsens allvar, om den var avsiktlig, vad verksamhetsutövaren gjort för att rätta till den och tidigare överträdelser.
Nej. Tjänsten är byggd som ett metadatalager och håller process, status, datum och ansvar. Resultat av registerkontroll, innehåll från säkerhetsprövningssamtal, grundutredningens underlag och personnummer lagras aldrig. Personer identifieras med en referens som organisationen själv väljer, till exempel ett internt anställningsnummer.
Vi går igenom din nuvarande plan och visar hur den skulle se ut i tjänsten. Inga uppgifter om verksamheten behöver lämnas i förväg.