Säkerhetsskyddsanalysen – nyckeln till att kvala in
Avgörandet om en verksamhet omfattas av säkerhetsskydd eller inte kommer genom säkerhetsskyddsanalysen. Det är också här grunden läggs för att kunna delta i upphandlingar där säkerhetsskydd är ett krav.
Säkerhetsskyddsanalys ska inte förväxlas med en risk- och sårbarhetsanalys. Den största analytiska skillnaden mellan en risk- och sårbarhetsanalys och säkerhetsskyddsanalys är syftet i analysformen. Riskanalysen syftar till att bibehålla och se till att verksamheten har en tolerabel kontinuitet vid ett oönskat avbrott eller vid en kris och att planera för alternativa arbetssätt. Den hanterar dessutom risk begreppet utifrån sannolikhet och konsekvens.
Säkerhetsskyddsanalys bygger däremot helt på skadekonsekvens utifrån antagonistiska hot där sannolikheten är helt irrelevant då den inte går att uppskatta för Sveriges säkerhet. Därför arbetar vi i stället med begrepp som sårbarhet och robusta säkerhetsskyddsåtgärder och inte med riskkalkyler.
Femstegsmodellen leder till en genomtänkt prioriterad åtgärd
”Det är en femstegsmodell för civil verksamhet som gäller. Du följer en strukturerad metod, svarar på ett antal frågor och bedömer om verksamheten får nationella konsekvenser om något går fel”, säger Nico.
Arbetet kan delas in i fem huvuddelar:
- Verksamhetsbeskrivning
Här beskriver man kärnverksamheten och dess beroenden.
”Först beskriver man vad företaget, organisationen eller bolaget gör. Vad är huvudleveranserna? Vilka beroenden har man – tekniska, organisatoriska, externa, både svenska och utländska – för att kunna leverera sina tjänster eller förmågor?”
- Identifiera och klassa skyddsvärden
Sedan pekar man ut det som verkligen är skyddsvärt – ”guldäggen” – och bedömer konsekvenserna om något händer.
”Om man misstänker att man bedriver säkerhetskänslig verksamhet ska det motiveras. Man gör en konsekvensbedömning: vad händer om leveransen saboteras? Leder det till att kommunala verksamheter slås ut, att regional räddningstjänst inte fungerar, eller andra effekter på nationell nivå?”
”Sedan identifierar man sina skyddsvärden – guldäggen – och klassar dem. Det finns fyra konsekvensnivåer, från ringa skada till kvalificerad allvarlig skada. Det här steget är ofta det mest tidskrävande.”
- Säkerhetshotbeskrivning
Här analyseras antagonistiska hot – bland annat främmande makt, organiserad brottslighet och terrorism – och hur de kan påverka skyddsvärdena.
- Sårbarhetsbedömning
I nästa steg kartläggs svagheter i den egna miljön: brister i lås, larm och fysisk säkerhet, avtal med väktare eller skyddsvakter, brister i utbildning, rutiner eller IT-miljöer.
”Här blir svagheterna tydliga. Det är ofta här man ser vad som faktiskt behöver göras”, säger Nico.
- Föreslagna åtgärder
Till sist tas realistiska åtgärder fram, prioriterade utifrån påverkan och genomförbarhet.
”Det är bättre med 5–10 tydliga åtgärder som går att genomföra än hundra punkter som aldrig lämnar pappret. Analysen ska dessutom fastställas och omprövas minst vartannat år.”
HiQ leder ofta analysarbetet som extern analysledare, faciliterar workshops och ser till att resultatet blir användbart – inte bara ett dokument för hyllan.
”Det här är i hög grad bedömningar. Därför är workshopformat ofta effektivt – flera funktioner i samma rum som får stöta och blöta vad som är rimligt. Vid nästa omprövning ska det dessutom gå att upptäcka om tidigare bedömningar varit orimliga”, säger Nico.
”Det är bättre med 5–10 tydliga åtgärder som går att genomföra än hundra punkter som aldrig lämnar pappret.”
När säkerhetsskyddet avgör om du får vara med
För många verksamheter märks säkerhetsskyddet tydligast i upphandlingar. Krav på säkerhetsskyddsanalys, säkerhetsskyddschef och förmåga att hantera säkerhetskänslig information blir avgörande för om man ens blir kvalificerad.
”Det är ganska enkelt: om du inte kan hantera säkerhetsskyddskraven riskerar du att inte kvalificera dig alls. Då spelar det ingen roll hur konkurrenskraftig du är på pris eller teknik. Du kommer inte förbi dörrvakten”, säger Nico.
Att bygga upp säkerhetsskydd innebär en investering, särskilt i större projekt.
”Ett större infrastrukturprojekt som är belagt med säkerhetsskydd kan bli ungefär 15–20 procent dyrare totalt. Men samtidigt är det ofta just de här projekten som är de mest intressanta affärsmässigt. För många kunder är säkerhetsskydd en inträdesbiljett till en del av marknaden som de annars inte skulle nå.”
Här hjälper HiQ verksamheter att hitta en balans: nivå på säkerhetsskyddet, kostnad, tidsplan – och affärsnytta.
”För många av våra kunder handlar det i praktiken om att låsa upp en ny del av marknaden. Har man ordning på säkerhetsskyddet kan man vara med när de stora samhällskritiska uppdragen upphandlas”, säger Nico.
Vanliga fallgropar – och varför de påverkar affären
När HiQ går in som partner i säkerhetsskyddsarbete syns ett antal återkommande mönster:
- Analysen görs bara en gång och omprövas inte när verksamheten ändras.
- Säkerhetsprövad personal följs inte upp med återkommande samtal.
- Åtgärderna i säkerhetsskyddsplanen genomförs inte, utan blir liggande.
- Säkerhetsprövningar avslutas inte, vilket gör att personer ligger kvar som registerkontrollerade utan lagstöd.
Det här är inte bara en juridisk fråga – det påverkar också förtroende och affär.
”Mycket av det här handlar inte om ovilja, utan om brist på struktur och tid. Men från ett upphandlande myndighetsperspektiv är det fortfarande brister som måste åtgärdas. Och då riskerar du både relationer och möjligheten att vara med i framtida uppdrag”, säger Nico.
Ett heltäckande säkerhetserbjudande
HiQ:s erbjudande inom säkerhet täcker flera områden som ofta hänger ihop i verkligheten:
- Säkerhetsskydd och säkerhetsskyddsanalyser
- Informationssäkerhet och cybersäkerhet
- Personalsäkerhet och säkerhetsprövning
- Stöd till säkerhetsskyddschef, HR och verksamhetsledning
- Struktur, processer och utbildning kopplat till säkerhet i vardagen
- Internkontroller av säkerhetsskyddet
Målet är att kunderna ska kunna leva med sitt säkerhetsskydd – inte bara klara en enstaka tillsyn.
”Gör man sin säkerhetsskyddsanalys ordentligt, ar hjälp där det behövs och bygger upp ett långsiktigt arbetssätt för att följa upp åtgärder och personal, är det ingen katastrof att synas och granskas –tvärtom. Då har man både minskat risken för brister och samtidigt skapat förutsättningar att varaen trygg partner i uppdrag där säkerhetsskydd ställs som krav. Ytterst handlar det mycket om attverksamheten genomgår sin egna säkerhetskyddskulturresa avslutar Nico”.
Är ni redo att kvalificera er för de mest attraktiva upphandlingarna?
Med rätt säkerhetsskydd på plats ökar både era affärsmöjligheter och ert förtroende.
