Omfattas ni
De flesta som borde ställa sig frågan vet inte att de borde. Här finns svaren på de frågor verksamheter faktiskt ställer om säkerhetsskyddslagen, cybersäkerhetslagen och CER.
Gäller det oss
- Så avgör ni om säkerhetsskyddslagen gäller er verksamhetIngen myndighet hör av sig och talar om att ni omfattas. Skyldigheten att ta reda på det ligger hos er själva, och den gäller vare sig ni känner till den eller inte.
- Säkerhetskänslig verksamhet är något annat än samhällsviktig verksamhetDe två begreppen används ofta som om de betydde samma sak. Skillnaden mellan dem avgör om säkerhetsskyddslagen gäller er.
- Privatägda bolag omfattas oftare än ägarna trorFöreställningen att säkerhetsskyddslagen är en myndighetsfråga sitter djupt. Den har kostat privata bolag både affärer och trovärdighet.
- Tre regelverk träffar samma bolag på tre olika sättSäkerhetsskyddslagen, cybersäkerhetslagen och CER landar på samma vd:s bord ungefär samtidigt. De hittar er på tre helt olika vägar.
- Beskedet att ni inte omfattas är värt lika mycket som motsatsenEtt kommunalägt bolag hade bestämt sig för att de bedrev säkerhetskänslig verksamhet. Halvtimmen som visade motsatsen sparade dem ett par miljoner kronor.
- Det här är det säkerhetsskyddslagen faktiskt skyddarTre begrepp bär hela lagen. Blandas de ihop landar bedömningen fel, och det gör den ofta.
- Ett skyddsvärde kan träffas av flera lagar samtidigtSamma system, samma anläggning och samma information kan omfattas av både säkerhetsskyddslagen och cybersäkerhetslagen. Lagstiftaren har tänkt på saken.
Vad det innebär
- Det här kostar säkerhetsskyddet i tid och pengarFrågan om kostnaden ställs sällan högt, eftersom den kan låta som att man ifrågasätter Sveriges säkerhet. Den är ändå den första en styrelse behöver svar på.
- Så märks det att säkerhetsskyddet inte hållerEtt bristfälligt säkerhetsskydd ger sällan utslag i vardagen. Det upptäcks vid fyra tillfällen, och alla fyra kommer olägligt.
Hur ni börjar
- Delar av verksamheten kan avgränsas från säkerhetsskyddetSäkerhetsskyddslagen träffar sällan ett helt bolag. Var gränsen dras avgör vad skyddet kommer att kosta er varje år.
- Så gör ni er första säkerhetsskyddsanalysAnalysen är det första ni ska göra och det enda som styr allt annat. De flesta börjar ändå i fel ände.
- Bedömningen ska bygga på metod, inte på tyckandeSäkerhetsskydd upplevs ofta som en fråga om åsikter. Det finns ingen checklista som ger svaret, men det finns en metod som gör bedömningen prövbar.
- Riskhantering i säkerhetsskyddet har snävare gränser än i övrig verksamhetEn ledning som är van att väga risk mot kostnad möter något ovant här. Intresset som skyddas är inte bolagets eget.
Vem gör vad
- Ansvaret för säkerhetsskyddet går inte att delegera bortFrågan om vem som bär ansvaret ställs ofta först när något gått fel. Svaret förändrar hur en ledningsgrupp ser på arbetet.
- Säkerhetsskyddschefen är en roll, inte en titelKravet på en säkerhetsskyddschef löses ofta genom att någon får uppgiften tillagd på sin befintliga tjänst. Det är då problemen börjar.