Missförstånden nedan är inte ovanliga bland chefer, konsulter och nyanställda. De flesta av dem har en kärna av rimlighet, vilket är just därför de överlever. Här står de som de brukar formuleras, följt av vad regelverket faktiskt säger.

”Säkerhetsprövning är en bakgrundskontroll”

Det är den delvis, men beskrivningen träffar fel på det väsentliga. En bakgrundskontroll ser bakåt och besvarar frågan om vad någon har gjort. Säkerhetsprövningen ska besvara en framåtsyftande fråga: kan den här personen antas vara lojal mot de intressen som skyddas i säkerhetsskyddslagen och i övrigt pålitlig ur säkerhetssynpunkt.

Det är en bedömning av person i en bestämd befattning, inte ett utlåtande om personens karaktär i allmänhet. Samma individ kan därför bedömas som lämplig för en befattning och olämplig för en annan, utan att något har förändrats hos personen. Det som förändrats är vad befattningen ger tillgång till.

”Det är Säkerhetspolisen som godkänner personen”

Nej. Beslutet fattas av verksamhetsutövaren, alltså den myndighet eller det företag som bedriver den säkerhetskänsliga verksamheten. Säkerhetspolisen beslutar om registerkontroll och lämnar ut de uppgifter som får lämnas ut, men bedömningen av om personen ska anlitas görs av den som ansvarar för verksamheten.

Detta har praktiska följder som ofta överraskar. Ansvaret för ett felaktigt beslut ligger hos verksamhetsutövaren, dokumentationen ska finnas där, och den som anlitar kan inte hänvisa till att någon annan gjorde bedömningen. Utlämnandet av uppgifter från registerkontrollen prövas dessutom av en särskild nämnd, vilket innebär att den kontrollerade personen har ett skydd mot att uppgifter sprids fritt.

”Alla som säkerhetsprövas registerkontrolleras”

Registerkontroll förutsätter att befattningen är placerad i säkerhetsklass. Grundutredningen och säkerhetsprövningssamtalet utgör själva prövningen och genomförs oavsett, medan registerkontrollen är ett tillägg som knyts till klassplaceringen.

Vilken säkerhetsklass en befattning ska placeras i följer av hur omfattande tillgången till säkerhetsskyddsklassificerade uppgifter är, eller av vilken skada deltagandet i verksamheten annars skulle kunna orsaka. Klassen bestämmer också hur omfattande kontrollen blir, och för de högre klasserna kan en särskild personutredning tillkomma där även ekonomiska förhållanden ingår.

”Man säkerhetsprövar personen, inte tjänsten”

Ordningen är den omvända, och det är det vanligaste strukturella felet i organisationer som är nya på området. Innan någon person prövas ska verksamhetsutövaren ha genomfört en säkerhetsskyddsanalys som visar vad som är skyddsvärt, vilka hot och sårbarheter som finns och vilka befattningar som därmed är säkerhetskänsliga.

Utan den analysen prövas antingen för många eller fel personer. En organisation som säkerhetsprövar alla anställda för säkerhets skull har inte höjt sin säkerhet utan lagt resurser på fel ställe, och saknar dessutom underlag för att motivera vilka uppgifter den behandlar om sina medarbetare.

”Prövningen är avslutad när personen har börjat”

Säkerhetsprövningen ska pågå så länge personen deltar i den säkerhetskänsliga verksamheten. Den är alltså en löpande uppgift, inte ett moment i rekryteringen.

Det innebär att förändrade förhållanden ska fångas upp under anställningens gång, att uppföljande samtal behöver hållas, och att registerkontrollen kan följas upp under den tid placeringen består. Organisationer som behandlar prövningen som en inträdesbiljett har i praktiken en kontroll som speglar hur någon såg ut den dag hen anställdes, vilket kan vara många år sedan. Den som söker info om säkerhetsprövning inför ett första införande bör därför lägga lika mycket tid på rutinen för uppföljning som på själva ansökningsprocessen.

”Ett negativt besked går att överklaga”

Huvudregeln är att beslut om säkerhetsprövning och om placering i säkerhetsklass inte kan överklagas. Skälet är att bedömningen är en lämplighetsprövning knuten till verksamhetens skyddsbehov, inte ett myndighetsbeslut om en rättighet.

Den prövade får normalt inte heller veta vad som legat till grund för ett negativt besked, eftersom uppgifterna kan vara sekretessbelagda. Det upplevs regelmässigt som orättvist och är svårt att bemöta, men följer av konstruktionen. Vad som däremot gäller är att prövningen ska bygga på en helhetsbedömning och inte på enskilda uppgifter lösryckta ur sitt sammanhang, och att den prövade ska ha fått möjlighet att lämna sin egen bild i samtalet.

”Samtalet handlar om att svara rätt”

Säkerhetsprövningssamtalet är inte ett kunskapsprov och heller inte en anställningsintervju med säkerhetsvinkel. Syftet är att bedöma sårbarhet, och den bedömningen bygger på öppenhet snarare än på perfekta svar.

Det som utgör en risk är sällan en omständighet i sig utan att omständigheten är dold. En skuld som är känd och redovisad är svårare att utnyttja för påtryckning än en skuld som ingen vet om. Den som förbereder sig genom att tona ned förhållanden i sitt liv gör därför precis det som prövningen är konstruerad för att fånga, och den som redogör öppet för besvärliga förhållanden hamnar ofta i ett bättre läge än den som lämnar ett polerat intryck.

”En prickfri bakgrund innebär att prövningen går igenom”

Brottslighet är en av flera faktorer, inte den enda. Bedömningen omfattar också pålitlighet i vidare mening, inklusive förhållanden som kan göra någon utsatt för påverkan eller utpressning.

Dit hör bland annat ekonomisk utsatthet, missbruk, bindningar till annan stat eller aktör som kan skapa dubbla lojaliteter, och närstående relationer som kan användas som påtryckningsmedel. Ingen av dessa faktorer är automatiskt diskvalificerande, och det är helhetsbedömningen som avgör. Omvänt kan en person med en prickfri bakgrund bedömas som olämplig om sårbarheten bedöms hög i förhållande till befattningens skyddsbehov.

”Konsulter och underleverantörer omfattas inte”

De omfattas i samma utsträckning som anställda, om de deltar i säkerhetskänslig verksamhet eller får tillgång till säkerhetsskyddsklassificerade uppgifter. Anställningsformen är inte det som styr, utan tillgången.

När verksamhet lämnas ut till en annan part ska säkerhetsskyddsavtal träffas, med reglering av bland annat prövning, hantering av uppgifter och rutiner vid avslut. Kraven har skärpts under senare år, och för vissa åtgärder gäller samrådsskyldighet med tillsynsmyndigheten innan avtal ingås eller överlåtelse genomförs. Att upptäcka detta i slutskedet av en upphandling är en av de vanligaste orsakerna till förseningar i annars välplanerade projekt.

”Det här gäller bara myndigheter”

Säkerhetsskyddslagen omfattar den som bedriver säkerhetskänslig verksamhet, oavsett om verksamheten är offentlig eller privat. Det innebär att företag inom exempelvis energiförsörjning, elektronisk kommunikation, transport, vattenförsörjning och vissa delar av tillverkningsindustrin kan vara verksamhetsutövare i lagens mening.

Skyldigheterna som följer är desamma i sak: säkerhetsskyddsanalys, säkerhetsskyddschef, säkerhetsprövning av dem som deltar i verksamheten, och anmälnings och samrådsskyldigheter i vissa lägen. Att bedömningen av om verksamheten över huvud taget är säkerhetskänslig ligger hos verksamhetsutövaren själv är en detalj värd att notera, eftersom felet i så fall upptäcks vid tillsyn och inte innan.

Rättslig grund för det ovanstående

Säkerhetsskyddslagen (2018:585) anger vad säkerhetskänslig verksamhet är, vilka skyldigheter verksamhetsutövaren har, samt vad säkerhetsprövning syftar till och vad den ska omfatta.

Säkerhetsskyddsförordningen (2021:955) innehåller de närmare bestämmelserna om bland annat säkerhetsklasser, registerkontroll och samrådsförfaranden, och trädde i kraft i samband med den reform som skärpte kraven på svenskt säkerhetsskydd.

Säkerhetspolisens föreskrifter och vägledningar om säkerhetsskydd är den praktiska källan för hur analys, prövning och samtal ska genomföras, och är det material verksamhetsutövare i normalfallet arbetar utifrån.

Säkerhets och integritetsskyddsnämnden prövar genom Registerkontrolldelegationen utlämnandet av uppgifter vid registerkontroll, vilket är den kontrollfunktion som skyddar den prövades integritet.

Offentlighets och sekretesslagen (2009:400) styr varför den prövade i regel inte får ta del av grunderna för ett negativt besked.

Regelverket har ändrats i flera steg under senare år och innehåller detaljer som skiljer sig mellan säkerhetsklasser och verksamhetstyper. Det ovanstående är en översikt av huvuddragen, och den som ska införa eller ändra rutiner behöver stämma av mot gällande lydelse och mot tillsynsmyndighetens aktuella vägledning.