Säkerhetsskydd

Säkerhetsskänslig verksamhet och uppgifter

Med säkerhetskänslig verksamhet avses verksamhet som är viktig för Sveriges säkerhet eller som omfattas av internationella åtaganden om säkerhetsskydd. Säkerhetsskydd ska skydda denna verksamhet mot spioneri, sabotage, terroristbrott och andra handlingar som kan hota verksamheten.

Säkerhetsskyddet ska även skydda säkerhetsskyddsklassificerade uppgifter. Det är uppgifter som rör säkerhetskänslig verksamhet och som därför omfattas av sekretess enligt offentlighets- och sekretesslagen, eller som skulle ha omfattats av sekretess om lagen hade varit tillämplig.

Säkerhetsskyddsåtgärder

Säkerhetsskyddet består av flera samverkande åtgärder. Varje åtgärd ska uppfylla minst en av följande funktioner:

• förebygga

• upptäcka

• fördröja (eller helst förhindra)

• hantera säkerhetshotande verksamhet

Säkerhetsskyddsåtgärderna delas in i tre huvudområden: informationssäkerhet, fysisk säkerhet och personalsäkerhet.

Informationssäkerhet innebär att skydda säkerhetsskyddsklassificerade uppgifter mot obehörigt röjande, ändring, förstöring eller att de görs otillgängliga. Den omfattar också åtgärder som ska förebygga skadlig inverkan på uppgifter och informationssystem som är viktiga för den säkerhetskänsliga verksamheten, till exempel åtgärder som säkerställer riktighet och tillgänglighet.

Fysisk säkerhet handlar om att hindra obehöriga från att få tillträde till områden, byggnader och andra anläggningar eller objekt där säkerhetskänslig verksamhet bedrivs eller där säkerhetsskyddsklassificerade uppgifter finns. Den fysiska säkerheten omfattar även skyddsåtgärder mot skadlig påverkan som kan utföras utan att någon tar sig in på platsen, exempelvis skydd mot obemannade farkoster.

Personalsäkerhet innebär att säkerställa att endast pålitliga personer får tillgång till säkerhetsskyddsklassificerade uppgifter eller deltar i säkerhetskänslig verksamhet, till exempel vid ett skyddsobjekt enligt skyddslagen. Den innebär också att verksamhetsutövaren ska se till att alla som deltar i säkerhetskänslig verksamhet har tillräckliga kunskaper om säkerhetsskydd.

Den som till någon del bedriver verksamhet som är av betydelse för Sveriges säkerhet, omfattas av säkerhetsskyddslag och är så kallad verksamhetsutövare.  En verksamhetsutövare av säkerhetskänslig verksamhet ska vara anmäld hos sin tillsynsmyndighet.  

Vem är verksamhetsutövare av säkerhetskänslig verksamhet?

Både offentligrättsliga organ och enskilda näringsidkare och organisationer kan bedriva säkerhetskänslig verksamhet och därmed vara verksamhetsutövare i säkerhetsskyddslagens mening.

Det är respektive verksamhetsutövare som ansvarar för att bedöma om man bedriver säkerhetskänslig verksamhet eller inte. Bedömningen ska ta sin utgångspunkt i en säkerhetsskyddsanalys.

Exempel på att någon bedriver säkerhetskänslig verksamhet kan vara att aktören:

• Hanterar uppgifter som omfattas av vissa sekretessbestämmelser.
• Omfattas av internationellt åtagande om säkerhetsskydd.
• Förfogar över signalskyddsmaterial, signalskyddsnycklar eller innehar signalskyddsbefattningar.
• Ingår i totalförsvaret.
• Bedriver samhällsviktig verksamhet.
• Har flera säkerhetsskyddsavtal med samma eller olika verksamhetsutövare.
• Deltar i flera uppdrag som omfattas av säkerhetsskyddsavtal.
• Har fått beslut om skyddsobjekt.

Indikatorer för att någon bedriver säkerhetskänslig verksamhet särskilt inom området försvarsmateriel kan vara att aktören:

• Tillverkar eller producerar försvarsmateriel.
• Bedriver forskning eller utveckling av produkter som kan användas som krigsmateriel eller ha dubbla användningsområden.
• Hanterar, tillverkar och/eller säljer krigsmateriel eller produkter med dubbla användningsområden.
• Hanterar, tillverkar och/eller säljer produkter som omfattas av tillstånd från Inspektionen för strategiska produkter. 
• Hanterar, tillverkar och/eller säljer produkter där FMV ger försvarsexportstöd.
• Har säkerhetsintyg för sitt deltagande i internationell samverkan om säkerhetskänslig verksamhet.
• Har säkerhetsintyg för personalens deltagande i verksamhet som en annan stat eller en mellanfolklig organisation bedömer vara i behov av säkerhetsskydd.

Verksamhetsutövarens skyldigheter

Verksamhetsutövare som bedriver säkerhetskänslig verksamhet ansvarar för att verksamheten lever upp till bestämmelserna i säkerhetsskyddslagen, säkerhetsskyddsförordningen och de föreskrifter som har meddelats i anslutning till lagen eller förordningen.

Verksamhetsutövare inom området försvarsmateriel ansvarar bland annat för att:

• Anmäla säkerhetskänslig verksamhet till FMV.
• Upprätta en säkerhetsskyddsanalys där verksamhetens behov av säkerhetsskydd är dokumenterade.
• Planera och vidta de säkerhetsskyddsåtgärder som behövs utifrån säkerhetsskyddsanalysen.
• Ha en säkerhetsskyddschef som ansvarar för säkerhetsskyddsarbetet och är direkt underställd ledningen.
• Ansöka till tillsynsmyndigheten om beslut om placering i säkerhetsklass.
• Anmäla till tillsynsmyndigheten innan säkerhetsskyddsavtal ingås,
• Samråda med tillsynsmyndigheten i vissa fall.
• Samråda med Försvarsmakten i vissa fall.

När FMV upphandlar varor, tjänster eller byggentreprenader ska myndigheten enligt 2 kap. 6 § säkerhetsskyddslagen (2018:585) upprätta ett säkerhetsskyddsavtal. Kravet gäller om upphandlingen omfattar säkerhetsskyddsklassificerade uppgifter eller ger leverantören tillgång till säkerhetskänslig verksamhet.

Syftet med säkerhetsskyddsavtalet är att skydda säkerhetsskyddsklassificerade uppgifter och den säkerhetskänsliga verksamheten, oavsett hur eller var uppdraget utförs. FMV ställer höga säkerhetskrav på både huvudleverantörer och underleverantörer och avgör i varje fall vilken avtalsnivå som behövs.

Avtalsnivåer

FMV använder tre nivåer av säkerhetsskyddsavtal:

• Nivå 1: Företaget får hantera och förvara säkerhetsskyddsklassificerade uppgifter i egna, av FMV godkända lokaler.

• Nivå 2: Hantering av säkerhetsskyddsklassificerade uppgifter sker i FMV:s lokaler eller i lokaler som FMV anvisar.

• Nivå 3: Företaget hanterar inga säkerhetsskyddsklassificerade uppgifter men personal måste vara registerkontrollerad och placerad i säkerhetsklass.

Kontroll

FMV är skyldiga att kontrollera leverantörens säkerhetsskyddsarbete. För leverantörer med säkerhetsskyddsavtal i nivå 1 genomförs ett förstagångsbesök och därefter återkommande kontroller. Kontroller görs även för företag med avtal i nivå 2 och 3.

Industrisäkerhetsskyddsmanualen

Industrisäkerhetsskyddsmanualen (ISM) är det regelverk som tillsammans med lag, förordning och säkerhetsskyddsavtal reglerar verksamheten hos ett företag med säkerhetsskyddsavtal. Den senaste utgåvan av ISM utkom 2022. 

Ett av kraven för att ett företag ska få teckna säkerhetsskyddsavtal med FMV är att säkerhetsskyddschefen snarast genomgår FMV:s utbildning för säkerhetsskyddschefer i försvarsindustrin (CFöInd)

Utbildningen är endast öppen för de företag med vilka FMV antingen har säkerhetsskyddsavtal eller avser att teckna sådant avtal. För att bli antagen till kursen krävs alltså att processen för att skriva ett säkerhetsskyddsavtal har startats.

Läs mer om kursen här.

Behörighetskrav

För att få behörighet till utbildningen ska du ha genomfört Försvarshögskolans webbutbildning Introduktion till säkerhetsskydd med godkänt resultat. Ett undertecknat deltagarintyg ska bifogas kursanmälan. Webbutbildningen är avgiftsfri och beräknas ta ca 45 minuter att genomföra.

Anmälan till utbildning

Fyll i Anmälan till utbildning i säkerhetsskydd och skicka den tillsammans med undertecknat deltagarintyg från Försvarshögskolan till security@fmv.se

Utbildningstillfällen 2026

21 maj, kl 09.00-17.00
Plats: COOR Konferens, Västgötagatan 5, Stockholm
Fullbelagt. Kösystem tillämpas vid avhopp.

11 juni, kl 09.00-17.00
Plats: COOR Konferens, Västgötagatan 5, Stockholm
Fullbelagt. Kösystem tillämpas vid avhopp.

27 augusti, kl 09.00-17.00
Plats: COOR Konferens, Västgötagatan 5, Stockholm
Fullbelagt. Kösystem tillämpas vid avhopp.

17 september, kl 09.00-17.00
Plats: COOR Konferens, Västgötagatan 5, Stockholm

Signalskydd används för att skydda information som omfattas av sekretess, är säkerhetsskyddsklassificerade eller av annan anledning har högt skyddsvärde. Med hjälp av signalskyddssystem och annan signalskyddsspecifik materiel eller programvara skyddas informationen från obehörig insyn och påverkan av elektroniska kommunikationsnät och informationssystem. 

Den person som använder eller på annat sätt hanterar signalskyddsmateriel, signalskyddsnycklar, aktiva kort eller innehar signalskyddsbefattning ska, med godkänt resultat, ha genomgått nödvändig utbildning i signalskydd Grundkurs Signalskydd (GK Signalskydd). 

Minst vartannat år ska signalskyddschefer inom försvarsindustrin även delta vid FMV Signalskyddsmöte Försvarsindustrin för att upprätthålla sin behörighet.

Grundkurs Signalskydd

Utbildningen genomförs enligt Försvarsmaktens föreskrifter om signalskyddstjänsten, FFS 2021:1.

Utbildningen är kostnadsfri och avsedd för de personer som kommer att hantera signalskyddsmateriel vid med FMV samverkande företag. Personal som avses hantera hemlig signalskyddsmateriel och/eller hemliga signalskyddsnycklar ska vara inplacerad i lägst säkerhetsklass 3.

Utbildningen är också grundläggande för att ha behörighet att genomgå övriga systemutbildningar vid Totalförsvarets Signalskyddsskola (TSS) och FMV.

Signalskyddschefsutbildning Försvarsindustrin

Enligt signalskyddsavtalet med FMV ska varje företag som hanterar signalskyddsmateriel och/eller signalskyddsnycklar ha en utbildad signalskyddschef. Denna utbildning är obligatorisk för de företag som FMV tecknat signalskyddsavtal med om inte FMV:s signalskyddschef meddelat annat.

KURIR

Kryptoadministratörsutbildning för system KURIR (f.d. KGAI) genomförs på Tre Vapen av FMV signalskydd.

Signalskyddsutbildning i TSS-regi

Grundkravet för att få genomföra systemutbildningar är genomförd GK Signalskydd.

Systemutbildningar genomförs på TSS i Enköping. Utbildningskatalog finns här. TSS kräver att all personal som ska genomföra utbildning i TSS-regi ska vara säkerhetsprövad enligt H TST Gunder kapitel 3.

Övriga utbildningar 

MGSI (kryptoPC), MGL (kryptotelefon), MGM (kryptofax), MGFI användarutbildning (mobila talkrypton), PGBI (filkrypto) genomförs vid behov och resurstillgång.

Anmälan till signalskyddsutbildning

Fyll i Anmälan signalskyddsutbildning FMV och TSS och skicka den till comsec@fmv.se senast tre veckor före kurstillfället. För sista anmälningsdag till TSS:s kurser se TSS kurskatalog. Vid 6 eller färre inkomna anmälningar ställs utbildningstillfället in.

FMV kan i egenskap av nationell industrisäkerhetsmyndighet, Designated Security Authority (DSA), utfärda så kallade säkerhetsintyg enligt Säkerhetsskyddslagen.

FMV kan utfärda säkerhetsintyg antingen efter ansökan från en stat eller en mellanfolklig organisation eller från ett företag med säte i Sverige. Förfrågan från utlandet hanteras mellan FMV och motpartens ansvariga säkerhetsmyndighet, National Security Authority (NSA) eller Designated Security Authority (DSA).

Fyll i ansökningsblanketterna under Utland längst ner på denna sida. 

Det finns två typer av säkerhetsintyg:

• Facility Security Clearance, FSC - Ett intyg som talar om att ett företag har ett säkerhetsskyddsavtal i nivå 1 med FMV och därmed får hantera och förvara säkerhetsskyddsklassificerad uppgift i sina, av FMV godkända, lokaler. Intyget är giltigt som längst ett år i taget.
• Personnel Security Clearance, PSC - Ett intyg som bekräftar att en person är behörig att ta del av säkerhetsskyddsklassificerade uppgifter. För att FMV ska kunna utfärda ett PSC måste arbetsgivaren ha ett säkerhetsskyddsavtal i lägst nivå 2 med FMV och personen vara placerad i lägst säkerhetsklass 3, beroende på aktuell säkerhetsskyddsklass. Intyget är giltigt som längst ett år i taget.

Förfrågan om säkerhetsintyg från aktör i utlandet

Om ett företag i utlandet, stat eller mellanfolklig organisation har behov av säkerhetsintyg för ett företag i Sverige och/eller dess personal, ska de alltid vända sig till sin ansvariga säkerhetsmyndighet som kontaktar FMV med en ansökan om säkerhetsintyg.

Det finns 13 tillsynsmyndigheter med olika ansvarsområden inom säkerhetsskyddsområdet. Verksamhetsutövare som bedriver säkerhetskänslig verksamhet inom flera områden ska vara anmälda till respektive tillsynsmyndighet. Aktörer kan alltså ha mer än en tillsynsmyndighet inom säkerhetsskyddsområdet.

FMV är tillsynsmyndighet för verksamhetsutövare som bedriver säkerhetskänslig verksamhet inom området försvarsmateriel.

De övriga tillsynsmyndigheterna är:

• Försvarsmakten
• Säkerhetspolisen
• Affärsverket svenska kraftnät
• Transportstyrelsen
• Post- och telestyrelsen
• Finansinspektionen
• Statens energimyndighet
• Strålsäkerhetsmyndigheten
• Länsstyrelsen i Stockholms län
• Länsstyrelsen i Skåne län
• Länsstyrelsen i Västra Götalands län
• Länsstyrelsen i Norrbottens län

FMV:s tillsynsuppdrag

FMV har flera uppgifter kopplade till uppdraget att vara tillsynsmyndighet inom säkerhetsskyddsområdet.

FMV ska bland annat:

• Utöva tillsyn över verksamhetsutövare som bedriver säkerhetskänslig verksamhet inom området försvarsmateriel.
• Besluta om placering i säkerhetsklass för anställningar och annat deltagande hos verksamhetsutövare som bedriver säkerhetskänslig verksamhet inom området försvarsmateriel.
• Vara samrådsinstans inför vissa förfaranden som kräver säkerhetsskyddsavtal och inför överlåtelse av säkerhetskänslig verksamhet inom området försvarsmateriel.

I detta dokument finner du vanliga frågor och svar om säkerhetsskyddsavtal:

Frågor och svar om säkerhetsskyddsavtal

Hittar du inte svaret på din fråga? Skicka e-post till security@fmv.se