Säkerhetsskyddslagen
Skydd av det som är viktigt för Sveriges säkerhet
Säkerhetsskyddslagen gäller den som bedriver verksamhet som är viktig för Sveriges säkerhet. Det kan vara myndigheter, kommuner och privata företag, till exempel inom energi och vatten.
Vad lagen är
En svensk lag om säkerhetskänslig verksamhet
Säkerhetsskyddslagen (2018:585) gäller verksamhet som är av betydelse för Sveriges säkerhet. Det kallas säkerhetskänslig verksamhet. Lagen skyddar mot bland annat spioneri, sabotage och terroristbrott.
Lagen bygger inte på något EU-direktiv. Säkerhetsskyddsförordningen och Säkerhetspolisens föreskrifter beskriver kraven närmare. Säkerhetspolisen, Försvarsmakten, länsstyrelserna och flera andra myndigheter har tillsyn. Vem som har tillsyn beror på verksamheten.
Säkerhetsskyddsanalys
Ni ska analysera vad som behöver skyddas och mot vad. Analysen ska uppdateras vid behov och minst vartannat år.
Tre områden
Åtgärderna gäller informationssäkerhet, fysisk säkerhet och personalsäkerhet. De ska följa av analysen.
Säkerhetsskyddschef
Verksamheten ska ha en säkerhetsskyddschef, om det inte är uppenbart onödigt.
Anmälan
Ni ska anmäla till tillsynsmyndigheten när ni börjar och när ni slutar bedriva säkerhetskänslig verksamhet.
Leverantörer
Innan en leverantör får tillgång gör ni en särskild säkerhetsskyddsbedömning och en lämplighetsprövning. Ibland krävs ett säkerhetsskyddsavtal.
Personal
Den som ska ha en säkerhetskänslig befattning ska säkerhetsprövas.
It- och styrsystem
Krav på system i säkerhetskänslig verksamhet
Ett informationssystem i säkerhetskänslig verksamhet får inte tas i drift förrän ni har godkänt det från säkerhetsskyddssynpunkt. Det gäller också styrsystem. För vissa system ska ni först samråda med Säkerhetspolisen.
Skyddet ska upptäcka, försvåra och hantera skadlig påverkan och obehörig åtkomst. Händelser som är viktiga för säkerheten ska gå att spåra. Säkerhetspolisens föreskrifter kräver också inloggning med flera faktorer och begränsade behörigheter som ses över.
Tabellen visar våra förenklingar av kraven. Raderna där XoT hjälper till är markerade med grönt.
| Behov | Så gör XoT | XoT |
|---|---|---|
| Bara behöriga når systemen | Låset stoppar all trafik som en regel inte tillåter. Inga portar öppnas in. | Ja |
| Begränsade behörigheter som gäller en viss tid | Varje regel gäller en person, viss utrustning och en viss tid. Policy Graph visar vem som når vad. | Ja |
| Inloggning med flera faktorer | Hårdvarunyckel, smart kort eller app via er katalogtjänst. | Ja |
| Spårbarhet | XMS loggar varje anslutning och varje ändring av regler. Loggarna kan skickas till ert SIEM. | Ja |
| Leverantörer når bara det de ska | Åtkomst till en viss maskin under en viss tid. Ni kan godkänna varje anslutning. | Ja |
| Säkerhetsskyddsavtal och lämplighetsprövning | Det är avtal och bedömningar som ni gör. | Nej |
| Överföring av säkerhetsskyddsklassificerade uppgifter | Kräver kryptering som Försvarsmakten har godkänt. XoT är inte godkänt för det. | Nej |
| Analys, fysisk säkerhet och personalsäkerhet | Arbete i organisationen. | Nej |
Var XoT finns
Ni bestämmer var XoT körs
Om en leverantör får tillgång till den säkerhetskänsliga verksamheten krävs först en särskild säkerhetsskyddsbedömning. Det kan gälla också om någon annan driver XMS åt er. XMS innehåller uppgifter om er utrustning och era regler, och de kan vara skyddsvärda.
Därför kan hela XoT köras i er egen regi, i ert eget datacenter eller helt avskilt från internet. XoT utvecklas i Sverige, och hårdvaran XoT-S1 är konstruerad och tillverkad i Sverige.
Vanliga frågor
Är XoT godkänt för säkerhetsskyddsklassificerade uppgifter?
Nej. Krypteringen i XoT är inte godkänd av Försvarsmakten. Använd inte XoT för att föra över säkerhetsskyddsklassificerade uppgifter.
Vem godkänner ett system där XoT ingår?
Det gör ni, eftersom ni bedriver verksamheten. Vi beskriver hur XoT fungerar, så att ni har underlag för bedömningen.
Hur hänger lagen ihop med cybersäkerhetslagen?
Båda kan gälla samma verksamhet. Cybersäkerhetslagen skyddar samhällsviktiga tjänster. Säkerhetsskyddslagen skyddar det som är viktigt för Sveriges säkerhet.
Kan vi teckna ett säkerhetsskyddsavtal med er?
Hör av er tidigt i upphandlingen. Då berättar vi vad vi kan erbjuda.
Det vi skriver här är vår tolkning av lagen. Det är inte juridisk rådgivning.
Bedriver ni säkerhetskänslig verksamhet?
Vi berättar gärna hur XoT kan köras helt i er egen miljö.