Tre slags information
I ett bygg- eller anläggningsprojekt finns ofta information som måste skyddas. Men skyddet följer av olika regler beroende på vad informationen är. Tre grupper är bra att hålla isär:
- Säkerhetsskyddsklassificerade uppgifter, som rör Sveriges säkerhet.
- Sekretessreglerade uppgifter hos myndigheter, kommuner och andra som omfattas av offentlighetsprincipen.
- Annan skyddsvärd information, till exempel affärshemligheter, personuppgifter och information som en beställare kräver att ni skyddar.
Sverum är byggt för de två senare. Sidan är en allmän beskrivning, inte juridisk rådgivning.
Säkerhetsskyddsklassificerade uppgifter
Säkerhetsskyddslagen (2018:585) gäller den som bedriver säkerhetskänslig verksamhet, alltså verksamhet som är av betydelse för Sveriges säkerhet. Säkerhetsskyddsklassificerade uppgifter är uppgifter som rör sådan verksamhet och som därför omfattas av sekretess enligt offentlighets- och sekretesslagen, eller skulle ha gjort det om den lagen hade gällt.
Uppgifterna delas in i fyra säkerhetsskyddsklasser efter hur allvarlig skada ett röjande kan orsaka: kvalificerat hemlig, hemlig, konfidentiell och begränsat hemlig.
När en verksamhetsutövare upphandlar varor eller tjänster och leverantören kan få tillgång till uppgifter i klassen konfidentiell eller högre, ska ett säkerhetsskyddsavtal ingås innan leverantören får tillgång. Avtalet styr hur uppgifterna ska hanteras, av vem och i vilka system.
Sekretessreglerade uppgifter
Offentlighets- och sekretesslagen (2009:400) gäller hos myndigheter, och också hos till exempel kommunala bolag som omfattas av offentlighetsprincipen. Det kan gälla många VA-bolag och fastighetsbolag som ägs av kommuner.
Huvudregeln är att allmänna handlingar är offentliga. Sekretess gäller bara när en bestämmelse i lagen är tillämplig, och prövas för varje uppgift. Ritningar, uppgifter om anläggningar och säkerhetsarrangemang kan omfattas av sekretess utan att vara säkerhetsskyddsklassificerade.
Annan skyddsvärd information
Det mesta som delas i ett projekt är varken klassificerat eller sekretessreglerat, men ändå känsligt: anbudskalkyler, avtal, ritningar som beställaren vill hålla inom projektet, personuppgifter och tekniska lösningar.
Beställare ställer ofta krav på hur leverantörer skyddar sådan information, i avtalsbilagor om informationssäkerhet och i krav på underleverantörer. Vilka krav som gäller framgår av varje upphandling.
För personuppgifter gäller dataskyddsförordningen. När ni delar personuppgifter i Sverum är ni personuppgiftsansvariga och Sverum är personuppgiftsbiträde, enligt biträdesavtalet.
Vad Sverum är byggt för
Sverum är byggt för sekretessreglerad och annan skyddsvärd information:
- All data lagras i Sverige.
- Varje projekt och varje fil har en egen nyckel, och filer skrivs aldrig i klartext till disk.
- Åtkomst ges per projekt och mapp. Externa är läsare som standard och godkänner en sekretessförbindelse före första åtkomst.
- Nedladdning är avstängd som standard, och dokument visas med vattenmärke.
- En kedjad loggbok visar vem som gjorde vad, och avslöjar om något ändras i efterhand.
- När ett projekt stängs förstörs nyckeln och filerna blir oläsbara.
Allt detta beskrivs i säkerhetsbeskrivningen. Det ni själva ansvarar för är att klassa er information, välja vilka som får åtkomst och välja inställningar för varje projekt.
Inte för säkerhetsskyddsklassificerade uppgifter. Tjänsten är inte avsedd för säkerhetsskyddsklassificerade uppgifter enligt säkerhetsskyddslagen (2018:585). Sådana uppgifter får bara behandlas i tjänsten om parterna först har ingått ett säkerhetsskyddsavtal (villkoren punkt 3.3).
Sverum påstår inte att tjänsten är godkänd för säkerhetsskyddsklassificerade uppgifter. Säkerhetsåtgärderna mäts mot ISO/IEC 27001:2022 bilaga A och Säkerhetspolisens vägledningar för informationssäkerhet. Det är en måttstock, inte ett godkännande.
I praktiken
Ett projekt kan ha både klassificerade och oklassificerade delar. Det som omfattas av ett säkerhetsskyddsavtal hanteras enligt det avtalet och beställarens anvisningar. Övriga handlingar kan delas i Sverum.
Vilka uppgifter som är säkerhetsskyddsklassificerade avgör den som bedriver den säkerhetskänsliga verksamheten, i regel beställaren. Är ni osäkra, fråga beställarens säkerhetsskyddschef innan något laddas upp.
Exempel: ett VA-bolag bygger om ett vattenverk. Vissa uppgifter om anläggningen är enligt VA-bolaget säkerhetsskyddsklassificerade. De hanteras enligt säkerhetsskyddsavtalet och VA-bolagets anvisningar, utanför Sverum. Entreprenören delar övriga handlingar, som ritningar för markarbeten, tidplaner och protokoll, med sina underentreprenörer i ett projektrum i Sverum.
Ska ni godkänna Sverum som leverantör eller underleverantör finns underlaget i leverantörsunderlaget.
Vanliga frågor
Får vi lagra säkerhetsskyddsklassificerade uppgifter i Sverum?
Nej, inte utan ett säkerhetsskyddsavtal med Sverum som har ingåtts först. Tjänsten är inte avsedd för säkerhetsskyddsklassificerade uppgifter, enligt villkoren punkt 3.3.
Är Sverum godkänt för säkerhetsskyddsklassificerade uppgifter?
Nej. Säkerhetsåtgärderna mäts mot ISO/IEC 27001:2022 bilaga A och Säkerhetspolisens vägledningar för informationssäkerhet, men det är en måttstock, inte ett godkännande eller en certifiering.
Vem avgör om en uppgift är säkerhetsskyddsklassificerad?
Den som bedriver den säkerhetskänsliga verksamheten. I ett upphandlat uppdrag är det i regel beställaren, som anger det i säkerhetsskyddsavtalet och sina anvisningar. Fråga beställarens säkerhetsskyddschef om ni är osäkra.
Kan ett projekt ha både klassificerade och oklassificerade delar?
Ja. Det som omfattas av säkerhetsskyddsavtalet hanteras enligt det avtalet och beställarens anvisningar, utanför Sverum. Övriga handlingar i projektet kan delas i Sverum.
Kan en kommun eller ett kommunalt bolag dela sekretessreglerade handlingar i Sverum?
Sverum är byggt för den sortens information: lagring i Sverige, kryptering, behörighet per projekt och mapp, sekretessförbindelse och loggbok. Om en viss uppgift får lämnas till en viss mottagare är en sekretessprövning som ni gör.