Mitä NATO:n turvaluokitustasot tarkoittavat?
NATO:n tietoturvallisuusjärjestelmässä tieto luokitellaan sen mukaan, kuinka vakavaa haittaa sen paljastuminen aiheuttaisi. Käytännössä tasoja on neljä: NATO UNCLASSIFIED, NATO RESTRICTED, NATO CONFIDENTIAL ja NATO SECRET. Näiden lisäksi on olemassa vielä korkeampia luokituksia, joita käytetään harvemmin tavanomaisessa hankintatoiminnassa.
NATO UNCLASSIFIED ei ole varsinaisesti turvaluokiteltua tietoa, mutta se on silti tarkoitettu vain viralliseen käyttöön eikä sitä levitetä vapaasti. NATO RESTRICTED -tason tiedon luvaton paljastuminen voisi olla haitallista NATO:n eduille, ja se edellyttää jo perustason suojatoimia. NATO CONFIDENTIAL -taso koskee tietoa, jonka paljastuminen voisi vahingoittaa NATO:a merkittävästi, ja NATO SECRET -taso tietoa, jonka paljastumisesta voisi aiheutua vakavaa haittaa. Mitä korkeampi taso, sitä tiukemmat ovat vaatimukset tiloille, tietojärjestelmille, henkilöstölle ja koko toimitusketjulle.
Tarjoajan kannalta olennaista on tunnistaa, mihin tasoon oma tehtävä hankinnassa liittyy – pelkkä tarjouspyynnön otsikko tai koko hankkeen luonne ei aina kerro, käsitteleekö juuri oma rooli luokiteltua tietoa.
Mikä on yritysturvallisuusselvitys (FSC) ja miksi se vaaditaan?
Facility Security Clearance eli yritysturvallisuusselvitys on kansallisen turvallisuusviranomaisen myöntämä vahvistus siitä, että yritys täyttää tietyn turvaluokitustason edellyttämät vaatimukset. FSC ei ole yleisluontoinen leima, vaan se koskee aina tiettyä turvaluokitustasoa ja usein myös tiettyä tilaa tai toimipistettä.
Selvitys kattaa laajasti yrityksen toimintaa: fyysistä tilaturvallisuutta, tietojärjestelmien suojausta, henkilöstön luotettavuutta, omistusrakenteen ja johdon läpinäkyvyyttä sekä sitä, ettei yritykseen kohdistu ulkopuolista vaikutusvaltaa, joka voisi vaarantaa turvallisuuden. FSC:n myöntää Suomessa kansallinen turvallisuusviranomainen, ja vastaavat viranomaiset toimivat muissakin NATO-jäsenmaissa.
Käytännössä FSC tarvitaan aina, kun hankinta edellyttää turvaluokitellun tiedon käsittelyä joko tarjousvaiheessa tai sopimuksen toteutuksessa – ei vasta silloin kun sopimus on jo allekirjoitettu.
Mitä henkilöturvallisuusselvitys (PSC) tarkoittaa hankekohtaisesti?
Yritystason selvityksen lisäksi jokaisen luokiteltua tietoa käsittelevän henkilön on läpäistävä henkilöturvallisuusselvitys eli Personnel Security Clearance. PSC myönnetään tiettyyn turvaluokitustasoon asti, ja sen voimassaolo on aina henkilökohtainen – se ei siirry automaattisesti mukana, jos henkilö vaihtaa työnantajaa tai tehtävää.
Pelkkä selvitys ei kuitenkaan riitä: tiedon käsittely edellyttää lisäksi aina perusteltua tiedontarvetta eli need-to-know-periaatetta. Käytännössä tämä tarkoittaa, että hankkeen projektitiimi on nimettävä ja tarvittavat selvitykset käynnistettävä hyvissä ajoin ennen töiden alkamista, sillä selvitysprosessi vaikuttaa suoraan resursointiin ja aikatauluihin.
Selvitysprosessien kestot ja käytännöt vaihtelevat maittain ja tapauskohtaisesti, joten ajantasaiset vaatimukset ja käsittelyajat kannattaa aina tarkistaa omalta kansalliselta turvallisuusviranomaiselta.
Mitä kelpoisuusvakuutus ja kansallinen nimeäminen tarkoittavat?
Monissa NATO-hankinnoissa tarjoajalta edellytetään muodollista kelpoisuusvakuutusta (declaration of eligibility), jossa yritys vahvistaa täyttävänsä hankinnan edellyttämät turvallisuus- ja taustavaatimukset. Osassa hankkeista edellytetään lisäksi kansallista nimeämistä (national sponsorship) – eli sitä, että oma valtio tai sen nimeämä viranomainen vahvistaa yrityksen olevan hyväksyttävä osapuoli kyseiseen hankintaan.
Nimeäminen ja vakuutukset kytkeytyvät usein siihen, että hankintayksikkö haluaa varmistaa toimitusketjun jäljitettävyyden ja sen, ettei arkaluonteinen tieto tai teknologia päädy vääriin käsiin. Tämä koskee erityisesti korkeamman turvaluokituksen hankkeita ja sellaisia, joissa on mukana alihankkijoita useista maista.
Kuinka paljon voi osallistua ilman mitään turvaluokitusta?
Merkittävä osa NATO:n ja sen alaisten organisaatioiden – kuten NSPA:n ja NCIA:n – hankinnoista on kokonaan luokittelemattomia tai enintään NATO UNCLASSIFIED -tasoisia. Näihin kuuluu esimerkiksi tavanomaisia tavarahankintoja, ylläpitopalveluita, koulutusta, konsultointia ja monia rakennusalan urakoita.
Tämä tarkoittaa, että moni yritys voi aloittaa NATO-toimittajana ilman mitään erillistä turvallisuusselvitystä. Kelpoisuus näihin hankintoihin riippuu tyypillisesti muista tekijöistä, kuten NCAGE-tunnuksesta, rekisteröinnistä oikeaan portaaliin, laatujärjestelmästä ja taloudellisesta vakavaraisuudesta. Turvaluokitusvaatimus tulee kuvaan yleensä vasta silloin, kun hankinta koskee esimerkiksi puolustusjärjestelmien teknisiä yksityiskohtia, operatiivista suunnittelua tai kriittistä infrastruktuuria.
Miten tiedon, tilojen ja tietojärjestelmien turvallinen käsittely järjestetään?
Turvaluokitellun tiedon käsittely ei rajoitu paperiasiakirjoihin. Se kattaa myös sähköisen tiedon säilytyksen ja siirron, keskustelut suojatuissa tiloissa, fyysisen pääsynhallinnan ja laitteiston hyväksynnän. Käytännössä tämä voi tarkoittaa erillisiä, hyväksyttyjä IT-järjestelmiä, lukittuja arkistointitiloja, kulunvalvontaa ja henkilöstön säännöllistä turvallisuuskoulutusta.
Mitä korkeampi turvaluokitustaso, sitä tarkemmin vaatimukset on dokumentoitava ja sitä useammin niiden noudattamista voidaan tarkastaa. Yrityksen kannattaa suunnitella nämä käytännöt osana laajempaa turvallisuusjohtamisjärjestelmää, ei erillisenä hankekohtaisena lisänä.
Miten vaatimus näkyy tarjouspyyntöasiakirjoissa?
Turvaluokitusvaatimus mainitaan yleensä jo hankintailmoituksessa tai tarjouspyynnön alkuosassa, usein kohdassa, jossa kuvataan hankkeen luokitustaso ja edellytetyt selvitykset. Vaatimus voi koskea koko hanketta tai vain tiettyjä sen osia, esimerkiksi teknisiä liitteitä tai tiettyjä projektivaiheita.
Käytännössä kannattaa lukea tarjouspyyntö huolellisesti myös sen liitteiden ja teknisten eritelmien osalta, sillä turvallisuusvaatimukset kirjataan usein erilliseen turvallisuusliitteeseen (Security Aspects Letter tai vastaava), joka ei aina näy heti pääasiakirjan alussa.
Miten turvaluokitukset kannattaa aikatauluttaa etukäteen?
Koska yritys- ja henkilöturvallisuusselvitysten käsittely vie aikaa eikä niitä voi kiirehtiä jälkikäteen, valmistautuminen kannattaa aloittaa hyvissä ajoin ennen kuin varsinainen tarjouspyyntö julkaistaan. Käytännössä tämä tarkoittaa yhteydenottoa kansalliseen turvallisuusviranomaiseen jo silloin, kun yritys arvioi NATO-markkinaa yleisellä tasolla kiinnostavaksi.
Kannattaa myös kartoittaa etukäteen, ketkä organisaatiossa todennäköisesti tarvitsevat henkilöturvallisuusselvityksen, ja aloittaa heidän selvitysprosessinsa rinnakkain yritystason FSC-hakemuksen kanssa. Tämä lyhentää merkittävästi aikaa, joka kuluu ensimmäisen luokitellun tarjouksen jättämiseen.
Miten kustannukset ja työmäärä kannattaa mieltää?
Turvaluokitusprosessit vaativat sekä rahallista panostusta että sisäistä työaikaa: hakemusten valmistelua, tilojen ja järjestelmien mahdollista muokkaamista vaatimusten mukaisiksi sekä henkilöstön kouluttamista. Panostuksen laajuus riippuu suoraan tavoitellusta turvaluokitustasosta – mitä korkeampi taso, sitä laajemmat vaatimukset tiloille ja järjestelmille tyypillisesti asetetaan.
Kustannuksia ja aikataulua ei kannata arvioida yksittäisen hankkeen näkökulmasta, vaan pitkän aikavälin investointina, joka avaa pääsyn useisiin tuleviin luokiteltuihin hankintoihin saman selvityksen turvin.
Mitkä ovat yleisimmät väärinkäsitykset turvaluokituksista?
- "NATO-jäsenyys riittää" – jäsenyys poistaa muodollisen esteen, mutta yrityskohtainen selvitys vaaditaan silti erikseen.
- "Kaikki NATO-hankinnat ovat turvaluokiteltuja" – todellisuudessa suuri osa on avoimia tai NATO UNCLASSIFIED -tasoisia.
- "Yksi selvitys kattaa kaiken" – FSC ja PSC koskevat aina tiettyä tasoa, eivätkä ne automaattisesti riitä korkeammalle tasolle.
- "Selvityksen voi hakea vasta kun tarjouspyyntö on auki" – käytännössä prosessi kannattaa käynnistää huomattavasti aiemmin.
- "Alihankkijat eivät tarvitse omaa selvitystä" – jos alihankkija käsittelee luokiteltua tietoa, vaatimus koskee myös sitä.
Turvaluokitusvalmiuden tarkistuslista
- Tunnista, minkä turvaluokitustason hankkeisiin yrityksesi todennäköisesti hakeutuu.
- Ota yhteyttä kansalliseen turvallisuusviranomaiseen ja selvitä ajantasaiset FSC-vaatimukset ja -käytännöt.
- Nimeä ne henkilöt, jotka tarvitsevat henkilöturvallisuusselvityksen, ja käynnistä heidän prosessinsa ajoissa.
- Kartoita tilojen, IT-järjestelmien ja arkistoinnin nykytila suhteessa tavoiteltuun turvaluokitustasoon.
- Varmista, että alihankkijaketju täyttää samat vaatimukset kuin oma yrityksesi.
- Seuraa hankintailmoituksia järjestelmällisesti, jotta näet ajoissa, mitkä kilpailut vaativat selvityksiä ja mitkä eivät.
Miten Salpa auttaa turvaluokitusvaatimusten tunnistamisessa?
Salpa seuraa NATO:n hankintaelinten – kuten NSPA:n, NCIA:n, ACT:n, ACO:n ja NATO:n päämajan – julkaisemia ilmoituksia ja analysoi ne tekoälyllä. Jokaisesta ilmoituksesta tehty tiivistelmä kertoo suomeksi, ruotsiksi tai englanniksi, edellyttääkö hankinta turvaluokitusta vai onko kyseessä avoin hankinta, jotta näet heti, mihin kilpailuihin yrityksesi voi osallistua jo tänään ja mitkä vaativat ennakkovalmistelua.
Kategoriakohtaiset hälytykset varmistavat, ettet joudu selaamaan kaikkia ilmoituksia manuaalisesti – saat tiedon vain niistä hankinnoista, jotka vastaavat yrityksesi toimialaa ja valmiustasoa. Palvelua voi kokeilla 14 päivän maksuttomalla kokeilujaksolla.