Säkerhetsklassificeringar och behörighet i NATO-upphandling

NATO klassificerar information utifrån den skada som obehörigt röjande skulle orsaka. I praktiken finns fyra nivåer som är mest relevanta för leverantörer: NATO UNCLASSIFIED, NATO RESTRICTED, NATO CONFIDENTIAL och NATO SECRET. Högre klassificeringar finns men förekommer sällan i vanlig upphandlingsverksamhet.

NATO UNCLASSIFIED är inte formellt säkerhetsklassat men är ändå avsett endast för tjänstebruk och sprids inte fritt. Obehörigt röjande av NATO RESTRICTED-information kan vara till nackdel för NATO:s intressen och utlöser redan grundläggande skyddsåtgärder. NATO CONFIDENTIAL omfattar information vars röjande allvarligt kan skada NATO, medan NATO SECRET gäller information vars röjande kan orsaka mycket allvarlig skada. Ju högre nivå, desto strängare krav på lokaler, IT-system, personal och hela leveranskedjan.

För en anbudsgivare är det avgörande att identifiera vilken klassificeringsnivå som gäller för den egna rollen i ett specifikt kontrakt – upphandlingens rubrik eller programmets allmänna karaktär avslöjar inte alltid om just den egna insatsen berör säkerhetsklassad information.

Facility Security Clearance är en bekräftelse, utfärdad av en nationell säkerhetsmyndighet, på att ett företag uppfyller kraven för att hantera information på en viss klassificeringsnivå. En FSC är aldrig en generell stämpel, utan gäller alltid en specifik nivå och ofta en specifik anläggning eller lokal.

Bedömningen omfattar fysisk säkerhet i lokalerna, skydd av IT-system, personalens pålitlighet, transparens i ägande och ledning samt en försäkran om att företaget inte är föremål för utländskt inflytande som kan äventyra säkerheten. FSC beviljas av varje lands nationella säkerhetsmyndighet, och motsvarande myndigheter finns i alla NATO:s medlemsländer.

I praktiken krävs en FSC varje gång en upphandling innebär hantering av säkerhetsklassad information, antingen i anbudsskedet eller under kontraktets genomförande – inte först när kontraktet redan är undertecknat.

Utöver prövningen på företagsnivå måste varje person som ska hantera säkerhetsklassad information ha en personsäkerhetsprövning giltig upp till den nivå som krävs. En PSC är alltid personlig och följer inte automatiskt med om personen byter arbetsgivare eller roll.

Att ha en prövning räcker dock inte ensamt: tillgång till säkerhetsklassat material kräver alltid också ett motiverat behov av informationen, need-to-know. I praktiken innebär detta att projektteamet måste namnges och nödvändiga prövningar inledas i god tid innan arbetet påbörjas, eftersom prövningsprocessen direkt påverkar bemanning och tidsplan.

Handläggningstider och praxis varierar mellan länder och från fall till fall, så aktuella krav och förväntade tider bör alltid bekräftas med den egna nationella säkerhetsmyndigheten.

Många NATO-upphandlingar kräver en formell behörighetsförsäkran (declaration of eligibility), där anbudsgivaren bekräftar att företaget uppfyller upphandlingens säkerhets- och bakgrundskrav. Vissa program kräver dessutom nationellt sponsorskap (national sponsorship) – en bekräftelse från den egna staten eller en utsedd myndighet om att företaget är en godtagbar part i upphandlingen.

Sponsorskap och behörighetsförsäkringar hänger ofta samman med köparens behov av att kunna spåra hela leveranskedjan och säkerställa att känslig information eller teknik inte hamnar hos obehöriga parter. Detta gäller särskilt program med högre klassificeringsnivå och sådana som involverar underleverantörer från flera länder.

En betydande del av upphandlingen inom NATO och dess organ – till exempel NSPA och NCIA – är helt oklassificerad eller högst NATO UNCLASSIFIED. Det gäller till exempel rutinmässiga varuinköp, underhållstjänster, utbildning, konsulttjänster och stora delar av det byggarbete som NATO beställer.

Det betyder att många företag kan bli NATO-leverantörer utan att någonsin skaffa en särskild säkerhetsprövning. Behörigheten för denna typ av arbete beror i stället typiskt på andra faktorer, som en NCAGE-kod, registrering i rätt portal, ett erkänt kvalitetssystem och ekonomisk stabilitet. Ett krav på säkerhetsklassificering uppstår vanligen först när upphandlingen berör tekniska detaljer i försvarssystem, operativ planering eller kritisk infrastruktur.

Hantering av säkerhetsklassad information är inte begränsad till pappersdokument. Den omfattar också lagring och överföring av elektronisk data, samtal i skyddade utrymmen, fysisk tillträdeskontroll och godkännande av utrustning som används för att behandla materialet. I praktiken kan detta innebära dedikerade, godkända IT-system, låsta arkivutrymmen, tillträdeskontroll och regelbunden säkerhetsutbildning för personalen.

Ju högre klassificeringsnivå, desto mer noggrant måste dessa rutiner dokumenteras, och desto oftare kan efterlevnaden komma att kontrolleras. Det är bäst att planera dessa rutiner som en del av ett bredare säkerhetsledningssystem snarare än som ett engångstillägg för ett enskilt kontrakt.

Ett krav på säkerhetsprövning anges vanligtvis redan i upphandlingsmeddelandet eller tidigt i förfrågningsunderlaget, ofta i det avsnitt som beskriver programmets klassificeringsnivå och nödvändiga prövningar. Kravet kan gälla hela kontraktet eller endast vissa delar av det, till exempel tekniska bilagor eller specifika projektfaser.

Det lönar sig att läsa förfrågningsunderlaget noggrant, inklusive bilagor och tekniska specifikationer, eftersom säkerhetskraven ofta anges i ett separat dokument – till exempel en Security Aspects Letter eller motsvarande – som inte alltid syns direkt i huvuddokumentet vid en första anblick.

Eftersom handläggningen av säkerhets- och personprövningar tar tid och inte kan påskyndas i efterhand, bör förberedelserna inledas god tid innan en intressant upphandling faktiskt publiceras. I praktiken innebär detta att kontakta den nationella säkerhetsmyndigheten så snart företaget identifierar NATO-marknaden som ett strategiskt intresseområde.

Det underlättar också att i förväg kartlägga vilka personer i organisationen som sannolikt behöver en personsäkerhetsprövning och att starta deras process parallellt med ansökan om FSC på företagsnivå. Detta förkortar avsevärt tiden det tar att lämna in det första säkerhetsklassade anbudet.

Säkerhetsprövningsprocesser kräver både ekonomisk investering och intern arbetsinsats: förberedelse av ansökningar, eventuell anpassning av lokaler och system till kraven samt utbildning av personal. Omfattningen av insatsen skalar direkt med den eftersträvade klassificeringsnivån – ju högre nivå, desto mer omfattande krav ställs vanligtvis på lokaler och system.

Det är bäst att inte bedöma kostnad och tidsplan utifrån ett enda kontrakt, utan som en långsiktig investering som öppnar dörren till flera framtida säkerhetsklassade upphandlingar under samma prövning.

Salpa bevakar meddelanden från NATO:s upphandlande organ – bland andra NSPA, NCIA, ACT, ACO och NATO:s högkvarter – och analyserar dem med AI. Varje sammanfattning, levererad på svenska eller engelska, anger om upphandlingen kräver säkerhetsprövning eller är öppen, så du direkt ser vilka upphandlingar du kan delta i redan i dag och vilka som kräver förberedelse i förväg.

Kategoribaserade aviseringar innebär att du inte behöver gå igenom alla meddelanden manuellt – du får bara information om de upphandlingar som matchar din bransch och beredskapsnivå. Du kan testa tjänsten med en 14 dagars kostnadsfri provperiod.