SUA är en akronym som står för
”säkerhetsskyddad upphandling med säkerhetsskyddsavtal”.

En säkerhetsskyddsöverenskommelse tecknas i de fall som de säkerhetsskyddsklassificerade uppgifterna inte når över begränsat hemlig. Säkerhetsskyddsöverenskommelsen innehåller på motsvarande sätt som ett säkerhetsskyddsavtal de krav på säkerhetsskydd som företaget har att förhålla sig till under uppdragets genomförande.
Det kan även finnas fall där Försvarsmakten väljer att reglera kraven på säkerhetsskydd direkt i affärsavtalet.

Företaget måste delta i en upphandling eller teckna ett kontrakt där det finns krav på säkerhetsskyddsavtal.
Ett företag kan aldrig själv ansöka om att få teckna säkerhetsskyddsavtal utan det är Försvarsmakten om avgör om ett säkerhetsskyddsavtal ska tecknas eller ej.

Nivå 1: Leverantören kommer att få tillgång till säkerhetsskyddsklassificerade uppgifter i säkerhetsskyddsklassen konfidentiell eller högre eller få tillgång till säkerhetskänslig verksamhet av motsvarande betydelse för Sveriges säkerhet utanför Försvarsmaktens områden, byggnader och andra anläggningar eller objekt.

Nivå 2: Leverantören kommer att få tillgång till säkerhetsskyddsklassificerade uppgifter i säkerhetsskyddsklassen konfidentiell eller högre eller få tillgång till säkerhetskänslig verksamhet av motsvarande betydelse för Sveriges säkerhet inom Försvarsmaktens områden, byggnader och andra anläggningar eller objekt.

Nivå 3: Leverantören kan komma att få tillgång till säkerhetsskyddsklassificerade uppgifter i säkerhetsskyddsklassen konfidentiell eller högre eller få tillgång till säkerhetskänslig verksamhet av motsvarande betydelse för Sveriges säkerhet inom Försvarsmaktens områden, byggnader och andra anläggningar eller objekt.​​

Observera!
Begreppet kan komma syftar inte till oaktsamhet, slarv eller bristande rutiner, utan till att det i någon mån är oundvikligt till följd av hur verksamheten är utformad.
Kan komma att få del av ska alltså ses som att befattningen avsiktligen tillförs, det vill säga har behov av, säkerhetsskyddsklassificerad uppgift och/eller deltar i säkerkänslig
verksamhet vid utförandet av sin tjänst. ​

Det går inte att svara på generellt. Ett antal åtgärder behöver vidtas efter det att ett säkerhetsskyddsavtal har undertecknats.
Vissa åtgärder vidtas av Försvarsmakten, andra kan i vissa fall åligga företaget (leverantören) att vidta.
Det är först när alla åtgärder har kommit på plats som ett uppdrag kan påbörjas. Gemensamt för alla avtalsnivåer för säkerhetsskyddsavtal (1-3) är bland annat att Försvarsmakten är skyldig att pröva leverantörens lämplighet innan ett säkerhetsskyddsavtal tecknas.

Det som prövas är ägarförhållanden, ekonomiska förhållanden och kopplingar till säkerhetshotande verksamhet.
Om underleverantörer ska användas ska lämpligheten prövas även vid dessa.
När ett säkerhetsskyddsavtal har tecknats genomför Försvarsmakten säkerhetsprövning av leverantörens ledning och i förekommande fall styrelse. Därefter sker säkerhetsprövning av den personal som avses delta i uppdraget.
Observera att Försvarsmakten inte kan garantera att ett avtal, säkerhetsprövning eller registerkontroll färdigställs inom en viss tid, allt beror på omständigheterna i det
enskilda fallet.

Säkerhetsskyddsavtalet är ett villkor för att leverantören ska kunna genomföra uppdraget som följer av affärskontraktet.
Säkerhetsskyddsavtalet följer i stort tidsbestämmelserna för affärskontraktet.
När uppdraget har slutförts kommer Försvarsmakten att säga upp säkerhetsskyddsavtalet och i förekommande fall genomföra avslutande samtal samt
avsluta registerkontrollerna.

En anställning eller något annat deltagande i en säkerhetskänslig verksamhet kan placeras i en av tre olika säkerhetsklasser beroende på vad befattningen ska ta del av.

Säkerhetsklass 1
Om den anställde eller den som på annat sätt deltar i verksamheten i en omfattning som inte är ringa får del av uppgifter i säkerhetskyddsklassen kvalificerat hemlig eller till följd av sitt deltagande i verksamheten har möjlighet att orsaka synnerligen allvarlig skada för Sveriges säkerhet.

Säkerhetsklass 2
Om den anställde eller den som på annat sätt deltar i verksamheten i en omfattning som inte är ringa får del av uppgifter i säkerhetskyddsklassen hemlig, i ringa omfattning får del av uppgifter i säkerhetskyddsklassen kvalificerat hemlig, eller till följd av sitt deltagande har möjlighet att orsaka allvarlig skada för Sveriges säkerhet.

Säkerhetsklass 3
Om den anställde eller den som på annat sätt deltar i verksamheten får del av uppgifter i säkerhetsskyddsklassen konfidentiell, i ringa omfattning får del av uppgifter i säkerhetsskyddsklassen hemlig eller till följd av sitt deltagande i verksamheten har
möjlighet att orsaka en inte obetydlig skada för Sveriges säkerhet.

Säkerhetsprövning ska göras innan en person kan delta i en säkerhetskänslig verksamhet. Syftet med säkerhetsprövning är att klargöra om personen kan antas vara lojal mot de intressen som ska skyddas, pålitlig ur säkerhetssynpunkt samt att utreda eventuella sårbarheter som skulle kunna göra att personen hamnar i en utsatt situation och bli sårbar för yttre påtryckningar.
Omfattningen på säkerhetsprövningen beror på vilken säkerhetsklass anställningen
eller deltagandet är placerat i.

Alla förändringar som sker kopplat till ledning, styrelse, säkerhetsskyddsorganisation ägarförhållanden och personal i uppdraget under tiden företaget har ett säkerhetsskyddsavtal med Försvarsmakten ska anmälas in till Försvarsmakten.
Förändringar i styrelse, ledning eller övriga anställda resulterar i en bedömning om ny säkerhetsprövning för nytillkomna är aktuell, och i förekommande fall avslutande samtal för de som slutar i uppdraget. Information om var man ska anmäla in förändringar finns i säkerhetsskyddsavtalet. Endast personer som är behöriga får ta del av säkerhetskyddsklassificerade uppgifter eller delta i säkerhetskänslig verksamhet.
Det innebär att nytillkomna inte får ges tillgång till sådana uppgifter eller sådan verksamhet förrän de blivit behöriga att göra det.

Försvarsmakten beslutar vem eller vilka som är behöriga.

Ja. All kommunikation från Försvarsmakten ska alltid besvaras skyndsamt.

Företaget ska kontakta Försvarsmakten omgående och rapportera in detta.
Underleverantörer får inte ges tillgång till några säkerhetsskyddsklassificerade uppgifter eller någon annan säkerhetskänslig verksamhet om inte dessa har godkänts av Försvarsmakten. I säkerhetskyddsavtalet framgår det på vilket sätt kontakten ska tas.

I det tecknade säkerhetsskyddsavtalet framgår kontaktuppgifter om var man ska anmäla in förändringar som exempelvis att företaget kommer få ett annat namn.
Anmäl in den förändringen skyndsamt.

Kraven är desamma oavsett företagets storlek. Kravet på att det ska finnas en säkerhetsskyddschef innebär för dig som enmansföretagare inte att det måste finnas en till person vid företaget som ska uppbära befattningen. Flera befattningar kan innehas av en och samma person, t.ex. vd, säkerhetsskyddschef och elektriker. Om var och en av befattningarna ska placeras i säkerhetsklass innebär det att tre registerkontroller kommer att genomföras.

Nej. Ett säkerhetsskyddsavtal som har ingåtts av en annan myndighet är inte giltigt i Försvarsmaktens upphandlingar. I vissa fall kan dock en annan myndighet upphandla varor, tjänster eller byggentreprenader och där delar av uppdraget kan komma att utföras i Försvarsmaktens lokaler.

I de fallen så ingår den andra myndigheten (som upphandlar varorna, tjänsterna eller byggentreprenaderna) säkerhetsskyddsavtalet med företaget. Grundprincipen är alltid att det är den myndighet som blir part i kontraktet (affärsavtalet) som också ska ingå säkerhetsskyddsavtalet med företaget.

Ingen säkerhetsskyddsklassificerad uppgift får medföras till, hanteras eller förvaras i de nya lokalerna innan dessa uppfyller Försvarsmaktens krav på säkerhetsskydd och lokalerna skriftligen har godkänts av Försvarsmakten. Detta kan vara en tidskrävande process. Anmäl därför till Försvarsmakten i god tid om det finns en avsikt att flytta till nya lokaler.

Företaget har i ett sådant fall brutit mot säkerhetsskyddsavtalet. Alla säkerhetsskyddsklassificerade uppgifter måste omedelbart lämnas tillbaka till Försvarsmakten. Er säkerhetsskyddschef ska omedelbart kontakta Försvarsmakten.
Anmälan ska ske på det sättet som framgår i säkerhetsskyddsavtalet.

Nej. Avtalet tecknas mellan Försvarsmakten och den juridiska personen som ska utföra uppdraget. Även om företagen ingår i samma koncern är de olika juridiska personer. Detta gäller även om Försvarsmakten har säkerhetsskyddsavtal med moderbolaget i koncernen.

Ja, företagen är olika juridiska personer. Det företag med vilket Försvarsmakten har säkerhetsskyddsavtal i nivå 1 måste ha helt skilda lokaler för denna verksamhet och i övrigt uppfylla Försvarsmaktens krav inom informationssäkerhet, fysisk säkerhet och personalsäkerhet.