Säkerhetsprövning som IT-konsult: det här behöver du veta

Verksamheter som har betydelse för Sveriges säkerhet omfattas av regler om säkerhetsskydd. Det gäller många myndigheter, men också regioner, kommuner och privata företag inom exempelvis energi, transporter, telekom och försvar. I sådana verksamheter finns information och system som behöver skyddas mot spioneri, sabotage och andra hot.

Den som ska arbeta med sådan information eller sådana system kan behöva placeras i en säkerhetsklass, och innan dess görs en säkerhetsprövning. Syftet är att bedöma om personen är lojal mot de intressen som skyddas och kan anses pålitlig ur säkerhetssynpunkt. Det gäller anställda, men också konsulter som får tillgång till samma information.

För dig som IT-konsult innebär det att en säkerhetsprövning kan vara ett krav redan i uppdragsbeskrivningen. Ibland framgår det först under processen. Fråga därför alltid tidigt om uppdraget omfattas av säkerhetsskydd och om det krävs placering i säkerhetsklass, så att du kan planera tid och förväntningar.

Det är uppdragsgivaren, den verksamhet som omfattas av säkerhetsskyddet, som ansvarar för att en säkerhetsprövning genomförs. Hur prövningen går till i detalj beror på verksamheten och på vilken säkerhetsklass det gäller, men vissa delar är vanliga.

Prövningen bygger normalt på en samlad bedömning. Den kan omfatta en intervju där du får frågor om din bakgrund, dina förhållanden och sådant som kan göra dig sårbar för påtryckningar. Ofta ingår också kontroll av betyg, intyg och referenser. Beroende på säkerhetsklass kan uppdragsgivaren begära en registerkontroll, och för de högre klasserna kan även en mer omfattande utredning göras. För vissa säkerhetsklasser kan det också finnas krav på svenskt medborgarskap.

Du behöver ge ditt samtycke till registerkontroll, och du informeras om vad prövningen innebär. Det är normalt uppdragsgivarens säkerhetsskyddschef eller en person i dennes organisation som ansvarar för processen och kan svara på dina frågor. Det är också där du ska vända dig om något är oklart, inte till förmedlare eller kollegor som har gått igenom en annan prövning.

När en verksamhet med säkerhetsskydd köper tjänster från en leverantör, och leverantören får tillgång till skyddsvärd information eller verksamhet, krävs i många fall ett säkerhetsskyddsavtal. Avtalet reglerar hur leverantören ska hantera säkerhetsskyddet: vilka som får delta, hur information ska skyddas och vilka kontroller som ska göras.

Om du är underkonsult via en förmedlare eller ramavtalsleverantör finns avtalet oftast mellan uppdragsgivaren och leverantören, och villkoren förs sedan vidare till dig. Det kan innebära krav på hur du hanterar dokument, datorer och kommunikation, att du inte får använda egen utrustning och att du måste rapportera vissa förändringar i dina förhållanden.

Läs igenom de krav som gäller för dig och ställ frågor om något är oklart. Det är bättre att reda ut till exempel hur du får arbeta på distans eller vilken utrustning som gäller innan uppdraget börjar, än att upptäcka det första veckan. Säkerhetsskyddsavtal och villkor varierar mellan uppdragsgivare, så utgå inte från vad som gällde förra gången.

Om du har ett eget aktiebolag kan det i vissa fall bli aktuellt att bolaget också behöver granskas eller omfattas av avtalet. Hur det hanteras beror på upplägget och på uppdragsgivarens krav. Ta upp frågan med förmedlaren och uppdragsgivaren tidigt, så att inget formellt steg upptäcks först när du ska börja.

Du kan inte påverka utfallet av en säkerhetsprövning genom att förbereda dig på rätt sätt, men du kan göra processen smidigare. Ha betyg, examensbevis, certifikat och tjänstgöringsintyg samlade och lätta att ta fram. Se till att referenser från tidigare uppdrag och anställningar är aktuella och att personerna vet att de kan bli kontaktade.

Var beredd på att svara ärligt på frågor om din livssituation, ekonomi, resor och kontakter. Det viktigaste i en säkerhetsprövning är ofta öppenhet. Sådant som du själv berättar om kan bedömas och hanteras, medan uppgifter som undanhålls och kommer fram senare kan väga betydligt tyngre.

Om du har frågor om något i din bakgrund kan påverka, ta det med uppdragsgivarens säkerhetsskyddschef. Spekulera inte utifrån andras erfarenheter. Varje prövning är en individuell bedömning i en specifik verksamhet, och du har sällan rätt att få veta hur en tidigare bedömning har gjorts.

En säkerhetsprövning tar tid, och det är en vanlig orsak till att starten i ett säkerhetsklassat uppdrag dröjer. Hur lång tid det tar varierar mellan verksamheter, säkerhetsklasser och hur mycket som behöver kontrolleras. Registerkontroller och utredningar görs av andra än uppdragsgivaren och kan ha egna handläggningstider.

Planera därför med marginal. Om du går från ett uppdrag till ett annat som kräver säkerhetsprövning, räkna med att startdatumet kan flytta sig och var tydlig mot din nuvarande uppdragsgivare om det. Det kan också vara klokt att undvika att säga upp eller avsluta ett uppdrag innan prövningen är klar.

I vissa fall kan du påbörja delar av arbetet innan prövningen är klar, men utan tillgång till säkerhetsklassad information. Om det är möjligt avgör uppdragsgivaren. Fråga i god tid så att både du och uppdragsgivaren vet vad som gäller den första tiden.

Den som ofta tar uppdrag med säkerhetsprövning som IT-konsult lär sig snabbt att räkna in väntetiden i planeringen. Ett praktiskt råd är att be om ett ungefärligt besked om tidsåtgången redan vid första samtalet med uppdragsgivaren, även om svaret blir ett spann.

Att du har genomgått en säkerhetsprövning för ett uppdrag betyder inte automatiskt att den gäller för nästa. Prövningen görs för en specifik placering i en specifik verksamhet. Har du tidigare varit säkerhetsprövad kan det vara en merit, men räkna med att en ny uppdragsgivare gör sin egen prövning.

Under uppdraget behöver du följa de säkerhetsskyddsrutiner som gäller och meddela förändringar i dina förhållanden enligt de instruktioner du fått. Det kan till exempel gälla större förändringar i ekonomi eller familjesituation. Säkerhetsskydd är ett löpande arbete, inte en engångskontroll.

Att vara van vid säkerhetsprövning som IT-konsult gör dig attraktiv för uppdragsgivare som arbetar med säkerhetsskydd. Digital First förmedlar uppdrag som kräver säkerhetsprövning och berättar i varje uppdrag vilka krav som gäller.