SOFF och Teknikföretagens yttrande avseende SS 22306:2026 Säkerhet och resiliens – Organisationers förmåga vid krigsfara och krig

Säkerhets- och försvarsföretagen (SOFF) och Teknikföretagen tackar för möjligheten att yttra sig. SOFF är en branschförening för företag inom säkerhets- och försvarsområdet med verksamhet i Sverige. SOFF har idag ca 500 medlemsföretag som har verksamhet inom försvar, samhällssäkerhet och cybersäkerhet.

Teknikföretagens 4500 medlemsföretag står för en tredjedel av Sveriges export och över en miljon jobb. Våra medlemsföretag utvecklar och producerar allt från avancerade industrikomponenter och digitala lösningar till försvarsmateriel, energiteknik och transportlösningar. Företagen är centrala för Sveriges konkurrenskraft, innovationsförmåga och totalförsvarsförmåga. Tillsammans med företag över hela landet formar vi teknikbranschens framtid – för vi är tekniksverige.

Inledning

Syftet med en standard bör vara att skapa harmonisering, tydlighet och gemensamma utgångspunkter. Enligt vår bedömning uppnår den föreslagna standarden inte detta syfte i sin nuvarande utformning. Tvärtom riskerar den att skapa ökad osäkerhet och ett betydande tolkningsutrymme, särskilt eftersom den är avsedd att tillämpas av både offentliga och privata aktörer med mycket skilda verksamhetsförutsättningar.

Ett grundläggande problem är att standarden i flera delar utgår från att organisationen själv ska identifiera sin roll, sina uppgifter och sina prioriteringar vid krigsfara och krig. Företag arbetar kontinuerligt med att identifiera och hantera egna risker, beroenden och. Samtidigt ligger ansvaret för planering, prioriteringar och inriktning inom totalförsvaret ytterst hos staten och ansvariga myndigheter. För många företag är således förmågan att förbereda sig för krig beroende av vägledning, planeringsförutsättningar och dialog med offentliga aktörer.

Den nuvarande utformningen av standarden medför även betydande tillämpningsproblem. Flera krav saknar tydliga ambitionsnivåer och mätbara kriterier, vilket försvårar såväl implementering som uppföljning och jämförelser mellan organisationer. Risken är särskilt stor om standarden används som underlag vid upphandlingar, certifieringar eller annan kravställning. Otydliga krav kan då leda till varierande tillämpning, osäkerhet på marknaden och svårigheter att bedöma efterlevnad på ett enhetligt sätt.

SOFF och Teknikföretagen vill därutöver lyfta frågor kopplade till informationssäkerhet. Standarden omfattar verksamheter där verifiering av efterlevnad kan förutsätta insyn i information som är säkerhetskänslig enligt säkerhetsskyddslagstiftningen eller som omfattas av företagshemligheter. Det behöver därför tydliggöras hur sådan information ska hanteras vid exempelvis upphandlingar, revisioner och andra former av granskning.

Vidare belyser standarden endast i begränsad utsträckning de ekonomiska och verksamhetsmässiga konsekvenserna för de organisationer som förväntas tillämpa den. Vi uppfattar att det inte tydligt framgår vilka internationella erfarenheter eller lärdomar som har beaktats vid utformningen av standarden. Detta talar för att införandet av standarden bör föregås av noggranna konsekvensanalyser och en bred dialog med berörda aktörer för att säkerställa att nyttan står i rimlig proportion till kostnaderna och att svenska företag inte riskerar konkurrensnackdelar jämfört med företag i andra EU-länder.

Om SIS likväl väljer att gå vidare med standarden har SOFF och Teknikföretagen identifierat ett antal områden där förtydliganden och förändringar krävs för att standarden ska kunna fungera ändamålsenligt. Dessa utvecklas närmare nedan.

Organisationers förmåga är beroende av dess roll i totalförsvaret

Till skillnad från många andra lednings- och verksamhetsfrågor kan förmåga att verka under krigsfara och krig inte skapas genom interna åtgärder enbart. Enligt lagen (1992:1403) om totalförsvar och höjd beredskap är totalförsvaret den verksamhet som behövs för att förbereda Sverige för krig. Under högsta beredskap omfattas all samhällsverksamhet som då ska bedrivas. Organisationers uppgifter och prioriteringar under krig avgörs därmed inte enbart av egna bedömningar utan även av statliga beslut, samverkansstrukturer och nationella prioriteringar.

Standarden utgår i stor utsträckning från att organisationen själv identifierar sin roll, sina beroenden och sina uppgifter vid krigsfara och krig. Ett sådant arbete är viktigt, men i praktiken påverkas organisationers förmåga vid krigsfara och krig av statliga beslut och prioriteringar. Frågor om personalförsörjning, prioritering av resurser, tillgång till energi och elektroniska kommunikationer, skydd av verksamhet samt olika former av förfogande eller undantagsreglering kan vara avgörande för den faktiska förmågan. Standarden bör därför tydligare erkänna att förmågan utvecklas genom ett ömsesidigt beroende mellan privata och offentliga aktörer, snarare än något som den enskilda aktören ensam kan definiera och säkerställa.

Mätbarhet och ambitionsnivå

Standarden behöver lämna utrymme för anpassning utifrån organisationens uppgifter, verksamhet och roll i totalförsvaret. Samtidigt är det i standardens nuvarande utformning oklart vilken nivå av förmåga som faktiskt förväntas. Kraven beskriver ofta vad organisationen ska ha eller kunna göra, men ger begränsad vägledning om vilken ambitionsnivå som krävs för att kraven ska anses uppfyllda.

Exempelvis kan en ”alternativ ledningsplats” innebära allt från att ledningen kan verka från medarbetares hem till att organisationen har tillgång till en särskilt skyddad och redundant ledningsanläggning. På motsvarande sätt kan ”alternativa kommunikationsvägar” omfatta både en enkel meddelandegrupp och robusta kommunikationssystem såsom Rakel.

Standarden är samtidigt formulerad som en kravstandard men innehåller ett antal kvalitativa uttryck, såsom att åtgärder ska vara ändamålsenliga eller proportionerliga, utan att det framgår hur dessa ska bedömas i praktiken. Detta skapar ett betydande tolkningsutrymme, både för de organisationer som ska tillämpa standarden och för eventuella aktörer som ska granska eller bedöma efterlevnaden.

Konflikterande lagkrav, beslut och prioriteringar

Standarden bör tydligare beskriva hur dess krav förhåller sig till befintlig och kommande lagstiftning, samt till avtal och myndighetsbeslut. Utöver risken för överlappande krav och parallell dokumentation kan det uppstå situationer där olika krav är svåra att förena. Det kan exempelvis gälla förhållandet mellan dokumentation och verifiering å ena sidan och säkerhetsskyddskrav och dataskydd å andra. Även kommersiella leveransåtaganden kan behöva vägas mot statliga prioriteringar. Sådana möjliga mål- och regelkonflikter bör analyseras och omhändertas i det fortsatta arbetet.

Mot bakgrund av att flera på området relevanta regelverk är nya eller ännu inte trätt i kraft samt att andra initiativ, såsom beredskapsavtal, fortfarande är under utveckling, bör det övervägas om standarden ska införas först när samspelet mellan dessa styrmedel kan bedömas mer samlat. Alternativt om standarden i stället utges som en vägledning. Det finns annars en risk att standarden bidrar till ökad komplexitet, osäkerhet och otydlighet i stället för den harmonisering som eftersträvas.

Internationell kontext

Standarden bör även beakta att många företag verkar inom internationella koncerner och globala leveranskedjor. Krav som saknar motsvarighet i andra länder kan vara svåra att omsätta i relation till utländska leverantörer eller inom internationellt styrda verksamheter. Det finns därför en risk att sådana krav medför ökade administrativa kostnader eller konkurrensnackdelar utan att motsvarande förmågehöjning uppnås.

Uppbyggnad utifrån principen planera, genomföra, utvärdera, förbättra

Föreningarna anser att rubriken ”Genomföra” inte är lämplig. Detta eftersom vissa krav endast kan aktualiseras i skarpt läge och därmed inte är möjliga att verifiera i fredstid. Om strukturer fastställs föreslår SOFF och Teknikföretagen att steget enbart innefattar det som står under 4.3.2, eftersom kravelementet syftar till att implementera förmåga, vilket kan likställas med att genomföra. Detta grundar sig i att steget ”Genomföra” i andra standarder beskrivs som att införa planerade åtgärder.

Vidare anser SOFF och Teknikföretagen att kravelement 4.3.1 av sin karaktär är en planerande aktivitet och därför bör flyttas till avsnitt 4.2 (Planera). Föreningarnas bedömning är även att det finns en viss överlappning mellan kravelement 4.2.2, 4.2.3 och 4.3.1, vilka samtliga i olika utsträckning berör organisationens förutsättningar, uppdrag och påverkan. Nuvarande uppdelning riskerar således att skapa otydlighet i tillämpningen. Föreningen föreslår därför att samla dessa delar i två avsnitt alternativt separera deras syften.

Tydlighet och verifierbarhet

Föreningarnas bedömning är att flera av standardens krav riskerar att bli svårare att mäta och verifiera än i andra jämförbara standarder. Förberedelser, planer, utbildningar och övningar kan självfallet bedömas och följas upp i fredstid. Däremot finns begränsningar i vilken säkerhet sådana bedömningar kan ge avseende faktisk förmåga under krigsfara och krig. Standarden bör därför tydligare beskriva vad verifiering av kraven förväntas kunna styrka samt vilka begränsningar som finns i bedömningen av förmåga under förhållanden som inte fullt ut kan prövas i fredstid.

Kravelement 4.2.3 ser föreningen bör kompletteras med att organisationer även ska bedöma behovet av att vid behov kunna skala upp och/eller ställa om verksamhet. Vid krigsfara och krig kan organisationers uppdrag inte enbart handla om att upprätthålla verksamhet, utan även att möta ett ökat och/eller förändrat behov.

Behov av scenarion vid utbildning och övning

Standarden innehåller krav på analyser, planering och övning kopplade till krigssituationer. För många organisationer kan det dock vara svårt att omsätta dessa krav i praktiken utan tydligare nationella planeringsförutsättningar. Dokumentet Utgångspunkter för totalförsvaret, framtaget av Myndigheten för civilt försvar (MCF) och Försvarsmakten, utgör ett viktigt stöd för planeringen. Samtidigt är organisationers roller och uppgifter inom totalförsvaret mycket varierande. För att standarden ska få avsedd effekt kan det därför behövas ytterligare vägledning kring exempelvis scenarier som organisationer bör utgå från i övning.

En ytterligare utmaning är att realistiska bedömningar av påverkan vid krigsfara och krig förutsätter tillgång till relevanta hot- och lägesbilder. Många organisationer har endast begränsad tillgång till sådant underlag och delar av informationen kan dessutom vara säkerhetskänslig. Standarden bör därför tydligare ange att analyser och övningar ska baseras på tillgängligt underlag samt på scenarier framtagna i samverkan med ansvariga myndigheter.

Bilaga A

Föreningarna bedömer att innehållet i bilaga A är centralt för standardens syfte. Bilagan innehåller krav avseende bland annat ledningsförmåga, leveransförmåga, skydd och återställning, vilka utgör grundläggande delar av den förmåga som standarden avser att utveckla. Samtidigt är flera av kraven inte tillräckligt entydiga, vilket riskerar att skapa otydlighet vid tillämpning.

SOFF och Teknikföretagen anser därför att de centrala kraven i bilaga A bör ses över och omformuleras för att minska utrymmet för olika tolkningar. Efter sådan bearbetning bör kraven integreras i standardens huvudtext. Detta skulle tydliggöra deras koppling till standardens övriga krav och underlätta en enhetlig tillämpning.

Ordval

Ordvalet ”reparera sin verksamhet” framstår som mindre lämpligt i sammanhanget och bör ersättas med exempelvis ”återställa sin verksamhet”.  Detta eftersom det ligger närmare etablerad terminologi inom beredskapsområdet.  Även begreppet ”uppdrag” används genomgående i hela standarden. Föreningen anser att detta begrepp bör definieras tydligare, alternativt ersättas med exempelvis ”verksamhet”, då begreppet syftar till att beskriva organisationernas verksamhet.

Certifiering

På standardens webbplats anges att målet är att det ska vara möjligt att certifiera sig mot standarden. SOFF och Teknikföretagen bedömer att det behöver förtydligas hur en tillförlitlig certifiering ska kunna genomföras mot bakgrund av att flera krav är kvalitativa till sin karaktär och lämnar ett betydande tolkningsutrymme. Detta väcker frågor om hur likvärdiga och enhetliga bedömningar ska säkerställas mellan olika certifieringsorgan och revisorer, särskilt i verksamheter där verifiering av efterlevnad kan förutsätta granskning av säkerhetskänslig eller affärskritisk information.

Avslutande synpunkter

Avslutningsvis bedömer vi att standarden inte i tillräcklig utsträckning beaktar de beroenden som präglar företags förutsättningar vid krigsfara och krig. Ett företags förmåga påverkas inte enbart av egna förberedelser. Det är därför inte rimligt att utforma krav som förutsätter en rådighet över förhållanden som i stor utsträckning ligger utanför den egna organisationens kontroll. Mot bakgrund av att flera på området relevanta regelverk är nya eller ännu inte trätt i kraft, samtidigt som andra initiativ, såsom beredskapsavtal, fortfarande är under utveckling, riskerar en kravstandard att bidra till ökad komplexitet, osäkerhet och otydlighet snarare än den harmonisering som eftersträvas. SOFF och Teknikföretagen anser att ett dokument på området kan fylla en funktion, men då som ett stöd för dialogen mellan näringsliv, myndigheter och kommuner om ansvar, roller och förväntningar, snarare än som en ensidig kravställning på enskilda företag för förhållanden som till stor del ligger utanför deras rådighet. Föreningarna förordar därför att dokumentet i ett första skede ges ut som en vägledning eller ett ramverk och prövas praktiskt innan det eventuellt utvecklas till en kravstandard.