Sikkerhedsgodkendelser og Security Aspects Letter i et EDF-projekt

Sikkerhedsgodkendelser i et European Defence Fund-projekt bliver som regel omtalt som et punkt, man krydser af efter tildelingen. De forstås bedre som en tidsplan. Flere af dem følger nationale tidsforløb, du ikke er herre over, og én af dem står mellem en vellykket evaluering og en underskrevet aftale.

Reglerne står ikke i Model Grant Agreement, hvor de fleste kigger. De står i Commission Decision (EU, Euratom) 2021/259, gennemførelsesreglerne om industrisikkerhed for klassificerede tilskud, og de rammer dig gennem et instrument, mange ansøgere aldrig ser nævnt ved navn.

Dokumentet, der bærer det hele

Efter artikel 5(1) i Commission Decision (EU, Euratom) 2021/259 tager de tilskudsspecifikke sikkerhedskrav form af et Security Aspects Letter, med en skabelon vedhæftet som bilag til afgørelsen. Artikel 27(4) i EDF-forordningen kræver særskilt, at sikkerhedsrammen er på plads, før aftalen underskrives.

Det er mekanismen. Alt herunder er ikke en generel forpligtelse, der svæver rundt i programmet. Det er noget, et SAL anvender på netop din aktion, på et bestemt klassifikationsniveau og med bestemte konsekvenser. Vil du regne ud, hvad dit projekt faktisk bliver forpligtet til, er SAL'et det dokument, du skal spørge til. Og spørger du tidligt, viser du, at du har prøvet det før.

Facility Security Clearances

En Facility Security Clearance er en national myndigheds bekræftelse af, at en organisations lokaler og procedurer er egnede til at håndtere klassificeret information på et givet niveau.

Udløseren er ikke den tildelende myndigheds præference. Efter artikel 3(6) i afgørelsen kræves en FSC for at håndtere information klassificeret CONFIDENTIEL UE/EU CONFIDENTIAL og SECRET UE/EU SECRET. Det afhænger af arbejdets klassifikationsniveau og af national ret, ikke af hvad en indkaldelse tilfældigvis beder om.

Det har to konsekvenser, og det er den anden, der gør ondt.

Artikel 3(3) kræver, at indkaldelsesdokumentationen indeholder præciseringer om tidsplanen for, hvornår modtagerne skal opnå de FSC'er, der kræves. Tidsplanen kan altså kendes på forhånd, ud fra selve indkaldelsen.

Artikel 5(4) er mere kontant: den klassificerede tilskudsaftale må ikke underskrives, før ansøgerens National Security Authority eller Designated Security Authority har bekræftet ansøgerens FSC.

Læs det igen, hvis du er ved at lægge en projekttidsplan. En godkendelse, du starter på efter tildelingen, er ikke administration, der kører sideløbende med projektet. Det er en port foran underskriften, betjent af en national myndighed, der arbejder efter sin egen tidsplan.

Personelgodkendelser følger samme regel

Det er her, en hel del publiceret vejledning afviger fra afgørelsen, fordi den behandler personelgodkendelser som en særskilt ordning med sin egen logik.

Artikel 3(7) dækker begge dele i én sætning: som udgangspunkt kræves hverken en FSC eller en PSC for adgang til information klassificeret RESTREINT UE/EU RESTRICTED.

På RESTRICTED-niveau er udgangspunktet altså, at ingen af delene er nødvendige. Over det niveau kommer begge i spil.

Forbeholdet betyder lige så meget som reglen. Medlemsstaterne kan stille krav efter national ret, og de nationale undtagelser offentliggøres. De er listet i bilag IV til afgørelsen og i det tilsvarende bilag til EDF Programme Security Instruction. Det korrekte svar på "skal vi bruge godkendelser på RESTRICTED-niveau" er derfor: som udgangspunkt nej, og tjek så, om den medlemsstat, du er etableret i, er en af undtagelserne. Ikke bare: nej.

Det er et svar i to trin frem for ét, og netop derfor bliver det fladet ud i sammenfatninger.

Hvad du kan gøre ved det inden en tildeling

Er klassificeret arbejde i spil, er der tre spørgsmål, det kan betale sig at besvare, mens forslaget stadig skrives, frem for efter det er gået igennem.

Hvilket niveau bliver denne aktion faktisk klassificeret på? Det afgør, om artikel 3(6) overhovedet er i spil, og det bør fremgå af indkaldelsesdokumentationen.

Hvilke partnere har allerede en FSC, på hvilket niveau, og hvornår udløber den? En godkendelse, som ét konsortiemedlem har, dækker ikke et andet, og et udløb midt i projektet er præcis den slags planlægningsproblem, som artikel 5(4) gør dyrt.

Er vores medlemsstat en af undtagelserne i bilag IV? Er den det, gælder udgangspunktet på RESTRICTED-niveau ikke for dig, og din personelplanlægning ændrer sig.

Ingen af de spørgsmål er svære. De er bare nemmere at besvare i marts end i ugen før underskrift, og svarene er den slags, der skal dokumenteres senere frem for huskes: hvilken godkendelse, på hvilket niveau, gyldig mellem hvilke datoer, bekræftet af hvilken myndighed.

Det er et dokumentationsproblem, og det hører hjemme sammen med resten af dit bevisgrundlag, under dokumentstyring, med datoer og en godkendelseshistorik frem for i en indbakke.

Tjek det selv

• Commission Decision (EU, Euratom) 2021/259, artikel 3(3), 3(6), 3(7), 5(4) og bilag IV
• Regulation (EU) 2021/697, artikel 27(4), for kravet om, at sikkerhedsrammen skal være på plads før underskrift, og Commission Decision (EU, Euratom) 2021/259, artikel 5(1), for selve Security Aspects Letter
• EDF Programme Security Instruction, som fastlægger sikkerhedsordningerne på programniveau
• Din indkaldelsesdokumentation, som skal angive FSC-tidsplanen

Den tilknyttede forpligtelse til at have en beredskabsplan for EU-klassificeret information er et særskilt krav i samme afgørelse, i artikel 16, og det behandler vi i sin egen artikel. Det bredere sæt af krav findes i hvad et EDF-tilskud faktisk forpligter dig til at dokumentere.

Godkendelser, bekræftelser og de datoer, der hører til dem, er dokumentation med en udløbsdato. Se, hvordan ComplyTrain holder styr på dem.

Dette beskriver, hvad de offentliggjorte regler siger pr. 8. september 2026. Det er ikke juridisk rådgivning, og godkendelseskrav afhænger navnlig af national ret i den medlemsstat, hvor en enhed er etableret.