sou · GXB386 · 2009-10-19 00:00:00 — I syfte att främja myndigheternas effektivisering av ekonomi- och personaladministration bör regeringen ställa krav på produk- tivitetsutveckling eller effektiviseringsinsatser som baseras på en myndighetsspecifik nyttoanalys (se avsnitt 6.2) Enligt delegationen bör utgångspunkten vara att myndigheten ska ansluta sig till ett gemensamt verksamhetsstöd såvida inte nyttoanalysen visar att det finns särskilda skäl för en alternativ lösning. Sådana särskilda skäl kan vara att myndigheten uppvisar en högre effektivitet och kvalitet genom intern leverans eller befintlig outsourcing. 6.4Effektivisera myndigheternas försörjning av IT- tjänster Delegationens förslag: Regeringen ska ställa krav på myndig- heterna att ta fram en strategi för sin försörjning av IT-tjänster, en s.k. sourcingstrategi. Regeringen ska förtydliga att Kammar- kollegiets uppdrag som ansvarig för samordningen av upphand- lingen för den offentliga förvaltningen inom området informa- tionsteknik innefattar att –säkerställa att planering och genomförande av ramavtals- upphandlingar görs så att dessa understödjer och stimulerar myndigheternas strategier, –utarbeta riktlinjer avseende kravställning och nyttokalkyl för externt köpta IT-tjänster, –utveckla en systematisk uppföljning av avropad volym och andra uppföljningsparametrar i ramavtalen, –utveckla former för och genomföra kunskaps- och erfarenhetsutbyte inom området, och –halvårsvis rapportera arbetet till regeringen. Skälen för delegationens förslag: har de flesta myndigheter egna IT-avdelningar som producerar huvuddelen av IT-tjänsterna för den egna myndigheten, dvs. försörjningen är till stor del intern. Stora pensionsavgångar kommer att ske – 20142. Rekrytering av personal för att ersätta de anställda som går i pension är därför en utmaning. finns det allt större möjligheter för myndigheter att, för tjänster där marknaden är mogen och leverantörerna kan dra nytta av storskalighet, nyttja de tjänster som olika IT-företag kan erbjuda. Myndigheterna bör mot den bakgrunden utveckla strategier för försörjningen av IT- tjänster. Delegationen anser att regeringen ska ställa krav på myndig- heterna att ta fram en s.k. sourcingstrategi. Strategin ska bl.a. hantera den framtida kompetensförsörjningen, men också leda till ett effektivare utnyttjande av marknadens tjänster. Sourcing- strategin bör vara en del av myndighetens årliga planeringsprocess. En strategi ska alltid tas fram, även i de fall det inte är aktuellt att vända sig till marknaden. Det är viktigt att varje myndighets specifika situation vägs in i strategin och att övervägandena tydligt redovisas. Långsiktiga effektivitets-, kvalitets- och kompetenskonsekvenser ska belysas och eventuella risker beskrivas. Det slutliga valet mellan intern eller extern leverans av IT-tjänster ska göras baserat på flera parametrar av vilka total kostnad, kvalitet och flexibilitet är några av de viktigaste. Varje myndighet har själv att göra denna bedömning utifrån sin unika situation. Steget från att producera IT-tjänster själv till att köpa dem externt är stort. Erfarenheter från myndigheter och företag som har tagit detta steg visar att det initialt kan vara en utmaning att styra och hantera leverans av externa IT-tjänster. En säker och kostnadseffektiv lösning av externa inköp gynnas i regel av att vissa förutsättningar är uppfyllda. Några av dessa är: Transparens i tjänsteinnehåll för beställare och leverantör Standardiserade och modulära applikationer och plattformar Köp av funktioner i stället för enskilda produkter och kompe- tenser Level Agreements (SLA) Tydliga krav på informationssäkerhet. 2 Verva 2008:05 kompetensförsörjning ur ett demografiskt perspektiv, sid 18. När en myndighet beslutar att köpa externa IT-tjänster är det alltså av stor vikt att myndigheten får stöd av upphandlande myndighet i själva avropet samt i hur myndigheten på bästa sätt hanterar och styr den framtida leveransen av IT-tjänsterna. Kammarkollegiet har en central roll när det gäller utvecklingen av myndigheternas försörjning av IT-tjänster. Delegationen anser därför att regeringen ska förtydliga att Kammarkollegiets uppdrag som ansvarig för samordningen av upphandlingen för den offentliga förvaltningen inom området informationsteknik inne- fattar att säkerställa att planering och genomförande av ramavtals- upphandlingar görs så att dessa understödjer, men också stimulerar, myndigheterna när de utarbetar sina sourcingstrategier. Vidare ska Kammarkollegiet utarbeta riktlinjer avseende kravställning och nyttokalkyl för myndigheternas analys av nyttan och effekten av externt köpta IT-tjänster. saknas möjligheter att på ett mer utvecklat sätt använda uppföljningsparametrar för ramavtalen. Kammarkollegiet ska inom uppdraget också utveckla sitt stöd till myndigheterna. Stödet ska inriktas mot dels erfarenhetsutbyte, dels kunskap avseende avrop, inköp och hantering av externt köpta IT- tjänster. Kammarkollegiet ska halvårsvis rapportera arbetet till regeringen. Delegationen anser att det är lämpligt att ovanstående uppgifter genomförs i nära samarbete med de utvecklingsansvariga myndig- heterna. I detta avsnitt behandlar delegationen frågor som dagens lösningar med e-legitimationer fört med sig och hur nya lösningar ska kunna utvecklas så att myndigheter, medborgare och näringsliv får tillgång till de funktioner som behövs på området. Vidare beskrivs målet för en svensk infrastruktur på området. Avsnittet innehåller delega- tionens förslag för en långsiktigt hållbar lösning för elektronisk identifiering och elektroniska underskrifter. Dagens lösning för e-legitimationer har varit framgångsrik. Nära nog varje vuxen svensk har smidigt via nät kunnat anskaffa det som behövs för legitimering och underskrift i elektronisk miljö. Myndigheterna har också, i samverkan med dem som utfärdar e- legitimationer, infört dialoger och användargränssnitt för e-legiti- mering som är enkla att använda och delvis självförklarande. En samsyn har vidare vuxit fram på området kring bl.a. rättsfrågor och administrativa frågor. Dessa bedömningar har redovisats i vägled- ningar och anknytande material och nya tjänster har stegvis införts så att medborgare och företag kunnat uträtta allt fler ärenden via e- tjänster. Motsvarande lösningar används dessutom inom närings- livet. har emellertid den nuvarande försörjningsmodellen lösningar har fört med sig en affärsmodell och lösningar för upphandlingar som inte getts en tillräckligt långsiktig och öppen utformning. Brister finns också dessutom i flexibilitet genom att hänsyn inte har tagits till behov av olika säkerhetslösningar för olika typer av e-tjänster. Som en följd av försörjningsmodellen har också tekniska frågor uppkommit. Nuvarande utfärdare har infört delvis olika lösningar som inte följer en enhetlig standard. måste e-tjänsterna anpassas för olika dialoger och skilda tekniska lösningar. Affärsmodellen har i vissa fall lett till att förlitande parter drabbats av höga kostnader. Ett annat område rör användningen av e-legitimationer. Lös- ningen med nedladdning av mjuka e-legitimationer motverkar användningen av publika datorer och datorer på arbetsplatser. Vidare utfärdas inte e-legitimation för personer som inte stadig- varande vistas i landet och endast i begränsad omfattning till under- åriga. Till detta kommer att olika gränssnitt mot användare har införts för legitimering och underskrift i olika e-tjänster. Använd- arna har därför svårt att känna igen sig och att använda tjänsterna. Det saknas vidare möjligheter för de grupper av identifierade användare som finns t.ex. inom hälso- och sjukvårdens område eller är bärare av tjänstekort av något slag, att använda dessa lösningar i publika tjänster som tillhandahålls av myndigheter. Ytterligare en fråga är hur anställda och uppdragstagare ska kunna legitimera sig för att företräda en organisation. Det är dessutom rimligt att en och samma e-legitimation ska kunna användas för kontakter med hela den offentliga sektorn och i e-tjänster som tillhandahålls av näringslivet. Tjänsterna behöver också kunna användas oberoende av funktionshinder. Det behövs en tydlig målsättning för en svensk infrastruktur på området och en teknisk strategi som går i linje med den utveckling mot bl.a. federationer1 som blivit starkt uttalad efter det att Verva lämnade sin rapport. Delegationen har därför kompletterat under- laget utifrån sin syn på en samordningsfunktions roll och en orientering om vilken inriktning som framstår som lämplig för en svensk infrastruktur inom det område som bör samordnas. Målet för en svensk infrastruktur bör vara att befintlig och ny teknik ska användas för att, på det sätt som är mest effektivt, förse myndigheter och användare med de funktioner som behövs och göra dessa rutiner enkla att förstå och förenliga med gällande rätt. Detta mål bör omfatta lösningar för både fysiska och juridiska per- soner, såväl med svensk som med utländsk hemvist. 1 En identitetsfederation eller kort och gott en federation kan beskrivas som en infrastruktur som gör det möjligt för förlitande parter att ha tilltro till uppgifter om identitet m.m. som lämnas i elektroniska intyg (se avsnitt 7.6.5). Delegationen föreslår därför en strategi för en långsiktigt hållbar användning av e-legitimationer och elektroniska underskrifter. Förslaget innebär i huvudsak att en funktion inom ska upphandla och administrera nödvändiga lösningar för elektronisk identifiering m.m. inom hela den offentliga sektorn. Genom en sådan samordning kan hanteringen av identifiering effektiviseras i myndigheternas e-tjänster. Utöver denna effektivisering av den statliga administrationen föreslås att nuvarande bristande harmoni- sering av den tekniska och praktiska hanteringen åtgärdas genom en federationslösning. Inom ramen för en federation kan också enklare lösningar än PKI-baserade2 e-legitimationer tillhandahållas, där ett sådant skydd anses räcka. En närmare redovisning av skälen för dessa förslag ges i det följande för att bedöma om lösningen kan förväntas leda till en långsiktigt hållbar användning av e-legitimationer, elektronisk identifiering, elektroniska underskrifter och identitetsfederationer. Det finns också en beskrivning av hur lösningen kan genomföras. Här bör noteras att delegationen – när det står om personliga e- legitimationer och e-tjänstelegitimationer – endast avser sådana som samordningsfunktionen godtar för myndighetsområdet, om inte annat framgår av sammanhanget. Delegationen föreslår följande strategi för en långsiktigt hållbar användning av e-legitimationer och elektroniska underskrifter. En nämnd inrättas som ett självständigt beslutande organ inom med uppgift att samordna myndigheternas befattning med e-legitimationer, elektroniska underskrifter och gemensamma elektroniska tjänster (ordning). Nämnden ansvarar för sin verksamhet inför myndighetens ledning, men har ett självständigt ansvar för de beslut som den fattar. 2 Om PKI, se kap 7.6.2. Skälen för delegationens förslag: Det finns en bred enighet om att en funktion behövs för att samordna myndigheternas hantering av elektronisk identifiering och befattning med e-legitimationer, elektroniska underskrifter och anknytande tjänster. På motsvar- ande sätt behövs en samordning av gemensamma elektroniska tjänster, så att de kan utformas på ett enhetligt och juridiskt gångbart sätt. En sådan samordningsfunktion bör bedrivas i myn- dighetsform och inrättas med särskilt hänsynstagande till skyddet för enskildas personliga integritet och skyddet för informa- tionssäkerhet. Med beaktande av den tid det tar och de kostnader det medför att bygga upp en fristående sådan samordningsfunktion bör den knytas till en befintlig myndighet med särskild kompetens på området. Hänsyn bör också tas till behovet av tillgång till regis- teruppgifter så att manipulationer och vilseledanden kan försvåras. På detta område för register, bl.a. över befolkningen. Dessutom utfärdar identitetskort enligt förordningen (2009:284) om identitetskort för folkbokförda i . Funktioner för kontroll i elektronisk miljö av behörighet kan också behöva knytas till en samordningsfunktion. Innehållet i register som och vissa andra myndigheter för över be- höriga företrädare för olika kategorier av juridiska personer blir här av central betydelse. Delegationen föreslår att en sådan samordningsfunktion inrättas som en särskild nämnd under (ordning) med uppgift att samordna myndigheternas befattning med e-legitimationer, elektroniska underskrifter och gemensamma elektroniska tjänster. har lång erfarenhet av att hantera berörda frågor och god kompetens på området som verket för register som blir av betydelse för verksamheten. Några hinder mot samord- ning genom utlämnande av uppgifter till från de publicitetsregister som förs av m.fl. myndigheter torde inte uppkomma. Delegationen har valt att i betänkandet huvudsakligen använda begreppet samordningsfunktion och däri inbegripa såväl den som föreslås som den organisatoriska del av som svarar för de operativa uppgifterna i samord- ningsarbetet och vars verksamhet regleras i arbetsordning eller liknande. 7.4En reglering i författning Regleringen ska i huvudsak bygga på att sluter avtal med utfärdare och andra som tillhandahåller tjänster inom området och att verket tillhandahåller funktioner för identifiering åt anslutna myndigheter. Normgivningskompetens delegeras till samordning beträffande nämndens verksamhet, vilka tjänster för identifiering som ska finnas och godtas av myndigheter samt om den närmare hanteringen. Vissa beteckningar skyddas från sådan användning som kan vilseleda allmänheten. Skälen för delegationens förslag: Myndigheternas befattning med elektronisk identifiering, elektroniska underskrifter och gemensamma elektroniska tjänster bör regleras i författning. Detta gäller för såväl för de funktioner som nämnden tillhandahåller (punkt B 1 i avsnitt.7.6.1). Regle- ringen bör utformas så att dagens komplexa elektroniska hantering hos varje myndighet av funktioner för identifiering, elektronisk underskrift, elektronisk stämpling samt och kontroller härav kan ersättas med centralt tillhandahållna smidiga funktioner, till vilka myndigheterna kan ansluta e-tjänster (punkt B 2 i avsnitt. För detta behövs en struktur som är anpassad till myndigheter- nas sakliga och lokala kompetens. Nämnden ska inte handlägga andra myndigheters ärenden utan endast ge hjälp och stöd för att myndigheter ska kunna införa e-tjänster och för att samverkande kluster av myndigheter ska kunna ta förenklade förfaranden i bruk utan hinder av bristande eller oförenliga lösningar för identifiering eller äkthets- eller behörighetskontroll. Här räcker det inte att enas kring tekniska och administrativa lösningar och vem som ska ta fram dem. En samordning behövs också av de juridiska förutsättningarna, för att villkor i upphand- lingar, vägledningar och riktlinjer m.m. ska kunna ersättas med regler i författning. En redovisning behövs därför av hur funktioner för elektronisk identifiering, elektroniska underskrifter och an- knytande tjänster ska kunna ges en fungerande författningsregle- ring, inom en struktur där en samordningsfunktion dels sluter avtal med tillhandahållare av tjänster för identifiering (s.k. identi- tetsintygsgivare) och utfärdare av e-legitimationer m.fl., dels till- handahåller funktioner för elektronisk identifiering, elektronisk underskrift samt äkthets och behörighetskontroll m.m. åt myndig- heter som ansluts till dessa tjänster (a. och b. i punkt B 2 i avsnitt 7.6.1). En fördel med den föreslagna lösningen är att varje myndighet som tillhandahåller funktioner som stöds av federationstjänster, e- legitimationer och dylikt inte längre behöver sluta avtal med flera olika tillhandahållare av tjänster. Samordningsfunktionen upphand- lar dessa tjänster och tillhandahåller dem åt de myndigheter som ansluts till samordningsfunktionen. Eftersom anslutning sker enligt regler i författning behöver avtal eller andra överenskommelser endast undantagsvis träffas mellan samordningsfunktionen och an- slutna myndigheter. Författningsregleringen och de automatiserade funktioner som samordningsfunktionen tillhandahåller behöver dock utformas så att en till samordningsfunktionen ansluten myndighet i juridisk mening anses tillhandahålla de samordnade funktionerna åt dem som använder myndighetens e-tjänst. Dessa funktioner ska också utformas så att en ansluten myndighet, som tillhandahåller en e- tjänst, i juridisk mening själv anses utföra en åtgärd som vidtas i ett ärende med stöd av samordningsfunktionen (c. i punkt B 2 i avsnitt 7.6.1). Sådana lösningar förekommer redan genom den utkon- traktering som sker inom ramen för den s.k. Infratjänsten3. Dessa upphandlade möjligheter att avropa tjänster löper emellertid ut och lösningen omfattar inte federationstjänster. Genom att endast en myndighet – enligt delegationens förslag – behöver komma överens med berörda privaträttsliga aktörer och sluta avtal med dem blir hanteringen enkel och genomskinlig för övriga aktörer. kan verkningarna av de tekniska kom- plikationer som Verva beskrivit – bl.a. krav på att införa flera olika leverantörsanknutna programvaror och gränssnitt – begränsas till den hantering som sker med stöd av samordningsfunktionen. I denna del bör samordningsfunktionen kunna anpassa de lösningar som anslutna myndigheter ska använda så att endast sam- ordningsfunktionens personal behöver möta mer än ett gränssnitt och en teknik när de brukar funktioner för elektronisk identifie- 3 Infratjänstavtalen utgör ett tjänste- eller (). Avtalen ger tillgång till funktioner i form av tjänster, som behövs för att utveckla och driva e- tjänster. ring, elektroniska underskrifter och kontroll av elektroniska under- skrifter. Detsamma bör gälla för anknytande tjänster som kan komma att upphandlas av samordningsfunktionen. Som ett resultat av samordningen bör också enklare och mera överskådliga regler kunna införas. Regelförenkling behövs på flera plan – dels för vanliga användare av e-tjänster och myndigheter som tillhandahåller dessa e-tjänster, dels för dem som är verk- samma inom området och på detaljnivå behöver veta vad som gäller beträffande olika lösningar. Grundläggande och enkla regler kan genom författningsreglering ges av de frågor som möter vanliga användare. kan regler av detaljerad art göras mera lättillgängliga för tillhandahållare av tjänster och andra aktörer som i detalj har att anpassa sig till den infrastruktur som byggs upp. Förslag bör tas fram till en sådan reglering. Rätt utformad kan den ge stöd för en långsiktigt hållbar användning av funktioner för identifiering och elektroniska underskrifter där anslutna myn- digheter kan ta i bruk de nya funktionerna utan omfattande förhandlingar och avtalsslut. Frågan om avtalsslut med utfärdare m.fl. kan begränsas till de mellanhavanden som sam- ordningsfunktionen avses ha med leverantörer av tjänster på området (d. i punkt B 2 i avsnitt. Eftersom samordningsfunktionen föreslås utgöra en del av kommer anslutna myndigheter under regeringen att utgöra delar av samma juridiska person. Även av detta skäl framstår det som naturligt att inte varje myndighet ska behöva sluta avtal med varje utfärdare om tjänster för identifiering och underskrift. Förslag till författningsreglering av området bör utformas utifrån en struktur av beskrivet slag. Verva har övervägt en författningsreglering utifrån två alternativ och förordat att föreskrifter för såväl kvalificerade certifikat som certifikat för att skapa avancerade elektroniska signaturer ska ges i signaturlagen4 eller – i andra hand – i förvaltningslagen5. Enligt delegationens mening bör en reglering dock utformas från andra utgångspunkter. Det finns skillnader i affärsmodell mellan kvalificerade certifikat enligt signaturlagen, som tillhandahållas i s.k. öppna system, respektive dagens e-legitimationer som tillhandahålls så att förlitande part behöver sluta avtal med utfärdaren; i s.k. slutna system. Federationstjänster kan på liknande 4Lag (2000:832) om kvalificerade elektroniska signaturer (signaturlagen). 5Förvaltningslag (1986:223). sätt sägas utgöra slutna system. Verva har visserligen i sin rapport (fotnot 21 s. 30) hävdat att utgivningen av Svensk e-legitimation inte skulle utgöra ett slutet system, trots att avtal om spärrkontroll m.m. kan förekomma mellan utfärdare och förlitande part (dvs. Regeringen synes dock ha gjort motsatt bedömning i motiven till signaturlagen (prop. 1999/2000:117 s. 35– 36). Till detta kommer dels att signaturlagen inte reglerar legitime- ring och identifiering utan endast frågor rörande underskrifter (se remissvar), dels de risker för tröghet i det fortsatta utvecklingsarbetet som kan uppkomma om Svensk e-legitimation skulle regleras i signaturlagen även för fall där lösningarna inte uppfyller nivån för kvalificerat certifikat och kvalificerad elektronisk signatur (se remissvar av Statskontoret). Enligt delegationens mening bör en författningsreglering istället, så långt det är möjligt, ges på lägre nivå än i lag; i förordning och genom myndighetsföreskrifter, efter delegation av normgivnings- kompetens till samordningsfunktionen. Utvecklingen på området för e-legitimationer och elektroniska underskrifter är snabb. Detaljerade regler kan därför knappast ges i lag om vilka e-legitimationer och federationstjänster m.m. som ska finnas. Endast i den mån det är nödvändigt till följd av reglerna om normgivningskompetensens fördelning bör en lagreglering väljas,6 t.ex. om grunderna för kommunernas verksamhetsformer skulle beröras eller om ett skydd för vissa beteckningar skulle behövas i lagform. Delegationen föreslår därför att en grundläggande regler ges i förordning men att regeringen i övrigt – utifrån beslut om inriktning för verksamheten – överlåter åt samordningsfunktionen att meddela föreskrifter om bl.a. vilka federationstjänster, e-legi- timationer, e-tjänstelegitimationer, servercertifikat och stämpel- certifikat som ska användas på myndighetsområdet och om hanteringen i övrigt. En rätt att meddela föreskrifter bör även i övrigt delegeras till samordningsfunktionen. Dessutom bör vissa beteckningar skyddas från användning som kan vilseleda allmänheten. Den tid som stått till buds har varit kort. Delegationen har emellertid funnit det centralt att lägga fram förslag till övergripande regler i förordning utifrån tydliga ställningstaganden till in- riktningen för den fortsatta samordningen. 6 Regler i lag har föreslagits av om bl.a. elektroniska underskrifter; se betänkandet Elektronisk dokumenthantering (SOU 1996:40) och det där framlagda förslaget till ändring i förvaltningslagen. Förslaget har emellertid inte lett till lagstiftning. därmed införas utan tidsutdräkt. Utöver den redovisade strukturen – där samordningsfunktionen sluter avtal med utfärdare m.fl. om tjänster och tillhandahåller dessa åt anslutna myndigheter som i sin tur svarar för dessa funktioner gentemot användare av e-tjänster – behöver alltså en tydlig inriktning och avgränsning beslutas för det område som ska samordnas. I linje med ett sådant beslut om inriktning kan en reglering in- föras som från tid till annan kan genomföra den lösning som regeringen bestämt. Viss ledning torde kunna hämtas från redan utfört arbete inom ramen för det s.k. och de vägledningar som antagits av den för- valtning (e-nämnden) som tidigare hanterat berörda frågor; se bl.a. e-nämndens grundläggande vägledning för myndigheternas användning av e-legitimationer och elektroniska underskrifter (e- nämnden 04:02). Dessutom bör vissa beteckningar skyddas från användning som kan vilseleda allmänheten (f. i punkt B 2 i avsnitt 7.6.1).