sou · H5B323 · 2017-03-15 00:00:00 — anförde att det inte är den formella ut- formningen av vare sig den svenska förvaltningsmodellen eller re- sultatstyrningen som sådan som hindrar digitaliseringen från att få genomslag i statsförvaltningen. Problemet hänger snarare ihop med hur och regeringen – inom ramen för denna modell – har valt att tillämpa sin styrning av förvaltningen.5 Även den fundamentala frågan om myndigheternas kompetens och förmåga att ta tillvara digitaliseringens möjligheter lyftes fram. Att prata om, och ställa krav på, digitalisering om myndigheterna sak- nar förutsättningar att bedriva verksamhetsutveckling på ett effektivt och kvalitativt sätt riskerar att leda till att det önskade resultatet inte kan nås.6 konstaterade att myndigheternas utveck- ling (och i samverkan mellan aktörer) ofta utgår från ett inifrån-per- 3RiR 2016:14, Den offentliga förvaltningens digitalisering – En enklare, öppnare och effekti- vare förvaltning? 4Regeringsbeslut , N2015/3210/EF, Uppdrag att ge stöd till regeringens satsning på e-förvaltning. 5ESV 2016:25, , Uppföljning och analys. 6ESV 2016:25, , Uppföljning och analys, s. 39. Ett samlat ansvar – bedömningar och förslag Det är interna effektiviseringar eller interna kvalitetsaspek- ter som styr utvecklingen i stället för en utveckling för att skapa tjänster och processer som ger medborgar- och samhällsnytta. bedömde att de flesta myndigheterna befinner sig på en relativt låg mognadsnivå när det gäller digitalisering och därför behöver stöd. I sitt betänkande Organisering av framtidens e-förvaltning bedömde E-delegationen att den svenska förvaltningsmodellen med relativt självständiga myndig- heter och kommunalt självstyre är så fast etablerad att inte ens e-för- valtningen kan frigöra sig från den. Erfarenheter visar att det i stället är viktigt att hitta former för en funktion som bygger på samarbete, med- inflytande och koordinering snarare än styrning.7 Därför föreslog E-delegationen att samordningen av de gemen- samma e-förvaltningsfrågorna skulle föras in i en medlemsorganisa- tion liknande kollegiemodell. För att stärka sam- verkan med den statliga och kommunala sektorn borde den nya organisationen upprätta ett särskilt samarbetsorgan med den kom- munala sektorn. E-delegationen föreslog att en utredare skulle utses för att utfor- ma regler och andra beslut som skulle krävas, föreslå former för sam- ordningen inom hela den offentliga sektorn och lämna förslag på de uppgifter som skulle tillföras funktionen. Vidare föreslog delegatio- nen, för att undvika avbrott, att E-delegationens mandat skulle fort- sätta till dess en ny organisation kunde överta den nya verksamheten. I sitt slutbetänkande8 anförde Digitaliseringskom- missionen att behöver en myndighet för digitalisering. En myndighet som kontinuerligt och långsiktigt skulle kunna arbeta med digitaliseringsfrämjande arbete i form av kunskapsuppbyggnad, 7SOU 2013:75, Organisering av framtidens e-förvaltning, betänkande av E-delegationen, s. 13. 8SOU 2016:89, För digitalisering i tiden, slutbetänkande av . Ett samlat ansvar – bedömningar och förslag omvärldsanalyser, policyutveckling och stöd för utveckling av kom- petens för det digitala samhället. Dessutom skulle myndigheten ha möjlighet att vara operativ genom att driva projekt. Kommissionen slog fast att det nu är dags att lägga fast en stabil och långsiktig organisation för att främja digitaliseringen av Sverige.9 För att digitaliseringens möjligheter skulle kunna användas i såväl offentliga verksamheter som i näringsliv, civilsamhälle och av indivi- der borde myndigheten ha ansvar för det kontinuerliga statliga enga- gemanget med följande uppdrag; –systematisk kunskapsuppbyggnad om samtidens och framtidens sakfrågor, –analys för att identifiera nytta, värde och utmaningar, –stöd för myndigheter och kommuners utvecklingsarbete, –utveckling av strategisk samverkan, samt –framtagande av policyunderlag av olika slag. Kommissionen anförde att digitaliseringen gör att det offentliga blir alltmer beroende av samverkan med företag för innovationer och att gemensamt utveckla produkter och tjänster. Därför behöver staten, landstingen och kommunerna vidareutveckla arbetssätt och proces- ser för att kunna hantera många aktörer med olika intressen. Kom- missionen argumenterade att en myndighet skulle kunna ha ett an- svar för att ta initiativ till och underlätta sådan samverkan inom olika områden och se till att nödvändig kunskapsuppbyggnad, samverkan och åtgärder kommer till stånd.10 Ända har påtalat att det saknas en tydlig styrning från regeringen när det gäller e-förvaltningen. Även brist på samordning mellan ansvariga myndigheter påtalades . 9SOU 2016:89, För digitalisering i tiden, slutbetänkande av . 10SOU 2016:89, För digitalisering i tiden, slutbetänkande av . Ett samlat ansvar – bedömningar och förslag cennium senare konstaterade att ingen har tagit det helhetsansvar som behövs samt att det saknas ett institutionellt ram- verk för att möjliggöra digitalisering. påtalade även att det har saknats långsiktig finansiering, vilket inte har gynnat ut- vecklingen. instämmer i att det är bristen på styrning från regeringen som har varit avgörande för utvecklingen. Myndig- heterna har inte haft ett användarperspektiv för att skapa medborgar- och samhällsnytta utan har fokuserat på interna effektiviseringar. E-delegationen förespråkade en funktion som bygger på sam- arbete, medinflytande och koordinering snarare än styrning men avslutade sitt arbete 2016 med att före- slå att det skulle skapas en myndighet för digitalisering. Utredningen menar att valet att delegera ansvaret för arbetet med e-förvaltning till myndigheterna har gjort att har halkat efter jämförbara länder när det gäller den digitala förvaltningen. Reger- ingen har inte förtydligat vilka uppdrag myndigheterna har när det gäller digitalisering. 4.2En nationell digital infrastruktur Utredningen bedömer: Politiken för digital förvaltning bör ut- formas mot bakgrund av dess roll i den nationella digitala infra- strukturen. En prioriterad fråga är vilket som ska vara det offent- liga åtagandet i denna infrastruktur, både i principiella termer och vilka tjänster som det offentliga ska tillhandahålla. För digitalisering och statlig e-förvaltning har beslutat om vissa mål och regeringen om andra. Målet för den statliga förvaltningspolitiken är en innovativ och samverkande statsförvaltning som är rättssäker och effektiv, har väl utvecklad kvalitet, service och tillgänglighet och som därigenom bidrar till utveckling och ett effektivt EU-arbete.11 Målet för it-politiken är att ska vara bäst i världen på att använda digitaliseringens möjligheter.12 2009/10:175, bet. 2009/10:FiU38, rskr. 2009/10:315. 2011/12:1, utg. omr. 22, bet. 2011/12:TU1, rskr. 2011/12:87. Ett samlat ansvar – bedömningar och förslag För det it-politiska målet finns två delmål beslutade av . Det ena delmålet är att elektroniska kommunikationer ska vara effektiva, säkra och robusta samt tillgodose användarnas behov. De elektroniska kommunikationerna ska i första hand tillhandahållas genom en väl fungerande marknad, men staten ska ha ett ansvar på områden där allmänna intressen inte enbart kan tillgodoses av mark- naden.13 Det andra delmålet är att ska ha bredband i världsklass. Alla hushåll och företag bör ha goda möjligheter att använda sig av elektroniska samhällstjänster och service via bredband.14 E-delegationen föreslog ett vidgat begrepp för e-förvaltningen. Produktivitet och effektivitet skulle även fortsättningsvis vara viktiga utgångspunkter i e-förvaltningen, men den politiska målsättningen borde breddas till att innefatta samhällets samlade utvecklings- förmåga och innovationskraft. En förvaltning med hög omställnings- förmåga och flexibilitet skulle eftersträvas. Den skulle ha en förmåga att kontinuerligt utvecklas efter medborgarnas, företagarnas, EU:s och regeringens behov. , menade delegationen, borde inte längre betraktas som en intern angelägenhet för myndigheterna, utan som en gemensam resurs som bör ställas till förfogande för den övergripande samhällsutvecklingen. Den ökade internetkompetensen hos medborgare och företag i kombi- nation med myndigheternas vilja att samverka med tredjepartsaktörer, samt dessa aktörers efterfrågan och kapacitet för att återutnyttja offentlig information och offentliga e-tjänster, pekar i riktning mot en utökad samverkan mellan olika typer av aktörer med det gemensamma syftet att utveckla e-tjänster. I en sådan utveckling ses medborgare och företagare inte bara som ”skattebetalare” eller ”kunder” utan som kompetenta medborgare – i samma betydelse som medarbetare eller medverkare.15 Delegationen föreslog att begreppet den tredje generationens e-för- valtning skulle användas på detta utvidgade perspektiv. Den dåvarande regeringen tog fram en digitaliseringsstrategi. I dokumentet It i människans tjänst – en digital agenda för valde regeringen att skilja på hård och mjuk digital infrastruktur. 2014/15:1, utg. omr. 22, bet. 2014/15:TU1, rskr. 2014/15:86. 2009/10:193, utg. omr. 22, bet. 2009/10:TU18, rskr. 2009/10:297. 15SOU 2009:86, Strategi för myndigheternas arbete med e-förvaltning. Ett samlat ansvar – bedömningar och förslag Vid sidan om den hårda infrastrukturen, t.ex. kommunikations- nät, behövdes, enligt regeringen, resurser i form av information som gjorts tillgänglig, grundläggande tjänster och funktioner. Den mjuka infrastrukturen är ett fundament för att uppnå interoperabilitet, dvs. att få system, organisationer eller verksamhetsprocesser att fungera tillsammans och kunna kommunicera med varandra genom att över- enskomna regler följs. Regeringen avsåg här bland annat standarder såsom ledningssystem för informationssäkerhet. I betänkandet Så enkelt som möjligt för så många som möjligt – den mjuka infrastrukturen på väg skrev E-delegationen att en starkt decentraliserad förvaltning med självständiga myndigheter har stora behov av förvaltningsgemensamma funktioner för att möjliggöra att existerande myndighetsspecifika informationssystem kan kom- municera med varandra. En mer standardiserad nationell mjuk in- frastruktur skulle leda till besparingar eftersom varje myndighet inte behövde utveckla egna funktioner eller tjänster. Den nya mjuka infrastrukturen sågs som en nödvändighet för att förvalt- ningen skulle kunna erbjuda privatpersoner och företagare tjänster anpassade efter deras behov. Det vill säga tjänster baserade på livs- händelser snarare än förvaltningens interna organisation. En sådan infrastruktur skulle även underlätta för att leva upp till sina åtaganden inom EU. Konsultföretaget har haft uppdrag att bl.a. ta fram en definition och en kartbild för den nationella digi- tala infrastrukturen. Ramböll föreslog följande definition av natio- nell digital infrastruktur, NDI: Den nationella digitala infrastrukturen (NDI) är de digitala lösningar och standarder som regeringen beslutat ska utgöra grunden för hur det offentliga utbyter information och tillhandahåller digitala tjäns- ter. NDI skapar långsiktiga förutsättningar för offentliga och privata aktörer att arbeta effektivt, samordnat och innovativt i utvecklingen av det digitala . Ytterst syftar NDI till att göra vardagen enklare för medborgare och företag.16 Ramböll föreslog att de bärande principerna för NDI ska vara lång- siktighet i styrning och finansiering, med tydligt utpekat utvecklings- och förvaltningsansvar samt förstärkning av den personliga integrite- ten genom krav på hög tillgänglighet, transparens och informations- Fi2016/03059/DF. Ett samlat ansvar – bedömningar och förslag Inriktningen bör vara att möta hela eller stora delar av för- valtningens behov, betydande besparingar eller kvalitetsförbättringar för förvaltningen och samhället i stort, samt utformning i överens- stämmelse med för den digitala inre marknaden. Utredningen menar dock att det finns anledning att invända mot Rambölls definition. För det första är det alltför begränsande att låta begreppet nationell digital infrastruktur enbart omfatta av regeringen beslutade lösningar. För det andra är det inte heller rim- ligt att, givet de av beslutade it-politiska målen, begränsa begreppet till att enbart avse vad som är politiskt beslutat. En stor del av såväl den hårda som den mjuka infrastrukturen har etablerats av aktörer på marknaden. BankID, som grundar sig på ett samarbete mellan bankerna, är den dominerande leve- rantören av e-legitimation inom såväl den privata som den offent- liga sektorn. E-postboxen var en lösning för säker e-post, skapad av Posten 2001, men som lades ned på grund av bristande efterfrågan. Den digitala brevlådan Brevo startades främst för att skapa en kanal för att säkert sända meddelanden om kreditupplysning till konsu- menterna. Företaget köptes sedermera upp av Kivra som för när- varande är den största leverantören av digitala brevlådor. Enligt utredningen behöver inte en funktionellt användbar de- finition av nationell digital infrastruktur vara precis, snarare tvärt- om. Om definitionen ska överensstämma med det i verkligheten observerbara och vara en grund för politiska prioriteringar måste den ge utrymme för marknadsaktörer och även innefatta sådant som inte är politiskt beslutat. I stället för att införa en politisk definition av vad som ska anses ingå i den nationella digitala infrastrukturen är det angeläget att be- skriva vilka roller offentliga aktörer ska ha och vilka digitala tjäns- ter de ska erbjuda samt, inte minst viktigt, vad som ska ingå i det offentliga åtagandet beträffande den nationella digitala infrastruk- turens komponenter. I den nationella digitala infrastrukturen har den statliga förvalt- ningen vissa roller, samt kommunala och privata aktörer andra. Det kan vara praktiskt att betrakta vissa funktioner snarare som en del- mängd i form av en statlig infrastruktur som främst har andra stat- liga aktörer som brukare. En annan delmängd är offentlig infra- struktur som är gemensam för staten och kommunerna. Nationella digitala tjänster är därmed att se som sådana tjänster som är en del Ett samlat ansvar – bedömningar och förslag av den nationella digitala infrastrukturen och som därmed har en an- vändning både inom och utanför den statliga och den kommunala sektorn. Staten har dock flera roller i den nationella digitala infrastruk- turen än att bara vara utförare av tjänster. Staten kan vara en möjlig- görare, dvs. tillhandahålla tjänster som gör digitala transaktioner mellan enskilda möjliga, t.ex. genom att stödja utbyggnaden av den fysiska infrastrukturen. Staten kan vara en kund som efterfrågar digi- tala tjänster. Genom detta kan man stimulera utveckling och inno- vationer. Som kund kan staten också uppfattas som en garant, dvs. en aktör som skapar tilltro till tjänster. Det staten köper, det kan man lita på. Staten kan vara en aktiv garant genom att uppträda som regulator. Som synes är rollerna inte ömsesidigt uteslutande utan kan kombineras. Det säger sig självt att frågan om vilken roll staten ska spela i olika avseenden inom den nationella digitala infrastrukturen inte är en fråga om förvaltning som kan delegeras till myndig- heterna utan hör hemma på politisk nivå. Nyttiggörandet av ny teknik väcker frågor om arbetssätt och organisation. Översatt till den offentliga förvaltningen betyder det att det blir aktuellt att ta ställning till fördelning av medel, lagstift- ning, myndighetsstruktur och myndigheternas uppdrag. Att stats- makterna inrättat Statens servicecenter och visar att digitaliseringen påverkar statens organisation. Digitaliser- ingen lyfter också principiella och viktiga frågor om var gränsen går för det offentliga åtagandet. Det är inte säkert att tjänster ska ut- föras bara för att det är möjligt, eller nästan gratis att utföra dem. Det är troligt att en kommande frågeställning kan vara hur offentlig verksamhet ska använda den information som finns till- gänglig om individen för att uppmana denna att utnyttja olika tjäns- ter. Ytterligare en fråga kan vara gränsen mellan statlig och kommu- nal verksamhet när t.ex. kommunala ärenden handläggs med stöd av statliga informationssystem. Ett samlat ansvar – bedömningar och förslag 4.3Informationssäkerhet, integritetsskydd och personuppgiftsansvar i digitaliseringen av den offentliga sektorn Utredningen bedömer: Säkerhetsfrågorna behöver integreras i digitaliseringen av den offentliga sektorn. Stödet till statliga och kommunala myndigheter behöver stärkas i dessa frågor. Detta inte minst för att informationssäkerhet täcks in av flera olika lagar som bitvis överlappar varandra. Detsamma kan sägas om ansvaret för de myndigheter som har uppdrag inom områdena informa- tionssäkerhet, integritetsskydd och personuppgiftsansvar. Sam- tidigt skiljer sig myndigheternas befogenheter betydligt. Frågor om personlig integritet, informationssäkerhet och person- uppgiftsansvar har under utredningens arbete kommit upp i många sammanhang. Det är avgörande för att digitaliseringen ska kunna genomföras på ett ändamålsenligt sätt att det går att lita på att män- niskors personliga integritet skyddas mot kränkning genom oakt- sam användning av personuppgifter. Det är också avgörande att myndigheternas informationssystem är uppbyggda för att klara av en ökad användning och är motståndskraftiga mot eventuella an- grepp. är det svårt att hitta entydiga svar på frågan om hur informationssäkerhetsansvar förhåller sig till personuppgiftsansvar. Mot bakgrund av att bedrägeribrotten ökar och att denna typ av brottslighet ofta förekommer via internet eller genom bank- eller kontokortsbedrägerier17 finns det ett gemensamt samhällsintresse av att stärka säkerheten i den digitala utvecklingen så mycket som möjligt. Även när det gäller myndigheter och samhällsfunktioner som har kommit långt med digitaliseringen finns det säkerhetsfrågor som behöver adresseras. Ett exempel som visar efterfrågan var under E- när cirka 260 besökare från offentlig och privat sektor interaktivt fick svara på vad de ansåg var den viktigaste frågan kring e-legitimering . Säker- heten bedömdes överlägset vara viktigast.18 17http:///bra/brott-och-statistik/bedragerier-och-ekobrott.html, . 18http:///newsletterweb/44465F467749445D4771434A59/4746594476474 05E427347465A43, . Ett samlat ansvar – bedömningar och förslag delas ansvaret för frågorna om informationssäkerhet och per- sonlig integritet mellan olika myndigheter som har olika perspektiv och förhållningssätt till hur frågorna ska behandlas beroende på sina respektive uppdrag. Enligt utredningens mening saknas det en samordnande funktion som kan ansvara för att dessa aspekter beaktas när genomför digitaliseringen av den offentliga förvaltningen. Informationssäkerhet kan beskrivas som de åtgärder som vidtas för att hindra att information läcker ut, förvanskas eller förstörs och för att informationen ska vara tillgänglig när den behövs. Möjliga säkerhetsåtgärder är att införa en viss policy, rutin, process, organisa- tionsstruktur eller olika mjuk- och hårdvarufunktioner. Säkerhets- arbetet kan också innefatta att utforma, införa, övervaka, granska och förbättra dessa åtgärder för att säkerställa att organisationens säkerhets- och verksamhetsmål uppnås. I har sju myndigheter gemensamt skapat en webbplats, , som erbjuder ett sammanhållet och praktiskt stöd för systematiskt informationssäkerhetsarbete.19 På webbplatsen beskrivs i korthet att information behöver skyd- das så: att den alltid finns när vi behöver den (tillgänglighet), att vi kan lita på att den är korrekt och inte manipulerad eller för- störd (riktighet), att endast behöriga personer får ta del av den (konfidentialitet), och att det går att följa hur och när informationen har hanterats och kommunicerats (spårbarhet). Vidare förklaras på webbplatsen att informationssäkerhet omfattar både administrativa rutiner med policys och riktlinjer samt tekniskt skydd med bland annat brandväggar och kryptering. 19 är en gemensam satsning av Myndigheten för samhällsskydd och beredskap, Försvarsmakten, , , Post- och tele- styrelsen, Säkerhetspolisen och . Myndigheterna har alla ett särskilt ansvar för samhällets informationssäkerhet och ingår i Samverkansgruppen för informationssäkerhet (Samfi). MSB avsätter resurser för ett Samfi-kansli. Övriga Samfi-myndigheter bidrar med re- surser vid behov och efter förmåga. Ett samlat ansvar – bedömningar och förslag om att ta ett helhetsgrepp och skapa en fungerande långsiktig pro- cess för att ge en organisations kritiska information det skydd den förtjänar.20 Myndigheten för samhällsskydd och beredskap, MSB, har ett sär- skilt ansvar för informationssäkerhetsfrågor inom den offentliga förvaltningen. MSB ska stödja och samordna arbetet med samhällets informationssäkerhet samt analysera och bedöma omvärldsutveck- lingen inom området. I detta ingår att lämna råd och stöd i fråga om förebyggande arbete till andra statliga myndigheter, kommuner och landsting samt företag och organisationer. MSB ska lämna en rapport till regeringen med en sam- manställning av de incidenter som rapporterats in till MSB, Säker- hetspolisen och Försvarsmakten som gäller informationssäkerhet. MSB ska även rapportera till regeringen om förhållanden på in- formationssäkerhetsområdet som kan leda till behov av åtgärder på olika nivåer och områden i samhället. MSB ska dessutom ansvara för att har en nationell funk- tion med uppgift att stödja samhället i arbetet med att förebygga och hantera it-incidenter. agera skyndsamt vid it-incidenter genom att sprida information samt vid behov arbeta med samordning av åtgärder och med- verka i det arbete som krävs för att avhjälpa eller lindra effekter av det inträffade, återrapportera till berörda aktörer i samband med att en it-inci- dent har rapporterats, samverka med myndigheter med särskilda uppgifter inom infor- mationssäkerhetsområdet, och vara kontaktpunkt gentemot motsvarande funktioner i andra länder samt utveckla samarbetet och informationsutbytet med dessa.21 2111 a–b §§ förordningen (2008:1002) med instruktion för Myndigheten för samhällsskydd och beredskap. Ett samlat ansvar – bedömningar och förslag MSB:s vision och önskemål Enligt MSB behöver informationssäkerhetsfrågorna inom den offentliga förvaltningen lyftas till ledningsnivå. På samma sätt som ledningen i organisationen behöver styra och tillsätta resurser för arbetet med att införa e-legitimationer och e-underskrifter behöver ledningen se till att säkerhetsfrågorna beaktas. Ett ledningssystem för informationssäkerhet () är ett sätt för organisationens led- ning att på ett systematiskt sätt styra arbetet med informationssäker- het i syfte att planera, genomföra, kontrollera, följa upp, utvärdera och förbättra säkerheten i verksamhetens informationshantering. Skyddet för e-tjänster och stödsystem och tillhörande infrastruktur är en del i detta arbete.22 Statliga myndigheter är skyldiga att bedriva ett systematiskt och riskbaserat informationssäkerhetsarbete med stöd av ett lednings- system för informationssäkerhet.23 Samtliga organisationer som han- terar information som behöver skyddas avseende konfidentialitet, riktighet, tillgänglighet och spårbarhet har dock, enligt MSB, behov av ett utformat för att passa den egna verksamheten. Som ett första steg behöver myndigheten klassificera den infor- mation som hanteras med utgångspunkt i konfidentialitet, riktighet och tillgänglighet i olika nivåer utifrån vilka konsekvenserna kan bli om skyddet brister. Klassificeringen kan även omfatta spårbarhet, eller andra aspekter, där så behövs. Därefter behöver de hot som riktas mot information, system och tjänster identifieras och analy- seras för att på så sätt kunna bedöma aktuella risknivåer. Utifrån informationsklassificeringens resultat och den genom- förda riskanalysen identifieras och vidtas därefter de tekniska och organisatoriska åtgärder som krävs för att uppfylla skyddsbehovet.