ku-anm · H5A1dnr105 · 2017-09-21 00:00:00 — HANS () Dnr 105-2017/18 Granskning av den tidigare regeringens ansvar för bristande säkerhetsrutiner och rutinmässiga avsteg från säkerhetsföreskrifter i samband med Transportstyrelsens IT-verksamhet överlämnar en utredning om myndigheternas outsourcing till regeringen med slutsatsen att svenska myndigheter borde köpa mer av sina IT-tjänster externt. Myndigheten beräknar att statens IT-kostnader uppgår till , den största kostnaden i staten efter löner och lokaler. I en skrivelse till om skriver regeringen att "det är önskvärt att en större del av myndigheternas IT-behov tillfredsställs med hjälp av outsourcing". Av skrivelsen framgår också att regeringen anser att "normalt inte ligger i myndigheternas kärnuppgifter att själva ta fram it-tjänster". Regeringen konstaterar vidare att det är viktigt att frågor kring informationssäkerhet tas på allvar i samband med outsourcing. Regeringens skrivelse behandlas av finansutskott i betänkande 2011/12:FiU2 och en i det närmaste enig riksdag ställer sig bakom regeringens bedömning rörande vikten av att frågor kring informationssäkerhet tas på allvar i samband med outsourcing. Vid den här tidpunkten hanteras Transportstyrelsens IT-tjänster av . avbryter Transportstyrelsen det samarbetet och meddelar att man ämnar gå ut med en upphandling av IT-driften. Transportstyrelsen hanterade en lång rad uppgifter som om de röjs kan vara integritetskränkande för enskilda och även inverka menligt på rikets säkerhet. Till dessa uppgifter hör efterlysta fordon, fordonsregistret (som innehåller information om personer med skyddad identitet), körkortsregistret, belastningsregistret, misstankeregistret, känslig information om broar, , vägar och hamnar samt kvalificerade skyddsidentiteter för svenska hemliga agenter som arbetar för polisen, och Försvarsmaktens hemliga organ Kontoret för särskild inhämtning (KSI). avslöjade att den ställföreträdande generaldirektören beslutade att göra avsteg från Transportstyrelsens riktlinjer om krav på informationssäkerhet. Gramenius meddelade muntligen sitt beslut och fattade ett formellt beslut . Bakgrunden är att det parallellt med överföringen av IT-driften från till också pågick ett byte av datorsystem. Projektet handlar (enligt ) om att all infrastruktur i den gamla stordatorn byttes ut och att datorns källkod översattas till ett modernare programmeringsspråk. Av interna dokument framgår att det bland annat rör information som är av "sådan natur att de klassas som hemliga uppgifter", exempelvis uppgifter som kan identifiera hemlig underrättelsepersonal. Trots att regeringen i en skrivelse till påtalade att det är viktigt att frågor kring informationssäkerhet tas på allvar när beslut om outsourcing av IT-tjänster fattas och att ställt sig bakom denna bedömning så är frågan om regeringen verkställde beslut En snabb genomgång av de regleringsbrev som regeringen har utfärdat till Transportstyrelsen visar att det inte funnits särskilda uppdrag från regeringen till myndigheten att se över informationssäkerheten och säkerställa denna vid outsourcing. I en tidigare anmälan bad jag att närmare granska vilken information den dåvarande regeringen , främst infrastrukturminister , hade om den planerade upphandlingen och vilka diskussioner som fördes på departementet och inom regeringen med anledningen av denna. Med anledning av de nya uppgifter som framkommit om Transportstyrelsens bristande hantering av säkerhetsfrågor finns det även anledning för att pröva om regeringen , särskilt statsministern, underlåtit att verkställa beslut om att ta hänsyn till informationssäkerhet i samband med outsourcing och brustit i ledning och tillsyn av Transportstyrelsen och arbetet med säkerhetsfrågor på regeringens myndigheter. Varför har inte uppdrag rörande informationssäkerhet i samband med outsourcing (som fanns med i beslut) funnits i regleringsbreven? Har regeringen på annat sätt försäkrat sig om att arbete med informationssäkerhet pågick? I sådana fall, hur? bör alltså granska om den tidigare regeringen brustit i ledning och tillsyn av Transportstyrelsen och arbetet med ITsäkerhetsfrågor på regeringens myndigheter.