bet · H501KU20d3 · 2018-01-01 00:00:00 — (C): informerades Justitie- departementet i ett brev från om att hade framfört krav på säkerhet- shöjande åtgärder på Transportstyrelsen på grund av att säkerhetsskyddad information från Transportstyrelsen var på väg att sändas utomlands för databehandling. , , beslutade regeringen om att införa krav på it-incidentrapportering för samtliga statliga myndigheter. I det pressmeddelande som går ut är det inrikesminister som uttalar sig. Var inte inrikesministern informerad av någon på om säkerhetsproblemen på Transportstyrelsen när detta beslut togs? Jag ser ju ett väldigt nära samband mellan brevet från och detta, både om man ser det tidsmässigt och när det gäller hur man uttrycker sig. Det står nämligen att det bland annat rör sig om allvarliga incidenter och informationssystem där hemliga uppgifter som rör rikets säkerhet behandlas, vilket ju har nära anknytning till vad som hände på Transportstyrelsen. Hade ingen då informerat inrikesministern om vad som hänt? : Herr ordförande! Tack, ledamoten, för frågan! Svaret är nej. Jag vill också understryka att ledamoten är felinformerad om den obligatoriska it-incidentrapporteringens bakgrund och syfte. Jag har inhämtat att det här är tredje eller fjärde gången ställer den här frågan i en utfrågning, och han har fått samma svar tidigare. Men jag ska gärna upprepa de tidigare svaren. Den obligatoriska it-incidentrapporteringen var något som uppmärksammade saknades , alltså vid det här laget. Det handlar om angrepp mot it-system och att de som råkar ut för sådana angrepp ska anmäla det till en speciell funktion, som senare kom att bli CERT- funktionen vid MSB, Myndigheten för samhällsskydd och beredskap. Det är alltså helt väsensskilt från det som har hänt vid Transportstyrelsen och har inget samband. När vi presenterar att vi ska göra detta är det slutet på ett långt arbete, ett arbete som jag naturligtvis önskar att den tidigare, borgerliga regeringen hade inlett när riktade allvarlig kritik mot det it-säkerhetsarbete som den tidigare, borgerliga regeringen gjorde. (C): Uppfattar inte inrikesministern det som konstigt att han inte själv fick information om brevet från , som gick till ? Det var ju ändå ganska allvarlig information i detta. Fungerade inte informationen inom departementet? Som jag uppfattar det är det väl en skyldighet för tjänstemännen att rapportera uppåt om sådant som uppfattas som viktigt och allvarligt? Ordföranden: Om man ska vara helt korrekt gick väl brevet till Transportstyrelsen, men blev via telefonsamtal upp- märksammat på att brevet hade sänts. Men i vart fall fanns i Justitiedeparte- mentet information om att brevet hade sänts, i omedelbar anslutning till att det hade avsänts. : Herr ordförande! Tack för korrigeringen av ledamotens fråga. Det är helt riktigt som ordföranden påpekar: Det här var ett brev som sändes till Transportstyrelsen. Den operativa chefen vid ringer upp den ansvariga handläggaren för att berätta om att brevet har sänts. kommer Säkerhetspolisen och har en information, då man väljer att inte ta upp detta. Detta säger väl en del i frågan. Jag tror att jag med detta besvarade ledamotens fråga. (C): Jag uppfattar det som om att fick del av brevet . Det är min uppfattning. : Herr ordförande! Tack, ledamoten, för frågan! Det stämmer att fick information om att brevet hade skickats. Det är också den informationen som ordföranden redogjorde för. (C): Om man får en sådan information, begär man i så fall inte att få brevet? Jag uppfattar det som att ni hade fått del av brevet. Är det inte korrekt? : Herr ordförande! Man ska akta sig för att svara på frågor om man inte har fullödig information. Jag kan inte svara på vilket datum brevet i så fall kom till , men jag utgår från att konstitutions- utskottets granskning antingen har gett svar på den frågan eller kommer att ge svaret på den. (L): Tack, , för att du närvarar här! Vi försöker, precis som du själv började med att säga, dra goda slutsatser av detta så att det inte återupprepas. Detta kan vi väl ha gemensamt, oavsett vilken sida av vattnet vi sitter på – i eller i . var ju här i utfrågningen, och hon sa ungefär så här: Har jag inte haft rätt information vid rätt tillfälle får jag ta det på mig. Hon var väldigt noggrann med detta. I linje med det resonemanget, är du ansvarig för att du inte fick information tidigare? : Herr ordförande! Jag anser att jag har fått information vid de tillfällen jag skulle ha fått information. Därmed finns det ingen anledning för mig att spekulera i vad som eventuellt skulle kunna ha gått fel. (L): Det verkar som det är ganska många som har fått information men att den antingen inte har förståtts där den har mottagits eller sedan förmedlats vidare till rätt instans, kan man väl redan nu dra som slutsats. En annan fråga som vi har haft uppe ett antal gånger är att statsministern ju insåg att problematiken inte bara ligger på Transportstyrelsen utan också inom regeringen. Han lovade då att det skulle göras en noggrann genomlysning av med anledning av detta. På direkta frågor från KU har varken eller uppgett att de fått några följd- frågor inom ramen för denna genomlysning. Har fått några sådana frågor? : Herr ordförande! Tack, ledamoten, för svaret! Det är två saker, men jag börjar med din senare konkreta fråga. Sedan vill jag gärna kommentera det du sa om informationsspridningen eftersom jag inte riktigt delar den uppfattningen. Den här genomlysningen gjordes, såvitt jag förstår, till största del efter det att jag slutade som statsråd vid . Jag har både innan och efter att jag slutade som statsråd bidragit med den information och den eventuella sakkunskap jag har haft om förhållandena vid Transportstyrelsen till dem som har kontaktat mig från regeringen och departement. Jag gör även det fortsatt genom att delta här i utfrågning. Jag utgår från att delar av det har använts i den genomlysning som ledamoten tar upp. När det gäller informationsspridningen menar jag att den i huvudsak har fungerat enligt de rutiner som finns i . Det är bara vid de två tillfällen som jag tog upp i mitt inledningsanförande, det vill säga att statsrådet inte har fått information och att statsministern inte har fått information . I övrigt menar jag att rätt information har nått rätt mottagare och att rätt åtgärder har vidtagits. (L): Du är ju här också efter det att du har slutat som ansvarig för ordning, säkerhet och krisberedskap i landet och svarar på frågor. Därför kunde man ju anta att en sådan genomlysning också skulle kunna kalla in fastän du är inrikesminister. Men något sådant förfarande har alltså inte skett. Ordföranden: kanske ska låta kommentera det. : Herr ordförande! Tack, ledamoten! Det är nog en felaktig sammanfattning av mitt svar. Jag har bidragit med frågor och svarat på frågor vid ett antal olika tillfällen. Det har gällt frågor från såväl statsråd som statssekreterare, politiskt anställda och icke politiskt anställda. Jag utgår från att detta har varit underlag för den genomlysning som ger uttryck för. (L): Du sa alldeles att informationsspridningen har fungerat enligt din åsikt, förutom i två fall. Det var att statsministern bland annat inte fått någon information. Det tog ju faktiskt innan regeringen informerade oppositionen om detta också. Anser att detta borde ha skett tidigare, och vem är i så fall ansvarig för att det inte skedde ? : Herr ordförande! Tack, ledamoten! Jag ska börja med att säga så här: Vi använde exakt samma rutiner som den tidigare borgerliga regeringen har använt vid motsvarande typer av ärenden för att informera oppositionen. Skälet till att det tog så att göra detta var att vi prioriterade de sårbarhetsreducerande åtgärderna, tillsynen och förundersökning. Det är inte brukligt att informera oppositionen när de tre sakerna pågår. Jag noterar att jag i efterhand också har dubbelkollat att den tidigare borgerliga regeringen inte hade någon annan rutin för att informera oppositionen. Sedan ska jag också säga att vi rör oss med uttrycket ”informationen”, i bestämd form – som att informationer har funnits i en låda och sedan har flyttats eller inte informerats. I själva verket rör det sig här om en informationsutveckling, där informationen byggs på. Det gör att det ibland kan bli lite missvisande. På frågan nu låter det som att hela denna information fanns långt innan, vilket den inte gjorde. Den fanns inte ens hos helt fullt utvecklat förrän förundersökningen var avslutad. Det tar innan Säkerhetspolisen kan utröna att generaldirektören faktiskt har brutit mot lagen. Vi har från lagt oss vinn om att informera opposi- tionen om frågor som rör rikets säkerhet. Jag kan i det slutna formatet mer detaljerat redogöra för hur den informationen brukar gå till. Men jag vill ändå här i det öppna formatet konstatera att vi i detta ärende har följt samma rutiner som den tidigare borgerliga regeringen har använt sig av. Ordföranden: Då har vi genomfört den första rundan mellan partierna. Jag skulle vilja återkomma till … : Förlåt, herr ordförande! Jag missade faktiskt en fråga. frågade vem som skulle vara ansvarig för att informera oppositionen. Jag menar att det i alla fall i huvuddelen av detta skede skulle ha varit jag och min stab som var ansvariga för att informera oppositionen. Ordföranden: För att hålla kvar något i den här informationsdiskussionen har ju sagt att statsministern borde ha fått information tidigare. Vilket ansvar bär för att statsministern inte fick information tidigare? : Herr ordförande! Tack för frågan! Jag kan utveckla svaret på den frågan i det slutna formatet. Men jag kan redan nu säga att jag inte hade någon anledning att anta att statsministern inte hade den information han skulle ha . Ordföranden: återkommer till frågan då. Men om jag säger så här: Jag antar att träffade statsministern ofta och att ni även träffades i sammanhang där man diskuterade hemlig information i slutna rum. var alltså så att aldrig tog upp den här frågan med stats- ministern ? : Herr ordförande! Det ligger ett visst mått av insinuation i frågan. Eftersom jag har tagit del av de utfrågningar som utskottet har haft även i den slutna delen vet ju ordföranden hur informationsöverföring i den här typen av ärenden ska gå till. Men på de två konkreta frågor som ordföranden ställer kan jag säga: Ja, jag träffade ofta statsministern. Ja, som ansvarig för ordning, säkerhet och kris- beredskap diskuterade vi också frågor som rörde rikets säkerhet. Det fanns speciella lokaler i för att diskutera dem. Vi återkommer till frågan. Om man återvänder något till det här brevet, den här informationen som kom till om att hade skickat det här brevet, som innehåller ändå ganska långtgående formuleringar med krav på omedelbara säkerhetshöjande åtgärder – om man inte vidtar dem bör man avbryta upphandlingen helt eller delvis. Det var, får man säga, ganska långtgående uppmaningar från Säkerhetspolisens sida. Men fick inte kännedom om detta i detalj förrän . Är så här i efterhand verkligen nöjd med att det tog ? : Herr ordförande! Tack för frågan! Det finns möjligtvis en glidning även här i synen på information eftersom du klumpar ihop de två informationstillfällen som jag gav uttryck för i mitt inledningsanförande. Men jag har redan svarat på frågan om jag är nöjd med den information som givits till mig, och svaret på den frågan är ja. Ordföranden: Jag stannar där så . Skånberg (KD): Ordförande! I Fredagsintervjun Kvartal säger du att du ”var ansvarig för att informationen spreds på det sätt som den skulle i ”. Det sammanfaller ju med vad du har sagt här tidigare. Men i intervjun säger du att informationen som gavs till ”tyvärr är ganska rutinartad information”. Hur tänker du då? : Herr ordförande och ledamoten! Jag är rädd att du måste utveckla svaret, för citaten är så korta att jag faktiskt inte kan utröna vad jag kan ha menat där. Har du möjlighet att göra en lite längre citatredovisning? Det blev ganska obegripligt i det formatet. Skånberg (KD): Jag kan bredda frågan och säga: Den information som du såg till att fick, var den tillfredsställande? : Herr ordförande! Tack, ledamoten! Alltså, förhållandena är ju de omvända. Det är statssekreteraren som får informationen och sedan sorterar informationen och vidarebefordrar den till mig. Jag ansvarar inte för att informera statssekreterare. Skånberg (KD): Tack för svaret! Hur tänker du om din relation till din statssekreterare och den instruktion som du har? Har du instruerat henne om att hon ska komma till dig skyndsamt med frågor som handlar om rikets säkerhet och denna typ av frågor? : Herr ordförande! Jag hade en bra arbetsrelation till min tidigare statssekreterare, nuvarande statsrådet . Det fanns inget behov för mig av att utföra den typen av instruktioner. Det var alldeles uppenbart för både henne och mig. Vi arbetade i Justitiedeparte- mentet med frågor som rörde rikets säkerhet. Alltför få frågor av dem som var aktuella på vid tillfället hade inte bäring på rikets säkerhet. Skånberg (KD): Ordförande! Så det blev ingen försening i kommunika- tionen mellan henne och dig som du i efterhand kan beklaga? : Herr ordförande och ledamoten! Tack för frågan! Nej, jag kan inte säga att jag hade önskat information från än jag fick. Min bedömning är att hon gjorde ett bra urval av information och att hon själv också vidtog de åtgärder som gjordes för att säkerställa att de som skulle ha informationen hade informationen och att hon förde vidare informationen på rätt och riktigt sätt . Men det är så att säga min bedömning. Skånberg (KD): En sista fråga, ordförande: av vår utfrågning handlar om kommunikation och bristande kommunikation inom och mellan departement och myndighet och mellan departement, och i sista hand till statsministern. I spåren av tsunamikatastrofen och den bristande kommunika- tion som fanns där bildades ett krishanteringsråd under justitie- och inrikes- ministern. Av alla de sätt som regeringen har att kommunicera inom sig och till sina myndigheter fanns alltså det här krishanteringsrådet. Övervägde du att informera statsministern och andra berörda den vägen? : Herr ordförande! Tack, ledamoten! Nej, det skulle vara synnerligen olämpligt och riskera skada för rikets säkerhet om vi informerade om de här händelserna i en vidare krets än det var absolut nödvändigt. (S): Ordförande! Tack så mycket, , för svaren och föredragningen! Jag vill inledningsvis säga att jag till den stängda delen kommer att spara min fråga som gäller det som tidigare togs upp här, om brevet som sände till Transportstyrelsen och informerade Justitie- departementet om muntligt. har vi här i utskottet varit överens om att det ska tas i den stängda delen, detta på inrådan också av Säkerhetspolisen när det gäller rutiner och sådant. Då vet att detta kommer att återkomma. Min fråga gäller det här med säkerhetsskyddsförordningen, som ju reglerar att myndigheter ska göra säkerhetsskyddsanalyser. Du har ju varit inne på det tidigare i din inledning, men jag vill ändå passa på att ställa en fråga här eftersom det är väldigt viktigt att vi nu i denna process också blickar framåt och ser vad vi kan lära. Det är en viktig del av detta. Precis som sas saknade Transportstyrelsen en sådan här analys från att den bildades, 2009, och fick inte en sådan , efter att Säkerhetspolisen hade påtalat det. Jag skulle vilja höra vad din kommentar är till det. Jag är medveten om att du inte var statsråd då. Men du skulle kanske ändå kunna hjälpa oss i att förstå varför och tidigare inte agerade på detta. : Herr ordförande! Tack, ledamoten, för frågan! Det är väldigt svårt för mig att spekulera i varför tidigare regeringar valde att agera på det ena eller det andra sättet. Man kan väl bara notera att det borde varit föremål för myndighetsdialog mellan och berörd myndighet. Men man kan också konstatera att i granskningar, i , i rapporten från Myndigheten för samhällsskydd och beredskap lyfts motsvarande kritik upp. Så jag tror tyvärr inte att det här var ett problem som bara var isolerat till Transportstyrelsen, utan jag tror att det vid den här tidpunkten – 2007, 2008, 2009 och framåt – fanns stora problem med säkerhetskulturen inom svenskt myndighetsväsen och att det var, och är, ett mödosamt arbete att se till att höja medvetandenivån och förmå myndigheterna att vidta rätt åtgärder. Det räcker ju inte heller med att bara ha en säkerhetsanalys, vilket ju även händelserna vid Transportstyrelsen belyser. Det gäller att den också är korrekt och väl genomförd, så att man faktiskt skyddar det mest skyddsvärda. (S): Jag ska ställa en fråga till, ordförande. Tack för svaret, ! Det gäller det här som du har tagit upp om regeringens regleringsbrev. Vid regeringens första tillfälle att ge ett regleringsbrev till Transportstyrelsen gavs ett särskilt uppdrag om just informationssäkerhet. Det återfinns då i regleringsbrevet , som den nytillträdda regeringen fattade beslut om . Jag har vid tidigare utfrågningar citerat det uppdraget, så jag gör inte det , ordförande. Men jag skulle vilja be att beskriva: Vad var bakgrunden till det här uppdraget? regeringar gav aldrig ett sådant uppdrag till myndigheten. Hur kommer det sig att ni valde att göra det, dessutom vid det allra första möjliga tillfälle som ni hade? : Herr ordförande! Tack, ledamoten, för frågan! Jag tror att jag delvis besvarade den frågan redan i mitt tidigare svar, nämligen att tog upp de här problemen speciellt i sin årsbok 2013. Jag tror också att vi hade… Vi hade den gamla rapporten från , som ju gav förödande kritik, som vi visste att vi hade en ny Riksrevisionsrapport på väg fram, som berörde den borgerliga tiden i regeringsställning. Och jag vill minnas att vihade en motsvarande rapport från Myndigheten för samhällsskydd och beredskap. Det här var ju ett av de områden som vi identifierade där det fanns stor förbättringspotential och förbättringsbehov. Det var bakgrunden. Det här är ändå innan händelserna på Transportstyrelsen. (SD): Ordförande! Jag har ingen ytterligare fråga. (MP): Jag har inte heller någon ytterligare fråga. (C): Jag fortsätter lite grann och tittar tillbaka på de svar som vi har fått från och från . Det är alltså svar som KU fick . Det framgår i svaret från att man av fick information om den… Man vidareförde den information som erhållit av . Det framgår också då i det svar som finns från i detta att… Det framgår där att av Säkerhetspolisen i novem- ber 2015… då uppmärksammat förhållanden som föranledde att man tillskrev Transportstyrelsen med rekommendation om de här omedelbara säkerhets- höjande åtgärderna. Alltså justitie informerar näring, men inom får uppenbarligen inte statsrådet reda på den här informationen. Är inte det något anmärkningsvärt? Man tar kontakt med andra myndigheter om den här typen av… ett annat departement. Men departementschefen får inte reda på det. Är inte det anmärkningsvärt? : Herr ordförande! Tack för frågan! Huruvida departementschefen var informerad känner inte jag till, för det var nämligen inte jag, utan det var – som justitieminister. Jag har tidigare gett uttryck för att jag tycker att jag fick information vid rätt tillfälle. Och jag tycker inte att det är onaturligt att tjänstemännen på gör det de kan för att det departement som är ansvarigt ska vidta åtgärder, att de har den rätta informationen för att vidta de här åtgärderna eller att man säkerställer – om det är det här brevet, som du tar upp nu återigen – att den informationen fanns. För det var ju så att min chefstjänste- man tar kontakt med chefstjänstemannen vid för att säkerställa att den personen har fått den här informationen. (L): Tack så mycket för svaren! Jag vill ändå gå tillbaka till det här. Vi var ju överens om att vi ska dra lärdomar av detta och att statsministern har insett att problematiken inte enbart låg på Transportstyrelsen, utan att det var som hade en hel del att lära i detta. Det var just därför vi blev utlovade den här genomlysningen. I ditt svar tidigare drar jag slutsatsen att du utgår från att det du har svarat har varit underlag för den här noggranna genomlysningen, som stats- ministern då har utlovat. Vem var det som ledde arbetet med den här genom- lysningen? Vet Ygeman det? : Herr ordförande! Tack, ledamoten, för frågan! Nej, det har jag inte kännedom om. Jag har blivit kontaktad, som jag gav uttryck för. Men jag har inte explicit blivit tillfrågad om saker för någon speciell genomlysning. Men jag utgår från att de svar jag har givit har använts vid en sådan genomlysning eller kunde ha använts till en sådan genomlysning. (M): Ordförande! Jag hade förmånen att närvara under det extrainkallade mötet med justitieutskottet . Under den här utfrågningen, eller vad man ska kalla det, vid mötet med dåvarande statsrådet lyftes frågan huruvida, så att säga, problematiken kring Transportstyrelsens it- drift och vad som där följer hade lyfts i det så kallade säkerhetsrådet, som ju inrättats av nuvarande regering just för att dryfta frågor kring försvar och säkerhet. På det svarade statsrådet nej, av den anledning som statsrådet då uppgav: att detta inte var frågor som dryftades i säkerhetsrådet utan… och gjorde distinktionen mellan strategiska och operativa frågor. Statsrådet får gärna återigen klargöra bedömningen han då gjorde, av att inte lyfta frågan i säkerhetsrådet. Den här frågan ter ju sig som både strategisk och operativ och synnerligen av yttersta relevans för försvar och säkerhet. Man får också anta att inte ens under tidsutdräkten mellan januari, när statsrådet blev informerad, och juli, när justitieutskottet extrainkallades och statsrådet svarade nej, inte ens , hade frågan lyfts i säkerhetsrådet. Kommentarer på det, tack! : Herr ordförande! Tack, ledamoten, för frågan! Jag tror att vi måste specificera svaret här. Frågan om har inte varit uppe på något möte. Däremot har frågan om informationssäkerhet och it- säkerhet, tror jag, varit uppe på ett sådant här möte. Skälet, skulle jag säga, huvudsakligen, är att den här frågan behövde hanteras på myndighetsnivå och inom en begränsad krets för att minimera skadeverkningarna. Det fanns av den anledningen inte behov av att föra upp den här frågan. Inte heller några andra liknande frågor av den här karaktären har förts upp vid det här rådets möten. Skånberg (KD): Ordförande! Nära nog fick statsministern, oppositionens ledare och allmänheten reda på det här haveriet. Vad är ansvar för att det kom för sent? : Herr ordförande! Tack, ledamoten! Jag delar absolut inte den uppfattningen: att det här skulle ha informerats till allmänheten eller till oppositionen . Det hade kunnat ställa till stora skador för rikets säkerhet och hade varit direkt oansvarigt. Däremot – och det har jag faktiskt gett uttryck för i mitt inledningsanförande – tycker jag att regeringen själv samlat borde informerat vid ett något tidigare tillfälle, efter det att man bedömt att tillsynsärendet var avslutat, att de sårbarhetsreducerande åtgärderna var avslutade och att förundersökningen var avslutad. Hade regeringen gjort det tror jag att agerandet vid hade framstått i ett annat ljus än vad det sedermera har gjort. Skånberg (KD): Tack för det klarläggandet! Det ligger väldigt nära möjligheten att kunna säga: Hade jag tittat i backspegeln hade jag gjort detta Skulle allra sist nu vilja utveckla: Vad hade kunnat göra annorlunda nu i efterhand? : Herr ordförande! Tack, ledamoten! Det är väldigt svårt att svara på den typen av hypotetiska frågor, naturligtvis. Men jag kunde kanske ha bidragit till att den här informationen gjordes känd i ett tidigare skede, som jag just tidigare beskrev, samlat från regeringen, och därmed också gett ett annat händelseförlopp. I övrigt tror jag, när man går igenom handlingslinjen, att jag vidtog rätt åtgärder – jag ställde rätt frågor, och jag såg till att rätt saker utfördes och kontrollerades – och att det även gäller för min statssekreterare och för i stort.