bet · H501KU20d3 · 2018-01-01 00:00:00 — vihar inlett en tillsyn brukar vi säkert säga att den fortlöper. Vi är i inhämtningsfasen. Vi återkommer när vi har något mer väsentligt att informera om. Ordföranden: när generaldirektören förut sa löpande information då syftade generaldirektören på [sekretess] möten, inte på att ni ringde till någon handläggare på eller något i den stilen. : Nej, aldrig. När detta ärende pågick är min uppfattning att vibara sa att det pågick. Ordföranden: [sekretess] : [sekretess] Ordföranden: Jag skulle vilja ställa en fråga om just ärendets karaktär, eftersom jag tycker att vi har fått lite olika bilder här under utfrågningens gång. Åena sidan säger generaldirektören: har ganska många tillsynsärenden. Det är dels den ordinarie tillsynen, dels den särskilda tillsynen. Det låter som om det förekommer särskild tillsyn i flera ärenden , även om generaldirektören helst inte vill specificera antalet, eftersom det är hemligt. Men å andra sidan tror jag att vi alla har uppfattat att just det här ärendet är unikt på många sätt vad gäller skadeverkningar, lagbrott och annat och att en generaldirektör straffas på det här sättet. Skulle generaldirektören, som sitter framför oss, kunna utveckla detta lite grann? Var det ett rutinärende, eller var det ett unikt ärende? Och på vilket sätt avspeglades det i den information som gavs till regeringen och till ? : [sekretess] Det kan vara någon på en myndighet som slarvar bort säkerhetsanalysen eller slarvar bort något väsentligt dokument. När vi inledningsvis fick informationen, innan vi visste vad det var, var det som var anmärkningsvärt [sekretess]. Men det hör inte till ovanligheterna, eller – där vill jag rätta mig – det före- kommer att vi får in information om brottsmisstankar från andra myndigheter som handskas på ett felaktigt sätt med säkerhetsskyddet. gör vi till och med utredningar som visar att brott inte har förekommit, och där vi jobbar förebyggande för att rätta till. döms också folk för obehörig befattning eller vårdslöshet med hemlig handling. Så det förekommer liknande ärenden. Men det här stack ut lite mer när det fanns uppgifter som sa att man eventuellt hade brutit mot svensk lag. Det var vi tvungna att skaffa oss en lägesbild om. Det är det svar som jag kan lämna. Men jag kan inte sitta här och berätta om alla operativa ärenden som vi har. [sekretess] Det är inte ovanligt. Allt sådant kommer kanske inte fram heller. Det finns folk som lagförs för att man har dömts för liknande brott. Ordföranden: Jag har en fråga till generaldirektören snarare som myndighets- chef än som just Säpochef. Man får väl säga att Transportstyrelsens it- upphandling var en ganska stor sak för myndigheten. Och de åtgärder som sedan vidtogs – avstegen från svensk lag och annat – var ovanligt spektakulära åtgärder. Min bild av svenska myndigheter är att de, trots den självständighet som finns, ändå har en ganska stor vördnad för sitt departement. Jag tycker att det som generaldirektören har redovisat för oss om sina kontakter med Justitie- departementet går lite grann i samma riktning. Skulle generaldirektören ha vidtagit någon stor spektakulär åtgärd i Säkerhetspolisen utan att ha förankrat det under hand eller öppet med regeringen – ? : Svar: Nej. Jag har en post it-lapp på mitt skrivbord. Där står det: 1. Är det lagligt? Bör man informera uppdragsgivaren? Kan du försvara detta i medierna ? Det behöver inte alltid vara olagligt när det gäller skyddsvärd verksamhet. Det kan också vara olämpligt. Agerar jag tillräckligt snabbt? Den lappen tittar jag på . Om jag som ämbetsman och generaldirektör ska vidta någonting har jag ansvaret, men då tycker jag att man ska informera sin uppdragsgivare. Ordföranden: Jag sa att vi skulle avrunda här. Men Dag Klackenberg som gör premiär i utskottet har bett att få ställa en fråga. Då tycker jag att han måste få göra det. Dag Klackenberg (M): Tack, herr ordförande! Frågan är kort. [sekretess] Och har man då avhandlat någonting om Transportstyrelsen? : Det är de möten som jag redovisade, när tjänstemän från Säkerhetspolisen var med [sekretess] och Närings- departementet. Det är dessa tillfällen. När jag talar om en rad möten vid sidan om menar jag inte – om jag var otydlig – detta specifika ärende. Jag menar att förutom [sekretess]finns det i enskilda ärenden en rad möten. Precis som det var i detta fall räknar jag det till [sekretess]. Det förekom liknande i andra. Vi har ju andra kontakter med vår uppdragsgivare också. Ordföranden: Då ber vi att få framföra ett varmt tack till generaldirektören med medarbetare som har svarat utförligt och väl på våra frågor. Granskningsärende 9 och 12 Regeringens agerande i samband med Transportstyrelsens it-upphandling (se avsnitt 5.2) Granskningsärende 10–11 och 15 Förra regeringens agerande i fråga om Transportstyrelsens it-upphandling (se avsnitt 5.1) Ordföranden: är och jag förklarar öppna sammanträde för inlett. Vi välkomnar justitierådet med med- arbetare, utredningssekreterarna , till . Ni ska informera oss om er rapport, Granskning av Transportstyrelsens upphandling av it-drift, som presenterades för regeringen . Tanken är att justitierådet inleder. Därefter blir det möjlighet för leda- möterna att ställa frågor. Detta berör två granskningsärenden som KU arbetar med , dels regeringens agerande i samband med Transportstyrelsens it- upphandling, det vi kallar G9 och G12, dels förra regeringens agerande i fråga om Transportstyrelsens it-upphandling, det vi kallar G10, G11 och G15. Dessa ärenden behandlas gemensamt i den här utfrågningen. När vi sedan ställer frågor har vi den ordningen att det är anmälande partier som inleder frågeställandet i storleksordning, därefter kommer övriga partier i storleksordning. Detta återkommer vi till. Först lämnar jag ordet till justitie- rådet . : Tack så mycket! Jag har blivit ombedd att hålla en liten inled- ning angående granskningsrapportens innehåll och resultat. Jag går direkt in på den punkten. Jag fick uppdraget av regeringen att starta den här granskningen. Uppdraget innefattar alltså att granska Transport- styrelsens upphandling av it-driften. Som ni säkert vet har det också pågått andra upphandlingar på Transportstyrelsen . Vi åter- kommer till det . Men mitt uppdrag var alltså avgränsat till it-driften och det som hände kring den, för att uttrycka sig enkelt. För utredningen kunde jag få resurser i form av två och en halv utredningssekreterare, varav två är med här och ska hjälpa och stödja mig med minnet om vad som står i rapporten. Vi hade förstås också stöd av Transportstyrelsen och andra myndigheter. Ett stort antal dokument från Transportstyrelsen gicks igenom. De innefattar alla möjliga typer av beslut från styrelser, ledningsgrupper, olika projektgrupper inom Transportstyrelsen liksom andra sorters protokoll och skriftlig dokumentation. I tillägg till detta har utredningen också gjort ett trettiotal intervjuer med befattningshavare på olika nivåer i Transportstyrelsen som har haft med det här ärendet att göra. Det har varit generaldirektörer – nuvarande och dåvarande – och personer på mellanchefsnivå och en del på handläggarnivå. På detta sätt har vi arbetat. Vi har också under resans gång samrått med en del andra myndigheter vid sidan av Transportstyrelsen, som det framgick av direktiven att vi skulle göra. Det har rört sig om , Säkerhetspolisen, Myndigheten för samhällsskydd och beredskap, Data- inspektionen och ytterligare någon myndighet. Det har varierat. I några svängar har vi samrått mer med Säkerhetspolisen och och mindre med en del andra myndigheter, lite beroende på hur vi har sett behoven. Uppdraget var egentligen att vara klara , men begärde jag förlängning, och det fick vi av regeringen. Vi fick förlängning . Som ni känner till redovisade vi granskningen . Granskningen är gjord i princip i kronologisk ordning, från början. Det låter kanske enkelt att säga att granskningen omfattar Transportstyrelsens upphandling av it-drift, men när vi började gå igenom materialet visade det sig att man i vissa avseenden måste gå tillbaka ända till den tid då Transport- styrelsen skapades för att förstå varför detta blev ett problem som man måste ta tag i och varför man valde att göra som man gjorde. I vissa avseenden sträcker sig alltså rapporten ända tillbaka till då Transportstyrelsen kom till. Framför allt är det dock som händelseförloppet tar sin början. Det är då man på Transportstyrelsen på allvar börjar diskutera vad man ska göra med sin it-drift. Som ni säkert känner till var det i praktiken som skötte it-driften åt Transportstyrelsen. Detta hade historiska skäl som låg långt tillbaka i tiden och hade att göra med att Transportstyrelsen kom till som ett hopplock av andra myndigheter. Man beslutade sig alltså för att inleda den här processen 2013. går man in i ett upphandlingsskede, och 2015 sluter man avtal och påbörjar överlämnandet till den aktör som har vunnit upphandlingen, . Sedan måste granskningen också, enligt direktiven, titta på vad som hände sedan, alltså hur hanteringen av säkerhetsskyddad information och annat skedde när upphandlingen var gjord och tog över verksamheten. Det gör att vi också har följt Transportstyrelsens agerande , då själva överlämnandet till skedde. Vid det här laget känner ni alla väl till att det fanns problem. Man var tvungen att hantera problem också , och vår granskning sträcker sig till mitten av 2017. Rapporten följer händelseförloppet i princip kronologiskt, utifrån den dokumentation och de intervjuer som vi har haft tillgång till. I varje kapitel gör vi vissa iakttagelser och pekar på förhållanden som vi tycker är av särskild betydelse. Det finns några kapitel som inte helt följer den kronologiska strukturen, men i princip är rapporten uppbyggd så. Sedan följer ett slutkapitel där vi gör ett slags samlad utvärdering. Den är inte kronologiskt utan tematiskt uppbyggd. Då tittar vi först på upphandlingen i ett snävt perspektiv – vad gick fel där och vilka åtgärder kan man diskutera, hur och varför man gjorde dem. Sedan tittar vi på Transportstyrelsen som myndighet – hur fungerade den och vilka problem kan man se där? Sedan försöker vi göra en del generella, närmast förvaltningspolitiska iakttagelser, exempelvis om sådant som generaldirektörernas ställning visavi regeringen. Det är ganska generella och abstrakta saker. Vi inleder utvärderingskapitlet med att lyfta fram tre huvudsakliga anledningar till att det gick fel, alltså det som vi uppfattar som de stora problemen med upphandlingen av it-driften. Det vi framför allt pekar på är att man hade bristande kunskap och information om vad det var för känslig information som Transportstyrelsen hade i sina system. Man hade inte själv kartlagt och förstått vilken information som myndigheten hade ansvar för. Det är det första. Det andra var att man hade en orealistisk tidsplan. Det visste man egentligen om. Den var oerhört pressad. Man blev glad när ingen överklagade upphandlingen, vilket ju i är förhållandevis ovanligt. Vi som känner till offentlig upphandling vet att det är rätt vanligt att folk överklagar för att de är missnöjda, men det gjordes inte här, och redan detta var en lättnadens suck. Det skulle ha varit ett pressat tidsschema även om ingenting konstigt hade hänt. När det sedan blev problem blev de accentuerade av den tidspress som myndigheten hade. Det hade också att göra med de andra upphandlingar som jag nämnde. Det fanns andra stora upphandlingar som pågick parallellt och som satte myndigheten under ganska stor press, för om detta inte skulle fungera skulle inte heller myndigheten fungera. Och det är ju ett bekymmer för en myndighet. Det tredje var att det fanns bristande kommunikation på flera nivåer. Inom myndigheten kommunicerade man inte på ett bra sätt. Detta var bidragande till att man inte hade den kunskap som jag talade om . Det fanns också brister, som vi ser det, i kommunikationen mellan Transportstyrelsen och andra myndigheter, och Säkerhetspolisen, och kanske också brister i kommunikationen mellan Transportstyrelsen och regeringen. Som vi har uppfattat det signalerade Transportstyrelsen inte särskilt tydligt till regeringen att de hade problem som de inte kunde lösa själva. Detta är de tre huvudsakliga slutsatser som vår granskning har kommit fram till. Ordföranden: för den inledningen! Då ger vi möjlighet till frågor. Största anmälande parti är Socialdemokraterna. , var så god! (S): Tack för en väldigt intressant utredning! På s. 189 och de omgivande sidorna i utredningen beskrivs hur har hanterat de här frågorna. Man ska kanske inte övertolka det, men jag uppfattar det nästan som en kritik mot Säkerhetspolisens förmåga att förstå allvaret i situationen och kommunikationen. Har jag uppfattat det rätt, och kan du utveckla lite det som ligger bakom det som står på dessa sidor? : Det är inte tänkt att vara någon direkt kritik. Vår granskning avser inte Säkerhetspolisen utan Transportstyrelsen. Men vi kan konstatera att hos Transportstyrelsen uppfattade man inte – i vart fall inte alla och inte alla personer i ledande ställning – att situationen var allvarlig och att det var av en karaktär som rörde rikets säkerhet. Man fick inte klart för sig vad tillsynen egentligen hade för roll. En del trodde att det var en vanlig tillsyn, något som gör återkommande, och att det alltså var business as usual ungefär, medan andra i och för sig förstod att det var något speciellt men visste inte riktigt vad. Men av våra kontakter med har det framkommit att anser att de var tydliga med varför de gjorde tillsynen och hur den skulle gå till. Detta är alltså ett exempel på detta med bristande kommunikation som jag talade om . Ingen av parterna har i det här fallet försökt få riktigt klart för sig vad den andra parten har förstått. Det är inte vår roll att utkräva ansvar av någon i det avseendet. Men otydligheten fick konsekvenser: Transport- styrelsen tänkte att man skulle vänta på Säpos tillsynsrapport, och tillsyns- rapporten drog ut , vilket hade sina randiga och rutiga skäl. Då fick tiden gå. Som utomstående granskare kan man konstatera att problemen var välkända . kommer Säpos tillsynsrapport, och då har inga … ja, några åtgärder har vidtagits, för Transportstyrelsen vaknade till lite framåt februari, men de stora problemen kvarstår fortfarande. Det är väldigt . (S): Det finns en spekulation där ni funderar på vad som hade hänt om man hade dragit igång tillsynen tidigare. Även om du inte vill använda ordet kritik känner jag att det finns en förvåning över att tillsynen inte drogs igång tidigare. Sedan reagerade jag på en annan sak. Ni skriver: ”förlitade man sig på Transportstyrelsens egen förmåga att prioritera säkerhetsfrågorna, trots att man visste att denna var förhållandevis svag.” Det är också en tydlig slutsats, tycker jag. : I den första delen är det framför allt i relation till rekommendationen och hur Transportstyrelsen tog emot den. Den kom , och då var reaktionen hos Transportstyrelsen ungefär: har ju redan tagit över, så det är . Man menade att man inte kunde följa Säkerhetspolisens rekommendation. Men hade den här rekommendationen kommit hade kanske Transportstyrelsen varit i ett annat läge själva. Så det är så … Och det är som sägs en spekulation. Vem vet hur det hade landat? När det gäller den andra frågan … (S): Det var mer bara den här iakttagelsen – att man förlitar sig på Transportstyrelsen trots att man såg svagheterna. : Det där anknyter till – det har vi hört på flera håll – att myndigheterna … Vi tar också upp det i den slutliga delen av den här lite mer abstrakta synpunkten, att svenska myndigheter också i det här fallet visar sig agera lite grann så här: Det här är vår uppgift. Det där är deras uppgift. har de ett ansvar. De får sköta det som de sköter det. Och vi sköter vårt pastorat. Det är till en viss del så där: Vi har våra ramar, och vi jobbar inom dem. De gör det. De verkar göra fel – oj då. Men vi har vårt uppdrag. Ordföranden: Då var det , så då tänkte jag ställa ett par frågor. KU har ju en roll i att granska regeringen, framför allt, så det är en mycket värdefull bakgrundsbild vi får genom den här granskningen. Det är regeringen som har gett justitierådet uppdraget att just granska Transportstyrelsen, avgränsat, med vissa utvikningar. Men då blir det särskilt intressant när regeringen ändå omnämns i rapporten, förstås. Transportstyrelsen skickade en rapport om informationssäkerhet, , till bland annat regeringen – . Och ni säger i rapporten att den borde ha väckt frågor och även oro hos regeringen. Kan justitierådet utveckla det lite grann? : Ja, jag kan i varje fall säga som så att rapporten är ganska detaljerad angående brister och problem som finns hos Transportstyrelsen. När man läser den kan man – det tyckte vi nog när vi gick igenom den – höja på ögonbrynen. Och det har visat sig, när vi sedan har gått igenom materialet, att det dessutom fanns ett underlag som var ännu mer tydligt angående problemen men att den handläggare som tog fram det underlaget blev sur över att man i ledningen friserade det något, så han ville inte stå för rapporten i slutänden. Den rapport som regeringen fick var alltså i någon sorts mening lite urvattnad, men den är ändå ganska tydlig. Så det var alldeles tydligt att läser man den rapporten, som var en bilaga till någon större sak … : Till risk- och sårbarhetsanalysen. : Ja, till risk- och sårbarhetsanalysen. Då tycker vi att man kanske borde ha ställt frågor kring: Vad är det som händer? Det är väl också vår slutsats där. Ordföranden: Ja, just det. Varför borde man ha gjort det? : Ja, för att här verkar det finnas problem som myndigheten själv har identifierat och som de inte verkar … I varje fall tänkte jag: Vad tänker ni göra åt det här? Hur fort kommer det att gå? Det är den typen av frågor som naturligt kan följa på en sådan redovisning. Ordföranden: Men det finns inga tecken i ert material på att regeringen gav någon återkoppling på rapporten? : Nej, vi har inte sett det. Den här rapporten gick in både till och till Myndigheten för samhällsskydd och beredskap. vihar inte sett att det har varit någon reaktion som kom tillbaka till Transport- styrelsen i någon sorts konkret avseende. Om jag kommer ihåg rätt tas antagligen det här upp . Ja, finns det en anteckning om att man i den här dialogen mellan och myndigheten tar upp de här frågorna. Men vi har inte kunnat, av dokumentation eller intervjuer, få fram vad det var som sas närmare vid det mötet. Man får intrycket av att det mest var en rätt så abstrakt informationspunkt. här frågan om informationssäkerhet upp i ett möte mellan RK och Transport- styrelsen – det vet vi. Ordföranden: Det finns också omnämnt i rapporten, när det gäller referat av vad har berättat om sina kontakter med , att hon … Ja, det framstår som att signalen från framför allt var att tidsplanen måste hållas. Är det en korrekt uppfattning om hur ni har sett på saken också? : Det är väl en korrekt uppfattning om vad har sagt att hon har uppfattat – att tidsplanen var väldigt viktig. måste man delvis … De här intervjuuppgifterna … Vi har försökt hålla isär det men kanske inte lyckats fullt ut. Men eftersom det pågick tre olika upphandlingar var de här diskussionerna med … De handlade ju om alltihop, förstås, och andra saker också, förstås, som Transportstyrelsen höll på med. En av de här upphandlingarna, som inte ingår i min granskning, gäller det man kallar för stordatormigreringen. Den var helt väsentlig för Transport- styrelsen. Utan att den där stordatormigreringen lyckades skulle hela deras datasystem inte fungera. Det fanns det också ganska tydligt politiska signaler kring – att den tid som stordatorn inte är online måste hållas så kort som möjligt därför att det hindrar också införande av nya regler. Man kan inte få in det i systemet om det ligger nere för att man ska göra den här migreringen. Jag kan inte riktigt säga exakt vad en migrering är. Men detta var någonting som tekniskt var nödvändigt – att stänga ned systemet för att göra den här migreringen. Man var från departementets håll – det har vi fått klart för oss – noga med att säga att det vore bra om var så kort som möjligt, eftersom den satte hinder för nya regler på olika områden inom trafiksystemet. Det var också vad fler än har sagt till oss, att de var ganska … fick ett intryck av att var väldigt intresserade av den där frågan. Håller ni tiden? Hur kommer det att ta? När kan ni vara klara med det? Och den här it-driftsupphandlingen, det som vi har granskat, kom sällan eller aldrig upp, utan det var den här stordatormigreringen som var … Och den var tidspressad, och den var viktig för regeringen att ha koll på. Så jag tror att svar i de sammanhangen har rätt mycket att göra med den frågan egentligen, snarare än it-driften. Ordföranden: Hur ser sambandet ut mellan stordatormigreringen och it-drifts- upphandlingen? Kan justitierådet utveckla det något? I vilken utsträckning är de beroende av varandra? : Det är nog så att de inte är helt beroende av … Man skulle väl ha kunnat göra stordatormigreringen utan att göra en upphandling av it-driften. Så är det. Stordatormigreringen eller stordatordriften var en fråga för sig, och den gjordes också av ett annat företag rent faktiskt. hänger de ihop, förstås, därför att stordatorn är basen för hela den it-verksamhet som myndigheten bedriver, och it-driften är ju driften av just den verksamheten. det finns ju en logisk koppling i att om vi gör det här så gör vi också det här . Det fanns stordriftsfördelar, möjligen, med att sätta igång de här projekten . Det var väl så myndigheten tänkte, om vi har förstått det rätt. Ordföranden: Det jag tänkte på var väl närmast: Om det var bråttom med stordatormigreringen, innebar det en påverkan så att det också blev bråttom med it-driftssjösättningen, så att säga? Det var väl mer den kopplingen som jag funderade på. : De påverkade nog varandra på det viset: att det pressade tids- schemat för stordatormigreringen påverkade myndighetens resurser, och de var ju ändliga. Så om det här är väldigt centralt måste vi ta resurser från ett håll. kompletterar här och säger att stordatormigreringen kanske ändå inte var … möjligen på det allmänna sättet, som jag var inne på, att det liksom kunde stjäla resurser från it-upphandlingen, men kanske ändå inte så konkret. Den tidspress som fanns på it-upphandlingen var mer beroende av relationen till än till upphandlingen av stordatorn. Den tidspress man hade i it-upphandlingen berodde i viss utsträckning i varje fall på att man hade ett avtal med som löpte ut . Av skäl som vi också diskuterar i rapporten uppfattade man på Transportstyrelsen det som att det var den absolut yttersta dagen: Efter detta kan inte längre leverera den här tjänsten till oss, så det måste vara klart . Det var nog mer anledningen till den tidspress som gällde det projektet. (V): Jag kan fortsätta precis där du slutade. Det gäller det här med att det blev så tidspressat med att avtalet med upphörde. Det kanske framgår, men jag har inte riktigt fått det klart för mig. Varför blev det så pressat? Var det så att inte längre skulle kunna driva det här om man från början hade fått ? Du kommer ju fram till här också att det var en orealistisk tidsplan från början, och egentligen visste man redan om det. Man börjar ju undra: Varför drev man egentligen igenom det när det var så från början? Vad var det för faktorer som styrde? Jag får en känsla av att man går på känsla, att det här är jättebråttom. Vi måste göra det fort. Det ska inte kosta några pengar. Ekonomin är viktigare än säkerheten. Det finns många skrivningar där jag får den känslan. Och det är ända som man pratar om att det här måste liksom … Vi måste göra mer men med mindre kostnad. Vad var det som gjorde den här tidspressen egentligen? : Som vi har förstått det var det just att avtalet med skulle löpa ut .