bet · H501KU20d3 · 2018-01-01 00:00:00 — Borde inte den informationen gå fram utan följdfrågor? : Jag vill undvika vad som ”borde” och jag vill undvika spekulationer, men jag kan konstatera att jag och vi har redogjort, kanske lite till leda vid det här laget, för vår skrivelse daterad . Om jag bara läser upp det som står i slutet på den tycker jag att allvaret borde framgå för vem som helst som får den informationen. Under rubriken ”Rekommendationer om omedelbara säkerhetsskydds- höjande åtgärder” finns två inledande stycken, och det avslutas med, och det här har jag uppfattat att har i sina handlingar: [sekretess] Jag vet inte om vi hade kunnat vara tydligare än vad vi var i det rekommendationsbrevet. På vilket sätt och hur tydligt det har framförts, ja, det vet inte jag som ni förstår. Men tidsutdräkten i sig är anmärkningsvärd. (S): Jag ifrågasätter inte alls det som står i brevet. [sekretess] Statsministerns statssekreterare säger till oss att om hon hade ställt följdfrågor så hade hon [sekretess] kunnat få fram denna information, och då hade alerterats tidigare. Då blir jag ändå fundersam över att det ska krävas att statssekreteraren ställer följdfrågor för att en sådan allvarlig information ska gå fram. Hon har ju till och med avgått för att hon inte ställde följdfrågor. Jag tycker att det är ganska anmärkningsvärt att en person ska avgå för att hon inte ställer följdfrågor när man har en myndighet som sitter på information som är viktig att den går fram till regeringen. : Om jag säger så här: Jag har varit här . Jag kan konstatera att alla de frågor som är våra huvudområden är väldigt allvarliga för rikets säkerhet. Vi sysslar med kontraterrorismfrågor, kontraspionage- frågor, författningsskyddsfrågor, personskydd av statsledningen – frågor som är av allvarlig dignitet och som vi [sekretess] informerar Justitie- departementet om. Det kan jag konstatera. I ljuset och kontexten av allt detta har även denna fråga informerats om, på det ena eller det andra sättet. Vad gäller tydligheten får alla dra lärdomar av tydligheten kring den här frågan, på vilket sätt den har… (S): Jag förstår det, och det har framkommit att det är omfattande rapportering. Men det ter sig för mig lite märkligt om det i alla de ärendena krävs att man ställer en följdfråga för att man ska få den väsentliga informationen. Det är bara det jag reagerar på. Ordföranden: generaldirektören något att tillägga? : Jag känner mig uttömd på svar. Ordföranden: [sekretess] : [sekretess] Ordföranden: [sekretess] : [sekretess] Ordföranden: [sekretess] : [sekretess]. Som jag nämnde har Säkerhetspolisen, som jag kan bedöma det, åtminstone försökt att vara tydlig med vikten av att de myndigheter som faller under säkerhetsskyddslagen genomför den här typen av analyser men också drar slutsatser och vidtar åtgärder för att göra de sårbarhetsreducerande åtgärderna. [sekretess] Ordföranden: [sekretess] : [sekretess] Men det har intensifierats allteftersom när det gäller medvetenheten hos myndigheterna, bland annat genom att vi och MSB har utbildningar för säkerhetsskyddschefer i myndigheter. Vi kan konstatera att efterfrågan under hand och efter hand på att genomföra denna typ av utbildningar har ökat väsentligt, vilket vi tycker är positivt. Ordföranden: [sekretess] : [sekretess] Ordföranden: [sekretess] : [sekretess] Ordföranden: [sekretess] : [sekretess] Ordföranden: [sekretess] : [sekretess] (V): [sekretess] Vad finns det för möjligheter för er eller för någon, och i så fall vem, att se till att man gör det och att man vet om att man ska göra det? Kommer era tillsyner på något sätt att påverkas utifrån de nya möjligheterna och skyldigheterna? : Det är naturligtvis en berättigad fråga. Som jag känner till den nya lagstiftningen finns det ingen sanktion när det gäller att regelbundet berätta saker för oss, men just inför en outsourcing är man däremot skyldig till det. Vi har, som jag har försökt att beskriva, sett ett ökat intresse från myndigheterna – ett glädjande ökat intresse – för att bli bättre på att göra analyserna. Jag tror och kan se, som jag sa, på intresset för att delta i de utbildningar som vi och till exempel MSB bedriver att detta intresse är stort. Jag har inte kunskap om lagstiftningen när det gäller i vad mån den är tvingande i de här delarna. Men jag tror inte att det är någon skillnad mot tidigare. Jag kan hålla med dig om att det här borde ha stått klart för många myndigheter och myndighetschefer . (V): Jag tycker att det blir lite konstigt. Vi hade ju Hatt här i går, och hon menar att det är MSB som har fått i uppdrag att se till att myndigheterna får information och så vidare. Det är väldigt svårt att hitta hur man ska kunna påverka länken. Alla myndigheter har ett ansvar, men ingen har ansvar för att se till att myndigheterna vet vad de har för ansvar, för det har myndigheten själv ansvar för att veta att den har. Det blir liksom lite svårt, känner jag. Men så är det, och det är ett problem. Skånberg (KD): Ordförande! Jag följer återigen samma tankar som . Hela vår granskning handlar om kommunikation, eller rättare sagt om bristen på kommunikation, inom Transportstyrelsen och dess olika grenar och inom regeringen och dess olika departement och grenar. : Jag tycker att jag har försökt att vara frank och öppen, men jag ska försöka att fortsätta med det i så fall. Låt mig inledningsvis falla tillbaka på det som jag har försökt att framföra tidigare: Det har funnits, och finns, en lagstiftning som varje myndighet är skyldig att följa. Lagstiftningen är i detta fall, när det gäller denna typ av frågor, så tydlig att man talar om att det ska finnas en viss befattning direkt underställd en generaldirektör för att just denna typ av frågor ska hanteras, och hanteras på det sätt som författningen säger. Jag tycker kanske att en ingång generellt sett till den här typen av frågor som jag noterar när jag har börjat detta jobb är att det finns ett paraply över allt detta, som jag var inne på alldeles , nämligen totalförsvarsfrågorna. Om ska kunna vara robust och klara en svår påfrestning, höjd beredskap eller till och med krig är det en hygienfaktor att denna typ av frågor har hanterats på ett riktigt sätt. Mitt råd till er är att på något sätt – lite ödmjukt sagt – inskärpa allvaret för myndigheter som faller under denna lagstiftning att på riktigt inse allvaret. Det här är på liv och död. Skånberg (KD): Jag har en fråga som jag inte ens vet om jag bör ställa, och därför bör göra en avvägning om man bör svara. KU undersöker inte i realtid. Men är vi bakom stängda dörrar, och jag vill ha den här frågan ställd så att det inte sägs att det är på vårt ansvar. Ordföranden: [sekretess] : [sekretess] (SD): Jag reagerade lite grann på ett svar vi fick här förut angående säkerhetsprövningarna. När de är gjorda informerar ni inte den berörda, utan det är den anställande myndigheten som ni har dialogen med. Då blir min fråga: Vilken funktion inom den anställande myndigheten, om inte generaldirektören, är det som ni i så fall har den typen av dialog med? : När det gäller anställningar som inte är på generaldirektörsnivå är det med den funktion inom myndigheten som hanterar de här frågorna. Det är deras säkerhetsskyddsorganisation och den säkerhetsskyddschef som ansvarar för det som vi pratar med. (SD): Tack för det klargörandet! Det finns en annan fråga som gnager lite grann i mitt huvud. Transportstyrelsen är en styrelsemyndighet. [sekretess] [sekretess] Hur ser ni från Säkerhetspolisens sida på denna organisationsform, där man har det här orena ansvaret? Det finns alltså flera olika aktörer som gemensamt ska ta ett ansvar för att myndigheten gör det den ska och att den fungerar, men de har inte samma förutsättningar för att göra det, och alla är inte tillbörligt informerade. : Generellt sett tror jag att både Säkerhetspolisen och därmed jag tycker om när det är klara och raka linjer för ansvar, vilket jag inte vet i detta fall. Men jag kan också se att det kan finnas situationer när en säkerhetsklassad till exempel generaldirektör har sådan information som denne inser att han eller hon inte kan berätta om för sin styrelseordförande, för denne är inte säkerhetsklassad. Det skulle rent teoretiskt kunna vara den typen av situation. Ordföranden: behöver komma igenom dessa frågor. Vi har egentligen inte till uppgift att granska interna förhållanden i Transportstyrelsen. Jag vet att det är frestande för oss alla att ställa många frågor om olika detaljer och förhållanden. Vi har redan hållit , och jag tänker att vi ska försöka strama upp detta lite och gå ned för landning. Då behöver vi fokusera på just Transportstyrelsen–i relation till regeringen. viändå får lämna de bredare policydiskussionerna om vad man borde göra därhän. Jag ber alla att fundera på om nästa fråga man vill ställa verkligen har fokus på regeringen och relationen till . Det var där vi började med de förberedda frågorna. Sedan har jag möjligen varit lite för generös som ordförande och inte tidigare påpekat att många har ställt andra typer av frågor. Låt oss snäva in oss lite på det sättet, skulle jag uppskatta, så att vi inte behöver fördjupa oss i varje tänkbart spår. Har jag då avskräckt från att fullfölja styrelsespåret? (SD): Ja! (MP): Jag inser att jag har regeringen med på min första rad, så jag tror att jag faller in under ordförandens definition på frågor. Jag är kanske lite yvig ändå. I och med att det är en mer avslutande frågerunda har jag tänkt att också ställa en något mer hypotetisk fråga. Hade regeringen kunnat göra mer enligt hur du ser på det? Hade några önskemål om att regeringen skulle ha gjort något? Sedan är det min mer hypotetiska fråga. Det är ändå spännande att få in dig som helt ny chef. har du hela facit i handen. Om du hade kunnat flytta dig tillbaka till tiden vid 2015, med hela facit i handen, all kännedom, hade det då funnits något som du hade önskat från regeringen eller att ni själva skulle ha gjort bättre? Ordföranden: Jag hörde regeringen, så det går bra att svara på frågan. : Om jag försöker tänka på vad som har sagts exakt , och vad ni har kunnat höra tidigare, kan jag inte annat än konstatera att det finns mycket olika uppfattningar om när information har givits, hur mycket och på vilket sätt. Det kommer för min del att leda till slutsatsen att jag i kommunikation med andra myndigheter och med , till vilka vi rapporterar, kommer att göra mitt yttersta för att vara så tydlig så att inga missförstånd uppstår om vad vi informerar om eller digniteten i det vi informerar om. Det är min övergripande slutsats. Jag hoppas att den möjligtvis kan fördjupas när jag får se konstitutions- utskottets slutliga rapport. Är det något mer som hade kunnat göras? Ja, det kanske det finns, men just kan jag inte riktigt se det. Det handlar om kommunikationen, som har påpekats tidigare. (MP): Ingenting som ni hade önskat att regeringen borde ha gjort, skulle ha gjort, kunde ha gjort bättre? : Det handlar om kommunikation. Om jag som generaldirektör får tydliga direktiv i något som regeringen har rätt att ge mig direktiv i, kommer jag naturligtvis att följa de direktiven. (S): Jag har också frågor som är relaterade till regeringen. Jag vill tacka för alla dina svar. Den första frågan gäller en fråga som tidigare tog upp, nämligen generaldirektörens svar på fråga 1. Du sade mycket riktigt att det i Bulls rapport framgick vem på Transportstyrelsen som kontaktade . Om jag har ordförandens tillåtelse… (Ordföranden: !) …vill jag ändå visa att det på s. 183, stycke tre, framgår att av pm daterat framgår att säkerhetsskyddschefen har informerat general- direktören om sin rapportering av besluten om avsteg till Säkerhetspolisen. Sedan följer ett stycke om att generaldirektören har undertecknat och mottagit denna information, och så vidare. Jag kan fråga om det kan stämma med de uppgifter som Säkerhetspolisen har innan jag går vidare med mina övriga frågor. : Ja, det stämmer med våra uppgifter också. (S): Jag vill också följa upp en fråga som ställde tidigare, som rör svaren på fråga 10. Flera har varit inne på den frågan. Den gäller Säkerhetspolisens information till . Jag tycker inte att det från vårt perspektiv är viktigt att veta namnet på myndighetshandläggaren, men om vi tittar på uppteckningarna från vår utfrågning av tidigare statssekreteraren på s. 10 framgår där – och det har säkert Säkerhetspolisen också tagit del av – att mycket riktigt gick informationen till myndighetshandläggaren och att det i sig [sekretess] Det var inte generaldirektören utan just den operativa chefen som kontaktade myndighetshandläggaren. När de fick informationen bestämde sig den personens chef att man måste informera . Då har uppgett, det vill säga , att de fick brevet, och dagen efter, , kontaktade man Närings- departementet om detta. Är det här information som Säkerhetspolisen också har? : Spontant känns det som kommunikation internt inom , och det är jag glad för att vi inte har någon särskild information om. (S): För att klargöra lite här: Informationen gick direkt vidare från till , [sekretess], men på tjänstemannasidan. Jag har en fråga om det som togs upp tidigare angående outsourcing. Din företrädare sa i den förra utfrågningen, apropå mötet [sekretess] då ni rapporterade resultaten av genomgången av flera myndigheter och bristerna i informationssäkerhet, [sekretess], att de frågor som togs upp visade att det var bristande säkerhetskultur, dåliga säkerhetsanalyser och outsourcing. Det var tre brister som identifierades. Fick Säkerhetspolisen några reaktioner från när detta togs upp på mötet [sekretess]? : Jag tittar på mina handläggare. Jag vet inte om vi i så fall har några anteckningar om reaktioner, utan det är de personer som var med som i så fall kan berätta. (S): Då kanske vi kan be om att få återkomma med en uppföljande fråga eftersom du säger att de som var med kan redogöra för det. Jag vill ta upp 2013 där det finns ett helt avsnitt om att outsourcing kan vara ett potentiellt problem för informationssäkerheten. Jag utgår från att eftersom det finns med i er öppna årsbok är det någonting som myndigheten tog upp också i kontakterna med . Vilka reaktioner fick ni från och regeringen när ni lyfte upp problemen, de potentiella hot som kan uppstå med outsourcing? : Det var positivt att du har tagit del av vår årsbok . Det får mig att tänka att vi får fortsätta med årsböckerna. Det är bra innehåll i dem – tycker jag också. Vi har påpekat detta , som framgår av din fråga. Det kan tyda på att vi inte tycker att vi har fått tillräckliga reaktioner på vårt påpekande. Men vad jag förstår nu pågår det en utredning som leder, och frågan kommer att beröras. Jag hoppas att vi får ta del av en klok utredning i den delen som kanske kan bli en tydligare vägledning för hur man ska hantera outsourcingfrågorna. (S): Jag förstår det som att ni fick inga särskilda reaktioner eller några uppdrag från den tidigare regeringen om just outsourcing, trots att ni upprepade bekymret över ett potentiellt hot mot känsliga uppgifter. : Min kunskap är att vi inte har fått några särskilda uppdrag inom området, annat än att vi ska bedriva vår tillsynsverksamhet. Sedan har vi fått en lagstiftning som träder i kraft snart, som vi bedömer gör att vi faktiskt kan stoppa outsourcing som vi inte anser vara lämplig. Får jag göra ett tillägg till en uppgift här… (Ordföranden: Ja!) …Vi har fått ett uppdrag som vi har redovisat , som handlade om att redovisa en samlad bild av vilka generella brister som finns i säkerhetsskyddet hos myndigheter. Vi har bland annat belyst problemet med utkontraktering i den redovisningen som regeringen fick . (S): Den informationen tror jag att vi har fått vid tidigare utfrågningar, och den gäller nuvarande regeringen. Men då har jag fått svar angående förra regeringen. : [sekretess] (S): [sekretess] : Rent generellt tycker jag att många av frågorna har varit svåra att svara på eftersom jag inte har varit med, och inte mina medarbetare heller, under dessa år, som du säger. (S): [sekretess] : Jag får väl falla tillbaka på allmänna kunskaper om den roll jag har. Jag är myndighetschef, och jag styrs under lagar och förordningar. Utifrån det finns inga direktiv eller någon reglering av detta. Jag hoppas att jag inte heller kommer att styras på det sättet . Ordföranden: Jag skulle vilja ställa en fråga. : [sekretess] Ordföranden: [sekretess] : [sekretess] (V): Säkerhetsklassning, säkerhetssamtal och sekretess- förbindelser vad gäller en generaldirektör har varit uppe till diskussion. När det gäller personal generellt är det den som anställer som får återkoppling på den kontroll som Säkerhetspolisen utför, till exempel säkerhetschef. Men när det gäller generaldirektören, till exempel , sker återkopplingen till , som är ansvarigt departement för den myndigheten? Vi har i alla fall tidigare fått veta att det är ansvarigt departement som har ansvaret för kontakterna med en blivande generaldirektör. Då borde det vara de som beställer kontrollen hos er. Jag vill bara få det bekräftat så att vi vet vilket departementet det handlar om och till vilket departement ni har rapporterat ert resultat. : Svaret är ja. Ordföranden: tar tre frågor först, och generaldirektören får notera, och sedan blir det ett samlat svar på frågorna. Dag Klackenberg (M): Tack till för att du har ställt en mängd frågor, som jag därför inte behöver ställa. Så jag har en mycket kort och enkel fråga. (M): [sekretess] Fanns det någon anledning för att frångå gängse rutiner, det vill säga gå förbi den myndighetshandläggare som fanns på i stället för att följa gängse rutiner? Bedömde att genom att ta den extra kontakten med myndighetshandläggaren att frågan var omhändertagen? (M): Under gårdagens utfrågning av tidigare statssekre- teraren hos statsministern, , framgick det att hon fick, även i skriftliga svar, information tidigare än vad hon hade trott, som var [sekretess]. Jag funderar lite över gränsen som hon nämner, att hon fick information men att hon hade behövt ställa följdfrågor för att få reda på mer relevant information. Går det på något sätt att komma fram till hur mycket information som egentligen lämnades vid det första tillfället när hade kunnat ta reda på mer om it-problemen på Transportstyrelsen? : Det blir som ett frågeprogram. Först var det frågan om skillnaden i allvar. Jag får vara så fri att jag säger att jag inte kan svara på vilken bedömning som gjordes då. Jag ser ingen skillnad på allvaret genom att antingen informera muntligen till [sekretess] eller att rapportera dagen efter till myndighetshandläggaren på i dessa frågor. , med den kunskap jag har , skulle jag inte göra någon skillnad. Informationen hade lika gärna kunnat lämnas dagen innan direkt på den information som fick. Men den troliga förklaringen, som jag lämnade tidigare, är att brevet då inte var underskrivet och expedierat. Jag är inte riktigt säker på att jag förstod den andra frågan. Jag uppfattar från att vi gick förbi någon genom att prata med myndig- hetshandläggaren, men i så fall har jag uppfattat det fel, och du får gärna klargöra frågan. (M): Tack för den möjligheten! Nej, det var inte alls så. I diskussionen som har varit här har vi försökt att skapa en bild av skeendet. Det har uttryckts av gd:s företrädare att [sekretess]. Likaså är det med det efterföljande samtalet till myndighetshandläggaren på . Min fråga var utifrån myndighetens synpunkt: Var det inte bara skrivelsen i sig utan också det efterföljande samtalet för att inskärpa allvaret i frågan? Var det av den anledningen? Var det i så fall en avvikelse från de rutinmässiga kontakterna? Angående den andra frågan: Nej, ni skulle inte ha gått förbi, vilket ni inte har gjort. Men vad jag tycker mig ha upplevt i diskussionen är att dessa frågor sköts på handläggarnivå, men att det ansågs allvarligt. Fanns det anledning, ni hade uppföljande samtal med gd, efter att åtgärderna fortfarande inte hade tagits på tillräckligt allvar, att gå vidare förbi myndighetshandläggaren? Det har varit uppe i diskussionerna mellan gd. Är det något som låg i bedömningen? Är det lämpligt i de rutinmässiga myndighetskontakterna? Jag tycker att det i debatten har framkommit att ni borde ha gjort det… (S): Ursäkta, herr ordförande, den här skrivelsen gick inte till . Den gick till Transportstyrelsen. Ordföranden: behöver inte debattera. Frågan kan ställas som följande: Borde ni ha ringt till statssekreteraren och inte till myndighetshandläggaren? Det är väl det som ligger i frågan. : Som jag har försökt att beskriva tidigare hanterar vi, bedömer jag, mycket svåra och allvarliga frågor. Det är frågor som handlar om rikets säkerhet. Det finns en särskild utsedd myndighetshandläggare på Justitie- departementet för att ta emot just den typen av frågor. [sekretess] Facit är väl att det handlades på ett tillräckligt allvarligt sätt från oss. Om jag ska tillåta mig att bedöma och lyftes frågan upp enligt den ordning vi tycker att det borde vara. Ordföranden: var det den sista frågan från . : Ja, då var det frågan om hur mycket information som lämnades. Jag har nog tappat slutet på frågan. Ni ser att min receptiva förmåga är något begränsad . (M): sa i går att hon hade haft möjlighet att få information om hon hade ställt följdfrågor. Det jag är nyfiken på – jag vet att ni inte för särskilt mycket anteckningar – och är intressant att få veta, är hur mycket information hon fick utan att ställa följdfrågor [sekretess]. : Tack för klargörandet! Ordföranden: Det finns inga ytterligare frågeställare. Vi ber att få tacka generaldirektören med medarbetare för att ni har kommit till konstitutions- utskottet och gett oss värdefull information och svarat på våra frågor. Vi sätter stort värde på det. Vi ajournerar sammanträdet kort. Bilaga B12 F.d. infrastrukturminister Granskningsärende 9 och 12 Regeringens agerande i samband med Transportstyrelsens it-upphandling (se avsnitt 5.2) Ordföranden: Jag förklarar öppna sammanträde inlett. Vi återupptar därmed utskottets förhandlingar. Vi hälsar före detta infra- strukturministern varmt välkommen. Hon har vänligheten att komma till utskottet för att svara på våra frågor i ärendet Regeringens agerande i samband med Transportstyrelsens it-upphandling, G9 och 12. Ordningen är den vanliga. Det tidigare statsrådet har möjlighet till en inledning. Därefter ställer vi frågor – anmälande partier först och sedan övriga partier i storleks- ordning. Varmt välkommen och varsågod att inleda! : Herr ordförande! Ärade ledamöter av ! Låt mig inleda med att tacka utskottet för inbjudan och möjligheten att komma hit och ge min bild av det aktuella ärendet. Det är mycket välkommet att utskottet genomför en grundlig granskning och belyser olika delar i händelse- förloppet för att få en tydlig bild av det inträffade. Detta är inte minst angeläget utifrån perspektivet att förhindra att liknande händelser inträffar . De säkerhetsproblem som uppstod vid Transportstyrelsen i samband med outsourcingen av myndighetens it-drift är mycket allvarliga. Delar av det som skett får nog närmast ses som osannolika: känslig information som har gjorts tillgänglig för personal i utlandet som inte säkerhetsprövats och en general- direktör som fattat beslut om att göra avsteg från svensk lagstiftning. Ändå är det just detta som har hänt, och det är viktigt att dra rätt slutsatser av det. Det här ärendet tar sin början , då Transportstyrelsen beslutar sig för att outsourca registerhållning och it-drift med det i sig vällovliga syftet att effektivisera sin verksamhet. Man kan naturligtvis fundera över hur den här frågan hade utvecklats om myndigheten redan där och då genomfört en fullödig risk- och sårbarhetsanalys, också inbegripande de särskilt skydds- värda uppgifter som myndigheten har ansvar för. Vi kan konstatera att så inte skedde och att det tillsammans med ett antal felaktiga beslut därefter ledde fram till dagens situation. fick först information om problemen vid Transport- styrelsen .