bet · H501KU20 · 2018-06-12 00:00:00 — Med som leverantör har det funnits ett antal personer som haft privilegierad åtkomst till data i it-systemen. Med som leverantör införs en flexibel leveransmodell med flera underleverantörer, både i , EU och 3:e land. Detta medför att informationsåtkomsten kommer att finnas för personer i flera företag och i olika länder. För att säkra verksamhetens information och minska risken för otillbörlig åtkomst av information begränsas åtkomstmöjlighetema till viss del för respektive underleverantör. I Transportstyrelsens redovisning av ett uppdrag om planeringsarbetet för det civila försvaret som kom in till redovisas nuläget och utvecklingsbehov avseende myndighetens förmåga inom säkerhetsskydd. I den redovisade Transportstyrelsen åtgärder med bäring på informationssäkerhet och säkerhetsskydd. I Transportstyrelsens risk-och sårbarhetsanalys , som inkom till , redovisas valet av som ny driftsleverantör. Bland annat står följande: ”…Transportstyrelsens ambition att flytta och transformera samtliga Transportstyrelsens IT-system till datacenter i ”. I analysen redovisas åtgärdsbehov bl.a. i form av ”informationsklassning med avseende på sekretess, tillgänglighet och riktighet”. Av Transportstyrelsens redovisning av ett uppdrag om planeringsarbetet för det civila försvaret som kom in till anges att ”[tagit] över Transportstyrelsens IT-drift” och att ”[s]äkerhetsskyddsaspekterna i detta är en utmaning”. I Transportstyrelsens kommentar till en utgiftsprognos daterad anges: ”har prognosen för it-kostnaderna skrivits upp något och för avser ökningen justering av nettoeffekten av nytt it-driftavtal”. Liknande formuleringar återfinns i kommentarer till utgiftsprognoser daterade , respektive . I Transportstyrelsens årsredovisning , som kom in till , anges att det ”[i]nom it-området finns risker kopplade till omfattande projekt som genomförs för vägtrafikregistret och it-drift” men att ”[r]iskvärdena väntas sjunka i takt med att projekten levererar” och att ”[s]amtliga identifierade risker anses vara riktigt bedömda och under kontroll” samt att ”[s]tyrelsen för Transportstyrelsen […] bedömer att den interna styrningen och kontrollen är betryggande”. I Transportstyrelsens kommentar till en utgiftsprognos daterad anges att ”myndigheten har uppdaterat sina beräkningar för kostnadsreduceringar/effektiviseringar med anledning av byte av it-driftsleverantör på grund av att säkerhetskraven för it-driften förändrats och skärpts, vilket kommer att få till följd att besparingarna vi tidigare räknat med blir betydligt lägre”. Liknande formuleringar återfinns i kommentarer till utgiftsprognoser daterade , , respektive . I Transportstyrelsens årsredovisning , som kom in till , anges att det ”[i]nom it-området fanns risker kopplade till omfattande projekt som genomförs för vägtrafikregistret och it-drift” och att ”[s]amtliga identifierade risker anses vara riktigt bedömda och under kontroll” samt att ”[s]tyrelsen för Transportstyrelsen bedömer att den interna styrningen och kontrollen vid myndigheten är betryggande”. Outsourcingen av it-driften m.m. informerade vid ett myndighetsbesök om hela sin verksamhet. Då nämnde att verket skulle avveckla all extern it-drift. Information om upphandlingen förmedlades av Säkerhetspolisen vid ett möte med och . Av informationen framgick att det i olika avseenden funnits allvarliga brister rörande säkerhetsskyddade upphandlingar, t.ex. gällande s.k. (säkerhetsskyddad upphandling med säkerhetsskyddsavtal), sekretessförbindelser, säkerhetsprövningar och utbildningar i samband med att avtal upprättats. I har det inte påträffats någon dokumentation som visar att Transportstyrelsen har lämnat information till om vilken typ av upphandling som hade genomförts. Vid ett möte fick information från Säkerhetspolisen om den tillsyn som pågick och om att uppgifter i den outsourcade it-driften kunde medföra risker för kvalificerade skyddsidentiteter och risker som rörde vägtrafikregistret. fick också information om att en förundersökning hade inletts. Vid mötet deltog den dåvarande rättschefen i , enhetschefen för polisenheten och myndighetshandläggaren för Säkerhetspolisen i , expeditionschefen i samt medarbetare från Säkerhetspolisen. Efter mötet informerade expeditionschefen i den dåvarande chefen för för bostäder och transporter om mötet. Med anledning av den information som lämnades vid mötet kallades generaldirektören vid Transportstyrelsen till ett möte . Syftet med det mötet var att få Transportstyrelsens syn på den information som Säkerhetspolisen lämnat samt att säkerställa att Transportstyrelsen vidtog nödvändiga åtgärder Vid mötet deltog expeditionschefen i , dåvarande chefen för avdelningen för bostäder och transporter i och Transportstyrelsens dåvarande generaldirektör . Inte vid något av dessa möten deltog således något statsråd eller någon statssekreterare. hade och uppföljande möten med Transportstyrelsen om vilka åtgärder som vidtogs med anledning av de säkerhetsproblem som outsourcingen innebar. Transportstyrelsens risk- och sårbarhetsanalys samt den särskilda informationssäkerhetsrapport som Transportstyrelsen redovisade togs upp vid ett dialogmöte . Vid möten med Transportstyrelsen , och deltog inte någon statssekreterare eller något statsråd. Efter mötena informerades dåvarande statssekreteraren . Vid ett dialogmöte med Transportstyrelsen följdes händelserna kring outsourcingen av myndighetens it-drift upp. Vid mötet berördes även Transportstyrelsens arbete med informationssäkerhet. Avsteg från lagar, m.m. Vid möten mellan och Transportstyrelsen kom det fram att Transportstyrelsen hade gjort avsteg från gällande regelverk. Det finns dock ingen information i som visar att fick kännedom om att generaldirektören hade fattat formella beslut om att göra avsteg från lagstiftningen förrän vid ett möte med Säkerhetspolisen . Vid det mötet deltog från statssekreterare och expeditionschefen. Uppföljning av Transportstyrelsens risk- och sårbarhetsanalyser samlar in departementens bedömningar av risk- och sårbarhetsanalyserna med hjälp av en bedömningsmall som upprättat. Bedömningarna görs på tjänstemannanivå. I avseende Transportstyrelsens risk- och sårbarhetsanalys , inklusive den särskilda informationssäkerhetsrapporten, gällde en av frågorna vad myndigheten redovisat som de viktigaste sårbarheterna och bristerna i krisberedskapen inom sitt ansvarsområde. En av de tre punkter som noterade som svar på frågan gällde att ”[s]tora it-projekt innebär utmaningar ur ett informationssäkerhetsperspektiv”. Som förtydligande av detta nämndes bl.a. att ”ersätter som leverantör av Transportstyrelsens it-drift”. kommentar/bedömning var att Transportstyrelsens redovisning av de viktigaste sårbarheterna och bristerna i myndighetens krisberedskap var rimlig samt att de redovisade sårbarheterna och bristerna borde "åtgärdas/följas upp”. Den aktuella risk- och sårbarhetsanalysen togs upp, inklusive den särskilda informationssäkerhetsrapporten, vid dialogmötet med Transportstyrelsen . Frågan om de redovisade sårbarheterna och bristerna borde åtgärdas eller följas upp togs inte upp specifikt vid något ytterligare dialogmöte. Däremot togs informationssäkerhet upp som en dagordningspunkt vid dialogmötena och . Vid det sistnämnda mötet togs även iakttagelser avseende Transportstyrelsen i Revisionsrapport – Rutiner och intern styrning och kontroll 2016 upp. Rapporten var ett led i den årliga revisionen av myndigheten. Även frågor kring säkerhetsskydd, krisberedskap och civilt försvar togs upp vid det mötet. Krisberedskap och civilt försvar togs upp också vid dialogmötet . Transportstyrelsen har inte redovisat några åtgärder myndigheten vidtagit som en direkt följd av kommentar/bedömning. Kontakter mellan Transportstyrelsen och med anledning av Transportstyrelsens outsourcing av it-drift kontaktade Transportstyrelsens säkerhetschef (den nationella säkerhetsmyndigheten, NSA) via telefon och frågade om hade säkerhetsskyddsavtal med , och . Under telefonsamtalet lämnades svaret att inte hade ansvar för bilaterala säkerhetsskyddsavtal. hänvisade därför till Militära underrättelse- och säkerhetstjänsten och till . I ett kompletterande svar per e-post lämnades kontaktuppgifter till dessa myndigheter samt en länk till traktatsförteckningen på regeringens webbplats. I en senare e-postväxling återkom Transportstyrelsen med ytterligare frågor, som besvarades . Frågan från säkerhetsskyddschefen ledde inte till några kontakter mellan och . Information till om Säkerhetspolisens tillsyn av Transportstyrelsen och förundersökningen informerades av Säkerhetspolisen vid ett möte , där ett stort antal frågor togs upp, om att Säkerhetspolisen nåtts av information om att Transportstyrelsen hade för avsikt att bl.a. outsourca körkortsregistret till utlandet. Mot bakgrund av denna information avsåg Säkerhetspolisen att inleda en tillsyn hos Transportstyrelsen. Därefter informerades av Säkerhetspolisen per telefon till myndighetshandläggaren för Säkerhetspolisen om att man under tillsynen uppmärksammat förhållanden som föranledde att man skrev till Transportstyrelsen med rekommendationer om omedelbara säkerhetshöjande åtgärder. Dåvarande statssekreterare fick information om Transportstyrelsens outsourcing av it-drift . Säkerhetspolisen informerade närmare om den pågående tillsynen och om att en förundersökning om vårdslöshet med hemlig uppgift inletts. Vid mötet närvarade även . Av den information som lämnades till om Transportstyrelsens upphandling framgår enligt svar till utskottet att det i olika avseenden funnits allvarliga brister rörande säkerhetsskyddade upphandlingar, t.ex. gällande s.k. , sekretessförbindelser, säkerhetsprövningar och utbildningar i samband med att avtal upprättats. nämnde Säkerhetspolisen outsourcingen vid ytterligare ett antal tillfällen i samband med möten rörande ett flertal olika frågor. Vid sådana tillfällen har nämnts att tillsynen av Transportstyrelsen fortskred och att Säkerhetspolisen gav Transportstyrelsen rådgivning i sårbarhetsreducerande syfte. informerades av Säkerhetspolisen om förundersökningen, och vid ett möte fick ytterligare information om förundersökningen av Säkerhetspolisen. har inte haft kontakt med andra myndigheter i frågan innan förundersökningen och tillsynsärendet avslutades. Däremot informerades om att Säkerhetspolisen haft kontakt med andra berörda myndigheter. Säkerhetspolisen har inte –lämnat någon anmälan enligt 48 § säkerhetsskyddsförordningen om Transportstyrelsen. Innehållet i Transportstyrelsens säkerhetsanalys berördes dock på ett mer allmänt plan i dialog mellan Säkerhetspolisen och . Information mellan Försvarsdepartementet och Försvarsmakten Försvarsdepartementet fick information av om säkerhetsrisker i samband med Transportstyrelsens outsourcing. I samband med detta inleddes en dialog mellan Försvarsdepartementet och Försvarsmakten i frågan. Informationen som förmedlades till Försvarsdepartementet från respektive Försvarsmakten var övergripande och berörde Försvarsmaktens verksamhet. Den handlade om de risker som uppstått rörande kvalificerade skyddsidentiteter och vissa civilt registrerade militära fordon. Det informerades också om att samverkan skett mellan Försvarsmakten och Säkerhetspolisen, att Försvarsmakten tidigt hade vidtagit skadebegränsande åtgärder och att Säkerhetspolisen inlett en förundersökning. Försvarsmakten påkallade inte några åtgärder från regeringens sida. Information inom regeringen och om Transportstyrelsens outsourcing av it-driften och Säkerhetspolisens tillsyn informerades av om information som fått från Säkerhetspolisen. Med anledning av uppgifter som förmedlats av Säkerhetspolisen tog kontakt med Försvarsdepartementet, som fick information från om säkerhetsrisker i samband med Transportstyrelsens outsourcing. genomfördes ett möte på tjänstemannanivå mellan Försvarsdepartementet och vid vilket Försvarsdepartementet informerade om Försvarsmaktens fortsatta arbete. Någon information om att Transportstyrelsen planerat eller beslutat att outsourca myndighetens it-drift har inte lämnats till Statsrådsberedningen av departementen förrän . Statsrådsberedningen fick då information av om förundersökningen avseende vårdslöshet med hemlig uppgift. Såvitt det har kunnat klarläggas nämndes tillsynsärendet vid ett möte med Statsrådsberedningen närvarande . Det har varit fråga om möten där ett stort antal frågor tagits upp, och det som nämnts har varit av övergripande karaktär. Transportstyrelsens outsourcing av it-driften och frågor kopplade till den har inte tagits upp vid något statssekreterarmöte. Det har dock förekommit kontakter mellan statssekreterare på berörda departement. kallade statssekreteraren till ett möte med dåvarande generaldirektören vid Transportstyrelsen. Med på mötet var även expeditionschefen i . Den dåvarande generaldirektören informerade då om det som hade inträffat på Transportstyrelsen och om Säkerhetspolisens tillsyn samt att hon var misstänkt för brott. informerade inrikesministerns statssekreterare och försvarsministerns statssekreterare. Någon dokumentation som visar att det dåvarande statsrådet fick del av information om Transportstyrelsens planer på att outsourca it-driften har inte påträffats i . fick information av sin statssekreterare om uppgifterna från generaldirektören i Transportstyrelsen att denna misstänktes för brott. Inrikesminister fick övergripande information om Transportstyrelsens outsourcing av statssekreterare . fick en fördjupad föredragning av sina tjänstemän om outsourcingproblematik i allmänhet. I samband med det lämnades också närmare information om tillsynen hos Transportstyrelsen och att det hade inletts en förundersökning. Försvarsministern informerades av sina tjänstemän om att problem uppdagats i samband med att Transportstyrelsen hade outsourcat it-tjänster. Informationen var övergripande och kortfattad. Den handlade om de risker som uppstått avseende Försvarsmaktens användande av kvalificerade skyddsidentiteter och civilt registrerade fordon. Försvarsministern informerades också om att Försvarsdepartementet fått besked från Försvarsmakten om att samverkan i ärendet skett mellan Försvarsmakten och Säkerhetspolisen samt att Försvarsmakten tidigt hade vidtagit skadebegränsande åtgärder. Försvarsministern fick också besked om att Försvarsmakten i det läget inte påkallade några beslut eller åtgärder från regeringens sida. Försvarsministern fick dessutom kunskap om att Säkerhetspolisen hade inlett en förundersökning. Försvarsministern försäkrade sig om att Försvarsdepartementets tjänstemän skulle fortsätta följa upp frågan med Försvarsmakten. Försvarsmakten påkallade inte heller senare några åtgärder från regeringens sida. Med den kännedom som försvarsministern har om rutiner för informationsgivning i i frågor av detta slag utgick han från att informationen fanns hos Statsrådsberedningen. Orsaken till att det förflöt mellan det att Försvarsdepartementets tjänstemän informerades av och att försvarsministern fick information var att tjänstemännen behövde kontrollera uppgifterna med Försvarsmakten. De behövde även säkerställa att skadebegränsande åtgärder vidtogs. Försvarsdepartementet behövde också få veta om Försvarsmakten påkallade några åtgärder från regeringens sida, vilket inte var fallet. Efter kontakt med Försvarsmakten framstod inte läget som akut. Försvarsministern hade vidare ett stort antal engagemang, inklusive ett antal resor, de aktuella dagarna. Eftersom läget inte framstod som akut och informationen innehöll uppgifter som omfattades av sekretess bedömdes att informationen skulle lämnas vid ett personligt möte. Statsministern informerades av sin statssekreterare om Transportstyrelsens outsourcing. Statsministern fick då information om Säkerhetspolisens tillsyn hos Transportstyrelsen och om den pågående förundersökningen. Han fick även information om de risker som uppstått rörande kvalificerade skyddsidentiteter och att berörda myndigheter vidtagit skadebegränsande åtgärder. Därutöver diskuterades det beslut som förbereddes i om att skilja Transportstyrelsens generaldirektör från uppdraget. Övriga statsråd fick information om Transportstyrelsens outsourcing . Utrikesministern har inte fått någon särskild information enligt 10 kap 13 § regeringsformen. Gruppen för strategisk samordning m.m. Frågor kopplade till Transportstyrelsens outsourcing av it-system har inte hanterats i gruppen för strategisk samordning eller i krishanteringsrådet. Sådana frågor har inte heller hanterats av kansliet för krishantering. Respektive departement tog emot och hanterade information från sina myndigheter och ansvarade för sina myndighetskontakter. Myndigheterna agerade i linje med sina uppgifter och mandat. Det identifierades inte något behov av samordnad krishantering inom . Informations- och cybersäkerhet har diskuterats på en mer övergripande nivå i det , men det nu aktuella ärendet har inte diskuterats i rådet. har inte informerats om frågor som har med Transportstyrelsens outsourcing av it-system att göra. När det gäller informellt informationslämnande till om vad som –2017 kommit fram om Transportstyrelsens outsourcing av it-drift bedömdes det inte vara lämpligt att informera så länge tillsyn, sårbarhetsreducerande åtgärder eller förundersökning pågick. Det har inte påträffats något formellt beslut i som visar att befattningen som generaldirektör vid var placerad i säkerhetsklass då anställdes som generaldirektör. har dock utgått från att befattningen var placerad i säkerhetsklass, vilket framgår av ett bifogat beslut från . Innan regeringen fattade beslut om att anställa som generaldirektör för gjordes en säkerhetsprövning av henne. Hon godkändes efter genomförd säkerhetsprövning genom beslut av . Av säkerhetsskyddslagen (1996:627) framgår att en säkerhetsprövning ska omfatta registerkontroll och särskild personutredning under de förutsättningar som närmare anges i lagen. Den säkerhetsprövning som gjordes av innan hon anställdes som generaldirektör vid utfördes enligt i enlighet med säkerhetsskyddslagen. Utskottet höll en offentlig utfrågning med justitierådet som informerade om sin rapport av Transportstyrelsens upphandling av it-drift (bilaga B2). anförde inledningsvis att det i rapporten lyfts fram tre huvudsakliga anledningar till att det gick fel – det som utredningen uppfattar som de stora problemen med upphandlingen av it-driften. Det utredningen framför allt pekar på är att man hade bristande kunskap och information om vad det var för känslig information som Transportstyrelsen hade i sina system. Man hade inte själv kartlagt och förstått vilken information som myndigheten hade ansvar för. Det andra var att man hade en orealistisk tidsplan. Det visste man egentligen om. Den var oerhört pressad. Man blev glad när ingen överklagade upphandlingen, vilket ju i är förhållandevis ovanligt. De som känner till offentlig upphandling vet att det är rätt vanligt att folk överklagar för att de är missnöjda, men det gjordes inte här, och redan detta var en lättnadens suck. Det skulle ha varit ett pressat tidsschema även om ingenting konstigt hade hänt. När det sedan blev problem blev de accentuerade av den tidspress som myndigheten hade. Det fanns också andra stora upphandlingar som pågick parallellt och som satte myndigheten under ganska stor press. Om detta inte fungerade skulle inte heller myndigheten fungera. Det tredje var att det fanns bristande kommunikation på flera nivåer. Inom myndigheten kommunicerade man inte på ett bra sätt. Det fanns också brister, som utredningen ser det, i kommunikationen mellan Transportstyrelsen och andra myndigheter – och Säkerhetspolisen – och kanske också brister i kommunikationen mellan Transportstyrelsen och regeringen. Som utredningen har uppfattat det signalerade Transportstyrelsen inte särskilt tydligt till regeringen att myndigheten hade problem som den inte kunde lösa på egen hand. Som svar på frågor anförde att utredningen kunde konstatera att man hos Transportstyrelsen med anledning av Säkerhetspolisens tillsyn inte uppfattade – i vart fall inte alla och inte alla personer i ledande ställning – att situationen var allvarlig och att den var av en karaktär som rörde rikets säkerhet. Man fick inte klart för sig vad tillsynen egentligen hade för roll. En del trodde att det var en vanlig tillsyn, något som Säkerhetspolisen gör återkommande medan andra i och för sig förstod att det var något speciellt men inte riktigt visste vad. Men av utredningens kontakter med Säkerhetspolisen har det framkommit att Säkerhetspolisen anser att de var tydliga med varför de gjorde tillsynen och hur den skulle gå till. Detta är ett exempel på bristande kommunikation. Ingen av parterna har i det här fallet försökt få riktigt klart för sig vad den andra parten har förstått. Vidare anförde att otydligheten fick konsekvenser: Transportstyrelsen tänkte att man skulle vänta på Säkerhetspolisens tillsynsrapport, och tillsynsrapporten drog ut . Som utomstående granskare kunde konstatera att problemen var välkända . kom Säkerhetspolisens tillsynsrapport, och då hade endast några åtgärder vidtagits. Säkerhetspolisens rekommendationer kom , och då var reaktionen hos Transportstyrelsen ungefär: har ju leverantören redan tagit över, så det är . Man menade att man inte kunde följa Säkerhetspolisens rekommendation. Vidare anförde som svar på frågor att rapporten om informationssäkerhet som Transportstyrelsen lämnade till regeringen är ganska detaljerad angående brister och problem som finns hos Transportstyrelsen. När man läser den kan man – det tyckte utredningen när den gick igenom den – höja på ögonbrynen. Och det har visat sig – när utredningen sedan gick igenom materialet – att det dessutom fanns ett underlag som var ännu mer tydligt angående problemen. Den rapport som regeringen fick var i någon sorts mening urvattnad, men den är ändå ganska tydlig. Vidare anförde att det var alldeles tydligt när man läser rapporten, som var en bilaga till myndighetens risk- och sårbarhetsanalys, att man kanske borde ha ställt frågor kring vad det var som hände. Det är väl också utredningens slutsats. anförde vidare att rapporten lämnades både till och till Myndigheten för samhällsskydd och beredskap. Utredningen har inte sett att det har varit någon reaktion som kom tillbaka till Transportstyrelsen i något konkret avseende. finns det en anteckning om att man i dialogen mellan och myndigheten tar upp de här frågorna. Men utredningen har inte kunnat, av dokumentation eller intervjuer, få fram vad det var som sas närmare vid det mötet. Man får intrycket av att det mest var en rätt så abstrakt informationspunkt. uppgav att man från departementets håll var noga med att säga att det vore bra om tiden för nedstängning av systemen i samband med stordatormigreringen var så kort som möjligt eftersom den satte hinder för nya regler på olika områden inom trafiksystemet. It-driftsupphandlingen, det som utredningen har granskat, kom sällan eller aldrig upp, utan det var stordatormigreringen som var tidspressad och viktig för regeringen att ha koll på. trodde att svar i sammanhangen med hennes kontakter med har rätt mycket att göra med den frågan snarare än med it-driften. Vidare uppgav att den tidspress som fanns i samband med it-upphandlingen var mer beroende av relationen till än till upphandlingen av stordatorn. Den tidspress man hade i it-upphandlingen berodde, i viss utsträckning i varje fall, på att man hade ett avtal med som löpte ut . På Transportstyrelsen verkar man – det har utredningen fått flera uppgifter om – entydigt ha uppfattat det som att det inte gick att förlänga avtalet med . Utredningen har också fått uppgifter om att avtalet kanske hade kunnat gå att förlänga.