bet · H501KU20 · 2018-06-12 00:00:00 — Som svar på en fråga om hur Transportstyrelsen vid beslutet om outsourcing av it-driften förhöll sig till 2011:4 och om rekommendationer över huvud taget fanns med när outsourcingen prövades, anförde att hon kom till myndigheten 2012och att hon egentligen inte kunde uttala sig om huruvida den rapporten vägdes in. Skälet till att outsourcingen gjordes var nog att man var ute efter kostnadsbesparingar och därför kanske man inte följde rekommendationer. Hon kunde dock inte säga säkert att det var så. Utskottet höll en utfrågning med f.d. generaldirektören i Transportstyrelsen och f.d. ställföreträdande generaldirektören i Transportstyrelsen (bilaga B4). anförde att han väldigt tidigt efter att Transportstyrelsen bildats fick signaler om att it-driften var väldigt dyrbar och kvalitetsmässigt dålig. Myndigheten hade dessutom inga fungerande reservsystem om någonting skulle hända. Det hade byggts upp ett parallellt reservsystem innan myndigheten bildades, men det var inte underhållet. Det var dessutom placerat i samma lokaler som det ordinarie systemet, så hade någonting dramatiskt hänt hade båda systemen gått ned. Vidare anförde att han från början hade kvartalsmöten med den politiska ledningen – statssekreterare och ofta ministern. blev det tertialmöten. Han hade dessutom möten med tjänstemännen: departementsråd, rättschef och de handläggare som jobbade med Transportstyrelsens ärenden. i myndigheten tyckte att det var viktigt att ha de här mötena tätt. Myndigheten gjorde väldigt ofta förändringar . Redan vid det andra kvartalsmötet , dvs. i myndigheten, hade man uppe frågan om migrering och outsourcing av it-utveckling. Dessa frågor var uppe igen vid det tredje mötet . Den outsourcing man då pratade om gällde systemutveckling, inte drift. Man höll på med en försörjningssstrategi för it på myndigheten. Transportstyrelsen ville se om det över huvud taget var politiskt möjligt att överväga att program skulle utvecklas i t.ex. , eller andra länder som många hade outsourcat it-utveckling till. bad vid möten med tjänstemännen om återkoppling i den här frågan under hand bara för att veta om det här över huvud taget var aktuellt. Svaret han fick var att det i sig inte var omöjligt att tänka sig, men att myndigheten måste återkomma om det blev aktuellt. Transportstyrelsen efterfrågade inte några styrsignaler eller några beslut från regeringen, och fick inte heller några sådana. anförde också att frågan om effektivisering var viktig från början. Det är nästan självklart när man bildar en ny myndighet på det här sättet att man tänker sig att verksamheten ska bli mer effektiv. Effektiviseringsarbetet togs upp i samtalen med regeringen, men dessa var inte säkerhetsrelaterade. Om han läste , såg den rapporten eller fick den dragen för sig mindes inte . Han fick aldrig någon signal från departementet om att det var önskvärt med outsourcing. Det var myndigheten själv – och it-avdelningen – som fattade det beslutet utifrån tankar kring kostnad och kvalitet och möjligheten att få en bra verksamhet. anförde ombeslutet om att göra avsteg från interna riktlinjer att det var ingenting märkligt i sig. Han utfärdade interna riktlinjer, och tanken var att om man inom myndigheten ville göra på något annat sätt än det som var det normala skulle man vara tvungen att gå till generaldirektören och förklara varför. fattade ett antal sådana avstegsbeslut. Utskottet höll en utfrågning med företrädare för Säkerhetspolisen (bilaga B1). Den dåvarande säkerhetspolischefen anförde att Säkerhetspolisen begärde in ett antal myndigheters säkerhetsanalyser för att se om de säkerhetsanalyser som myndigheter är skyldiga att ha fanns. Transportstyrelsens säkerhetsanalys föranledde ett möte där man gick igenom vissa saker. Men någon utkontraktering togs inte särskilt upp vid det tillfället. Säkerhetspolisen hade ett möte med regeringen där Säkerhetspolisen informerade om vilka myndigheter man hade begärt in säkerhetsanalyser från och om de generella bristerna. De brister som fanns gällde säkerhetskultur, dåliga säkerhetsanalyser och outsourcing. Vidare anförde att Säkerhetspolisen inte fick någon kännedom om det avstegsbeslut som Transportstyrelsens ställföreträdande generaldirektör fattade . Utskottet höll ytterligare en utfrågning med företrädare för Säkerhetspolisen (bilaga B11). Säkerhetspolischefen anförde att Transportstyrelsen inte nämndes specifikt i redovisningen av de generella bristerna . Det var mer generella slutsatser av inkommen information som det informerades om vid det tillfället. Någon handling överlämnades inte till . höll utskottet en utfrågning med f.d. it- och energiminister (bilaga B9). anförde att när hon tillträdde var det första gången som fick en it-minister med ett samlat ansvar för att driva på hela regeringens arbete med it- och digitaliseringsfrågorna. I hennes ansvar som it-minister –2014 låg bl.a. ansvaret för elektroniska infrastruktur och e-förvaltningsfrågorna. Som it-minister låg inte ansvaret för informationssäkerhetsfrågorna och inte heller ansvaret för Transportstyrelsen hos henne. som it-minister tog hon initiativ till att samla hela regeringen bakom det som kom att bli första digitala agenda: It i människans tjänst. Parallellt med detta presenterade två rapporter, å ena sidan rapporten som överskrider budget och å andra sidan rapporten inom statsförvaltningen – har myndigheterna på ett rimligt sätt prövat frågan om outsourcing bidrar till ökad effektivitet? Den senare är den rapport som utskottet har uppmärksammat under denna granskning. I regeringens skrivelse till om rapporten konstaterade regeringen att den delade bild och avsåg att bereda frågan om myndigheternas outsourcing av it-tjänster vidare. I denna skrivelse poängterade regeringen också väldigt tydligt att frågor som rör informationssäkerhet i detta sammanhang måste tas på stort allvar. Vid behandlingen i ställde sig såväl finansutskottet som som helhet bakom rekommendationer. Vidare anförde att det regeringen kan göra i e-förvaltningsarbetet är att ta initiativ till myndighetsövergripande åtgärder som behöver vidtas och som inte den egna myndigheten förfogar över. I det sammanhanget var E-delegationen ett mycket viktigt verktyg, och den publicerade därför också på regeringens uppdrag flera vägledningar och förslag för att bl.a. utveckla myndigheternas arbete när det gäller informationssäkerhet. anförde också att myndigheterna har det fulla ansvaret för att bedriva sin verksamhet i enlighet med i var tid gällande lagar, regler och förordningar. Om det är så att man inte följer dem måste såklart ansvaret för det prövas. Men huruvida regeringen kan hållas ansvarig för det beror på vilken information som regeringen i så fall har fått av myndigheten. kände inte till att den regering som hon var en del av tog emot några signaler om att det fanns myndigheter som hade utmaningar med att hantera det ansvar som de hade enligt lagstiftningen. Om hon hade fått den typen av information som it-minister hade hon självklart agerat. framhöll att den dåvarande regeringen tog initiativ till en översyn av säkerhetsskyddslagstiftningen i en utredning som tillsattes 2011. Denna utredning lämnade sitt förslag till den sittande regeringen – ett förslag till en helt ny säkerhetsskyddslag. Den dåvarande regeringen tog också initiativ till , som handlade om att ta fram en strategi och mål för hantering och överföring av information i elektroniska kommunikationsnät och it-system. Också denna utredning överlämnade sina förslag till den sittande regeringen . Skriftliga svar från f.d. statsråd beslutade utskottet att genom en skrivelse till f.d. infrastrukturminister begära svar på vissa frågor. Som svar fick utskottet en skrivelse från (bilaga A5.1.13). I skrivelsen anför hon följande: Transportstyrelsen liksom övriga myndigheter har, och förväntas ta, ansvar att följa vid var tid gällande regler och lagar, så även t.ex. säkerhetsskyddsförordningen. Myndigheten har ett ansvar att säkerställa system för att informationssäkerhet fungerar. Frågan om outsourcing underställdes inte regeringen av myndigheten. Jag som förutvarande statsråd hade således inte anledning att vare sig misstro att myndigheten inte gjorde vad som låg i dess ansvar eller vidta något särskilt initiativ i frågan. beslutade utskottet att genom en skrivelse till f.d. justitieminister begära svar på en fråga. Som svar fick utskottet en skrivelse från (bilaga A5.1.14). Som svar på frågan om hon under den förra regeringens tid vidtog några åtgärder för att förekomma eller minska riskerna med outsourcing svarar ja. På hennes initiativ tillsattes utredningen för att modernisera säkerhetsskyddslagen 2011, vars resultat resulterat i konkreta beslut. Av direktiven till utredningen framgår att Säkerhetspolisen och andra i olika sammanhang tagit upp frågor som behövde ses över inom ramen för en sådan översyn. Det resulterade i att Säkerhetspolisen gavs uppdraget att göra en förstudie över vilka frågor som behövde behandlas i en större utredning, vilket var en viktig grund för arbetet med kommittédirektiven. Däremot är myndigheternas öppna årsböcker inte underlag för regeringens formella arbete, eftersom innehållet för det mesta är väl känt genom de regelbundna möten som hålls mellan departement och myndigheter. I skrivelse 2011/12:72 redovisades arbetet med it-stödet i rättskedjan. Därutöver har givetvis varit med i gemensam beredning av andra propositioner och skrivelser som av andra redovisats för . beslutade utskottet att genom en skrivelse till f.d. försvarsminister begära svar på en fråga. Som svar fick utskottet en skrivelse från (bilaga A5.1.15). I skrivelsen hänvisar till vad regeringen anförde i budgetpropositionen (prop. 2013/14:1 utg.omr. 6 s. 96): Med informationssäkerhet avses förmågan att upprätthålla önskad konfidentialitet, riktighet och tillgänglighet vid hantering av informationstillgångar. Samhällets informationssäkerhet handlar om att säkra information i syfte att värna olika värden i samhället, såsom demokrati, personlig integritet, mänskliga fri- och rättigheter samt tillväxt och ekonomisk stabilitet. är i stort sett all verksamhet beroende av fungerande informationssäkerhet. En större it-incident kan få omfattande samhälls-konsekvenser både för den drabbade verksamheten men också för andra verksamheter dels genom ett beroendeförhållande till den verksamhet som påverkats, dels genom spridningsrisk av orsak till incidenten. Flera verksamheter kan därmed påverkas och regeringen vill därför åter betona vikten av att informationssäkerhetsaspekter integreras i arbetet med risk-, sårbarhets- och säkerhetsanalyser. Det bör dock inte stanna vid att analyser är genomförda utan ansvariga aktörer bör utifrån dessa upprätta handlings-planer och genomföra åtgärder så att risken för it-incidenter etc. minimeras. Vidare framhåller att frågor om informationssäkerhet ingick i Förvarets radioanstalts (FRA) uppdrag om it-säkerhetsanalyser. I FRA:s årsrapport anges följande (s. 19): FRA har löpande lämnat stöd till statliga myndigheter och statligt ägda bolag i form av förebyggande operativa skyddsåtgärder. IT-säkerhetsanalyser har genomförts hos både nya och befintliga uppdragsgivare. Hos de befintliga uppdragsgivarna kan FRA se en tydlig förbättring av IT-säkerheten . FRA har efter begäran genomfört IT-säkerhetsanalyser vid elva olika statliga myndigheter och statligt ägda bolag. Vidare anför att Försvarsdepartementet deltagit i gemensam beredning av andra propositioner och skrivelser som av andra redovisats för . beslutade utskottet att genom en skrivelse till f.d. it- och energiminister fråga vilka kommentarer som föranleds av vad hon sagt om sitt ansvar för frågor om informationssäkerhet, dels vid en konferens om informationssäkerhet för den offentliga sektorn som Myndigheten för samhällsskydd och beredskap (MSB) anordnade 2012, dels vid utskottets utfrågning med henne . Vid anförde bl.a. följande: Jag tror inte att vi ska ägna oss åt att omorganisera regeringen, jag tror inte att det är huvudproblemet, och skapa ett eget departement, det som gjordes 2010 det var ju att partiledarna och regeringen bestämde sig för att inrätta en IT-minister. Det här är faktiskt första gången som vi har en IT-minister i som har ett samlat, horisontellt ansvar för den här typen av frågor, t.ex. när det gäller informationssäkerhet. Det är ju därför jag står här . Det är därför jag kan ge ett uppdrag till FRA, det är därför som jag har tjänstemän på försvarsdepartementet som jobbar åt mig när det gäller informationssäkerhetsfrågorna. Så även om regeringen inte bestämde sig för att inrätta ett särskilt departement för informationssäkerhet så har ju regeringen valt att inrätta en portfölj som har att hantera de här frågorna. Som svar fick utskottet en skrivelse från (bilaga A5.1.16). I skrivelsen anför att hon vid som svar på en fråga från en av deltagarna sade att hon som it-minister hade ett visst ”horisontellt ansvar för den här typen av frågor, t.ex. när det gäller informationssäkerhet”. Det syftade på var att hon som it-minister genom ett s.k. paragraf 5-förordnande hade ett föredragandeansvar när det gällde ”samordning av dels allmänna frågor rörande informationsteknik (IT) och dels frågor om samhällets informationssäkerhet”. Detta förordnande innebar dock inte att övertog det ansvar som låg hos andra departement och statsråd när det gällde ansvar för informationssäkerhet. Därav följde att hon som it-minister inte hade det grundläggande ansvaret vad gällde samhällets informationssäkerhet, t.ex. inte för den myndighet som hade föreskriftsrätt på området, nämligen MSB. Den myndigheten låg under ett annat departement. ansvar som it-minister begränsade sig till en viss övergripande och horisontell samordning av informationssäkerhetsfrågor, och det var detta hon syftade på vid sitt svar på en fråga vid . Vid utfrågning tydliggjorde att ansvaret för informationssäkerhetsfrågorna och Transportstyrelsen som myndighet inte låg hos henne som it-minister. Utskottet noterar att ansvaret enligt säkerhetsskyddslagen för att det säkerhetsskydd finns, som behövs med hänsyn till verksamhetens art, omfattning och övriga omständigheter, åvilar varje myndighet som lagen gäller för. Dessutom gäller att dessa myndigheter ska undersöka vilka uppgifter i deras verksamhet som ska hållas hemliga med hänsyn till rikets säkerhet och vilka anläggningar som kräver ett säkerhetsskydd med hänsyn till rikets säkerhet eller skyddet mot terrorism, och resultatet av denna undersökning (säkerhetsanalys) ska dokumenteras. Säkerhetspolisen är tillsynsmyndighet och ska kontrollera säkerhetsskyddet hos myndigheterna. I granskningen har framkommit att Transportstyrelsen från det att myndigheten bildades inte hade gjort någon säkerhetsanalys enligt säkerhetsskyddsförordningen. Därmed har Transportstyrelsen brutit mot säkerhetsskyddsförordningen som syftar till att värna rikets säkerhet. Det har också framkommit att Säkerhetspolisen inte har lämnat någon anmälan till regeringen om att Säkerhetspolisen vid sin tillsyn över säkerhetsskyddet hos Transportstyrelsen konstaterat brister som trots påpekanden inte har rättats till. Säkerhetspolisen har inte heller i övrigt lämnat någon information till regeringen om Transportstyrelsens säkerhetsskydd. Vad gäller vilken information regeringen fick från Transportstyrelsen om myndighetens planer på att outsourca sin it-drift visar utredningen att –inte fick information från Transportstyrelsen om myndighetens beslut att inte förlänga avtalet med om it-drift, att annonsera om upphandling av it-drift eller om vilken typ av upphandling som gjordes. Utskottet finner att det i granskningen inte har framkommit något som visar att regeringen har varit informerad om eller delaktig i Transportstyrelsens planer på att outsourca sin it-drift. Inte heller har framkommit att regeringen eller fått någon information om att Transportstyrelsen inte genomfört en säkerhetsanalys . När det gäller informationssäkerhet på ett mer allmänt plan noterar utskottet följande. regeringars arbete med informationssäkerhetsfrågor har granskats av . ansåg att regeringen inte hade följt upp om den interna styrningen och kontrollen av informationssäkerheten i statsförvaltningen varit tillfredsställande. Regeringen hade inte heller enligt tagit tillräckliga initiativ för att förbättra förutsättningarna för förvaltningens arbete med informationssäkerhet. ansåg fortfarande vid en granskning 2014 att arbetet med informationssäkerhet inte var ändamålsenligt sett till de hot och risker som fanns. I sin rapport framhöll att regelsystemet för informationssäkerhet i huvudsak såg ut som det gjorde 2007 och att de brister som då påpekades kvarstod i stora drag, vilket enligt innebar brister i regeringens styrning. Den bild som framkommer är att arbetet med informationssäkerhetsfrågor var eftersatt och att den dåvarande regeringen inte gjorde tillräckligt för att de brister som påpekats skulle bli åtgärdade. Vissa långsiktiga initiativ kom visserligen att tas men mer konkreta och omedelbara insatser synes inte ha vidtagits i den utsträckning som krävts. Utskottet vill i detta sammanhang framhålla det som utskottet har uttalat (bet. 2012/13:KU10 s. 99) om att det ingår det i regeringens styrande funktion en skyldighet att leda den statliga förvaltningens verksamhet. Detta förutsätter att regeringen följer myndigheternas verksamhet och vid behov ser till att vidta de åtgärder som är nödvändiga från ett styrningsperspektiv, givetvis med beaktande av myndigheternas självständighet enligt 12 kap. 2 § regeringsformen. Utskottet vill framhålla följande med anledning av de uppgifter som lämnats av till utskottet vid utfrågningen . Ansvaret för informationssäkerhetsfrågorna, t.ex. vid Transportstyrelsen, låg enligt inte hos henne som it-minister utan varje departement och statsråd ansvarade för dessa frågor inom sina områden, något som även framgår av svar till utskottet. Denna uppgift är korrekt, men utskottet konstaterar att som statsråd också hade ett samordningsansvar för frågor om samhällets informationssäkerhet. Beslutet om detta fattades av den dåvarande statsministern i form av ett s.k. paragraf 5-förordnande. I hennes förberedelser inför utfrågningen har detta uppenbarligen inte klarats ut. Det hon sade vid utfrågningen var således bristfälligt och gav bilden av att frågor om informationssäkerhet inte alls ingick i hennes ansvarsområde. Som tidigare uttalats av utskottet ska uppgifter som lämnas till vara korrekta och fullständiga. Enligt utskottets mening finns det skäl att ifrågasätta om ansvarsförhållandena inom den dåvarande regeringen för informationssäkerhetsfrågor var tillräckligt klara. Således anförde inför myndigheten med uppgift att samordna arbetet med informationssäkerhet att hon som it-minister hade ett horisontellt ansvar för frågor om informationssäkerhet, medan hon till utskottet uppgett att hon inte hade ansvar för informationssäkerhetsfrågor utan att det ansvaret låg på Försvarsdepartementet och att hennes ansvar omfattade samordning av regeringens arbete runt it- och digitaliseringsfrågor. Oklara ansvarsförhållanden kan enligt utskottet ha bidragit till otydlighet om uppdragets innebörd sett utifrån perspektiv. Med oklara ansvarsförhållanden inom regeringen fanns enligt utskottet en risk att problemen inte fick den uppmärksamhet som krävdes i regeringsarbetet och att nödvändiga åtgärder därför uteblev. Utskottet vill understryka vikten av tydliga ansvarsförhållanden, särskilt på områden som informationssäkerhet, där konsekvenserna av uteblivna åtgärder kan bli mycket allvarliga. 5.2 Regeringens agerande i samband med Transportstyrelsens it-upphandling I en anmälan till (dnr 2581-2016/17), bilaga A5.2.1, begärs det att utskottet granskar om något statsråd eller statsministern har brustit i sin tjänsteutövning i samband med Transportstyrelsens it-upphandling. Enligt anmälan har upphandlingen gjort att utländsk makt fått obegränsad tillgång till information om vilka som har hemlig identitet, vilka fordon i som är bepansrade, var och när värdetransportbilar körs etc. Anmälaren reser frågor om när regeringen och dåvarande infrastrukturminister fick information om att Transportstyrelsens generaldirektör och ordförande brutit mot bestämmelser som gäller säkerhetsklassning av personal, skälet till att generaldirektören men inte ordföranden fått lämna sitt uppdrag, när berörda myndigheter har informerats om att känslig information har kommit utländsk makt till handa och varför inte berörda riksdagsutskott och har informerats. Vidare tar anmälaren upp om det finns andra statliga myndigheter som vid outsourcing av it-tjänster på motsvarande sätt kan ha möjliggjort att utländsk makt fått information som riskerar rikets säkerhet och vilka åtgärder som har vidtagits för att det inträffade inte ska kunna hända igen. Agerandet i samband med Transportstyrelsens it-upphandling tas upp i ytterligare en anmälan till (dnr 2659-2016/17), bilaga A5.2.2. Anmälaren framhåller att utöver statsministern och dåvarande infrastrukturminister bör utskottets granskning även omfatta dåvarande inrikesminister och försvarsminister . Ingen av dessa informerade statsministern eller den dåvarande infrastrukturministern när de fick information om upphandlingen. I anmälan ställs också frågor kring den dåvarande statssekreteraren till vid och statsministerns båda statssekreterare vid . Något samlat och samordnat agerande för att hantera krisen kan knappast ha kommit till stånd, och vikten av statsministerns roll, ansvar och agerande bör granskas noga, enligt anmälaren. Har statsministern organiserat arbetet i regeringen och på ett sådant sätt att han snabbt får viktig information, och har han verktyg som gör att han kan agera snabbt när så krävs? Vidare bör utskottet granska säkerhetspolitiska rådets roll och funktionssätt. Till grund för granskningen har bl.a. legat promemorior som upprättats inom , , Försvarsdepartementet, Statsrådsberedningen och , bilaga A5.2.3–10. Till svarspromemoriorna är bifogat bl.a. risk-och sårbarhetsanalyser och årsredovisningar från Transportstyrelsen, kommentarer från Transportstyrelsen till utgiftsprognoser och dagordningar från myndighetsdialoger med Transportstyrelsen. Vidare har till grund för granskningen bl.a. legat svarsskrivelser från Transportstyrelsen, bilaga A5.2.11–12. Vidare har utskottet haft tillgång till handlingar från i ärendet om avskedande av som generaldirektör. Utskottet har hållit 14 utfrågningar med följande myndigheter och personer: Säkerhetspolisen (och ), justitierådet (), internrevisor , Transportstyrelsen (), f.d. generaldirektören vid Transportstyrelsen och f.d. ställföreträdande generaldirektören vid Transportstyrelsen (), f.d. generaldirektören vid Transportstyrelsen (), f.d. styrelseordföranden vid Transportstyrelsen (), f.d. statssekreterare (), f.d. statssekreterare (), f.d. statssekreterare (), f.d. infrastrukturminister (), f.d. inrikesminister (), försvarsminister () och statsminister (). Utfrågningarna har varit offentliga, utom de med Säkerhetspolisen och samt delar av utfrågningarna med , , och . Uppteckningar från utfrågningarna finns i bilaga B1–8, B10–13, B17 och B19. Transportstyrelsen genomförde en upphandling om förändrad it-drift. Upphandlingen ledde till att () tilldelades kontraktet för Transportstyrelsens it-drift, och ett avtal träffades . skulle enligt avtalet ansvara för att maskinvara, nätverk och program fungerar. Detta omfattar också driften av de register som Transportstyrelsen har ansvar för, t.ex. vägtrafikregistret. övertog ansvaret för driften . Icke säkerhetsklassad personal vid och dess underleverantörer fick tillgång till Transportstyrelsens it-system . beslutade Transportstyrelsen att skjuta upp övertagande av it-driften från 2015. beslutade Säkerhetspolisen att inleda en tillsyn av Transportstyrelsens säkerhetsskydd.