bet · H501KU20 · 2018-06-12 00:00:00 — Under övergången av it-driften till beslutade generaldirektören för Transportstyrelsen om avsteg från svensk lagstiftning. Det första avstegsbeslutet fattades och följdes därefter av ytterligare avstegsbeslut. Säkerhetspolisen inledde en förundersökning avseende vårdslöshet med hemlig uppgift. Transportstyrelsens tidigare generaldirektör godkände ett strafföreläggande av innebörden att hon gjort sig skyldig till vårdslöshet med hemlig uppgift. Kronologin innehåller översiktliga uppgifter om några av de händelser som kommit fram i granskningen uppdelat i avsnitt. Information om Transportstyrelsens projekt att outsourca it-verksamheten och stordatormigreringen – : Transportstyrelsens risk- och sårbarhetsanalys kommer in till . I analysen anges att it-driften är av avgörande betydelse för att vägtrafikregistret ska kunna upprätthållas, att driften sker genom försorg och att it-driften fr.o.m. kommer att skötas internt inom Transportstyrelsen. – : Vid ett myndighetsbesök på Trafikverket nämnde verket för att skulle avveckla all extern it-drift. – : och Transportstyrelsen har en myndighetsdialog där stordatormigreringen tas upp som en övrig fråga. – : Myndighetsdialog mellan och Transportstyrelsen. På dagordningen finns inget punkt om outsourcingen. – : får Transportstyrelsens årsredovisning , som bl.a. innehåller uppgifter om risker inom it-området. – : Dialogmöte mellan och Transportstyrelsen med lägesuppdatering om stordatormigreringen från Transportstyrelsen. Mötet leds av statssekreterare . Information om generaldirektörens beslut om avsteg från lagstiftningen – : Vid möten med och Transportstyrelsen kommer det fram att Transportstyrelsen gjort avsteg från regelverket. – : Vid ett möte med Säkerhetspolisen får information om att Transportstyrelsens generaldirektör fattat formella beslut om avsteg. Information om Säkerhetspolisens tillsyn och förundersökning – : Vid ett möte informerar Säkerhetspolisen om att Säkerhetspolisen nåtts av information om att Transportstyrelsen har för avsikt att bl.a. outsourca körkortsregistret till utlandet och att Säkerhetspolisen avsåg att inleda en tillsyn hos Transportstyrelsen. Statssekreterare deltar i mötet. – : Säkerhetspolisen informerar per telefon (myndighetshandläggaren för Säkerhetspolisen) om att man under tillsynen har uppmärksammat förhållanden som föranledde rekommendationer till Transportstyrelsen. – : Tillsynsärendet nämns för Statsrådsberedningen vid ett möte mellan och Säkerhetspolisen vid vilket Statsrådsberedningen närvarar. – : Vid ett möte med Säkerhetspolisen ger Säkerhetspolisen närmare information till och om tillsynen av Transportstyrelsen och om att uppgifter i den outsourcade it-driften kunde medföra risker avseende kvalificerade skyddsidentiteter och vägtrafikregistret. Vidare informerar Säkerhetspolisen om att en förundersökning inletts. Deltar gör den dåvarande rättschefen i , enhetschefen för polisenheten, myndighetshandläggaren för Säkerhetspolisen i , expeditionschefen i samt medarbetare från Säkerhetspolisen. – : Möte mellan och Transportstyrelsen med anledning av informationen till departementet från Säkerhetspolisen om tillsynen. – : Möte mellan och Transportstyrelsen med anledning av information till departementet från Säkerhetspolisen om tillsynen. Statssekreterare informeras efter mötet. – : Möte mellan och Transportstyrelsen med anledning av information till departementet från Säkerhetspolisen om tillsynen. – Våren och : Säkerhetspolisen nämner outsourcingen i samband med möten med om ett flertal olika frågor. – : Säkerhetspolisen informerar om förundersökningen. – : och har ett möte med Säkerhetspolisen med information om förundersökningen. Från deltar statssekreterare och expeditionschefen. Transportstyrelsens arbete med risk och sårbarhet – : Transportstyrelsens risk- och sårbarhetsanalys kommer in till . – : Regeringen uppdrar i regleringsbrevet för åt Transportstyrelsen att i arbetet med risk- och sårbarhetsanalyser särskilt beakta och analysera informationssäkerheten i de delar av verksamheten och i de tekniska system som är nödvändiga för att myndigheten ska kunna utföra sitt arbete. – : Transportstyrelsen lämnar en rapport om informationssäkerhet till . lämnar myndigheten in sin risk- och sårbarhetsanalys till departementet. – : bedömning av risk- och sårbarhetsanalysen inklusive den särskilda informationssäkerhetsrapporten överlämnas till . – : får Transportstyrelsens årsredovisning . I den anges att det inom it-området finns risker kopplade till omfattande projekt som genomförs för vägtrafikregistret och it-drift. Vidare anges bl.a. att samtliga identifierade risker anses vara riktigt bedömda och under kontroll. – : och Transportstyrelsen har en myndighetsdialog. Risk- och sårbarhetsanalysen och den särskilda rapporten om it-säkerhet tas upp under punkten Information från Transportstyrelsen. – : och Transportstyrelsen har en myndighetsdialog. Informationssäkerhet anges som en diskussionsfråga på dagordningen. – : Transportstyrelsen redovisar till ett uppdrag om planeringsarbetet för det civila försvaret om nuläge och utvecklingsbehov för myndighetens förmåga inom säkerhetsskydd. – : Transportstyrelsen lämnar sin risk- och sårbarhetsanalys till . I den redovisas valet av som ny driftleverantör och ambitionen att flytta samtliga it-system till datacenter i . I analysen redovisas åtgärdsbehov bl.a. i form av informationsklassning med avseende på sekretess, tillgänglighet och riktighet. – : får Transportstyrelsens årsredovisning . I den anges att det finns risker kopplade till omfattande projekt avseende vägtrafikregistret och it-driften. – : Transportstyrelsen redovisar till ett uppdrag om planeringsarbetet för det civila försvaret. I redovisningen anges att tagit över myndighetens it-drift och att säkerhetsskyddaspekterna är en utmaning. – : och Transportstyrelsen har en myndighetsdialog om bl.a. informationssäkerhet och säkerhetsskydd. – : Transportstyrelsen lämnar en utgiftsprognos till , i vilken det redovisas en ökning av it-kostnaderna p.g.a. ett nytt it-driftsavtal. – : Transportstyrelsen lämnar en utgiftsprognos till , i vilken det redovisas en ökning av it-kostnaderna p.g.a. ett nytt it-driftsavtal. – : Transportstyrelsen lämnar en utgiftsprognos till , i vilken det redovisas en ökning av it-kostnaderna p.g.a. ett nytt it-driftsavtal. – : Transportstyrelsen lämnar en utgiftsprognos till , i vilken redovisas en ökning av it-kostnaderna p.g.a. ett nytt it-driftsavtal. – : Transportstyrelsen lämnar en utgiftsprognos till , i vilken redovisas ändrade beräkningar för kostnadsreduceringar och effektiviseringar p.g.a. att säkerhetskraven för it-driften förändrats och skärpts. Vidare anges att besparingarna kommer att bli betydligt lägre. – : Transportstyrelsen lämnar en utgiftsprognos till , i vilken redovisas ändrade beräkningar för kostnadsreduceringar och effektiviseringar p.g.a. av säkerhetskraven för it-driften förändrats och skärpts. Vidare anges att besparingarna kommer att bli betydligt lägre. – : Transportstyrelsen lämnar en utgiftsprognos till , i vilken redovisas ändrade beräkningar för kostnadsreduceringar och effektiviseringar p.g.a. att säkerhetskraven för it-driften förändrats och skärpts. Vidare anges att besparingarna kommer att bli betydligt lägre. – : Transportstyrelsen lämnar en utgiftsprognos till , i vilken redovisas ändrade beräkningar för kostnadsreduceringar och effektiviseringar p.g.a. av säkerhetskraven för it-driften förändrats och skärpts. Vidare anges att besparingarna kommer att bli betydligt lägre. – : Transportstyrelsen lämnar en utgiftsprognos till , i vilken ändrade beräkningar för kostnadsreduceringar och effektiviseringar p.g.a. att säkerhetskraven för it-driften förändrats och skärpts. Vidare anges att besparingarna kommer att bli betydligt lägre. – : Försvarsdepartementet får information av tjänstemän vid och om säkerhetsrisker i samband med Transportstyrelsens outsourcing. I samband med detta inleds en dialog mellan Försvarsdepartementet och Försvarsmakten i frågan. – : Försvarsminister informeras av sina tjänstemän om problem i samband med Transportstyrelsens outsourcing. – : Möte på tjänstemannanivå mellan Försvarsdepartementet och . Försvarsdepartementet informerar om Försvarsmaktens fortsatta arbete. – : Ytterligare information lämnas till Försvarsdepartementet av och . Informationen handlar om att Transportstyrelsens generaldirektör var misstänkt för brott och skulle skiljas från uppdraget. Beslut av regeringen i anledning av Transportstyrelsens outsourcing – : Regeringen beslutar att skilja den dåvarande generaldirektören i Transportstyrelsen från uppdraget och att anställa henne som generaldirektör i . – : Ordföranden i entledigas och en ny utses. entledigar regeringen ytterligare styrelseledamöter och utser nya. – : Regeringen beslutar att frågan om generaldirektör ska avskedas ska anmälas till . – : Regeringen begär hos att generaldirektören ska avskedas. – : Regeringen fattar beslut om att en utredare ska granska den upphandling rörande förändrad it-drift hos Transportstyrelsen som har medfört att säkerhetskänslig och av andra skäl sekretessbelagd information har hanterats på ett sätt som strider mot svensk lag. Regeringen beslutar också att uppdra åt Transportstyrelsen att kartlägga vilka uppgifter som har hanterats av icke säkerhetsprövade medarbetare hos leverantörer och underleverantörer samt vilka av dessa uppgifter som är säkerhetskänsliga eller av andra skäl sekretessbelagda. – : informeras () av dåvarande infrastrukturminister och företrädare från Transportstyrelsen och , justitieutskottet () av dåvarande inrikesminister och företrädare för samt försvarsutskottet () av försvarsminister och företrädare för Militära underrättelse- och säkerhetstjänsten. – : Statsminister informerar partiledarna. Vid mötet deltar också de berörda myndighetscheferna: generaldirektör, överbefälhavare och Säkerhetspolisens generaldirektör. – har regeringsföreträdare svarat på ett antal interpellationer och skriftliga frågor. Regeringens ansvar för förvaltningsmyndigheterna Enligt 1 kap. 6 § regeringsformen styr regeringen riket och är ansvarig inför . Enligt 12 kap. 1 § regeringsformen lyder en förvaltningsmyndighet under regeringen om myndigheten inte är lagd under . I regeringens styrande funktion ingår en skyldighet att leda den statliga förvaltningens verksamhet (prop. 1986/87:99 s. 25). Förvaltningsmyndigheterna står till regeringens förfogande i uppgiften att styra riket. Regeringen bär ett ansvar för att föreskrifter följss och för att den statliga sektorn fungerar i enlighet med intentioner. Med regeringens styrande funktioner följer, med vissa begränsningar, en rätt att ta initiativ och ge direktiv till förvaltningen. Sådana direktiv kan avse bl.a. allt generellt inriktat arbete inom en förvaltningsmyndighet, t.ex. planering, prioriteringar eller utredningsverksamhet samt hela det administrativa området, t.ex. vad gäller beslutsorgan, organisation eller rationaliseringar. Regeringen är i väsentliga avseenden fri att välja inriktning, utformning och omfattning av kontrollen av förvaltningsmyndigheterna. Insatser som kräver särskilda resurser förutsätter att beviljar medel. En stor del av regeringens mer löpande förvaltningskontroll sker inom ramen för budgetprocessen. Enligt 12 kap. 2 § regeringsformen får ingen myndighet, inte heller eller en kommuns beslutande organ, bestämma hur en förvaltningsmyndighet i ett särskilt fall ska besluta i ett ärende som rör myndighetsutövning mot en enskild eller mot en kommun eller som rör tillämpningen av lag. För att bereda regeringsärenden och för att biträda regeringen och statsråden i deras verksamhet i övrigt ska det finnas ett regeringskansli, enligt 7 kap. 1 § regeringsformen. I detta ingår departement för olika verksamhetsgrenar. Regeringen fördelar ärendena mellan departementen. Statsministern utser bland statsråden chefer för departementen. Fördelning av regeringsärenden mellan departement anges i bilagan till förordningen (1996:1515) med instruktion för . Av bilagan framgår också till vilka departement myndigheter och andra organ hör. ansvarar för bl.a. allmänna frågor om digitalisering och användningen av informationsteknik, i den mån sådana ärenden inte hör till något annat departement, och infrastruktur för informationsteknik. Transportstyrelsen hör till . ansvarar för bl.a. samordning av samhällets krisberedskap inklusive civilt försvar, i den mån sådana ärenden inte rör försvarets militära förmåga, och informationssäkerhet, i den mån sådana ärenden inte hör till något annat departement. Säkerhetspolisen hör till . Vidare finns vid enligt instruktionen en särskild chefstjänsteman för krishantering (11 b §). Under chefstjänstemannen finns ett kansli för krishantering. Den särskilda chefstjänstemannen för krishantering ansvarar för utveckling, samordning och uppföljning av krishanteringen i samt nödvändiga förberedelser för detta (11 c §). Chefstjänstemannen får i det syftet ge ut riktlinjer och annat material. För krishantering finns det en grupp för strategisk samordning (11 d §). Gruppen består av statssekreterare i de departement vars verksamhetsområden berörs av en allvarlig händelse eller en uppkommen situation. Gruppen leds av en statssekreterare i , som vid förhinder får utse en annan statssekreterare att leda gruppen. Med statssekreterare avses även kabinettssekreteraren. finns också ett krishanteringsråd som leds av inrikesministerns statssekreterare (bet. 2015/16:KU20 s. 436). Under normala förhållanden sammanträder rådet för samverkan och ömsesidig orientering om arbetet inom krisberedskapsområdet. Rådet kan också sammankallas för samverkan och informationsutbyte mellan och myndigheter under allvarliga händelser och kriser, framför allt om händelsens karaktär och de åtgärder som vidtas är av det slaget att rådet behöver komplettera det informationsutbyte och de kontakter som tas mellan aktörerna på andra sätt. Slutligen kan nämnas det säkerhetspolitiska råd som inrättats i (bet. 2015/16:KU20 s. 240) för att regelbundet kunna diskutera en samordnad hantering av frågor som rör säkerhet i bred bemärkelse. Statsministern leder rådets möten, där även vice statsministern, utrikesministern, försvarsministern och inrikesministern deltar. Även andra statsråd kan vid behov delta i rådets arbete, liksom vissa statssekreterare. Det gäller även företrädare för myndigheter som är direkt berörda och som får göra föredragningar för rådet. Samråd mellan departementen är nödvändigt bl.a. därför att regeringens ledamöter har ett kollektivt ansvar för besluten (7 kap. 3 § regeringsformen). Genom samrådet får alla statsråd faktiska möjligheter att utöva det inflytande på besluten som deras ansvar motiverar (m.fl., Grundlagarna [l , Zeteo], kommentaren till 7 kap. 2 § regeringsformen). Gemensam beredning ska äga rum då ett regeringsärende faller inom flera departements verksamhetsområden men även då ett ärende berör mer än ett statsråds område inom samma departement (15 § förordningen med instruktion för ). Särskilt föreskriven i regeringsformen är skyldigheten att hålla ”chefen för det departement till vilket utrikesärendena hör” underrättad när det uppkommer en fråga som är av betydelse för förhållandet till en annan stat eller till en mellanfolklig organisation hos en annan statlig myndighet (10 kap. 13 § regeringsformen). Denna regel ska även tillämpas på andra departement. Allmän beredning med samtliga statsråd hålls regelbundet efter regeringssammanträdet. Den allmänna beredningen har efter hand öppnats för flera. Det förekommer att riksdagsgruppens eller riksdagsgruppernas ordförande liksom statsministerns och finansministerns statssekreterare deltar. Ärenden som kan tas upp på allmän beredning är sådana där enighet mellan berörda statsråd inte kunnat uppnås eller där ett statsråd vill informera eller ha vägledning av sina regeringskollegor inför ett förestående regeringsbeslut. Andra former av informellt samråd och informella förhandlingar mellan departementen äger rum på statsrådsnivå ,t.ex. vid statsrådens gemensamma lunch, eller på tjänstemannaplanet. En form för interdepartementalt samarbete är s.k. delning av utkast till viktigare regeringsbeslut. Samtliga departement ges därigenom tillfälle att lämna synpunkter. Föremål för delning är förslag till propositioner, lagrådsremisser, förordningar och kommittédirektiv samt lagar som ska utfärdas. Även utkast till svar på interpellationer och skriftliga frågor från riksdagsledamöter delas. Delning kan dock inte ersätta gemensam beredning. Inom departementen hålls veckoberedning, när de ärenden som ska tas upp på nästa regeringssammanträde föredras för det ansvariga statsrådet. När granskade regeringens hantering av AB:s förvärv av Nuon, konstaterade utskottet att denna fråga inte var något regeringsärende. Ställningstaganden i sådana frågor får dock liksom beslut i regeringsärenden förutsättas vara färgade av eller åtminstone vara förenliga med värderingar gemensamma för hela regeringen. Därför fanns det enligt utskottet brister i den gemensamma beredningen av detta ställningstagande. Statsrådsberedningens promemoria 2012:1 (rev. 2017) innehåller riktlinjer om samrådsformer i . Inte bara formella regeringsärenden utan även t.ex. ståndpunktioner och instruktioner inför förhandlingar och utspel i EU, svar på interpellationer och frågor, ägarfrågor och anföranden, uttalanden och tidningsartiklar som innehåller ställningstaganden till riktlinjer, principer eller förhållningssätt tas upp i promemorian. Ett särskilt avsnitt handlar om beredningen av utnämningsärenden (s. 9 f.). Beträffande myndighetschefer, ordförande i myndigheters styrelser och generaldirektörer i anges att ärenden om sådana anställningar och uppdrag bereds med Statsrådsberedningen på det sätt som statsministerns statssekreterare närmare anger. Samma beredningskrav gäller vid förlängning av uppdrag. Utnämningar av myndighetschefer eller av ordförande i myndigheters styrelser bereds också med statsråd vars verksamhetsområde i särskilt hög grad berörs av verksamheten hos myndigheten i fråga och med det statsråd från vars verksamhetsområde den tilltänkte hämtas. Ledningens ansvar och allmänna uppgifter vid myndigheter Enligt 2 § myndighetsförordningen (2007:515) leds en myndighet av en myndighetschef (enrådighetsmyndighet), en styrelse (styrelsemyndighet) eller en nämnd (nämndmyndighet). Myndighetens ledningsform anges i myndighetens instruktion eller i någon annan författning. Myndighetens ledning ansvarar, enligt 3 §, inför regeringen för verksamheten och ska se till att den bedrivs effektivt och enligt gällande rätt och de förpliktelser som följer av medlemskap i unionen, att den redovisas på ett tillförlitligt och rättvisande sätt samt att myndigheten hushållar väl med statens medel. Av 4–5 §§ framgår att beslutanderätt i styrelsemyndigheter med vissa undantag kan delegeras till en myndighetschef eller någon annan vid myndigheten. I 6 § anges bl.a. att myndigheten fortlöpande ska utveckla verksamheten. Den ska verka för att genom samarbete med myndigheter och andra ta till vara de fördelar som kan vinnas för enskilda samt för staten som helhet. Kravet att utveckla verksamheten anses också omfatta ett effektivt utnyttjande av informationstekniken (pm Underlag för gemensam beredning av en ny myndighetsförordning, ). Av 10 kap. 8 § riksdagsordningen framgår att en statlig myndighet ska lämna upplysningar och avge yttranden till ett utskott som begär det. Regeringens skyldighet i detta sammanhang är dock begränsad till dels frågor om arbetet inom EU, dels de av riksrevisorernas granskningsrapporter över effektivitetsrevisionen som har överlämnats till regeringen. Skyldigheten ligger på myndigheten som sådan, inte på en enskild tjänsteman. Informationen till utskotten kan lämnas skriftligen eller muntligen (m.fl., Grundlagarna [l , Zeteo], kommentaren till 10 kap. 8 § riksdagsordningen). Information till och samråd med Enligt 10 kap. 11 § regeringsformen ska regeringen fortlöpande hålla underrättad om de utrikespolitiska förhållanden som kan få betydelse för riket och överlägga med nämnden om dessa så ofta det behövs. I alla utrikesärenden av större vikt ska regeringen före avgörandet överlägga med nämnden, om det kan ske. Med utrikesärenden avses enligt grundlagspropositionen (prop. 1973:90 s. 367) ärenden som angår rikets förhållande till främmande stater eller till mellanfolkliga organisationer. Grundlagberedningen (SOU 1972:15 s. 187) uttalade att även de utrikespolitiska sidorna av försvarspolitiken och handelspolitiken omfattades av uttrycket ”utrikespolitiska förhållanden”. Bestämmelsens sista mening innebär att överläggningar ska ske såvida detta inte är omöjligt av särskilda skäl (prop. 1973:90 s. 367). Regeringen ska i princip i alla sådana ärenden överlägga med nämnden ”före avgörandet”, dvs. innan regeringen faktiskt tar ställning i frågan (och , grundlagar, 12 uppl., 1980, s. 256; m.fl. grundlagar, 11 uppl., 1971, s. 70). Enligt ett uttalande från tyder förarbetena till regeringsformen på att uttrycket ”om det kan ske” närmast syftar på de fall där överläggningar inte hinns med på grund av ärendets brådskande natur (bet. 1999/2000:KU20 s. 17). I samband med författningsreformen framhöll såväl Grundlagberedningen som det föredragande statsrådet att utrikespolitikens betydelse för rikets säkerhet motiverar att har en vidsträckt insyn och ett starkt inflytande på detta område (prop. 1973:90 s. 355 f.). I svensk rätt finns ett flertal regelverk som ställer krav på informationssäkerhet utifrån olika förutsättningar, t.ex. personuppgiftslagen (1998:204), som är ersatt av dataskyddsförordningen och lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning, förordningen (2015:1052) om krisberedskap och bevakningsansvariga myndigheters åtgärder vid höjd beredskap och MSBFS 2016:1 föreskrifter och allmänna råd om statliga myndigheters informationssäkerhet. Offentlighets- och sekretesslagen (2009:400) ställer krav på att vissa uppgifter inte får röjas eller lämnas ut, vilket också innebär att uppgifterna ska skyddas. Bestämmelser om hantering av s.k. hemliga uppgifter finns i säkerhetsskyddslagstiftningen. Av 7 § säkerhetsskyddslagen (1996:627) framgår att säkerhetsskyddet ska förebygga 1) att uppgifter som omfattas av sekretess och som rör rikets säkerhet (hemliga uppgifter) obehörigen röjs, ändras eller förstörs (informationssäkerhet), 2) att obehöriga får tillträde till platser där de kan få tillgång till sådana uppgifter eller där verksamhet som har betydelse för rikets säkerhet bedrivs (tillträdesbegränsning) och 3) att personer som inte är pålitliga från säkerhetssynpunkt deltar i verksamhet som är av betydelse för rikets säkerhet (säkerhetsprövning). Säkerhetsskyddet ska även i övrigt förebygga terrorism. Vid utformningen av informationssäkerhet ska enligt säkerhetsskyddslagen behovet av skydd vid automatisk informationsbehandling beaktas särskilt (9 §). Det saknas definition av begreppet rikets säkerhet i säkerhetsskyddslagen. I stället ska myndigheter och andra som omfattas av säkerhetsskyddsförordningen (1996:633) undersöka vilka uppgifter i deras verksamhet som ska hållas hemliga med hänsyn till rikets säkerhet och vilka anläggningar som kräver ett säkerhetsskydd med hänsyn till rikets säkerhet eller skyddet mot terrorism, enligt 5 § säkerhetsskyddsförordningen. Resultatet ska dokumenteras i en säkerhetsanalys. Om en hemlig handling kan ha röjts ska det enligt 10 § säkerhetsskyddsförordningen skyndsamt anmälas till Säkerhetspolisen, under förutsättning att röjandet kan antas medföra men för rikets säkerhet som inte enbart är ringa. Skälen till bestämmelsen är dels att kunna utreda det eventuella straffrättsliga ansvaret för röjandet, dels att kunna vidta åtgärder för att minska skadan i det enskilda fallet och om möjligt minska risken för framtida röjande (SOU 2015:25 s. 127).