bet · H501KU20d3 · 2018-01-01 00:00:00 — Den innebär för det första att det är myndigheterna som har ansvar för sin egen säkerhet och för det andra att det är respektive departement som har ansvar för sina myndigheter. När risk- och sårbarhetsanalysen kom in från Transportstyrelsen var det alltså Närings- departementet som skulle hantera den och gentemot sina myndigheter – i detta fall Transportstyrelsen – hantera vad man behöver göra. På fick man då en övergripande bild av vad som har kommit fram i alla risk- och sårbarhetsanalyser. Det är bland annat detta som har lett till exempelvis beslutet om obligatorisk rapportering av it-incidenter och senare följande beslut. Det är alltså varje departements ansvar – i detta fall . Ordföranden: Men om det står något uppseendeväckande i ett sådant doku- ment som kommer till , finns det då någonting som hindrar att tar kontakt med och frågar om man har sett detta och om man har gjort något åt det? : Svar nej – det finns inget som hindrar det. Ordföranden: Men det gjorde ni inte? Det fanns inte något skäl till det i detta fall. Ordföranden: statsrådet delar inte bedömning att det som stod i rapporten var anmärkningsvärt? : Jo, jag delar den bedömningen och anser att det borde ha hanterats av . Ordföranden: Jag vill bara ställa en kontrollfråga till i denna vända. Statsrådet sa att fick information om att hade begått lagbrott . När var i utskottet svarade hon på en fråga från mig och sa att hon hade berättat om sina lagbrott vid ett möte på . Här får vi helt olika bilder – det skiljer mellan dessa uppgifter. Har statsrådet någon synpunkt på det? : Jag tror att frågan om vilken information som har lämnats och när detta har skett ställs bäst till min före detta kollega . Jag fick ingen information om att ett lagbrott hade begåtts som statssekreterare. Skånberg (KD): En av de stora nyheterna som statsrådet har gett insikt i under utfrågningen är med anledning av det pressmeddelande som ledamoten alldeles läste upp delar ur. Hon sa alldeles att det är ett generellt problem. Det är faktiskt värre med det som föranledde detta pressmeddelande. Rikets säkerhet var i värre fara – det är osagt vad som var värre – och detta föregick därför hennes information till statsrådet om Transportstyrelsen. Vi har alltså ett haveri i Transportstyrelsen. Men vi får också ana någonting som är övergripande över alla departement och som är värre än det som hände i Transportstyrelsen. Det vore tjänstefel om jag inte frågade: Vad är det som har hänt i samtliga departement som är värre än det som hände i Transport- styrelsen? Detta, men inte det andra, ansågs ju vara någonting som man skulle hantera på statssekreterarnivå. : Det är att gravt misstolka vad jag sa. Det jag sa var att det inte var så att detta beslut togs på grund av en händelse på Transportstyrelsen utan att det generellt sett i alla myndigheter tas alldeles för lätt på säkerhet. Det är värre. Om man hade sagt att det fanns perfekta säkerhetsanalyser, att det fanns ett perfekt säkerhetsarbete och att ingen ägnade sig åt några aktiviteter utan att kontrollera detta med hade vi inte behövt ta detta beslut. Det är värre att säkerhetskulturen bland myndigheter inte är lika högt prioriterad som frågan om att spara pengar och outsourca. Det handlar inte om någon särskild händelse, vilket jag inte heller sa. Skånberg (KD): Tack för förtydligandet – det gör att vi sover lugnare . Men det lämnar ändå en lucka. Det finns alltså ett generellt problem som föranleder ett pressmeddelande , som – förmodar jag – statsrådet var informerad om. Ändå säger statsrådet att detta fall på Transportstyrelsen hanterades på statssekreterarnivå. Det är svårt att tro att man informerar statsrådet om det ena men inte om det andra. Det måste förklaras. : Jag förstår att detta är svårt att förstå. Det är väldigt svårt att förstå hur statssekreterarna gör bedömningar i varje fall. Därför är det väldigt bra att jag nu i KU kan svara på varför jag gjorde de bedömningar som jag gjorde. När det gäller det beslut som togs fanns i bakgrunden ett utredningsbetänkande som låg till grund för incidentrapporteringen. Denna fråga är inte lätt, och vi ska inte komma in på den här. Men frågan om huruvida man ska ha obligatorisk incidentrapportering är mycket svår, och därför utreddes den också i . till grund för det regeringsbeslut som fattades . Det var inte Transportstyrelsen som låg till grund för detta beslut. Skånberg (KD): Under framställningen sa statsrådet att det inte fanns någon anledning för regeringen att agera på annat sätt. Alldeles hörde vi statsrådet säga att statsministern borde ha fått information tidigare. Hur ska vi förstå det? Fanns det ingen anledning för regeringen att agera på annat sätt, eller borde statsministern ha fått information tidigare? Båda utsagorna kan inte vara sanna . : Jag syftade framför allt på hanteringen av frågan i sig. Informationshanteringen ser jag separat. Jag har sagt att jag gärna berättar om hur jag såg och ser på hanteringen av information till Statsrådsberedningen i den slutna delen. Men det ska ses som sakhantering. Skånberg (KD): Jag har en sista fråga. Vi får bilden av pressmeddelandet, med den övergripande, problematiska situationen. Vi får bilden av ett haveri i Transportstyrelsen. Inledningen av statsrådets framställning här gav en utomordentligt god grund för vilket allvar detta har. Hur allvarlig måste en sådan här problematik vara för att detta ska tas upp i den krishanteringsgrupp som regeringen har just för denna typ av frågor? Vad ytterligare behövs för att man ska sammankalla den? : Tack för frågan – den är mycket relevant. Men det handlar inte om allvar eller inte allvar när det gäller huruvida man bestämmer sig för att ta upp en fråga och använda hela regeringens krishantering eller inte. Det handlar i stället om på vilket sätt vi hanterar frågan mest effektivt. Är det genom att ta in hela krishantering? Jag ska under det stängda mötet bland annat berätta hur GSS-möten går till. Det har inte med allvar att göra. Det är inte så att det går till GSS om det är jätteallvarligt – det har inte med detta att göra. Det handlar om vilket som är mest ändamålsenligt. I denna fråga gjorde jag bedömningen att GSS inte var det bäst lämpade utan att det bäst lämpade var att det sköttes via de tre departementen och Statsrådsberedningen. Hanteringen av de tre departemen- ten, med rättschefer och myndighetschefer, gällde att se till att de så fort och effektivt som möjligt såg till att sårbarhetsreducera, att få bort eventuella läckor och – naturligtvis, i detta läge – att inte sprida informationen så att främmande makt kunde få den om det skulle visa sig att det var en allvarlig läcka. (S): Statsrådet har redogjort för en lång rad åtgärder som har vidtagits för att höja säkerhetsnivån runt upphandlingar och outsourcing. Denna utveckling har pågått ett tag, delvis av tekniska orsaker och lämplig- hetsskäl. Den påhejades ganska käckt av den förra regeringen. Upplever stats- rådet att den tidigare regeringen hade vidtagit tillräckliga åtgärder för att denna utveckling skulle förses med tillräckliga säkerhetsåtgärder, eller hade man släppt iväg en utveckling utan att man hade tagit tillräcklig hänsyn till rikets säkerhet? Ordföranden: får såklart gärna svara även på sådana politiska frågor. : Herr ordförande! Det enda jag kan konstatera är att Säkerhets- polisen pekade på att detta är ett problem. Vi kan se att i Transportstyrelsen tog frågorna om effektivitet och om att spara pengar över frågan om att värna säkerheten. Det är naturligtvis olyckligt. Jag besvarar frågan på det sättet. (S): Säkerhetspolisen har enligt de offentliga uppteckningarna krav i sin skrivelse på att man avbryter upphandlingen . Då är ju upphandlingen redan genomförd. Tyder detta på att inte ens Säkerhetspolisen hade full koll på i vilken takt upphandlingen hade skett? : Som har berättat för ledamöterna är en upphandling inte något som sker från till en annan. Det är fler olika delar och ett mycket komplicerat förlopp. Det som skrevs i skrivelsen var att man skulle vidta säkerhetshöjande åtgärder, och om man inte gjorde det skulle man pausa hela eller delar av outsourcingen. Det var alltså i två steg. Det fick man sedan svar på från Transportstyrelsen när de svarade på Säkerhetspolisens brev. (S): sa i den utfrågning vi hade att hon reagerade på att skrivelsen från inte var från generaldirektör till generaldirektör, för det är den normala kommunikationen mellan två myndigheter. I alla fall jag fick intrycket att det också påverkade handläggningen av ärendet i Transport- styrelsen. Har statsrådet någon synpunkt på detta? : Som jag sa i min inledning är det för mig obegripligt att en myndighet inte tar till sig vad Säkerhetspolisen säger och agerar enligt det. Därför är det så skönt att de nya reglerna träder i kraft som ett resultat av det som har hänt på Transportstyrelsen. (SD): När vi hade utfrågning med ställdes det ju frågor om detta med säkerhetsklassning och säkerhetsprövning. Hennes svar var väl inte helt tydliga där, men det framstod som om hon inte själv kände till huruvida hon var placerad i säkerhetsklass eller om hon ens var säkerhets- prövad. Hennes ord var något i stil med att hon hade fyllt i ett kortare formulär på departementet och fått svara på lite personfrågor, men sedan visste hon inte hur dokumentet vidare hade hanterats. Jag tänker att det ju borde vara rimligt om den som blir generaldirektör vet om den är placerad i säkerhetsklass och definitivt också om den har genomgått en säkerhetsprövning. Hur ser rutinerna för det här arbetet ut från regeringens sida? Är det så att man på något sätt säkerställer att de generaldirektörer man anställer vet om att de är placerade i säkerhetsklass eller är säkerhetsprövade? : Tack för frågan! Enligt ansvarsprincipen är det varje departement som är ansvarigt för att generaldirektörer eller anställda på departementet genomgår säkerhetsprövning när det finns ett behov och ser till att det blir i rätt klass och så vidare. Frågan när det gäller bör ställas till , hur de tänkte då. (C): Vi vet genom den information och det svar som har lämnat att Säkerhetspolisen informerade Judep om problemen på Transportstyrelsen. Det har framställts som att det har varit ganska vag information. Men enligt Justitiedeparte- mentets svar hade man av informerats om att Transportstyrelsen hade för avsikt att bland annat outsourca körkortsregistret till utlandet och att det var därför man skulle inleda tillsyn. får man ytterligare information på av Säkerhetspolisen. Då säger man att man under tillsynen har uppmärk- sammat förhållanden som föranlett att man tillskrivit Transportstyrelsen med rekommendation om omedelbara säkerhetshöjande åtgärder. Hade det då inte varit rimligt att man inom , Judep, drog igång den organisation som fanns när det gäller samordning av säkerhetsinformation med säkerhetsfrågor. Det var ju bland annat och Försvarsdepartementet som var berörda av de här frågorna. Men det händer alltså ingenting i den organisationen. Jag tycker att informationen om behov av omedelbara säkerhetshöjande åtgärder var ganska allvarliga. Därför känns det lite märkligt att man inte drog igång den organisation som behövdes för samordning av departementet när man fick uppgifterna från . Vad är bakgrunden till att man inte gjorde det – är det ett misstag, eller? : Tack för frågan! Först vill jag säga: Det var inte utan . Vi ska vara korrekta med datumen. Sedan vill jag ge samma svar som jag gav till Skånberg. Man gör en bedömning av vad som är mest effektivt för att hantera den allvarliga situationen, krisen eller vad det nu är som har hänt. I det här fallet informerades när brevet gick från Säpos operative chef till Transportstyrelsen. Sedan väntade vi på att få svaret från Transportstyrelsen. Om Säkerhetspolisen hade ansett att det tog för att det skulle innebära att man inte kunde fortsätta sitt sårbarhets- reducerande arbete hade de naturligtvis bett regeringen att gå in och inter- i det som hände. Ledamöterna vet ju att Säkerhetspolisen hade denna diskussion men gjorde bedömningen att det inte behövdes. Därför gick regeringen heller inte in. Sedan fick vi information om att detta hade lämnats till förundersökning. Jag måste också upprepa att de berörda myndigheterna – polisen, Must, Säkerhetspolisen – hade informationen. De hade fått den av Säkerhetspolisen och startade med sårbarhetsreducerande insatser från dag ett. De väntade inte. Det var inte något glapp där, att de ville vänta för att de först måste veta allt, utan de gick in direkt och började se på vad som är problemen och vad som vi måste göra för att skydda de identiteter som riskerar att röjas. (C): Vi har fått information när det gäller hur agerade. hade löpande kontakter med Transportstyrelsen, men att döma av de uppgifter vi har fått gjorde inte någonting. Därför säger jag att det verkligen hade behövts en samordning med och . Det är något som jag saknar. : Det skedde ju ett samarbete mellan och . Bland annat var det ett möte mellan , och , där all information gavs och allvaret i situationen togs upp. Det var alltså inte så att inte fick all den information som man behövde. Dag Klackenberg (M): Herr ordförande! Vår uppgift här är ju att granska regeringen. Även om statsrådet framhåller både den dåvarande general- direktörens roll och Säpos roll ligger det ansvar som vi ska granska hos regeringen. Jag har försökt göra en tidslinje och har bara några kontrollfrågor. Det är två frågor, men eventuellt begär jag ordet igen beroende på vad stats- rådet svarar. hölls alltså möte om Transportstyrelsen. Jag har förstått att det inte var någon representant för Statsrådsberedningen där. Om så är fallet, när blev Statsrådsberedningen informerad, och vem på Statsrådsbered- ningen var det i så fall som blev informerad? : Det är sekretessbelagt, så det tar vi i den slutna delen av ut- frågningen. Dag Klackenberg (M): Sedan skev alltså sitt brev till Transportstyrelsen. Om man försöker följa en tidslinje kan man se att det gick månader då ingenting hände, åtminstone från dåvarande statssekreterarens horisont. Jag har dock egen erfarenhet av hur man på departement blir uppmärksammad. Då brukar någon ivrig departementssekreterare höra av sig ungefär en gång eller . från Säpos brev till , på vilket sätt ville statssekreteraren då informera sig via sin kollega på om hur detta allvarliga ärende fortlöpte? Vi måste väl ändå utgå från att tog brevet på allvar. Hur gick kontakten till, och när blev man på informerad och i så fall vem på departementet? : Det stämmer att fick en tjänsteperson på information från Säkerhetspolisen om att man skickat ett brev till Transportstyrelsens dåvarande generaldirektör med en uppmaning om omedelbara säkerhetshöjande åtgärder. Jag informerade inte personligen , men jag vet att chefstjänstepersonen informerade sin motsvarighet på . När jag fick kännedom om brevet inväntade jag informationen från Säkerhetspolisen om hur Transportstyrelsen reagerat på rekommendationen från Säkerhetspolisen. I det skedet såg jag ingen anledning att informera Statsrådsberedningen om brevet. Dag Klackenberg (M): En sista fråga bara. Detta betyder alltså att från det du fick kännedom om brevet in hade du inget samtal med om situationen på Transportstyrelsen? : Det stämmer. I och med att vi jobbar enligt ansvarsprincipen måste man utgå från att ansvariga departement tar sitt ansvar. Skånberg (KD): Ordförande! Jag har en sista utestående fråga. Statsrådet har återkommande nämnt den bedömning som statssekreterare gör om en viss fråga ska lyftas eller inte. Allting kan ju inte lyftas, för då stannar systemet. Då är min fråga: Frågor som handlar om rikets säkerhet, var det alltså statsrådets – den gången statssekreterarens – bedömning att de avgörs bäst på statssekreterarnivå? : Hur informationsvägarna när det gäller rikets säkerhet går till berättar jag gärna om i den slutna delen av mötet. Skånberg (KD): Ordförande! Statsrådet har sagt att hon inte informerade statsrådet . Hon var hans statssekreterare. Hon har sagt att hon gjorde en bedömning att detta inte skulle lyftas dit. Men det var en fråga om rikets säkerhet. Hur kan hon göra bedömningen att den här frågan generellt talat handlar om rikets säkerhet och avgörs bäst på statssekreterarnivå? Är det en rimlig bedömning? Ska inte statsrådet också informeras? : Jag konstaterar att på hanteras frågor om rikets säkerhet . (S): Ordförande! Jag har en fråga som lite grann följer upp det som Dag Klackenberg var inne på, och sedan ett par ytterligare frågor. Det gäller brevet från till Transporstyrelsen. Vad jag förstod i din inledning hade du som brevet expedierades och sändes till Transportstyrelsen ett möte med Säkerhetspolisen. Men då lyftes inte detta av Säkerhetspolisen. Är det korrekt uppfattat? : Ja, det är helt korrekt uppfattat. (S): Så när du fick information om brevet från Säkerhetspolisen till Transportstyrelsen fick du inte denna information från Säkerhetspolisen? : Det är korrekt uppfattat. (S): Tack så mycket! Det var väldigt klargörande. Utan du fick informationen från vem då? : Från tjänstepersoner på . (S): Tack så mycket! Det var klargörande. Då har jag ett par andra frågor bara för att följa upp. I säkerhetskyddsförordningen framgår det tydligt att myndigheter ska göra en säkerhetsskyddsanalys, precis som vi har varit inne på här tidigare. Ändå saknade Transportstyrelsen en sådan . Myndigheten tillskapades 2009, men det var inte som myndigheten fick en säkerhetsskyddsanalys efter att Säkerhetspolisen hade efterfrågat det. Vad är din kommentar till det? Jag är väl medveten om att du inte var statssekreterare då; det var under tidigare regering. Men du kanske utifrån din erfarenhet nu kan säga någonting om det eller ha någon kommentar? : Min kommentar är att jag tycker att det är väldigt illa om Transportstyrelsen eller någon annan myndighet inte sköter sitt uppdrag när det gäller att ha hand om säkerheten. Ofta brister det när det gäller att ha säkerhetsskyddsanalyser på ett korrekt och fullödande sätt. Det kan vara väldigt bristfälligt. Detta är någonting som Säkerhetspolisen har tagit upp . är det också viktigt att vi har sett att det finns ett behov av sanktioner, vilket också kommer upp i säkerhetsskyddslagens utredning som tillsattes och som gäller. Ska man kunna få sanktioner om man inte sköter det här som myndighet? Jag tror tyvärr att det är helt nödvändigt. (S): Så det innebär att det inte längre kommer att vara möjligt att inte följa säkerhetskyddsförordningen? : Som jag ser det, och med de insatser som regeringen nu har gjort för att förbättra detta, kommer det inte längre att vara möjligt att missköta det. (S): Jag har en avslutande fråga. Det gäller det som också har varit uppe angående regleringsbrevet till Transportstyrelsen. I regleringsbrevet , som beslutades om , gav regeringen ett uppdrag om – jag citerar ur regleringsbrevet – att ”Transport- styrelsen ska i arbetet med risk- och sårbarhetsanalyser särskilt beakta och analysera informationssäkerheten i de delar av verksamheten och i de tekniska system som är nödvändiga för att myndigheten ska kunna utföra sitt arbete”. Jag undrar vad bakgrunden till detta uppdrag var, särskilt eftersom tidigare regering inte gav något sådant uppdrag till myndigheten. Hur kommer det sig att nuvarande regering gjorde detta i sitt allra första regleringsbrev till Transportstyrelsen? : granskade arbetet med informationssäkerhet i den civila statsförvaltningen och kom till den samlade slutsatsen att arbetet inte var ändamålsenligt när det gäller hur man ser på hot och risker. Regeringen instämde i huvudsak med vad sa. Mot denna bakgrund, med syfte att höja medvetenheten om vikten av en god informa- tionssäkerhet och få en bättre bild av läget, fick de myndigheter som har ett särskilt uppdrag och ansvar för krisberedskap i respektive regleringsbrev detta uppdrag. (L): Jag har en kort fråga till statsrådet. Jag vill bara klargöra en sak. Vi hade den berömda risk- och sårbarhetsanalysen uppe tidigare. Då delade statsrådet slutsats att där fanns sådan information att det var alarmerande. Det var en varningsklocka som borde ha ringt överallt. Statsrådet sa också att hon som sagt höll med om det, men att det var Närings- departementets fråga och bord – återigen dessa stuprör som vi har talat om . Stämmer den anteckning vi har här från där Närings- departementet delger en redovisning av Närings- departementets bedömning av risk- och sårbarhetsanalyser? Är det någonting som statsrådet vet något om? : Jag tog inte del av de enskilda analyserna. Risk- och sårbarhets- analyser går till ansvarigt departement, i detta fall till , och enligt ansvarsprincipen, som jag har sagt tidigare. samlar in departementets bedömningar av risk- och sårbarhetsanalyserna med hjälp av en mall som har. Den övergripande analysen görs sedan av . Det är då inte enskilda myndigheter, utan det gäller hur det ser ut bland alla myndigheter. Den analysen fick jag del av. I syfte att höja medvetenheten om god informationssäkerhet vidtog vi sedan de åtgärder som jag har redogjort för – både regleringsbrevet och beslutet om obligatorisk incidentrapportering. (L): Så då tog statsrådet del av den alarmerande rapport som redan har lyft i sin redovisning? Men om jag förstår det rätt var det inte specifikt Transportstyrelsen som det på något sätt förmedlades information om mellan departementen, trots den varning som fanns i rapporten och säkerhetsanalysen. Statsrådet fick alltså inte kunskap specifikt om att det fanns problem med säkerheten på Transportstyrelsen? : Det stämmer. Jag fick en övergripande bild av hur det ser ut. Det är ansvaret i varje departement att utifrån risk- och sårbarhetsanalyserna hantera det som kommer fram där i varje departement. ansvarar för samordningen av dessa risk- och sårbarhetsanalyser och ser om det är generella saker som måste göras. Men varje departement har ansvar för sin myndighets eventuella sårbarhet och problem och hur det ska hanteras. Ordföranden: Jag ser inga fler händer i luften, så jag ska bara ställa en kort kontrollfråga. Det står så här i ett av svaren som vi fick till KU från : informerade och Försvarsdeparte- mentet om den information man erhållit från Säkerhetspolisen. Det gäller alltså det brev som vi har diskuterat tidigare. Min fråga blir: Varför informerades Försvarsdepartementet först , efter att brevet blev känt i ? : Informationen som lämnades till avsåg den information som handlade om brevet. Det handlade ju om deras omedelbara myndighet. När det gäller Försvarsdepartementet handlade informationen om den information som och hade fått . Det är alltså inte samma information, utan olika informationer. Sedan hade Säkerhetspolisen kontakt med de respektive myndigheterna – Must, och Försvarsmakten – redan från dag ett. Ordföranden: för det svaret! Då ajournerar vi sammanträdet och åter- samlas i sessionssalen. Ordföranden: Då förklarar jag sammanträdet återupptaget. Vi ska fortsätta utfrågningen med förra statssekreteraren och nuvarande statsrådet vad gäller regeringens agerande i samband med Transportstyrelsens it- upphandling, G9 och 12. har vi en sluten utfrågning, och kan även diskutera uppgifter som omfattas av sekretess. Bara för formens skull vill jag säga att om statsrådet har för avsikt att lämna information som innebär att det kan bli aktuellt att besluta om tystnadsplikt vill vi att ni flaggar för det. Säg till ifall det är någon ny information som inte finns med i det hemliga material som utskottet redan har fått del av och som upplevs som så känslig att det, utöver vanliga försiktighets- åtgärder, också behövs ett beslut om tystnadsplikt. Då får vi ta ställning till det. Annars ger jag ordet till statsrådet för en inledning. : Jag har ingen inledning, utan jag hänvisar till min tidigare inledning. Ordföranden: Då går vi direkt på frågorna i stället. Och jag kan väl börja med att be statsrådet utveckla lite grann om detta med statssekreterargruppen för krishantering, GSS.