bet · H501KU20 · 2018-06-12 00:00:00 — I Årsredovisning för staten 2012 uppmärksammade regeringen förstudie i samband med sin redovisning av åtgärder med anledning av iakttagelser och ovan den granskningsrapport om it inom statsförvaltningen som nämns ovan (skr. 2012/13:101 s. 115). Som ett resultat av förstudien förbereddes enligt regeringen en fördjupad studie om bl.a. gemensamma sourcingstrategier. publicerade E-delegationen publikationen Vägledning för effektiv it-försörjning/sourcing. Syftet med vägledningen angavs vara att underlätta analys av it-försörjningen på strategisk och taktisk nivå för att skapa förutsättningar för välövervägda beslut. I vägledningen togs inte upp frågor om informationssäkerhet. gav Myndigheten för samhällsskydd och beredskap (MSB) ut publikationen Vägledning – informationssäkerhet i upphandling. I förordet uppmärksammades E-delegationens förstudie Effektiv IT-drift och , som båda ansågs peka på att det finns stora vinster i en ökad användning av tjänster som outsourcing och molntjänster. Vidare framhölls att för att kunna genomföra fungerande upphandlingar av it-relaterade tjänster är det av avgörande betydelse att kraven ur informationssäkerhetssynpunkt är en del i processen. Syftet med vägledningen var att ge olika typer av organisationer, både offentliga och privata, ett stöd för att på ett effektivt sätt föra in informationssäkerhetsaspekter i sina upphandlingsprocesser. I vägledningen anförs att innan en myndighet påbörjar en upphandling ska den pröva om upphandlingen helt eller delvis ska säkerhetsskyddas, dvs. att det ska genomföras en s.k. upphandling med säkerhetsskyddade avtal (). Säkerhetsskyddade upphandlingar berörs inte vidare i vägledningen, utan för sådana rekommenderas i stället Säkerhetspolisens vägledning (se ovan). Ett första steg för en säkrare upphandling av outsourcing och molntjänster är, anförde MSB, att ta fram och besluta en sourcingstrategi i anslutning till den it-strategi som organisationen förhoppningsvis redan har. I sourcingstrategin beskrivs i vilka delar de långsiktiga behoven och målen för verksamheten kan uppnås med hjälp av outsourcing alternativt molntjänster. I strategin ska även en övergripande inriktning för informationssäkerheten i de tjänster som ska upphandlas anges. Även ansvar och roller i både upphandlingen och den långsiktiga förvaltningen av de upphandlade tjänsterna bör framgå. Som andra liknande strategier måste även en sourcingstrategi fastställas av ledningen för att fungera som ett verktyg för styrning. Utredningar tillsatta av den förra regeringen beslutade regeringen att tillkalla en särskild utredare med uppdraget att göra en översyn av säkerhetsskyddslagstiftningen för att bättre anpassa den till det som krävs för att skydda verksamhet som har betydelse för rikets säkerhet och till de krav det internationella samarbetet ställer (dir. 2011:94). Utredningen antog namnet Utredningen om säkerhetsskyddslagen. I direktiven uppmärksammades att informationssäkerheten är en viktig del av säkerhetsskyddet. Utredaren skulle föreslå hur reglerna om informationssäkerhet, som en del av säkerhetsskyddet, bör vara utformade. Vidare uppmärksammades säkerhetsskyddad upphandling. Den utveckling som hade skett ställde nya krav på det säkerhetsskydd som kan behövas för svenska företag som deltar i säkerhetskänslig verksamhet, här såväl som i utlandet, och för utländska företag som får del av säkerhetskänslig information som rör svenska förhållanden. Utredaren skulle analysera behovet av förändringar av säkerhetsskyddslagens bestämmelser om säkerhetsskyddad upphandling, bl.a. möjligheterna att träffa säkerhetsskyddsavtal, och bedöma vilka förändringar i övrigt som kunde behövas för att bättre anpassa reglerna till de krav som ställs i det internationella samarbetet. Utredningen överlämnade betänkandet En ny säkerhetsskyddslag (SOU 2015:25). beslutade regeringen att tillkalla en särskild utredare med uppdrag att föreslå strategi och mål för hantering och överföring av information i elektroniska kommunikationsnät och it-system (dir. 2013:110). Utredningen antog namnet NISU 2014. Uppdraget bestod i att föreslå en nationell strategi för hantering och överföring av information i elektroniska kommunikationsnät och it-system samt övergripande mål för samhällets informationssäkerhetsarbete, och hur skulle upprätthålla säkerhet och integritet i samhällsviktig it-infrastruktur. Utredningen överlämnade betänkandet Informations- och cybersäkerhet i – Strategi och åtgärder för säker information i staten (SOU 2015:23). Betänkandet innehåller förslag för att förbättra upphandlingar av olika it-lösningar, som outsourcing av it-drift. Information om Transportstyrelsens projekt att outsourca it-verksamheten I avsnittet berörs framför allt outsourcingen av it-driften. Det förekommer även uppgifter om den s.k. stordatormigreringen. – : I Transportstyrelsens tertialrapport avseende tertial 2, som finns tillgänglig inför ett dialogmöte mellan Transportstyrelsen och , anges att till de åtgärder som myndigheten kommer att uppmärksamma hör bl.a. eventuell outsourcing och att samtliga verksamheter omfattas av analysen men att tonvikten kommer att läggas på it-verksamheten. Myndigheten gör det i ett internt uppdrag med syftet att identifiera och värdera åtgärder inom myndigheten som förväntas kunna ge betydande kostnadsbesparingar. – : Transportstyrelsens årsredovisning kommer in till . I den anges att stora kostnadsbesparingar görs även när myndigheten omförhandlar avtal med leverantörer för olika tjänster, bl.a. för it-drift. Årsredovisningen finns tillgänglig inför ett dialogmöte mellan Transportstyrelsen och . – : Tertialmöte mellan och Transportstyrelsen. På dagordningen finns under punkten Ekonomisk uppföljning bl.a. ämnet effektivitetsarbetet. Vid mötet deltar bl.a. dåvarande statsrådet och dåvarande statssekreteraren . – : Tertialmöte mellan och Transportstyrelsen. På dagordningen finns under punkten Stora frågor bl.a. ämnet en ny grundplattform för vägtrafikregistret. Vid mötet deltar bl.a. dåvarande statssekreteraren . – : Tertialmöte mellan och Transportstyrelsen. På dagordningen finns under punkten Övriga verksamhetsfrågor bl.a. ämnet verksamhetsmässiga konsekvenser av stordatormigreringen. Vid mötet deltar bl.a. dåvarande statsrådet och dåvarande statssekreteraren . – : Transportstyrelsen ger besked till om att avtalet med om it-drift inte kommer att förlängas efter . Transportstyrelsen beslutar att utkontraktera it-driften. – [: Möte mellan och Transportstyrelsen där myndigheten lämnar övergripande information om upphandlingen av it-driften.]. Mötet finns angivet i svar från Transportstyrelsen, men inte i svar från . – : ger besked till Transportstyrelsen om att myndighetens it-verksamhet i kommer att avvecklas per . Transportstyrelsen annonserar upphandlingen av it-driften med sista anbudsdag . – : Den ställföreträdande generaldirektören för Transportstyrelsen beslutar om avsteg från Transportstyrelsens riktlinjer för informationssäkerhet. rapporter om it inom statsförvaltningen – : lämnar sin granskningsrapport (RiR 2007:10) Regeringens styrning av informationssäkerhetsarbetet i den statliga förvaltningen till regeringen. – Styrelsen för lämnar sin framställning 2007/08:RRS6 angående granskningsrapport 2007:10 till . – : föreslår att avslår framställning 2007/08:RR6 (bet. 2007/08:FöU12). – : avslår framställning 2007/08:RRS6. – : lämnar sin granskningsrapport inom statsförvaltningen – har myndigheterna på ett rimligt sätt prövat om outsourcing bidrar till ökad effektivitet? (RiR 2011:4). – : Regeringen överlämnar sin skrivelse 2010/11:138 med anledning av 2011:4 till . – : (bet. 2011/12:FiU2) föreslår att lägga regeringens skrivelse 2010/138 till handlingarna. – : beslutar att lägga regeringens skrivelse 2010/11:138 till handlingarna. – : lämnar sin granskningsrapport i den civila statsförvaltningen (RiR 2014:23) till . – : Regeringen lämnar sin skrivelse 2014/15:84 till med anledning av . – : föreslår att lägga skrivelse 2014/15:84 till handlingarna (bet. 2014/15:FöU10). – : beslutar att lägga regeringens skrivelse 2014/15:84 till handlingarna. – : publicerar en kommentar till rapporten 2011:4. – : E-delegationen presenterar en förstudie om effektivare it-drift (Effektiv IT-drift inom staten). Studien innehåller olika förslag till effektivisering av myndigheternas it-drift. – : Som ett resultat av E-delegationens förstudie förbereds inom en fördjupad studie kring bl.a. gemensamma sourcingstrategier. 2012/13:101 Årsredovisning för staten 2012) – : E-delegationen publicerar en vägledning för effektiv it-försörjning och sourcing. Rapport från regeringens särskilda utredare Regeringen gav justitierådet i uppdrag att granska den upphandling om förändrad it-drift hos Transportstyrelsen som har medfört att säkerhetskänslig och av andra skäl sekretessbelagd information har hanterats på ett sätt som strider mot svensk lag (N2017/04991/SUBT). Utredaren överlämnade rapporten av Transportstyrelsens upphandling av it-drift (Ds 2018:6). I rapporten anförs att det under en stått klart att statsförvaltningen har haft svårt att leva upp till de ökade kraven på informationssäkerhet. har i ett flertal rapporter pekat på brister i hur statsförvaltningen hanterar informationssäkerheten och i hur regeringen styr myndigheterna i dessa avseenden. Det anförs också i rapporten att outsourcing är ett växande fenomen, både globalt och i , och är vad gäller it-verksamhet ännu vanligare i den svenska privata sektorn än i den offentliga sektorn. Myndigheterna står således inte inför valet att outsourca eller inte, utan snarare inför frågan om vad som kan outsourcas och hur detta i så fall ska skötas. Vidare framgår av rapporten att Transportstyrelsen, som bildades , länge saknade en säkerhetsanalys. En sådan togs fram först efter att Säkerhetspolisen begärt in säkerhetsanalyser från Transportstyrelsen och 14 andra myndigheter. Transportstyrelsen saknade således en säkerhetsanalys . Genom skrivelser till Transportstyrelsen begärde utskottet svar på vissa frågor. Som svar fick utskottet skrivelser från Transportstyrelsen (bilaga A5.1.11–12 och A5.2.11–12). Transportstyrelsen lämnar följande redogörelse för vilka beslut som myndigheten t.o.m. succesivt har fattat om outsourcingen av it-driften samt stordatormigreringen: – : Beslut om projektstart dvs. förberedelse/analys och planering gällande it-drift. – : Beslut att arbeta vidare utifrån scenariot "Upphandling med inriktning mot en leverantör". – : Beslut om projektplan för upphandling av nytt it-driftsavtal med inriktning att nytt avtal tecknas . – : Beslut av dåvarande generaldirektören att konkurrensutsätta den kommande upphandlingen av driftleverantör. – : Beslut att starta upphandling av nytt it-driftavtal. – : Beslut att publicera en annons för att delta i driftsupphandlingen. – : Beslut av dåvarande generaldirektören att stordatorn ska migreras till 2016. – : Beslut av dåvarande it-direktören att utannonsera upphandlingen. – : Beslut av dåvarande ställföreträdande generaldirektören om avsteg från riktlinjen för krav på informationssäkerhet. Transportstyrelsen har inte någon kännedom om att några kontakter tagits med t.o.m. om en outsourcingstrategi för Transportstyrelsen. Transportstyrelsen har inte någon kännedom om att det förekom några särskilda kontakter med innan myndigheten fattade beslut om outsourcing av it-miljön, och har inte heller någon kännedom om att information om beslutet eller beslutet om upphandling av it-drift har lämnats till . Ett möte ägde rum med där myndigheten lämnade övergripande information om it-upphandlingen. Transportstyrelsen har ingen upprättad dagordning eller annan dokumentation från mötet. Den ställföreträdande generaldirektören fattade ett beslut om avsteg från riktlinjen för krav på informationssäkerhet. Transportstyrelsen har inga uppgifter om att någon kontakt förekom med regeringen eller om beslutet. Transportstyrelsen har genomfört en upphandling genom förhandlat förfarande. Myndigheten vill understryka att den har genomfört en säkerhetsskyddad upphandling, men att den inte tecknade ett säkerhetsskyddsavtal innan anbudsgivarna fick ta del av förfrågningsunderlaget. Bedömningen var att själva förfrågningsunderlaget inte innehöll hemlig information som krävde ett säkerhetsskyddsavtal. Däremot tecknandes sekretessförbindelser med anbudsgivarna innan de fick ta del av underlaget. Transportstyrelsen har tecknat ett säkerhetsskyddsavtal med den utpekade driftleverantören. Vidare anförs att det av en dagordning framgår att Transportstyrelsen lämnade övergripande information om upphandlingen av it-driften vid ett dialogmöte med som leddes av chefen för avdelningen för bostäder och transporter. Transportstyrelsen har ingen kännedom om att det diskuterades om upphandlingen var säkerhetsskyddad. Transportstyrelsen har inte heller någon kännedom om denna information har lämnats i något annat sammanhang. Genom skrivelser till har utskottet begärt svar på frågor. Som svar har utskottet fått promemorior från , , Försvarsdepartementet och Statsrådsberedningen (bilaga A5.1.4–10). Svaren redovisas nedan uppdelade på olika frågeställningar. Kontakter mellan regeringen eller och Transportstyrelsen med anledning av Transportstyrelsens outsourcing av it-driften I Transportstyrelsens tertialrapport avseende tertial 2, som fanns tillgänglig inför dialogmöte mellan Transportstyrelsen och , anges på s. 8 och 9 att till de åtgärder som myndigheten kommer att uppmärksamma i ett internt ”uppdrag med syftet att identifiera och värdera åtgärder inom myndigheten som förväntas kunna ge betydande kostnadsbesparingar” hör bl.a. "eventuell outsourcing" och att samtliga verksamheter omfattas av analysen men att ”tonvikten kommer att läggas på IT-verksamheten”. I Transportstyrelsens årsredovisning , som kom in till , anges på s. 62 att ”[s]tora kostnadsbesparingar görs även när myndigheten omförhandlar avtal med leverantörer för olika tjänster, bland annat för IT-drift”. Årsredovisningen fanns tillgänglig inför dialogmötet mellan Transportstyrelsen och . Det har inte påträffats någon dokumentation i som visar att –fick information från Transportstyrelsen om myndighetens beslut att inte förlänga avtalet om it-drift med , att annonsera om upphandling av it-drift eller om vilken typ av upphandling som gjordes. Däremot uppmärksammades det i medierna att Transportstyrelsen inte skulle förlänga avtalet om it-drift med för att i stället upphandla driften. Dialogmöten mellan och Transportstyrelsen har –har hållits , , , och . Vid dialogmötena och deltog dåvarande infrastrukturministern och dåvarande statssekreteraren . Vid övriga möten deltog enbart . Dessa kontakter är av informell karaktär och främst inriktade på ömsesidigt utbyte av information och kunskap samt att förtydliga regeringens styrning. Det finns i inga upprättade minnesanteckningar från dessa informella möten. Det kan förekomma att enskilda tjänstemän för sådana för eget bruk som stöd för minnet. I vilken utsträckning så sker avgörs av den enskilda tjänstemannen. Inför mötena redovisade Transportstyrelsen underlag till dialogerna i enlighet med de återrapporteringskrav som fanns i myndighetens regleringsbrev . Ingen dokumentation har påträffats i som visar att –hade kontakt med Transportstyrelsen i fråga om en sourcingstrategi för myndigheten. Det har inte påträffats någon dokumentation i som visar att regeringen eller kände till att Transportstyrelsen beslutade att göra avsteg från myndighetens it-säkerhetsregler. Som svar på en begäran om en redogörelse för vilka åtgärder som vidtogs –, inklusive sourcingstrategier, efter de åtgärder som redovisades i Årsredovisning för staten 2012 med anledning av , anförs i svaren från att arbetet med att effektivisera och utveckla e-förvaltningen inom den offentliga sektorn bedrevs –2014 huvudsakligen av E-delegationen (dir. 2009:19). Som en uppföljning av E-delegationens förstudie, som nämns i Årsredovisning för staten 2012, förbereddes en fördjupad studie kring bl.a. gemensamma sourcingstrategier. Även i regeringens strategi för en digitalt samverkande statsförvaltning (N2012/06402/ITP) uppmärksammades E-delegationens förstudie och att delegationen planerade att i ett delbetänkande lämna förslag om hur statens it-drift kan effektiviseras och rationaliseras. I delbetänkandet Organisering av framtidens e-förvaltning (SOU 2013:75), som överlämnades , presenterades emellertid inga förslag angående it-försörjning, sourcing eller liknande. E-delegationen meddelade att den i stället hade för avsikt att ta fram en vägledning till myndigheterna. presenterade E-delegationen Vägledning för effektiv it-försörjning/sourcing. Syftet med vägledningen var att underlätta arbetet att skapa väl underbyggda beslutsunderlag för att ta ställning till alternativa vägar för it-försörjning. Vidare hade Myndigheten för samhällsskydd och beredskap, som en del i sitt uppdrag att lämna råd och stöd i fråga om förebyggande arbete till andra statliga myndigheter, kommuner och landsting samt företag och organisationer, gett ut en vägledning om informationssäkerhet i upphandlingar. Syftet med vägledningen var att ge olika typer av organisationer, både offentliga och privata, ett stöd för att föra in informationssäkerhetsaspekter på ett effektivt sätt i sina upphandlingsprocesser. I syfte att få en samlad bild av statsförvaltningens it-verksamhet och ett underlag för genomförande av ett flerårigt utvecklingsprogram om förstärkt styrning av statsförvaltningens digitalisering gav regeringen i regleringsbrevet () i uppdrag att utveckla en modell för beräkningar av myndigheternas it-kostnader och it-investeringar (it-kostnadsmodell). Myndigheten skulle desutom överväga hur modellen kan innehålla uppföljning av strategiska val, såsom strategi för it-försörjning (sourcing). ESV redovisade uppdraget . Säkerhetspolisen har –inte lämnat in någon anmälan till regeringen enligt 48 § säkerhetsskyddsförordningen om brister i säkerhetsskyddet rörande Transportstyrelsen. I har det inte påträffats någon dokumentation som visar att Säkerhetspolisen i övrigt har lämnat information om Transportstyrelsens säkerhetsskydd. Det har inte heller påträffats någon dokumentation som visar att Transportstyrelsens skyldighet att genomföra en säkerhetsanalys har följts upp. Det fattades inga beslut eller vidtogs några åtgärder gentemot Transportstyrelsen –motsvarande uppdraget i Transportstyrelsens regleringsbrev om informationssäkerhet[20]. Frågor om bl.a. it-drift och informationssäkerhet har tagits upp i Transportstyrelsens risk- och sårbarhetsanalyser , 2012 och 2013. Det har inte påträffats någon dokumentation i som visar vilka bedömningar som gjordes i eller om det vidtogs några åtgärder i förhållande till Transportstyrelsen med anledning av de nämnda risk- och sårbarhetsanalyserna. Till grund för regeringens uttalande i skrivelse 2010/11:138, att man delade bedömning att det var önskvärt att en större del av myndigheternas it-behov tillfredsställdes med hjälp av outsourcing, låg – dels redovisning i ingressen av avsnitt 5 (s. 55) och i andra stycket i avsnitt 5.1 (s. 56), bl.a. uttalandet att om myndighetsledningen inte överväger outsourcing finns risk för att myndigheten inte genomför verksamheten på det mest effektiva sättet samt uttalandet att det i teorin finns uppenbara fördelar med outsourcing av vissa verksamheter och förutsatt att förutsättningarna är de rätta borde fler myndigheter kunna nyttja fördelarna med outsourcing, – dels bedömning på s. 63 i sin rapport, dvs. att regeringen kan göra mer för att främja och underlätta myndigheternas arbete med sourcing av it genom att exempelvis verka för inrättandet av tydliga och enhetliga riktlinjer för hur it-kostnader ska redovisas i statsförvaltningen, sprida kunskap och goda exempel i sourcingfrågor samt att efterfråga ställningstaganden kring sourcing i uppföljningsdialoger. Det har inte påträffats någon dokumentation i av vilken det framgår att det gjordes någon bedömning av när förutsättningarna för outsourcing är de rätta. Ansvarsfördelningen mellan vissa f.d. statsråd när det gäller frågor om informationssäkerhet Av en svarspromemoria från , som kom i till utskottet , framgår att i bilagan till förordningen (1996:1515) med instruktion för i dess lydelse före nämns inte informationssäkerhet uttryckligen. Varje statsråd ansvarade för frågor om informationssäkerhet inom sitt område. I promemorian anförs också att därtill ansvarade it- och regionministern, genom ett förordnande enligt 7 kap. 5 § regeringsformen, i respektive departementschefs ställe bl.a. för förvaltnings- och lagstiftningsärenden som gällde samordning av frågor om samhällets informationssäkerhet. Utskottet höll en utfrågning med justitierådet som informerade om sin rapport av Transportstyrelsens upphandling av it-drift (bilaga B2). anförde inledningsvis att det visade sig när utredningen påbörjades att man i vissa avseenden måste gå tillbaka ända till den tid då Transportstyrelsen skapades för att förstå varför detta blev ett problem som man måste ta tag i och varför man valde att göra som man gjorde. Framför allt är det dock som händelseförloppet tar sin början. Det är då man på Transportstyrelsen på allvar börjar diskutera vad man ska göra med sin it-drift. Vidare anförde att, när det gäller informationssäkerhet och hur myndigheterna jobbar med detta rent generellt, är det ett väl känt problem att statsförvaltningen inte riktigt är i linje med lagstiftningens krav på alla sätt. Man ligger efter i informationsklassningsarbetet och i att skapa rutiner för att hålla känslig, skyddsvärd information under sådana förhållanden att den kan skyddas på ett bra sätt. Detta pekade på i en utredning . Vidare framkom vid utfrågningen att det vid Transportstyrelsens tillkomst fanns ett budskap från regeringen om att det skulle göras effektiviseringar på olika sätt. Detta framgick tydligt när utredningen talat med . Han uppfattade att uppdraget var att göra Transportstyrelsen till en effektiv myndighet. Som utredningen har uppfattat det var det mycket den dåvarande generaldirektörens ambitioner som ledde till att man satte igång de ambitiösa upphandlingsprojekten. Det som utredningen har kunnat se, dokumentera och få fram i intervjuer handlar om att det var ett projekt som myndigheten startade själv och som framför allt generaldirektören var drivande bakom. Det är svårt att säga – vi har inte funnit några allmänna belägg för det – att det var regeringen som sa: Ni ska spara pengar. Men det låg naturligtvis lite i korten. När man skapade Transportstyrelsen skulle det bli en effektivare verksamhet. hade höga ambitioner på det området. Man hade också förändringar. kommer jag inte ihåg, men det blev avgiftsfinansierat 2010, vilket jag tror också hade effekter på hur myndigheten såg på sin ekonomi. Det fanns samverkande faktorer som gjorde att man kände på myndigheten att man måste jobba med effektivisering och besparing. När det gäller regeringens signaler fanns det en rapport från , som man har pekat på, kring 2010–2011. Där uppmanades alla myndigheter att se över om de verkligen inte kunde göra sina saker billigare, bland annat genom outsourcing. Om den fick effekter har vi inte kunnat belägga – att det var just detta som var ståndpunkten – men vi har uppfattat det som att det var en intern process som generaldirektören och några andra i ledningen drev för att göra myndigheten billigare och bättre, som de uppfattade det. Som svar på en fråga om Transportstyrelsen vid outsourcingen av it-driften följde de krav som enligt 2011:4 bör ställas på myndigheter som tänker outsourca verksamhet, anförde att svaret var nej, i alla fall i de delar som gällde att det krävs att myndigheten vet vilka system som är samhällskritiska, vilka krav som gäller för informationssäkerhet och vilka sekretesskrav som finns. Utskottet höll en utfrågning med internrevisor , Transportstyrelsen (bilaga B3).