bet · H501KU20 · 2018-06-12 00:00:00 — På fråga om de avstegsbeslut fattade svarade att han trodde att fick bilden av sina medarbetare att det stora problemet hade att göra med Säkerhetspolisens väntetider och att registerkontrollen hos tog tid samt att det handlade om en månad eller två innan problemet skulle vara löst. anförde vidare att generaldirektörerna i Transportstyrelsen var säkerhetsklassade, och i alla fall var direkt informerad om de känsliga frågor som myndigheten hade att hantera. Vidare uppger att också fick information av säkerhetsskyddschefen när hon tillträdde, som i vart fall översiktlig. När det gäller frågan om säkerhetsklassning av ledningen och styrelsen hade uppfattat det som att det fanns en utbredd uppfattning att det inte fanns så mycket skyddsvärt i Transportstyrelsen. Det är en öppen myndighet som har mängder av information som medborgarna behöver. De inom Transportstyrelsen som kände till de hemliga system som fanns hade uppfattat det så – rätt eller fel – att man inte skulle prata om detta med andra. Detta gjorde ju att de som var säkerhetsklassade och visste om detta inte sa något till de andra. Som svar på en fråga om det har kommit fram något under utredningen om att statssekreterare eller statsråd har tagit kontakt med ledningen för Transportstyrelsen på grund av de uppgifter som lämnade till regeringen om de allvarliga säkerhetsproblemen på Transportstyrelsen, uppgav att utredningen inte fått några sådana uppgifter. Som svar på en fråga om det finns någonting som utredningen funnit som visar att intresserade sig för säkerhetsskyddsfrågorna i sina kontakter med Transportstyrelsen, uppgav att det har utredningen inte kunnat se. Det enda är att Transportstyrelsens representanter uppgett att man fick frågor om stordatormigreringen. Det var intresserade av, men inte it-driften. Utskottet höll en utfrågning med internrevisor , Transportstyrelsen (bilaga B3). Inledningsvis anförde att när det gäller graden av uppföljning uppifrån, från departement och regering, hade hon inte blivit tillfrågad uppifrån om vad internrevisionen har sett för risker i myndigheten. Hon har inte haft någon direktkontakt med departementet, eftersom hon rapporterar till styrelsen. Departementet och regeringen har inte heller kontaktat henne för att ställa frågor. Som svar på en fråga om man inom Transportstyrelsen diskuterade någonting om i vilken mån informationen om avstegsbesluten borde föras vidare till regeringen och uppgav att det inte diskuterades i de samtal hon hade med styrelseledamöterna. Det var i så fall deras ansvar att föra vidare och omhänderta. Hon hade ingen uppfattning om hur de hanterade informationen uppåt sedan. bild var att det i huvudsak var generaldirektör som hade kontakterna. uppfattning är ändå att hade kommunikation med departementet, men hon vet inte exakt vad den handlade om och hur täta kontakterna var. uppfattning är att det är absolut givet och självklart att det om en sådan här väsentlig fråga ska informeras uppåt. Egentligen tycker hon att man uppifrån borde följa upp lite skarpare och regelbundet sätta sig in i frågor. Då hade man fångat upp signaler om detta tidigare. Vidare anförde att riskanalyser är något som man också borde göra från statens och regeringens sida, och hålla sig à jour med vad som händer i myndigheterna som är väsentligt och se till att man är informerad om väsentliga risker. Exempelvis vore det väldigt enkelt för departementet att begära ut såväl internrevisorns riskanalyser som myndighetens egna riskanalyser. Hon gör ju egna, oberoende riskanalyser som inte alltid ser exakt likadana ut som myndighetens. anförde vidare att hon tycker att risk- och sårbarhetsanalysen, som regeringen fick , visar att det fanns ganska allvarliga risker och brister. Hon tycker att det finns ett ansvar högre upp. I det här fallet hade man faktiskt informationen, och då kan man fråga sig om man verkligen tog del av den och ställde frågor och informerade sig. Utskottet höll en utfrågning med f.d. generaldirektör och f.d. ställföreträdande generaldirektör , Transportstyrelsen (bilaga B4) anförde inledningsvis att det i arbetet med att handla upp it-driften förstås rådde upphandlingssekretess. Transportstyrelsen hade praxisen att sekretessen även gällde generaldirektören. ville inte bli informerad om detaljerna i upphandlingar och blev det inte heller. När han slutade och gick i pension visste han inte hur många anbud som hade kommit in, inte heller att tre av de fyra anbud som faktiskt hade kommit in förutsatte drift i utlandet. Vidare anförde att parallellt med it-driftsupphandlingen pågick diskussionen och planeringen för utbytet av stordatormiljön – det som kallas migrering. Transportstyrelsen valde att upphandla ett företag för detta. En särskild komplikation när man gör på det sätt som valdes – att skapa ett helt nytt program automatiskt och sätta det i drift vid en och samma tidpunkt – är att det inte kan göras några förändringar i lagstiftning och föreskrifter. Han såg en risk när det gällde att få politiken att förstå att man inte kunde ändra i lagar, förordningar och annat bara för att Transportstyrelsen skulle byta datorer. När det gällde kontakter med departementet uppgav att det från början var kvartalsmöten med den politiska ledningen – statssekreterare och ofta minister. blev det tertialmöten. hade dessutom möten med tjänstemännen. uppgav att om han hade blivit informerad om att anbuden om it-driften innehöll outsourcing till ett annat land hade han med absolut säkerhet tagit upp detta med departementet, eftersom deras budskap var att myndigheten skulle återkomma. Transportstyrelsen efterfrågade inte några styrsignaler, några beslut från regeringen, och fick heller inte några sådana. uppfattning var att hamnade i en väldigt svår situation. Hon var ny på myndigheten. Hon hamnade i en organisation som framför allt innan Transportstyrelsen bildades hade en tradition av att ta ganska lätt på upphandlingsregler. Hon hade också ganska svårt att värdera konsekvenserna av att stoppa upphandlingen. Vidare var uppfattning att Transportstyrelsen hade kunnat få mer tid för arbetet med outsourcingen om man hade tagit kontakt med . hade med säkerhet fortsatt driften till dess att man hade rett ut frågorna. Som svar på en fråga om som han var ställföreträdande generaldirektör hade några kontakter med departementet –2017 i fråga om driftsupphandlingen svarade att han inte hade haft någon sådan kontakt utöver de regelbundna dialogmötena med departementet. Han var med på dessa möten tillsammans med och ordföranden. Utskottet höll en offentlig utfrågning med f.d. generaldirektören vid Transportstyrelsen (bilaga B5). anförde inledningsvis att hon kom till Transportstyrelsen . Då var upphandlingen för outsourcingen av it-driften och migreringen i stort sett klara. Hon hade från olika håll fått informationen att det var två väldigt angelägna projekt och att det inte fanns utrymme för förseningar. Hon skrev på avtalen med leverantörerna ganska omgående när hon kom till myndigheten. Vidare anförde att hon fick signaler om att det var risk för förseningar i projekten och att det huvudsakligen berodde på att de säkerhetsarbeten som behövde genomföras tog än förväntat. Huvudsakligen handlade det om att säkerhetsprövningarna tog hos på grund av långa ledtider. Hon fick då förslag på vad hon uppfattade som tillåtna tidsbegränsade dispenser med kompensatoriska åtgärder, vilket skulle skapa förutsättningar för att projekten kunde fortlöpa som säkerhetsarbetet fortsatte enligt plan. Hon beslutade om avstegen i tron att problemen skulle lösas . Vidare anförde att Säkerhetspolisen påbörjade sin tillsyn , och fick hon ett brev från dem där de bl.a. rekommenderade att Transportstyrelsen skulle avsluta eller avbryta outsourcingen. Det var en rekommendation som hon då bedömde var helt orimlig. Hon tog emellertid kontakt med Säkerhetspolisen för att i ett möte med dem få en bild av vad det var som skapade deras oro och som de var bekymrade över. Vid detta möte fick insikt om vidden av problematiken, och hon insåg att Transportstyrelsen var i en återvändsgränd. Utifrån det började hon vidta kraftfulla åtgärder. hade hon också möten med tjänstemän på departementet för att informera om läget. anförde också att hennes erfarenhet var att hon som generaldirektör inte förväntades lyfta upp alla vardagliga problem till uppdragsgivaren utan förväntades lösa dem själv. Hon informerade statssekreterare om att hon hade informerat tjänstemännen om säkerhetsrelaterade problem i it-projekten. Syftet med detta var att vara transparent och ge honom chansen att agera. Vidare anförde att hon hade pratat med statssekreteraren om att förseningar i it-projektet skulle kunna störa införandet av nya regler, lagar eller tariffer. På så sätt förstod hon att det var angeläget även för regeringen att projekten blev klara. Hon uppgav att hon visste att hennes organisation hade haft möten med departementet och tjänstemännen där och att man då detaljerat hade paratat om datum. De olika avdelningarna på Transportstyrelsen hade egna möten med departementet. tog inte upp avstegen eller säkerhetsproblemen vid mötet . Inte heller vid tertialmötet tog hon upp vare sig avstegsbesluten eller säkerhetsproblemen. Det handlade framför allt om att hon i det läget inte hade förstått omfattningen av problemen. Hon levde då fortfarande i tron att det var tidsbegränsade dispenser hon hade beslutat om. Hennes minnesbild var att hon nämnde att Säkerhetspolisen genomförde en tillsyn, vilket hon tyckte var ganska normalt. Transportstyrelsen jobbade ju själv med tillsyn av olika myndigheter, och att man går in och tittar på en myndighet särskilt tyckte hon var värt att nämna för departementet, men inte anmärkningsvärt på något sätt. anförde vidare att när hon hade varit och träffat Säkerhetspolisen förstod hon vidden av och allvaret i situationen, och hennes första fokus var att sätta igång åtgärder internt i organisationen för att Transportstyrelsen skulle komma ur situationen. Det andra hon hade fokus på var att också ge departementet information om läget. hade ett möte tillsammans med departementet, med tjänstemännen där, och berättade utförligt om de avsteg som var gjorda och de åtgärder som hade påbörjats och vidtagits. Hon sa till departementet att hon hade för avsikt att jobba på det här sättet om man inte gav signaler från departementet om att hon skulle göra på ett annat sätt. Hon informerade också om att Säkerhetspolisen hade velat att Transportstyrelsen skulle avbryta outsourcingen, och hon förklarade varför hon inte ansåg att det var rimligt. På de ordinarie tertialmötena , var frågan om säkerhetsproblemen inte uppe över huvud taget. Vidare uppgav att hon innan hon tillträdde tjänsten som generaldirektör hade fått fylla i en blankett om säkerhetsprövning som hon lämnade till departementet, men hon hade inget säkerhetssamtal. uppgav också att hon inte diskuterade risk- och sårbarhetsanalysen 2015 och bilagan om informationssäkerhet med departementets företrädare mer än att det var med som en punkt på agendan . Hon tror att det handlade om hur Transportstyrelsen jobbade med frågan risk och sårbarhet och vilka strukturer som fanns internt, och att man redogjorde för arbetssättet mer än att diskutera innehållet. Utskottet höll en utfrågning med , tidigare styrelseordförande i (bilaga B6). anförde att hans kontakter med som ordförande var att han deltog i tertialmötena . Han hade också några andra kontakter med departementets olika tjänstemän, men det rörde framför allt hur styrelsens sammansättning skulle vara och hur man skulle hitta nya kandidater till styrelsen när någon hade slutat. Vidare anförde att han hade litat på att skulle informera om avstegen. Vid dialogmötena, och kanske särskilt det som var , när man diskuterade den sårbarhetsanalys som myndigheten hade lämnat in fördes diskussioner på ett ganska abstrakt plan om att det var viktigt att myndigheten vidtog åtgärder och rättade till de problem som fanns i analysen. It-verksamheten togs upp vid dessa möten men aldrig den fråga som handlade om Säkerhetspolisens verksamhet eller den skyddsvärda informationen. Utskottet höll en utfrågning med företrädare för Säkerhetspolisen (bilaga B1). Vid utfrågningen anförde den dåvarande säkerhetspolischefen att Säkerhetspolisen fick information om att Transportstyrelsen stod i begrepp att utkontraktera delar av sina it-system, bl.a. körkortsregistret, till en leverantör i utlandet. Mot den bakgrunden började Säkerhetspolisen undersöka saken och hade möten om detta hos Transportstyrelsen och . var det ett möte på där Säkerhetspolisen informerade om flera frågor. Säkerhetspolisen informerade då också om att den hade fått denna information och avsåg att inleda en tillsyn. beslutade Säkerhetspolisen att inleda en riktad tillsyn avseende Transportstyrelsens säkerhetsskydd vad gällde utkontraktering av it-drift och migrering av vägtrafikregistret. Vidare anförde att Säkerhetspolisen mot bakgrund av vad som framkom beslöt att att skicka en skrivelse till den dåvarande generaldirektören om behovet av att vidta omedelbara åtgärder. Skrivelsen är tydlig och avslutas med att Säkerhetspolisen rekommenderar Transportstyrelsen att vidta omedelbara åtgärder: att en säkerhetsanalys för pågående outsourcing skyndsamt upprättas, att skyddsvärden identifieras och att Transportstyrelsen säkerställer lämpliga säkerhetsskyddsåtgärder kopplat till fortsatt upphandling och projekt. Transportstyrelsen rekommenderas att, intill dess, säkerställa att hemliga uppgifter inte kommer obehöriga till handa genom att t.ex. avbryta outsourcingen av hela eller valda delar. Dagen efter att Säkerhetspolisen hade skickat skrivelsen till Transportstyrelsens generaldirektör informerade Säkerhetspolisen myndighetshandläggaren för Säkerhetspolisen på om att skrivelsen skickats. informerade Säkerhetspolisen företrädare för närmare om tillsynen, generellt om de brister Säkerhetspolisen upptäck och om att en förundersökning hade inletts. anförde vidare att det stod klart att den dåvarande generaldirektören för Transportstyrelsen skulle kallas till förhör och delges misstanke om brott. Om detta informerade en tjänsteman från Säkerhetspolisen en tjänsteman på . informerade tjänstemän från Säkerhetspolisen företrädare för och närmare om ärendet. Vidare uppgav att det ingår i Säkerhetspolisens uppdrag att informera uppdragsgivaren regeringen, och att alltid den informerar . Det var Säkerhetspolisen som genomförde tillsynen, och man begärde ingen hjälp av regeringen i det avseendet. Säkerhetspolisen lämnade inte någon anmälan till regeringen enligt 48 § säkerhetsskyddsförordningen (1996:633) under tillsynen av Transportstyrelsen. Utskottet höll en ytterligare utfrågning med Säkerhetspolisen (bilaga B11). Säkerhetspolischefen anförde när det gällde vad som hänt inom Transportstyrelsen och Säkerhetspolisens arbete med tillsynen att det med facit i hand är lätt att ställa frågorna: Varför agerade inte Säkerhetspolisen snabbare? Varför rekommenderade Säkerhetspolisen inte Transportstyrelsen att direkt avbryta utkontrakteringen? Vidare anförde att det är värt att notera, också mot bakgrund av den utredning som genomfört, att den tidslinje som förefaller tydlig och klar inte alls såg ut så när Säkerhetspolisen kom in i bilden . Informationsläget när myndighetenen började arbeta med ärendet var mycket oklart, och det fanns visst motstånd mot att lämna information till Säkerhetspolisen, vars initiala fokus var att skydda det mest skyddsvärda genom att skapa sig en bättre lägesbild och vidta skademinimerande åtgärder. Det gjorde Säkerhetspolisen genom att hämta in, bearbeta och analysera uppgifter. Vidare anförde att Säkerhetspolisen lämnade under hand information till . Utskottet höll en offentlig och en sluten utfrågning med f.d. statssekreterare (bilaga B7). anförde inledningsvis att informerades , där ett stort antal frågor togs upp, om att Säkerhetspolisen avsåg att inleda ett tillsynsärende mot Transportstyrelsen. Säkerhetspolisen hade fått uppgifter om att delar av Transportstyrelsens it-system, som skulle kunna omfatta skyddsvärd information, skulle outsourcas till utlandet efter en upphandling. Tillsynsärenden är inte ovanliga. bad att Säkerhetspolisen skulle hålla informerat om ärendets gång. Utifrån den information hon fick fanns inte anledning att göra något annat än att försäkra sig om att hon skulle hållas uppdaterad. Bilden, riskerna och allvaret i situationen växte fram successivt. blev allvaret i situationen tydligare. informerades om att Säkerhetspolisen överlämnat ärendet till åklagare. Hon informerade inrikesminister när de hade sitt första möte efter att hon hade tagit del av denna information. Vidare anförde att Säkerhetspolisen lämnade information som innebar att bilden av situationen klarnade ännu mer. Informationen från Säkerhetspolisen ledde till att såg till att berörda departement fick del av informationen för att kunna följa upp sina respektive myndigheters arbete med sårbarhetsreducering. Nödvändiga åtgärder vidtogs av de myndigheter som påverkades. samarbetade med och Försvarsdepartementet Det var enligt viktigt att konstatera att det var Säkerhetspolisen som både upptäckte och som tillsynsmyndighet hanterade säkerhetsriskerna på Transportstyrelsen. De begärde inte någon åtgärd av regeringen. Hade Säkerhetspolisen begärt att regeringen skulle agera mot Transportstyrelsen hade tagit initiativ till att det gjordes. anförde vidare att fortlöpande fick rapporter från Säkerhetspolisen som visade att deras arbete med tillsyn och det sårbarhetsreducerande arbetet löpte på. Med den information som hade fanns det enligt hennes mening ingen anledning för regeringen att agera på något annat sätt än den gjorde. Informationen om att Transportstyrelsens generaldirektör fattat formellt beslut om att göra avsteg från gällande lagar fick kännedom om först efter att hon avslutat sin tjänst som statssekreterare. Som svar på en fråga om när gruppen för strategisk samordning sammankallades i samband med händelserna rörande Transportstyrelsen, svarade att man gör en bedömning av vad som är mest effektivt när det gäller att hantera en situation, en kris eller en allvarlig händelse. Hon sammankallade inte gruppen för strategisk samordning med anledning av ärendet i fråga om Transportstyrelsen därför att det inte hade varit ett lämpligt format. Man träffades i den gruppen i akuta frågor som krävde att hela krishanteringsorganisation kopplades in, t.ex. när det gällde terrorhot, ebola och flyktingkrisen. bedömning var att man vad gällde Transportstyrelsen skulle gå via de ordinarie kanalerna med de tre departementen som huvudsakligen var involverade, dvs. , och Försvarsdepartementet samt i viss mån Statsrådsberedningen. Som svar på en fråga om när fick kännedom om Säkerhetspolisens brev till Transportstyrelsen med krav på omedelbara säkerhetshöjande åtgärder anförde att hon fick kännedom om brevet efter att brevet skickats. Dessutom hade man ett möte med Säkerhetspolisen i princip som brevet skickades, och då togs inte brevet upp. När fick kännedom om brevet konstaterade hon att Säkerhetspolisen hade tagit frågan på allvar och skrivit till Transportstyrelsen, och då väntade man naturligtvis på svar från Transportstyrelsen. I det läget upplevde inte att det var nödvändigt att informera inrikesministern. Transportstyrelsen svarade inte på brevet förrän , och då fick information om vad Transportstyrelsen hade svarat. Vidare uppgav att det inte fanns någon särskild anledning att informera Statsrådsberedningen. Frågan hanterades av och . anförde vidare att fick kännedom om att generaldirektören hade fattat formella beslut om att göra avsteg från lagstiftningen vid ett möte med Säkerhetspolisen . Då var hon inte längre statssekreterare på . Vid det mötet deltog bl.a. statssekreterare . På en fråga om bakgrunden till regeringens beslut om att införa krav på it-incidentsrapportering för statliga myndigheter svarade att beslutet inte fattades med anledning av att man fick veta att en tillsyn skulle inledas på Transportstyrelsen, utan därför att regeringen såg att det fanns ett generellt problem på många myndigheter med hanteringen av säkerhetsfrågor och it-incidenter som kunde få säkerhetskonsekvenser. Detta gällde generellt och beslutet kom sig inte av händelserna på Transportstyrelsen. Vidare anförde att man inom arbetar med ansvarsprincipen. Den innebär för det första att det är myndigheterna som har ansvar för sin egen säkerhet och för det andra att det är respektive departement som har ansvar för sina myndigheter. När Transportstyrelsens risk- och sårbarhetsanalys kom in från Transportstyrelsen var det alltså som skulle hantera den och gentemot sin myndighet – Transportstyrelsen. På fick man en övergripande bild av vad som har kommit fram i samtliga risk- och sårbarhetsanalyser. Det var bl.a. detta som ledde till exempelvis beslutet om obligatorisk rapportering av it-incidenter. uppgav att hon delade bedömning att det som stod i analysen från Transportstyrelsen var anmärkningsvärt och borde ha hanterats av . Utskottet höll en utfrågning med f.d. statssekreterare (bilaga B8). Vid utfrågningen anförde inledningsvis att han, såvitt han kunde minnas, som statssekreterare i kom i kontakt med frågan om Transportstyrelsens outsourcing . Det var när en av hans tjänstemän i departementet informerade om att det hade kommit information från om att det kunde finnas risk för att känsliga uppgifter kunde spridas i samband med den stora it-upphandling som Transportstyrelsen genomförde. Tjänstemannen hade också tillsammans med departementets säkerhetschef träffat generaldirektören för Transportstyrelsen för att skaffa sig en bild av hur generaldirektören såg på situationen. fick redogjort för sig att bekräftat att hon fått signaler från Säkerhetspolisen om att det fanns risk för att känsliga uppgifter kunde komma att röjas men att hon hade genomfört åtgärder och dessutom hade fler planerade åtgärder som hon menade kunde avhjälpa problemet. Dessutom gav bilden att det fanns en fungerande dialog med Säkerhetspolisen. Vidare anförde att han själv träffade för att informera sig, och han fick då i stort sett samma budskap som vid det första tillfället: Frågan var svår, men föreföll trygg i att kunna lösa den och hon hade en god kommunikation med Säkerhetspolisen. uppgav vidare att bekräftade att lösningen låg inom Transportstyrelsens ansvarsområde, att hon vidtog åtgärder för att lösa situationen, och hon föreslog heller inte att regeringen på något sätt skulle fatta något beslut eller vidta någon annan åtgärd. anförde att han inte fått information om att skulle ha fattat beslut om att bryta mot lagar, inte heller att hon skulle ha fattat några formella beslut i strid med regelverket. anförde vidare att han noterat att uppgett att hon inte fick information om dessa frågor , och att han uppenbarligen inte tillräckligt hade försäkrat sig om att hade fått tillräcklig information och av departementet fått veta vad Transportstyrelsen berättat. Det var ansvar att hålla statsrådet informerat om den verksamhet som bedrevs i departementet under hennes ansvarsområde, och att se till att de rutinerna fungerade. Som svar på frågor om den risk- och sårbarhetsanalys som Transportstyrelsen lämnade 2015 svarade att risk- och sårbarhetsanalyser är rapporter som regeringen begär in från många myndigheter. De hanteras därför på ett systematiskt sätt på tjänstemannanivå. Han blev varskodd om det var sådan information i en risk- och sårbarhetsanalys att tjänstemännen bedömde att han borde känna till den. I det här fallet kunde inte erinra sig att han fått någon sådan information. Han var som statssekreterare inte insatt i detaljerna kring kopplingen mellan risk- och sårbarhetsanalysen och de kontakter som hade direkt med . hänvisade heller aldrig till risk- och sårbarhetsanalysen i sina kontakter med honom.