bet · H501KU20d3 · 2018-01-01 00:00:00 — bet 2017/18 KU20 d3 Innehållsförteckning – Bilaga B Bilaga B1 Säkerhetspolisen .......................................................................... Bilaga B3 Internrevisor , Transportstyrelsen ................... Bilaga B4 F.d. generaldirektör och f.d. stf. generaldirektör , Transportstyrelsen................................ Bilaga B5 F.d. generaldirektör , Transportstyrelsen ............. Bilaga B6 F.d. styrelseordförande , Bilaga B7 F.d. statssekreterare ............................................... Bilaga B8 F.d. statssekreterare ....................................... Bilaga B9 F.d. it- och energiminister ............................ Bilaga B10 F.d. statssekreterare ................................ Bilaga B11 Säkerhetspolisen .................................................................... Bilaga B12 F.d. infrastrukturminister ............................ Bilaga B13 F.d. inrikesminister ..................................... Bilaga B14 Ministern för högre utbildning och forskning Bilaga B15 Utrikesminister ........................................ Bilaga B16 Justitie- och inrikesminister ..................... Bilaga B17 Försvarsminister ............................................ Bilaga B18 Miljöminister ................................................. Bilaga B19 Statsminister ................................................... Granskningsärende 9 och 12 Regeringens agerande i samband med Transportstyrelsens it-upphandling (se avsnitt 5.2) – sluten utfrågning1 Granskningsärende 10–11 och 15 Förra regeringens agerande i fråga om Transportstyrelsens it-upphandling (se avsnitt 5.1) – sluten utfrågning Ordföranden: Då välkomnar vi Säkerhetspolisens generaldirektör med medarbetare till för en sluten utfrågning i KU:s granskningsärenden 9 och 12, regeringens agerande i samband med Transportstyrelsens it-upphandling, och granskningsärendena 10–11 och 15, förra regeringens agerande ifråga om Transportstyrelsens it-upphandling. Tanken är att gör en inledning, och därefter får utskottets ledamöter möjlighet att ställa frågor. Vi har tänkt så att vi delar upp fråge- ställandet i två delar: Först blir det frågor om den förra regeringens agerande och därefter en ny runda frågor om den nuvarande regeringens agerande. Vi brukar ha den ordningen att anmälande partier får börja ställa frågor och därefter partierna i storleksordning. Jag vill också nämna, nu när även Säkerhetspolisen är närvarande, det som jag sa förut om beslut om tystnadsplikt, det vill säga att utskottet är införstått med att det kan komma att finnas behov av att fatta beslut om tystnadsplikt vad gäller vissa uppgifter. Vi har uppfattat det så att ni i inledningen inte kommer att nämna sådana uppgifter, utan det blir i så fall som svar på frågor från utskottets ledamöter. Vi har också förstått det så att ni kommer att flagga för om ni avser att lämna så känsliga uppgifter att ett sådant beslut behöver fattas. I så fall tar vi ställning till det då. Det behöver då vara tydligt för oss vilka uppgifter det i så fall är som skulle omfattas av det här särskilda beslutet. Det är en ganska hög tröskel och straffsanktioner, och därför behöver det vara specifikt så att vi alla förstår vad det är vi beslutar om. Med detta hälsar jag varmt välkommen. Presentera gärna medarbetarna och varsågod att inleda! : Herr ordförande, utskottets övriga ledamöter! Tack för att jag har blivit inbjuden till utskottet och får tillfälle att redogöra för Säkerhets- polisens arbete med att skydda de mest skyddsvärda verksamheterna i och hur vi arbetar med att utföra tillsyn och framför allt ge råd och stöd till verksamheter som hanterar det mest skyddsvärda. 1Under utfrågningen förekom uppgifter som kan omfattas av sekretess. De ställen där uppgifter har uteslutits markeras med [sekretess]. 2017/18:KU20 BILAGA B UTFRÅGNINGAR Bredvid mig har jag chefen för säkerhetsskyddsenheten , , stabschefen och presschefen . granskning avser regeringens agerande i samband med Transportstyrelsens it-upphandling och även den förra regeringens, precis som vi hörde. I mitt inledningsanförande kommer jag inte att skilja dessa frågor åt. Inledningsvis kommer jag att beskriva vårt uppdrag och vilka verktyg vi har för att fullfölja uppdraget. Sedan kommer jag in på ärendet med Transportstyrelsen. Säkerhetspolisen har i uppgift att förebygga och avslöja brott mot säkerhet. Vi ska också bekämpa terrorism och skydda den centrala statsledningen. Säkerhetspolisen är en säkerhetstjänst, och som sådan arbetar vi för att höja säkerhetsnivån i landet. Det gör vi bland annat genom att avslöja och reducera säkerhetshot som riktas mot och våra skyddsvärden. Vi arbetar också med att reducera sårbarheterna i skydds- värdena. Vi har ett nytt normalläge, och vårt uppdrag är omfattande och komplext. En av våra uppgifter är den som är föremål för utskottets granskning och som utfrågningen avser , nämligen uppgiften att skydda de mest skyddsvärda verksamheterna i samhället. Bestämmelserna om detta finns i säkerhetsskyddslagstiftningen. Det är omkring 600 verksamheter som vi ansvarar för . Det är ofta verksamheter som har vital betydelse för samhällets funktionalitet, vårt demokratiska system och det politiska beslutsfattandet. Alla myndigheter som omfattas av säkerhetsskyddslagstiftningens område har ett eget ansvar och en skyldighet att bedriva ett fungerande säkerhets- skyddsarbete i sina verksamheter. Det är alltså inte Säkerhetspolisens ansvar. Säkerhetspolisen har givetvis ansvar för att bedriva ett fungerande säkerhetsskyddsarbete i vår egen verksamhet. Vad är då säkerhetsskydd? Säkerhetsskydd är flera olika aktiviteter som vidtas för att minska sårbarheten och öka skyddet för skyddsvärda verksamheter och uppgifter som har betydelse för rikets säkerhet. Vi på Säkerhetspolisen har betonat vikten av att göra säkerhetsanalyser. Den som har skyddsvärden i sin verksamhet måste veta vad i verksamheten som är skyddsvärt och hur hotet ser ut. Detta blir nu alltmer tydligt i samband med den omfattande totalförsvarsplaneringen. Som vi nu har sett i flera fall, bl.a. i ärendet gällande Transportstyrelsen, kan en bristande eller inte genomförd säkerhetsanalys få stora konsekvenser. Utan kunskap om vad som ska skyddas och mot vad är det svårt att vidta de rätta skyddsåtgärderna. Dåliga säkerhetsanalyser är den vanligaste brist vi ser när vi ger råd och stöd eller utför tillsyn. Säkerhetspolisen är en tillsynsmyndighet med uppdraget att kontrollera att civila myndigheter följer lagstiftningen. Försvarsmakten är tillsynsmyndighet för myndigheter som ligger under Försvarsdepartementet. I vårt arbete prioriteras samhällets mest skyddsvärda verksamheter. främst på de verksamheter där konsekvensen av ett angrepp eller ett intrång skulle bli så allvarliga att som nation drabbas. En tillsyn kan ha olika anslag. kontrolleras en myndighets hela verksamhet inom delarna fysiskt skydd, informationssäkerhet och säkerhets- prövning, men vi utför också mer riktade och fördjupade tillsyner där enskilda delar i verksamheten synas, till exempel säkerhetsskyddad upphandling eller tekniska system. När det gäller Transportstyrelsen beslutade vi om en riktad tillsyn avseende utkontraktering av it-drift och migrering av vägtrafikregistret. Många verksamheter hör av sig till Säkerhetspolisen, och vi ger råd om hur man gör en bra säkerhetsanalys. Vi utbildar ett femtiotal säkerhets- skyddschefer och ger stöd angående hur skyddsåtgärder dimensioneras. Det är alltså inte Säkerhetspolisen som beslutar vilket säkerhetsskydd en myndighet ska ha. Vi upphandlar inte heller skydd. Det ska respektive myndighet göra. Vårt ansvar är att tillhandahålla expertkunskap och ge råd. Vår erfarenhet är att vi kommer långt med vår rådgivande och stödjande roll. Vi prioriterar den delen av vårt uppdrag. Ofta får vi ett bra samverkans- klimat med den verksamhet som vi stöder och ger råd till, och det underlättar också vår möjlighet att få information och därmed kunna ge det rätta stödet. Tillsynsverksamheten är resurskrävande och ibland inte lika framgångsrik som den rådgivande och stödjande verksamheten. Men vi välkomnar att vi från och med nu får en möjlighet av avstyrka åtgärder och till och med neka en myndighet att vidta en viss åtgärd om vi bedömer att uppgifterna och skyddet kring dessa inte har analyserats eller åtgärdats tillräckligt. Frågan många kanske ställer sig är om ärendet gällande Transportstyrelsen inte skulle ha uppstått och dagens utfrågning därmed inte skulle ha ägt rum om detta regelverk hade varit på plats . Jag kan inte svara på det, för även det kommande regelverket förutsätter ju att vi – Säkerhets- polisen respektive Försvarsmakten – får information om att en myndighet överväger en utkontraktering. Men de nya förslagen innebär definitivt en ökad möjlighet att identifiera och skydda det mest skyddsvärda och därmed ett steg mot ett säkrare . Jag kommer till vår tillsyn hos Transportstyrelsen. fick vi information om att Transportstyrelsen stod i begrepp att utkontraktera delar av sina it-system, bland annat körkortsregistret, till leverantör i utlandet. Mot den bakgrunden började vi undersöka saken. Vi hade möte om detta hos Transportstyrelsen och . var det ett möte på där vi informerade om flera frågor. Vi informerade då också om att vi hade fått denna information och att vi avsåg att inleda en tillsyn. beslutade Säkerhetspolisen att inleda en tillsyn av Transportstyrelsens säkerhetsskydd. Som jag tidigare nämnde var det en riktad tillsyn avseende utkontraktering av it-drift och migrering av vägtrafikregistret. arbetade vi med ärendet. Bland annat hade vi möte på Transportstyrelsen . Vi efterfrågade material, såsom säkerhetsskyddsdokumentation, bland annat befintliga , deras 2017/18:KU20 BILAGA B UTFRÅGNINGAR säkerhetsanalys och olika styrdokument. Vi bedömde de här underlagen och de svar vi fick från Transportstyrelsen på de frågor vi hade ställt. Mot bakgrund av vad som framkom vidtog vi den ovanliga åtgärden att skicka en skrivelse till den dåvarande generaldirektören om behov av att vidta omedelbara åtgärder. Skrivelsen är tydlig och avslutas med att Säkerhets- polisen rekommenderar Transportstyrelsen till omedelbara åtgärder: att en säkerhetsanalys för pågående outsourcing skyndsamt upprättas, att skydds- värden identifieras och att Transportstyrelsen säkerställer lämpliga säkerhetsskyddsåtgärder kopplat till fortsatt upphandling och projekt. Vi skriver vidare att Transportstyrelsen intill dess rekommenderas att säkerställa att hemliga uppgifter inte kommer obehöriga till handa genom att till exempel avbryta outsourcingen av hela eller valda delar. Dagen efter att vi hade skickat skrivelsen till Transportstyrelsens generaldirektör informerade vi myndighetshandläggaren för Säkerhetspolisen på om att skrivelsen skickats. Vi följde upp att Transportstyrelsen tog till sig vad vi formulerat i skrivelsen, bland annat genom tillsynsintervjuer. Vad som framkom i samband med dessa medförde att vi fann skäl att ha ett särskilt samtal med den dåvarande generaldirektören. inleder en åklagare förundersökning avseende vårdslöshet med hemlig uppgift. informerar vi företrädare för närmare om tillsynen, generellt om de brister vi sett samt om att förundersökning inletts. meddelar vi våra slutsatser av tillsynen till Transportstyrelsen. Sammanfattningsvis kan sägas att vi bedömde att det fanns brister avseende analysen av vad som är skyddsvärt i deras verksamhet och avseende säkerhetsskyddsavtalen med företag som ska utföra tjänster åt myndigheten. Därutöver hade myndigheten fattat beslut om avsteg från säkerhetsskydds- lagen. Jag vill här nämna att de två första bristerna, det vill säga avsaknaden av säkerhetsanalys och bristande säkerhetsskyddsavtal, är brister som vi i vårt löpande säkerhetsskyddsarbete tyvärr ser är relativt vanliga hos myndigheter. Vårt arbete med tillsynen och rådgivningen i sårbarhetsreducerande syfte fortsatte . Transportstyrelsen tog fram en handlingsplan och gjorde en ny säkerhetsanalys. pågick arbetet med förundersökningen parallellt. stod det klart att den dåvarande generaldirektören för Transportstyrelsen skulle kallas till förhör och delges misstanke om brott. Om detta informerade en tjänsteman från Säkerhetspolisen en tjänsteman på . informerade tjänstemän från Säkerhetspolisen företrädare för och närmare om ärendet. En fråga som ofta ställs är: Varför stoppade Säkerhets- polisen inte utkontrakteringen? Det enkla svaret på den frågan är att vi inte har rätt att fatta några sådana beslut. Vi har inte rätt att ta till några skarpa åtgärder i syfte att hindra en pågående utkontraktering. När vi fick indikationer om att information av det slaget skulle outsourcas till utlandet startade vi ett Vi begärde in materialet. Vi bedömde det. Vi prioriterade att försöka minska skadan av redan fattade beslut. När vi inte tyckte att det gick tillräckligt snabbt skickade vi en skrivelse till den dåvarande generaldirektören och rekommenderade omedelbara åtgärder för att reducera skadan och förhindra ytterligare utkontraktering. Och vi informerade vår uppdragsgivare. Vi använde de verktyg vi hade. Vi arbetade med tillsynen och arbetade med skademinimering tillsynen pågick. Utskottet har också ställt frågor till om huruvida Säkerhetspolisen gett in en formell anmälan enligt 48 § säkerhetsskydds- förordningen till regeringen. Som framgår av svar har vi inte gjort det. Bestämmelsen i 48 § är utformad så att om det under tillsynen konstateras brister som trots påpekande inte rättas till ska tillsynsmyndigheten anmäla det till regeringen. Vi hade en dialog med tjänstemännen på Transportstyrelsen , även om det som jag nämnde tidigare var trögt i början – vi tyckte inte att det gick tillräckligt fort. Vår bedömning var dock att Transportstyrelsen vidtog åtgärder under ärendets gång, även om viansåg att det fanns behov av en särskild skrivelse med rekommendation om omedelbara åtgärder. Efter vårt samtal med den dåvarande generaldirektören bedömde vi att även ledningen för Transportstyrelsen insett bristerna och behovet av åtgärder. Vi hade också informerat om att vi inlett en tillsyn och hållit departementet informerat om att ärendet fortskred. Kanske kommer också några av utskottets ledamöter att ställa frågor om deltagare vid olika möten med företrädare för och om vad som har sagts mer i detalj. Vilka som har deltagit vid möten bedömer jag vara en fråga som främst bör ställas till , och det har utskottet också gjort. Vi har inget att tillägga till de skriftliga svar som har lämnat. har jag deltagit vid föredragningar hos . I huvudsak har upplägget varit detsamma. Vi redovisar övergripande aktuella frågor vid myndigheten. Som jag nämnde inledningsvis har Säkerhetspolisen ett komplext uppdrag som spänner över många områden, och det är mycket information som förmedlas vid de här mötena. Tillsynen hos Transportstyrelsen var en av många sådana frågor. Jag är glad att jag har blivit inbjuden till utskottet för att redovisa hur vi arbetar med vårt uppdrag på säkerhetsskyddsområdet. De frågorna har fått allt större uppmärksamhet av såväl regeringen och som myndigheterna. Med den ökade digitaliseringen och det förändrade omvärldsläget behöver vi intensifiera vårt arbete med att skydda våra skyddsvärda verksamheter. Jag vill framhålla att vi – hela samhället – har ett stort och långsiktigt arbete framför oss. Med detta, herr ordförande, är jag beredd att svara på frågor. Varmt tack för den inledningen! Vi börjar med att se om det finns frågor som rör den förra regeringens åtgärder. Där är anmälande partier Socialdemokraterna och . Jag lämnar därför först ordet till Socialdemokraterna. (S): Ordförande! Jag tackar för en intressant föredragning. Jag har en fråga som delvis berördes i inledningen. Jag vill ändå undersöka detta närmare. Av 39 § säkerhetsskyddsförordningen följer att myndigheten ska kontrollera säkerhetsskyddet hos Transportstyrelsen, precis som general- direktören sa. började ju outsourcing, inte minst av it- drift, röna en hel del uppmärksamhet inom statsförvaltningen. Det kom en granskningsrapport från , IT inom statsförvaltningen, och en förstudie från E-delegationen, Effektiv IT-drift inom staten. I Transport- styrelsens tertialrapport från framkommer det att myndigheten har ett internt uppdrag med syftet att identifiera och värdera åtgärder inom myndigheten som förväntas kunna ge betydande kostnads- besparingar. Det framgår att det bland annat ska handla om eventuell outsourcing och att tonvikten kommer att läggas på it-verksamheten. Det fattades beslut om projektplan kring detta , och det publicerades en annons med en anmodan till företag att delta i upphandlingen. Det uppmärksammades också i medier att det här skulle ske. Med anledning av detta och Säpos uppgift enligt säkerhetsskydds- förordningen att kontrollera säkerhetsskydd undrar jag om detta föranledde några kontrollåtgärder med säkerhetsskyddande syfte från sida och i så fall vilken typ av åtgärder? Du nämnde i din inledning utbildning för säkerhetsansvariga, rådgivande och stödjande roll och så. Det skulle vara intressant att höra om den här uppmärksamheten ledde till någon typ av åtgärder från er sida. : Säkerhetspolisen har återkommande tagit upp proble- matiken med utförsäljningar och outsourcing med såväl nuvarande som tidigare regering. Som jag sa är det ungefär 600 verksamheter som har skyddsvärd verk- samhet. Vi måste prioritera hos . Det är upp till varje myndighet och man har ett eget ansvar för att det görs en säkerhetsanalys och att man skyddar sin egen skyddsvärda information. Vi har påtalat det i samband med våra årsredovisningar och årsböcker, vi har utbildat och så vidare. När det gäller just Transportstyrelsen begärde vi in ett antal säkerhetsanalyser. Vi tänkte att vi inte skulle göra som vi alltid gör. Gör man en full tillsyn tar det väldigt mycket kraft. Vi skulle ta in många som vi tyckte var viktiga. En av dem var Transportstyrelsen som fick lämna in sin säkerhetsanalys för att vi skulle bedöma om man i stort var på rätt väg eller hur bristerna såg ut i det här avseendet. I samband med Transportstyrelsen fanns det ingenting om deras utkontraktering vid det tillfället. Däremot konstaterade vi att många av säkerhetsanalyserna hade de generella bristerna. Vi har konstaterat att man överlag har en bristande säkerhetskultur och dåliga säkerhetsanalyser. Men Transportstyrelsen i sig har inte varit uppe vid samtal med den förra regeringen. (S): Jag har en följdfråga bara för att se om jag förstod rätt. Jag uppfattade det så att generaldirektören sa att det fanns inget om deras utkontraktering i det som begärdes in. Eller fanns det ingenting om deras utkontraktering som innebar frågetecken? Omskrevs det inte eller var det någonting som ni inte reagerade på? : Min minnesbild är att det inte omskrevs specifikt. Däremot gjorde man en säkerhetsanalys för hela verksamheten. (V): Jag är inne på samma fråga som . Jag funderar över det här. Rådgivning, tillsyn utifrån förstås att myndigheter ska göra sina säkerhetsanalyser, men finns det någonting där ni själva tänker till: Borde de här göra en säkerhetsanalys av det här området? It-frågorna var ändå offentligt ute och det stod om det i media. För mig i alla fall är det en ganska tydlig säkerhetsfråga, att detta borde vara något som man kanske funderade på. Föranleder inte den typen av saker att…? Tänker ni till själva att den här myndigheten borde vi kanske titta lite extra på eller ge lite extra råd och stöd om hur de skulle kunna göra för att fixa detta med tanke på den information som de har? Var det några kontakter med Transportstyrelsen om deras säkerhetsarbete? : Som jag sa har vi över 600 verksamheter. Varje myndighet har ett eget ansvar för sin egen … Det är upp till dem att säga till om de har problem med något och vill ha hjälp. Vi stöder generellt, vi ger ut riktlinjer, vi har anvisningar på vår hemsida, vi genomför utbildningar. När det gäller Transportstyrelsens säkerhetsanalys, som jag nämnde, tog vi ett antal myndigheters säkerhetsanalyser för att se om det fanns säkerhets- analyser som man är skyldig att ha. Transportstyrelsens säkerhetsanalys föranledde ett möte där vi gick igenom vissa saker. Men någon utkontraktering togs inte särskilt upp vid det tillfället. Ordföranden: sa att ni vid den här tidpunkten – alltså under den förra mandatperioden – lyfte säkerhetsskyddsfrågorna och informations- säkerhetsfrågorna. Bara för tydlighetens skull: Lyftes de i generella termer eller var det specifika myndigheter som lyftes fram som problemmyndigheter? Vilken typ av lyftande var det som ägde rum – med ursäkt för den dåliga svenskan? : Jag förstod frågan. Generellt tog vi upp att vi var bekymrade. Vi har också redovisat det offentligt i flera olika sammanhang. När man från säkerhetstjänsten informerar regeringen har man löpande ärenden i olika sammanhang: kontraspionage, kontraterror och säkerhetsskydd. Vår främsta uppgift på säkerhetstjänsten är att jobba förebyggande och se till att det inte händer någonting. Vi håller regeringen informerad fortlöpande på ett övergripande plan om enskilda ärenden. Men jag vill påstå att det var i generella termer vikten av att man skyddar det mest skyddsvärda. Det har varit mycket diskussion med både den nuvarande och den förra regeringen. Ordföranden: ni i samband med det några konkreta förslag till lagändringar eller förordningsändringar? : Vi har menat att säkerhetsskyddslagen i sig var obsolet. Den kom till 1996. Vi tog upp den med förra regeringen. Det har gjorts en utredning, och det kommer en ny säkerhetsskyddslag. Det arbetet påbörjades ju redan tidigare. var utredare för den. Nuvarande regering har också kommit med ett tilläggsuppdrag som håller på att arbeta med om vissa möjligheter att ha sanktioner för Säkerhetspolisen. Vi har påtalat generellt att vi har problem att få gehör för dessa frågor. Många verksamheter går fort, man ska vara effektiv och det ska levereras. Som myndighet ska man tjäna allmänheten. Då menar vi att man måste också iaktta rättssäkerhet. När vi ibland har gjort generella påtalanden och tagit upp dem tycker vi inte att de har fått den uppmärksamhet som de förtjänar. Kanske det enda goda som har hänt på Transportstyrelsen är att det har blivit en ökad uppmärksamhet. Säkerhetsskyddsfrågorna får nu den plats i rummet som den förtjänar. Det är mitt svar. Ordföranden: ni inom generellt sett motståndare till utkontraktering av it-drift hos myndigheter? : En del tror ju det med anledning av det som har hänt. Det är vi absolut inte. Vi inser att vi är en modern säkerhetstjänst. Vi vill förstå omvärlden, och vi vill naturligtvis att den ska vara så effektiv som möjligt. Men utkontraktering i sig självt har vi inga synpunkter på. Det är upp till andra att besluta det. Men man måste skydda det mest skyddsvärda. Ska man utkontraktera framför allt till utlandet och även inom landet måste de som ska ta del av informationen vara behöriga handha den. Utkontraktering i sig har vi inga synpunkter på, men handhavandet är extra viktigt vid sådana tillfällen. (SD): Jag kan ha gått lite vilse i den omfattande materian som vi har fått tillsänt oss från olika ställen. Men jag har bestämt för mig att jag har läst i handlingarna att någon säkerhetsanalys inte har funnits hos Transportstyrelsen förrän efter det här debacklet. Man har upprättat sådana . Förstod jag dig rätt att du nämnde att ni redan under den förra regeringens mandatperiod hade begärt in Transportstyrelsens säkerhetsanalys och bedömt den som bristfällig, vilket då skulle indikera att de faktiskt har gjort säkerhetsanalyser tidigare? : Det fanns en säkerhetsanalys. Vi tänkte att vi skulle jobba på ett annorlunda sätt. Vi har 600 verksamheter. För att vi skulle få gehör för våra frågor – jag vill minnas att det var 2014 – begärde vi in säkerhetsanalyser från ett antal olika myndigheter. Bland dessa myndigheter fanns det säkerhetsanalyser hos de flesta.