bet · H501KU20d3 · 2018-01-01 00:00:00 — Jag förklarar sammanträdet ajournerat . Bilaga B10 F.d. statssekreterare Granskningsärende 9 och 12 Regeringens agerande i samband med Transportstyrelsens it-upphandling (se avsnitt 5.2) – delvis sluten utfrågning Ordföranden: Då återupptar vi öppna sammanträde och välkomnar förra statssekreteraren till utskottet för att medverka vid en offentlig utfrågning med anledning av granskningsärendet som heter Regeringens agerande i samband med Transportstyrelsens it- upphandling, G9 och 12. Ordningen är den att har möjlighet att göra en inledning, och därefter ställer vi frågor, anmälande partier först och därefter partierna i storleksordning. Varmt välkommen och var så god att inleda! : Tack så mycket, herr ordförande! Händelserna kring Transportstyrelsens outsourcing av sin it-drift är mycket allvarliga. Kvalificerad hemlig information har varit tillgänglig för icke säkerhetsklassade personer i utlandet. Kvalificerade skyddade identiteter har röjts. Det är viktigt att vi drar lärdomar av det som har hänt, och därför välkomnar jag KU:s granskning. Jag fick en första information om händelserna i Transportstyrelsen . Då fick jag reda på att det pågick en förundersökning med anledning av vårdslöshet med hemliga uppgifter i Transportstyrelsen. Jag fick också reda på att jag skulle få ytterligare information. Det fick jag också. fick jag reda på att den dåvarande generaldirektören skulle delgivas misstanke om brott mot rikets säkerhet och att bakgrunden till dessa anklagelser var allvarliga, både i form och i sak. Misstanken rörde att generaldirektören personligen skulle ha fattat formella beslut om avsteg mot säkerhetsskyddslagstiftningen. Konsekvenserna av detta var att kvalificerade skyddade identiteter var röjda. Jag fick också en försäkran om att berörda myndigheter redan var informerade och att de redan var igång med att vidta skadebegränsande åtgärder. Självklart kan man inte ta emot den här typen av information utan att dels bli bekymrad, dels fråga sig vad regeringen bör göra. var berörda myndigheter redan informerade, och de var redan igång med skade- reducerande åtgärder. Men generaldirektören satt kvar på sitt uppdrag. Det var inte rimligt. Här krävdes ett beslut från regeringens sida. Kort därefter informerade jag statsministern. Jag gav honom den information jag själv hade fått i ärendet, och jag stämde av förslaget om att skilja generaldirektören från hennes uppdrag. För att värna rikets säkerhet och för att minimera konsekvenserna av det inträffade höll vi informationen om vad som hade hänt inom en extremt begränsad krets, detta medan 2017/18:KU20 BILAGA B UTFRÅGNINGAR tillsynsärendet, de skadereducerande åtgärderna och förundersökningen fortfarande pågick. nådde information om händelserna i Transportstyrelsen medierna. Det var först då jag fick klart för mig att kunskapen om händelserna i Transportstyrelsen i samband med dess outsourcing av sin it-drift hade funnits längre i än i Statsrådsberedningen. För att kontrollera min egen minnesbild gick jag tillbaka till mina personliga noteringar. Jag hittade inga uppgifter tidigare än . , in , visade det sig dock att tillsynen av Transportstyrelsen hade nämnts vid minst två möten där jag hade närvarat. Vid dessa möten har andra personer antecknat ”Tillsynen mot Transportstyrelsen löper på” i sina personliga noteringar. Då konstaterade jag att jag hade haft möjlighet att få information i det här ärendet tidigare, om jag hade ställt följdfrågor. Jag anser att det var ett misstag, och det tog jag konsekvenserna av. Jag svarar nu gärna på frågor. Ordföranden: så mycket för den inledningen! Jag kommer att börja ställa några frågor. Först bara en kontrollfråga: sa att det var först som hon insåg att det hade funnits information i tidigare än . Så det framgick alltså inte då, när du fick den första informationen , att hade fått information ? Det var inget som någon sa till dig i sam- band med den föredragning, den information, som du fick ? : Svar nej. Ordföranden: ur ditt perspektiv var det här ett ganska … Du trodde att det var ett nytt ärende som hade uppstått då ? Det var så det presenterades för dig? Ordföranden: Du har i medierna och också nu inför utskottet sagt att du har fått … deltagit i möten tidigare än där den här frågan har varit uppe. Det här ”minst” är ju lite vagt. Har du någon närmare precisering att ge till utskottet här ? Var det två möten, eller kan det ha varit fler möten där det här har varit uppe som du deltog i? : Det är ju så här att när det gäller det här ärendet så är min egen minnesbild att jag fick information och att jag sedan fick mer information . Det är det som jag har i mitt eget huvud. Det är också det som jag har när jag har gått igenom mina personliga noteringar. Sedan är det så att jag, precis som jag sa i mitt inledningsanförande, senare fick reda på att andra personer hade gjort noteringar om att tillsynen löper på i sina personliga noteringar. Jag säger ”minst två” för det är den information som jag har fått, men den bygger på kunskap från andra. För att inte på något sätt … Vem vet, det kanske finns ytterligare någon person någonstans. Minst två är de uppgifter jag har. Ordföranden: Jag förstår. Hur gick det till när du lämnade ? Var det på ditt initiativ eller var det på statsministerns initiativ? Eller hur … Kan du beskriva för oss hur det gick till? : Jag fick information om att jag hade deltagit vid minst två möten där den här frågan hade nämnts. Jag reflekterade kring hur jag själv bedömde den uppgiften. Då gjorde jag själv bedömningen att det här var ett misstag och att jag ville ta konsekvenserna av det. Ordföranden: det. Och på vilket sätt bedömer du att situationen hade kunnat vara annorlunda om du hade ställt följdfrågor i ett tidigare skede? : Jag drar den enkla slutsatsen att om jag hade ställt frågor så hade jag fått information om det här tidigare, och då hade också statsministern fått information tidigare. Ordföranden: Om jag får ställa frågan så här: Vi hade ju tidigare en utfrågning med i hennes egenskap av statssekreterare. Där har det ju också funnits en diskussion om att hon inte har ställt följdfrågor på information. Vi ställde någon fråga till henne om det, om hon ställde följdfrågor vid det möte som hon deltog i då. Hon informerade då sin minister en bit in på 2016, det vill säga också . Hur kom det sig att ni gör så olika bedömningar av er situation, så att säga, och att ni drar så olika slutsatser om vad som är ett korrekt agerande? : Utskottet har ju haft möjlighet att fråga ut redan. Jag kan redogöra för mina bedömningar. Jag kan inte redogöra för hennes. Ordföranden: När det här blev känt så sa du att det inte fanns någon annan i Statsrådsberedningen som hade information i den här frågan utöver du själv. Och därmed fanns det ingen annan som hade kunnat informera statsministern utöver du själv. Hur vet du det, att det inte fanns någon annan i Statsrådsberedningen som kände till de här uppgifterna? : I samband med att de här händelserna i Transportstyrelsen blev allmänt kända fick mycket frågor om informations- spridningen i . Det var också frågor som vi självklart ställde själva, inte minst statsministern. Statsministern tog initiativ till en genomlysning av informations- spridningen i . Den visade att ingen i Statsrådsberedningen hade fått informationen tidigare än jag. Det är källan till det påståendet. Ordföranden: det den kartläggning av informationsspridningen, som du beskrev här , som statsministern så att säga aviserade inför medierna om att det måste göras en genomlysning av informationsspridningen? Är det den som du refererar till nu? Ordföranden: du beskriva för oss hur den genomlysningen gick till? Det kan vara värdefullt för utskottet att veta hur regeringen har analyserat sin egen informationsspridning. : Det handlade om att vi från Statsrådsberedningens sida ställde frågor om och när i så fall statsråden hade blivit informerade i den här frågan. Ordföranden: För vi … Jag ställde den frågan till , den förre statssekreteraren, om han hade fått frågor i anledning av den informationskartläggning som du refererar till. Han hade då inte blivit tillfrågad, trots att han ändå var en central person i sammanhanget. Hur kom det sig? : har utskottet redan frågat , men min minnesbild från den utfrågningen var att han sa att han hade fått en fråga faktiskt. Men det kan ni undersöka utifrån vad han svarade på frågorna. Ordföranden: Ja, han sa att han hade fått frågor när det började uppmärk- sammas i medierna. fick han frågor från om vad som hade hänt . Men den här … När statsministern aviserade den här genomlysningen var ju , – därav min fråga. Han verkade inte … Han var ju inte tillfrågad efter den tidpunkten. Det var det jag syftade på. : Jag tror att den frågan får ställas till . Jag stannar där och lämnar vidare till Skånberg, . Skånberg (KD): Ordförande! Tack, , tidigare stats- sekreterare, för svaren så här långt! Jag skulle vilja fråga om … Det har förekommit en uppgift i medierna om att statssekreterarna träffas regelbundet, , på statssekreterarlunch. Och i så fall: Nämndes frågan om Transportstyrelsen som du var statssekreterare? : Ja, det stämmer. Vi har som tradition att statssekreterarna träffas . Frågan om Transportstyrelsens outsourcing av sin it-drift nämndes inte vid något sådant möte. Skånberg (KD): sa, bandat till – upptagningen är från : ”Jag fick information när hade informationen.” Stämmer det, eller fick han den senare än du? : Jag fick en första information då . Sedan fick jag mer information i ärendet . Då fick jag mer information , och sedan informerade jag statsministern . Skånberg (KD): Man får bilden av att – särskilt nu när du lägger till att det var först , alltså – när det här hade blivit offentligt i medierna som du insåg den fulla vidden. Skulle du vilja utveckla lite mer vad du insåg först när hela allmänheten fick reda på detta? Det måste ha varit detaljer, eller var det hela bilden? : Nej, då har jag inte uttryckt mig tillräckligt tydligt. Jag hade den fulla bilden av allvaret i den här händelsen . Det som jag dock fick bilden av var hur länge den här kunskapen hade funnits i . Skånberg (KD): Det var klargörande och bra. Jag tror att jag nöjer mig så långt. (S): Det här var ju en väldigt allvarlig sak. Och du sa att du enligt andras anteckningar hade deltagit i möten där det här hade kommit upp. Måste man inte förutsätta, om det är en väldigt allvarlig händelse, att myndigheterna går igenom den på djupet utan ett krav på att man ska ställa följdfrågor? : Jag har förstått, när jag har tagit del av både den genomlysning som gjordes i och när jag har tagit del av handlingarna inför den här utfrågningen, att myndigheten informerade ordentligt i den här frågan . Det var ju inte bara vid de här mötena som jag hade … de här minst två mötena där Säkerhetspolisen hade informerat i den här frågan. (S): När nåddes av krav på att regeringen skulle vidta åtgärder? sa här i utfrågningen före att den svenska förvaltningsmodellen ju bygger på att myndigheterna förutsätts följa lagar, regler, regleringsbrev och så vidare och sedan också signalera till regeringen när regeringen förutsätts agera. När nåddes av sådana krav? : När jag fick information i det här ärendet så ställde jag frågor kring: Är berörda myndigheter informerade? Är de igång med skade- reducerande åtgärder? Har de de resurser som krävs för att göra de här skade- reducerande åtgärderna? Finns det några andra krav på regeringen att agera? Den försäkran jag då fick var att berörda myndigheter redan var informerade och att de vidtog de skadereducerande åtgärder som behövdes. Sedan har vi i efterhand … Jag hade ju också kontakt med berörda myndig- heter . Jag ville bara säkerställa i efterhand att detta var korrekt uppfattat . Då uttryckte både Försvarsmakten, Transport- styrelsen och Säkerhetspolisen att de inte hade ställt några krav på regeringen då hade haft information i ärendet. (S): Så enligt den svenska förvaltningsmodellen som så föredömligt beskrev kunde regeringen inte … Det fanns inga förväntningar på att regeringen skulle vidta åtgärder. Är det korrekt uppfattat? : Jag delar inte bilden av att regeringen inte vidtog åtgärder. Som jag redogjorde för i mitt inledningsanförande så skilde vi general- direktören från hennes uppdrag. Det var ett konkret beslut som regeringen tog. När det däremot gällde att … Eftersom myndigheterna bedömde att de hade de resurser som krävdes för att vidta de skadereducerande åtgärderna såg vi inget behov av beslut i den frågan. (SD): Tack för svar på frågor än så länge! Vi har haft ganska många utfrågningar, och det är en ganska omfattande granskning som vi företar oss. Lite grann har det målats upp en bild av ett informationshaveri. Man har pratat mycket om stuprör inom de olika departementen. De eventuella hängrännor som har funnits har inte riktigt fungerat för att informationen ska kunna flöda däremellan. har Statsrådsberedningen ändå något av ett helhetsperspektiv och samordningsansvar. Och en hel del av de här frågorna kanske kan vara mer generella och inte bara beröra Transportstyrelsen. Men vi har ju bland annat hört, om vi tar Transportstyrelsen som exempel, att har redogjort för att hon inte kände till vilken information inom hennes myndighet som var av känslig karaktär. Hon visste inte om hon hade blivit säkerhetsprövad. Hon kände inte till att man var tvungen att vara extra vaksam och försiktig om man hade för avsikt att lägga ut den här typen av verksamhet hos utländska leverantörer. Vilket ansvar … hur gick resonemanget inom när det gällde de här frågorna, oavsett vilket departement en myndighet huserar under? : Det är möjligt att det var flera frågor i den frågan. Men jag börjar med ansvarsfrågan. Säkerhetsskyddsförordningen är glasklar. Enligt 5 § i säkerhetsskyddsförordningen ska myndigheter undersöka vilka uppgifter som finns i deras verksamhet som ska klassas som hemliga med hänsyn till rikets säkerhet. Resultatet av denna analys ska redovisas i säkerhetsanalysen, som varje myndighet är skyldig att göra. Det är också, enligt 39 § i säkerhetsskyddsförordningen, Säkerhetspolisen som bedriver tillsyn kring detta. (SD): Tack så mycket! Det är helt sant, men uppenbarligen har inte detta fungerat. Transportstyrelsen gick utan att ha gjort någon säkerhetsanalys, och informationen har också därefter hakat upp sig på vägen. När man får den typen av indikationer … Eller rättare sagt: Får ni den typen av indikationer att det inte fungerar ute på myndigheterna? Vidtar ni då åtgärder? Sedan var det de här andra delarna: Hur såg det övergripande regelverket ut för att introducera nya generaldirektörer så att de verkligen har vetskap om till exempel vilken skyddsvärd information de har, så att de blir ordentligt placerade i skyddsklass och säkerhetsprövade och så vidare? Fanns det ett klart regelverk på plats för att hantera de här frågorna? Och det där med utländska leverantörer: Fanns det ett klart och tydligt regelverk på plats inom för hur man ska hantera den typen av situationer? : var det också flera frågor. Men jag börjar, så får du fråga igen. Om vi börjar med regeringens bild av generella problem när det gäller informationssäkerhet är min bild att när jag tillträdde som statssekreterare fick vi ganska omgående en tydlig bild av att det här var ett generellt problem bland myndigheter. Det fanns flera rapporter som kom väldigt tätt. Säkerhetspolisen lyfter i sin årsrapport specifikt outsourcing av it-system som en risk. kom också en rapport från Myndigheten för samhällsskydd och beredskap, MSB. kom också en rapport, som jag tyckte kanske var särskilt anmärkningsvärd, från som egentligen inte var någon ny rapport, utan det var en uppföljning av en tidigare rapport som de hade gjort 2007, där de konstaterade att det här var ett stort generellt problem. De hade följt elva myndigheter. Och det här hade de egentligen påpekat , men det var inte särskilt mycket åtgärder vidtagna. Så vi hade en tydlig bild när vi tillträdde att det här med informationssäkerhet var ett generellt problem ute bland myndigheterna. Det var också bakgrunden till att vi drog igång en stor rad åtgärder i de här frågorna. Det handlade om uppdrag i regleringsbrev. Det handlade om införandet av obligatorisk it-incidentrapportering. Det handlade om en ny informations- och cybersäkerhetsstrategi. Det handlade om särskilt fokus på säkerhetsskyddsfrågorna i myndighetsdialogerna och inte minst om en ny säkerhetsskyddslag. När det gäller frågan om introduktion av myndighetschefer är det så att regeringen har ett stort antal myndigheter och därmed också ett stort antal generaldirektörer. I är ansvaret så fördelat att det är respektive departement som ansvarar för både introduktion och eventuell säkerhetsprövning av generaldirektörer. (SD): Jag tänkte ha kommenterat det, men låt oss gå vidare så att jag inte tar upp all tid här. Vi snävar in mot just det här aktuella ärendet med Transportstyrelsen och . Ett svar som ofta har återkommit är: Hade vi fått information från antingen Transportstyrelsen eller Säkerhetspolisen eller någon annan instans om sakens allvar hade vi minsann vidtagit åtgärder. Vilken typ av åtgärder är det som man hade kunnat vidta då? Vilket program hade ni att tillta om det kom den här typen av indikationer? Vad hade det föranlett för åtgärder? Hade det varit en order om att stänga ned det här eller hur hade ni agerat? : Det här blir kanske lite av en hypotetisk fråga. krasst: För att stoppa den här upphandlingen hade vi behövt få information om detta väldigt, väldigt . Ni har ju i materialet full tillgång till – inte minst i rapporten från – när besluten om outsourcingen av it-driften egentligen skedde. Själva besluten om att dra igång den här it-upphandlingen var . Det var ju innan den nuvarande regeringen ens hade tillträtt. fick själva kontraktet . Det var ju långt innan – vad jag har förstått av KU:s material – Säkerhetspolisen ens hade nåtts av några misstankar om problem. Det hade ju … För att stoppa det här hade vi ju behövt få information väldigt, väldigt . Sedan, när problemen redan var igång, handlade det ju om att vidta skadereducerande åtgärder och lösa problemen långsiktigt, vilket skedde inom ramen för Säkerhetspolisens tillsyn. (SD): Ja, för du nämner ju också att du fick så att säga full kännedom och insikt om sakens och problemets allvar /17 och att ni vidtog en del åtgärder, som att till exempel skilja då sittande generaldirektör från uppdraget. Likväl – rätta mig om jag har fel – dröjde det väl åtminstone åtta alla de här åtgärderna var vidtagna och saker och ting var hemtagna. Hur kunde det gå så från det att ni inom Statsrådsberedningen och statsministern fick kännedom om detta tills problemet var avhjälpt? : Om ni vill ha svar på detaljer i detta rekommenderar jag att ni pratar med Säkerhetspolisen och Transportstyrelsen. Men den försäkran jag fick från Statsrådsberedningen var att de jobbade på så snabbt de bara kunde. Sedan kan jag inte i detalj redogöra för de enskilda åtgärderna. Det får ni fråga Transportstyrelsen och Säkerhetspolisen om. (SD): Bara en kort sista följdfråga. Du nämnde här inledningsvis att ni med hänsyn till rikets säkerhet och det pågående skademinimerande arbetet ville hålla den här informationen inom en extremt begränsad krets. Det är också det svar som har getts i de skriftliga handlingarna om varför ni inte informerade i stort. Men det finns ju ändå vägar att hålla informerad i en betydligt snävare krets. Vi kan ta andra stora frågor, till exempel och så vidare. Där är de närvarande fullt medvetna om behovet av sekretess och att hålla informationen för sig själva. Det finns andra exempel när man pratar bara med partiledare och så vidare. Över huvud taget förföll det er aldrig att ni skulle tillgripa någon av dessa informationskanaler med folkets främsta företrädare, – är det korrekt uppfattat? : När det gäller pågående tillsynsärenden så har det inte varit tradition att regeringen har informerat oppositionen om detta. (MP): Herr ordförande! Tack, , för att du har kommit hit och berättat det du har gjort ! Jag är också, precis som jag tror att vi är här allihop, intresserad av informationsgångarna och när och vem som visste vad. var här, och hon sa då att hon nog borde ha försäkrat sig om att du hade fått bättre information tidigare. På något sätt är det lite symtomatiskt för det här ärendet. Först var det ingen som var ansvarig, och sedan är det många som tycker: Jamen vi borde ha gjort det här bättre. Så var det nog. Hade det gjort någon skillnad om du hade fått information tidigare? : Det är många frågor av lite hypotetisk karaktär. Jag gör dock bedömningen att det inte hade gjort någon skillnad. Men jag får säga att det är en bedömning, eftersom det är en hypotetisk fråga. Men vad jag har förstått har försäkrat sig om att berörda myndigheter gjorde det de skulle och hade de resurser som … Och det är ju precis de frågor som jag själv ställde när jag fick information i det här ärendet. Därför kan jag inte se att det hade haft någon betydelse. (C): Du berättade här att du trodde att det var först som du hade fått information om Transportstyrelsens avsteg i den här upphandlingen. Det var ju avsteg från säkerhetslagstiftningen som skedde . Du berättade att du senare har gått tillbaka till dina anteckningar och då funnit att du fått information om vad som hänt på säkerhets… när det gäller de här säkerhetsproblemen på Transportstyrelsen. Vilka datum har du då antecknat i din anteckningsbok att du fick den här informationen? Ordföranden: Jag tänker att det kanske är en fråga som vi ska ta i den slutna delen av utfrågningen. : Ja, jag kommenterar gärna det i den slutna delen. Jag vill bara lägga till att jag fick ingen information tidigare än . Däremot har jag i efterhand konstaterat att jag hade kunnat få information tidigare. (C): Berodde det på att du inte ställde frågor när du såg någonting om detta? Frågor som du kanske inser att du borde ha ställt? : Precis som jag sa i inledningsanförandet: Om jag hade ställt följdfrågor hade jag kunnat få information tidigare. (C): Du var ju sedan medveten om att det fanns uppgifter om att det pågick en tillsyn från och åtgärder. Var du medveten om att man inte kunde stoppa detta från Säkerhetspolisen, alltså stoppa upphandlingen, utan att det krävdes ett ingripande av regeringen för att kunna stoppa den? : är det här ett tag sedan, men min minnesbild är att jag fick höra att upphandlingen var genomförd. (C): Ja, upphandlingen var genomförd, men skulle man kunna ändra i upphandlingen eller ta tillbaka den krävdes regeringens ingripande. Var du medveten om det? : Nej, det var jag inte. (V): Jag har en fråga om på vilka departement saker och ting låg. Du pratade här om att när ni tillträdde 2014 fanns det tydliga indikationer på att det var problem med säkerhetsarbetet runt it-frågor i flera av myndigheterna. Det gjorde att ni gav uppdrag i flera regleringsbrev. Var någonstans i låg det ansvaret? Vi har ju pratat med här tidigare, och hon var it-minister men hade inte något ansvar vad gällde it-säkerhetsfrågor enligt henne. Hur var det här organiserat i nuvarande regering? : Som statsministern hade fördelat ansvaret låg ansvaret för informationssäkerhet i hos inrikesministern. (L): Tack för svar på frågor! Det har ju gått lite tid, men detta hjälper oss, för det är ju regeringen vi granskar och inte myndigheten som sådan. Principiellt har det väl framkommit ganska tydligt att vi har ett problem när det gäller ansvarsfrågan. Här verkar alla anse att det är en myndighet som har ansvaret för krishanteringen i , vilket gör mig som riksdagsledamot ganska skrämd. Du har refererat till: I det här fallet borde jag ha fört information vidare. Jag citerar dig själv också … Att man inte har förstått allvaret i haveriet, att man inte har förstått allvaret i frågan, och i det här fallet borde jag ha förstått, säger till . Det var när du hade fått informationen redan i skiftet 2016/2017.