bet · H501JuU21 · 2018-05-04 00:00:00 — konstaterar att det inom dessutom hanteras en typ av i detta sammanhang känsliga uppgifter som knappast förekommer i annan offentlig verksamhet, vilket ställer särskilda krav på regelverk och organisation. Vidare kan det finnas andra aspekter som i sammanhanget behöver beaktas ur ett konstitutionellt perspektiv. instämmer i detta. I likhet med finner justitieutskottet dock att det inte finns några formella hinder mot ett tillkännagivande om att regeringen ska närmare utreda i vilken utsträckning bör omfattas av bestämmelserna i den nya säkerhetsskyddslagen. Utskottet anser att så många bestämmelser som möjligt i säkerhetsskyddslagen ska omfatta också och föreslår därför att tillkännager för regeringen att man bör låta utreda om lagen i större omfattning än vad som föreslås i den nu aktuella propositionen bör gälla för . Således tillstyrker utskottet motion 2017/18:3999 (M, L, C, KD) yrkande 3. Som motionärerna som står bakom motion 2017/18:3980 (V) anför har det från olika håll påtalats brister i it- och informationssäkerhetsarbetet inom den offentliga förvaltningen, bl.a. i samband med utkontraktering av verksamhet, vilket även har lett till oönskade och allvarliga konsekvenser. Som framgått har regeringen gett en särskild utredare i uppdrag att bl.a. kartlägga behovet av att förebygga att säkerhetsskyddsklassificerade uppgifter eller i övrigt säkerhetskänslig verksamhet utsätts för risker i samband med utkontraktering, upplåtelse eller överlåtelse av sådan verksamhet och föreslå åtgärder. I likhet med försvarsutskottet anser justitieutskottet att det således inte finns skäl att föreslå några nya åtgärder i fråga om utkontraktering, och utskottet avstyrker därmed motionen. Utskottet anser att regeringens lagförslag i övriga delar är ändamålsenligt utformat och tillstyrker därför propositionen. Utskottet föreslår även en mindre redaktionell ändring i den föreslagna lagtexten och en lagändring för att samordna det aktuella lagförslaget med ett annat lagstiftningsärende. Riktlinjer för utkontraktering av it-verksamhet, punkt 2 (V) av (V). Jag anser att förslaget till riksdagsbeslut under punkt 2 borde ha följande lydelse: ställer sig bakom det som anförs i reservationen och tillkännager detta för regeringen. 2017/18:3980 av m.fl. (V). har återkommande granskat myndigheternas informations-säkerhetsarbete. Nivån på informationssäkerheten hos de granskade myndigheterna ligger märkbart under vad som är tillräckligt. En viktig förklaring är enligt att förståelsen för vikten av en god informationssäkerhet överlag är alltför liten, vilket i sin tur får till följd att arbetet inte prioriteras tillräckligt i förhållande till riskerna. Det visar inte minst problemen med Transportstyrelsens upphandling. Också Säkerhets-polisen har tidigare och riktat kritik mot bristande it- och informationssäkerhet hos myndigheterna. som myndigheterna inte klarar av att hantera uppgifterna är påbudet att allt fler it-områden ska läggas ut på entreprenad. En allt större andel av it-verksamheten läggs ut på externa aktörer, vilket i flera uppmärksammade fall fått stora negativa konsekvenser. En politisk vilja till ökad utkontraktering av it-tjänster måste sättas i relation till vilka säkerhetsrisker det kan medföra. Även om det i propositionen lämnas förslag som rör säkerhetsprövning m.m. vid exempelvis upphandling så anser jag att det är ett riskmoment i sig att utkontraktera uppgifter som innebär hantering av säkerhetskänslig information. Utkontraktering av skyddsvärda uppgifter bör därför endast ske i undantagsfall. Regeringen bör därför ta fram riktlinjer för hur utkontraktering av it-verksamhet så långt som det är möjligt ska kunna undvikas i den offentliga förvaltningen. Förteckning över behandlade förslag Proposition 2017/18:89 Ett modernt och stärkt skydd för säkerhet – ny säkerhetsskyddslag: 1.Riksdagen antar regeringens förslag till säkerhetsskyddslag. 2.Riksdagen antar regeringens förslag till lag om ändring i polislagen (1984:387). 3.Riksdagen antar regeringens förslag till lag om ändring i elberedskapslagen (1997:288). antar regeringens förslag till lag om ändring i lagen (1998:938) om behandling av personuppgifter om totalförsvarspliktiga. 5.Riksdagen antar regeringens förslag till lag om ändring i lagen (2006:128) om säkerhetsskydd i och dess myndigheter. 6.Riksdagen antar regeringens förslag till lag om ändring i lagen (2007:258) om behandling av personuppgifter i Försvarsmaktens försvarsunderrättelseverksamhet och militära säkerhetstjänst. 7.Riksdagen antar regeringens förslag till lag om ändring i offentlighets- och sekretesslagen (2009:400). 8.Riksdagen antar regeringens förslag till lag om ändring i polisdatalagen (2010:361). 9.Riksdagen antar regeringens förslag till lag om ändring i lagen (2010:1767) om geografisk miljöinformation. 10.Riksdagen antar regeringens förslag till lag om ändring i lagen (2011:1029) om upphandling på försvars- och säkerhetsområdet. 11.Riksdagen antar regeringens förslag till lag om ändring i lagen (2014:514) om ansvar för vissa säkerhetsfrågor vid statsministerns tjänstebostäder. 2017/18:3980 av m.fl. (V): ställer sig bakom det som anförs i motionen om att regeringen bör ta fram riktlinjer för hur outsourcing av it-verksamhet så långt som det är möjligt ska kunna undvikas i den offentliga förvaltningen och tillkännager detta för regeringen. 2017/18:3999 av m.fl. (M, L, C, KD): 1.Riksdagen ställer sig bakom det som anförs i motionen om att tillsynsmyndigheternas ansvar och befogenheter ska regleras i säkerhetsskyddslagen och tillkännager detta för regeringen. 2.Riksdagen ställer sig bakom det som anförs i motionen om att regeringen bör genomföra en översyn av tillsynsmyndigheternas ansvar, organisation och resursfördelning och tillkännager detta för regeringen. 3.Riksdagen ställer sig bakom det som anförs i motionen om att ska omfattas av säkerhetsskyddslagens samtliga bestämmelser och tillkännager detta för regeringen. Förslag till lag om ändring i lagen (2010:1767) om geografisk miljöinformation Härigenom föreskrivs att 15 § lagen (2010:1767) om geografisk miljöinformation ska ha följande lydelse. Lydelse enligt SFS 2018:000 1. behandling av personuppgifter finns i a) och rådets förordning (EU) 2016/679 av om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän dataskyddsförordning), b) lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning, och c) föreskrifter som har meddelats i anslutning till den lagen, 2. behandling av personuppgifter i fastighetsregistret finns i lagen (2000:224) om fastighetsregister, 3. krav på tillstånd för spridning av en sammanställning av geografisk information finns i lagen (2016:319) om skydd för geografisk information, 4. säkerhetsskydd finns i säkerhetsskyddslagen (1996:627), och 4. säkerhetsskydd finns i säkerhetsskyddslagen (2018:000), och 5. upphovsrätt finns i lagen (1960:729) om upphovsrätt till litterära och konstnärliga verk. Denna lag träder i kraft . yttrande 2017/18:KU4y yttrande 2017/18:FöU8y Ingen har kunnat missa den stora it-skandalen som skedde på Transportstyrelsen. Ministrar har avgått, gd:n har dömts att betala skadestånd och ingen tar längre med lätthet på hur sårbart ett land är när det kommer till it-frågor, informationshantering och rikets säkerhet. myndigheter hanterar stora mängder information. Mycket av det som skapas och lagras är både viktigt och känsligt. Vissa uppgifter klassas som skyddsvärda, och en del rör även rikets säkerhet. Om informationen går förlorad, stjäls, manipuleras eller sprids till obehöriga kan det få allvarliga följder. Både individer och samhällsstrukturer kräver stora mängder information för att vardagen ska fungera. Dagens informationshantering sker i stor utsträckning med hjälp av it-system. Det var som uppmanande svenska myndigheter att köpa mer av sin it av extern leverantör för att man skulle spara pengar. påbörjade Transportstyrelsen sin outsourcing av fordons- och körkortsregistret. 1 000 servrar samt datahallar och support outsourcades. Vi kan krasst konstatera att det här var ett misstag och att det stopp som Säkerhetspolisen ville ha 2016 för denna outsourcing skulle ha skett redan där och då. kom nyheten att Transportstyrelsen inte kan avsluta avtalet som har gällt med det it-företag man har outsourcat till och att avtalet kommer att behöva förlängas - detta på grund av att myndigheterna i inte själva har möjlighet att bygga upp ett eget hanteringssystem på så pass . Ännu är alltså inte problemet löst, och it-säkerhet är inte tryggad. Därför föreslår att outsourcing, eller utkontraktering, av skyddsvärda uppgifter inte ska kunna ske i den utsträckning som det sker . Det är inte rimligt. Det är en fara för rikets säkerhet, och det är en fara för att dina och mina uppgifter sprids till personer som definitivt inte ska ha vetskap om dem. Men sådana här beslut sker inte i ett vakuum. Det handlar om en politisk vilja att slimma myndigheter och spara pengar, och man låter detta gå före säkerhet, kvalitet och rimlighet. Vi ser detta inom många olika områden, där olika uppgifter läggs ut på privata företag till lägsta pris. Det som skedde på Transportstyrelsen är ett exempel på när det går riktigt, riktigt illa - särskilt eftersom det handlar om så pass känsligt material och särskilt i kombination med det underrättelsehot som finns mot . Då får man inte vara politiskt naiv. har återkommande granskat våra myndigheters informationssäkerhetsarbete, och detta visar på ett flertal brister. Bland annat har myndigheternas förutsättningar för ett effektivt informationssäkerhetsarbete liksom uppföljningsarbete varit alltför dåliga. Detsamma säger , som är den myndighet som kontrollerar att våra myndigheter sköter sig. menar att många myndigheter inte har tillräckligt god kunskap om säkerhetsskydd och om vilka hot som finns gentemot dem. Det saknas säkerhetsanalyser, det saknas kunskap om underrättelsehotet och det saknas kunskap vid själva outsourcingen. STYLEREF Kantrubrik \* MERGEFORMAT Ett modernt och stärkt skydd för säkerhet - ny säker-hetsskyddslag vet vi att underrättelsehotet mot är stort och att säkerhetsskyddet inte är tillräckligt. Ur ett totalförsvarsperspektiv är det viktigt att flera myndigheter och företag kan samverka kring säkerhetsfrågor, framför allt när det gäller att skydda sig mot angrepp. Denna kunskap finns inte . Därför förvånar det mig lite att inte fler partier än ser faran med outsourcing av it-uppgifter och att de inte förstår varför detta måste stoppas. Myndigheterna måste bygga upp en egen kunskap, en egen it-struktur och ett säkerhetsmedvetande. De måste ta hem den information som har outsourcats. En politisk vilja till ökad outsourcing av it-tjänster måste sättas i relation till vilka säkerhetsrisker detta kan medföra. När kortsiktig vinst blir en drivkraft för att upprätthålla fungerande it-system sätts långsiktigheten på undantag, och helheten går förlorad. Transportstyrelsehändelsen får inte inträffa igen. Jag yrkar bifall till reservationen. föreslår att antar regeringens förslag till ny säkerhetsskyddslag. Den nuvarande lagen är , och förutsättningarna för säkerhetsskyddet har förändrats på många sätt. Det är hög tid att lagen ersätts. Det är viktigt att uppgifter som är av betydelse för säkerhet eller som skyddas av internationella åtaganden just skyddas och att kraven på åtgärder för att klara det är tydliga. Lagen gäller i både allmänna och enskilda verksamheter och tydliggör skyldigheten för den som bedriver säkerhetskänslig verksamhet. Dagens säkerhetspolitiska hot är gränsöverskridande och icke-militära. Digitalisering och användning av informationsteknik har genomgått en betydande förändring, och samhällets ökade it-beroende gör att risken är stor för att samhällsviktiga system kan drabbas med allvarliga konsekvenser som följd. Avreglering och konkurrensutsättning av samhällsviktig verksamhet har inneburit att en stor del av verksamheterna som är viktiga för att det svenska samhället ska fungera inte längre finns under direkt statligt inflytande. När verksamheten utkontrakteras, kanske till och med med utländskt ägande och inflytande, ställs säkerhetsskyddet inför särskilda utmaningar. Detta har inte minst händelserna vid Transportstyrelsen påvisat. Säkerhetspolisen har visat att ytterligare åtgärder utöver de som fanns i utredningen behövs. Därför tillsatte regeringen med tilläggsdirektiv ytterligare en utredning som ska redovisas för att kartlägga och föreslå åtgärder som motverkar att uppgifter som gäller säkerhet och säkerhetskänslig verksamhet utsätts för risker i samband med utkontraktering, upplåtelse eller överlåtelse av sådan verksamhet. Utredningen ska också föreslå åtgärder, till exempel tillståndsprövning. Utskottet vill poängtera, fru talman, att tillsynen är viktig och gör därför några medskick till regeringen om tillsynsmyndigheternas ansvar och befogenheter, organisation och resursfördelning. Regeringen har redan uppmärksammat behovet, och i utredningens uppdrag ingår att föreslå hur en ändamålsenlig tillsyn ska vara utformad. Därför behandlas den frågan bara delvis i denna proposition och i detta betänkande. I avvaktan på utredningens förslag har regeringen beslutat att skärpa kraven på statliga myndigheter när de utkontrakterar säkerhetskänslig verksamhet. Enligt en ändring i säkerhetsskyddsförordningen som trädde i kraft ska statliga myndigheter innan en utkontraktering inleds samråda med någon av tillsynsmyndigheterna Säkerhetspolisen eller Försvarsmakten. Säkerhetspolisen eller Försvarsmakten ska också ha möjlighet att besluta att ett sådant förfarande inte får genomföras. De har alltså möjlighet att lägga in sitt veto. Det känns både klokt och tryggt. Säger tillsynsmyndigheten nej ska det inte gå att runda det beslutet. STYLEREF Kantrubrik \* MERGEFORMAT Ett modernt och stärkt skydd för säkerhet - ny säker-hetsskyddslag Det tredje tillkännagivandet i betänkandet rör i vilken omfattning ska omfattas av lagen. ska omfattas av samtliga bestämmelser kan det uppstå konstitutionella svårigheter. Det är inte helt självklart att en ordning där en eller flera statliga myndigheter skulle ha tillsyn över skulle stämma överens med bestämmelserna i regeringsformen. hanterar också känsliga uppgifter som knappast förekommer i annan offentlig verksamhet och som ställer särskilda krav på regelverk och organisation. , som vi i justitieutskottet bett yttra sig, konstaterar att det inte finns några formella hinder mot att det utreds i vilken utsträckning ska omfattas men säger också att den konstitutionella aspekten som framför i så fall bör beaktas. Det kan bli svårt rent konstitutionellt att ha en ordning där en myndighet som lyder under regeringen ska utöva tillsyn över och sedan rapportera till regeringen. Men det får, enligt vad justitieutskottet anser, utredas. Med det, fru talman, vill jag tillstyrka förslaget i utskottets betänkande. Jag vill inledningsvis yrka bifall till utskottets förslag i dess helhet. Det finns starka skäl för att behöver en ny säkerhetsskyddslag. Den nuvarande lagstiftningen är , och behovet av säkerhetsskydd ser helt annorlunda ut . Det finns åtminstone tre skäl till det. För det första har digitaliseringen, globaliseringen och privatiseringen varit viktiga ledstjärnor för att skapa ett mer effektivt samhälle med ett större välstånd. Men de faktorerna ställer också helt nya och annorlunda krav när vi ska skydda mot spionage och påverkansförsök från främmande makt. För det andra befinner sig i en väsentligt sämre säkerhetspolitisk situation. Vi vet att underrättelsehotet mot ökar i omfattning, och vi vet att vi inte kan utesluta risken för att utsätts för ett väpnat angrepp. För det tredje har Säkerhetspolisen varnat för att det finns stora brister i säkerhetsskyddet på svenska myndigheter. Det handlar bland annat om svaga it-system och bristande säkerhetsanalyser. Men framför allt finns det enligt en bristande säkerhetskultur på många myndigheter. Det sistnämnda framkom ju med all önskvärd tydlighet genom det haveri som hade ägt rum på Transportstyrelsen och det som sedan ägde rum när regeringen skulle hantera frågan. STYLEREF Kantrubrik \* MERGEFORMAT Ett modernt och stärkt skydd för säkerhet - ny säker-hetsskyddslag Det går naturligtvis inte att separera frågan om en ny säkerhetsskyddslag från en av de allra största säkerhetskandalerna i svensk politisk historia. I grunden blir det så eftersom förtroendet för den här regeringen när det gäller att hantera de här frågorna är kraftigt försvagat på grund av frågan om Transportstyrelsen. Den viktigaste frågan vi måste ställa oss när vi hanterar den här propositionen är om den kommer att bidra till att stärka säkerhet. Det finns, precis som justitieutskottet noterar, betydande brister i förslaget. Jag vill lyfta fram två av de brister som jag tycker är mest allvarliga, nämligen problemen med tillsynen av lagen och undantagen för den nya lagens tillämpning på . Först och främst: Att presentera en ny säkerhetsskyddslag utan att redovisa hur tillsynen ska stärkas är lite grann som att presentera nya lagar utan att ha tillgång till poliser. Lagarna blir då mer av önskningar som inte kan förverkligas i realiteten. Det är inte effektivt, och det är inte seriöst, för själva kärnan i säkerhetsskyddsarbetet ligger just i samspelet mellan tillsynsmyndigheterna och dem som bedriver säkerhetskänslig verksamhet. Det är de som ska se till att det blir verkstad av säkerhetsskyddet. Vi vet att det finns brister i samspelet mellan de här två aktörerna. Det kan bero på bristande kompetens på myndigheterna när de ska göra sina egna säkerhetsanalyser, men det kan också bero på att de anvisningar, föreskrifter och råd som kommer från tillsynsmyndigheterna faktiskt inte är tillräckligt bra för att ge konkret vägledning i säkerhetsanalysarbetet. utredning om Transportstyrelsen pekade på att har svårt att hinna med tillsynsverksamheten på säkerhetsskyddsområdet eftersom man också har många andra åtaganden. Det är naturligtvis lätt att förstå i ljuset av att vi lever i en allt osäkrare omvärld. Den här situationen kommer till viss del att bli värre när den nya lagstiftningen kommer på plats, för då vidgas antalet aktörer som påverkas av säkerhetsskyddslagen. Det behövs därför en bredare översyn av tillsynsmyndigheternas resursfördelning, ansvar och organisation. Annars kommer inte den nya lagstiftningen att fungera. Det är därför mycket glädjande att utskottet i bred politisk enighet har ställt sig bakom detta förslag som kommer från Alliansen. Med tanke på skandalen på Transsportstyrelsen tycker jag att det är minst sagt anmärkningsvärt att regeringen har presenterat en proposition som ska stärka och vidga säkerhetsskyddet för alla i samhället utom för sig själv. I stället gör man ett undantag i tillämpningen för säkerhetsskyddslagen för det egna utan att lämna någon motivering. Detta har lett till kritik från remissinstanserna, inte minst från Försvarsmakten, som jag tycker att det finns starka skäl att ta på största allvar. Det finns flera exempel på när har misslyckats med att hemlighålla viktig information. Men det är inte första gången som regeringen agerar på det här sättet. presenterade regeringen en ny informations- och cybersäkerhetsstrategi, och vi såg samma mönster där - det skulle vara en strategi för hela samhället, men man nämnde inte med ett ord hur ska organiseras för att höja informationssäkerheten där. utgör ju själva nervsystemet för styrningen av myndigheterna, och det var detta nervsystem som havererade när man skulle hantera frågan om Transportstyrelsen. STYLEREF Kantrubrik \* MERGEFORMAT Ett modernt och stärkt skydd för säkerhet - ny säker-hetsskyddslag Detta är en mycket viktig frågeställning som vi inte har fått något besked om från regeringen. Avslutningsvis är det den största säkerhetskyddskandalen i svensk politisk historia inträffade, och regeringen har ännu inte presenterat vilka lärdomar man har dragit av haveriet kopplat till Transportstyrelsen eller några åtgärder för att stärka säkerhetsskyddet på . Ändå har man haft gyllene tillfällen att göra detta, kopplat både till den nya säkerhetsskyddslagen och till informationssäkerhetsstrategin. I stället framstår det som att man konsekvent undviker att nämna orden , informationssäkerhet och säkerhetsskydd i samma andetag. Detta är en stor brist; det håller inte. Det skadar förtroendet för regeringen i dessa frågor och gör dess propositioner och skrivelser mindre relevanta. Jag välkomnar därför att utskottet i bred politisk enighet nu ställt sig bakom den alliansgemensamma motionen om att vi faktiskt ska utreda hur vi kan höja säkerhetsskyddet på . I grunden handlar det om att vi givetvis ska sträva efter att ha största gemensamma politiska samsyn i frågor som berör nationell säkerhet. Om vi, , går ifrån att gärna vill måla upp att det stora problemet ligger i och lyfter blicken när det gäller vad it-skandalen på Transportstyrelsen egentligen handlar om härstammar detta från ett politiskt synsätt och en politisk vilja. Liksom , och andra som säkert är politiska idoler för och andra högerpolitiker har ni alltid hejat på införandet av new public management, och andra läckra modeller inom offentlig förvaltning, som i grund och botten går ut på att minska den offentliga förvaltningen, slimma ned myndigheterna och i stället outsourca ofta väldigt viktig kompetens och kunskap till olika privata företag. Dessa har ofta deltagit i en upphandling, som enligt lag måste ske till lägsta pris. Ni vill helt enkelt privatisera det offentliga för att slimma ned det, oavsett vad konsekvenserna blir. Vi har sett att detta leder till många problem inom välfärden, men också när det gäller rikets säkerhet. Det handlar om allvarliga saker när vi låter privata företag ta hand om väldigt känslig information, vilket det uppenbarligen inte finns kompetens för. Vems ansvar detta är kommer förhoppningsvis att komma fram, men min fråga är: Varför vill behålla denna privatisering av säkerhetskänslig information när det är en så uppenbar säkerhetsrisk? Det är inte bara som säger detta, utan även våra vänner vid . Vi har ofta hört denna historietolkning när det gäller frågan om Transportstyrelsen. Det stora problemet skulle vara att det var en utkontraktering, men detta stämmer inte i sak. Problemet vid Transportstyrelsen var att man gjorde avsteg från säkerhetsskyddsförordningen. Personal på det berörda företaget hade inte säkerhets- eller registerkollats. Det är där cloun finns och problemen ligger i den specifika affären. STYLEREF Kantrubrik \* MERGEFORMAT Ett modernt och stärkt skydd för säkerhet - ny säker-hetsskyddslag När det gäller den bredare frågeställningen får man lätt bilden att vill se ett stort återförstatligande av till exempel it-verksamheten. Jag tror inte att detta är realistiskt, av en rad skäl. Jag tror inte att myndigheterna har kompetens att göra detta, och jag tror inte att de resurser som finns där är tillräckliga för att få det stora återförstatligande som jag vet att efterfrågar. Det finns faktiskt skäl till att man kan använda privata aktörer, så länge man gör upphandlingen rätt. Det är i upphandlingen som cloun sitter - att man följer de förordningar och lagar som finns. Om vi löser den delen av upphandlingen tror jag att vi har förutsättningar att använda privata aktörer även när det gäller saker som kan vara säkerhetskänsliga. Det står tydligt i propositionen att det finns säkerhetskänslig verksamhet som drivs i privat regi, men då får man naturligtvis se till att lagar och förordningar efterföljs. Då kan man hantera den delen. Jag förstår alltså inte riktigt hur det stora återförstatligandet, som jag förstår att sympatiserar med, ska gå till och om det kommer att bli effektivt så att vi får en bra resursanvändning. får gärna vägleda mig i detta.