bet · H501KU20d3 · 2018-01-01 00:00:00 — Det vi gjorde var att kontakta och informera så att de direkt efter att vi hade fått kännedom via telefonsamtal om brevet hade information om detta. Ordföranden: Men det fanns inte anledning, som statsrådet såg det, att nämna någonting om det här för inrikesministern ? : Tack, herr ordförande! Nej, jag fick som statssekreterare veta att Säkerhetspolisen nu finner det angeläget att uppmärksamma Transport- styrelsen på att man måste göra säkerhetsreducerande och att om man inte gör det, i så fall pausar själva outsourcingen. Därmed hade Säkerhetspolisen tagit initiativ och väntade på att Transportstyrelsen skulle svara. I det läget upplevde jag inte att det var nödvändigt att informera inrikesministern. Ordföranden: har ju kunnat följa olika medieuttalanden och medie- rapportering i det här ärendet naturligtvis, ända . Statsministern sa att han tycker att han borde ha blivit informerad om frågan i vart fall eller , alltså ungefär innan han faktiskt fick information. Vilket ansvar tycker att hon bär för att statsministern hölls utanför det här ? : Tack för frågan, herr ordförande! fanns det ingen särskild anledning att informera Statsrådsberedningen. Frågan hanterades av och . Jag är beredd att svara mer detaljerat på den frågan vid den slutna delen av sammanträdet. Jag kan stanna där och lämnar över till Skånberg, . Skånberg (KD): Tack, statsrådet, för att statsrådet är här och svarar på frågor och tack för svaren så här långt. Det har varit utestående frågor som har ställts till statsrådet av media. Statsrådet har sagt att det är lämpligt att besvara dem i KU, så därför ställer jag dem här. En av frågorna var: Hur tilläts en generaldirektör att bryta mot lagen utan att stoppa skeendet? : Tack så mycket för frågan. Eftersom jag som jag var statssekreterare inte visste att generaldirektören hade brutit mot lagen fanns det där inte någon anledning, eftersom jag inte visste om det, att vidta några åtgärder. Alldeles självklart får en generaldirektör inte bryta mot lagen, och det fick ju konsekvenser senare när generaldirektören avskildes från sitt arbete. Skånberg (KD): Tack, ordförande! Ja, det är sant att hon avskildes från sitt arbete, men det gick ju däremellan. Innan hon avskildes från sin tjänst fick statsrådet reda på att hon faktiskt medvetet hade brutit mot lagen. Och varför vid det tillfället gjorde inte statsrådet något? : Tack för frågan. fick kännedom om att generaldirektören hade fattat formella beslut om att göra avsteg från lagstiftningen vid ett möte med Säkerhetspolisen då jag inte var statssekreterare på . Vid det mötet deltog statssekreterare och expeditions- chefen. Skånberg (KD): Tack, ordförande. Varför stoppade inte regeringen outsourcingen när gick in och sa att det nu måste bli ett slut på det här? Då fortsatte ändå Transportstyrelsen. Varför ingrep inte regeringen och då i synnerhet statsrådet? : Tack så mycket för frågan. Vi hade vid det tillfället ingen grund för att gå in och stoppa outsourcingen. Säkerhetspolisen, som är tillsyns- myndighet, efterfrågade inte åtgärder från regeringens sida och gjorde inte heller någon anmälan till regeringen enligt 48 § i säkerhetsskydds- förordningen. Hade Säkerhetspolisen begärt att regeringen då skulle ha agerat, skulle vi naturligtvis ha gjort det. Skånberg (KD): Med förlov sagt, herr ordförande, det är nu tredje gången som statsrådet säger att eftersom inte begärde det gjorde regeringen inte någonting. Är det inte så att det är regeringen som ska regera och som så att säga är underlydande regeringen? Ska inte regeringen fatta beslut på grundval av det material som man har tillgängligt, oavsett vad säger till regeringen att göra? I det här fallet var det uppenbart att det hade begåtts ett lagbrott, att hade sagt att den här outsourcingen var oacceptabel. Ändå reagerade inte regeringen och kommer man med beskedet att det inte fanns någon begäran från . Hade det inte varit lämpligt att vara mer proaktiv och inte låta sig regeras av ? : Tack så mycket, herr ledamot! Det är naturligtvis så att det hade varit väldigt förskräckligt om inte regeringen och jag som statssekreterare och den ansvariga ministern hade haft förtroende för att Säkerhetspolisen gjorde bedömningar och hade kompetens att bedöma risker, sårbarhetsreducering och lämpliga åtgärder. Jag kände fullt förtroende för Säkerhetspolisen i detta fall. Eftersom vi hölls informerade om att tillsynen pågick, att man sedan överlämnade det till åklagare och att man från dag ett hade sårbarhetsreducerande åtgärder fann jag ingen anledning att ifrågasätta Säpos bedömningar i det här fallet. Om Säkerhetspolisen hade sagt att vi inte klarar det här. Vi tycker inte att det går framåt. Därför måste regeringen komma in. Därför använder vi 48 § i säkerhetsförordningen. Då hade vi naturligtvis gjort det. (S): Tack, statsrådet, för väldigt klargörande information. Om jag förstår saken rätt var det så att när det här kom fram var det inte glasklart vad som hade hänt, utan det var ett ärende som successivt växte fram . Under den processen kom det aldrig signaler om behov av regeringens agerande. Är det så? : Tack så mycket för frågan. Ja, det är så. Vid mötet informerades Säkerhetspolisen övergripande om out- sourcingen och att it-systemet – bland annat körkortsregistret – skulle outsourcas till utlandet och att man hade för avsikt att inleda ett tillsynsärende eftersom man var orolig. Vid det tillfället hade inte Säkerhetspolisen sådan information att ge oss. Vi fick sedan löpande information om Säkerhetspolisens verksamhet och uppgifter av den karaktären som vi får regelbundet. Det fanns inte någon anledning att göra någonting . Det var inte den typen av information. (S): Den andra frågan som naturligt väcks är den som har varit uppe om generaldirektören och brott mot lagstiftningen. Har jag förstått saken rätt att när den informationen nådde avskildes hon från sitt uppdrag. Är det rätt uppfattat? : Tack för frågan. Ja, det är rätt uppfattat. (SD): Vi har ju hållit på med den här granskningen ett tag och haft en del utfrågningar, som statsrådet känner till. Ett svar som har återkommit ganska ofta från flera personer som vi har frågat ut har varit att man inte visste och att man inte hade kännedom om vilken säkerhetsskyddad information som hanterades inom myndigheten. Då blir min fråga om statsrådet, eller om hon som stats- sekreterare på , kan vara riktigt nöjd med den ordningen. : Tack för frågan. Det är ju så här att när man har att göra med hemliga uppgifter som i det här fallet skyddade identiteter och mer som jag inte ska gå in på under det öppna mötet, då är det inte så att alla ska ha reda på allting. Det gäller ju att man har kontroll över vilka uppgifter det är i sina egna register. Enligt svensk lagstiftning är det varje myndighet som har ansvar för att se till vilka säkerhetsskyddade uppgifter som finns, därav behovet av att göra säkerhetsanalys, och se till att skydda dem. Jag vill upprepa det, och det vet ju ledamöterna eftersom har varit här och gett svar, att det inte är Säpos roll att hålla kontroll på varje myndighets säkerhetsskydd eller hemliga uppgifter. Det är varje myndighets skyldighet att göra detta. Men jag vill bara tillägga en sak. En av de saker som jag är minst nöjd med här är att det inte fanns någon ordentlig säkerhetsanalys. I regleringsbreven införde regeringen att det skulle göras en bättre säkerhetsanalys. Vi fattade ett regeringsbeslut om en obligatorisk it- incidentrapportering som trädde i kraft just därför att vi hade identifierat att detta var ett problem på många myndigheter. Dess värre, ledamoten, tror jag att detta arbete behöver fortsätta med full kraft och inte anses avslutat i alla myndigheter. (SD): Det stämmer att man inte hade upprättat någon säkerhetsanalys inom Transportstyrelsen under en ganska . När statsrådet tillträdde som statssekreterare gjorde hon någon inventering kring det här och identifierade dessa brister? har det kommit med i senare års regleringsbrev, men då man har kunnat konstatera att Säkerhetspolisen kanske inte har bevakat den här delen av sitt uppdrag som tillsynsmyndighet, att på ett adekvat sätt kontrollera att säkerhetsanalyser görs och skickas in såsom det är föreskrivet i förordningen. : Tack för frågan. Det görs säkerhetsanalyser. Till och med Transportstyrelsen hade en säkerhetsanalys, men den var bristfällig, mycket bristfällig. I risk- och sårbarhetsanalyserna som myndigheterna måste skicka in uppger till exempel i det här fallet Transportstyrelsen att detta var en svag punkt. Därav att vi i regleringsbrevet tog upp den här frågan och sedan i incidentrapporteringen . Sedan har detta arbete fortsatt. Jag visste redan från början när jag blev statssekreterare att detta är en fråga som vi måste få myndigheterna att förstå att det är viktigt, särskilt när man har en outsourcing, privatisering och en spara-pengar-kultur. Man måste ha en stark säkerhetskultur. (SD): En fråga till bara för att snäva in lite grann på det här aktuella ärendet och inte säkerhetsarbetet i stort inom departementen och i förhållande till myndigheterna. Jag tar mera sikte på relationerna till , sett till den här incidenten – eller haveriet som man får kalla det för. , om någon, övervägde statssekretaren i relation med statsråd och övriga berörda på att man kanske skulle ta kontakt med och informera om det som har inträffat? : Tack för frågan. Jag informerade ju vid andra tillfällen om säkerhetsrelaterade frågor. Men man informerar som regel inte under pågående förundersökning och pågående sårbarhetsreducering. Därför var det inte aktuellt förrän efter att detta hade blivit klart. Naturligtvis är frågan alltid under övervägande om när det är lämpligt och när är det inte lämpligt. Som sagt, jag lämnade vid andra tillfällen information till i andra frågor. (MP): Jag var också inne på en del av det här som man skulle kunna ha gjort för att förebygga. Vi har ju hört en del kring det här med regeringsbrevet och incidentrapporteringen. Fanns det andra lite mer breda förebyggande åtgärder som ni i justitieutskottet funderade på när det gällde detta med att få ett bättre säkerhetsskyddsarbete ute på myndigheterna? Jag tänker på typ utbildning eller liknande. : Tack så mycket för frågan. Under hela den här perioden – och det håller på att gå i mål nu – har vi ju arbetat med en ny säkerhetsskyddslag som resulterat i en tjock lunta som är väldigt genomgående som har arbetat fram. Det är kanske det viktigaste av alltihop. För att förbereda och genomföra den nya säkerhetsskyddslagen har vi i budgetpropositionen tillskjutit och sedan . Tillskottet ska tillfalla de myndigheter som har uppgifter när det gäller rådgivning, stöd och tillsyn enligt säkerhetsskyddslagen, till exempel Säkerhetspolisen. Jag vill också passa på att ta upp att i samband med förra årets myndighetsdialog och tidigare myndighetsdialoger har frågor om säkerhets- skydd tagits upp med myndigheter som särskilt berörs. I samband med det har informationsinsatser med Säkerhetspolisens medverkan genomförts. Regeringen tillsatte också en utredning med uppdrag att bland annat föreslå åtgärder som ska motverka att hemliga uppgifter eller säker- hetskänslig verksamhet utsätts för risker i samband med utkontraktering eller outsourcing, upplåtelser eller överlåtelser av sådan verksamhet. I uppdraget ingår också att föreslå ett system med sanktioner i säkerhetsskyddslagstiftningen och hur tillsynen över säkerhetsskyddet ska utformas. Det kommer man att redovisa . (C): fick och dåvarande statssekreteraren information av om problemen på . I ett svar på frågor har i första frågeomgången sagt att fick vidare information om proble- men . Men av svaret på fråga 24 i samma svarsskrivelse från till KU framgår att regeringen införde krav på it-incidentrapportering för statliga myndigheter. Detta framgår av ett pressmeddelande som har gett ut. För mig framstår det som att detta är skrivet på förekommen anledning. I skrivelsen står att det bland annat rör sig om allvarliga incidenter i informationssystem där hemliga uppgifter som rör rikets säkerhet behandlas och att det ska informeras om sådana. Det känns som att det finns ett tydligt samband med vad som hände på Transportstyrelsen. Regeringsbeslutet skulle alltså ha tagits innan var informerad om händelserna på Transportstyrelsen. För mig förefaller det vara gjort på förekommen anledning. Måste inte ha varit informerad om vad som hänt på Transportstyrelsen, alltså innan svar lämnades av ? : Tack för frågan! Tyvärr är det inte så, utan det är värre. Beslutet togs inte med anledning av att vi fick veta att en tillsyn skulle inledas på Transportstyrelsen, utan beslutet togs därför att vi såg att det finns ett generellt problem bland många myndigheter med att man inte tar säkerhetsfrågor och it-incidenter som kan få säkerhetskonsekvenser på fullt allvar. Detta gällde generellt och kom sig inte av händelserna på Transportstyrelsen. Det fanns inget samband. Jag kan förstå, när ledamoten tar upp det, att det verkar så, men det kan jag absolut avvisa. (C): För mig framstår det som ganska märkligt att inte får information av sin statssekreterare om att detta har hänt på Transportstyrelsen, när man tar beslutet, men det är min bedömning. : Jag kan bara säga att som tillsynen började fick inte någon information. Det var inte något som stack ut, dessvärre. Jag vet att ledamöterna har fått veta av att det inte är ovanligt vare sig med tillsynsärenden eller att det dessvärre också sker saker som har att göra med att man inte är tillräckligt noggrann med säkerhetsfrågor på myndigheter och verksamheter. (V): Tack, jag har fått svar på mina frågor. (L): Tack så mycket, statsrådet, för redogörelsen! Det är många datum som vi bollar här fram och tillbaka därför att vi försöker bilda oss en uppfattning. Till och med statsrådet är lite förvirrad ibland, och jag kan säga att vi delar den förvirringen. Men det är detta ska vi hjälpas åt att reda ut. Jag vill gå tillbaka igen. Det är alltså korrekt att statsrådet, som då var statssekreterare till dåvarande justitieminister , fick information av om outsourcing på TS ? Och Ygeman informerades först , så där har vi fyra månaders vitt, tomt utrymme. Till TT sa statsrådet att orsaken eller anledningen till det långa glappet innan justitieminister blev informerad var att det bara var en indikation på att något kunde gå fel i själva outsourcingen och att ville inleda tillsynsuppdrag. Statsrådet säger att det är vanligt att man inleder sådana tillsynsuppdrag, men hur vanligt är det enligt egen erfarenhet? Har varit med om att har kommit och rapporterat om att man ska inleda ett tillsynsförfarande för en myndighet som ligger i direkt anslutning till den dåvarande statssekreterarens ansvarsområde? : Jag ber att få besvara den frågan när vi går över till den stängda delen. (L): Tack så mycket! Det ser jag naturligtvis fram emot. Vi fick en liten utbildning av den tidigare ordföranden i TS, , om vad en statssekreterares första uppgift är. Den är att framföra alla obehagliga nyheter till statsråden. I ljuset av detta och också i ljuset av det som inledde sitt anförande med – att hon tycker att det knappt är möjligt att förstå att en generaldirektör inte förstår allvaret utan gör avsteg från säkerheten – skulle jag vilja påstå att det knappt är möjligt att förstå att en erfaren statssekreterare inte för vidare denna information till sitt statsråd, trots att det bara har varit en indikation. Statsrådet var ju ändå Säpos högsta chef, och man tycker att en statssekreterare borde inse att informationen borde gå vidare. Men detta har alltså inte skett? : Tack så mycket för frågan! En av de absolut viktigaste uppgifterna för statssekreterare i allmänhet och kanske särskilt inrikesministerns statssekreterare är att vid varje givet tillfälle ta ett beslut: Ska statsrådet informeras om detta, eller kan vi hantera det med till exempel myndighetschefer, rättschefer och så vidare? Först och främst fick information . fanns, som ledamöterna vet, en rad frågor som krävde information både till inrikesministern och på andra sätt och som har att göra med terrorist- attacker, flyktingfrågor, IS-krigare och så vidare. I det här fallet gjorde jag bedömningen att så länge man har påbörjat en tillsyn och inte vet vad det är för något så finns det inte någon anledning i det läget att informera mitt statsråd. När jag fick veta att detta var allvarligare och ledde till en förundersökning gjorde jag bedömningen att det var lämpligt att informera statsrådet. Jag kan säga att hela systemet skulle braka ihop om inte statssekreterarna gjorde sådana bedömningar . När ska informationen gå upp, och när behöver vi ta egna beslut om att hantera det i den ordinarie organisationen eller, i förekommande fall, i krishanteringsorganisationen? Det är en av de viktigaste uppgifterna för en statssekreterare. Det var den bedömning jag gjorde, men som sagt var det Näringsdeparte- mentets huvudsakliga ansvar. (L): Tack så mycket! Jag förstår att det är en bedömningsfråga, men man kan ändå ställa sig frågan: När meddelar att de är oroliga, hur resonerar man när man är statsrådets närmaste eller, skulle jag vilja påstå, livlina – det känner statsrådet säkert väl till i sin nuvarande roll – och man ändå anser att alla system skulle kajka ihop om man sprang med information? Med förlov sagt skulle jag vilja påstå att det vi ser här är ett system som har kajkat ihop totalt. : Jag delar naturligtvis inte ledamot bedömning i denna Man måste kunna göra denna bedömning: Vid det här tillfället hanterar videt på statssekreterarnivå i samarbete med rättschefer, expeditionschefer och myndighetschefer, vid det här tillfället behöver vi informera statsrådet om det och vid det här tillfället behöver vi informera på andra sätt. Det som berättade var naturligtvis mycket oroande, men jag ska fortsätta med att berätta om till exempel saker som sas på mötet . Man måste göra en bedömning av vad som ska gå vidare och inte. Ordföranden: Då har alla haft möjlighet att ställa sina frågor i den första vändan. Vi tar en runda till. Jag skulle vilja ställa en fråga. Det blir lätt att man diskuterar … Vi har hört en diskussion i det här ärendet i termer av stuprör, alltså att det, så som pekade på i sin utredning, finns en problematik att alla resonerar utifrån sina stuprör, så att säga, att man har avgränsade ansvarsområden och att man aldrig tittar utanför. Om man zoomar ut lite grann här får man konstatera att fick statsrådet, som statssekreterare, kännedom om detta ärende. Det tog innan inrikesminister fick fördjupad information om det hela, det tog och statsministern fick information och det tog och tvingades avgå. Enligt Transportstyrelsens egen utredning hade obehöriga tillgång till hemliga uppgifter så sent som efter det att statsrådet, som stats- sekreterare, fick information . Om man ser tillbaka på händelseförloppet som information har varit i obehöriga händer, anser inte statsrådet att hon kunde ha agerat annorlunda i något avseende för att vi inte skulle ha varit i denna situation? : Tack för frågan, herr ordförande! Jag visste att Säkerhetspolisen och myndigheterna redan från dag ett började med sårbarhetsreducerande verksamhet, och det var det viktigaste. Om det har kommit ut uppgifter måste det täppas till. Det var viktigast av allt. Problemet låg på Transportstyrelsen. Det får vi inte heller ta bort. Sedan kan jag ha synpunkter på om vi skulle ha bättre informationsdelning i i denna fråga. Det gäller framför allt visavi Statsråds- beredningen, eftersom såväl Försvarsdepartementet som Näringsdeparte- mentet och hade frågor. Den fråga som gäller, vad jag anser om informationen till Statsråds- beredningen, svarar jag gärna på i den stängda delen. Ordföranden: Jag har respekt för det. Finns det något som statsrådet kan säga öppet och som svenska folket kan få del av när det gäller frågan om informationsdelningen i ? En av de centrala frågorna här har varit hur information kunde stanna på olika nivåer utan att föras vidare. Statsministern har själv uttryckt att detta inte fungerade tillräckligt väl. Finns det något att säga offentligt om det? : Det jag kan säga är att bilden av vad som skedde på Transport- styrelsen växte fram successivt. visste vi verkligen inte vad det var som skulle komma. Däremot kan jag tycka att ansvarig minister för myndigheten borde ha fått informationen . Ordföranden: När den nya regeringen tillträdde var en av de första åtgärder som vidtogs att flytta ansvaret för krishantering från Statsråds- beredningen till , alltså längre bort från statsministern. utkristalliserar sig en bild av att information har stannat på vägen, men vi återkommer till det mer i detalj i den slutna delen. Man får intrycket att det finns en ambition, uttalad eller outtalad, att hålla information borta från statsministern för att skydda honom från obehagligheter och problem. Är det på det sättet ni har byggt upp arbetet? : Tack för frågan, herr ordförande! Nej, självfallet gjorde man inte organisationen när det gäller krishantering för att hålla information borta. Anledningen till att man gjorde omorganisa- tionen var vad som är mest effektivt i en krissituation. Då följde man världens kanske ledande krishanteringsorganisation, nämligen den som finns i Stor- , som har det på precis samma sätt som vi har det i . Det gäller att lägga det så nära de krishanterande myndigheterna som möjligt, det vill säga Säkerhetspolisen, och , där det finns upparbetade kontakter och man kan gå in om det sker en terrorattack, olika saker som gäller rikets säkerhet, kontraspionage och allt möjligt sådant. Myndigheterna finns nu under . Det är detta som är anledningen – att det ska vara så effektivt som möjligt. Man behöver inte tänka på vem man ska ringa till eller vilka kanaler man ska använda. Allt detta finns redan på . Min uppfattning är fortfarande att detta var ett effektivt och bra sätt. Sedan kan jag hålla med ordföranden om att man måste vara extra noga med den del som gäller informationen, men som inte gäller att hantera krisen, och med att informationen funkar. Men det är ju att hantera krisen och att se till att det inte blir skador som måste vara det viktiga. Ordföranden: finns ju att inte har ordergivningsrätt gentemot andra departement på det sätt som Statsråds- beredningen har – att är sidoordnat och inte överordnat och att detta kan leda till problem med att få andra att göra som man vill. Man kan också notera att statsministern rimligen hade fått information snabbare om verksamheten hade legat i Statsrådsberedningen. Hur ser stats- rådet på dessa två frågor? : Det är mycket möjligt att statsministern hade fått information snabbare. Jag anser också att han har rätt i sin bedömning – han borde ha fått information snabbare. Det hade inte förändrat någonting när det gäller hanteringen av själva krisen, nämligen att de relevanta myndigheterna skulle stoppa risken för att säkerhetsskyddad information skulle gå ut. När det gäller den andra delen är det framför allt viktigt att vi nu ger Säkerhetspolisen möjlighet att gå in och stoppa till exempel outsourcing från andra myndigheter om det visar sig att det har säkerhetskonsekvenser. Det hade man inte då. blir detta möjligt. Ordföranden: talade hos oss – och skrev även i sin rapport – om den risk- och sårbarhetsanalys som Transportstyrelsen lämnade till Närings- departementet . Till denna fanns också bifogad en särskild rapport om informationssäkerhet, där Transportstyrelsen ganska utförligt beskriver hot och risker kopplade till it-outsourcingen. Denna lämnade , , till Justitiedeparte- mentet. menar att denna rapport borde ha väckt oro och lett till frågor inom . Fick statsrådet någon känsla av oro? Väckte denna rapport några frågor när den kom till ? : Som jag har sagt arbetar vi inom med ansvarsprincipen.