bet · H501KU20d3 · 2018-01-01 00:00:00 — Det framkommer vartefter. Det är det första som jag vill ha sagt. Det andra är att samordningen är igång, och det kanske är det som är det paradoxala i detta ärende. När informationen kommer till påbörjas arbetet, och det är påbörjat i myndigheter. Arbetet påbörjas i departementen, i respektive departement, i samarbete mellan departementen, i samarbete mellan myndigheterna och så vidare. får informationen att arbete pågår. Tillsynsärendet påbörjas , och de säkerhetshöjande åtgärderna vidtas vartefter. Däremot har jag sagt att jag borde ha haft informationen ungefär , för då framstod allvaret på riktigt i situationen, nämligen att en förundersökning skulle inledas. Där menar jag att informationen skulle ha funnits. Det finns tydliga riktlinjer för hur information ska skötas, och i det här fallet fungerade inte detta. Ordföranden: Jag skulle vilja stanna upp där. Statsministern anser alltså att han borde ha blivit informerad . Om vi följer händelseförloppet vet vi att fick kännedom om Säpos tillsyn gentemot Transportstyrelsen. skrev Säkerhetspolisen ett skarpt formulerat brev till Transportstyrelsen, där man anförde att Transportstyrelsen borde vidta omedelbara säkerhetshöjande åtgärder. Det var en unik åtgärd, har berättat för oss, och det visar ju på det allvar med vilket betraktade händelserna vid Transportstyrelsen. fick kännedom om att det här brevet hade skickats , så rimligen borde väl allvaret ha framstått tydligt för Justitie- departementet ? Det är såvitt jag vet så att Justitiede- partementet sitter på plan 6 i och statsministern på plan 7. Det kanske är 15 trappsteg emellan. Ändå säger statsministern att han skulle vara nöjd om han hade fått veta det . Vad har statsministern för kommentar till det? : För det första så meddelade att man hade för avsikt att inleda tillsynen. Då är den alltså inte inledd, utan den inleds . Det är dock helt korrekt att tillskriver Transportstyrelsen om att vidta snabba säkerhetshöjande åtgärder. Det är helt korrekt. Vad jag hänvisar till är att framgår även att det här är överlämnat till åklagare. Då finns alltså en första misstanke om att här kan också brott ha begåtts. Det är inte så att ingenting händer , utan vet också att vidtar de åtgärder de kan vidta. Jag vill återupprepa att ingen myndighet och inte heller gav uttryck för att regeringen borde ingripa, besluta om någon åtgärd, tillföra resurser eller vad det nu månde vara. Min bedömning är, som jag sa, att senast vid det här tillfället, när det framgår att det inleds en förundersökning, skulle jag ha haft den informationen. Ordföranden: Men statsministern tycker inte att han borde ha fått veta att vidtog en unik åtgärd genom att tillskriva Transportstyrelsens generaldirektör och kräva omedelbara säkerhetshöjande åtgärder? Det är ändå en ganska drastisk åtgärd. : Återigen: När man säger att nu kommer en förundersökning att inledas, då tycker jag att det är lämpligt att jag får veta detta. Ordföranden: det en regel också för framtiden att man bara behöver underrätta statsministern om säkerhetsproblem om det inleds en förunder- sökning? : Herr ordförande! Det finns ingen anledning att dra några generella slutsatser av detta ärende. Varje ärende måste hanteras utifrån sina meriter och vad som krävs precis i . Jag har medgivit och står fast vid att detta var ett haveri. Jag menar att jag skulle ha haft informationen . I det här fallet har Regerings- kansliets informationsöverföring inte fungerat, i övriga fall har den fungerat. Ordföranden: När fick kännedom om brevet fick även dåvarande statssekreterare kännedom om brevet. Hon informerade kortfattat sin minister, , först . fick inte en fördjupad information förrän – alltså efter den första kontakten mellan och och efter avsändandet av det dramatiska brevet från . Anser statsministern att informationsöverföringen har fungerat väl inom och till inrikesministern? : Både och har svarat på de frågor som har ställts om hur det fungerade i . Som sagt var hade vidtagit åtgärder. Man berättade att man hade skrivit ett brev till Transportstyrelsen. framkom det mer substantiellt vad detta faktiskt innebar. Då blev det enligt min uppfattning klarlagt att det var allvarligt. Ordföranden: statsministern vill inte som regeringschef ha några syn- punkter på hur statssekreterare eller statsråd i hanterade frågan? Det är ändå regeringen som både anställer statssekreterare och utnämner statsråd. : Herr ordförande! Det är möjligtvis ett missförstånd. Jag sa inte detta, utan jag sa bara att frågor om hur det fungerade på har besvarats av respektive . Mitt ansvar som regeringschef är att se till att det finns fungerande rutiner för informationsöverföring mellan departement och mellan departement och Statsrådsberedningen. Detta är tydligt. Det är en praxis som gäller och som fungerar i de allra flesta fall, i det här fallet uppenbarligen inte. Det är därför som jag nu har tagit initiativ till att i riktlinjer erinra om att vi måste se till att detta fungerar i fortsättningen. Ordföranden: : Min fråga handlade inte om exakt vad som hade hänt i , för det har vi ju fått kännedom om från och . Min fråga var hur statsministern ser på att inrikesministern först fick en fördjupad information om och klarhet i vad saken egentligen handlade om. : Det är ingen som har beslutat att här inte skulle informeras, utan jag tror att det var att antal olika faktorer som medverkade. Men slutresultatet har blivit att informationsöverföringen i just fallet vad gäller Transport- styrelsen inte har fungerat tillfredsställande. Skånberg (KD): Herr ordförande! Tack, statsministern, för svaren så här långt! Statsministern har sagt att det här är ett haveri. Han har också sagt att informationsöverföringen uppenbarligen inte fungerat. Den enda gång som jag kan erinra mig att haft i uppdrag att pröva något som ens liknar detta haveri är tsunamikatastrofen annandag . miste 543 medborgare. Då var heller inte informationsöverföringen optimal. Informa- tionsöverföringen till statsministern försenades någon dag. Men här handlade det ju om månader innan statsministern fick kännedom om det här haveriet. Vad tänker statsministern om detta? : Herr ordförande! Som jag sa i inledningen var det inte så att det i början av detta fanns en komplett bild av händelseförloppet i Transport- styrelsen eller informationsöverföringen. Det var av det skälet som jag tog initiativ till en genomlysning för att vi skulle få en komplett bild av hela händelseförloppet och informationsöverföringen. Tsunamikatastrofen, i all sin tragedi, var en snabb händelse som föranledde vissa åtgärder. Här är det en händelseutveckling som spänner och där bilden inte är lika klar. Likväl anser jag, återigen, att i det här fallet har informationsöverföringen inte fungerat. Det är därför som jag har tagit initiativ till de åtgärder som jag har redogjort för. Skånberg (KD): Herr ordförande! Några saker kan vi tala öppet om när det gäller den bristande informationsöverföringen, till exempel statsministerns egen statssekreterare , som avgick på grund av att hon inte ställde några följdfrågor. Finns det andra i den här hanteringen, inklusive statsministern, som borde ha ställt följdfrågor och efterfrågat information? : Herr ordförande! Det är en fråga som är lite svår att svara på generellt åt det ena eller det andra hållet. Jag kan konstatera, precis som har redogjort för, att det var som hon hade möjlighet att ställa följdfrågor, vilket hon inte gjorde. Hon har tagit konsekvensen av detta. har i övrigt varit en utomordentlig statssekreterare. Här har hon själv dragit slutsatsen att hon borde ha ställt följdfrågor men inte gjorde det. Skånberg (KD): Herr ordförande! Vi var inne på andra som inte har fullföljt sin informationsplikt. är en sådan. I ena fallet, , får statssekreteraren lämna, i det andra fallet, , lämnar hon inte sitt uppdrag. Tvärtom blir hon befordrad. Hur tänker statsministern om parallellen mellan och uppgifter? : tog konsekvensen av att hon inte ställde följdfrågor vid de två möten som hon deltog i. blev ju utsedd till statsråd innan den här undersökningen inleddes. Men har också tillstått att hon borde ha överfört den här informationen till Statsrådsberedningen . Jag vill återigen påpeka att det faktum att informationen inte fungerade inte är detsamma som att det arbete som skulle göras inte fungerade. Innan allvaret stod klart informerade om följande: Säkerhetshöjande åtgärder har vidtagits. Vi har vidtagit de åtgärder vi behöver vidta och tänker fortsätta att göra det. Det gör också Försvarsmakten och Transportstyrelsen. I detta arbete är departementen kontinuerligt underrättade. Departementen underrättar också varandra. Det som uppenbarligen har brustit är informa- tionen till Statsrådsberedningen. (S): Den bild som KU har fått under den här undersökningen är att det under den eviga freden efter murens fall har varit ett förfall av säkerhetskulturen i den statliga förvaltningen – vilket också påpekas i rapporter – och kanske också en viss naivitet i synen på hur lätt det är att lägga över saker i privat drift utan att sätta upp tillräckliga säkerhetsarrangemang runt detta. Med anledning av det skulle jag vilja fråga vilken bild statsministern har i frågan och vilka åtgärder regeringen har vidtagit med anledning av den bristande säkerhetskultur som bland annat har iakttagit. : Herr ordförande! Min bestämda uppfattning är att det har rått en naivitet och en slapphet, inte minst i de frågor som rör it-säkerhet, under en lång, . När vi tillträdde beslutade vi direkt att ge i uppdrag till de bevakningsansvariga myndigheterna att i arbetet med risk- och sårbarhetsanalys särskilt beakta och analysera informationssäkerheten i de delar av verksamheten och i de tekniska system som är nödvändiga för att myndigheten ska kunna utföra sitt arbete. Det gjorde vi , och det gjordes av en anledning. Dessutom gav vi i regleringsbrevet bevakningsansvariga myndig- heter i uppdrag att redovisa vilka övergripande åtgärder de hade gjort i myndighetsdialoger . Vi gjorde informationsinsatser tillsammans med Säkerhetspolisen och deras medverkan gentemot berörda statssekreterare och statsråd. Vi skilde naturligtvis generaldirektören från uppdraget, som jag har berättat om. Vi har redovisningar från . Där säger att det finns uppenbara brister i våra myndigheter och deras hantering av inte minst informationssäkerhet. , kom med en ny rapport där man sa samma sak: Det finns uppenbara brister i hanteringen av it och information. Säkerhetspolisen sa liknande sak 2013. Transportstyrelsen, som bildades , har i enlighet med lagstiftningen en skyldighet att göra en analys av vilka delar som innehåller hemliga uppgifter som måste hanteras med försiktighet. Dessutom ska det dokumenteras. startar Transportstyrelsen sin verksamhet, och 2014 gör Transport- styrelsen denna analys – ! Och när Transportstyrelsen gjort analysen säger att den inte är tillfredsställande. Jag tycker att vi har haft precis denna naivitet och slapphet. Det är av det skälet som regeringen nu har vidtagit en mängd åtgärder för att komma till rätta med detta. En av åtgärderna är att om eventuell utkontraktering ska ske måste det ske i samarbete med Säkerhetspolisen eller Försvarsmakten. De har också mandatet att säga: Nej, här blir det ingen utkontraktering om det inte kan ske på ett för säkerheten tillfredsställande sätt. (S): Tack så mycket, statsministern, för svaret! En annan sak är mediernas reaktion på varför ingen gjorde något. När man sitter och frågas ut i KU är man snarare ute efter att alla inte kunde springa på bollen; det skulle ha blivit kaos på plan. Men den fråga från konstitutions- utskottet som då blir ganska naturlig är: Vem borde ha sprungit på bollen när detta kom fram? Och vari ligger bristen, enligt statsministern, internt i ? : Herr ordförande! Problemet hanterades av dem som skulle hantera det. Säkerhetspolisen informerade , som då drog igång. Informationen kom också till och Försvars- departementet. Då var de tre myndigheterna Transportstyrelsen, Säkerhets- polisen och Försvarsmakten igång liksom deras departement, och det skedde ett samarbete mellan dessa vid olika tillfällen och i olika former beroende på var i ärendet man var. Återigen: Bilden av att ingenting gjordes är felaktig. Och kanske är det detta som är paradoxen: det arbete som skulle göras gjordes, därav det som blev bristen i information. Jag håller naturligtvis med om att informationen skulle ha fungerat bättre . (SD): Statsministern har återkommit till att det tog innan den kompletta bilden växte fram. Och vem vet, den kanske inte Vi kanske får arbeta ytterligare med det här ärendet innan vi vet alla detaljer. Ändå var det i ett rätt tidigt skede som man fick klart för sig att en myndighetschef hade skrivit på avsteg från regler och detta också blev känt på bland annat . Var det inte allvarligt nog för att agera kraftfullare än vad man gjorde? Kanske borde man till och med ha gått så långt som att såklart informera statsministern redan när man fick kännedom om detta men också, såklart under tystnadsplikt, informera . : Herr ordförande! Ja, den informationen stod klar , att dessa fel medvetet hade begåtts. Det är också då som generaldirektören delges misstanke om brott. Det är i detta skede som regeringen skiljer generaldirektören från hennes uppdrag. stod det klart, och då agerade regeringen. (SD): Tack så mycket! Men … Statsministern har ju fått de papper som också har till sitt förfogande, och jag läser direkt ur dessa papper: I möte med framkommer att Transportstyrelsen har gjort avsteg från regelverket. : Ja, det stämmer, avsteg från regelverket – men inte att det hade fattats formella beslut i strid mot säkerhetsskyddslagen. Det framgår inte då; det framgår . (SD): När det ändå står klart att man har gjort avsteg från regelverket … Jag tror att det flesta skulle hålla med om att det ändå måste vara rätt så allvarligt. Tycker statsministern att det där och då skulle ha funnits anledning att agera annorlunda än vad man faktiskt gjorde? : Herr ordförande! Det är som jag sa tidigare. när det framstod att detta var allvarligt skulle jag vad gäller informationsöverföringen till Statsrådsberedningen … Då skulle jag ha velat ha haft den informationsöverföringen, . Men det är skillnad på att det står klart att här har generaldirektören med medvetna beslut brutit mot säkerhetsskyddslagen; det är ändå en viss skillnad. (SD): Tack så mycket! Den som är ytterst ansvarig för informationsöverföringen är ju statsministern, och det har statsministern också tillstått tidigare. Ska vi då tolka det som att det var statsministern som borde ha sett till att denna informationsöverföring fungerade? : Herr ordförande! Som regeringschef och chef för är jag ytterst ansvarig för att det finns rutiner för informations- överföring. Det finns rutiner för informationsöverföring både mellan departement och mellan departement och Statsrådsberedningen. Det är en informations- överföring som i de allra flesta fall fungerar. I detta fall fungerade det inte; det är uppenbart. Men denna informationsöverföring finns det rutiner och praxis för, och de är kända. Efter att det brustit i detta fall har jag tagit initiativ till att påminna om det och också tillagt en erinran i skrivelse, just för att påminna om att det faktiskt är detta som gäller. (SD): Att det finns rutiner är självklart. Men frågan är vem som bär ansvaret när rutinerna inte följs. I och med att statsministern har ett övergripande ansvar för att det finns rutiner, är det också statsministerns övergripande ansvar att rutinerna också följs? : Om de inte följs är det min uppgift att se till att det korrigeras. Att det finns rutiner som ska följas och att de är tydliga är min grundläggande uppgift. Följs de inte måste jag naturligtvis … Det är därför jag har tagit initiativ till påminnelsen till departementen och lagt till en erinran i riktlinjer, just för att detta ska korrigeras. (SD): I just detta enskilda fall har jag förstått det som på statsministern att hans bild är att rutinerna inte följdes som de skulle göra. : Återigen: Det finns alltså dels de riktlinjer jag har pratat om, dels andra informationsvägar, som jag ber att få återkomma till i den slutna delen. Berörda parter vet vilka dessa rutiner är, men det får vi återkomma till. (MP): Herr ordförande! Jag vill gärna fråga statsministern en mer generell fråga. Vi har parallellt med dessa ärenden fått en ganska lång tidslinje, vilket också statsministern varit inne på, som sträcker sig till 2007 då de första rapporterna om bristande säkerhetstänk i myndigheter kom. Det gäller också detta specifika ärende med en tidslinje från då beslutet om projektstart, alltså förberedelse och analys gällande planering av it-drift, genomfördes. När vi hade utfrågning av förre generaldirektören uttryckte han en förvåning över att detta i ett senare skede skulle handla om att outsourcingen skulle ha kunnat gå till bolag som inte höll driften i . I hela denna tidslinje har det funnits en rad frågetecken där man funderar över om det hade kunnat vara så att vissa funktioner kunde ha haft ett bättre stöd. Det gäller till exempel internrevisionen, styrelseledamöterna, säkerhets- skyddschefen och generaldirektören. Hade det varit möjligt att minska risken för att det som inte fick ske skedde? Regeringen har vidtagit en rad åtgärder för att strama upp säkerhets- skyddsarbetet brett, och det har statsministern också redogjort för här. Har statsministern, som har en särskild överblick av både statsapparaten och detta fall, kunnat identifiera några åtgärder som kunde ha funnits på plats och som kunde ha införts snabbare för att ge ett sådant stöd? : Herr ordförande! Som frågeställaren så riktigt påpekar är detta en process som påbörjades mer konkret . Jag får påminna om att , när informerar om att man har skickat det här brevet, då har redan det företag som vann upphandlingen tagit över ansvaret för driften. Det är ett faktum . Det är klart att det har varit en lång process före; det är inget som påbörjas . Det har varit en lång process med ett antal beslut. Man får väl säga att den förre generaldirektörens svar här i utskottet ändå är lite tydliggörande. Om man inte vet att det ska hamna här eller där är det väl ett litet svar på frågan hur bristen på noggrannhet har varit i denna typ av ärenden som till delar är så känslig. Varje enskild myndighet ska enligt säkerhetsskyddsförordningen göra denna analys av vilken verksamhet och vilken information i den egna verksamheten som är av sådant slag att den måste hållas hemlig. Detta ska också dokumenteras. Det är ingen ny fråga, utan den har funnits . Det var därför tillsynsmyndigheten, alltså Säkerhetspolisen, agerade när de såg att det höll på att ske något som nog inte riktigt fungerar som det var tänkt. Det är det ansvar som finns. Om Säkerhetspolisen eller, mer generellt uttryckt, tillsynsmyndigheten påkallar regeringens uppmärksamhet och säger att detta är något som inte genomförs så som vi har tänkt, för det kan tillsynsmyndigheten göra, då ska regeringen givetvis agera. Någon sådan begäran kom aldrig från Säkerhetspolisen eller från de andra myndigheterna. Hade så varit hade regeringen naturligtvis agerat utifrån den informationen och det tillfället. (MP): Jag kanske ska omformulera min fråga. När vi nu har facit, den samlade berättelsen och den fullständiga bilden framstår det i alla fall för mig som att det har funnits väldigt många enskilda tjänstemän som har gjort precis allt vad de har kunnat, men de har inte haft stödet för att nå hela vägen fram. Jag undrar därför om det finns något man kunde ha gjort från regeringens sida eller från någon annan sida för att kunna ge dem ett starkare stöd att göra rätt. : Återigen: När vi ser hela denna bild … Ursäkta, herr ordförande, jag vill backa tillbaka. När vi tillträdde var vi medvetna om de brister som jag beskrev tidigare och som hade redogjorts för av bland annat men också av Säkerhetspolisen och Myndigheten för samhällsskydd och beredskap. Här fanns alltså en bild av att vi har ett bekymmer, och därav regeringens beslut om att vi måste skärpa upp detta. Då kom ett sådant beslut till de bevakningsansvariga myndigheterna att i arbetet med risk- och sårbarhetsanalyser särskilt beakta och analysera informationssäkerheten i de delar av verksamheten och i de tekniska system som är nödvändiga och så vidare. Där säger vi till: får ni beakta detta lite noggrannare. Sedan har det tagits ett antal andra beslut, och jag har nämnt ett som jag tycker är det avgörande: att vi ska ha en ny ordning, nämligen den att om myndigheterna avser att utkontraktera, outsourca, eller vilket begrepp man nu använder, måste det ske i samförstånd med Försvarsmakten eller Säkerhets- polisen. Är det då så att dessa två myndigheter finner att detta inte kommer att kunna ske på ett säkerhetsmässigt tillfredsställande sätt ska de ha mandat att säga att det inte blir någon outsourcing. Det tycker jag är en viktig lärdom av det här haveriet, som det trots allt var. (C): Vid utfrågning för ungefär av tidigare generaldirektören för Transport- styrelsen framkom att hon hade ett möte på Närings- departementet. Hon var ditkallad för att hade fått information från om Säpos tillsyn. hade ju gett en rekommendation att outsourcingen borde avbrytas och driften tas tillbaka till . Vid mötet med tjänstemännen på Näringsdeparte- mentet berättade utförligt om de avsteg som var gjorda och de åtgärder som hon hade börjat vidta. Det framgår av protokollet att sa till departementet: Jag har för avsikt att jobba på detta sätt om inga andra signaler ges till mig. måste säga till mig att jag ska göra på ett annat sätt. Hon berättade också för att hade velat avbryta outsourcingen, och hon förklarade varför hon ansåg att det inte var rimligt att göra det. var ganska väl informerade om det som skedde och gav inte generaldirektör besked att avbryta outsourcingen trots Säpos rekommendation. Statsministern sa att han hade önskat att han hade fått information men att det inte hade någon betydelse för sakens utgång att han inte fick denna information. Om man får reda på att först Transportstyrelsen och sedan departementet handlar i strid med Säpos rekommendation, hade det då inte haft betydelse om statsministern hade varit informerad ? : Bara för att klargöra, vad menar ledamoten att hade för rekommendation? (C): hade rekommendationen att avbryta outsourcingen. tar upp frågan med om outsourcingen ska avbrytas. Hon säger att hon vill ha ett besked från att den ska avbrytas, annars tar hon inte hem den. Detta är alltså . Ordföranden: syftar på det som skrev i sitt brev – bara för att tydliggöra. : skriver i sitt brev att det är nödvändigt att vidta skynd- samma säkerhetshöjande åtgärder. Det är vad skriver. (C): säger , , att hon hade fått rekommendationen av att hon skulle avbryta outsourcingen. Då ställer hon frågan till : Ska jag göra det? Får jag inte besked från er gör jag det inte. Hon fick inte besked. : Herr ordförande! Den bilden delas inte av Närings- departementet. Det som Säkerhetspolisen sa var att det nu var nödvändigt att vidta skyndsamma säkerhetshöjande åtgärder, inte att outsourcingen skulle avbrytas. Som jag var inne på tidigare informerade om att man hade skickat brevet, och kunde man konstatera att outsourcingen genomförts . Det förra statsrådet har sagt – det får stå för honom – att myndigheterna inte framhärdade i att den skulle avbrytas. Det skulle inte höja de säkerhetshöjande åtgärderna. (C): Jag vill gärna läsa ur protokollet från utfrågningen Där står: ”Jag informerade också om att hade velat att viskulle avbryta outsourcingen, och jag förklarade varför jag inte ansåg att detta var rimligt.” Hon var då på . Detta var , och hon fick alltså inte besked av . Jag menar att det hade haft betydelse om statsministern hade haft information 2016 om vad som var på gång. Det påverkade utvecklingen, menar jag. Statsministern sa något annat i sin inledning, och det är detta jag vill bemöta.