bet · H501KU20d3 · 2018-01-01 00:00:00 — MSB hade redan ett föreskriftsansvar när det gällde informationssäkerhet för att ta fram vägledningar som myndigheterna behövde för att kunna göra en rimlig bedömning av hur de skulle säkra sitt it- informationsbehov men också hur de skulle kunna värdera behovet av informationssäkerhet när de till exempel upphandlade it-drift. (S): skriver i sin utredning om denna fråga, precis som sägs: Frågan om att outsourca är egentligen inte frågan utan vad som ska outsourcas och hur det ska genomföras. I den skrivelse som tidigare statsrådet nämner skrev den förra regeringen att det var viktigt att frågor kring informationssäkerhet tas på allvar. Den fråga som jag vill ställa är: Vilka uppdrag gavs till myndigheter för att det verkligen skulle försäkras att detta togs på stort allvar? Var det enbart detta uppdrag till den delegation som du beskrev, eller gavs det direkta uppdrag också till myndigheter som var i begrepp att outsourca viktig verksamhet? : Som säkert känner till hade Myndigheten för samhällsskydd och beredskap långt innan denna skrivelse presenterades för det uttryckliga föreskriftsansvaret gentemot myndigheterna när det gäller informationssäkerhetsfrågorna. Det hade de också. De arbetade löpande med att ta fram råd, rekommen- dationer och vägledningar till myndigheterna för att de skulle kunna göra kloka och rimliga bedömningar av säkerhetsfrågorna och hålla en god kvalitet i dessa bedömningar, inte minst när det gällde it-drift. MSB hade, som jag nämnde i min inledning, tagit fram en sådan vägledning när det gällde myndigheternas it-strategier och deras it-drift. Den kompletterades med en mycket handfast handledning. Vägledning heter det, men om man går in och tittar på den ser man att det är en handledning där MSB punkt för punkt går igenom vad myndigheterna behöver tänka på när de ska bedöma om man över huvud taget kan värdera att använda externa aktörer i sin it-drift, hur man ska säkerhetsklassa information och vad man måste tänka på ifall det är så att man skulle välja att använda en extern leverantör. Detta uppdrag hade MSB och har fortfarande, såvitt jag känner till, löpande. MSB arbetar med detta och publicerar denna typ av vägledningar för myndigheter och för andra aktörer i samhället som har behov av att få stöd, råd och vägledning när det gäller informationssäkerhetsarbetet. E-delegationen inrättades av regeringen . Den tidigare e- förvaltningsministern tog initiativ till det. Vi valde att behålla E-delegationen hela vår mandatperiod. Efter vår mandatperiod avvecklades den. Syftet med E-delegationen var att skapa precis denna typ av forum för samverkan och informationsutbyte mellan myndigheterna. Myndigheterna har i enlighet med myndighetsförordningen det fulla ansvaret för att driva sin egen verksamhet i enlighet med de lagar och regler som gäller och att svara för det inför regeringen. Det regeringen kan göra i e-förvaltningsarbetet är att ta initiativ till myndighetsövergripande saker som behöver hända och som inte den egna myndigheten förfogar över. I det sammanhanget var E-delegationen ett mycket viktigt verktyg, och de publicerade därför också på regeringens uppdrag flera vägledningar och förslag för att bland annat utveckla myndigheternas arbete när det gäller informationssäkerhet. (S): Tack för svaret! handlar ju denna fråga om outsourcing från en myndighet ut till privata företag. Det är naturligtvis viktigt att vi också talar om hur olika myndigheter kan samverka, men jag vill ändå återkomma till frågan om den tidigare regeringen och om man gjorde någonting för att försäkra sig om att informationssäkerhet togs på allvar i frågor om out- sourcing. Var det enbart denna manual, handledning eller vägledning från MSB som nämns som var det uppdrag som regeringen gav ut till Myndighetssverige? Eller fanns det någonting ytterligare som gjordes, i något regleringsbrev eller liknande? : Inledningsvis kan jag bara påminna om, apropå den aktuella granskningen, att Transportstyrelsen inte var en myndighet som låg under mitt ansvar som it-minister. Men med det sagt kan jag ändå bara poängtera att myndigheterna enligt lag har det fulla ansvaret att göra denna typ av bedömningar. Det finns ytterligare vägledningar som myndigheterna har att följa; inte minst har Säkerhetspolisen väldigt tydligt gjort klart att innan man ens går in i ett upphandlingsskede är myndigheten skyldig att pröva om det finns någon typ av känslig information som innebär att man måste göra en säkerhetsskyddad upphandling. Detta ansvar har samtliga myndigheter i . Det framgår väldigt tydligt av den lagstiftning som finns i , och därmed gäller den generellt för alla. (S): Så om en myndighet fallerar i att genomföra sitt ansvar eller brister i sitt ansvar kan inte regeringen klandras för detta? : När det gäller frågan om ansvarsutkrävande, som förstås är uppgift – det är ju därför ni har den här granskningen, vilket jag har full respekt för – ska man såklart värdera vilken information regeringen och de då ansvariga delarna i regeringen hade om denna fråga. Myndigheterna har det fulla ansvaret för att bedriva sin verksamhet i enlighet med gällande lagar, regler och förordningar. Om det är så att man inte följer dem måste såklart ansvaret för det prövas. Men huruvida regeringen kan hållas ansvarig för det beror på vilken information som regeringen i så fall hade fått av myndigheten i det fallet. (S): Jag har bara en sista fråga i denna vända: Övervägdes det någonsin att ge särskilda uppdrag i regleringsbreven kring de här frågorna eftersom ni sa att det var så viktigt med informationssäkerhet och att man försäkrade sig om detta i outsourcing? : Om man vill bedöma den styrning som regeringen utövade gentemot myndigheterna när det gäller e-förvaltningsarbetet, som är den form och det politikområde där regeringen inriktar myndigheternas arbete med digital e-förvaltning, får man gå till den e-förvaltningsstrategi som gällde då och där. I den är det väldigt tydligt – det är ett av de nio delmålen – att arbetet med informationssäkerhet måste förbättras och att man måste ta säkerhets- frågor på stort allvar i samband med att man anlitar externa leverantörer. Det var den tydliga styrsignalen från regeringen till myndigheterna. Jag känner inte till att den regering som jag var en del av tog emot några signaler om att det fanns myndigheter som hade utmaningar med att hantera det ansvar som de hade enligt lagstiftningen. Om jag hade fått den typen av information som it-minister hade jag självklart agerat på det. Men det var ingen information som jag fick. (V): Herr ordförande! Jag hakar i precis där före detta Hon sa: Om jag hade fått information om att det fanns brister hade jag förstås reagerat på det. Men i den granskning som har gjort och det som de har tittat på måste man väl ändå kunna säga att det framkommer att det är ett slags brist om inte myndigheterna över huvud taget tittar på hur it ska hanteras på bästa sätt. Så nog framkommer det väl brister? : Den fråga som jag svarade på alldeles gällde huruvida vigav särskilda uppdrag till särskilda myndigheter i särskilda regleringsbrev. Det känner jag inte till, och det var inte heller någon information som kom till min kännedom att någon av de myndigheter som jag ansvarade för hade den typen av utmaningar. Därför behövde vi inte ge den typen av särskilda uppdrag. Det vi gjorde var att ge väldigt tydliga generella styrsignaler i e-förvalt- ningsstrategin. Vi hade E-delegationen, som på regeringens uppdrag arbetade med att ta fram vägledningar på området. Myndigheten för samhällsskydd och beredskap gjorde insatser och publicerade en mycket handfast vägledning till stöd för myndigheterna för att kunna göra just en rimlig bedömning av om det var lämpligt och möjligt att kunna överväga att anlita externa leverantörer när det gällde it-utveckling och it-drift och hur man i så fall behövde gå till väga. Om man tittar på regeringen som helhet – jag var som sagt inte ansvarig för informationssäkerhetsfrågorna – är det alldeles tydligt att som del av den regeringen tog den också andra initiativ. Vi tog initiativ till en översyn av säkerhetsskyddslagstiftningen i en utredning som tillsattes 2011. Denna utredning lämnade sitt förslag till den sittande regeringen – ett förslag till en helt ny säkerhetsskyddslag. Vi tog också initiativ till , som handlade om att ta fram en strategi och mål för hantering och överföring av information i elektroniska kommunikationsnät och it-system. Också denna utredning överlämnade sina förslag till den sittande regeringen . Hur de sedan har valt att hantera dessa båda utredningar kan jag inte svara på eftersom jag, som sagt, avgick 2014. (V): Någonstans i mitten på det svar som du lämnade – väldigt långt på en ganska kort fråga – sa du att MSB hade uppdraget att lämna instruktioner så att myndigheterna skulle kunna veta hur de skulle tänka vid en eventuell upphandling. Typ så sa du – alltså om det var lämpligt och möjligt att överväga en outsourcing. Det är ett jätteviktigt uppdrag, och det är bra att man har gett det. Något som vi har sett ganska mycket av i den här granskningen är att ingen verkar föra information vidare mellan olika myndigheter. har ni gett ett uppdrag till MSB, och sedan ska Transportstyrelsen göra en upphandling. De verkar inte känna till hur man ska göra eftersom de tydligt har fallerat i sin upphandling. Man bestämde sig för upphandlingen , och den har ju ändå hamnat utrikes, den har inte gjorts ordentligt säkerhetsmässigt och så vidare. Hur säkerställde ni att de viktiga instruktioner som MSB skulle ta fram verkligen kom myndigheterna till del? Det borde väl ändå vara regeringens ansvar att se till att myndigheterna får kunskap om det som de behöver för att kunna göra sitt uppdrag. : Det ligger inom myndighetens ansvar. Både styrelsen och generaldirektören har ansvar för att både ha kännedom om vilka skyldigheter man har, vilka lagar och förordningar man ska följa och för att inhämta det stöd och ta del av de vägledningar som en myndighet som har föreskriftsansvar gentemot andra myndigheter i informationssäkerhetsfrågor publicerar. Detta ansvar följer av myndighetsförordningen; man bär det fulla ansvaret för att bedriva myndigheten och utföra sitt uppdrag i enlighet med de lagar och förordningar som finns och att ta det stöd som krävs för detta. Det har inte varit någon hemlighet att dessa vägledningar har funnits. Det har också funnits goda samverkansforum mellan myndigheterna, där samtliga it-tunga myndigheter bör ha kunnat ta del av detta. Det viktigaste forumet var E-delegationen, som alliansregeringen tillsatte 2009 och som kvarstod under hela min it- ministerperiod fram . Syftet med E-delegationen var just informationsutbyte – att kunna dela information med varandra och att kunna diskutera denna typ av frågor med varandra. I E-delegationen ingick såväl MSB:s generaldirektör som Transportstyrelsens generaldirektör. (V): Så det fanns bra samarbetsformer, och det fanns tydliga direktiv. Och ändå gjorde myndigheten en upphandling som inte funkade, och det är inte regeringens fel. Är det så jag ska tolka svaret? Det låter som att MSB ska göra det här, och är det Transportstyrelsens fel att de inte har fattat. Är det så? : Vilka överväganden som Transportstyrelsen gjorde i sin upphandling måste ni ställa frågor till Transportstyrelsen om. Vilken information som fanns om detta i regeringen måste ni ställa frågor till det då ansvariga statsrådet om. Jag var, som jag sa inledningsvis, inte ansvarig för Transportstyrelsen som it-minister. (V): Men någon form av övergripande ansvar för att it- frågorna blir ordentligt belysta i samtliga departement, och också förmodligen i myndigheterna, borde väl ändå en it-minister ha. Vad är det annars för poäng med att ha en it-minister? : I mitt ansvar som it-minister ingick att samordna regeringens arbete runt it- och digitaliseringsfrågor och att bland annat driva regeringens e-förvaltningsarbete framåt. Det gjorde jag, bland annat genom att publicera och ta fram e-förvalt- ningsstrategin, som kom på plats . I e-förvaltningsstrategin framgår mycket tydligt att arbetet med informationssäkerhet var viktigt och att det behövde förstärkas. Vi påpekade mycket tydligt att det var viktigt att säkerställa säkerhetsfrågor ifall det var så att man använde externa leverantörer i it-verksamhet. (V): Jag har bara en jättekort kontrollfråga. Jag uppfattade det som att du i inledningen sa att i svaret på stod det mycket om säkerhetsfrågor och att man lyfte det mycket i svaret från regeringen, alltså i skrivelsen. Jag tycker att man mest lyfter behovet av en effektivare och mer ekonomisk e-förvaltning; jag har faktiskt inte riktigt hittat det här som gäller säkerhet. Eventuella risker ska beskrivas, hittar jag att det står på ett ställe. Kan det vara så att det blev en felsägning och att du menade e-förvalt- ningsstrategin, eller är det verkligen i skrivelsen från regeringen som du menar att säkerheten tydligt lyfts? : Ja, det är i skrivelsen från regeringen, där det finns en särskild mening där vi lyfter att i detta sammanhang är det väldigt viktigt att frågorna rörande informationssäkerhet tas på allvar. (M): Ordförande! Vi har förstått att Transportstyrelsen egentligen inte låg inom ditt ansvarsområde, men jag har ändå några frågor kring detta. Fattades det några beslut av generaldirektören eller någon annan på Transportstyrelsen om att bryta mot säkerhetsskyddslagen, personuppgifts- lagen eller offentlighets- och sekretesslagen som statsråd? : Precis som frågeställaren inledde med att säga låg inte Transportstyrelsen under mitt ansvar som minister, och därför kan jag inte svara på frågor om exakt vilka beslut som fattades i Transportstyrelsen. De rapporterade inte till mig, och jag har inte kännedom om det. (M): Har du någonsin uppmanat någon vid Transport- styrelsen att skynda på en outsourcingsprocess, till exempel för att få igenom en lagstiftning? : Som sagt låg inte Transportstyrelsen under mitt ansvars- område. Men med detta sagt har jag följt utfrågningarna här i konstitutions- utskottet och har, precis som utskottet, kunnat notera att den tidigare generaldirektören väldigt tydligt har sagt att myndigheten varken efterfrågade eller fick den typen av styrsignaler från regeringen. Det förefaller i stället ha varit en egen ambition att minska sina it-kostnader som ledde fram till deras beslut inom myndigheten. (SD): Det blir ganska svårt att ställa frågor här, med tanke på att det före detta statsrådet inte ansvarade för vare sig informationssäkerheten eller Transportstyrelsen. Det hade varit trevligt om någon av dina kollegor, kanske , hade varit närvarande också. Men jag ska göra ett försök. Du får gärna försöka svara och redogöra för förra regeringens syn i så utförliga ordalag som du kan. Du hade inte ansvar för informationssäkerheten och Transportstyrelsen, men du hade ett ansvar för it-strukturen i stort. Vi har ju fått höra att det var den förra generaldirektören inom Transportstyrelsen som i mångt och mycket drev på det här projektet. Det var för att man hade haft – inte dåliga erfarenheter, men man hade varit missnöjd med det avtal man hade haft med under en . Det är kanske inte så att man vaknar upp och liksom bara kommer på att man ska outsourca alltihop, utan det är en process som har pågått . Vet du om det missnöje med hantering som hade funnits inom Transport- styrelsen kom dig eller någon av dina kollegor till kännedom? : är det ju för mig en självklarhet att komma till när vill ställa frågor, även om jag själv förstås också har funderat över detta, med tanke på att jag inte hade ansvar för vare sig Transportstyrelsen eller informationssäkerhet som it- minister. Jag ska göra mitt bästa. Den fråga som du ställer rör dock å ena sidan Transportstyrelsen och å andra sidan . Ingen av de myndigheterna låg under mitt ansvar som it-minister. Därför var det inte heller naturligt att jag skulle få information om den typen av saker. Vill man ställa den typen av frågor får man göra det till det då ansvariga statsrådet. (SD): Jag misstänkte nästan att det var ungefär det svaret jag skulle få. En annan fråga som också har varit uppe under granskningen är det här med bristfälliga säkerhetsanalyser enligt säkerhetsskyddsförordningen. Sådana fanns inte bara på Transportstyrelsen under de första då den myndig- heten var verksam, utan har identifierats inom ett stort antal myndigheter. Var detta någonting som lyftes och diskuterades inom den förra regeringen? : Som jag nämnde inledningsvis låg inte ansvaret för informationssäkerhetsfrågorna hos mig som it-minister, utan på Försvars- departementet. Den typen av detaljerade svar kan man få om man ställer frågorna till dem som var ansvariga för det då. Det som jag väl kan peka på igen är att jag som del av regeringen var med och tog initiativ till ett par utredningar som syftade till att förbättra arbetet med säkerhetsskyddsfrågorna: dels översynen av säkerhetsskyddslagstiftningen, som tillsattes 2011 och som levererade sitt förslag till sittande regering , dels , som tillsattes 2013 och som också kom med sina förslag 2015 till den sittande regeringen. (SD): Jag har en sista fråga, som också blir lite allmänt hållen. Vi har hört från förra generaldirektören att han hade varit i kontakt med både Must och och även med i olika frågor som rörde bland annat upphandling. Han hade fått en dragning om vilken skyddsvärd information som fanns inom myndigheten och så vidare. Sedan har vi hört före detta generaldirektören , som har gett uttryck för att hon inte hade fått motsvarande informationsdragning. Hon visste inte om hon hade blivit säkerhetsprövad och så vidare. Har du kunnat identifiera några strukturella skillnader mellan hur den förra regeringen och den sittande regeringen jobbat med de här frågorna? : Jag avgick ju som minister 2014 och lämnade i samband med det också politiken. Jag har inte haft anledning eller möjlighet att följa hur den nuvarande regeringen hanterar de här frågorna för att kunna jämföra det med hur den tidigare regeringen gjorde. (MP): Jag tackar statsrådet för informationen så här långt. När man ser på det här i efterhand är det ganska slående hur lite information en myndighet kan ha om basen. Det handlar om det här med att ha koll på vad som är skyddsvärt. Det var också mycket av det som till exempel dök upp i . Var du en person som fick information om vilken typ av information som myndigheterna faktiskt inte kände till och vilka myndig- heter som hade extra skyddsvärd information? : Som jag har sagt låg inte informations- säkerhetsansvaret hos mig som it-minister. I den mån någon sådan information har förts från någon till någon inom regeringen bör det i så fall ha skett till dem som bar ansvar för informationssäkerhetsfrågorna. Säkerhetsfrågor är ju av naturen känsliga frågor. Det gäller känsliga uppgifter som rimligtvis bör delges dem som är ansvariga för den typen av uppgifter. Jag hade inte ansvaret för informationssäkerhetsfrågorna, och det var därför i så fall inte naturligt att föra den typen av information till mig. De frågorna måste ställas till dem som hade det ansvaret då, vilket var Försvarsdepartementet. (MP): Jag vill också lyfta fram att den tidigare gd:n berättar att han fick information från Must och . Då fick han också rådet att inte tala om detta. Han säger i efterhand att det var lite av nålen-i-höstacken-strategin. Han nämner också att han senare har förstått att den strategin kanske inte längre håller. Vem menar du ansvarar när ingen säkerhetsskyddsanalys görs därför att man inte tror att det ska talas om det? Det är ändå en så otroligt central del i en outsourcing att göra de här delarna. Om ingen över huvud taget vet att det behöver göras, vem är det i så fall som ansvarar på för att säkerställa att den informationen ska komma fram? : Som sagt låg informationssäkerhetsansvaret inte hos mig och inte hos –2014. Med det sagt kan jag väl igen poängtera att det är väldigt tydligt att myndigheterna är skyldiga att innan de ens påbörjar en upphandling göra en bedömning av om de har skyddsvärd information, om de i så fall måste gå till väga på ett särskilt sätt och om det kanske till och med är så att de över huvud taget inte kan överväga att anlita externa leverantörer. Det ansvaret har myndigheten. Brister man i det ansvaret måste man också ta ansvar för det i myndigheten. (C): Jag har inga frågor. (L): Jag tackar för en väldigt stringent och upplysande redo- visning. Jag har en fråga. E-delegationen tillsattes av tidigare regering och har avslutats. Jag har förstått att du har lämnat politiken. Vi vet det allihop och beklagar det. Men även om du har lämnat politiken har du sannolikt lite kontakter kvar. Har du kunnat ta del av något resonemang kring beslutet om att upphäva E-delegationen? : E-delegationen hade ett tidsbegränsat uppdrag. Det har de flesta delegationer och annat som regeringen tillsätter. Den tillsattes 2009 och förlängdes under min mandatperiod . Hur det kommer sig att den nuvarande regeringen inte har valt att förlänga E-delegationen ytterligare kan jag inte svara på. Vi gjorde bedömningen att E-delegationen var ett viktigt forum för de 16 it-tyngsta myndigheterna för att kunna dela information om ”best practice”, diskutera svåra frågor om it-utveckling och it-drift och främja den sam- verkande statsförvaltningen, där myndigheter kunde utveckla gemensamma tjänster som gjorde det lättare för medborgare. , Mina medde- landen och är några exempel som tillkom tack vare att E- delegationen fanns. Det är möjligt att det finns andra sätt som den nuvarande regeringen arbetar på för att främja de här frågorna. Det kan jag inte svara på. Men var E-delegationen ett mycket verksamt organ för att se till att myndigheterna hade en arena för att samverka med varandra och diskutera sådana här frågor med varandra. Skånberg (KD): Ordförande! Jag tackar det tidigare statsrådet för frågorna och svaren så här långt. Den springande punkten för oss är att en generaldirektör på styrelsen noggrant har uppgivit och undertecknat vilka lagar hon frångår i fråga om outsourcing för att vinna . Hon åberopar att det skulle finnas utrymme för att göra ett tillfälligt avsteg från den här lag- stiftningen. Enligt före detta … (V): Ursäkta, en ordningsfråga! Det är ju inte det ärendet vihar uppe till utfrågning , utan det gäller förra regeringens hantering. Ordföranden: Det är onekligen en relevant synpunkt. Skånberg (KD): Den leder till min fråga. Fanns det någonting i den regering som före detta statsrådet delvis var ansvarig för som gjorde att det fanns brister i lagstiftning, praxis eller regelverk som en generaldirektör skulle kunna falla tillbaka på? Finns det så här i efterhand någonting som före detta statsrådet skulle vilja se annorlunda i själva regelverket? : Nej, det var väldigt tydligt och är fortsatt väldigt tydligt att myndigheterna har ansvaret att göra den här typen av bedömningar av om man har skyddsvärd information, om så är fallet agera på ett sätt som gör att man skyddar den informationen och i övrigt följa de lagar och regler som den här församlingen – – har fattat beslut om. Det fanns inte något utrymme för att göra avsteg från det under den tidigare regeringen. (S): Jag vill återigen passa på att tacka för att det tidigare statsrådet har kommit hit och ser det som en självklarhet. Det är inte alla som har sett det så. Men det uppskattar vi. Det tidigare statsrådet återkommer till att det är myndigheternas ansvar att följa gällande lagar och regler. Detta är självklart svårt att ifrågasätta; vi håller med om det. Men vilket ansvar har regeringen när ansvariga myndigheter inte gör det? Jag vill ställa en fråga angående det som föreskrivs i säkerhetsskydds- förordningen. Där är det väldigt tydligt att myndigheter ska göra en säkerhets- analys. Ändå saknade Transportstyrelsen en sådan och skaffade sig inte en sådan förrän påtalade detta. Det här innebar att myndigheten inte följde lagar och regler.