bet · H501KU20d3 · 2018-01-01 00:00:00 — Om jag går över till frågan om kommunikation vill jag först, när jag har satt mig in i frågan – både lagstiftningen och det rekommendationsbrev som vi skickade i väg – göra konstaterandet att enligt säkerhetsskyddsförordningen ska det på varje myndighet som faller under den lagstiftningen finnas en säkerhetsskyddschef. Denna chef ska vara direkt underställd ledningen. 2017/18:KU20 BILAGA B UTFRÅGNINGAR uppfattning är att om denna kompetens finns, vilket den gjorde, borde detta vara tillräckligt för att både säkerhetsskyddschef och generaldirektör ska uppfatta allvaret i det rekommendationsbrev som vi skickade . Vi får dock ta till oss och dra lärdom av att de inte förefaller ha uppfattat budskapet, men vi bedömer att skrivelsen var tillräckligt tydlig. Vi och jag får konstatera att kommunikation är svårt och att vi uppenbarligen får fundera på att vara ännu tydligare . När det gäller tidsaspekten kan man konstatera att utifrån den utredning från som jag hänvisade till var slutsatsen att det tog relativt . Det är också en sak som vi naturligtvis får titta på framöver vad gäller tillsynsarbetet. Men jag vill ändå framföra att en sådan tillsyn är ett komplext arbete som kan ta tid. När vi har facit i hand är det lätt att dra slutsatsen att arbetet borde genomförts snabbare. Fråga 9: Efter att Säkerhetspolisen gjort en genomgång av de säkerhets- analyser som inkom redovisades de generella bristerna till . En närmare beskrivning önskas av det som redovisades till avseende Transportstyrelsen. [sekretess] men vi kan konstatera att Transportstyrelsen inte nämndes specifikt. Det var mer generella slutsatser av inkommen information som det informerades om vid det tillfället. Vi har fått en fråga i samband med detta – om någon specifik handling överlämnades till . Svaret på det är nej. Om ni undrar är det bara elva frågor, så jag är snart klar. [sekretess] , informerade den dåvarande operativa chefen myndighetshandläggaren på om att Säkerhetspolisen skickat brevet till Transportstyrelsen och gav en kort information om dess innehåll. [sekretess] Vi kan konstatera att skrivelsen, som är daterad , expedierades . Sedan var det en hög arbetsbelastning på Säkerhetspolisen, och det fanns ett stort behov av information till . Vi kan påminna oss om att vi en knapp vecka tidigare haft ett antal terrordåd i . Det hade varit ett extra möte för Säkerhetspolisen i , och var vi, som ni väl känner till, hårt ansträngda i , också på Säkerhetspolisen, av den ökande flyktingströmmen, som var ett aktuellt ämne. Slutligen, på de i förhand ställda frågorna, fråga 11: Vilken uppfattning hade Säkerhetspolisen om vilket skede Transportstyrelsens upphandling av it-driften var i och om möjligheterna för Transportstyrelsen att avbryta upphandlingen och outsourcingen av it-driften? Herr ordförande och ledamöter! Detta var det som vi har sammanställt utifrån de på förhand givna frågorna. Ordföranden: tack för inledningen! Då lämnar vi öppet för ledamöterna att ställa frågor. Vi brukar ha en ordning med partierna i storleksordning, först anmälande partier och därefter övriga partier. Vi har båda granskningsärendena i frågerundan, tänker jag. Socialdemokraterna har möjlighet att inleda. Jag antar att vill ställa någon fråga. (S): Tack för föredragningen och för att vi har fått svar på frågorna som vi har ställt . Jag inleder med några kontrollfrågor för att se att jag uppfattade svaren rätt. Den första gäller ditt svar på fråga 10. Du uppger att ni sände denna skrivelse till Transportstyrelsen . När jag går tillbaka till handlingarna från vår slutna utfrågning med din företrädare ser jag dock att han när det gäller denna skrivelse sa att den var färdigställd och skickad . Det han uppgav då stämmer alltså inte? : När vi nu i efterhand tittar på detta kan jag konstatera att den är expedierad den 26. (S): Det var ett viktigt klargörande. Men vad jag förstod av din företrädare vid den förra utfrågningen var detta ändå en skrivelse som hade förberetts och hanterats . Så här i efterhand, eftersom vi försöker att lära oss något av det: Vad är kommentaren till att detta inte togs upp med statssekreteraren på Justitie- departementet [sekretess] : [sekretess] Det är också så med denna typ av skrivelser att man kan få in nya informationer och nya uppgifter. Den kan vara möten som pågår på Transportstyrelsen som gör att nya uppgifter kan ha kommit och som gör att man vill ändra det innan man slutligen skriver på det. Det är väl den troliga förklaring som jag kan ge så här i efterhand. (S): Jag har själv jobbat på . Hur man ska väga information är ju alltid viktigt. Om informationen till en chef kommer via den ordinarie vägen från myndighetshandläggare och uppåt i hierarkin kanske den bedöms på ett visst sätt, medan den kan bedömas på ett annat sätt om den kommer direkt från en generaldirektör och angår en [sekretess]. Är detta någonting som ni tror kan ha påverkat? Hur tänkte ni kring detta? Var det inte så extraordinärt att man behövde flagga för detta till ledning på ett speciellt eller extraordinärt sätt? : Jag kan i efterhand, utifrån det jag redan har sagt, konstatera att det ansågs viktigt att få lämna denna information. Det gjordes den 26 på telefon till , när denna skrivelse var expedierad. (S): Men då lämnades den ju till myndighetshandläggaren på departementet, eller hur? : Ja, det är korrekt. (S): Då vill jag ställa en fråga angående svaret på fråga 8. Jag uppfattar det som att du påpekade att mötet initierades av , men datumen – om jag uppfattade generaldirektören korrekt – initierades av Transportstyrelsens generaldirektör. : Det är korrekt att vi i de kontakter vi hade med Transport- styrelsen framförde att vi ansåg att vi behövde ha ett möte med general- direktören för att påtala allvarligheterna i det som vi hade hittat under tillsynsarbetet. Sedan var det generaldirektören som initierade datumen för mötet. (S): Var det mellan att ni efterfrågade mötet och att datumen sattes, eller skedde det relativt omgående? : Det har jag inte kunskap om. Jag kan bara säga att vi hade försökt att få till stånd ett möte. Ordföranden: Då ska jag ställa några frågor. har vi framför allt rört oss i de inledande skedena, med de förberedda frågorna och generaldirektörens svar. En iakttagelse som man kan göra är ju att de första signalerna till Säkerhetspolisen kom och att tillsynen inleddes . [sekretess] Kan generaldirektören beskriva hur arbetet bedrevs för att förmå Transportstyrelsen att åtgärda säkerhetsproblemen? : Jag kan göra ett försök. Jag vill börja med att säga att vi jobbade med tre ben , med lite olika inledningsskeden. Det ena är att vi tidigt ägnade oss åt vad vi kallar sårbarhetsreducerande åtgärder. Det andra är att vi försökte att få till stånd en bra bild av vad det var som hade skett. Detta går in under det som sedan, som ordföranden säger, inleddes med en tillsyn. Det tredje är att vi fick en sådan bild att vi ansåg att vi kunde anta att brott hade begåtts. Då upprättades en anmälan, och därefter inleddes en förundersökning. Vi jobbade alltså på tre olika spår, med olika kraft. Ordföranden: utredning – i avsnitt 7, som handlar om Säkerhetspolisens tillsyn – skriver utredaren att det framstår som att det egentligen var först som några egentliga åtgärder vidtogs inom Transportstyrelsen för att börja hantera dessa problem och det kanske gick nästan in på 2017 innan det hände någonting på riktigt, någonting verkligt omfattande. Håller Säkerhetspolisen med om den beskrivning som ges i utredning? : [sekretess] Man kan väl också beskriva det som att vi inledningsvis lämnade rekommendationer men att detta alltmer blev en aktiv rådgivning gentemot Transportstyrelsen. Ordföranden: att ni behöver gå in på exakta detaljer om känslig information som utskottet inte behöver för sin granskning, kan vi få en lite mer precis bild av detta med sårbarhetsreducerande åtgärder? Vad kan det handla om på ett övergripande plan, [sekretess]. : Min bild är att det finns sårbarhetsreducerande åtgärder som Transportstyrelsen kunde ha vidtagit. Men det var också så att en del av detta och en del av den tillsyn som vi påbörjade – och även innan tillsynen hade påbörjats – [sekretess]. Ordföranden: [sekretess] : [sekretess] Ordföranden: [sekretess] : [sekretess] Ordföranden: KU:s roll är, som bekant, att granska regeringen. I vilken mån hölls regeringen informerad om framgångar och uteblivna framgångar i detta arbete med sårbarhetsreducerande åtgärder? : Som jag har försökt att beskriva tidigare, utifrån den information som har lämnats, lämnade vi under hand och efter hand information till . Jag har inte kunskap om exakt var och när och i vilken omfattning det lämnades information om åtgärderna. Vi kan konstatera att den tillsynsrapport som gjordes avslutades . Vi hade en fortsatt dialog med Transportstyrelsen . Ordföranden: ställdes denna fråga till : I vilken mån fick information om resultatet av tillsynen? : Det är bättre att svar får gälla än att jag, som inte var med , svarar. Ordföranden: Jag kan tyvärr inte den tidigare utfrågningen utantill, så jag vet inte om frågan ställdes då. Det borde jag förstås ha slagit upp innan jag ställde frågan till generaldirektören. Men generaldirektören kanske kan få stöd från någon bisittare för att besvara frågan? : Det är ju så att vi delger informationen under hand och efter hand. Vi har också delgett Transportstyrelsen information under hand och efter hand, och det har varit en dialog. Men precis vad som har framförts finns det inga anteckningar om, och jag har inte tillgång till dem. Jag kan lägga till att en tillsynsrapport var klar , som jag nämnde. (V): Jag funderade lite på detta med arbetet hos myndigheten generellt vad gäller säkerhetsfrågorna. När den förre gd:n tillträdde blev han uppkallad till Must, och var med. Han fick tydlig information om att det fanns skyddsvärd information på myndigheten och om hur denna skulle hanteras. När tillträdde hade hon, enligt henne själv, över huvud taget ingen aning om huruvida hon var säkerhetsklassad. : [sekretess] (V): [sekretess] : Det kan ju på en del av mina svar förefalla som att jag inte har koll på allt, och det är riktigt. Men det är ändå så att det är arbetsgivaren – i detta fall regeringen – som beslutar om säkerhetsklassningen. Skånberg (KD): Tack för svaren så här långt! : Nej, det vet jag inte. Skånberg (KD): [sekretess] : Den bedömningen har funnits tidigare – ja. Allt bygger enligt min uppfattning på att man följer den lagstiftning som finns och att man har den organisation runt omkring sig så man kan hantera det. Skånberg (KD): [sekretess] : Herr ordförande! När man inplaceras i säkerhetsklass genomförs en säkerhetsprövning. Det är arbetsgivaren som är ansvarig för denna; det står i säkerhetsskyddsförordningen. Då består säkerhetsprövningen av ett antal olika moment. Det första är den så kallade registerkontrollen, som Säkerhetspolisen genomför. Register- kontrollen är kontroll mot polisiära register och Säkerhetspolisens egna register. Den andra delen är det så kallade personliga samtalet, där du har en fördjupad diskussion med personen som ska inplaceras i säkerhetsklass kring sårbarheter och upplevda hot, för att få en uppfattning om den här personen har en förståelse för det uppdrag man ska inplaceras i. I de högre säkerhetsklasserna, 1 och 2, genomförs också en person- utredning. Den är kopplad till den ekonomiska situationen framför allt, eller om det finns någon annan omständighet som kan vara av intresse för hela säkerhetsprövningen. Det som händer hos den anställande myndigheten är att de hemställer till Säkerhetspolisen om en registerkontroll. Vi återrapporterar svaret på registerkontrollen. Det är registerkontrolldelegationen vid som beslutar om det ska kommuniceras någon information som skulle kunna vara belastande i detta fall. Sedan fattar arbetsgivaren beslutet om man ska inplaceras slutligt i säkerhetsklass, och den återrapporteringen får Säkerhetspolisen, i det här fallet av regeringen, när det gäller en generaldirektör: att arbetsgivaren genomfört de åtgärder man ska göra. Sedan när man börjar på sitt nya jobb brukar man vanligtvis genomföra ett säkerhetssamtal. Då blir man informerad om vad sekretess innebär och vilka uppgifter man ska hantera inom arbetsuppgifterna, och man får också skriva på en sekretessförbindelse. Detta är så att säga grunden för att ta del av hemlig information. Det är också en sak som arbetsgivaren gör – det är det så kallade säkerhetssamtalet. Skånberg (KD): Enligt har hon inte fått annat än att hon har fyllt i uppgifter av personkaraktär. Hon har inte gått igenom ett sådant samtal. När nu har tagit del av detta, att själv säger att jag har inte varit del av något sådant samtal, inget säkerhetssamtal, ska konstitutions- utskottet se det som anmärkningsvärt? Eller var det acceptabelt ändå att det så att säga fick ordna sig utan något sådant säkerhetssamtal? : Jag vet inte – [sekretess]. Skånberg (KD): Jag lämnar det spåret och skulle vilja borra vidare lite i fråga 10, informationen , när det både expedierades ett brev och ringdes från operativa chefen till . Vem exakt var det Kassman talade med på Judep? Ordföranden: 2016 – 2015 var det. Skånberg (KD): 2015, sa jag. : Den anteckning vi har är att det var den som var myndighets- handläggare, alltså Säkerhetspolisens myndighetshandläggare på Justitie- departementet. Skånberg (KD): Sedan nämndes här att det fanns ”ett visst motstånd” mot att lämna ut uppgifter, särskilt initialt. Av vilken art var motståndet? Var det bara okunnighet, eller fanns det en ovilja att bli genomlyst? Det var ju ändå som kontaktade och gjorde en tillsyn. Det skulle vara värdefullt att få veta hur motståndet rent praktiskt såg ut. : Så som jag har fått det beskrivet skulle jag nog ändå vilja beskriva det som en okunskap som fanns. Det var frågor som låg på olika händer, på olika befattningshavare, och det fanns, som jag har sagt tidigare, tycker vi, en dålig kunskap och förståelse kring vilka frågor man hade hanterat och hanterade. (SD): Först bara en liten kontrollfråga: På fråga 6, ”Vad har Säkerhetspolisen för ansvar för att informera tillträdande generaldirektörer om informationssäkerhetsfrågor?”, uppfattade jag att ert svar var att ni har inget ansvar, utan det är myndighetens ansvar. Var det korrekt uppfattat? : Enligt den lagstiftning som finns har vi inget sådant ansvar, nej. (SD): Men att det är myndighetens ansvar var korrekt? : Det är varje myndighets ansvar att informera. (SD): har vi sedan också hört här att placerades i säkerhetsklass [sekretess], och då ligger det på regeringen att genomföra ett inledande säkerhetssamtal. Då är det ju arbetsgivaren som har det ansvaret och inte myndigheten. Så vem är det som har fallerat här? Vem är det som har haft bristen? Är det myndigheten som inte har fullgjort sitt ansvar att informera tillträdande generaldirektör, eller är det regeringen som har brustit genom att inte hålla detta inledande säkerhetssamtal för en tillträdande generaldirektör i skyddsklass [sekretess]? : Om det nu inte har skett något sådant samtal är det arbets- givaren, och då överlämnar jag till att bedöma vem som är arbetsgivare. (SD): Jag har fler frågor. Jag var bara tvungen att suga lite på den karamellen: vem det är som ska ses som arbetsgivaren. Sedan en liten fråga – nu byter jag spår här. Transportstyrelsen bildades ju 2009. Den första säkerhetsskyddsanalysen framtogs 2014. Ni är ju tillsyns- myndighet och hade bland annat gjort granskningar där ni hade begärt in ett antal säkerhetsanalyser från olika myndigheter och så vidare och så vidare. Men om jag förstått rätt finns det ingen struktur för att egentligen följa upp detta. Jämför man med till exempel risk- och sårbarhetsanalyser ska ju de skickas in till departementet , och det ska sedan sammanställas av och så vidare och så vidare. Är det en lämplig ordning? På vilket sätt underlättar eller försvårar det ert tillsynsansvar att det inte finns någon motsvarande skyldighet att skicka in och redovisa även säkerhetsanalysen enligt säkerhetsskydds- förordningen? Borde det finnas en sådan ordning? : Min uppfattning är att det inte finns någon sådan skyldighet. Det finns inget sådant system i den lagstiftning som vi har att följa. Det gäller ju säkerhetsskyddslagen och förordningen därtill. Det är ett stort antal myndigheter som faller under den här lagstiftningen, och det skulle säkerligen kunna vara lämpligt att ha en större systematik i det här. Men vi har den inte . (SD): Jag väntar med ytterligare frågor till nästa runda. (MP): [sekretess] : [sekretess] (MP): [sekretess] : [sekretess] (MP): [sekretess] : [sekretess] (MP): [sekretess] Nästa fråga jag hade handlar om det här brevet, [sekretess]. Hur kommer det sig att inte gd skrev under, när man riktar brevet till gd? : I det här fallet fanns det en operativ chef som var den ansvarige för den här verksamheten och som sagt var insatt i frågorna. Man bedömde vid det tillfället att det var fullt tillräckligt. Jag känner inte till någon lagstiftning eller någon förordning där det finns en tvingande regel om att en general- direktör måste tillskriva en annan generaldirektör. Jag lever i en organisation där vi delegerar uppgifter, och vi delegerar till dem som har kompetensen. (MP): Jag förstår, [sekretess]. Sedan den tredje frågan, som ju flera andra varit inne på – det gäller den här säkerhetsklassningen, där det ju är en lite märklig ordning att vi får informationen från att hon inte har förstått att hon har varit säkerhetsklassad över huvud taget. Det kan man ju också fundera på, om hon skulle ha tagit reda på det själv. Men brukar ni inte skicka någon form av bekräftelse när registerkontrollen är klar? : Vi har ju en skyldighet att göra det här som vi har beskrivit, och som jag uppfattar att beskrev tydligt, men det är ju inte till den berörde, utan det är till den anställande myndigheten som vi har dialogen. (C): Jag vill börja med en fråga på punkt 10 och utveckla det lite. Vem var den myndighetshandläggare på som fick samtalet om de här problemen? Vi talar alltså om . Finns det något namn där? : Jag har lärt mig principen att vi har försökt undvika att berätta vilka namn som finns på andra sidan när vi pratar här; det är därför jag rådgör lite. Jag har ett namn, men jag vet faktiskt inte riktigt om det är jag som ska berätta det eller om det är som genom handlingar eller andra ska ha eller få det namnet. Ordföranden: Jag tror att vi kan avstå från att … Generaldirektören behöver inte nämna det namnet, utan vi är nöjda med funktionen. (C): Eftersom det handlar om en person inom tycker jag att det hade varit ganska viktigt att få uppgiften om vem det är. (Ordföranden: får väl ta det med regeringen i så fall.) Nästa fråga handlar om punkt 1. Frågan var när och varifrån Säkerhets- polisen fick indikationer. Det är just de här uppgifterna som framkom, att ni fick det . Jag har i de utfrågningar som har skett när det gäller Transportstyrelsen uppfattat att det kan ha varit säkerhetschefen där som skickade uppgifterna till er. Är det någon uppgift ni kan bekräfta? : Jag har inte den informationen, utan vi har väl uppfattningen att det var flera som var inblandade med att informera oss med de här delarna. Jag har inte information om vem som skickade in handlingen som vi fick . Ordföranden: Det finns väl en uppgift i Bulls rapport om den frågan, vill jag minnas. (C): Den här tillsynsrapporten som ni upprättade – jag kan förstå om den är sekretessbelagd, men det är klart att det är , och jag uppfattar att vi inte har fått del av den som en del av granskningen. Det borde kunna vara intressant för KU att få del av den. Den visar rimligen en del av de här kontakterna. Ordföranden: får fundera över om vi ska be att få den i så fall. (L): strulade till det för mig; jag trodde att jag hade detta klart – tack, du är en ovärderlig hjälp här just nu! Bara för att förtydliga: Just när det gäller brevet , skrev jag när vi nu satt här, att operativa chefen, myndighetshandläggare informeras om brevet. Uppfattade jag det rätt? : Det är vår operativa chef som informerar den ansvarige för våra frågor på . (L): Tack så mycket! ramlade polletten ned här. Jag har också en fråga om det här infama brevet. Jag var också väldigt frågande till varför, eftersom vi av fick berättat att hon sprang omkring med det här brevet i tankarna och funderade på vem det var ställt till, varför det inte var ställt till henne och varför det inte var underskrivet av henne. Men fick jag klart för mig att i vanliga fall är det alltså så att säkerhetschefen ska informeras och säkerhetschefen ska stå direkt under generaldirektören hos myndigheten. Därför, från er sida, var detta ett brev som i själva verket var direkt riktat till generaldirektören via säkerhetschefen, för det är den normala proceduren. : Det kanske är jag som har uttryckt mig otydligt här. Brevet var ställt till generaldirektören, men min uppfattning är att både lagstiftningen och författningen är väldigt tydliga om att det ska finnas en säkerhetsskyddschef direkt underställd ledningen. Jag utgår ifrån, och det är min personliga utgångspunkt, att då bör det finnas en dialog mellan myndighetschef och säkerhetsskyddschef. Om man då får ett sådant här brev borde man kunna fråga denne till råds om vad det här är och hur allvarligt det är. (L): Tack så mycket, då förstår jag! En annan fråga som har dykt upp i våra utfrågningar, skulle jag vilja påstå, även när tidigare Säpochefen var här, är frågan om den berömda § 48. Hade bara den utlösts så hade vi inte haft något sådant här problem, var svaret både från , faktiskt, och också delvis från den tidigare Säpochefen. Vad hade krävts, vad var det som gjorde att inte gjorde bedömningen att detta var ett läge för § 48? Trots att du inte var med tror jag att ni har strikta bedömningsgrunder för sådant. : Såsom jag har uppfattat det, när jag har tagit del av handlingar och annat om vad som hände , fann Säkerhetspolisen det som ett väldigt särskilt läge , och det var då det här brevet och rekommendationsbrevet sammanställdes och expedierades den 26 till Transportstyrelsen. Vi gör den bedömningen att vi enligt den lagstiftningen som finns har en möjlighet att genom tillsyn få den berörda myndigheten att vidta egna åtgärder. Det är ju inte vi som ska vidta åtgärderna, utan det är de som ska vidta åtgärderna. Då bör de ha rimlig tid att göra detta, och Säkerhetspolisen bedömde vid den här tidpunkten att genom den dialog som sedermera uppkom inte minst efter det första mötet med generaldirektören så började saker och ting att hända på Transportstyrelsen. I och med att det då började hända saker gjorde Säkerhetspolisen bedömningen att det inte fanns någon grund för att initiera och börja använda sig av § 48. Det är den bild jag har och som jag har fått genom tidigare … Ordföranden: Då går vi in på andra frågerundan – från Social- demokraterna. (S): Tack för genomgången! Jag tycker att det blir en tydligare bild, så det är väldigt bra. Den bild som är är att det här ärendet växer fram. Det är liksom inte klart och tydligt för Säkerhetspolisen heller till att börja med hur allvarligt det är. Det är en incident, och så undan för undan eskalerar det. Det är klart att med facit i hand blir det naturligtvis väldigt anmärkningsvärt att det tar innan anmälan sker till , innan det når Statsrådsberedningen, och [sekretess]. Jag förstår att det växer fram, men det ter sig ändå med facit i hand väldigt underligt att det blir en sådan enorm tidsutdräkt i den processen. I går hade vi här, som var statssekreterare åt stats- ministern, och ett exempel som jag reagerade på i går var att hon sa att det var [sekretess], och hade jag ställt följdfrågor hade jag fått fram information. Då tänker jag att om det är en väldigt allvarlig information som Säkerhets- polisen vill ha fram till regeringen, ska det då krävas att statssekreteraren ställer följdfrågor för att få den nödvändiga informationen?