bet · H501KU20 · 2018-06-12 00:00:00 — Däremot har vi kunnat konstatera en väldigt bekymmersam brist i hur informationsspridningen mellan departementen och från de olika departementen till Statsrådsberedningen har skett. I det här fallet har vi inte kunnat konstatera att det har orsakat några skador. Det vet vi som sagt ingenting om. Som pratar om ska man inte ägna sig åt kontrafaktisk historieskrivning, eller som min farfar sa: Om om vore sköt bonn haren med en högaffel. Det är svårt att spekulera runt sådant. Men man kan konstatera att det här hade kunnat ha allvarliga effekter i ett annat fall, och det är allvarligt nog. STYLEREF Kantrubrik \* MERGEFORMAT Gransknings-betänkande Vissa frågor rörande Transportstyrelsens outsourcing m.m. (kapitel 5) Här bär och ansvar för hanteringen på sina respektive departement. Däremot har vi kunnat konstatera att har hanterat det här på ett rimligt sätt. Det gör också att det misstroendevotum som riktades mot honom från och i efterhand ter sig som lite övermaga. Vi kan också konstatera att vi inte har kunnat se några egentliga brister i själva rutinerna gällande informationen. Däremot har tillämpningen av rutinerna brustit. Då är det så att den ytterst ansvarige, statsministern, bär ansvar för det, även om han inte själv varit inblandad eller fått information. Systemet fungerar så att statsministern bär det yttersta ansvaret. Sammanfattningsvis, i några punkter: En upprörande skandal har skett i en myndighet. har det varit bristande säkerhetskultur i statliga myndigheter, och den tidigare regeringen vidtog för lite åtgärder. agerande har försvårat KU:s arbete och skapat förvirring. Den nuvarande regeringen har haft bristande intern kommunikation, och och har ansvaret för detta. De rutiner som finns har inte tillämpats på riktigt sätt, och då fungerar systemet så att statsministern ytterst bär ansvar för detta. KU har levererat sitt i princip eniga ställningstagande kring det vi har haft att granska om it-skandalen hos Transportstyrelsen. Ställningstagandet har kommit fram som en slutprodukt av tio månaders ingående granskning, med otaliga skriftliga underlag, ett dussintal utfrågningar och inte minst många och långa överläggningar inom utskottet. Det skriftliga ställningstagandet är vad vi, till största delen, har kunnat enas om. Men betyder det att detta är allt som finns att säga om haveriet hos myndigheten och inte minst inom ? Verkligen inte, herr talman. Låt gå för att det i första hand är andra som har haft att studera bristerna hos själva myndigheten och de skadeverkningar som dessa kan ha medfört. Men även vad gäller regeringens tillkortakommanden finns ett och annat ytterligare att tillföra. De formuleringar som återfinns i det skriftliga ställningstagandet är alltså en produkt av långa överläggningar där varje ord vägs på guldvåg för att vi ska hitta nyanser i språket som alla kan svälja och ställa sig bakom. Det innebär också att ställningstagandet hade tett sig något annorlunda om jag hade fått fria händer att formulera det helt efter eget huvud. STYLEREF Kantrubrik \* MERGEFORMAT Gransknings-betänkande Vissa frågor rörande Transportstyrelsens outsourcing m.m. (kapitel 5) En av de första skillnaderna hade varit att jag hade omnämnt inte bara statsråden utan även deras statssekreterare vid namn och ytterligare tydliggjort deras del och ansvar i det inträffade. Det är förvisso statsråden som är ansvariga för sina statssekreterare, men att till exempel regeringschefens före detta statssekreterare avgår för att hon inte ställde tillräckligt med uppföljningsfrågor när hon fick vetskap om läckan hos Transportstyrelsen efter att den hade inträffat, medan före detta inrikesministerns dåvarande statssekreterare , som var bland de första som informerades och som inte sa någonting till vare sig sin chef eller någon annan, befordras till EU- och handelsminister, ter sig i mina ögon milt sagt anmärkningsvärt. Men mest anmärkningsvärt är förstås att den instans som borde vara bland de allra första att informeras om hot mot rikets säkerhet, det vill säga Statsrådsberedningen med regeringschef i spetsen, förefaller ha varit bland de i särklass sista att nås av just sådan angelägen information. Utskottet har kunnat konstatera, som också har påtalats här, att det visserligen finns rutiner för hur information ska kanaliseras inom men gör ingen bedömning av huruvida dessa är ändamålsenliga och adekvata. I stället stannar man vid att tillämpningen av befintliga rutiner inte har fungerat. Den slutsatsen tror jag nästan att vi hade kunnat komma fram till utan att företa någon närmare granskning över huvud taget. Visst, det är upp till statsministern att på eget ansvar implementera vilka rutiner han vill på sitt kansli. Men när vi nu blickar tillbaka på vad som kan hända när dessa inte följs hade det möjligen kunnat vara på sin plats om utskottet också kunnat göra några medskick om hur dessa rutiner skulle kunna förbättras. Det blir då lätt att göra rätt för alla inblandade, inte minst när det kommer till så oerhört viktiga saker som rikets säkerhet. Då räcker kanske inte de gamla vanliga stuprören och ansvarsprinciperna till, bara för att de måhända kan vara tillräckliga för andra mer vardagliga ärenden. Det gäller bara en sådan sak som att tre fyra ministrar kan gå omkring på utan att ens fråga varandra: Hur går det med hanteringen av det där spektakulära ärendet som berör tre fyra departement och kan ha avslöjat en massa svenska försvarshemligheter för främmande makt? Så fungerar det inte i någon annan grupp i något annat arbete någon annanstans, tror jag. För det kanske är som sa: Detta är inte någonting man pratar om på kafferasten. Men man får hoppas att detta inte heller är någonting som blivit så vanligt förekommande att det börjar betraktas som vardagsmat inom . Men visst, herr talman, granskningen har också givit vid handen att såväl innevarande som föregående regering har tagit alldeles för lätt på så allvarliga frågor som informations- och it-säkerhet. Här kan varken de rödgröna eller Alliansen svära sig fria. Man tar sig för pannan när man hör att en nybildad myndighet kan tillåtas bedriva verksamhet utan att ens upprätta en säkerhetsanalys över vilken skyddsvärd information den har att hantera. STYLEREF Kantrubrik \* MERGEFORMAT Gransknings-betänkande Vissa frågor rörande Transportstyrelsens outsourcing m.m. (kapitel 5) Att ett sådant agerande dessutom strider mot regeringens egen säkerhetsskyddsförordning får en att ifrågasätta ledarskapet än mer. Att inte heller den tillsynsmyndighet som regeringen har utsett att övervaka efterlevnaden reagerar är häpnadsväckande. När både den och andra myndigheter väl gör det och uppmärksammar regeringen på, ibland , att det föreligger brister i myndigheternas säkerhetsarbete verkar de tala för döva öron. Tydligen har det varit viktigare för dessa regeringar att statsförvaltningen och deras chefer genomdriver politiska reformer samt erhåller stöd för hur man kan uppnå en jämn könsfördelning på myndigheterna än att de på ett tryggt och ansvarsfullt sätt kan tillvarata så grundläggande intressen som att åtminstone inte utsätta svenska medborgare för onödiga risker genom att sjabbla med deras skyddsvärda information. Tydligen har det bedömts viktigare, enklare eller kanske mer angeläget att tillhandahålla inhemska, centraliserade supportsystem för administrativ databehandling, såsom till exempel Statens servicecenter för löneutbetalningar, än att få på plats en säker svensk statlig it-miljö för de myndigheter som har att hantera skyddsvärd information. Det säger en del om denna och den förra regeringens prioriteringar, herr talman, och det bådar verkligen inte gott för framtiden ifall någon av dessa skulle få förtroendet att fortsätta regera. Men snart finns som tur är möjlighet att ändra på det. För även om granskningen är företagen och utförd på strikt juridiska grunder syftar den i slutändan till att utkräva ett politiskt ansvar. Det är väl inga som är bättre lämpade att utkräva just ett sådant politiskt ansvar än just väljarna i kommande val. Som flera har varit inne på är det en av de största granskningar som KU har genomfört som vi debatterar just . Det är framför allt den mest omfattande . Det handlar om Transportsstyrelsen. Det är flera anmälningar mot både den nya och den gamla regeringen, och det är ett omfattande material som vi i KU har fått ta del av. Precis som jag sa i mitt inledningsanförande har det väldigt ofta känts som att läsa en pusseldeckare där man kämpar med att hitta tidslinjer, försöker få ihop vem det var och hur informationen borde ha transporterats vidare. Transportsstyrelsen startade sin verksamhet . Myndigheten ersatte gamla Järnvägsstyrelsen och Luftfartsstyrelsen och tog också över verksamhet från och . Det är en myndighet som skulle arbeta med normgivning, utöva tillsyn och ge tillstånd om järnväg, luftfart, sjötrafik och vägtrafik. Det är viktigt för alla myndigheter att ständigt söka smartare och mer effektiva sätt att organisera sig. Frågan om outsourcing dök upp tidigt, , i myndighetsdialog med . anges i årsredovisningen att man planerar att kunna spara pengar genom outsourcing. STYLEREF Kantrubrik \* MERGEFORMAT Gransknings-betänkande Vissa frågor rörande Transportstyrelsens outsourcing m.m. (kapitel 5) , det vill säga innan myndigheten startar, kommer med sin rapport som pekar på eftersatt säkerhetsskyddsarbete i Myndighetssverige. har Säkerhetspolisen i sin årsbok pekat på outsourcing av it-verksamhet. Man lyfter fram nästan identiska case i flera av årsböckerna som särskilt sårbara. Man ger ut handböcker och talar om hur myndigheterna ska göra. , som var generaldirektör , har berättat i vår utfrågning att han haft möte med bland annat där han fick information om vad som var skyddsvärt. Trots detta gjordes ingen säkerhetsskyddsanalys på Transportsstyrelsen under de första som myndigheten fanns. Det skulle dröja till 2014 innan alla myndigheter fick uppgiften i regleringsbrev. Så här i efterskott kan jag tycka att det inte borde behövas särskilda uppdrag för att myndigheter ska följa lagen. Regeringen borde kunna förvänta sig detta. Men när regeringen av olika myndigheter, både och , får veta att det inte fungerar borde den ha stramat upp ansvarsförhållandena tidigare. Vi från KU beskriver att ansvaret för säkerhetsskyddsarbetet var otydligt. Så till själva händelsen där den nya generaldirektören skrev på för en outsourcing till ett bolag i annat land och sedan också den så kallade avvikelsen att man skulle bryta mot det som står i lagen. Det skulle ta innan fick veta vad som hade hänt. Efteråt kan vi ändå se att en rad rutiner har kickat igång. Det säkerhetshöjande arbetet drogs igång. Man bokade också möte med generaldirektören för att på djupet pränta in allvaret. , och Statsrådsberedningen fick information. Men informationsvägarna till infrastrukturministern och statsministern var bristande. Det pekar vi också på. Jag kan inte, precis som flera övriga talare i debatten, låta bli att fundera lite på konsekvenserna. Även om det inte är vad vi har granskat är det ändå intressant och sådant som man som politiker funderar en hel del på. Frågan om Transportstyrelsen har fått stora konsekvenser. En generaldirektör har fått lämna sitt uppdrag, så också två ministrar och en statssekreterare. En tredje minister hotades av misstroendeförklaring men frias här av . Vi beskriver att agerande var rimligt. Däremot vet vi inte - det har vi heller inte granskat - om det som har hänt har skadat säkerhet. Men jag tror att varje myndighet efter att denna katastrof eller detta haveri eller vad vi nu ska betrakta det som, denna händelse, inträffat såg över sitt eget säkerhetsskydd - och det tror i alla fall jag är långsiktigt mycket bra. Transportstyrelsehaveriet, ja, vad sjutton ska man säga om det? En generaldirektör skriver på ett papper där det anges att myndigheten ska bryta mot lagen. Det är helt osannolikt, men det har hänt. Det är sant. STYLEREF Kantrubrik \* MERGEFORMAT Gransknings-betänkande Vissa frågor rörande Transportstyrelsens outsourcing m.m. (kapitel 5) Men det var inte där det började. Den här granskningen visar tydligt att allt inte ska outsourcas. Hantering av särskilt skyddsvärd information bör ligga kvar på myndigheterna själva. Man kan tänka sig att myndigheter samarbetar, men oavsett om informationen finns på papper eller i it-system ska den helt enkelt inte privatiseras. Detta kan tyckas självklart, men en myndighet som först kommer till skott och gör en säkerhetsanalys har nog en del problem med säkerhetskulturen. Myndigheten Transportstyrelsen bildades , men först gjordes en säkerhetsanalys. Att den myndigheten kommer på att den ska upphandla hela it-driften är kanske inte så konstigt, särskilt inte som det funnits en generell förväntan på myndigheterna att it-verksamheten ska effektiviseras och gärna outsourcas. Den förra regeringen uttalade bland annat att "det är önskvärt att en större del av myndigheternas IT-behov tillfredsställs med hjälp av outsourcing". Vi har granskat den förra regeringens agerande i samband med det här, och vi har inte hittat något som visar på att den var informerad om eller delaktig i planerna på outsourcing av it-driften hos just Transportstyrelsen. Det är viktigt att komma ihåg. Men själva ingången var att mer ska outsourcas. har tydligt redogjort för de generella brister i myndigheternas it-hantering som bland annat Säkerhetspolisen har påtalat. Vilket ansvar för det som före detta it- och energiministern har haft är fortfarande lite oklart. Oklarheter i ansvarsförhållandena inom regeringen gör, som KU säger, att det finns risk att problem inte får den uppmärksamhet som behövs. är det svårt att komma ihåg till exempel exakt vad som står på ett papper. är det lättare att komma ihåg vad man faktiskt har gjort och vilket ansvar man faktiskt har haft. På en konferens om informationssäkerhet för offentlig säkerhet som MSB anordnade 2012 sa bland annat följande: "Det här är faktiskt första gången som vi har en IT-minister i som har ett samlat, horisontellt ansvar för den här typen av frågor, t.ex. när det gäller informationssäkerhet. Det är ju därför jag står här . Det är därför jag kan ge ett uppdrag till FRA, det är därför som jag har tjänstemän på försvarsdepartementet som jobbar åt mig när det gäller informationssäkerhetsfrågorna. Så även om regeringen inte bestämde sig för att inrätta ett särskilt departement för informationssäkerhet så har ju regeringen valt att inrätta en portfölj som har att hantera de här frågorna." Man skulle lätt kunna tro att en minister med det ansvaret och med de resurserna är den som agerar när lyfter fram problemen med myndigheternas it-säkerhet och att det är den ministern som reagerar när Säkerhetspolisen påtalar problemen. Men i vår utfrågning av före detta statsrådet kom vi inte fram till hur det förhöll sig med det, för varje gång vi frågade om något som hade med it-säkerhet att göra vidhöll före detta statsrådet att hon inte hade något ansvar för informationssäkerhetsfrågorna. När utskottet sedan skickade följdfrågor till före detta statsrådet angav hon att hon ansvarade för "samordning av . dels frågor om samhällets informationssäkerhet". Det hade varit klädsamt om före detta statsrådet hade sagt detta även vid utfrågningen och tydliggjort vad denna samordning egentligen betydde. Då hade vi kanske fått större klarhet i hur ansvaret för informationssäkerhetsarbetet generellt och övergripande i regeringen faktiskt såg ut. STYLEREF Kantrubrik \* MERGEFORMAT Gransknings-betänkande Vissa frågor rörande Transportstyrelsens outsourcing m.m. (kapitel 5) Så kommer vi då till beslutet om att bryta mot lagen. En generaldirektör för en stor och viktig statlig myndighet beslutar att myndigheten ska bryta mot lagen. Det har tidigare lyfts fram - jag tror att gjorde det i sitt första inlägg - att det var ett mer eller mindre omöjligt val: antingen en it-verksamhet som inte fungerar alls eller att bryta mot lagen. Det spelar egentligen ingen roll, för det är ju ett fullkomligt omöjligt beslut för en generaldirektör att fatta. Så kan man inte göra; det är självklart. Statssekreteraren på får information . Han informerar alltså inte statsrådet , som är ansvarig för Transportstyrelsen. Det är helt obegripligt att han inte talar om att har en myndighet hos sig där generaldirektören har bestämt sig för att skriva på ett papper att man struntar i lagen om säkerhetsfrågor. Hur är det ens möjligt? Det är klart att hon har ansvar för den statssekreteraren. Hon är dessutom en av dem som får informationen allra sist i hela den här snurren - helt vansinnigt. informerar inte heller Statsrådsberedningen, som man borde ha gjort. Inte heller informerar statssekreterare inrikesministern direkt, och inte heller därifrån går information till Statsrådsberedningen med en gång. Det dröjer innan Statsrådsberedningen nås av informationen om vad som hänt. Som varit uppe tidigare vet vi inte alls hur det hade påverkat om informationen hade kommit tidigare eller vad man eventuellt kunde ha gjort då. Men det är uppenbart att det har funnits brister i informationshanteringen i . Vi är eniga i den uppfattningen. Det är kanske inte så mycket mer att orda om. Jag vill i stället passa på att tacka kansliet för ett fantastiskt arbete. Det blir mycket tackande så här i den sista debatten, så jag slänger in mitt tackande här. Jag tackar kansliet. De underlag som har tagits fram för detta utifrån våra skiftande önskemål har varit fantastiskt bra. Utifrån ett tidigare uttalande i talarstolen av skulle man kunna tro att kansliet tar fram skrivelser helt på eget bevåg, men så är det faktiskt inte. Det är vi ledamöter som begär underlag för det vi vill uttala oss om. Det gäller alltså även underlaget för det som rör . Jag vill också tacka resten av utskottet för ett gott samarbete. Jag skulle till fullo kunna instämma med föregående talare, specifikt i det hon säger om Transportstyrelsen. Vad sjutton finns det mer att säga om det? När man då kommer som näst sista talare finns det ännu mindre kvar att säga. Det enda i föregående anförande jag inte instämmer i är frågan om outsourcing, det vill säga utkontraktering på svenska. Att outsourcing som sådan är ett problem är ingenting som utskottet har kommit fram till, utan det är ett problem när man inte har rutiner i ordning för vad man ska granska och vad man på så sätt ska kunna utkontraktera. Att saker och ting utkontrakteras är nog en företeelse som vi kommer att få se mycket mer av , och så länge det görs rätt är det också rätt. STYLEREF Kantrubrik \* MERGEFORMAT Gransknings-betänkande Vissa frågor rörande Transportstyrelsens outsourcing m.m. (kapitel 5) Vi granskar som sagt brister i regeringens handläggning och statsrådens agerande. Som helt korrekt sa är det inte Transportstyrelsen som vi granskar. Transportstyrelsens agerande var kanske det som var lättast att, ja, inte hålla med om - tvärtom - men i alla fall begripa turerna i. Därefter blev det betydligt mer komplicerat, som flera talare har varit inne på. Men vi hade som sagt flera anmälningar som gällde just regeringens agerande i samband med Transportstyrelsens it-upphandling. Upphandlingen gjorde, som vi nu vet, att sekretessbelagd information hanterades på ett olagligt sätt, vilket onekligen är en mycket allvarlig händelse som har fått omfattande konsekvenser. Det handlar inte bara om att statsråd och statssekreterare har fått lämna sina poster, utan också om rikets säkerhet. Enligt väcker hanteringen också frågor om förmedlingen av information inom . Det är just den delen som har varit den svåraste att få en komplett överblick över och förståelse för. Uppenbart är att Statsrådsberedningen fick information om de säkerhetsrisker som upphandlingen hade medfört först efter det att hade informerats. Därefter tog det ytterligare veckor innan statsminister informerades. Detta är, kan man väl säga, mycket oroande eller rent av alarmerande. När KU tar till sådana brösttoner inser man snabbt att vi är mycket oroliga. Det framstår som tämligen självklart att händelser av denna karaktär bör tas upp direkt med statsministern, oavsett om statsministern sedan säger att det inte spelar någon roll om han fick veta något eller inte, för han hade ändå inte kunnat göra något. Jag som medborgare, och fler med mig, har helt enkelt kravet att statsministern ska informeras vid allvarliga händelser. Detta är en trygghet för oss andra. Jag finner helt plötsligt att jag har större förtroende för statsministerns agerande än statsministern själv har. Det är ganska märkligt, tycker jag. KU ser alltså allvarligt på att det tog så pass innan statsministern informerades, och det är kring detta vi debatterar. Granskningen visar också att dåvarande inrikesminister förhållandevis tidigt ändå blev informerad av sitt departement. En så pass rutinerad man som borde ha varit tillräckligt insatt för att förstå behovet av att följa upp händelserna och utvecklingen och säkerställa just att Statsrådsberedningen blev informerad. och kanske främst ytterligare en rutinerad räv i spelet, inrikesministerns statssekreterare , brast, med KU-språk, i dessa avseenden. Statsrådet bär alltså ansvaret för dessa brister. Transportstyrelsen sorterar under och ingick i dåvarande infrastrukturminister ansvarsområde. Hon fick i ett mycket sent skede information om händelserna, trots att informationen fanns i hennes eget departement. Frågan var alltså om Transportstyrelsen medvetet hade agerat på ett sätt som medfört risker för rikets säkerhet. Ändå togs detta inte upp mellan henne och dåvarande statssekreterare , trots att vi alla i denna sal är fullständigt medvetna om att en statssekreterare och ett statsråd agerar i symbios med varandra. Detta innebär brister, påpekar vi. STYLEREF Kantrubrik \* MERGEFORMAT Gransknings-betänkande Vissa frågor rörande Transportstyrelsens outsourcing m.m. (kapitel 5) KU säger också tydligt att den ansvarsprincip som gäller inom , att varje departement och statsråd ansvarar för sina myndigheter, inte får medföra att informationen stannar inom respektive departement. Den kan inte heller medföra att ett statsråd i varje situation - det uttrycker vi tydligt - kan anse att informationsöverföringen därmed fungerar automatiskt. Vi kan lätt konstatera att om man inte så strikt hade hållit på just denna ordning hade informationen förmodligen spridits , och åtgärder hade kunnat sättas in - även om statsministern anser att det egentligen inte hade gjort någon skillnad om han hade vetat det hela. En av mina bästa lärare i skolan, som jag hade förmånen att ha redan på mellanstadiet, sa en gång när jag hade lagt ned avsevärd tid på att räkna ut ett tal och tyckte att jag hade fått fram en fantastisk summa: Det är jättefint uträknat, , men är svaret rimligt? Just denna rimlighetsbedömning tycker jag att vi behöver lära oss mycket av - att vid varje enskilt tillfälle ställa oss frågan: Är det rimligt att agera på detta vis? Vi hörde tidigare att det kanske bara var en enda som agerade rimligt på Transportstyrelsen, nämligen internrevisorn. Är det något jag tycker att vi ska ta med oss från detta arbete är det just att ställa oss frågorna: Är svaret rimligt? Är agerandet rimligt? finns faktiskt rutiner för att säkerställa informationsöverföringen mellan departementen och mellan departementen och Statsrådsberedningen. Utskottet kan konstatera att tillämpningen av rutinerna i detta fall har brustit. Statsministern bär det yttersta ansvaret för detta. Jag skulle också vilja efterlysa den genomlysning som statsministern har lovat oss och svenska folket. Vad var det som brast, och vad var det som gjorde att rutinerna brast? Man blir ännu oroligare när man på direkta frågor som utskottet har ställt till de inblandade får svaret: Jag är inte medveten om att jag har fått sådana frågor.