bet · H501KU20d3 · 2018-01-01 00:00:00 — I något fall fanns det inga säkerhetsanalyser. Hos Transportstyrelsen fanns det en säkerhetsanalys som vi bedömde som bristfällig. Men det fanns en säkerhetsanalys. Däri nämndes ingenting om utkontraktering. Det här var ingen kontroll där vi gick igenom varje säkerhetsanalys i detalj utan det var ett sätt att få en generell bild. Vi har också ett uppdrag nu att redovisa de generella bristerna för att vi ska kunna öka det för myndigheterna också. Men alla ska ha en säkerhetsanalys enligt 39 §, och de hade en säkerhets- analys, dock bristfällig som föranledde att de begärde att få en rådgivning efteråt där vi diskuterade olika frågor. Det skedde också med våra tjänstemän. Så det fanns en säkerhetsanalys, men bristfällig. (MP): Herr ordförande! Det är mycket som blir klarlagt här. Jag vill börja med en följdfråga på förra frågan när det gäller det som var bristfälligt i säkerhetsanalysen. När vi har läst de olika intervjuerna fick man ändå en känsla av att de inte själva hade en kunskap om vad det var som behövde vara säkerhets … Jag ser att du nickar här. Kan du berätta lite grann kring vad som ingick i råd- givningen? : Jag kan inte i detalj redogöra för den rådgivningen. Jag vet bara att vi begärde in mera. Det vi har konstaterat är generellt att om man gör en säkerhetsanalys, den går ju ut på att man ska veta vad som skyddsvärt. Vi ser att den största bristen hos de flesta myndigheterna är 1. att man har en bristande säkerhetskultur, att man inte tar frågan på rätt nivå, att man inte ger den tillräcklig uppmärksamhet och 2. att man inte har gjort säkerhetsanalysen. Om man inte har gjort säkerhetsanalysen då vet man inte vad man har som är hemligt. Man vet inte vad man ska skydda. Det fanns naturligtvis brister i det avseendet. Det vet jag, men exakt i detalj vad det var för brister vid tillfället… Vi gav en rådgivning. Vi får frågor från myndigheter som vill ha hjälp. Vi utbildar ju i hur man gör säkerhetsanalyser. Vi har utbildat ett 50- olika säkerhetsskyddschefer och då väljer vi de myndigheter som är bland de viktigaste i prioritetsordningen. Det är fler som söker till de här utbildningarna. Det finns en dålig kunskap om hur man ska göra säkerhetsanalyser, men det finns rätt omfattande beskrivet hur man ska göra. (MP): Så till den frågan som jag hade tänkt att ställa från början som var inne lite grann på kring det här med e-delega- tionen och hela det arbetet. Det verkar ju som att det har pågått en planering hos Transportstyrelsen, att man har önskat att outsourca. Diskussionerna där har ju pågått . Var det först som ni fick kännedom, eller fick ni kännedom tidigare på något sätt kring de här outsourcingprojekten? Och hur fick ni reda på det? : Outsourcingprojekt i sig kan jag inte svara på om vi kände till tidigare. Men fick vi kännedom om att man stod i begrepp att utkontraktera verksamhet som eventuellt skulle kunna vara skyddsvärd och som skulle kunna skadas. Den informationen fick vi om flera verksamheter och myndigheter. (MP): Från flera verksamheter och myndigheter, inte från Transportstyrelsen bara? : [sekretess] (C): Inga frågor under detta avsnitt. (L): Nej, jag väljer också att avstå just . Tack så mycket för redogörelsen! Skånberg (KD): I förundersökningen, som jag ägnade gårdagen åt att läsa, står det på s. 60, och det är sekretessmärkt: Enligt 7 kap. 2 § PMFS 2015:3 framgår att en myndighet innan upphandling påbörjas ska pröva om denna helt eller delvis ska omges av säkerhetsskydd. kommer det säkerhetsmärkta: [sekretess] upp på sidan står det: Av 8 § säkerhetsskyddslagen framgår att myndigheter ska teckna säkerhetsskyddsavtal i upphandling där det före- kommer hemliga uppgifter om det säkerhetsskydd som behövs i det särskilda fallet. Min fråga är: Kan se problem med den lag som gällde vid tillfället eller var det tillämpningen av lagen? Fanns det brister i regelverket eller fanns bristerna i Tranportstyrelsens tillämpning? : I Transportstyrelsens tillämpning. Jag tycker att regel- verket var tydligt. Sedan fanns det, som jag sa, en säkerhetsanalys men ingen säkerhetsanalys för just den här utkontrakteringen. Det är en av de saker som vi har påtalat senare: att man ska upprätta det . Det var bland annat med i den skrivelse som jag nämnde som vi skickade , när vi efterlyste säkerhetsanalysen. Då ska vi se om det finns ytterligare frågor. Jag har noterat och . (S): Ordförande! Tack för era svar! Jag har några följdfrågor. Jag tar alla tre på raken, ordförande. Ordföranden: Ja, i alla fall om de hänger ihop. (S): Ni får avgöra det. Det är följdfrågor på det som har kommit fram. Den första följdfrågan gäller att ni talar om utbildningar för säkerhetsansvariga i olika myndigheter och att de har inbjudits eller kallats. Vi kan ta frågorna en och en; det kanske är enklast. Frågan är om Transportstyrelsens säkerhetsansvariga har kallats och deltagit. (S): När? : Vi är lite osäkra, men vi tror att det var 2016. (S): Tack! Nästa fråga gäller att ni nämnde att ni 2014 begärde in säkerhetsanalyser från en rad myndigheter, inklusive Transportstyrelsen. Då är min fråga: När fick ni den? Och var den upprättad för , eller hur fungerar en sådan myndighetssäkerhetsanalys? : Jag kan inte svara på den frågan just , men alla ska ju ha en säkerhetsanalys enligt 5 § säkerhetsskyddsförordningen. Vi begärde in från ett antal myndigheter. Men det kan vi återkomma till senare, för det måste vi kontrollera. Jag har inte alla detaljer i huvudet. (S): Tack! Då tar vi gärna emot den uppgiften - när det var. Min sista fråga gäller den inställning till utkontraktering som ni, precis som ni säger, har varit tydliga med och som ni också nu har tydliggjort här. Jag undrar: Givet den inställningen och givet att det dokument som kom in från Transportstyrelsen inte innehöll någonting om ut- kontraktering, som generaldirektören nämnde tidigare, och givet att det i medierna ändå hade framgått och varit tydligt att det här skulle utkontrakteras –föranledde inte det att Säkerhetspolisen tyckte att det var märkligt att det inte fanns med i denna säkerhetsanalys och att det kanske skulle leda till någon typ av uppföljande kontakt med Transportstyrelsen? Annonsen från Transportstyrelsen om upphandling hade ju varit ute . : Vi har 600 verksamheter. De är skyldiga att anmäla till oss om det finns några brister. Vi kan inte, och ska inte heller, veta alla hemligheter som finns, utan vi är en rådgivande myndighet som ska se till att systemet i sig fungerar. När vi begärde in Transportstyrelsens säkerhetsanalys gjorde vi det tillsammans med ett femtiotal, vill jag minnas, säkerhetsanalyser. Syftet var inte att gå igenom varenda en och se vad de gör. Det har inte vi resurser att göra. Syftet var att få fart på myndigheterna och att se till att vi såg att det fanns säkerhetsanalyser. Som jag sa fanns det i några fall inte några säkerhets- analyser. Då tog vi itu med det, pratade med de myndigheterna och såg till att I några fall såg vi att de inte var bra, och vi uppmanade myndig- heterna att jobba om dem. Vi tog fram utbildningar och så vidare. Det var ett sätt att på ett allmänt sätt få en medvetenhet bland de mest prioriterade verksamheterna, att få dem att höja kunskapsnivån och att höja intresset kring de här frågorna. Det var inte jag som kom på metoden, utan det var mina duktiga medarbetare på säkerhetsskyddet. Jag tycker att det var ett smart sätt att göra det på, för vi höjde medvetenheten och fick igång en rad åtgärder på en rad myndigheter – nästan så mycket att vi knappt kunde hantera rådgivningen. (V): Jag fortsätter på samma tema som följdfråga. Vad gäller just den här säkerhetsanalysen var det så, som ni sa tidigare, att de fick påpekanden. Då blev det också så att man hörde av sig och begärde rådgivning. Jag tänker på just det problem som ni själva har identifierat – att myndigheterna inte själva förstår vad de har för skyddsvärd information. It- frågor är något som Säkerhetspolisen har uppfattat som saker som kan vara skyddsvärda. Med tanke på att det inte då alls finns med i säkerhetsanalysen, och man begär rådgivning, kom det i det sammanhanget upp rådgivning eller samtal runt it-drift och skyddsvärd information? Nyss sa du också att ni valde att plocka ut från myndigheter som ni bedömde hade väldigt skyddsvärd information. Då kan man ju tänka sig att om det inte finns med skulle det föranleda någon åtgärd i uppföljningen. : Vi har alltså väldigt många myndigheter som vi hjälper på olika sätt. Det jag vet från mina förberedelser inför det här förhöret är att vi hade ett uppföljande möte med rådgivning. Exakt vad som sades där vet jag inte. Det ska jag be att få återkomma med så att jag kan lämna korrekta uppgifter. (SD): Ordförande! Detta är en fråga som delvis redan har besvarats och som är av något mer generell art, men som jag ändå skulle tycka vore intressant att ställa. Säkerhetspolischefen nämnde själv att ni har 600 verksamheter. Det är såklart en rätt omfattande verksamhet, och jag förstår att man inte kan ha detaljkontroll på all information som finns i alla dessa verksamheters olika datasystem. Jag förstår också att ni nu efter allt det som har hänt kanske har en rätt tydlig bild av vilken information som finns och förekommer i de system som finns hos Transportstyrelsen. Men innan allt det här hände skulle det ändå vara intressant att veta om ni hade någon kunskap om, eller om ni skulle vilja påstå att ni hade en god inblick i, vilken typ av information som myndigheten hanterade. Ni nämnde att det fanns brister i säkerhetsanalysen. Det är väl egentligen det dokument där ni kan läsa vilken typ av information som förekommer. Eller hade ni annan kunskap gällande just informationen som förekommer? : Nej, vi hade just generella, för det är varje myndighets eget ansvar att skydda. Säkerhetspolisen ska inte hantera hemligheter som vi inte behöver ha att göra med, utan vår uppgift är att se till att systemet fungerar, att man följer regelverket och att göra uppföljningen. Men är det myndighetens eget ansvar. Om de har tveksamheter finns vi där för rådgivning. Vi planerar ett antal tillsyner . Vi följer naturligtvis också med i vad som händer i omvärlden, och vi kan se om det är någon verksamhet där det låter som att det är fara å färde eller att det är något vi borde titta på. I vår planering beslutar vi också i förväg vilka myndigheter eller verk- samheter vi ska göra tillsyn på. gör vi det på förekommen anledning – en riktad tillsyn som vi gjorde i det här fallet. Men det fanns inget sådant. Ordföranden: Jag hade faktiskt bara en kontrollfråga. När ni fick säkerhets- analysen från Transportstyrelsen och det framkom brister där och de begärde rådgivning – informerade ni regeringen om dessa brister och om råd- givningen? : Vi hade ett möte där vi informerade generellt om vilka myndigheter det var vi hade begärt in ifrån. Sedan redovisade vi de generella bristerna, vilket jag vill minnas föranledde att man funderade på om man skulle ta upp frågan av generell karaktär och påminna olika departement om vikten av att man gör säkerhetsanalyser på ett generellt plan – inte myndighet för myndighet. Vi gick inte igenom det så noga, utan som jag sa var det mer en förebyggande åtgärd för att få upp skyddet, så att säga. Men vi informerade regeringen om det. Ordföranden: Och när var det? : Det kommer jag inte ihåg. Det måste jag också få åter- komma till. Det får bli en allra sista fråga från . (S): Jag tror att det ska vara den allra sista för denna vända. Jag återkommer till 2014. det året beslutade den ställföreträdande generaldirektören på Transportstyrelsen om avsteg från myndighetens styr- dokument, riktlinjer om krav på informationssäkerhet. Var det något som ni fick en signal om eller hade någon som helst kännedom kring givet inte minst den kontakt som har framkommit här ? : Svar nej. Vi fick vår första information . Det var då vi beslutade att titta på frågan, och beslutade vi att inleda en tillsyn. (S): Jag vill också bara ställa en följdfråga till ordförandens fråga tidigare. Ni meddelade att ni till och regeringen informerade om de generella brister som hade framkommit efter att ni hade begärt in detta. Av de generella bristerna – fanns där outsourcing eller utkontraktering med som en av de punkterna? : Det var bristande säkerhetskultur, det var dåliga säkerhets- analyser och det var outsourcing. Det är de tre brister som vi har identifierat. Då övergår vi till frågor om den nuvarande regeringens hantering av Transportstyrelsens it-upphandling. Där är anmälande partier och , så jag börjar med att ställa några frågor. Jag skulle vilja börja i den ände som handlar om de [sekretess] som Säkerhetspolisen har på . Vi har uppfattat det som att det handlar om [sekretess], ungefär. Generaldirektören var inne på det lite grann i sin inledning. Men skulle vi kunna få en lite utförligare beskrivning av hur de här mötena går till? Vilken typ av personer är det som deltar från respektive från ? Finns det en föredragningslista? Äger de rum i en särskild lokal? Är det så att man i snabb takt går igenom ett stort antal ärenden, eller förekommer det föredragningar lite utförligare? Hur går det till? Kan vi få en känsla? Jag vill bara påminna om att regeringen i sin skrivelse har skrivit att det är sekretessbelagt exakt vilka som deltar. Men så här går det till: Jag har deltagit i dessa möten . Jag har suttit i Säkerhetspolisens ledningsgrupp . var jag kommunikationsdirektör. Sedan har jag varit operativ chef, sedan biträdande Säpochef och sedan Säpochef. Jag följde också med tidigare Säpochefer på dessa möten. Ordföranden: Det möte som ägde rum är i detta sammanhang ett viktigt möte. Har generaldirektören någon egen minnesbild av hur det mötet utspelade sig och hur den här informationen om Transportstyrelsen lämnades, om det föranledde någon diskussion vid mötet, någon reaktion från något håll eller så? : [sekretess] Även jag ansåg att det var av vikt att informera om att vi avsåg att inleda en tillsyn, att vi var oroliga för att en eventuell utkontraktering skulle kunna innebära att skyddsvärd … att information skulle kunna komma i fara eller röjas. Vi hade fått indikationer på det. Vi hade vid det tillfället inte fattat beslut om att inleda tillsynen, men det gjordes . Men vi tog upp det vid det mötet; det var mer av att vianmälde att vi gjorde det för det var en myndighetsutövning som vi skulle göra på Säkerhetspolisen, och då informerade vi om att det skulle komma. Ordföranden: är ju en garvad ämbetsman som inte tar till överord. Men hur beskrevs det här ärendet och hur anmärkningsvärt tyckte generaldirektören att det här var som hade uppdagats på Transportstyrelsen? : Jag tyckte att det var allvarlig information. Jag tyckte att det fanns anledning att nämna det, [sekretess]. Vid det tillfället hade vi initiala uppgifter som vi hade hämtat in och som vihöll på att bearbeta. Vi är en säkerhetstjänst. Vi är också en polismyndighet som ska stå för rättssäkerhet och god ordning och reda. Så vi beslutade, när vi fick den här oroväckande informationen, att starta en tillsyn, och vi behövde hämta in mycket information, för det var ett väldigt komplext ärende, för att förstå om det var fara och färde eller inte. Det var ingen bild man kunde ha helt klar för sig. Men jag kommer ihåg att jag berättade att jag var orolig över uppgifterna, att jag avsåg att … eller att Säkerhetspolisen avsåg att starta en tillsyn i ärendet. Ordföranden: det vanligt att Säkerhetspolisen inleder en tillsyn på förekommen anledning, så att säga, utifrån indikationer av det här slaget? : Vi försöker att i förväg planera de här tillsynerna. Och tillsynerna brukar ofta genomföras genom att vi kontaktar en myndighet i förväg och säger att vi ska komma. Det är en god dialog. Vi har sådana pågående , men det blir … En tendens har varit att vi har gjort något färre planerade för att det ofta har funnits anledning att göra en riktad tillsyn på något område. Så det är inte ovanligt att vi gör riktade tillsyner när vi hör någonting: att det är någonting som inte verkar vara rätt på något ställe. Då går vi dit och kontrollerar det helt enkelt. Ordföranden: Jag ska strax lämna ordet vidare. Men när informerade ni och regeringen om den skrivelse som ni skickade där ni efterlyste omgående säkerhetshöjande åtgärder? : Dels hade vi en pågående dialog med tjänstemännen. För vid en tillsyn gör man skademinimerande åtgärder vid sidan om också. Det är väldigt centralt att man gör det parallellt. Och vi hade också en process på gång där det eventuellt kunde finnas brottsmisstanke. Men vi uppfattade att det var trögt, så lämnade vi över den här skrivelsen riktad till myndighetsledningen. Det är ganska ovanligt; jag kan inte minnas att vi har gjort det . Den var undertecknad av vår operativa chef. Dagen efter, , så ringde vi till Säkerhetspolisens myndighetshandläggare vid och berättade muntligt att vi hade gjort det [sekretess]. Ordföranden: ni förhoppning om eller förväntan att regeringen, , skulle agera på något sätt utifrån den information som ni då lämnade? Vi tyckte att det pågick en rörelse i ärendet. Vi hade också planerat in ett antal tillsynsintervjuer. Vi jobbade med tillsynsintervjuer med olika medarbetare för att få oss den där riktiga bilden av vad som pågick. Mellan och så hade vi tillsynsintervjuer. I de här tillsynsintervjuerna och i vårt arbete med tillsynen så framkom det senare att trots att vi hade skickat den här skrivelsen verkade man inte ta det hela på fullt allvar. Det pågick en rad säkerhetsskyddshöjande åtgärder men inte tillräckligt mycket. Men vi bedömde då att vi behövde prata med generaldirektören, vilket är ännu mer ovanligt än att skicka en skrivelse [sekretess] pratade, efter samråd med mig, med den dåvarande generaldirektören och påtalade allvaret. Det var ett svårt samtal där vi inte fick något gehör i början, men vi upplevde att det vände under samtalet. Och efter det är det vår uppfattning att det började ta den fart som vi tyckte var rimligt. Skånberg (KD): Ordförande! Som jag nämnde tidigare så har jag fördjupat mig i förundersökningen. Det finns en del utestående frågor där. Det jag nu kommer att ta upp är markerat som sekretess. : [sekretess] Skånberg (KD): Generaldirektören säger i öppen källa att – och det är på s. 68 och s. 71 i förundersökningen – fördröjningen som det här undantaget medförde bedömdes bara ta , enligt alternativ 1. Alltså den tid som man räknade med att vinna genom att åsidosätta lagen var På s. 71 så anger hon att det är . Det var allt som man hoppades vinna. Det var det som hela it-skandalen handlade om. Är det Säpos bild? Eller var det så att hela verksamheten äventyrades och kunde ha lagts ned om hon inte hade brutit lagen? : Det kan jag inte svara på. Det måste Transportstyrelsen svara på, för det är deras ansvar. Men vi förutsätter ju att man inte bryter mot lagen när man hanterar en myndighet. Skånberg (KD): Jag har ytterligare en fråga. Nästa fråga är under skyddad källa, sekretess. : Det kan jag inte svara på. Det måste jag få återkomma till. Jag tror inte det, men det är jag inte säker på så det ber jag att få återkomma om. Skånberg (KD): [sekretess] : Det vet jag inte heller … Ordföranden: Jag vet inte riktigt hur mycket detaljer vi kanske behöver gå in på om just … : Jag vill bara … Jag tycker att det är viktigt att bara säga att det var åklagaren som ledde förundersökningen. Det är åklagaren som leder den; det är inte Säkerhetspolisen, utan vi har ju biträtt med utredningen under åklagarens ledning. Så de frågorna bör nog ställas till åklagaren, om de är viktiga. Ordföranden: klar så långt? Skånberg (KD): Ja. Ordföranden: Då går vi vidare till Socialdemokraterna och . (S): Tack för föredragningen! Den har varit mycket klar- görande. En sak i uppgifterna som jag reagerar på lite grann är i den här skrivelsen som skickade till Transportstyrelsen . Där säger man att man bör avbryta upphandlingen. När man sedan tittar är ju upphandlingen gjord tidigare och driften är redan överlämnad. Då blir man lite fundersam. Om det pågår en tillsyn och man inte har upptäckt att det som man gräver om redan är gjort. Det är liksom för sent att avbryta och kräva en åtgärd som inte går att göra. : När jag läser slutsatsen står det ”avbryta outsourcingen”, så jag uppfattar det inte på det sättet. (S): Jamen outsourcingen är väl själva driften, och den överlämnade … Upphandlingen är gjord i … Jag vill minnas att det var september oktober eller någonting. Och driften är ju överlämnad alldeles innan den här skrivningen, och då verkar kravet eller förväntan från egendomlig. : Vi uppfattade att outsourcingen var i flera olika steg. Och det vi uppmanade till var att om man inte vet vad man gör för någonting och det finns risk att skyddsvärd information kan … så uppmanade vi till att man skulle avbryta den i delar eller helt. Den gick i olika steg. Det var vår uppfattning. Och det pågick ju en tillsyn då. Vi hade inte hela bilden fullt ut under själva tillsynen heller. (S): Okej. Så att man skulle avbryta där man var, så långt det var kommet? : Om det fanns risk att någon skyddsvärd information skulle kunna röjas helt eller i delar. Det var vår uppmaning, för vi uppfattade att man inte riktigt förstod vad man gjorde när man hanterade den skyddsvärda informationen. (S): Okej. När man läser kan man ju få intrycket att inte riktigt visste hur långt det hade kommit, att driften redan var överlämnad. : Det var ju just det vi skulle klara ut . Alltså, det är ju inte så att man har en bild klar för sig från början. Det var otroligt komplex information. Vi hade svårt att få information. Vi begärde in dokument. Vi begärde in policyer. Vi begärde in säkerhetsanalyser. Vi hade samtal. Vi hade … Som jag sa hade vi alla våra intervjuer i själva tillsynen . Det var alltså efter den här skrivelsen. Skrivelsen skrev vi i förebyggande syfte: Om ni inte vet vad ni gör så avbryt det. Och det är jag glad att vi gjorde, för jag tycker att det var viktigt att vi skickade in den skrivelsen. (S): Jag har en annan fundering, som vi inte riktigt är klara över så därför vore det intressant att höra Säpos bild av det. Hur har uppfattat ansvarsförhållandena inom för det här ärendet? Alltså: Vem skulle motta information och i så fall göra något i ? Jag har tidigare här i utskottet uttryckt det som att det finns en boll, men alla kan ju inte springa på bollen – då blir det kaos. Det måste vara någons uppgift att springa på bollen. Vems uppgift uppfattar att det var att springa på den här bollen? : hade bollen och spelade med bollen när vi gör vår tillsyn. Det ingår i vårt uppdrag att informera uppdragsgivaren regeringen, och Vad sedan gör efteråt får svara på, men vi har inte lämnat in någon begäran enligt § 48 om att regeringen skulle ingripa. (S): Så från Säpos synpunkt låg bollen i regeringen, på Justitie- departementet? : Vi hade ju … Det var en myndighetsutövning och tillsyn Vi hade ansvar för det, men vi informerar alltid vår uppdragsgivare Det var alltså på , ja. (S): Jag har en sista fråga. Har rekommenderat regeringen att vidta några åtgärder, och när har i så fall rekommenderat regeringen att vidta några åtgärder? : Vi har inte gjort det i det här ärendet, några rekommendationer. Vi har bara lämnat information till vår uppdragsgivare , och sedan får regeringen göra sina egna överväganden. (SD): Ordförande! Tack för informationen än så länge, general- direktören. Transportstyrelsen gjorde en egen utredning, och det var väl på regeringens uppdrag, så att säga. Jag har förstått det som att ni har varit delaktiga i den utredningen; det var flera myndigheter man hade involverat. Ni står i alla fall med i förteckningen över involverade myndigheter där. Då menar man att utländska ej säkerhetsprövade tekniker hade tillgång till myndighetens samlade bulkdata, vilket jag kan tolka som all data. har bland annat tidigare infrastrukturministern hävdat att det enbart rört sig om en begränsad mängd data.