bet · H501KU20d3 · 2018-01-01 00:00:00 — Och de var i viss mån uppe även tidigare, med . När ni förberedde allt det här arbetet med regleringsbreven och med att i regleringsbreven stärka upp säkerhetsskyddsarbetet ute på myndigheterna, även det här med incidentrapportering, fanns det då, förutom Riksrevisions- rapporterna och det som fanns öppet [sekretess] : är det det här ärendet som vi granskar. Det är alltså det jag har tänkt igenom inför den här utfrågningen. Men jag kan säga att när jag tillträdde bad jag om en rad uppdateringar när det gällde olika frågor. Och när det gäller informationsskyddsfrågorna fick jag tidigt bilden att det fanns stora utmaningar där. [sekretess] Det har de också uttryckt publikt vid många tillfällen, inte minst i sin årsbok . Kanske gjorde man det i flera årsböcker, men den var den som jag läste i samband med att jag tillträdde. (MP): I den öppna delen av utfrågningen pratade du också om att ni gav i uppdrag att lyfta upp det här säkerhetsarbetet i myndighets- dialoger. Fanns det någon diskussion om att göra något särskilt när en ny generaldirektör tillträder, för att ge en sorts startkunskap? : Det var som vi uppmanade alla stats- sekreterare som hade myndighetsdialoger, med de bevakningsansvariga myndigheterna, att lyfta det här i myndighetsdialogen. Och självklart, om vi ber alla att lyfta det vid myndighetsdialogen är det kanske lämpligt att också göra det i samband med introduktion av nya generaldirektörer. Och vi hade ett särskilt statssekreterarmöte just för att gå igenom vad man skulle ta upp vid myndighetsdialogerna. Vi hade alltså ett särskilt stats- sekreterarmöte om generella säkerhetsskyddsfrågor . (C): [sekretess] : När det gäller mötet är jag helt säker på att jag inte närvarade. Det beror på att det mötet av olika skäl var flyttat till en Det låg förmiddag. Som statsministerns statssekreterare deltog jag alltid vid regeringssammanträdet och vid allmän beredning, vilket gör att jag är helt säker på att jag inte närvarade vid det mötet. (C): [sekretess] : [sekretess] (C): [sekretess] : [sekretess] (V): [sekretess] : [sekretess] (V): [sekretess] : [sekretess] Ordföranden: Då ska vi se om det finns några frågor i en andra runda. Jag noterar att , Skånberg och Dag Klackenberg vill ställa frågor. Dag Klackenberg (M): Herr ordförande! Jag har två saker att säga. Först tycker jag att du ska hedras för att du avgick, . Jag vet inte om du har fått beröm för det. Men det tycker jag att du ska ha. Och jag hoppas att du blir en förebild för andra. Det är nämligen ganska många svenska ämbetsmän som har lite svårt att förstå att de inte ska bli bortlyfta utan att de kan avgå av egen kraft. Till exempel borde Transportstyrelsens generaldirektör ha anmält sig ganska snabbt. Hon skulle inte ha behövt hjälp att bli bortflyttad. Du har haft en väldigt viktig post. Jag har haft förmånen att lära känna ett antal statssekreterare hos statsministern. Och de agerar på olika sätt. Det som är så förbryllande i den här situationen är att information tycks ha stannat. Du säger här att det beror på att den var av så hemlig karaktär, och att man därför inte har pratat om den. Det finns också statssekreterare som för ett sådant regemente att statsråden nästan har svårt att prata med statsministern om inte statsministerns stats- sekreterare har godkänt vilka ämnen de ska prata med honom om. Har du på något sätt agerat för att få den tätheten kring statsministern, så att han inte får riktigt all den information han borde få? : Jag vågar inte uttala mig om mina företrädares agerande. Men nej, jag har inte uppmanat folk att inte informera statsministern i viktiga frågor. Det har jag inte gjort. Däremot har jag på många sätt agerat för att underlätta statsministerns vardag. Det såg jag som en viktig del av mitt tidigare ämbete. (S): Jag vill ställa två frågor, som är kopplade till en sak som du sa i den öppna delen av utfrågningen och som du kom in på här. Den första frågan gäller det du säger om Säpos signaler om outsourcing. nuvarande regeringen men också den tidigare regeringen. Som tidigare stats- sekreterare åt statsministern sitter du på värdefull information om hur det fungerar i , och det kan vara värdefullt även i andra ärenden. : Jag kan inte överblicka hur Säkerhetspolisens information har sett ut över . Det jag kommer ihåg tydligt är att när jag tillträdde tog jag till exempel del av . Där är de väldigt tydliga med att uppmärksamma just outsourcing. Men jag noterade också rapporten från som kom 2014, som faktiskt är rätt vedervärdig läsning. Jag kan läsa en liten del av den för utskottet. 2007 skriver så här: samlade bedömning är att regeringen inte följt upp om den interna styrningen och kontrollen av informationssäkerheten i statsförvaltningen varit tillfreds- ställande. Regeringen har inte heller tagit tillräckliga initiativ för att förbättra förutsättningarna för förvaltningens arbete med informationssäkerheten. Så skrev 2007. Sedan kom rapporten , som var ett viktigt inspel för mig i mitt dåvarande ämbete. De skrev så här 2014: Regelsystemet för informations- säkerhet ser i huvudsak likadant ut som det gjorde 2007, när Riks- revisionen senast granskade området. De brister som påpekades då kvarstår i stora drag även , vilket innebär brister i regeringens styrning. Det här var en väldigt hård rapport från . Den kom precis i samband med maktskiftet 2014. Och den pekade på att det verkligen fanns ett behov av generella åtgärder. Och det började vi då vidta. (S): Tack så mycket! Då är min andra fråga egentligen, kopplat till det du lyfter och också vad som var uppe i den offentliga: Vi har återkommande ställt frågor om det regleringsbrev som ni i den nya regeringen gav . Var det framför allt den här rapporten som låg till grund för det, och Säpos signaler? Var det andra signaler också som låg till grund för det här generella uppdraget, eller vad … ? Ja, det är min fråga. : Den bild jag hade var att det var Säpos årsrapport, det var och det var också en rapport från MSB – som alla tre hade kommit inom en ganska . (S): Tack så mycket! Jag förstår nu att … men eftersom du har svarat på andra lite spekulativa frågor vill jag ändå … Finns det någon kommentar från dig angående varför det här inte hade gjorts tidigare – varför inte sådana här särskilda uppdrag i regleringsbrevet hade getts från den tidigare regeringen? Var det någonting ni fick med er från tjänstemanna- organisationen kring det här? Varför hade det inte gjorts tidigare? Jag förstår att det är två olika regeringar, men det skulle vara intressant att höra. : Jag vet inte om jag vågar spekulera i det över huvud taget, men jag noterar när jag har tagit del av det här ärendet – som ni säkert har gjort i utskottet – att Transportstyrelsen inte ens hade gjort någon säkerhetsanalys . (S): Nej, det stämmer ju – enligt säkerhetsskyddsförordningen är man ju ålagd. Myndigheten är ålagd att göra det, men gjorde man inte en sådan. Och gjorde man det inte förrän påminde om det, och då – eftersom vi nu har en stängd sittning och med vad som framgår i våra handlingar i våra röda mappar – slängde man i princip ihop den ganska snabbt. Min fråga är: Hur kan det komma sig att man inte gjorde någonting åt detta från regeringens sida – att man lät det gå och att en myndighet som har hand om kritisk information tilläts ignorera säkerhetsskyddsförordningen? Är det signaler som borde komma fram i de rutiner som finns? : Det är svårt för mig att spekulera, men det jag konstaterar är att det fanns en rapport från om att det inte stod bra till när det gäller den allmänna nivån i statsförvaltningen när det gällde informationssäkerhet. Skånberg (KD): Också jag vill tacka för det utomordentligt fina sätt som du har svarat på våra frågor på. Vi anar att det inte är lätt, och såvitt jag kan bedöma är du så öppenhjärtig som bara går att önska. Jag vill inte be dig – och jag vill inte lägga ord i din mun – men kommer vi till att stanna vid någon form av ansvarsutkrävande eller bedömning. Du som statsministerns närmaste person , på vilka vägar hade du väntat dig att få den här informationen men fick den inte? Vad skulle, om du ser tillbaka, ha varit självklara kanaler som borde ha fungerat och som borde ha tagit ett ansvar? : Som jag sa tidigare hade jag tyckt att det hade varit rimligt att Statsrådsberedningen hade blivit informerad av både Närings- departementet och . Jag hade också tyckt att det hade varit rimligt att jag själv hade ställt följdfrågor när tillsynen nämndes. Skånberg (KD): Men när du då, i samband med presskonferensen , finner att du inte har gett tillräcklig information till statsministern – inom dig, vem tänkte du ”Varför har inte x gjort någonting?”? Kan du hjälpa oss där? : Jag tänkte inte x som person, jag tänkte ”Varför har inte Statsrådsberedningen fått den här informationen av och ?”. Jag har inga fler frågeställare. Jag skulle bara vilja ställa ett par kontrollfrågor så här avslutningsvis. : [sekretess] (SD): [sekretess] : [sekretess] Ordföranden: , nej! : [sekretess] Ordföranden: [sekretess] : [sekretess] Ordföranden: [sekretess] : [sekretess] Ordföranden: [sekretess] : Det är min bild. Ordföranden: [sekretess] Då tror jag att vi har … Jaha, nu fanns det fler frågor, plötsligt! Jag ger ordet till och , så ska vi försöka avrunda strax. (SD): Tack så mycket! : [sekretess] (C): Du framställde det som att den tidigare regeringen inte hade gjort något åt säkerhetsskyddsfrågorna, men det var ju så att den tidigare regeringen hade tillsatt två olika utredningar om detta. De levererades till den nya regeringen , alltså en månad innan det här avtalet träffades av Transportstyrelsen. Så frågorna hade väl egentligen väldigt stor uppmärksamhet just när Transportstyrelsen träffade det här avtalet – att säkerhetsfrågorna hade stor aktualitet genom de utredningar ni då fick. Hade du någon del i arbetet med att ta hand om de it-säkerhetsutredningar som regeringen fick ? : Vi har ju varit inne på att vi såg behovet av att jobba medvetet med de här frågorna, och jag hade kontakt från tid till annan med inrikesministerns statssekreterare om hur arbetet när det gällde informationssäkerhetsfrågorna löpte på. Så ja, det hade jag. Ordföranden: , då verkar det inte finnas fler frågor. Innan vi avslutar ska vibara fatta ytterligare ett beslut om tystnadsplikt. Då ber vi att få tacka så mycket för att du har medverkat här och hjälpt oss i vår granskning. Vi ajournerar sammanträdet mycket kort, för vi ska strax återuppta förhandlingarna. Granskningsärende 9 och 12 Regeringens agerande i samband med Transportstyrelsens it-upphandling (se avsnitt 5.2) – sluten utfrågning4 Granskningsärende 10–11 och 15 Förra regeringens agerande i fråga om Transportstyrelsens it-upphandling (se avsnitt 5.1) – sluten utfrågning Ordföranden: ledamöter! Mina damer och herrar! Jag förklarar dagens sammanträde i öppnat. Vi välkomnar Säkerhetspolisens nye generaldirektör till utskottet, tillsammans med – har jag förstått – , presschef [sekretess]. Ni är alla varmt välkomna hit. Vi uppskattar att Säkerhetspolisen vill komma till en andra gång för att ge oss information om de två granskningsärenden som vi arbetar med i utskottet när det gäller den tidigare regeringens hantering av frågor om Transportstyrelsens it-upphandling och den nuvarande regeringens hantering av Transportstyrelsens it-upphandling. Ni har ju fått en del frågor i förväg som utskottet skulle sätta värde på att få närmare information om. Ni är välkomna att inleda med att resonera om dem men också att, om ni så önskar, ge annan information så här inledningsvis. Därefter övergår vi till att ledamöterna ställer frågor. Alltså: Varmt välkommen, generaldirektören, och var så god att inleda! : Tack så mycket, god morgon och tack för inbjudan! Det känns bra för mig att få komma hit. Även om jag är nyutsedd har det här varit en möjlighet för mig att sätta mig in i en rätt så stor och komplicerad fråga. Därför skulle jag vilja göra en kort inledning, och därefter skulle jag vara beredd att gå över till de frågeställningar som vi har fått tidigare, som ordföranden sa. Sedan ska jag efter bästa förmåga försöka svara på övriga frågor som kan komma upp, om det är okej. Ledamöter och herr ordförande! Min företrädare på posten som chef för , , har varit här tidigare. Han var här , och han lämnade en utförlig beskrivning av Säkerhetspolisens uppdrag, de verktyg vi har att fullfölja och vårt arbete med den tillsyn som var kopplad till Transportstyrelsen. Därför tänker jag inte återupprepa vad sa när han var här, men jag kommer att lyfta fram några synpunkter som för mig är angelägna i den här inledningen. Säkerhetspolisen har ett unikt uppdrag vad avser skyddet av rikets säkerhet, och vi har framför allt arbetet med att skydda det mest skyddsvärda i samhället. Det som är det mest skyddsvärda är det som regleras i säkerhetsskydds- lagstiftningen, och det omfattar mer än 600 verksamheter i . 4Under utfrågningen förekom uppgifter som kan omfattas av sekretess. De ställen där uppgifter har uteslutits markeras med [sekretess]. 2017/18:KU20 BILAGA B UTFRÅGNINGAR Det är verksamheter som har vital betydelse för samhällets funktionalitet, vårt demokratiska system och det politiska beslutsfattandet. Det är verksam- heter där konsekvenserna av en informationsförlust kan bli kritiska eller oacceptabla för som stat. Staten äger eller kontrollerar inte alla skyddsvärden . De flesta är kontrollerade av privata aktörer. Även utländskt ägande och inflytande är en realitet inom samhällsviktiga verksamheter, vilket kan skapa särskilda utmaningar ur ett säkerhets- perspektiv. Säkerhetsskydd är de olika aktiviteter som vidtas för att minska sårbarheten och öka skyddet för skyddsvärda verksamheter och hemliga uppgifter. Det kan till exempel handla om att minska sårbarheter genom att förebygga att hemliga uppgifter röjs, förstörs eller ändras, eller att obehöriga får tillträde till platser där de kan få tillgång till verksamheter eller uppgifter av betydelse för rikets säkerhet, eller att personer som inte är pålitliga ur en säkerhetssynpunkt deltar i verksamhet av betydelse för rikets säkerhet. Alla myndigheter som faller under säkerhetsskyddslagen har ett eget ansvar och en skyldighet enligt lag att bedriva ett fungerande säkerhetsskyddsarbete i sina verksamheter; det är inte Säkerhetspolisens ansvar. Vi är en tillsyns- myndighet med uppdraget att kontrollera att myndigheter följer lagstiftningen. Vi ger till exempel råd om hur man gör en bra säkerhetsanalys generellt och hur skyddsåtgärder dimensioneras, och vi utbildar också säkerhetsskydds- chefer. Säkerhetspolisen bygger inte skydd, vi driftar inget skydd och vi upp- handlar inte skydd, utan vi tillhandahåller expertkunskap och ger, i den mån våra egna resurser tillåter, råd. Som har framgått har det hänt en del . Händelserna i Transport- styrelsen är ett symtom på något Säkerhetspolisen har påtalat : att det finns stora brister i samhället vad gäller säkerhetskultur och säkerhets- skyddsarbete. Med det komplexa och omfattande uppdrag som Säkerhetspolisen har inom säkerhetsskyddsområdet är det självklart så att vi måste prioritera hårt och tydligt. När det gäller vad som hänt inom Transportstyrelsen och vårt arbete med tillsynen är det med facit i hand lätt att ställa frågan: Varför agerade inte Säkerhetspolisen snabbare? Varför rekommenderade ni inte Transport- styrelsen att direkt avbryta utkontrakteringen? Det är värt att notera, också mot bakgrund av den utredning som genomfört, att den tidslinje som förefaller tydlig och klar inte alls såg ut så när Säkerhetspolisen kom in i bilden . Informationsläget när vår myndighet startade sitt arbete i ärendet var mycket oklart, och det fanns visst motstånd mot att lämna information till oss. Vårt initiala fokus var att skydda det mest skyddsvärda genom att skapa oss en bättre lägesbild och vidta skademinimerande åtgärder, och det gjorde vi genom inhämtning och genom bearbetning och analyser av uppgifter. När jag nu har gått igenom ärendet och den rapportering som varit kan jag konstatera att Säkerhetspolisen vidtar [sekretess] att skriftligen rekommendera generaldirektören vid Transportstyrelsen att avbryta hela eller delar av utkontrakteringen. Det är en tydlig markering av allvaret i situationen som sker . Jag kan också konstatera i efterhand att det som hänt i Transportstyrelsen har skapat en medvetenhet kring säkerhetsskydd och väckt många frågor. Även vi inom får nu tillfälle att gå igenom de granskningar som genomförs och de rapporter som skrivits och se vilka lärdomar och erfarenheter vår myndighet kan dra av det inträffade. Vi ska naturligtvis vara ödmjuka för om det finns behov av förändringar också inom vår organisation, till exempel av arbetssätt och metoder. Sedan får vår myndighet genom den nya lagstiftningen också nya uppgifter som vi ska hantera på ett bra sätt framöver, och jag syftar då på den nya lagstiftning som träder i kraft och framför allt på skyldigheten för myndigheter att söka samråd med oss före utkontraktering. För att skapa förutsättningar för ett gott säkerhetsskydd i samhället behöver vigöra en bred ansats för att höja samhällets förmåga. Säkerhetspolisen gör en viktig del av detta arbete, men vi behöver stöd av flera andra aktörer för att lyckas med målet vi har satt upp, nämligen ett säkert . Jag är, som ni alla vet, relativt ny som chef för . De svar jag lämnar på utskottets frågor är baserade på underlag från vår organisation. Jag kommer att svara på era frågor efter bästa förmåga, men det kan finnas frågor som jag inte kan besvara på rak arm. Då får vi ta tillbaka dem till organisationen och återkomma med svar. Därmed, herr ordförande, tänkte jag gå över till att besvara de frågor som utskottet har ställt på förhand inför den här utfrågningen. Ordföranden: , var så god! : Då fortsätter jag med det. Den första frågan vi har noterat är: När och varifrån fick Säkerhetspolisen indikationer om att Transportstyrelsens generaldirektör hade fattat beslut om avsteg från lagstiftningen? Då kan vi konstatera att det inkommer kopior, och jag citerar: ”Anmälan om avvikelser från ingångna säkerhetsskyddsavtal.” Det är ett av de första avstegsbeslut som vi får in. Sedan kommer nästa fråga: När och varifrån fick Säkerhetspolisen information om att Transportstyrelsens generaldirektör hade fattat beslut om avsteg från lagstiftningen? Fråga 3: Till vem eller vilka och när förde Säkerhetspolisen vidare information om avstegsbesluten? Som tidigare framgått från Säkerhetspolisen och intervjun med är det så att vi inte för några anteckningar från våra möten med , och vi kan därmed inte säga exakt när informerade om avsteg från regelverket. Från material som vi har fått del av från just framgår av Näringsdeparte- mentets svar till KU, som är daterat , att det vid möten i 2017/18:KU20 BILAGA B UTFRÅGNINGAR framkom att Transportstyrelsen gjort avsteg från gällande regelverk. Säkerhetspolisen har inget underlag som motsäger detta. Fråga 4: Vad gjorde Säkerhetspolisen med anledning av indikationerna respektive information om avstegsbesluten som myndigheten fick? Vi kan konstatera att det till en början fanns en oklar bild, och det fanns viss motvilja mot att lämna information till oss när vi började vårt arbete med att få en klarare lägesbild. Vi begärde in väldigt mycket information, som från oss krävde både bearbetning och analys. I [sekretess] hade Säkerhetspolisen ett möte med Transportstyrelsen, och fattade vi beslut om att inleda en tillsyn. Fråga 5: Har synen på behovet för Säkerhetspolisen att informera myndighetschefer förändrats ? Då kan vi säga generellt sett att Säkerhetspolisen under de senaste minst fem åren har lyft behovet av att öka myndigheternas fokus på säkerhetsskydd och vikten av att göra bra säkerhetsanalyser. Vi kan generellt säga att när det gäller det som hänt vid Transportstyrelsen har vi sett att behovet av en säkerhetsanalys är påtagligt och att behovet av råd har ökat. Vi kan konstatera att i säkerhetsanalysen ska det skyddsvärda identifieras och lämpliga åtgärder vidtas av berörd myndighet för att skydda detta. Informationen till myndighetschefen bör ske med utgångspunkt från den analys som genomförs av respektive myndighets säkerhetschef. Säkerhets- polisen eller sektorsmyndigheter kan i dessa frågor vara behjälpliga med rådgivning. Säkerhetspolisen har genomfört riktad informations- givning till myndighetsledningar för att tydliggöra de skyddsvärden som myndigheterna i fråga hanterar och för att de därmed också ska förstå sitt ansvar enligt säkerhetsskyddslagen och skydda dessa värden. Fråga 6: Vad har Säkerhetspolisen för ansvar för att informera tillträdande generaldirektörer om informationssäkerhetsfrågor? Säkerhetspolisen har inget ansvar för detta, utan det är enligt lagstiftningen varje myndighets ansvar. Fråga 7: Vilken information om informationssäkerhet gav Säkerhetspolisen till då hon var generaldirektör för styrelsen? Information om till exempel informationssäkerhet, skyddsvärde med mera är upp till varje myndighet att ge sina egna medarbetare utifrån det behov som vederbörande har i sin tjänst. När det gäller information till fick hon i rekommendations- skrivelsen information om säkerhetsskydds- lagstiftningen kopplat till en uppräkning av avstegsbeslut hon fattat. har dessutom haft möten med , där dessa säkerhetsskyddsfrågor avhandlades. Fråga 8 handlar om kommentarer från Säkerhetspolisen som anges om händelseförloppet kring Säkerhetspolisens tillsyn i den promemoria som har lämnat tidigare. Det är ett antal sidor som det har hänvisats till i de underlag och frågor som vi har fått till oss inför detta möte. Om vi försöker samla ihop de punkter som har tagit upp i sin utredning, i de delar som nu specifikt har efterfrågat, skulle jag kunna sammanfatta svaren, inledningsvis åtminstone, till: den rekommendationsskrivelse som vi skickade till Transportstyrelsen och frågor kring formulering och uppföljning av Transportstyrelsens reaktion kring denna, tidsaspekter kring tillsynen och kommunikationen mellan och Transportstyrelsen. Så har vi uppfattat huvuddelen. Vi börjar med rekommendationen. När Säkerhetspolisen inte tyckte att de säkerhetsskyddshöjande åtgärderna inom Transportstyrelsen efter påbörjad tillsyn gick tillräckligt snabbt skickade vi skrivelsen till dåvarande general- direktören och rekommenderade omedelbara åtgärder för att reducera skadan och förhindra ytterligare utkontraktering. Säkerhetspolisen bedömer skrivelsen som tydlig. Rubriken är Rekommen- dationer om omedelbara säkerhetsskyddande åtgärder. Såsom lagstiftningen ser ut har Säkerhetspolisen inga andra verktyg att ta till. Däremot kommer vi från att få den möjligheten, som jag sa tidigare. Säkerhetspolisen och Försvarsmakten ges genom en förändring i säkerhetsskyddsförordningen rätten att ytterst förhindra en utkontraktering som kan vara skadlig för säkerhet. Detta ger oss bättre möjlighet att förebygga en sårbarhet som vi påpekat . När det gäller uppföljningen och återrapporteringen anför utredningarna att rekommendationen inte åtföljdes av någon uppföljning eller avrapportering. Nej, det är visserligen sant att det i rekommendationsbrevet inte ställdes någon tidsfrist för någon formell uppföljning eller avrapportering. Men inom ramen för tillsynen genomfördes tillsynsintervjuer, det vill säga en kontinuerlig kontakt med Transportstyrelsen efter rekommendationen. [sekretess] Vi bedömde då att vi behövde ta ett samtal med generaldirektören på Transportstyrelsen, och det genomfördes av den dåvarande biträdande chefen för och Säkerhetspolisens operativa chef. Jag vill påpeka att det möte som genomfördes initierades av Säkerhetspolisen, men det var generaldirektör som initierade datum för det mötet. initierade generaldirektör ett möte med Säkerhetspolisen där hon bland annat återrapporterade om åtgärder som Transportstyrelsen vidtagit efter mötet .