bet · H501KU20 · 2018-06-12 00:00:00 — Utskottet vill i sammanhanget även peka på att det under förra årets granskning rådde en diskrepans mellan statsministerns och UD:s bedömningar i sekretessfrågan. Det är otillfredsställande när utskottet, med kort tids intervall, får motstridiga besked i frågor om handlingsoffentlighet och sekretess. Utskottet vill därför framhålla vikten av tydlighet i frågor av detta slag. Utskottet vill även betona att det är viktigt att UD noggrant överväger behovet av sekretessmarkeringar samt att departementet när frågan uppkommer strävar efter att göra en noggrann bedömning av om uppgifter omfattas av sekretess. 5 Vissa frågor rörande Transportstyrelsens outsourcing m.m. 5.1 Förra regeringens agerande i fråga om Transportstyrelsen och informationssäkerhet I en anmälan till (dnr 2612-2016/17), bilaga A5.1.1, begärs det att utskottet granskar den förra regeringens ansvar för att Transportstyrelsens upphandling av it-verksamhet från början kunde inledas. Anmälaren pekar på att regeringen , efter en rapport från , uttalade att ”det är önskvärt att en större del av myndigheternas it-behov tillfredsställs med hjälp av outsourcing”. Transportstyrelsen avbröt samarbetet med och meddelade att man ämnade gå ut med en upphandling av it-driften. I anmälan uppmärksammas även vad en tidigare generaldirektör vid uppgett i förhör med Säkerhetspolisen, nämligen att det fanns en gammal tradition vid myndigheten att kunna lösa mycket genom att ”göra avsteg” och att det gjordes direkt otillåtna upphandlingar. Mot bakgrund av de känsliga uppgifter som Transportstyrelsen har att hantera kan man, enligt anmälaren, ifrågasätta beslutet att över huvud taget genomföra en extern upphandling av it-tjänsterna. Vilken information hade regeringen, främst dåvarande infrastrukturminister , om den planerade upphandlingen? Var man medveten om myndighetens tradition att göra avsteg från lagstiftningen i samband med upphandlingar? Gav regeringen sitt godkännande till Transportstyrelsen att inleda en upphandling? Den tidigare regeringens ansvar för brister i upphandlingen vid Transportstyrelsen tas upp i en till anmälan till (dnr 2656-2016/17), bilaga A5.1.2. Även i den framhålls och vad regeringen uttalade i den efterföljande skrivelsen. Enligt anmälaren kan det ifrågasättas om en upphandling av det aktuella slaget alls är lämplig, och det bör anses ha varit dåvarande näringsminister ansvar att se till att tillräckliga kriterier sattes upp innan en sådan upphandling påbörjades. Enligt anmälaren bör utskottet granska dåvarande näringsministerns ansvar för den bristande upphandlingen. Vilken information hade hon och regeringen om Transportstyrelsens planer på outsourcing? Fanns tillräckliga kriterier att tillgå? Bidrog regeringens hållning till att Transportstyrelsen fattade förhastade beslut? I ytterligare en anmälan (dnr 105-2017/18), bilaga A5.1.3, begärs det att utskottet granskar om den förra regeringen har underlåtit att ta hänsyn till vad man anfört om informationssäkerhet vid outsourcing och att den förra regeringen brustit i ledning och tillsyn av Transportstyrelsen. Vidare anförs i anmälan att den förra regeringen brustit i arbetet med säkerhetsfrågor rörande regeringens myndigheter. I anmälan hänvisas till inom statsförvaltningen – har myndigheterna på ett rimligt sätt prövat om outsourcing bidrar till ökad effektivitet? (RiR 2011:4) och behandlingen i av regeringens skrivelse med anledning av rapporten. Anmälaren anför att det i regleringsbreven för Transportstyrelsen för åren 2011–2014 inte fanns något särskilt uppdrag till myndigheten att se över informationssäkerheten och att säkerställa denna vid outsourcing. Till grund för granskningen har legat bl.a. promemorior som upprättats inom , , Försvarsdepartementet och Statsrådsberedningen, bilaga A5.1.4–10. Vidare har som underlag för granskningen legat svarsskrivelser från Transportstyrelsen, bilaga A5.1.11–12 och A5.2.11–12. Utskottet har i granskningsärendet hållit sex utfrågningar med följande myndigheter och personer: Säkerhetspolisen (och ), justitierådet (), internrevisor , Transportstyrelsen (), f.d. generaldirektören vid Transportstyrelsen och f.d. ställföreträdande generaldirektören vid Transportstyrelsen () och f.d. it- och energiminister (). Uppteckningar från utfrågningarna finns i bilaga B1–4, B9 och B11. Dessutom har utskottet fått skriftliga svar på frågor till f.d. infrastrukturminister , f.d. försvarsminister , f.d. justitieminister och f.d. it- och energiminister , bilaga A5.1.13–16. Regeringens ansvar för förvaltningsmyndigheterna Enligt 1 kap. 6 § regeringsformen styr regeringen riket och är ansvarig inför . Enligt 12 kap. 1 § regeringsformen lyder en förvaltningsmyndighet under regeringen om myndigheten inte är lagd under . I regeringens styrande funktion ingår en skyldighet att leda den statliga förvaltningens verksamhet (prop. 1986/87:99 s. 25). Förvaltningsmyndigheterna står till regeringens förfogande i uppgiften att styra riket. Regeringen bär ett ansvar för att föreskrifter följs och för att den statliga sektorn fungerar i enlighet med intentioner. Med regeringens styrande funktioner följer, med vissa begränsningar, en rätt att ta initiativ och ge direktiv till förvaltningen. Sådana direktiv kan avse bl.a. allt generellt inriktat arbete inom en förvaltningsmyndighet, t.ex. planering, prioriteringar eller utredningsverksamhet samt hela det administrativa området, t.ex. vad gäller beslutsorgan, organisation eller rationaliseringar. Regeringen är i väsentliga avseenden fri att välja inriktning, utformning och omfattning av kontrollen av förvaltningsmyndigheterna. Insatser som kräver särskilda resurser förutsätter att beviljar medel. En stor del av regeringens mer löpande förvaltningskontroll sker inom ramen för budgetprocessen. Enligt 12 kap. 2 § regeringsformen får ingen myndighet, inte heller eller en kommuns beslutande organ, bestämma hur en förvaltningsmyndighet i ett särskilt fall ska besluta i ett ärende som rör myndighetsutövning mot en enskild eller mot en kommun eller som rör tillämpningen av lag. Ledningens ansvar och allmänna uppgifter vid myndigheter Enligt 2 § myndighetsförordningen (2007:515) leds en myndighet av en myndighetschef (enrådighetsmyndighet), en styrelse (styrelsemyndighet) eller en nämnd (nämndmyndighet). Myndighetens ledningsform anges i myndighetens instruktion eller i någon annan författning. Myndighetens ledning ansvarar, enligt 3 §, inför regeringen för verksamheten och ska se till att den bedrivs effektivt och enligt gällande rätt och de förpliktelser som följer av medlemskap i unionen, att den redovisas på ett tillförlitligt och rättvisande sätt samt att myndigheten hushållar väl med statens medel. Av 4–5 §§ framgår att beslutanderätt i styrelsemyndigheter med vissa undantag kan delegeras till en myndighetschef eller någon annan vid myndigheten. I 6 § anges bl.a. att myndigheten fortlöpande ska utveckla verksamheten. Den ska verka för att genom samarbete med myndigheter och andra ta till vara de fördelar som kan vinnas för enskilda samt för staten som helhet. Kravet att utveckla verksamheten anses också omfatta ett effektivt utnyttjande av informationstekniken (PM Underlag för gemensam beredning av en ny myndighetsförordning, ). Det finns ett flertal regelverk som ställer krav på informationssäkerhet utifrån olika förutsättningar, t.ex. personuppgiftslagen (1998:204), som är ersatt av dataskyddsförordningen och lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning, förordningen (2015:1052) om krisberedskap och bevakningsansvariga myndigheters åtgärder vid höjd beredskap och MSBFS 2016:1 Föreskrifter och allmänna råd om statliga myndigheters informationssäkerhet. Offentlighets- och sekretesslagen (2009:400) ställer krav på att vissa uppgifter inte får röjas eller lämnas ut, vilket också innebär att uppgifterna ska skyddas. Bestämmelser om hantering av s.k. hemliga uppgifter finns i säkerhetsskyddslagstiftningen. Av 7 § säkerhetsskyddslagen (1996:627) framgår att säkerhetsskyddet ska förebygga 1) att uppgifter som omfattas av sekretess och som rör rikets säkerhet (hemliga uppgifter) obehörigen röjs, ändras eller förstörs (informationssäkerhet), 2) att obehöriga får tillträde till platser där de kan få tillgång till sådana uppgifter eller där verksamhet som har betydelse för rikets säkerhet bedrivs (tillträdesbegränsning) och 3) att personer som inte är pålitliga från säkerhetssynpunkt deltar i verksamhet som är av betydelse för rikets säkerhet (säkerhetsprövning). Säkerhetsskyddet ska även i övrigt förebygga terrorism. Vid utformningen av informationssäkerhet ska enligt säkerhetsskyddslagen behovet av skydd vid automatisk informationsbehandling beaktas särskilt (9 §). Det saknas definition av begreppet rikets säkerhet i säkerhetsskyddslagen. I stället ska myndigheter och andra som omfattas av säkerhetsskyddsförordningen (1996:633) undersöka vilka uppgifter i deras verksamhet som ska hållas hemliga med hänsyn till rikets säkerhet och vilka anläggningar som kräver ett säkerhetsskydd med hänsyn till rikets säkerhet eller skyddet mot terrorism, enligt 5 § säkerhetsskyddsförordningen. Resultatet ska dokumenteras i en säkerhetsanalys. I 48 § säkerhetsskyddsförordningen anges att om tillsynsmyndigheten vid utövandet av tillsynen över säkerhetsskyddet konstaterar brister som trots påpekanden inte rättas till, ska den anmäla förhållandet till regeringen. När en myndighet avser att begära in ett anbud eller träffa avtal om upphandling där det förekommer hemliga uppgifter (se ovan) ska myndigheten enligt 8 § första stycket säkerhetsskyddslagen träffa ett skriftligt säkerhetsskyddsavtal med anbudsgivaren eller leverantören om det säkerhetsskydd som behövs i det särskilda fallet. Vid förhandlingar om sådana säkerhetsskyddsavtal som avses i 8 § första stycket företräds enligt 15 § säkerhetsskyddsförordningen det allmänna av den myndighet som avser att begära in anbud eller träffa avtal. Myndighetens säkerhetsskyddschef eller någon annan säkerhetsansvarig ska medverka vid förhandlingen. Enligt 11 § säkerhetsskyddslagen ska säkerhetsprövning göras innan en person genom anställning eller på något annat sätt deltar i verksamhet som har betydelse för rikets säkerhet eller anlitas för uppgifter som är viktiga för skyddet mot terrorism. Säkerhetsprövning får göras även under pågående anställning eller annat pågående deltagande i verksamheten. Prövningen ska klarlägga om personen kan antas vara lojal mot de intressen som skyddas i säkerhetsskyddslagen och i övrigt pålitlig från säkerhetssynpunkt. Säkerhetsprövningen ska omfatta registerkontroll och särskild personutredning under de förutsättningar som anges i 13–19 §§. Enligt 18–19 §§ säkerhetsskyddsförordningen beslutar myndigheter som anges i bilagan till förordningen (bl.a. Transportstyrelsen) om placering i säkerhetsklasser och registerkontroll när det gäller anställning eller uppdrag hos en anbudsgivare eller leverantör som de har ingått säkerhetsskyddsavtal med. Enligt en vägledning från Säkerhetspolisen (Säkerhetsskyddad upphandling – en vägledning, Säkerhetspolisen , rev. ) måste en myndighet som avser att begära in anbud eller genomföra en upphandling ta ställning till om det förekommer hemliga uppgifter i anbudet eller upphandlingen. Om det gör det ska dessa uppgifter ha samma säkerhetsskydd hos företaget där uppdraget eller tjänsten utförs som hos myndigheten. Ansvaret för detta ligger på myndigheten. Myndigheten ska träffa säkerhetsskyddsavtal med såväl huvudleverantör som eventuella underleverantörer. En huvudleverantör kan aldrig gentemot myndigheten ansvara för säkerhetsskyddet hos en underleverantör. Enligt vägledningen finns inga hinder i säkerhetsskyddslagen för att i ett uppdrag använda ett utländskt företag eller en utländsk medborgare, som därmed kan få del av hemliga uppgifter. Särskild hänsyn bör dock tas till svårigheten att genomföra en adekvat och trovärdig säkerhetsprövning. Om det uppkommer ett behov av att i ett uppdrag delge ett företag i ett annat land hemliga uppgifter torde krävas att regeringen ger sitt tillstånd till utlämnande av hemliga uppgifter samt att ett generellt bi- eller multilateralt säkerhetsskyddsavtal har träffats. Ett sådant säkerhetsskyddsavtal reglerar säkerhetsskyddet mellan länderna baserat på respektive lands nationella bestämmelser samt rutiner för industrisäkerhetsskyddssamarbete. Finns det inget sådant säkerhetsskyddsavtal med landet i fråga måste myndigheten få ett bemyndigande av regeringen att träffa ett projektspecifikt säkerhetsskyddsavtal med en utländsk myndighet. Denna myndighet kan ansvara för genomförandet och kontrollen av säkerhetsskyddet vid det utländska företaget. Uppgift om vilka länder som har träffat säkerhetsskyddsavtal med finns hos Nationella säkerhetsmyndigheten (NSA) vid sekretariat för säkerhet, sekretess och beredskap. I vägledningen uppmärksammas att det har blivit allt vanligare inom it-området med utkontraktering av tjänster, s.k. outsourcing (som för it är när en extern aktör utför utvecklings-, underhålls- eller driftsarbete av system) och offshoring (som är när outsourcing sker till en aktör i ett annat land). För svenska myndigheter innebär offshoring att svenska staten riskerar en sämre kontroll över samhällsviktiga system eftersom möjligheterna att säkerhetspröva personal och utnyttja svenska kontrollinstrument är begränsade i utlandet. Det är dessutom svårare för svenska myndigheter att bedöma hotbilden i de länder till vilka man har utkontrakterat verksamhet. Om det internationella säkerhetsläget förändras saknas i värsta fall såväl kompetens som kapacitet och tid för att kunna flytta hem verksamheten till . Vidare framhålls i vägledningen att det också är svårt att ha tillräcklig kontroll över leverantörens driftspersonal. När en stor mängd information från flera olika myndigheter och företag världen över hamnar hos en enskild leverantör riskerar den dessutom att bli en central punkt för t.ex. andra länders underrättelseinhämtning. Säkerhetsfrågor måste enligt vägledningen lyftas fram och avspeglas i såväl affärsavtalet som säkerhetsskyddsavtalet. Innan myndigheter lägger ut tjänster till andra aktörer och länder bör de genomföra årliga och genomgripande säkerhetsanalyser. När det gäller verksamhet som är viktig för det svenska samhället och som rör rikets säkerhet bör de särskilt beakta offentlighets- och sekretesslagens bestämmelser om utlämnande av uppgifter och möjligheten att genomföra och kontrollera säkerhetsskyddet. Offshoring bör endast ske efter särskilda överväganden, och de säkerhetsrisker som det kan innebära måste noggrant övervägas. Risken finns att myndigheten utgår från vissa förutsättningar medan leverantören inte inkluderar något utöver det som parterna uttryckligen har kommit överens om. I sina årsböcker har Säkerhetspolisen beskrivit sin tillsyn över säkerhetsskyddet hos myndigheter. Bland annat har Säkerhetspolisen anfört (2012 s. 28 f.) att myndighetens erfarenheter är att outsourcing av it-verksamhet ställer höga krav på såväl myndighetens säkerhetsanalys som säkerhetsskyddsarbete och på förmågan att ställa krav på leverantören. Hamnar en stor mängd hemlig information hos en enskild leverantör riskerar denne att bli en central punkt för t.ex. andra länders underrättelseinhämtning. I årsboken anfördes också (s. 26) att Säkerhetspolisen sett exempel där organisationer missat att identifiera olika it-system som skyddsvärda och sedan outsourcat systemen med otillräckliga krav på säkerhet. Utskottet har granskat statsråds ansvar för brister i bl.a. regelefterlevnad i myndigheters verksamhet. granskade utskottet utbildningsministerns ansvar för Centrala () förutsättningar att genomföra sina uppgifter (bet. 2001/02:KU20 s. 182 f.). Utskottet anförde att CSN under en följd av år hade haft problem samt att utbildningsministern noggrant följt utvecklingen vid myndigheten och medverkat till att åtgärder vidtagits för att förbättra situationen. Mot bakgrund av att situationen inte hade kunnat förbättras trots att bristerna länge varit uppmärksammade underströk utskottet att regeringen, och framför allt utbildningsministern, bar ansvaret för att tillräckliga åtgärder inte vidtagits för att åstadkomma en tillfredsställande verksamhet inom CSN. granskade utskottet migrationsministerns ansvar för myndighetskulturen inom (bet. 2005/06:KU20 s. 134 f.). I anmälan anfördes att det rådde svåra missförhållanden i myndighetens inre kultur och agerande gentemot asylsökande. Exemplen var så många att det inte längre gick att tala om enskilda övergrepp från enskilda handläggare utan måste betraktas som systemfel inom myndigheten. Utskottet ansåg att det i regeringens styrande funktion ingår en skyldighet att leda den statliga förvaltningens verksamhet. Förvaltningsmyndigheterna är emellertid självständiga vid tillämpningen av lag, och myndighetens chef ansvarar för att myndighetens verksamhet bedrivs författningsenligt och effektivt. I granskningen hade det kommit fram att regeringen och vidtagit en rad åtgärder till följd av de händelser på som uppmärksammades i anmälan. Dessutom hade det kommit fram att migrationsministern avsåg att följa utvecklingen på och försäkra sig om att de åtgärder som vidtagits ledde till de avsedda förbättringarna. Utskottet konstaterade att regeringen bär ett ansvar för att verksamhet präglas av rättssäkerhet, humanitet och respekt för individens rättigheter. Ett särskilt ansvar bars av migrationsministern, och det föll på henne att sörja för att regeringen vid behov vidtar sådana åtgärder som kan krävas för att avhjälpa brister i myndighetens verksamhet. genomförde utskottet en granskning av ansvariga statsråds agerande angående utbetalning av schablonersättning till kommuner i strid med gällande författning (bet. 2007/08:KU20 s. 55 f.). I anmälan läggs särskild vikt vid brister i hur följde en förordning och det faktum att regeringen var medveten om dessa brister. Granskningen visade att de ansvariga statsråden och regeringen följt utvecklingen vid den berörda myndigheten och att regeringen genom de regleringsbrev som riktats till myndigheten hade verkat för att åtgärder vidtogs för att förbättra situationen. Utskottet konstaterade dock att de åtgärder som vidtagits inte hade lyckats förbättra situationen i tillräcklig grad och att situationen när det gäller tillämpningen av förordningen vad avser utbetalning av schablonersättning under en följd av år varit bristfällig. Regeringen och de ansvariga statsråden bar enligt utskottet ett övergripande ansvar för detta. granskade utskottet om socialförsäkringsministern hade brustit i sitt ansvar för att garantera att arbetar i enlighet med de lagar som har beslutat ska styra verksamheten (bet. 2012/13:KU20 s. 153). I granskningen uppmärksammades skillnader i beviljandegrad mellan manligt respektive kvinnligt dominerade yrken i arbetsskadeförsäkringen. Utskottet konstaterade att det hade vidtagits ett antal åtgärder i syfte att undanröja osakliga skillnader vid bedömning av arbetsskadeärenden. Bland annat hade Inspektionen för socialförsäkringen bildats. och regeringen hade gett i uppdrag att göra kunskapsöversikter över arbetsmiljöns betydelse för uppkomsten av sjukdomar och då särskilt beakta kvinnors arbetsmiljöer. Utskottet fann inte anledning att rikta kritik mot socialförsäkringsministern. Regeringens skyldighet att leda och följa den statliga förvaltningens verksamhet uppmärksammades också i utskottets granskning av regeringens agerande i fråga om militärt samarbete med (bet. 2012/13:KU20 s. 264 f.). Enligt utskottet var det fråga om ett känsligt ärende som hade uppfattats som väldigt angeläget att lösa. Mot denna bakgrund framstod det därför som särskilt angeläget för departementet att hålla sig underrättat om utvecklingen av ärendet och följa verksamheten vid den aktuella myndigheten (, FOI). Av vad som kommit fram i granskningen hade dock, ansåg utskottet, Försvarsdepartementet tvärtom skjutit frågan om den fortsatta händelseutvecklingen i kontakterna mellan FOI och de saudiska motparterna ifrån sig. Trots att det varit ett känsligt ärende som orsakat oro för utrikespolitisk och ekonomisk skada för som stat och för svenskt näringsliv, genomfördes ingen synbar uppföljning av instruktionerna till myndigheterna att lösa problemen och upplägget med FOI som konsult. I utskottets ställningstagande anfördes att regeringen är ansvarig inför för sin styrning av riket och att ansvarsutkrävande förutsätter att det ansvariga statsrådet, med respekt för förvaltningens självständighet enligt regeringsformen, både ser till att styra myndigheterna och håller sig informerad om deras verksamhet. De brister i dessa hänseenden som hade kunnat konstateras i granskningen var enligt utskottet av allvarligt slag som i förlängningen hade lett till skada för rikets internationella relationer. Vad gäller uppgifter som lämnas till i granskningen togs frågor om detta upp av utskottet i granskningsbetänkandet Vissa frågor i anslutning till flodvågskatastrofen m.m. (bet. 2007/08:KU6) mot bakgrund av en granskning av uppgiftslämnandet under granskningen av regeringens krisberedskap och krishantering i samband med flodvågskatastrofen 2004 (bet. 2005/06:KU8). Utskottet anförde följande: [Utskottet vill] … starkt framhålla att uppgifter som lämnas till ska vara korrekta. Medvetet vilseledande uppgifter kan självfallet aldrig accepteras och står i strid med saklighetskravet i regeringsformen. Den konstitutionella kontroll som utförs av förutsätter att utskottet kan lita på att uppgifter som lämnas till utskottet är riktiga samt att de ger en rättvisande bild av det som granskas och att inte väsentliga fakta utelämnas. Kan utskottet inte lita på detta undergrävs den konstitutionella kontrollen av regeringen. Utskottet kan konstatera att felaktiga uppgifter lämnades från till utskottet under den förra granskningen. Ytterst har berört statsråd ansvaret för att uppgiftslämnandet från till utskottet går rätt till. Som chef för hela har statsministern därvidlag ett särskilt ansvar. Här kan flera åtgärder vara nödvändiga att vidta för att säkerställa att de svar som lämnas till bygger på korrekta uppgifter. Dit kan höra att tydliggöra krav på dokumentation av interna beslut och förbättra medvetenheten i om innehållet i interna föreskrifter. Även i granskningar och 2017 (bet. 2012/13:KU20 s. 219 respektive 2016/17:KU20 s. 333 f.) har utskottet tagit upp frågor om uppgifter som lämnats till utskottet. beslutade utskottet att en utredare skulle få i uppdrag att utvärdera frågan om statsråds medverkan i granskning. Utredaren lämnade rapporten (2015/16:RFR1) Statsråds medverkan i granskning till utskottet. Om sanningsplikten anförde utredningen den objektivitetsprincip som föreskrivs i 1 kap. 9 § regeringsformen är av betydelse för frågan om sanningsplikt vid utfrågningar av statsråd och tjänstemän. Principen innebär ett krav på att uppgifter som lämnas till ska vara korrekta samt ge en adekvat bild av sakernas tillstånd; väsentliga fakta ska inte ha utelämnats. har understrukit att den konstitutionella kontroll som utförs av utskottet förutsätter att utskottet kan lita på att uppgifter som lämnas till utskottet är riktiga samt att de ger en rättvisande bild av det som granskas och att inte väsentliga fakta utelämnas. Om inte utskottet kan lita på detta undergrävs den konstitutionella kontrollen av regeringen. Betydelsen av objektivitetsprincipen i 1 kap. 9 § regeringsformen skulle stå kvar även efter tillkomsten av en lag om sanningsplikt, låt vara mer supplementärt. Utredningen kom fram till att en lag om sanningsplikt inte borde införas. publicerade av informationssäkerhetsarbetet i den statliga förvaltningen (RiR 2007:10). Granskningen utfördes mot bakgrund av de problem som framkommit i granskningar av hur elva myndigheter tagit sitt ansvar för informationssäkerhetsarbetet.