bet · H501KU20 · 2018-06-12 00:00:00 — Vidare ska enligt 10 a § en myndighet skyndsamt anmäla om det inträffat en it-incident i myndighetens informationssystem och incidenten bl.a. allvarligt kan påverka säkerheten i ett informationssystem där hemliga uppgifter behandlas i en omfattning som inte är ringa eller allvarligt kan påverka säkerheten i ett informationssystem som särskilt behöver skyddas mot terrorism. En sådan anmälan ska göras till Säkerhetspolisen eller Försvarsmakten beroende myndighet (39 §). I 48 § säkerhetsskyddsförordningen anges att om tillsynsmyndigheten vid utövandet av tillsynen över säkerhetsskyddet konstaterar brister som trots påpekanden inte rättas till, ska den anmäla förhållandet till regeringen. När en myndighet avser att begära in ett anbud eller träffa avtal om upphandling där det förekommer hemliga uppgifter (se ovan), ska myndigheten enligt 8 § första stycket säkerhetsskyddslagen träffa ett skriftligt säkerhetsskyddsavtal med anbudsgivaren eller leverantören om det säkerhetsskydd som behövs i det särskilda fallet. Vid förhandlingar om sådana säkerhetsskyddsavtal som avses i 8 § första stycket företräds enligt 15 § säkerhetsskyddsförordningen det allmänna av den myndighet som avser att begära in anbud eller träffa avtal. Myndighetens säkerhetsskyddschef eller annan säkerhetsansvarig ska medverka vid förhandlingen. Enligt 11 § säkerhetsskyddslagen ska säkerhetsprövning göras innan en person genom anställning eller på något annat sätt deltar i verksamhet som har betydelse för rikets säkerhet eller anlitas för uppgifter som är viktiga för skyddet mot terrorism. Säkerhetsprövning får göras även under pågående anställning eller annat pågående deltagande i verksamheten. Prövningen ska klarlägga om personen kan antas vara lojal mot de intressen som skyddas i säkerhetsskyddslagen och i övrigt pålitlig från säkerhetssynpunkt. Säkerhetsprövningen ska omfatta registerkontroll och särskild personutredning under de förutsättningar som anges i 13–19 §§. Enligt 18–19 §§ säkerhetsskyddsförordningen beslutar myndigheter som anges i bilagan till förordningen (bl.a. Transportstyrelsen) om placering i säkerhetsklasser och registerkontroll när det gäller anställning eller uppdrag hos en anbudsgivare eller leverantör som de har ingått säkerhetsskyddsavtal med. Enligt en vägledning från Säkerhetspolisen (Säkerhetsskyddad upphandling – en vägledning, Säkerhetspolisen , rev. ) måste en myndighet som avser att begära in anbud eller genomföra en upphandling ta ställning till om det förekommer hemliga uppgifter i anbudet eller upphandlingen. Om det gör det ska dessa uppgifter ha samma säkerhetsskydd hos företaget där uppdraget eller tjänsten utförs som hos myndigheten. Ansvaret för detta ligger på myndigheten. Myndigheten ska träffa säkerhetsskyddsavtal med såväl huvudleverantör som eventuella underleverantörer. En huvudleverantör kan aldrig gentemot myndigheten ansvara för säkerhetsskyddet hos en underleverantör. Enligt vägledningen finns inga hinder i säkerhetsskyddslagen för att i ett uppdrag använda ett utländskt företag eller en utländsk medborgare, som därmed kan få del av hemliga uppgifter. Särskild hänsyn bör dock tas till svårigheten att genomföra en adekvat och trovärdig säkerhetsprövning. Om det uppkommer ett behov av att i ett uppdrag delge ett företag i ett annat land hemliga uppgifter torde krävas att regeringen ger sitt tillstånd till utlämnande av hemliga uppgifter samt att ett generellt bi- eller multilateralt säkerhetsskyddsavtal har träffats. Ett sådant säkerhetsskyddsavtal reglerar säkerhetsskyddet mellan länderna baserat på respektive lands nationella bestämmelser samt rutiner för industrisäkerhetsskyddssamarbete. Finns det inget sådant säkerhetsskyddsavtal med landet i fråga måste myndigheten få ett bemyndigande av regeringen att träffa ett projektspecifikt säkerhetsskyddsavtal med en utländsk myndighet. Denna myndighet kan ansvara för genomförandet och kontrollen av säkerhetsskyddet vid det utländska företaget. Uppgift om vilka länder som har träffat säkerhetsskyddsavtal med finns hos Nationella säkerhetsmyndigheten (NSA) vid sekretariat för säkerhet, sekretess och beredskap. I vägledningen uppmärksammas att det har blivit allt vanligare inom it-området med utkontraktering av tjänster, s.k. outsourcing (som för it är när en extern aktör utför utvecklings-, underhålls- eller driftsarbete av system) och offshoring (som är när outsourcing sker till en aktör i ett annat land). För svenska myndigheter innebär offshoring att svenska staten riskerar en sämre kontroll över samhällsviktiga system eftersom möjligheterna att säkerhetspröva personal och utnyttja svenska kontrollinstrument är begränsade i utlandet. Det är dessutom svårare för svenska myndigheter att bedöma hotbilden i de länder till vilka man har utkontrakterat verksamhet. Om det internationella säkerhetsläget förändras saknas i värsta fall såväl kompetens som kapacitet och tid för att kunna flytta hem verksamheten till . Vidare framhålls i vägledningen att det också är svårt att ha tillräcklig kontroll över leverantörens driftspersonal. När en stor mängd information från flera olika myndigheter och företag världen över hamnar hos en enskild leverantör riskerar den dessutom att bli en central punkt för t.ex. andra länders underrättelseinhämtning. Säkerhetsfrågor måste enligt vägledningen lyftas fram och avspeglas i såväl affärsavtalet som säkerhetsskyddsavtalet. Innan myndigheter lägger ut tjänster till andra aktörer och länder bör de genomföra årliga och genomgripande säkerhetsanalyser. När det gäller verksamhet som är viktig för det svenska samhället och som rör rikets säkerhet bör de särskilt beakta offentlighets- och sekretesslagens bestämmelser om utlämnande av uppgifter och möjligheten att genomföra och kontrollera säkerhetsskyddet. Offshoring bör endast ske efter särskilda överväganden, och de säkerhetsrisker som det kan innebära måste noggrant övervägas. Risken finns att myndigheten utgår från vissa förutsättningar medan leverantören inte inkluderar något utöver det som parterna uttryckligen har kommit överens om. Regeringens ansvar för den statliga förvaltningen Utskottet har granskat statsråds ansvar för brister i myndigheternas verksamhet, bl.a. när det gäller regelefterlevnad. granskade utskottet utbildningsministerns ansvar för Centrala () förutsättningar att genomföra sina uppgifter (bet. 2001/02:KU20 s. 182 f.). Utskottet anförde att CSN under en följd av år hade haft problem samt att utbildningsministern noggrant följt utvecklingen vid myndigheten och medverkat till att åtgärder vidtagits för att förbättra situationen. Mot bakgrund av att situationen inte hade kunnat förbättras trots att bristerna länge varit uppmärksammade underströk utskottet att regeringen, och framför allt utbildningsministern, bar ansvaret för att tillräckliga åtgärder inte vidtagits för att åstadkomma en tillfredsställande verksamhet inom CSN. granskade utskottet migrationsministerns ansvar för myndighetskulturen inom (bet. 2005/06:KU20 s. 134 f.). I anmälan anfördes att det rådde svåra missförhållanden i myndighetens inre kultur och agerande gentemot asylsökande. Exemplen var så många att det inte längre gick att tala om enskilda övergrepp från enskilda handläggare utan det måste betraktas som systemfel inom myndigheten. Utskottet ansåg att det i regeringens styrande funktion ingår en skyldighet att leda den statliga förvaltningens verksamhet. Förvaltningsmyndigheterna är emellertid självständiga vid tillämpningen av lag, och myndighetens chef ansvarar för att myndighetens verksamhet bedrivs författningsenligt och effektivt. I granskningen hade kommit fram att regeringen och vidtagit en rad åtgärder till följd av de händelser på som uppmärksammades. Dessutom hade kommit fram att migrationsministern avsåg att följa utvecklingen på och försäkra sig om att de åtgärder som vidtagits ledde till de avsedda förbättringarna. Utskottet konstaterade att regeringen bär ett ansvar för att verksamhet präglas av rättssäkerhet, humanitet och respekt för individens rättigheter. Ett särskilt ansvar bars av migrationsministern, och det föll på henne att sörja för att regeringen vid behov vidtar sådana åtgärder som kan krävas för att avhjälpa brister i myndighetens verksamhet. genomförde utskottet en granskning av ansvariga statsråds agerande angående utbetalning av schablonersättning till kommuner i strid med gällande författning (bet. 2007/08:KU20 s. 55 f.). I anmälan läggs särskild vikt vid brister i hur följde en förordning och det faktum att regeringen var medveten om dessa brister. Granskningen visade att de ansvariga statsråden och regeringen följt utvecklingen vid den berörda myndigheten och att regeringen genom de regleringsbrev som riktats till myndigheten hade verkat för att åtgärder vidtogs för att förbättra situationen. Utskottet konstaterade dock att de åtgärder som vidtagits inte hade lyckats förbättra situationen i tillräcklig grad och att situationen när det gäller tillämpningen av förordningen vad avser utbetalning av schablonersättning under en följd av år varit bristfällig. Regeringen och de ansvariga statsråden bar enligt utskottet ett övergripande ansvar för detta. granskade utskottet hantering av en fråga med anledning av bristande järnvägsunderhåll (bet. 2011/12:KU20 s. 90 f.). I sitt ställningstagande noterade utskottet att inte hade informerat det ansvariga statsrådet om tecknandet av ett s.k. upphörandeavtal av entreprenadkontrakt om banhållning. Statsrådet hade inför utskottet framfört att det inte hade varit fel av myndigheten att informera henne om den uppkomna situationen, inte minst med tanke på den betydande summan saken gällde (). Detta hade även framförts till myndigheten. Utskottet framhöll att regeringen och ansvariga statsråd har ett övergripande ansvar för att säkerställa att myndigheter informerar regeringen om den aktuella situationen inom sina respektive områden. Det aktuella fallet underströk enligt utskottet vikten av väl fungerande kontakter mellan förvaltningsmyndigheter och . granskade utskottet om socialförsäkringsministern hade brustit i sitt ansvar för att garantera att arbetar i enlighet med de lagar som har beslutat ska styra verksamheten (bet. 2012/13:KU20 s. 153 f.). I granskningen uppmärksammades skillnader i beviljandegrad mellan manligt respektive kvinnligt dominerade yrken i arbetsskadeförsäkringen. Utskottet konstaterade att det hade vidtagits ett antal åtgärder i syfte att undanröja osakliga skillnader vid bedömning av arbetsskadeärenden. Bland annat hade Inspektionen för socialförsäkringen inrättats och regeringen hade gett i uppdrag att göra kunskapsöversikter över arbetsmiljöns betydelse för uppkomsten av sjukdomar och därvid särskilt beakta kvinnors arbetsmiljöer. Utskottet fann inte anledning att rikta kritik mot socialförsäkringsministern. Regeringens skyldighet att leda och följa den statliga förvaltningens verksamhet uppmärksammades också i utskottets granskning av regeringens agerande i fråga om militärt samarbete med (bet. 2012/13:KU20 s. 264 f.). Enligt utskottet var det fråga om ett känsligt ärende som hade uppfattats som väldigt angeläget att lösa. Mot denna bakgrund framstod det därför som särskilt angeläget för departementet att hålla sig underrättat om utvecklingen av ärendet och följa verksamheten vid den aktuella myndigheten (, FOI). Av vad som framkommit i granskningen hade dock, ansåg utskottet, Försvarsdepartementet tvärtom skjutit frågan om den fortsatta händelseutvecklingen i kontakterna mellan FOI och de saudiska motparterna ifrån sig. Trots att det varit ett känsligt ärende som orsakat oro för utrikespolitisk och ekonomisk skada för som stat och för svenskt näringsliv, skedde ingen synbar uppföljning av instruktionerna till myndigheterna att lösa problemen och upplägget med FOI som konsult. I utskottets ställningstagande anfördes att regeringen är ansvarig inför för sin styrning av riket och att ansvarsutkrävande förutsätter att det ansvariga statsrådet, med respekt för förvaltningens självständighet enligt regeringsformen, både ser till att styra myndigheterna och håller sig informerad om deras verksamhet. De brister i dessa hänseenden som har kunnat konstateras i granskningen var enligt utskottet av allvarligt slag som i förlängningen hade lett till skada för rikets internationella relationer. Samordning och informationshantering inom Samordningen och informationshanteringen inom uppmärksammades av utskottet i samband med granskningen av regeringens krishantering i samband med flodvågskatastrofen 2004 (bet. 2005/06:KU8 s. 203). Utskottet konstaterade att informationsutbytet mellan , som var huvud- och samordningsansvarigt, och andra departement inte fungerade. En statssekreterargrupp bildades som i sin tur tog initiativ till en kontaktmannagrupp för att underlätta kontakterna mellan berörda departement. Sedan statssekreterargruppen bildats förbättrades samordningen. Vidare konstaterades att flera statsråd hade haft information i ett förhållandevis tidigt skede och att de också varit i kontakt med sina departement, men att de även borde ha sett till att underrätta andra statsråd och statsministern (bet. 2005/06:KU8 s. 206 f.). I granskningen av regeringens hantering av förvärv av Nuon (bet. 2013/14:KU20 s. 132 f.) behandlades frågor om den gemensamma beredningen och informationshanteringen i . I granskningen framkom att det fanns olika synsätt om huruvida en gemensam beredning mellan och hade genomförts i frågan om ställningstagandet till förvärv av Nuon (s. 203 f.). Dokumentation som visade att någon gemensam beredning med slutförts hade inte framkommit. Finansministern uppgav för utskottet att han för förvärvet inte var informerad om att avsåg att genomföra affären. Vidare hänvisade utskottet till att det av statsministerns särskilda ställning i regeringen får anses följa en skyldighet för departementen att informera Statsrådsberedningen om regeringsärenden eller andra frågor av större vikt. Att så skett fanns inte dokumenterat, och statsministern uppgav för utskottet att han för förvärvet inte var informerad om att avsåg att genomföra affären. Utskottet konstaterade att det hade förelegat brister vad gäller den gemensamma beredningen, den interna informationen och dokumentationen. Näringsministern kunde enligt utskottet inte undgå kritik för dessa. Även regeringens krisorganisation granskades i granskningen av regeringens hantering av flodvågskatastrofen (bet. 2005/06:KU8). Utskottet konstaterade då att det fanns brister i organisering (s. 191 f.). Bland annat hade rollerna i inte varit fullt ut klarlagda. Framför allt hade det rått oklarhet när det gäller förhållandet mellan Statsrådsberedningen och departementen i en krissituation. Statsministern hade i egenskap av chef för ansvar för dess ändamålsenliga organisering, inklusive krisorganisationen. Försvarsministern hade ett övergripande ansvar för frågor avseende beredskap, vilket framgick av instruktionen för . Hon hade tillsammans med statsministern ansvaret för att samordningsförmågan i inte hade prövats tillräckligt före flodvågskatastrofen, trots de brister som hade påtalats. granskade utskottet statsministerns ansvar för krishanteringen i Statsrådsberedningen (bet. 2007/08:KU20 s. 169 f.). En statssekreterare vid hade setts besöka en krog i som hon var jourhavande statssekreterare i . Utskottet anförde att det inte granskat om statsministerns statssekreterare hade kunnat utföra sitt uppdrag den aktuella kvällen. Ansvaret för att statssekreteraren kände till vad som åvilade henne var statsministerns. Utskottet konstaterade att statsministern kände till sitt eget ansvar och att han hade gjort vad han kunnat för att försäkra sig om att berörda anställda inom – såväl statsministerns statssekreterare som andra anställda – hade fått kunskap om sitt ansvar och gällande rutiner vid en krissituation. Statsministern hade ett ansvar för att krisorganisationen den aktuella kvällen liksom alla andra dagar var funktionsduglig, och i granskningen hade inte kommit fram något som tydde på att statsministern i det avseendet skulle ha åsidosatt sitt ansvar. I granskningen av regeringens förberedelse inför och agerande under flyktingsituationen framhöll utskottet regeringens ansvar för att kriser kan hanteras (bet. 2015/16:KU20 s. 452). Mot bakgrund av detta hade regeringen inrättat krisfunktioner. I granskningen kom det också fram att det var många kontakter mellan myndigheterna och regeringen, t.ex. mellan generaldirektör och den berörda statssekreteraren. I samma betänkande granskade utskottet frågor kring det (bet. 2015/16:KU20 s. 239 f. ). I anmälan hänvisades till att statsministern uttalat att det förs minnesanteckningar vid rådets möten och att regeringen är ansvarig för dokumentation som kan göra att kan följa regeringens arbete, men när minnesanteckningarna begärdes ut av en ledamot fick denne svaret att det inte fanns några allmänna handlingar i som motsvarade hans begäran. I sitt ställningstagande anförde utskottet att hade inrättas för att kunna diskutera frågor kring en sammanhållen säkerhetspolitik och att det inte ingår i den formella beredningsprocessen i . I granskningen hade uppmärksammats hur anteckningar från säkerhetspolitiska rådets möten hanteras från tryckfrihetsrättslig synpunkt. Vad som framkommit i granskningen gav inte anledning till något uttalande av utskottet. Information till och överläggning med har granskats av utskottet. gjorde utskottet en översiktlig granskning av perioden –2014 (bet. 2015/16:KU10 s. 137). Under de som omfattades av granskningen hade antalet sammanträden i och en del av vad som behandlats där varierat. En viss tendens var att olika ämnen, snarare än vissa situationer i sig, behandlas i . Vidare gav granskningen intryck av att händelser och utvecklingen i vår omvärld påverkar vad som behandlas i . Händelser och utvecklingen i vår omvärld förefaller även kunna ha betydelse för sammanträdesfrekvensen i nämnden. En viss minskning av antalet sammanträden kunde noteras. En bidragande faktor till det kunde enligt utskottet vara medlemskap i och det regelbundna samrådet mellan regeringen och . Vidare lämnar företrädare för regeringen regelbundet information i utrikesutskottet inför möten i rådet för utrikes frågor. Utskottet framhöll det angelägna i att bl.a. strategiska diskussioner om viktiga utrikespolitiska frågor och händelser, liksom säkerhetspolitiska frågor, förs på en konstitutionellt och politiskt sett hög nivå. Utskottet pekade på sammansättning och den förtrolighet som följer av kravet på varsamhet som ledamöter och andra som är knutna till nämnden ska visa i fråga om meddelanden till andra om vad han eller hon fått kännedom om i denna egenskap, liksom möjligheten att besluta om absolut sekretess. Dessa förhållanden gav enligt utskottets mening alldeles särskilda förutsättningar för information och överläggning om utrikespolitiska förhållanden som kan få betydelse för riket, som protokollföringen i innebär en dokumentation som möjliggör uppföljning och granskning. Utskottet påminde även om sitt tidigare uttalande, att information till partiledare i princip inte kan ersätta samråd med . Regeringen gav Transportstyrelsen i uppdrag att bl.a. kartlägga vilka uppgifter som med anledning av myndighetens upphandling rörande förändrad it-drift har hanterats av icke säkerhetsprövade medarbetare hos leverantörer och underleverantörer samt vilka av dessa uppgifter som är säkerhetskänsliga eller av andra skäl sekretessbelagda. Transportstyrelsen överlämnade rapporten hanteringen av vissa uppgifter (TSG 2017-2515) till regeringen. Av rapporten framgår bl.a. att driftspersonal hos leverantören fick vidsträckta behörigheter till Transportstyrelsens it-miljö utan att de hade genomgått svensk säkerhetsprövning. Dessa behörigheter i kombination med hur it-miljön är uppbyggd – att olika system är integrerade med varandra och återanvänder uppgifter mellan sig – har gett dessa personer åtkomst till myndighetens samlade bulkdata. Därigenom ha de även haft åtkomst till hemliga uppgifter som går att få fram i Transportstyrelsens olika it-system. Med beaktande av att dessa uppgifter har varit tillgängliga för obehöriga –måste Transportstyrelsen i det pågående och fortsatta säkerhetsarbetet betrakta samtliga hemliga uppgifter som i formell mening röjda även om det inte förekommer några indikationer om att uppgifterna kommit i orätta händer. Transportstyrelsen har genomfört intervjuer med utsedda företrädare för ett på förhand bestämt antal berörda myndigheter. De berörda myndigheterna är Försvarsmakten, Säkerhetspolisen, , , , Myndigheten för samhällsskydd och beredskap, Datainspektionen och . Ingen av myndigheterna har framfört att de har indikationer på att den röjda informationen skulle ha kommit i orätta händer. De konkreta konsekvenser som har lyfts fram av några myndigheter handlar om att de i vissa fall har sett sig tvingade att vidta åtgärder i förebyggande syfte, eftersom uppgifterna betraktas som röjda. I det sammanhanget har även framförts att arbetsinsatsen för att omhänderta händelsen är omfattande. Flera av myndigheterna ser mycket allvarligt på det inträffade och framhåller att det finns betydande risker för men eller skada på såväl kortare som . Rapport från regeringens särskilda utredare Regeringen gav justitierådet i uppdrag att granska den upphandling rörande förändrad it-drift hos Transportstyrelsen som har medfört att säkerhetskänslig och av andra skäl sekretessbelagd information har hanterats på ett sätt som strider mot svensk lag (N2017/04991/SUBT). Utredaren överlämnade rapporten av Transportstyrelsens upphandling av it-drift (Ds 2018:6). Nedan följer en översiktlig redogörelse för utredningens iakttagelser inom några områden. Övergången av it-driften till en extern leverantör Avtalet med en extern leverantör för it-driften undertecknades . Enligt avtalet skulle it-driften gå över till en ny leverantör (transitionen) . Utredningen har av företrädare för Transportstyrelsen fått informationen att någon analys avseende säkerhet aldrig genomfördes under övergången. Att en analys inte gjordes torde enligt rapporten ha försvårat arbetet med att uppfylla säkerhetskraven. Säkerhetsskyddschefen har uppgett till utredningen att det vid samtal med leverantören blev tydligt att det rörde sig om utländska underleverantörer och att säkerhetsskyddsavtal kanske krävdes för ett stort antal länder. Han kontrollerade med om det var möjligt att teckna säkerhetsskyddsavtal med en utländsk leverantör. gav grönt ljus och lämnade en lista på de länder hade bilaterala avtal med, bl.a. och , till säkerhetsskyddschefen. Styrelsen fick information och lägesrapport om stordatormigreringen och driftsupphandlingen av it-direktören. Projektägaren för it-driften har uppgett till utredningen att han hade kontakter med och då fick beskedet att som längst skulle kunna förlänga sin leverans till . generaldirektören har uppgett till utredningen att enligt hans mening hade varit tvungna att fortsätta driften om Transportstyrelsens generaldirektör kontaktat generaldirektör och begärt att verket skulle fortsätta driften trots att hade gjort sig av med de fast anställda och hade inhyrda konsulter. Enligt hade frågan kunnat lyftas upp till departementet om hade vägrat. Även den tidigare enhetschefen för drifts- och infrastrukturenheten på Transportstyrelsen har uppgett till utredningen att det inte borde ha varit ett problem att kontakta och be om en förlängning av driften. har uppgett att den bild som hennes organisation på Transportstyrelsen gav henne var att det inte var nödvändigt att fråga om de kunde förlänga driften mer än vad som gjordes utan att det var först som den riktiga krisen uppstod, och då hade avvecklat sin verksamhet.