bet · H501KU20 · 2018-06-12 00:00:00 — Utskottet höll en utfrågning med f.d. statssekreterare (bilaga B10). anförde inledningsvis att hon fick en första information om händelserna i Transportstyrelsen . Då fick hon reda på att det pågick en förundersökning med anledning av vårdslöshet med hemlig uppgift i Transportstyrelsen. fick hon reda på att den dåvarande generaldirektören skulle delges misstanke om brott mot rikets säkerhet, och att bakgrunden till dessa anklagelser var allvarliga, både i form och i sak. Misstanken rörde att generaldirektören personligen skulle ha fattat formella beslut om avsteg från säkerhetsskyddslagstiftningen. Konsekvenserna av detta var att kvalificerade, skyddade identiteter kunde vararöjda. fick också en försäkran om att berörda myndigheter redan var informerade och att de redan var igång med att vidta skadebegränsande åtgärder. Kort därefter informerade hon statsministern; hon gav honom den information som hon själv hade fått i ärendet och stämde av förslaget om att skilja generaldirektören från hennes uppdrag. För att värna rikets säkerhet och för att minimera konsekvenserna av det inträffade hölls informationen om vad som hade hänt inom en extremt begränsad krets medan tillsynsärendet, de skadereducerande åtgärderna och förundersökningen fortfarande pågick. Vidare anförde att hon nåddes av information om händelserna i Transportstyrelsen genom medierna. Det var först då hon fick klart för sig att kunskapen om händelserna i Transportstyrelsen i samband med dess outsourcing av sin it-drift hade funnits längre i än i Statsrådsberedningen. För att kontrollera sin egen minnesbild gick hon tillbaka till sina personliga noteringar. Hon hittade inga uppgifter tidigare än . anförde också att det senare, in , visade sig att tillsynen av Transportstyrelsen hade nämnts vid minst två möten där hon hade närvarat. Vid dessa möten har andra personer antecknat ”tillsynen mot Transportstyrelsen löper på” i sina personliga noteringar. Då konstaterade att hon hade haft möjlighet att få information i det här ärendet tidigare, om hon hade ställt följdfrågor. Vidare anförde att statsministern tog initiativ till en genomlysning av informationsspridningen i . Den visade att ingen i Statsrådsberedningen hade fått informationen tidigare än hon. När fick information i det här ärendet ställde hon frågor om berörda myndigheter var informerade och om de var igång med skadereducerande åtgärder. Hon ställde frågorna dels till , dels till , men via tjänstemannaorganisationen. Den försäkran hon fick då var att berörda myndigheter redan var informerade och att de vidtog de skadereducerande åtgärder som behövdes. Som svar på frågor om informationen till anförde att när det gäller pågående tillsynsärenden så har det inte varit tradition att regeringen har informerat oppositionen om dessa. Vidare uppgav att det finns en etablerad praxis i att det ansvariga departementet informerar Statsrådsberedningen vid allvarliga situationer inom sitt departements ansvarsområde. När hon tillträdde som statsministerns statssekreterare fick hon klart för sig den etablerade praxisen och de särskilda informationsvägarna för information om rikets säkerhet. Utskottet höll en utfrågning med f.d. infrastrukturminister (bilaga B12). anförde inledningsvis att fick information om problemen vid Transportstyrelsen . Givet informationens karaktär kan hon inte göra någon annan bedömning än att det var korrekt att frågan då hanterades på tjänstemannanivå. hölls ett möte där , , Transportstyrelsen och Säkerhetspolisen deltog. Den information som då fick handlade om ett pågående tillsynsärende som Säkerhetspolisen öppnat och som avsåg Transportstyrelsen. Det framgick inte av informationen att formella beslut om avsteg från lagstiftning fattats. Den bild som gavs av de tjänstemän från som deltog var att de uppfattade att frågan var allvarlig, men att den hanterades av Transportstyrelsen med stöd av tillsynsmyndigheten . Ingen av myndigheterna gav uttryck för att några särskilda åtgärder från regeringens sida behövdes. anförde vidare att hennes uppfattning var att hon borde ha fått information i varje fall , och att den information som vid tillfället fanns tillgänglig i berörda departement borde ha vidarebefordrats till Statsrådsberedningen utifrån respektive departements ansvarsområde samt att hon borde ha fått löpande information om ärendets fortsatta utveckling. Vidare uppgav hon att det var uppenbart för henne att informationsöverföringen mellan hennes dåvarande statssekreterare och henne varit bristfällig i det här avseendet. fick i stället information om problemen avseende Transportstyrelsens outsourcing av it-driften först av statssekreterare . Hon fick då kännedom om de brottsmisstankar som riktades mot generaldirektör . Mot bakgrund av denna information agerade och i samråd med Statsrådsberedningen för att förbereda skiljandet av från uppdraget som generaldirektör i Transportstyrelsen och hitta en ersättare. Hon förvissade sig också om att Transportstyrelsen arbetade för att minimera skadorna av det inträffade. I syfte att minimera risken för vidare skador hölls informationen i en mycket begränsad krets. Det föreföll helt olämpligt att i det känsliga skede man då befann sig i vidga kretsen som hade kunskap om säkerhetsbristerna. Vidare anförde att hon inte fick några indikationer om att bristen på säkerhet och it-säkerhet var särskilt alarmerande i Transportstyrelsen. Dock fanns det en tydlig bild av att det generellt i de statliga myndigheterna fanns en brist på insikt om dessa risker och en brist på rutiner för att hantera dem. Därför lade regeringen in i regleringsbrevet till myndigheterna att detta skulle vara ett starkt fokusområde. anförde också att det var täta kontakter med Transportstyrelsen, också därför att det parallellt med it-driften pågick en migrering av stordatormiljön, och där uttryckte Transportstyrelsen att det var tidspressat. Det var angeläget att det skulle löpa på enligt plan eftersom man annars såg att man riskerade att stå utan ett fungerande körkortsregister, vilket naturligtvis hade varit en väldigt stor samhällsrisk. hade ingen indikation på att Transportstyrelsen hade framfört önskemål om uppdrag från regeringen, resurser från regeringen eller på något annat sätt stöd i den här hanteringen. höll utskottet en utfrågning med f.d. inrikesminister (bilaga B13). Inledningsvis anförde att han fick den första dokumenterade informationen i ärendet, och fick han en detaljerad dragning både av ärendet och om informationssäkerhetsskydd i stort. Han säkerställde att myndigheten hade vidtagit och vidtog relevanta åtgärder och att informationen delgavs berörda departement. fick han information av sin dåvarande statssekreterare om att delar av materialet som outsourcats var återtaget och att förhör hållits med alla på Transportstyrelsen under generaldirektörsnivå. Vidare konstaterade att Säkerhetspolisen avslöjade missförhållandena vid Transportstyrelsen och agerade för att minska skadeverkningarna. Myndigheter och departement vidtog rätt åtgärder och agerade för att reducera eventuella skadeverkningar som skandalen vid Transportstyrelsen gett upphov till. I två avseenden konstaterade han att det fungerade mindre bra. Dels kom regeringen inte att själv, samlat, informera om bristerna på Transportstyrelsen. Det ledde i sin tur till att regeringens agerande kunde misstänkliggöras och till att det framstod som att det fanns ett intresse av att i någon del mörka innehåll i eller omfattning av skandalen. Dels nåddes inte statsrådet och statsministern av den information de skulle ha vid den tid de hade rätt att förvänta sig den informationen. Som svar på en fråga om vad som hände mellan vad gäller hans eget agerande svarade att han fortlöpande fick rapporter om händelseutvecklingen Han framhöll att i och med beskedet – som kom till honom via hans statssekreterare och i sin tur från chefen för – fick man därmed också lugnande besked om att en del av det som var viktigast faktiskt hade tagits hem och inte längre hanterades av den icke säkerhetsklassade personalen. Vidare anförde att enligt hans mening fungerar informationsrutinerna inom generellt sett bra, men att det inte förhindrat att det vid det här tillfället har brustit i informationsgivningen i två avseenden: att statsrådet inte har fått information och att statsministern inte har fått information . På en fråga om hanteringen av myndigheternas risk- och sårbarhetsanalyser svarade att hans bild är att risk- och sårbarhetsanalyserna i första hand är ett underlag för myndighetsdialogerna, dvs. mellan departementen och deras myndigheter. samlar in dem via krishanteringskansliet för att få en samlad bild av risker och sårbarhet på myndigheterna och därmed kunna vidta åtgärder. I den meningen är ansvaret för att omhänderta risk- och sårbarhetsanalyserna delat. Som svar på en fråga om hade blivit informerad om säkerhetsproblemen på Transportstyrelsen före regeringens beslut om att statliga myndigheter ska rapportera it-incidenter, svarade nej. Det beslutet var slutet på ett långt arbete. höll utskottet en utfrågning med försvarsminister (bilaga B17). Inledningsvis anförde att tjänstemän vid Försvarsdepartementet fick information från tjänstemän vid om säkerhetsrisker i samband med Transportstyrelsens outsourcing. I samband med detta inleddes en dialog mellan tjänstemän vid Försvarsdepartementet och Försvarsmakten i frågan. Syftet var att man skulle försäkra sig om att Försvarsmakten började vidta skadebegränsande åtgärder. Informationen som delgavs Försvarsdepartementets tjänstemän vidarebefordrades till statssekreterare . Själv fick information av sina tjänstemän. Han fick reda på att det hade uppstått problem i samband med att Transportstyrelsen hade outsourcat it-driften. I det läget försäkrade sig om att Försvarsmakten hade vidtagit skadebegränsande åtgärder. Han försäkrade sig om att Försvarsdepartementets tjänstemän skulle fortsätta att följa upp frågan gentemot Försvarsmakten. Han fick dessutom besked om att Försvarsmakten inte påkallade några beslut eller andra åtgärder från regeringens sida. ville säkerställa att myndigheten hade vidtagit alla adekvata åtgärder. Mot bakgrund av att Försvarsmakten tidigt vidtagit åtgärder och att myndigheten inte påkallade några beslut eller andra åtgärder från regeringens sida gjorde han bedömningen att det inte fanns skäl för honom att vidta ytterligare åtgärder. Den bedömningen grundade sig även på hans vetskap om att informationen till Försvarsdepartementet hade kommit från och , som i olika delar var ansvariga för ärendet. Därutöver grundade sig bedömningen på kännedom om att det för säkerhetsrelaterade frågor finns särskilda informationsvägar, och han utgick från att informationen fanns på Statsrådsberedningen. Vidare anförde att Försvarsmakten inte var tillsynsmyndighet i detta fall. Försvarsmakten var alltså inte ansvarig myndighet i sammanhanget, men däremot drabbad av Transportstyrelsens upphandling. Försvarsdepartementets ansvar var mot bakgrund av detta att säkerställa att Försvarsmakten vidtagit nödvändiga skadebegränsande åtgärder och att myndigheten inte hade behov av några beslut från regeringens sida. Försvarsdepartementet hade inget koordinerings- eller samordningsansvar i frågan. anförde också att den information han hade om åtgärder som Försvarsmakten vidtog var att man har vidtagit skadebegränsande åtgärder och att man hade agerat på det sätt som är adekvat och nödvändigt i given situation. Vidare anförde att han i sin roll måste utgå från att fungerar professionellt och att de olika delarna i organisationen gör vad de ska. höll utskottet en utfrågning med statsminister (bilaga B19). framhöll inledningsvis att berörda departement inom hade tagit emot och hanterat information från sina myndigheter och försäkrat sig om att dessa myndigheter hade vidtagit nödvändiga skadebegränsande åtgärder. Det har inte från någon myndighet påkallats några beslut eller åtgärder från regeringens sida i förhållande till Transportstyrelsen. Ett stort antal regeringsbeslut både före och efter händelserna på Transportstyrelsen har dock fattats för att generellt förbättra informationssäkerheten, såsom kravet på statliga myndigheter att samråda med Säkerhetspolisen eller Försvarsmakten före upphandling av säkerhetskänslig verksamhet. Vidare anförde att informationen som nådde var enligt hans mening av den karaktären att den borde ha vidarebefordrats till Statsrådsberedningen. Vidare uppgav att han borde ha fått informationen ungefär , för då framgick allvaret på riktigt i situationen, nämligen att en förundersökning skulle inledas. anförde också att även om han hade informerats hade inga andra åtgärder vidtagits än de som faktiskt vidtogs. Samverkan hade vid den här tidpunkten redan skett mellan Säkerhetspolisen och Försvarsmakten, och skadebegränsande åtgärder hade vidtagits och fortsatte att vidtas. Säkerhetspolisens tillsyn hos Transportstyrelsen pågick, och en förundersökning hade inletts. och Försvarsdepartementet säkerställde att deras myndigheter vidtog nödvändiga åtgärder. säkerställde med Transportstyrelsen att nödvändiga åtgärder vidtogs med anledning av de säkerhetsproblem som utkontrakteringen innebar. Vidare anförde att så länge förundersökning, tillsyn eller sårbarhetsreducerande åtgärder pågick var det i det här fallet inte lämpligt att informera om vad som inträffat. När den tidigare generaldirektören hade godkänt ett strafföreläggande avseende vårdslöshet med hemlig uppgift var det regeringens avsikt att informera . anförde också att han som regeringschef och chef för har det övergripande ansvaret för regeringens och arbete. Det innebär att han bl.a. ansvarar för att har rutiner för informationsöverföring som fungerar. finns det tydliga rutiner för att säkerställa informationsöverföring mellan departement och mellan departement och Statsrådsberedningen. När det framkom att regeringen inte hade en fullständig bild av hur informationsspridningen gått till i det här fallet initierade en genomlysning i syfte att få klarhet om händelseförloppet och informationsvägarna. Den genomlysningen har hanterats av tjänstemannaorganisationen i . En slutsats av genomlysningen är att det interna informationsutbytet, som i de flesta fall fungerar väl, i det här fallet borde ha fungerat bättre. Vidare anförde att han tycker att det är ganska logiskt och riktigt att hålla informationen inom en mycket snäv krets i ett läge när förundersökning pågår, när de säkerhetshöjande åtgärderna pågår – och inte minst – när de skademinimerande åtgärderna pågår. Men när generaldirektören väl hade accepterat och godkänt strafföreläggandet var det som sagt också regeringens avsikt att informera oppositionen. Transportstyrelsens agerande i samband med outsourcingen av it-driften är en allvarlig händelse som har fått omfattande konsekvenser. Säkerhetskänslig och av andra skäl sekretessbelagd information har hanterats på ett sätt som strider mot lagen. Transportstyrelsen har medvetet åsidosatt lagbestämmelser som syftar till att värna rikets säkerhet. Utskottet tar i sin granskning upp frågor om enskilda statsråds och regeringens agerande i sammanhanget. I granskningen har framkommit att Säkerhetspolisen informerade om att den nåtts av information om att Transportstyrelsen hade för avsikt att outsourca bl.a. körkortsregistret till utlandet. Mot bakgrund av denna information avsåg Säkerhetspolisen att inleda en tillsyn hos Transportstyrelsen. Bland dem som fick informationen fanns inrikesminister statssekreterare. Därefter informerade Säkerhetspolisen om att man under tillsynen uppmärksammat förhållanden som föranlett Säkerhetspolisen att skicka ett brev till Transportstyrelsen med rekommendationer om omedelbara säkerhetshöjande åtgärder. Säkerhetspolisen informerade vid ett möte och närmare om den pågående tillsynen och om att förundersökning om vårdslöshet med hemlig uppgift inletts. De berörda myndigheterna hade då börjat vidta skadebegränsande åtgärder. Några beslut eller åtgärder från regeringens sida påkallades inte. Det vid ansvariga statsrådet, inrikesminister , blev informerad av sitt departement om problemen kring Transportstyrelsens outsourcing , som sedan följdes upp . Vidare har framkommit att från Transportstyrelsen fick en redovisning av ett uppdrag om informationssäkerhet. I redovisningen redogjorde Transportstyrelsen för bl.a. outsourcingen av it-driften. Det angavs att det fanns vissa risker i projektet men som av myndighetens ledning bedömdes vara hanterbara. I redovisningen ingick iakttagelser från en intern granskning av bl.a. outsourcingen. Av iakttagelserna framgick att det var mycket korta tidsplaner vilket medfört att riskanalyser inte genomförts helt och att informationssäkerhetsfrågorna inte beaktats fullt ut. Med anledning av den information som Säkerhetspolisen lämnade kallade generaldirektören till ett möte , och i samband med detta informerades infrastrukturminister dåvarande statssekreterare om situationen. Därefter hade uppföljande möten med Transportstyrelsen om vilka åtgärder som vidtogs med anledning av de säkerhetsproblem som outsourcingen innebar . Det dröjde till innan statsrådet med ansvar för Transportstyrelsen, infrastrukturminister , fick information om Transportstyrelsens outsourcing. Hon informerades då av sin nytillträdde statssekreterare om att generaldirektören i Transportstyrelsen misstänktes för brott. Granskningen väcker enligt utskottet frågor om förmedlingen av information inom när det gäller frågor av betydelse för rikets säkerhet. Det rör sig dels om kontakter mellan och , dels om dessa departements kontakter med andra delar av . Granskningen väcker också frågor om information inom departementen till statsråden och mellan statsråden inklusive statsministern. och har inte, bedömer utskottet, varit tillräckligt samordnade i hanteringen av frågor med anledning av Transportstyrelsens outsourcing. Information fanns, som framgått ovan, förhållandevis tidigt vid dessa departement. Även om varje information för sig endast gav en begränsad bild fanns det sammantaget information vid dessa departement som visade på allvaret i situationen, vari problemen bestod samt behovet av skyndsamma åtgärder vid inte minst Transportstyrelsen. Enligt utskottet har och i alltför stor utsträckning agerat var för sig vilket gått ut över möjligheten att gemensamt skaffa sig en bättre bild av läget och med den som grund överväga vad som ytterligare kunde göras för att hantera situationen. Försvarsdepartementet informerades av och i samband med det inleddes en dialog med Försvarsmakten. informerades försvarsminister av sina tjänstemän om problemen i samband med Transportstyrelsens outsourcing. Han försäkrade sig om att Försvarsmakten hade vidtagit skadebegränsande åtgärder och att tjänstemännen på departementet fortsatt följde frågan med Försvarsmakten. Först fick Statsrådsberedningen information om Transportstyrelsens outsourcing och de problem och säkerhetsrisker som var förknippade med den. Då hade gått från det att och senare hade fått information om att outsourcingen medförde risker av betydelse för rikets säkerhet. Det tog , till , innan statsminister fick informationen. Utskottet ser allvarligt på att det tog så pass innan statsministern nåddes av informationen om en händelse av detta slag. I sammanhanget kan utskottet konstatera att den genomlysning som tidigare aviserats av statsministern för att få klarhet i händelseförloppet och informationsvägarna ännu inte redovisats i samlad form. Den sammanfattande bedömningen när det gäller statsrådens agerande är följande. Utgångspunkt för bedömningen är ansvarsprincipen, som i regeringsarbetet innebär att varje departement och statsråd ansvarar för sina områden även i händelse av kris. I det nu aktuella fallet låg ansvaret för den myndighet där problemen uppkom, dvs. Transportstyrelsen, hos och infrastrukturministern. Ansvaret för den myndighet som fick information om riskerna med outsourcingen och som agerade gentemot Transportstyrelsen, dvs. Säkerhetspolisen, låg hos och inrikesministern. Det ansvar som ålåg övriga departement och statsråd var därmed i första hand att efter att information förmedlats till dem hantera konsekvenserna inom sina respektive områden. Dåvarande inrikesminister blev förhållandevis tidigt informerad av sitt departement om det inträffade. Han bör då ha varit tillräckligt insatt för att förstå behovet av att följa utvecklingen och säkerställa att berörda departement och Statsrådsberedningen blev informerade. Som konstaterats ovan brast , och då inte minst inrikesministerns statssekreterare, i dessa avseenden. Det gäller både samordningen med och kommunikationen med Statsrådsberedningen. Ansvaret för dessa brister åvilar . Vidare noterar utskottet att under hela den aktuella perioden inte tog upp händelsen och dess konsekvenser med vare sig statsministern eller infrastrukturministern. Det framstår för utskottet som självklart att händelser av detta allvarliga slag bör tas upp direkt med statsministern och andra berörda statsråd. När det gäller den dåvarande infrastrukturministern fick hon i ett mycket sent skede information om det inträffade. kan konstateras att informationen fanns tidigt i hennes departement. Det var först som hon fick kännedom om att en myndighet under hennes ansvarsområde medvetet agerat på ett sätt som medfört risker för rikets säkerhet och att en förundersökning inletts . Det är enligt utskottet uppseendeväckande att en fråga av detta slag inte tagits upp mellan statsrådet och hennes dåvarande statssekreterare. Ansvaret för den bristfälliga relationen dem emellan åvilar . Som statsråd hade även ansvar för de otillräckliga kontakterna mellan och samt för att inte informerade Statsrådsberedningen om de risker för rikets säkerhet som uppkommit till följd av agerandet av en myndighet inom hennes ansvarsområde. Försvarsminister hade att hantera konsekvenserna av det inträffade för Försvarsmakten. Utskottet anser att agerade på ett rimligt sätt i den uppkomna situationen. Utskottet kan även notera att i samband med att han fick information om det inträffade hade skäl att utgå från att även Statsrådsberedningen fått informationen. Den ansvarsprincip som gäller inom om att varje departement och statsråd ansvarar för sina myndigheter får inte medföra att all information stannar inom respektive departement. Principen kan enligt utskottets mening inte heller innebära att ett statsråd i varje situation kan utgå från att information överförts inom andra delar av på det sätt som är avsett. Om principen inte hade följts så strikt i detta fall hade Statsrådsberedningen kunnat nås av informationen om det inträffade tidigare. Som regeringschef och chef för har statsministern det övergripande ansvaret för regeringens och arbete. Detta innebär att han bl.a. ansvarar för att dels har rutiner för informationsöverföring, dels att dessa rutiner fungerar. finns rutiner för att säkerställa informationsöverföring mellan departementen och mellan departementen och Statsrådsberedningen vid allvarliga situationer inom departementens ansvarsområden. Utskottet kan konstatera att tillämpningen av rutinerna i detta fall har brustit. Statsminister bär det yttersta ansvaret för att rutinerna inte har fungerat. Följande reservation har avgivits till utskottets ställningstaganden. I rubriken anges inom parentes vilket avsnitt i utskottets granskning som behandlas i reservationen. Förra regeringens agerande i fråga om Transportstyrelsen och informationssäkerhet (avsnitt 5.1) av (C). Granskningen rör den förra regeringens ansvar för hantering av upphandlingen av Transportstyrelsens it-verksamhet. Betänkandet redogör på ett korrekt sätt för att Transportstyrelsen brutit mot säkerhetsskyddsförordningen samt att det i granskningen inte har framkommit något som visar att den tidigare regeringen har varit informerad om eller delaktig i Transportstyrelsens planer på att outsourca sin it-drift.