bet · H501KU20d3 · 2018-01-01 00:00:00 — berättade för oss att han blev uppkallad till Must 2010 och att även var med då och att han fick veta att det fanns väldigt känslig information hos myndigheten och att det hanterades bäst genom att inte prata om den. Man skulle inte prata om säkerhetsproblem och risker inom myndigheten. Synen på det sättet att hantera information förändrades , informerade också om och sa att så där tänkte man ju inte . Blev du också uppkallad till Must, med närvarande, när du tillträdde som generaldirektör, eller informerade dig om att han hade blivit informerad på det sättet och att det sedan hade ändrats – synen på det? : Nej, jag hade inga sådana samtal med eller Must, och jag fick ingen sådan information av heller. (L): Tack så mycket för redogörelsen! Det är som sagt regeringens agerande som vi är satta att granska, och din information är viktig för oss i de beslut som vi har att fatta. Jag vill följa upp fråga. Om jag har förstått rätt var tydligen den information som du fick en timmes genomgång av säkerhets- skyddschefen om säkerhetsskyddslagstiftningen och Transportstyrelsen roll i det hela. Det är lätt att vara efterklok, men kände du då att det var tillräckligt, eller borde mer ha gjorts för att informera dig? : Jag brukar säga att det man inte vet något om har man svårt att fråga om. Jag fick den information jag fick under den timmen, och det tillförde mig kunskap som jag inte hade utifrån det. Det är klart att man i efterhand kan säga att jag borde haft mycket mer kunskap, både redan innan jag kom till Transportstyrelsen och vid det tillfället. Återigen: Det är lätt att vara efterklok. Där och då fick jag det jag fick. (L): Den bild som åtminstone jag får är att de enda som faktiskt pratar om säkerhet – inte bara leveranssäkerhet utan säkerhet i den information som ska tillhandahållas – är it- och säkerhetsavdelningarna. Det framkommer bilder av att de anses väldigt fyrkantiga och fackmässiga. Kanske är det ett personlighetsproblem snarare än något annat, men vi sitter ju här för att dra lärdom av detta så att vi får ett säkrare samhällssystem, inte för att hänga ut folk. Du har dragit slutsatser, kan vi se i intervjumaterialet. Du säger bland annat att outsourcing kan vara nödvändigt och resonerar kring att det kanske till och med är det, och att it-säkerhet och informationssäkerhet behöver komma upp på agendan. Det är alldeles uppenbart. Finns det några andra lärdomar man kan dra? Är detta ett personlighets- problem, eller är det ett systemfel? Finns det något man skulle kunna lära sig om kontakter mellan regeringen och generaldirektören? Detta är också något som tar upp i sin rapport och problematiserar kring. : Det skulle kunna bli ett väldigt långt svar på den frågan. Det finns absolut saker att lära sig. Det som har blivit mest påtagligt för mig är att det hemliga var alldeles för hemligt. Det blir paradoxalt när man å ena sidan säger att det har varit för lite hemligt men att det å andra sidan har varit för mycket hemligt. Många fler skulle behöva ha en grundläggande kompetens kring känslig information, både information om rikets säkerhet och annan typ av känslig information. Det kan också handla om förvanskning av information. Genom att höja grundnivån eller basnivån skulle man öppna upp för dialoger, för ett av problemen har varit att jag inte har vetat vem jag kan prata med om vad. Så har säkert alla andra också känt – att man har suttit på olika typer av information. Genom att fler vet mer kan man ha en bättre dialog. Sedan är detta inte det enda svaret, för kommunikation och dialog är nog det svåraste man håller på med i en organisation. Icke desto mindre måste man jobba med det i mycket större utsträckning. När det gäller dialogen mellan departement, regering och generaldirektör tror jag att det är på sin plats att fundera på hur den ska se ut och vad man ska lyfta och inte lyfta, på samma sätt som jag försökte ha en dialog med styrelsen. Vad är det för frågor som ska ligga på styrelsens bord, och vad ska ligga på generaldirektörens bord? När vill man ha information, och när vill man inte ha information? Detta kan alltid förbättras, tror jag. Det är nog en generell slutsats som jag kan dra från alla mina gd-uppdrag som jag har haft . Ordföranden: Då har vi gått bordet runt en första gång. Vi får se om det finns fler frågor. Jag kan bidra med några först. Jag vill återvända till det möte som du hade på departementet , då du informerade om de lagbrott som begåtts och att du inte skulle avsluta projekten med mindre än att fick ett sådant direktiv från regeringen. Jag har förstått att det var det första möte där du informerade om brevet från Säkerhetspolisen och ditt därpå följande möte med . Vad blev reaktionen från departementets sida på de ganska allvarliga signalerna från Säkerhetspolisen vad gäller säkerhetsfrågorna? Man får ändå säga att det sammantaget är en ganska skarp signal om man lägger samman brevet med det möte som du sedan hade med . Först, i brevet, fanns diskussioner om att avbryta outsourcingen, och därefter, vid mötet , underströk man verkligen allvaret i situationen. Vad fick du för reaktioner från departementet vad gäller de allvarliga säkerhetsproblem som då hade uppdagats? : Jag kan inte påstå att jag fick så stark … Som jag sa tidigare var man bekymrad, men det var inte så att man penetrerade varje frågeställning eller problembild så djuplodande. Jag fick känslan att man gjorde samma bedömning som jag när det gällde att helt och hållet avbryta outsourcingen och att det inte var ett önskvärt eller bra alternativ, men vi diskuterade inte detta i detalj. Ordföranden: Ni diskuterade inte alternativa vägar framåt? : Nej, jag beskrev hur vi tänkte backa tillbaka genom att ta hem olika system i olika takt. Detta tycktes de nöja sig med på mötet. Ordföranden: skickade in en risk- och sårbarhetsanalys till regeringen , där det fanns en särskild bilaga om informations- säkerhet. sa till oss , och skrev det även i sin rapport, att han tyckte att det som framgick av rapporten i sig var så allvarligt att det borde ha lett till oro och frågor från departementet. Diskuterade du i något sammanhang risk- och sårbarhetsanalysen och bilagan om informationssäkerhet med departementets företrädare? : Nej, den diskussionen fanns inte, mer än att det var uppe på en agendapunkt . Jag har försökt rannsaka mitt minne och komma ihåg exakt vad vi diskuterade där, men jag kan inte minnas vad diskussionen handlade om. Det handlade definitivt inte om det som jag hade pratat med dem om . Snarare tror jag att det handlade om hur vijobbade med frågan risk och sårbarhet och vilka strukturer som fanns internt. Jag tror att vi redogjorde för arbetssättet mer än att diskutera innehållet. Ordföranden: : Det är alltid lätt att se saker i efterhand. Man kan kanske tycka att det blir lite märkligt att ha en abstrakt principdiskussion om risk och sårbarhet som det pågår en brinnande säkerhetskris konkret inom myndigheten. Det framstår som att diskutera Titanics fartygsritningar som man har kört på isberget – ursäkta metaforen! Du tyckte inte att det var egendomligt att diskussionerna tog den inriktningen? : Den tolkning som jag har gjort utifrån detta är att det var för många personer med på mötet. Eftersom det var hemlig och känslig information ville man inte ta upp den diskussionen där på mötet, utan man väntade nog till nästa gång jag träffade tjänstemännen för att diskutera det. Detta är den förklaring som jag kan ha kring det. Ordföranden: har förstått att vilken lokal man sitter i också kan ha betydelse, men det får vi återkomma till. Återkom man till risk- och sårbarhetsanalysen och informationssäkerhets- frågorna i något annat sammanhang senare? : Inte som jag minns det. Ordföranden: Jag tänkte, apropå det svar som du gav på min förra fråga, att det var en för stor grupp, så att man fick återkomma i en mindre grupp. Men det skedde alltså aldrig? : Jag träffade tjänstemännen två gånger till . Vi pratade inte om risk- och sårbarhetsanalysen utan om hur det löpte på med de åtgärder som vi hade vidtagit med anledning av Säpos granskning. På majmötet pratade jag som sagt om resultatet av Säpos tillsyn. Ordföranden: Vad fick du för reaktioner vid mötet – genomgång tillsynsrapport, som det står antecknat – om utfallet av Säpos granskning? : Det jag kan minnas är att det var viktigt att vi tog oss an rekommendationerna i Säpos rapport och att vi vidtog de åtgärder som förväntades av oss. Ordföranden: Det var en ganska allmän instruktion eller synpunkt, låter det som. : Så var det. Ordföranden: Jag har en fråga till, möjligen. Som sagt fick du signaler om att säkerhetshandläggningen drog ut och att detta kunde försena projektet. fanns också en oro hos departementet för effekterna av att projekten skulle kunna försenas, allmänt sett. Kan du säga något ytterligare om hur denna oro över fördröjningar uttrycktes från departementet? Var det statssekreteraren som var inne på det? På vilket sätt framfördes oron för förseningar? : Jag kan inte säga att jag har någon klar minnesbild av exakt vem som sa vad och hur man sa det, utan man påminde snarare om att det var angeläget att vi kom i hamn och att stopptiden inte blev alltför lång. Jag har svårt att minnas därför att det blandas ihop med de rapporter som jag fick från övriga i organisationen om när man diskuterade exakta datum för olika igångsättanden. Det var mer en allmän bild av att man var angelägen om att det skulle löpa på. Ordföranden: departementet i något sammanhang frågor kring säkerheten och säkerhetsskyddet , alltså innan du hade mötet och berättade om de saker du nämnde? : Nej, jag fick inga sådana frågor eller synpunkter. Skånberg (KD): Ordförande! Det som är centralt för vår del är året som föregick , när du fick veta att du skulle lämna ditt uppdrag . Det kom bara efter att du hade informerats om att du var misstänkt för brott, . När departementet fick veta detta tog det bara så fick du sparken, helt enkelt. har gått sedan informationen lämnades . Jag skulle vilja be dig att reflektera över möjligheten för departementet att reagera under den tiden. Du nämnde att det finns en kultur som du gick in i, där man inte berättade mer än vad som var nödvändigt för departementet och statssekrete- raren. Du var till och med så följsam att du berättade det på en lägre nivå för att ge statssekreterare och minister möjlighet till det som man på engelska kallar deniability – att inte behöva veta. Fanns det något som du hade velat få feedback om tidigare när det gäller det som du fick sparken för? : Det är en reflektion som jag inte har gjort så mycket eller funderat över. Jag har inget svar på det. Skånberg (KD): Det är också ett svar. Då skulle jag vilja fråga, om du kan ta, tillsammans med oss i KU, lite mer av ett helikopterperspektiv och titta ned på den här situationen. Du har tagit ett personligt ansvar och du står för det här och på ett tydligt sätt. Jag vill inte be dig att peka finger åt andra, men kan du säga om andra skulle ha kunnat bidra och tagit ansvar i den här situationen – säkerhetsskyddschefen, , tjänstemännen på departementet, ställföreträdande gd och så vidare? Kan du säga att: Hade jag fått hjälp av dessa hade situationen kunnat se annorlunda ut? Gärna fylligt och med flera utan att du behöver känna att det här är att skylla ifrån sig, för du har tagit ansvaret själv. : Med risk för att vara ganska tråkig i mitt svar skulle jag nog säga att jag inte tycker att det tjänar så mycket till att peka ut syndabockar. Jag tycker att det är mer intressant att fundera och hur man undviker den här typen av situationer. Skånberg (KD): Låt mig formulera om frågan, ordförande! Nästa generaldirektör – vad behöver han och hon för möjligheter för att inte hamna i samma situation som du? Vilka resurser behövs för att man ska kunna undvika att hamna i den här situationen? : Jag tror att det främsta är, som jag var inne på tidigare, att man börjar prata om de här frågorna och lyfter upp dem på agendan ordentligt i organisationerna och i alla delar i myndigheten. Normalt sett när man kommer som gd till en myndighet får man snabbt en hyfsad överblick över vad som är styrkorna och svagheterna med organisationen. När jag kom intervjuade jag till exempel 50 personer i organisationen för att få en bild. Hade säkerhetsfrågorna varit på agendan skulle de ha kommit upp där också. Det gjorde de inte. Det är mitt främsta svar på den frågan: Se till att frågorna diskuteras. Då kommer de också att komma till alla som … Det går inte att säga att de på departementet skulle ha informerat mig eller att säkerhetsskyddschefen skulle ha gjort en tvåtimmarsdragning i stället för en entimmesdragning, utan det handlar om att det ska finnas i kroppen, i själen, på myndigheten. Då lyfts det upp. Det tror jag är den viktigaste lärdomen. (S): I Bulls rapport finns en beskrivning av de kompensatoriska åtgärderna som skulle vidtas. Ni lämnade ju in en sådan plan på kompensatoriska åtgärder till Säkerhetspolisen . Sedan skriver också så här: Enligt uppgift till utredningen hanns inte något mer omfattande konkret arbete med dessa åtgärder med . Var det här en information som gick vidare från Transportstyrelsen till eller regeringskansli eller så? : När kom med sin tillsynsrapport fanns det ett antal åtgärder som de rekommenderade. pågick ett ganska intensivt arbete med att försöka se hur man skulle kunna möta de förvänt- ningarna och kraven. Då var också frågan mycket mer på agendan. Vi lyfte frågan och lade en hög prioritet på det här. Det var inte helt enkelt alltid att precisera hur det här skulle gå till i praktiken. Men man gjorde en åtgärdsplan, man återrapporterade det till och man hade ett antal möten med för att checka av om det här var så som de hade tänkt sig. Det fanns också en brist på kompetens … Dels pratade man inte om de här frågorna, dels kunde man inte de här frågorna tillräckligt bra i organisationen, så det var också svårt att veta på vilken nivå man skulle landa för att göra nöjda i det här. Jag vet att hade en del mejlväxlingar fram och tillbaka med myndigheten för att förtydliga, för att spetsa till eller jobba med det. Så den här diskussionen pågick . (S): Det innebar också att det fanns en åtgärdsplan under arbete? Och något ytterligare styrningsbehov fanns egentligen inte vid den tid- punkten? : Jag tror att allvarlighetsgraden var så hög i det läget att jag inte är säker på att departementet hade kunnat tillföra så mycket ytterligare styrning. Vi förstod rätt väl själva att det var fara å färde och att vi behövde jobba stenhårt med det här, vilket vi också gjorde. (SD): Det är en lång granskning, det här. Det är ett digert material och många uppgifter som flyger i luften. Jag tror att du har snuddat vid några av mina frågor här redan, men jag skulle ändå vilja ställa dem lite mer konkret för att verkligen kunna antingen bekräfta eller avfärda vissa saker. Du har nämnt här att redan i anslutning till att du tillträdde fick och skaffade du dig en bild av att de här upphandlingarna i princip var avslutade, att det var angelägna projekt och att det inte fanns något utrymme för förseningar. Den konkreta frågan: Fick du redan av regeringen, av regeringsföreträdare, redan i anslutning till rekrytering eller i anslutning till att du tillträdde, den här bilden förmedlad att det inte fanns utrymme för förseningar? Eller var det en bild du skaffade dig på annat sätt? : Jag har inget minne av att jag skulle ha fått någon diskussion om tidsplanen vid tillträdandet. Möjligen kan man redan då från regeringen ha nämnt att projekten pågick, men det är inget som jag har helt klart för mig. kan också ha kommit vid en senare dialog med departementet, med regeringsföreträdare. (SD): Det första avsteget undertecknade du , det vill säga lite drygt efter det att du hade undertecknat avtalet med om driften. Jag har i det här digra materialet en notering om att ett första utkast till denna avstegshandling drogs upp . Är det någonting som du kan bekräfta eller dementera? : Jag har också noterat att det datumet figurerade. Jag trodde nog ett tag i alla fall att det var en felskrivning. Men jag har aldrig ställt frågan eller fått det bekräftat om det verkligen var påbörjat . Det låter osannolikt, men så kan det ju ha varit. Jag vet inte. (SD): Om det inte är en felskrivning skulle det indikera att man har påbörjat processen med att dra upp ett utkast till avsteg redan innan man tecknade avtalet med . : Ja, om det datumet gäller. (SD): En sista fråga, och då hoppar vi fram lite grann. Jag har fått intrycket när jag har lyssnat på dig här att du har fört en kontinuerlig dialog med departementet via tertialmötena och den statssekreterare som fanns då. Du har efterfrågat reaktioner på hur du ska hantera detta och kanske inte riktigt fått några sådana reaktioner om hur du ska gå vidare och hantera de här frågorna. Sedan blir det en ny statssekreterare som träder in i stället. Som jag har uppfattat och tolkat utvecklingen då får du tämligen ganska kraftfulla och starka reaktioner från den nya statssekreteraren. Man pratar om att det här agerandet kan få konsekvenser för dig och så vidare. Skulle du vilja säga att det finns risk för att det finns ett visst person- beroende i hur regeringen och statssekreterarna hanterar snarlika fråge- ställningar? Brister man i strukturen så att det ligger i vem som råkar vara statssekreterare för stunden hur den här typen av information tas emot av departementet? : Jag tänker att i alla frågor är det fråga om personer eller personlighet. Men jag kan inte specifikt säga hur det funkar i överlämningen mellan statssekreterare och inom regeringen. Men alla frågor är ju beroende av vem som hanterar frågan. (MP): Herr ordförande! Jag har en kontrollfråga och sedan en annan fråga. I utredning finns det ett litet avsnitt kring det här med att säkerhetsskyddschefen kontaktar Säkerhetspolisen. Jag ska läsa innantill, och så vill jag gärna ha lite kommentarer: Av pm daterat framgår att säkerhetsskyddschefen har informerat generaldirektören om sin rapportering av besluten om avsteg till Säkerhets- polisen. Generaldirektören har undertecknat att hon mottagit denna information. Vidare framgår att säkerhetsskyddschefen har informerat generaldirektören om att avstegen rörande it-drift bedöms kunna medföra att Försvarsmakten, Säkerhetspolisen och polisen inte längre kommer att kunna använda sig av de kvalificerade skyddsidentiteter som regleras i lag om kvalificerade skyddsidentiteter. Säkerhetsskyddschefen antecknar att han avrått från avsteg från ingångna säkerhetsskyddsavtal. Vad har du för kommentarer kring det här? : Det är helt riktigt att han hade en sådan föredragning för mig för att kunna rapportera till . Jag uppfattade det så att för hans del var det viktigt att vi dokumenterade de avsteg, eller dispenser, som gjordes. Det var självklart att han som säkerhetsskyddschef var bekymrad över att vi behövde göra det här och så som jag förstod det ändå ville rapportera till att det gjordes – dels att det dokumenterades, dels att informationen fördes vidare. Det var på det sättet jag uppfattade hans föredragning. (MP): Men tolkade du att han avrådde från det här? Det vi har hört dig säga är mer att du tolkade det som att det här var ett tillfälligt avsteg och det var inte så allvarligt och det kan man väl göra och så där. : Nej, jag tolkade det mer som att han var bekymrad. Det är klart att i hans uppdrag var ju att göra allting så bra och så perfekt som möjligt, och när man inte kunde göra det var han bekymrad över det och gillade inte att det gjordes. Men var han ju den som en gång hade introducerat avstegen för mig och där jag trodde att det var han som stod bakom eller hade dokumenterat eller skrivit de här avstegen. Så för mig var det lite svårt att förstå hans agerande. Men jag tolkade det som att … Återigen, han ville ju att det skulle gå rätt till hela vägen och inte göras dispenser eller inte dras ut . Så det var en inte entydig bild för mig. (MP): Sedan har jag några frågor också kring den här nästan …Det är väldigt svårt att förstå den här misskommunikationen med . När man sitter på långt avstånd och har facit i handen är det svårt att förstå. Det vore bra att få lite kommentarer kring det här. Först var det ju det här med brevet. Där var det ju inte klart hur allvarligt det var. Sedan är det den här delen kring vem det var som tog initiativ till mötet. Där upplever inte jag heller att det är helt klockrent om det var du eller om det var . Sedan var det delen kring hur mycket kunde tänka sig att hjälpa till när ni bad om hjälp. Där beskrivs det att hade en ganska njugg inställning till detta till att börja med men att de mjuknade upp senare och gav viss … Och sedan att det var svårt att förstå tidsaspekten i hela den här delen kring . Så lite kommentarer kring den här svåra kommunikationen med . : Min erfarenhet är att om jag har haft ett allvarligt påpekande till en annan myndighet har jag varit ganska noga med att själv ta kontakt med min motsvarighet, till exempel generaldirektören på en annan myndighet, innan jag skickar till exempel ett brev för att bädda för en synpunkt, en kommentar, ett tyckande eller vad det kan vara. När brevet kom hade jag inte fått den kontakten från gd på . Det var inte heller underskrivet av honom. Jag fick detta brev med, som jag tyckte, kanske inte vaga rekommendationer – de var nog hyfsat säkra – men ändå rekommendationer. Det gjorde att vi var förbryllade över vad som var statusen i detta när det pågick en tillsyn. Hänger de ihop, eller är de separata från detta? Det var detta som gjorde brevet något otydligt. Jag satte igång en del saker, till exempel en säkerhetsanalys utifrån det, och beslutade att inte avbryta outsourcingen. gick jag och grunnade på detta över julhelgerna och tänkte att det inte kändes bra när de ändå hade skrivit ett brev och det pågick en tillsyn. Jag tog då initiativet och bad om ett möte som sedan hölls på polisens huvudkontor . När vi hade detta möte började jag förstå att vi inte hade tillräckligt med vare sig resurser eller kompetens i organisationen. Det hade växt fram under resans gång att vi inte var rustade för att hantera dessa svåra frågor. Men jag fick ändå, i alla fall inledningsvis, känslan av att menade: Detta ska ni som myndighet klara av. Och så är det nog tänkt. Men när man hamnar i en svår situation och uppenbarligen inte klarar av den behöver man hjälp från dem som kan detta bättre. Det landade i att de också erbjöd sig att stötta i den mån det behövdes. Tidsaspekten är också en parameter som jag tror har ställt till det lite för oss. Precis som skrev i sin utredning tog det man började med tillsynen. Det tog ytterligare rapporten kom. Däremellan kom ett brev. Det är klart att allvarlighetsgraden eller det akuta förtogs lite av den tidsaspekten. Det kan jag inte komma undan att det naturligtvis påverkade oss. (V): Herr ordförande! Jag har en fråga om kontakten mellan regering och myndigheter. Hur mycket kontakt ska man ha, hur ska informationen gå till och vad ska man berätta om och inte? Det lyftes tidigare fram att det kunde vara en kultur att man inte skulle ge information till regeringen och så vidare. Du har ju erfarenhet av att leda olika myndigheter . Är det så att man trevar lite , eller är det så att vissa departement är väldigt bestämda med att man ska ge information eller att man inte ska ge information? Skiljer det mellan olika regeringar? Har du någon bild av hur detta ser ut generellt? Skiftar det mycket mellan departementen? Skiftar traditionerna mellan olika myndigheter och mellan olika regeringar? Det är viktigt att hitta den nivå som är rimlig och också minskar risken för att det händer saker i myndigheter som kanske inte skulle hända. : Jag har erfarenhet av huvudsakligen och . Som vi sa tidigare är det till viss del personbundet vilka som man får goda relationer till.