sou · H6B325 · 2018-03-27 00:00:00 — För att undantaget ska vara tillämpligt krävs att samarbetet styrs endast av överväganden som hänger samman med allmänintresset och att myndigheterna på den öppna marknaden utövar av den verksamhet som berörs av samarbetet.57 Upphandlingslagstiftningen följer av EU-rätt. Det behöver där- för enligt vår uppfattning framhållas i det här sammanhanget att det alltjämt är upp till varje medlemsstat att bestämma hur statsförvalt- ningen ska organiseras. Att frågor har ställts inom detta område under vår kartläggning beror bl.a. på att Kammarrätten i i en dom bedömde att den överenskommelse som Kungliga biblio- teket ingått med om digitalisering av pliktlevererade dagstidningar inte var undantagen från upphandlingsplikten.58 har i en rapport analyserat undan- taget från upphandlingsreglerna vid samarbeten mellan upphand- lande myndigheter och enheter. Även av den rapporten kan utläsas att det finns en osäkerhet kring tillämpningsområdet för avtals- baserade samarbeten, inte minst vid samarbeten kring användning av it och digitalisering, vilket gör tillämpningsområdet svårbedömt.59 poängterade i sitt delbetänkande att kom- muner och landsting som överväger att ingå kommunala sam- verkansavtal med andra kommuner och landsting måste ta ställning till upphandlingslagstiftningens tillämplighet.60 573 kap. 17 § lagen (2016:1145) om offentlig upphandling. 58Se Kammarrätten i dom , mål nr 7355-16. Målet överklagades till som inte meddelade prövningstillstånd, mål nr 4106-17. 59Offentlig avtalssamverkan – om s.k. Hamburgsamarbeten och inköpscentralers möjlighet att bedriva grossistverksamhet, , , 2017:3, s. 4. 60Kommunutredningens delbetänkande, En generell rätt till avtalssamverkan, (SOU 2017:77), s. 20. Som framgår av det ovan sagda föreligger det en viss rättslig osäkerhet som rör upphandlingslagstiftningen, vilken kan ha en hindrande eller hämmande inverkan på förvaltningens digita- liseringsåtgärder. Lagstiftningen på området har emellertid genomgått en reform och andra aktörer utför, respektive har utfört, arbete enligt redogörelsen ovan. Klargöranden kan också komma att göras av såväl nationella domstolar som av . Vi ser därför inte förutsättningar för att inom ramen för vår utredning nå framgång med att ytterligare försöka klargöra dessa gränser.61 Det torde emellertid finnas anledning för regeringen att noga följa hur praxis inom området utvecklas för att, vid behov, kunna vidta lämpliga åtgärder. analys av gemensam statlig it-drift Statens servicecenter har i ett regeringsuppdrag analyserat förut- sättningarna för att skapa en samordnad eller gemensam funktion för delar av statliga myndigheters it-verksamhet. I Statens service- centers rapport föreslås sammanfattningsvis att en statlig myndighet ska tillhandahålla skalbar och flexibel datorkraft och lagring genom en statlig molntjänst för samordnad it-drift.62 I rapporten beskrivs bl.a. att inrättandet av en statlig molntjänst skulle kunna bidra till förstärkt it-säkerhet och driftsäkerhet, sänkta kostnader för it-drift i den offentliga förvaltningen och till att förenkla och effektivisera anslutna myndigheters processer för inköp av it-drift eftersom upphandling inte behövs. Inom ramen för uppdraget genomförde Statens servicecenter en enkät riktad till samtliga myndigheter under regeringen och dialog- möten med företrädare för de 15 största myndigheterna. Resultatet av enkäten och dialogmötena visade att många myndigheter efter- frågar en samordnad, dynamisk och flexibel statlig it-drift. Gemen- sam statlig it-drift skulle kunna hantera många av myndigheternas utmaningar, inte minst genom att it-säkerheten och driftsäkerheten förstärks. I rapporten beskrivs också hur sex med jämförbara länder har valt att samordna statsförvaltningens it-drift (, , , , och ). 61Jfr slutsatser, SOU 2017:77 s. 136 f. 62En gemensam statlig molntjänst för myndigheternas it-drift, dnr10052-2016/1121. Fördelar som lyfts fram av de länder som har etablerat någon form av gemensam it-drift för statsförvaltningen beskrivs vara dels för- enklade beställnings- och inköpsprocesser, dels förbättrad it- och informationssäkerhet. 9.7Våra överväganden och förslag I våra utredningsdirektiv betonas att vi i vårt arbete särskilt ska beakta behovet av informationssäkerhet. Rättsliga förutsättningar för en digital och samverkande förvaltning måste också stå i sam- klang med behovet av informationssäkerhet i förvaltningen. Under kartläggningsarbetet, och utifrån övriga kontakter vi har haft inom ramen för utredningen, har det tydliggjorts för oss att god informationssäkerhet är en förutsättning för den fortsatta utveck- lingen av en trygg, innovativ och effektiv digitalt samverkande för- valtning. Om enskilda saknar förtroende för säkerheten i den offentliga förvaltningen kommer det att påverka deras vilja att använda de digitala tjänster som tillhandahålls. Det krävs tillit till en digital förvaltning för att enskilda ska välja att lämna ifrån sig privata uppgifter och annan information via digitala kanaler. Som vi har redogjort för i kapitel 9.3.3 har det påtalats att det finns brister i informationssäkerhetsarbetet i den offentliga förvaltningen. Granskningar har visat att informationssäker- het inte alltid är, eller har varit, ett prioriterat område. Det handlar bl.a. om att det har saknats förståelse för vikten av god informations- säkerhet och att informationssäkerhetsarbetet inte har haft tillräckligt hög prioritet i verksamheten. Vi kan emellertid också skönja en utveckling i positiv riktning där säkerhetsfrågorna får mer uppmärksamhet och där det allmänna medvetandet om behovet av säkerhet för att skydda samhällets informationstillgångar har höjts. Det förefaller finnas en allt ökande förståelse för att både personer i myndighetsledande befattning, övriga tjänstemän och även allmänheten behöver ha kunskap om informationssäkerhet. En bidragande orsak torde vara att regeringen uttryckligen prioriterar säkerhetsfrågor. Rättsligt stöd för informationssäkerhetsarbetet i offentlig förvaltning Som vi har redogjort för i kapitel 4 och kapitel 9.5 träffar den befintliga regleringen avseende informationssäkerhet olika aktörer och information, med delvis olika syften, som regleringen finns spridd på olika håll. Det finns också en tydlig trend, både på EU-nivå och nationellt, att i allt större utsträckning ställa rättsliga krav på informationssäkerhet. Här kan exempelvis nämnas vad som ovan redovisats om NIS-direktivets och dataskyddsförordningens uttalade krav på säkerhet och förslaget till en reformerad säker- hetsskyddslag. kan det emellertid också konstateras att det med avseende på styrningen av informationssäkerhetsarbetet i offentlig förvaltning, framstår som att det även efter genomförandet av NIS-direktivet och införandet av en ny säkerhetsskyddslag kommer att finnas ett visst underskott av reglering på informations- säkerhetsområdet. För kommun- och landstingssektorns informationssäkerhets- arbete saknas generellt tillämpliga rättsliga krav på att arbeta risk- baserat och systematiskt och att rapportera it-incidenter. För de statliga myndigheterna gäller MSB:s föreskrifter om statliga myn- digheters informationssäkerhet och rapportering av it-incidenter.63 Regeringen har vidare en uttalad ambition att det ska finnas en ända- målsenlig tillsyn som skapar förutsättningar för ökad informations- säkerhet. finns emellertid ingen myndighet som har till uppdrag att utöva ändamålsenlig tillsyn över hela den offentliga förvaltningens generella informationssäkerhetsarbete. Den viljeriktning regeringen ger uttryck för i informations- och cybersäkerhetsstrategin är ett steg i riktning mot ökad informations- säkerhet i den offentliga förvaltningen. Att t.ex. skapa en nationell modell till stöd för ett systematiskt informationssäkerhetsarbete ser även vi som ett välkommet initiativ för hela den offentliga sektorn, även om modellen i första hand riktar sig till myndigheterna inom statsförvaltningen. Vägledningar och metodstöd utgör ett instru- ment för att åstadkomma god informationssäkerhet i offentlig förvaltning. Men vägledningar och metodstöd är inte juridiskt bindande. Avsaknad av rättslig bundenhet kan leda till att krav på informationssäkerhet ges lägre prioritet. För att säkra ett gott infor- mationssäkerhetsarbete i hela den offentliga förvaltningen bör enligt 63 MSBFS 2016:1 och 2016:2. oss övervägas ytterligare styrning genom rättsregler som omfattar den offentliga förvaltningen i stort. Samordnad it-drift i den offentliga förvaltningen Som framgått har utkontraktering av it-drift och andra it-baserade funktioner enligt våra iakttagelser kommit att bli allt mer centralt för en kostnadseffektiv och även i övrigt väl fungerande digital förvalt- ning. Sådan utkontraktering kan ske antingen till en privat leverantör eller till en annan myndighet. I syfte att förbättra de rättsliga förutsättningarna för utkontrak- tering till privata leverantörer, när det är lagligt, säkert och lämpligt, föreslår vi i kapitel 10 en ny reglering avseende tystnadsplikt. Det förekommer emellertid situationer där det av olika skäl inte är lämp- ligt att utkontraktera t.ex. it-drift till privata leverantörer. När detta inte är lämpligt, och en myndighet inte själv har förutsättningar att handha sin it-drift, behöver det finnas andra alternativ tillgängliga. Ett sådant alternativ är att skapa bättre förutsättningar för att ut- kontraktera viss it-drift till en annan myndighet i den offentliga förvaltningen. Som vi har beskrivit i kapitel 9.6.2 har förutsättningarna för samordnad it-drift, i det här fallet inom ramen för en molntjänst, analyserats av Statens servicecenter.64 Vidare har i uppdrag att erbjuda samordnad och säker statlig it- drift för vissa statliga myndigheter –2020.65 Det övergripande syftet med uppdraget är att pröva och utvärdera former för samordnad och säker it-drift för lämpliga myndigheter. Försäk- ringskassans uppdrag är därmed begränsat såväl som i om- fattning. Vi menar att det finns fördelar med att tillhandahålla viss sam- ordnad och säker it-drift till den offentliga förvaltningen. Sam- ordnad it-drift kan t.ex. bidra till en enhetlig användning av informationssäkerhetsåtgärder och tillämpning av olika former av 64En gemensam statlig molntjänst för myndigheters it-drift. Delrapport i regeringsuppdrag om samordning och omlokalisering av myndighetsfunktioner, Statens servicecenter, , dnr 10052-2016/1121. 65Uppdrag att erbjuda samordnad och säker statlig it-drift, regeringsbeslut , Fi2017/03257/DF. standarder, vilket i sin tur ökar förutsättningarna för interoperabi- litet även i andra sammanhang. Samordnad it-drift kan emellertid också föra med sig vissa informationssäkerhetsmässiga risker om myndigheters informationshantering koncentreras både organisa- toriskt, tekniskt och fysiskt till en och samma aktör. Sådana risker behöver identifieras och omhändertas om en sådan samordning kommer till stånd. Även med beaktande av de eventuella risker som kan uppstå finns anledning att överväga i vilken omfattning myndigheter i den offent- liga förvaltningen borde kunna ansluta sig till en sådan samordnad it-drift som tillhandahålls av en myndighet. Statens servicecenters förslag, som redogjorts för, omfattar enbart myndigheter i statsförvaltningen. Även uppdrag om samord- nad och säker it-drift riktas till statliga myndigheter. Enligt vår uppfattning finns det emellertid fördelar att vinna både ur effek- tivitets- och informationssäkerhetssynpunkt om hela den offentliga förvaltningen, dvs. även kommuner och landsting, skulle erbjudas att ansluta sig till en offentligt tillhandahållen it-drift. Det finns därför anledning att överväga om kommuner och landsting, som ansvarar för en betydande del av den offentliga förvaltningen i landet och därtill hanterar en mängd känslig information, borde ges möjlighet att ansluta sig till en samordnad it-drift. Vi anser sammantaget att förutsättningarna att tillhandahålla viss samordnad it-drift till den offentliga förvaltningen i stort bör fort- satt övervägas. Det fortsatta arbetet kan t.ex. ta avstamp i Statens servicecenters förslag om en statlig molntjänst och det uppdrag har att tillhandahålla samordnad och säker statlig it-drift. Enligt vår uppfattning bör också behovet av författnings- reglering avseende en sådan samordnad it-drift övervägas i detta sammanhang. Reglering torde bl.a. ge ökad rättslig tydlighet vad avser förhållandet till upphandlingsregelverket. Här kan som jäm- förelse nämnas att Statens servicecenters uppdrag att tillhandahålla lönerelaterade tjänster till statliga myndigheter är reglerat.66 66 1 § förordningen (2012:208) med instruktion för Statens servicecenter och förordningen (2015:665) om statliga myndigheters användning av Statens servicecenters tjänster. 9.7.2Rättsligt stöd för god informationssäkerhet Utredningens bedömning: Inom informationssäkerhetsom- rådet saknas viss reglering som träffar hela den offentliga förvalt- ningen. Utredningens förslag: Regeringen ska låta utreda förutsättningarna för att ta fram en kompletterande reglering om informations- säkerhet som omfattar hela den offentliga förvaltningen. Skälen för utredningens bedömning och förslag Ett gemensamt förhållningssätt till informationssäkerhet För att uppnå nödvändig säkerhet och skydd för information och upprätthålla enskildas förtroende för den digitala utvecklingen i hela den offentliga förvaltningen är det enligt vår uppfattning angeläget att etablera ett gemensamt förhållningssätt till informationssäker- hetsfrågorna som omfattar den offentliga förvaltningen i stort. Informationssäkerheten bör som utgångspunkt angripas på ett enhetligt sätt av samtliga myndigheter. Ett mer sammanhållet arbete med informationssäkerhet i den offentliga förvaltningen har potential att effektivisera den digitala utvecklingen i offentlig för- valtning utan att säkerheten åsidosätts. Det gäller inte minst när myndigheter samarbetar i gemensamma utvecklingsarbeten som innefattar informationsutbyte. Myndighetssamverkan i gemensam- ma utvecklingsarbeten kan t.ex. medföra att de samverkande aktö- rerna skapar beroenden av varandra i sin informationshantering. För att reducera risker och behålla en god säkerhetsnivå hos alla sam- verkande myndigheter ser vi det som angeläget att myndigheter vid- tar samordnade informationssäkerhetsåtgärder. Frågan är om en för förvaltningen gemensam reglering om informationssäkerhet kan bidra till ett sådant mer sammanhållet informationssäkerhetsarbete? En kompletterande informationssäkerhetsreglering för offentlig förvaltning De granskningar av offentlig förvaltnings informationssäkerhet som har genomförts (se kapitel 9.3.3) visar att befintligt regelverk och annat tillgängligt stöd inte har varit ett tillräckligt styrmedel för att hela den offentliga förvaltningen ska arbeta systematiskt och riskbaserat med informationssäkerhet. Exempelvis är den nuvarande avsaknaden av generellt tillämplig reglering för kommun- och landstingssektorn bekymmersam. Det saknas generella möjligheter, annat än med stöd av frivilliga insatser från kommuner eller landsting, att t.ex. fånga upp it-incidenter på ett samlat sätt. Därtill saknas generell möjlighet att genom ändamålsenlig tillsyn bidra till utvecklingen av en god informationssäkerhet i hela den offentliga förvaltningen. Kommuner och landsting är aktörer som hanterar en stor mängd känslig information och sekretessreglerade uppgifter. Därtill till- handahåller kommuner och landsting ett stort antal digitala tjänster till enskilda. Det rör sig om t.ex. direktåtkomst till patientjournaler på internet, anmälan om barnomsorg och lärplattformar i skolverk- samhet. I syfte att stärka informationssäkerheten i kommun och landsting anser vi att det, även efter bl.a. genomförandet av NIS- direktivet och ikraftträdandet av en ny säkerhetsskyddslag, kommer att vara angeläget att utforma en generellt tillämplig, komplette- rande, informationssäkerhetsreglering som omfattar också dessa aktörer. Utredningen om effektiv styrning av nationella digitala tjänster föreslår i sitt slutbetänkande att regeringen tar fram rättsliga krav för ett systematiskt och riskbaserat informationssäkerhetsarbete för samtliga offentliga myndigheter.67 Vi ansluter oss till de bedöm- ningar som den utredningen har gjort men anser att det finns skäl för oss att utveckla förslaget ytterligare. Enligt vår bedömning behövs ett rättsligt styrmedel som utgör ett tydligt incitament för myndighetsledningar att prioritera och ge nödvändiga resurser till arbetet med informationssäkerhet, som ledning ges i fråga om vilka åtgärder som behöver vidtas. Ytter- ligare förvaltningsgemensamma rättsregler kan alltså ge såväl styr- ning som stöd inom informationssäkerhetsområdet. 67 SOU 2017:114 kap. 9. och grundläggande krav på informationssäkerhetsarbetet för hela den offentliga förvaltningen skulle kunna regleras i form av lag. En sådan informationssäkerhetslag, för den offentliga förvaltningen i stort, i kombination med föreskriftsrätt, bör enligt vår uppfattning vara en lämplig form för ytterligare styrning och stöd inom infor- mationssäkerhetsområdet. En sådan reglering bör enligt vår bedömning innefatta generella och grundläggande krav på myndigheters arbete med informations- säkerhet och krav på rapportering av it-incidenter som kan påverka säkerheten i myndigheters informationshantering. I regleringen kan också ingå befogenhet för utpekad aktör att utöva ändamålsenlig tillsyn över den offentliga förvaltningens informationssäkerhetsarbete. I syfte att stärka informationssäkerheten i hela den offentliga förvaltningen föreslår vi därför att regeringen låter utreda förut- sättningarna för att ta fram en lag om informationssäkerhet som omfattar hela den offentliga förvaltningen. En lag om informationssäkerhet har potential att lägga grunden till en fortsatt trygg, innovativ och effektiv utveckling av en digital förvaltning och kan förväntas få positiva effekter både för enskilda och för offentlig förvaltning i stort. Enskilda har befogade krav på att den offentliga förvaltningen håller en tillräckligt hög säkerhet när myndigheternas informationsmängder bearbetas, lagras och kom- municeras. God informationssäkerhet i den offentliga förvaltningen skapar tillit till de digitala tjänster som tillhandahålls enskilda. En lag om informationssäkerhet har därtill möjlighet att lägga grunden till en mer enhetlig ansats i informationssäkerhetsarbetet inom den offentliga förvaltningen. Ett större mått av enhetlighet ger bättre förutsättningar att t.ex. effektivisera gemensamma ut- vecklingsarbeten i den offentliga förvaltningen. Statliga myndigheter är ålagda att bedriva ett syste- matiskt informationssäkerhetsarbete och en ny lag om infor- mationssäkerhet förväntas inte medföra några ytterligare kostnader i detta hänseende. Förslaget har också bäring på kommuner och landsting som saknar motsvarande generellt tillämplig reglering avseendearbete med informationssäkerhet. emellertid inte att kommuner och landsting inte bedriver ett sådant informationssäkerhetsarbete . Huruvida en för den offentliga förvaltningen generellt gällande lag om informations- säkerhet kommer att innebära ökade kostnader för kommuner och landsting är svårt att nu uttala sig om. Eventuella kostnader för att uppfylla nya lagkrav kommer dock att behöva ställas i relation till andra, mer oförutsedda, kostnader som kan uppstå till följd av otillräcklig informationssäkerhet i verksamheten. Förslaget medför möjligen inte minskad brottslighet men högre säkerhet i den offentliga förvaltningen kan förväntas leda till färre angrepp i it-miljön som innebär skada för verksamheten eller till att enskilda individer kränks t.ex. genom att deras personliga infor- mation sprids. För generella konsekvenser av våra förslag hänvisas till kapitel 14.2. 10Tystnadsplikt för privata leverantörer 10.1Offentlig sektors utkontraktering av it-drift och andra it-baserade funktioner Utkontraktering, eller outsourcing som är det mer vardagligt an- vända begreppet, innebär att en myndighet eller annan aktör via avtal uppdrar åt en utomstående part, privat leverantör eller annan myn- dighet, att för dennes räkning utföra en eller flera arbetsuppgifter, processer eller funktioner. Den utkontraktering som närmast är relevant att undersöka för vår utredning rör uppdrag att sköta it-drift, t.ex. lagring av uppgifter i ett datacenter, eller att tillhandahålla andra it-baserade funktioner, t.ex. e-arkiv eller bearbetning av uppgifter i applikationer eller moln- tjänster.1 Även storskalig skanning för digitalisering av dokument kan vara exempel på ett uppdrag som lämnas till en privat leverantör att utföra med hjälp av it-baserade funktioner. Utkontraktering kan också avse mer sammansatta tjänster på så sätt att den privata leverantören inte enbart ska stå för viss stöd- verksamhet t.ex. it-drift, utan också utföra en arbetsuppgift som snarare rör uppdragsgivarens kärnverksamhet, t.ex. vissa arbets- moment som journalföring. Med utkontraktering avses däremot inte köp av varor, t.ex. hårdvara för datorer. Om leverantören också ska sköta drift och 1 Molntjänster är tjänster som tillhandahålls med nätverksåtkomst och där resursdelning, möjlighet till snabb skalbarhet, självbetjäning och betalning efter användning eller volym är några av de centrala kännetecknen. Se Molntjänster i staten, en ny generation av outsourcing, , , s. 9. Tystnadsplikt för privata leverantörer underhåll av hårdvaran ska dock den transaktionen ses som en ut- kontraktering. När en myndighet anlitar en osjälvständig uppdrags- tagare2 för en arbetsuppgift är detta inte att anse som utkontrakter- ing i nu aktuellt avseende eftersom en sådan uppdragstagare inte är en utomstående part, se vidare kapitel 10.4.1. Förvaltningsmyndigheter under regeringen ska bedriva sin verk- samhet effektivt och hushålla väl med statens resurser.3 I offentligt bedrivna verksamheter behöver det därför analyseras om alla arbets- uppgifter bör utföras inom den egna organisationen eller om varor och tjänster i stället ska upphandlas. Ett av regeringens mål för digitali- seringen av den offentliga förvaltningen är högre kvalitet och effektivi- tet i verksamheten. I budgetpropositionen aviserade reger- ingen också en förstärkt styrning och samordning av övergripande it- användning i statsförvaltningen, i syfte att stimulera digitaliseringen av den offentliga förvaltningen.4 och regeringen har tidigare gett uttryck för att det är önskvärt att en större del av myndigheternas it-behov tillfredsställs med hjälp av outsourcing.5 Bakgrunden till detta har angetts vara att förutsättningarna har ökat för myndigheterna att köpa mer färdiga och standardiserade it-tjänster från externa leverantörer i stället för att myndigheterna producerar dessa tjänster på egen hand. Kostnader relaterade till it utgör en betydande del av myndigheternas totala kostnader. Kostnadsbesparingar har därför angetts kunna göras genom att öka inslaget av externt köpta it-tjänster.6 Utkontraktering av it-drift och andra it-baserade funktioner har enligt våra iakttagelser kommit att bli allt mer centralt för en kost- nadseffektiv och även i övrigt väl fungerande digital förvaltning. 2En osjälvständig uppdragstagare är en fysisk person som har ett personligt uppdrag hos en myndighet och som har en sådan anknytning till myndigheten att han eller hon kan sägas delta i dennas verksamhet. 33 § myndighetsförordningen (2007:515). 2017/18:1, utg. omr. 2, s. 93 f. 5Se finansutskottets betänkande 2011/12:FiU2 s. 30 och regeringens skrivelse granskning av it inom statsförvaltningen och statliga it-projekt, rskr 2010/11:138. Se även IT inom statsförvaltningen – har myndigheterna på ett rimligt sätt prövat frågan om outsourcing bidrar till ökad effektivitet? , , RiR 2011:4. 6Se finansutskottets betänkande 2011/12:FiU2 s. 30. Tystnadsplikt för privata leverantörer