bet · H601KU20d3 · 2019-01-01 00:00:00 — Jag tror att … Det har ju också framkommit i utfrågningarna av generaldirektörerna att det kanske inte alltid har skötts på det sätt som … det systematiska sätt som man skulle önska. Jag förstod att före detta generaldirektören menade på att det inte hade skett någon säkerhetsanalys då till 2014. Det är klart att det kan man ju så här i efterhand konstatera att det kanske hade behövt göras. Men jag skulle ändå med bestämdhet vilja hävda att det har skett en rejäl uppskärpning i det arbetet, och det är helt nödvändigt. Ordföranden: , näringsministern, för det! Jag kommer att ge mig själv ordet för del. Vi har, som sagt, frågat ut, ifrån utskottets sida, de två tidigare generaldirektörerna för att försöka förstå vad som egentligen har skett, och inte minst hur departementet och regeringen har reagerat och vilka åtgärder som har vidtagits, för det är ju det vi granskar. Det är inte myndigheternas – vad ska vi säga – handlingar egentligen, utan det är ju kontakten däremellan. Därför så kommer jag att gå tillbaka lite i tiden. Vi har ju fått ta del av Svenska kraftnäts risk- och sårbarhetsanalyser för . så anges det i kapitlet som heter Beskrivning av identifierade sårbarheter och brister i krisberedskapen … så beskrivs … så står det att det finns •brister i analyser av sådana risker och sårbarheter inom tjänsteleverantörers verksamheter och/eller outsourcade verksamheter som har bäring på den egna verksamheten •avsaknad eller bristfällig informationsklassning, vilket kan medföra att säkerhetsklassificerad information blandas med ickeklassificerad information i de viktiga systemen •brister i regelverk för och kontroll av åtkomst till viktiga system och tillträde till anläggningar. Och i en risk- och sårbarhetsanalys så anges under rubriken och brister kopplade till informationssäkerhet för samhällsviktig verksamhet bristande kravställning och uppföljning av informations- och it-säkerhet vid upphandlingar, utkontraktering eller användning av molntjänster. Särskilt problematiskt är att säkerställa kontroll i situationer där leverantörer kan tänkas använda underleverantörer. Och – nu kommer jag till poängen – som svar … i svaren som vi har fått ta del av så anges det att som kommentar till dessa analyser har departementet svarat – och jag citerar: Miljö- och har bedömt att några särskilda åtgärder inte varit nödvändiga med anledning av de aktuella risk- och sårbarhetsanalyserna. Det här väcker ju ändå en del frågor. Hur kom … Jag frågar helt enkelt hur departementet kom fram till slutsatsen att inga åtgärder varit nödvändiga när myndigheten ändå har räknat upp punkt efter punkt där säkerhetsskyddet har brustit. Och man kan fundera på: Skulle man ha signalerat det på något annat sätt? Men hur är … Vad är det som krävs från departementets sida? Så det är egent… Om statsrådet skulle vilja svara på det: Varför gjorde man den bedömningen eller vad skulle ha krävts för att man faktiskt skulle ha talat om för myndigheten att man ska vidta åtgärder? : Tack, fru ordförande! Det är klart att statsrådet ska försöka svara på detta. Det finns flera skäl. För det första – och det är viktigt att framhålla att dessa risk- och sårbarhetsanalyser inte bara handlar om , utan det är en bedömning av hela sektorn, just därför att även om regionnäten och lokalnäten ägs privat så har ju myndigheten ett tillsynsansvar för att se till att säkra att det här arbetet sköts på bästa sätt. Så risk- och sårbarhetsanalysen handlar om hela systemet. Det är till att börja med viktigt att komma ihåg, och där är det myndighetens roll och uppgift att sköta det här. Det är det ena. Det andra är att i … För den som läser hela den här risk- och säkerhets… sårbarhetsanalysen upptäcker också att det inte bara är en analys som man redovisar. Man redovisar också genomförda, pågående och planerade åtgärder för att just ta itu med de brister som man ser när man går igenom de här risk- och sårbarhetsanalyserna. Det är klart att vi har … Departementet har ju en rutinmässig genomgång med myndigheten i fråga när dessa kommer. Om man då gör bedömningen att ja, här ser man brister men man vidtar inte några åtgärder eller man har inte några planer eller några idéer om detta, ja, då skulle det naturligtvis finnas god anledning till att ge extra uppdrag eller extra instruktioner. Men i dessa har det ju framkommit att man också har – och jag citerar – genomförda, pågående och planerade insatser som man gör såväl i den egna verksamheten men också gentemot många av de aktörer som den här risk- och sårbarhetsanalysen gäller. Sist men inte minst skulle jag också vilja citera, för det är viktigt att läsa hela detta. Då ser man ju just från – jag citerar ur samma rapporter: Vi har kunskap om beroenden mellan verksamhetens kritiska system – drifts- och övervakningssystem, drifts- och datasamt driftstelefoninätet – men det finns inte fastställda rutiner för identifiering av kritiska beroenden. En sådan process håller på att ta form inom ramen för it-arkitekturprocessen. Det vill säga att i dessa rapporter har det naturligtvis också varit ett antal åtgärder som man kommer att vidta. Och har ju departementet gjort bedömningen att jamen då pågår det arbetet. Och har det heller inte behövts några ytterligare insatser. De brister som sedermera har framkommit i rapporteringen i till exempel har ju aldrig i det sammanhanget framkommit eller framhållits just när det gäller . Första gången det framkom har ju varit just i samband med den rapporteringen. Ordföranden: för det! Jag skulle ändå vilja ställa frågan hur ministern ser på … det är ändå i ljuset av att ändå har informerat om brister i säkerhetsskyddet och sedan igen, om vi har förstått underlaget rätt, . Och näringsministern har också kopplat tillbaka till … i ljuset av Transportstyrelsen och det ökade fokuset på problematiken. Så med den informationen och med den information vi har att det har funnits brister i säkerhetsskyddet, vilket kunnat riskera rikets säkerhet … Och blir det en gene… en bred fråga. Men jag undrar ändå om … Anser näringsministern att regeringen har vidtagit tillräckliga åtgärder för att upprätthålla ett tillräckligt säkerhetsskydd på myndigheten? : Tack, fru ordförande! Jag, som sagt, bara betonar att: Nej, dessa skrivningar handlar ju inte generellt sett eller specifikt om , utan de handlar ju om hela det arbete som handlar om vårt nät med vad det innebär. Vissa delar kan handla om rutinen på myndigheten. Annat kan ju handla om hur det går till när det gäller region- och lokalnäten. Jag skulle nog säga att vi ju har ställt frågan , och det har också vidimerats av de före detta generaldirektörerna som har varit här. Och varenda gång vi har ställt frågan vid en myndighetsdialog, vid särskilda uppdrag med anledning av Transportstyrelsen, i regleringsbrevet så har svaret varje gång varit likadant, nämligen: Vi är medvetna om riskerna, och vi jobbar med dem. Och de kritiska systemen finns inne hos oss. Sedermera har det framkommit att det kan finnas brister. Där tittar nu Säkerhetspolisen igenom detta, genomför en tillsyn som tillsynsmyndighet. Jag ser ju fram emot att ta del av detta. Skulle det visa sig att de uppgifter som man har lämnat inte stämmer – vilket ju båda före detta generaldirektörerna har hävdat att det gör de ju – ja då får man ta … utifrån det vidta åtgärder. Men hit… alla gånger som regeringen har ställt frågan – vid myndighetsdialoger, vid särskilda uppdrag, och det har skett ett antal gånger – har ju svaret varit att när det gäller den egna verksamheten har man kontroll på den. (S): Ordföranden! Tack så mycket, statsrådet, för svaren så här långt! Det är väldigt mycket av de frågor jag hade … tycker jag att statsrådet har lämnat ett bra svar till. Men det här har ju också ett längre perspektiv. saknade ju helt risk- och sårbarhetsanalys. Jag skulle vilja att statsrådet reflekterade en del över den saken. Likadant var det så att tecknade man ett avtal med utan att man gjorde någon typ av säkerhetsavtal. Det här tyder ju på att – då – man utifrån det skulle kunna se att det har funnits ett bristande medvetande. Och … Vi granskade ju Transportstyrelsen, som vi har pratat om här tidigare. Och den bild vi fick då var väl att den allmänna säkerhetsmedvetenheten i Myndighetssverige gick tillbaka under det som verkade vara den eviga freden. Och håller vi på att ta oss ur den där villfarelsen, och jag skulle lite grann vilja få en bild av … Känner statsrådet att tillräckliga åtgärder är vidtagna? Tack för frågan! Jag tror att man måste vara medveten om att med den här teknologins framfart – och är vi ju inne i en ny fas med artificiell intelligens, automatiseringar och annat – så måste man alltid ha fokus på det här. Och jag delar nog ledamotens, eller vice ordförandens, uppfattning att parallellt med den här utvecklingen vid murens fall och en ganska positiv anda om att vi nu alla skulle … världen skulle komma samman och inte delas upp så pågick ju också den här digitaliseringen – datorer som kom in, internet som byggs ut med mera – och har ju naturligtvis av goda skäl tagits in också i våra verksamheter därför att det effektiviserar upp. Det där gjorde nog, tror jag … Den kombinationen har nog gjort att det inte har varit tillräckligt fokus på detta. Det är nog helt uppenbart. Och ja, det har ju skärpts upp, men det skulle vara mig främmande att både som statsråd och som medborgare tro att nu har vi gjort allt; nu är det bara att sätta sig ned och ta det lugnt. Utan jag tror att man måste ha fokus på detta – särskilt i den här typen av verksamheter som är så känsliga och som är så viktiga för hur vårt samhälle och hur vårt land fungerar. Jag har fått några … Jag vet ju inte hur den dåvarande regeringen resonerade. Jag var ju inte energiminister eller för den delen 2006 eller 2014. Jag tar de generaldirektörer som har varit här på orden när de säger: Jamen, det var ändå fokus på säkerhetsarbetet. Men helt uppenbart har det ändå framkommit att det finns brister, och de bristerna är det som Säkerhetspolisen, som tillsynsmyndighet, just nu håller på att analysera. Och när den analysen eller genomgången är gjord tror jag också att man ska titta på vad det finns för ytterligare åtgärder som behöver vidtas. Att tro att vi har gjort allt tror jag vore ett mycket stort misstag. (SD): Fru ordförande! Tack, statsrådet, för de svar som vi har fått . Med tanke på dina svar här faller en del tillbaka på före detta generaldirektören, , och att hon inte riktigt har sagt till dig som det har varit. Om man tittar på det som hände med Transportstyrelsen kan man kanske tycka att före detta generaldirektören borde vara mer medveten om att det här kunde hända på hennes myndighet. Dessutom har, som du själv var inne på, detta med jävet nämnts – att hon kontrakterade en god vän som konsult för att utreda företagets kultur, eller utveckla företagets kultur. Denna vän åker hon sedan till med. Antingen är före detta generaldirektören väldigt dåligt insatt i förvaltningslagen eller så har hon gjort detta med uppsåt. Båda alternativen är lika illa. Vi har haft två generaldirektörer som fått avgå efter ett mycket olämpligt beteende. Jag skulle vilja ställa en fråga till statsrådet om hur rekryteringsprocessen av generaldirektörer ser ut. Vilka referenser tas? Hur säkerställs att generaldirektörerna är införstådda med det speciella uppdrag som det är att vara generaldirektör för en myndighet under ett departement? Ordföranden: Jag vill erinra om att vi alltså inte granskar generaldirektörerna, vare sig de tidigare eller de sittande. : Fru ordförande! Jag uppfattade frågan som hur rekryteringsprocessen går till på departementet. Jag låter därmed den diskussion som har funnits mellan generaldirektörerna, som inte minst kom till uttryck när de varit här på besök, om hur detta har gått till så att säga stå dem emellan. Hur har vi gjort? Ja, det är klart att även detta naturligtvis är levande materia. Det förändras och skärps . När det gäller den specifika rekryteringen av – jag antar att det är det som är frågan – följde den den sedvanliga gången som hade etablerats : Först en process på departementet med en rekryteringsgrupp. När den var klar gjordes också en benchmarking, det vill säga att det gjordes en extern bedömning av om detta var den mest lämpade kandidaten. Svaret i båda fallen var ja, och därmed blev det också en anställning. Då går man naturligtvis igenom vad som förväntas av en som generaldirektör. Sedan sker det naturligtvis också – jag vill inte gå in på några klassificeringar – en säkerhetsklassning av personen i fråga. Man måste gå igenom en säkerhetsgenomgång innan man kan bli anställd som generaldirektör. Det har skett precis på det sättet. När det gäller vad som har försiggått eller inte har jag för egen del tänkt att det är oerhört viktigt att ha väldigt stort fokus på att det sker på ett sjyst sätt när man håller på och gör upphandlingar och annat, och det av ett mycket enkelt skäl. Det är att var och en av oss som har sysslat med energipolitik vet ju att i detta stora land är det inte jättemånga – inte en jättestor krets – som jobbar med detta. Det är inte så jättemånga bolag. Därmed finns alltid denna risk, och man måste naturligtvis beakta den. Därför tror jag att det är viktigt att både har tagit fram rapporter i förebyggande syfte och också tar in extern hjälp för att ytterligare förstärka detta arbete, för det får naturligtvis inte vara så att myndigheters oberoende kan ifrågasättas på detta sätt. (SD): Fru ordförande! Tack, statsrådet, för ditt svar. Jag har en till fråga. När detta blev känt – då tänker jag främst på den här jävssituationen – varför lät departementet använda sin egen advokatbyrå, eller den advokatbyrå som de hade använt tidigare och som har en stor del av sin omsättning för ? Varför lät ni dem utreda detta? Såg ni inte allvaret i detta och tog in en utomstående och helt oberoende part för att utreda detta? : Fru ordförande! När vi fick denna information, efter att jag hade bjudit in generaldirektören, var det naturligtvis – precis som det var här inför – olika uppgifter om vad som exakt hade hänt. Vi informerades den 11 om att man tänkte ta in en oberoende extern granskare. Det är klart att jag tyckte att det var bra att man gjorde det, därför att det självfallet är svårt att vinna förtroende om det ska vara någon internt eller så. Däremot när det gäller det operativa arbetet inom en myndighet är det styrelsen och generaldirektören som ansvarar för detta. var det inte klart vem man tänkte ta in, utan det blev sedermera en diskussion efter detta. (C): Fru ordförande! Jag vill återvända till detta med säkerhetsskyddsavtalen som inte tecknades med anledning av de affärer som affärsverket gjorde med . Vi fick information här i utskottet av förrförra generaldirektören att det inte ingick sådana avtal. Jag vill bara ställa en kontrollfråga, så att jag uppfattar informationen från statsrådet korrekt. Är det så att statsrådet i rollen som energiminister inte fick information om till exempel den här överträdelsen av säkerhetsskyddslagen? : Fru ordförande! Tack, , för frågan. Det är detta som Säkerhetspolisen just nu genomför en tillsyn av – exakt vad som har inträffat. Jag hörde också på utfrågningen av generaldirektören att man har lite olika bilder av detta. Men svaret på din fråga är att jag inte under hela min tid som energiminister fick det. Informationen som sedermera rapporterades i media kom efter regeringsskiftet. (C): Fru ordförande! Då vill jag ställa ytterligare en fråga. Den handlar om det som statsrådet kanske möjligen berörde , nämligen att förrförra generaldirektören vid sin medverkan här i gav uttryck för ganska mycket oro när det gäller säkerhetskulturen, säkerhetsmedvetenheten och rättsenligheten vid affärsverket. Med tanke på att statsrådet hade ansvar för myndigheten fram till undrar jag om han har någon kommentar med anledning av förrförra generaldirektörens synpunkter. : Fru ordförande! Tack, , för frågan. Jag noterar när jag läser igenom protokollet att den oron började efter att generaldirektören hade avgått. uttryckte han att det hade fungerat till fyllest. När det gäller huruvida det är så eller ej tror jag att det är viktigt att göra en rejäl och ordentlig genomgång. Jag uppfattade av båda de före detta generaldirektörerna att de själva gav uttryck för att de hade haft mycket stort fokus på detta och en ganska tät dialog med regeringen. Det är också min bild. Men man ska inte bara låta sig luras av bilder. Vi har ändå en ordning när brister framkommer. Vi har en tillsynsmyndighet, och den tillsynsmyndigheten gör just nu en rejäl genomgång. Det är viktigt att se till att gå igenom detta så att vi får alla papper på bordet så att vi vet om det där stämmer eller ej. (V): Vi får se vad som kommer fram i den genomgång som görs . Vi fick av förra generaldirektören besked om att man hade upptäckt att det inte fanns något säkerhetsskyddsavtal vad gällde , vilket förrförra generaldirektören hade varit övertygad om att det fanns. Men det upptäcktes . Det är ändå ganska anmärkningsvärt. Och det är bra att man upptäcker det, och det kanske var i ljuset av Transportstyrelsen. Men jag undrar över ministerns agerande när det gällde erfarenheterna av Transportstyrelsen och kontakterna direkt med myndigheten, eller hur man såg till att man fick tydliga besked från myndigheten. Jag uppfattade det av förra generaldirektören som att diskussion hade tagits upp i nästkommande myndighetsdialog. Jag undrar om ministern kan redogöra för hur kontakterna togs från departementet med i ljuset av det som hände med Transportstyrelsen och att man också var medveten om att det var som ändå hade systemet. Även om det var på egen plats, så att säga, var det ändå ett system från en annan part. : Fru ordförande! Jag tackar för frågan. Ja, vi har – som jag redogjorde för tidigare – såväl i regleringsbrev som i myndighetsdialog som ett särskilt uppdrag, just med anledning av de händelser som uppdagades i Transportstyrelsen, efterfrågat den informationen och ställt frågor kring säkerhetsskyddsarbetet och informationssäkerhetsarbetet. Och vid ett av dessa tillfällen – det tror jag också har vidimerats av de två före detta gd-arna – har svaret varit: Vi jobbar aktivt med detta. Vi har kontroll över alla våra känsliga system. Detta, vad jag förstår, vidhöll de båda före detta gd-arna också här när de blev utfrågade, trots den information som har kommit sedermera och som Säkerhetspolisen nu genomför en tillsyn av och som naturligtvis blir extra viktig att ta del av. Men svaret på frågan är: Ja, vi har gjort det. Vi har gjort det i allmänhet i nyhetsdialoger, vid särskilda uppdrag, med anledning av Transportstyrelsen och i regleringsbrev. Och vid alla dessa tillfällen har svaret varit: Vi bedriver ett systematiskt arbete, och vi har kontroll över våra system. (V): Fru ordförande! Tack, ministern, för svaret. Jag uppfattade det som att en del av dessa saker ändå var sådant som gick ut till fler myndigheter – alltså generella förfrågningar och generella uppdrag. är ändå ganska speciellt och väldigt viktigt och som ministern hade ansvar för. Då undrar jag om det var någon specifik kontakt just med med anledning av detta som ministern tog initiativ till och på vilket sätt. : Fru ordförande! Det är en specifik och en så kallad bevakningsmyndighet som vi har. Med den infrastruktur som de ansvarar för är det i allra högsta grad skäligt. Ja, vi hade kontakt med dem specifikt, som affärsverk under Miljö- och , men just av den anledningen. Vi har haft det i generella uppdrag i regleringsbrev, i myndighetsdialoger och i särskilda uppdrag som i det fallet. I samtliga av dessa fall har svaret varit likadant, att man bedriver detta arbete. Som jag svarade på kan jag inte redogöra för vad som hände eller inte hände av det enkla skälet att jag inte satt i regeringen och inte var energiminister då. Den första gången som detta över huvud taget har kommit till min kännedom att det kan finnas ett problem var efter regeringsskiftet, det vill säga när jag blev utnämnd till näringsminister därför att det kom upp i medierapporteringen. Skånberg (KD): Fru ordförande! Tack, näringsministern för svaren så här långt. I våra tidigare skriftliga frågor från utskottet har vi frågat hur informationen till just näringsministern från har sett ut. Då har svaret varit att informationen har varit löpande. Och under den här utfrågningen har statsrådet sagt att det är rutinmässig genomgång och ett antal gånger. Utskottet kommer att få bedöma om statsrådet har varit tillräckligt informerad. Därför vill jag ge tillfälle för näringsministern att utveckla: Vad innebär löpande information, rutinmässig genomgång och ett antal gånger? Skulle näringsministern vilja gå i detalj och tala om det? : Fru ordförande! Tack, Skånberg, för frågan! Det är två olika saker. Först och främst är det arbetet som pågår när det gäller den dialog som vi har enligt den konstitution som vi har att bedriva. Det är allt från lagar och förordningar, regleringsbrev, myndighetsdialoger, särskilda uppdrag med mera. Det är jag naturligtvis i allra högsta grad delaktig i, för att allt bereds ju med många av de uppdragen också när de redovisas. Detta kommer naturligtvis på mina beredningar att redovisas till mig. Där har vi redovisat exakt vilka det var. Sedan är det den andra frågan, som handlar om de specifika händelser som rapporterades i medierna. Där är det så att första gången jag får höra talas om att det finns den typen av brister är när den dåvarande generaldirektören hör av sig till min statssekreterare och säger att det har funnits problem med rutinerna kring en säkerhetsklassning av en ny chef men att det numera är åtgärdat, och där fanns … Denna information fick jag naturligtvis genast av min statssekreterare, för den dialogen har vi ju. Eftersom det var första gången jag hörde talas om det tyckte jag att vi nog inte skulle nöja oss med det, utan jag instruerade honom att be departementet att ställa följdfrågor, vilket sedermera gjordes. När vi fick svaren tyckte jag inte heller att de var till fyllest, och det var då jag beslutade mig för att kalla upp eller be generaldirektören med medarbetare att komma upp så att jag fick information om exakt vad det var som hade hänt. I samband med detta gjorde man en incidentanmälan av två fall till Säkerhetspolisen, och jag fick den informationen den 11 vid ett möte med den dåvarande generaldirektören. fick jag information om att de avsåg att ta kontakt med Säkerhetspolisen för att göra en genomgång, som sedermera har mynnat ut i en tillsyn som Säkerhetspolisen tagit initiativ till, vilket är väldigt bra. Det andra var att ta in en oberoende granskare för att gå igenom de uppgifter som fanns om jäv i ett tidigare uppdrag som den dåvarande generaldirektören hade. Detta tyckte jag också var bra, för det är viktigt att man går till botten med sådant så att det inte bara är medieuppgifter utan man får det på bordet. Sedermera har händelseförloppet utvecklats, som Skånberg mycket väl känner till. Skånberg (KD): Fru ordförande! Från har vi bilden ganska klar för oss. Jag vill ändå, för utskottets information, pejla lite grann om rutiner eller möjliga brister i rutiner när det handlar om att hålla sig informerad före . i backspegeln: Kunde statsrådet ha varit mer proaktiv? Borde departementet ha pejlat detta tidigare? Kan statsrådet utveckla något om händelseförloppet före ? Han var naturligtvis okunnig om det då, men borde han ha informerat sig eller ställt frågor ? : Fru ordförande! Tack, Skånberg, för följdfrågan! Ja, han – om man nu ska prata om sig själv i tredje person – både kunde och gjorde det, såväl i de myndighetsdialoger som är legio i sammanhanget – där går man igenom viktiga frågor, och det finns också upptaget på dagordningen – som i särskilda uppdrag.