bet · H601KU20 · 2019-06-17 00:00:00 — Genom skrivelser till begärde utskottet svar på frågor och att få ta del av bl.a. Svenska kraftnäts risk- och sårbarhetsanalyser 2016–2018. Som svar fick utskottet promemorior från Miljö- och , , och (bilaga A3.1.2–3). Till promemoriorna är bifogat bl.a. risk- och sårbarhetsanalyser och dagordningar från Miljö- och myndighetsdialoger med . Två av bilagorna har sekretessmarkering. Nytt styr- och övervakningssystem Svenska kraftnäts behov av ett nytt styr- och övervakningssystem har varit en del av verkets investerings- och finansieringsplaner som redovisats för under avsnitt Förslag avseende svenska kraftnäts verksamhet i budgetpropositionerna 2009–2016 utgiftsområde 21. Miljö- och informerades inför att sa upp kontraktet med en leverantör av styr- och övervakningssystemet (Alstom) då den leverantören inte kunde leverera de efterfrågade tjänsterna. informerade om att verket avsåg att göra en direktupphandling med den tidigare leverantören () om uppgradering av det dåvarande systemet. Miljö- och fick ingen information om säkerhetsfrågor med koppling till upphandlingen. Miljö- och fick information från om att det fanns brister rörande säkerhetsskyddsavtal i samband med anskaffningen av ett nytt styr- och övervakningssystem 2014. informerade om att det saknats säkerhetsskyddsavtal med leverantören av styr- och övervakningssystemet och att det genomfördes säkerhetskontroll i förenta stater. Ett säkerhetsskyddsavtal tecknades , och en begäran om registerkontroll av personal hos leverantören lämnades . Det har inte förts några formella minnesanteckningar vid kontakter mellan Miljö- och och i frågan. Miljö- och har inte tagit kontakt med några andra myndigheter i frågan. Som bilaga till promemorian finns bl.a. ett e-postmeddelande från till . I e-postmeddelandet anges att skulle gå ut med ett pressmeddelande. I pressmeddelandet skulle anges att har träffat avtal med om en uppgradering av systemet för drift och övervakning av det svenska stamnätet för el. Det nya driftsövervakningssystemet skulle vara fullt levererat 2016. Frågor om outsourcing av säkerhetskänslig verksamhet från eller situationer där leverantörer fått del av säkerhetskänslig information från har inte tagits upp vid myndighetsdialoger eller andra tillfällen. Av Svenska kraftnäts risk- och sårbarhetsanalyser framgår genomgående att målet med dem är att , elsektorn och andra intressenter ska ha en god kännedom om hot, risker och sårbarheter inom elförsörjningen. risk- och sårbarhetsanalys gjorde med anledning av det uppdrag regeringen i regleringsbreven gett de bevakningsansvariga myndigheterna (se ovan) en fördjupad analys inom området informationssäkerhet. Varken Miljö- och eller hade före regeringsuppdraget fått några signaler om brister i Svenska kraftnäts arbete med säkerhetsskydd och informationssäkerhet. Av risk- och sårbarhetsanalysen framgår att en övergripande bedömning var att kvaliteten i säkerhetsarbetet hos företagen inom elförsörjningen var varierande. Stora och en del medelstora elföretag har egna resurser och kompetens för att bedriva ett systematiskt säkerhetsarbete inom företagets verksamhetsområde, medan en del medelstora och små elföretag delvis eller helt saknar denna typ av resurs inom företaget. I Svenska kraftnäts risk- och sårbarhetsanalys redovisas i avsnitt 7 Beskrivning av identifierade sårbarheter och brister i krisberedskapen de sårbarheter och brister i förmåga som framkommit inom myndigheten och dess ansvarsområde (elsektorn). Bristerna är dock av övergripande karaktär och förekommer i varierande grad inom elförsörjningen. Som sårbarheter och brister kopplade till exponering av skyddsvärda informationsresurser nämns i den i krisberedskapen noggranna undersökningen bl.a. brister i analyser av sådana risker och sårbarheter inom tjänsteleverantörers verksamheter och outsourcade verksamheter som har bäring på den egna verksamheten. Vidare anges som sårbarheter och brister avsaknad av eller bristfällig informationsklassning, vilket kan medföra att säkerhetsklassificerad information blandas med icke-klassificerad information i de viktiga systemen, samt brister i regelverk för och kontroll av åtkomst till viktiga system och tillträde till anläggningar. I Svenska kraftnäts risk- och sårbarhetsanalys redovisas i avsnitt 7 Beskrivning av identifierade sårbarheter och brister i krisberedskapen de sårbarheter och brister i förmåga som framkommit vid fördjupade analyser av risker inom myndigheten och dess ansvarsområde (elsektorn). De identifierade bristerna utgör en utgångspunkt för fortsatt arbete med åtgärder. Bristerna är av övergripande karaktär och förekommer i varierande grad inom elförsörjningen. Som sårbarheter och brister kopplade till informationssäkerhet för samhällsviktig verksamhet (avsnitt 7.2) anges bl.a. bristande kravställning och uppföljning av informations- och it-säkerhet vid upphandlingar och utkontraktering eller användning av molntjänster. Det anges att det är särskilt problematiskt att säkerställa kontroll i situationer där leverantörer kan tänkas använda underleverantörer. Miljö- och har haft möten på tjänstemannanivå med i samband med att myndigheten överlämnat sina risk- och sårbarhetsanalyser. Departementet har bedömt att några särskilda åtgärder inte varit nödvändiga med anledning av de aktuella risk- och sårbarhetsanalyserna. har fått en kopia av dessa samt Miljö- och bedömningar. Under 2016-2018 genomfördes årlig myndighetsdialog med , och . Säkerhetsfrågor ingår som en del i den löpande dialogen med . Säkerhetsskydd och informationssäkerhet togs upp vid de årliga myndighetsdialogerna och . Vidare ägde ett möte om informationssäkerhet rum vid vilket redogjorde för hur verket arbetar med frågan. inhämtade Miljö- och information om det it-säkerhetsarbete som bedrevs hos de myndigheter som departementet ansvarar för, inklusive . I samband med att en ny statssekreterare med ansvar för energifrågor tillträdde fick han del av en sammanställning av den inhämtade informationen. Av sammanställningen framgår att uppgett: ”Huvuddelen av Svenska kraftnäts datahantering sker i verkets egen datormiljö. Det gäller alla verksamhetskritiska system och sådana som innehåller uppgifter som är känsliga med hänsyn till rikets säkerhet.” Säkerhetspolisens redovisning av det uppdrag som regeringen gav om att identifiera och redovisa åtgärder som kunde bidra till att ytterligare utveckla arbetet för att skydda de mest skyddsvärda verksamheterna i innehöll inte några åtgärder som särskilt gällde . informerade Miljö- och om att verket hade skickat in en begäran till Säkerhetspolisen om att utöva tillsyn över Svenska kraftnäts säkerhetsskyddsarbete. Miljö- och fick kopia på en begäran som Säkerhetspolisen hade sänt till med anledning av en pågående omorganisation vid verket. Varken eller Statsrådsberedningen har fått information om Säkerhetspolisens begäran eller om de omständigheter som ledde till begäran och Säkerhetspolisens fortsatta arbete i frågan. fick Miljö- och besked från om att Säkerhetspolisen hade fattat beslut om att inleda en tillsyn. Den information som framkommit ledde till att den dåvarande samordnings- och energiministern kallade den dåvarande generaldirektören för till ett möte . Regeringen beslutade att anställa som generaldirektör i och utsåg en tillförordnad generaldirektör för . har inte tagit del av de säkerhetsanalyser upprättade 2016–2018 enligt 5 § säkerhetsskyddsförordningen. Det har inte förts några formella minnesanteckningar vid kontakter mellan Miljö- och och . Miljö- och har inte tagit kontakt med några andra myndigheter i dessa frågor. Säkerhetsprövning av styrelseledamöter diskuterades vid ett kvartalsmöte och vid ett strategiskt möte mellan Miljö- och och . Säkerhetsprövning av ledamöter i insynsrådet för elberedskap diskuterades vid ett kvartalsmöte mellan Miljö- och . Styrelseledamöterna är nu säkerhetsprövade. Säkerhetsprövning av ledamöter i insynsrådet för elberedskap bereds inom . Den dåvarande generaldirektören gav information om brister i rutinerna för säkerhetsprövning till den dåvarande statssekreteraren med ansvar för energifrågor. Därefter gav ställföreträdande generaldirektören och representanter för krisledningsorganisationen hos information till Miljö- och . informerade då om att säkerhetsprövningen som gjordes vid anställningen av en av Svenska kraftnäts chefer inte följde det regeringsbeslut om placering av befattningar vid i säkerhetsklass som fattades . angav att personen säkerhetsprövades i enlighet med den klass som följer av regeringsbeslutet. Svenska kraftnäts bedömning är att det inte har funnits någon säkerhetsrisk. Det har inte förts några formella minnesanteckningar vid kontakter mellan Miljö- och och . Miljö- och har inte tagit kontakt med några andra myndigheter i dessa frågor. Vid ett möte informerade den dåvarande generaldirektören för den dåvarande samordnings- och energiministern om att avsåg att ta hjälp av tillsynsmyndigheten (Säkerhetspolisen) för att värdera arbetet med säkerhetsprövning av personal och för att få hjälp med ytterligare bedömningar och överväganden. Kontakter inom om säkerhetsfrågor hos Miljö- och informerade på tjänstemannanivå Statsrådsberedningen om vad som då framkommit om Svenska kraftnäts säkerhetsskyddsarbete. Därefter har den dåvarande statssekreteraren med ansvar för energifrågor och den dåvarande samordnings- och energiministern löpande informerat Statsrådsberedningen om vad som framkommit. Den dåvarande statssekreteraren med ansvar för energifrågor informerade också löpande. Det har inte förts några formella minnesanteckningar vid kontakterna med andra departement eller Statsrådsberedningen. Den dåvarande samordnings- och energiministern informerades löpande om den information som lämnades till Miljö- och . Information om ändrade stamnätstariffer Inga kontakter förekommer mellan och Miljö- och inför att fastställer stamnätstarifferna. offentliggör normalt de nya tarifferna , och Miljö- och brukar få ta del av informationen i nära anslutning till offentliggörandet. Miljö- och fick information om de nya tarifferna . Svenska kraftnäts fastställande av stamnätstarifferna 2018 föregicks inte av några kontakter med Miljö- och . Vissa upphandlingar av konsulttjänster Miljö- och fick inte några signaler om att det skulle ha förekommit brister i hanteringen av jäv hos . översändes till Miljö- och det underlag som hade skickats till Svenska kraftnäts styrelse inför mötet . I det materialet fanns bl.a. en rapport som hade tagits fram av konsulter på initiativ av Svenska kraftnäts internrevisor benämnd Granskning av det förebyggande arbetet mot oegentligheter och korruption. kommenterade inte detta särskilt, och ingen dialog ägde rum mellan och Miljö- och i frågan. fick Miljö- och uppgift om att det skulle ha förekommit brister kopplade till jäv vid konsultupphandling vid . De rapporter med en sammanställning av misstankar om oegentligheter och korruption som tas fram inom togs inte upp vid kontakter mellan Miljö- och och –2018. mottog ingen information från i samband med granskning 2016 om informationssäkerhet vid nio myndigheter (RiR 2016:8) utöver själva granskningsrapporten. Utskottet höll en offentlig utfrågning med f.d. generaldirektören för (bilaga B2). anförde bl.a. följande. Säkerhetsfrågorna har alltid stått i fokus för . Även när totalförsvaret lades ned var fortfarande landets elberedskapsmyndighet. har jobbat väldigt mycket med säkerheten för de verksamhetskritiska systemen, inte minst för driftsövervakningssystem, driftsdatanät och driftstelenät. Det pågick ett kontinuerligt arbete bl.a. med frågor om informationsklassning, delvis som ett resultat av att myndigheten vid den här tidpunkten, 2014–2015, jobbade igenom just dessa frågeställningar i syfte att upprätta en ny säkerhetsanalys. Det hade visat sig att den säkerhetsanalys som fanns var och helt obsolet. efterfrågade inte en ny säkerhetsanalys, men Säkerhetspolisen påpekade att myndigheten borde ta fram en ny. Arbetet syftade till att kartlägga vilken information som var känslig eller särskilt känslig och hur myndigheten klassade den internt. Vidare anförde att myndigheten hade beslutat att investera i ett nytt driftsövervakningssystem. Ett franskt system upphandlades, men det visade sig att den leverantörens system inte inom rimlig tid uppfyllde de säkerhetskrav myndigheten ställde. I stället avsåg myndigheten att upphandla en uppgradering av det befintliga systemet. Vidare anförde bl.a. följande. Under hans första som generaldirektör höjde myndigheten stamnätstariffen. Höjningarna offentliggjordes – det femte året först . Sedan har det varit oförändrade avgifter eller till och med en viss sänkning , 2014, 2015 och 2016. Det har offentliggjorts av –oktober. Och 2017 offentliggjordes uppgifterna om tariffhöjning . Utskottet höll en offentlig utfrågning med f.d. generaldirektören för (bilaga B5). anförde inledningsvis bl.a. följande. Uppdraget som generaldirektör handlade mycket om utveckling av affärsverket. Ordet utveckling nämndes sju eller nio gånger av dåvarande statssekreteraren då hon presenterades som ny generaldirektör på myndigheten. Och att utvecklas har hon använt som en ledstjärna. Det gällde förstås utveckling för att möta den pågående energiomställningen, inklusive energiöverenskommelsen, den europeiska elmarknadskopplingen och att utvecklas till en modern myndighet. Myndigheten arbetade för att förbättra styrningen och samarbetet såväl inom verket som med kunder och intressenter – allt för att stötta den beslutade klimatpolitiken. Under myndighetsdialogen har myndigheten bl.a. redovisat ett gediget strategiarbete som har genomförts med medarbetare och styrelse. Man har också redovisat en omorganisation med tydligare fördelning av ansvar och haft en dialog om insynsrådet för elberedskap. Vidare anförde att det finns ett regeringsbeslut från om placering av befattningar hos i säkerhetsklass. beslutade den dåvarande generaldirektören att inga nyanställningar skulle ske i säkerhetsklass 3. De säkerhetsfrågor skrev om var avklarade , med den vetskap som fanns då. Vid en förnyad genomgång gjorde myndigheten två incidentanmälningar på grund av undantag. Dessa är nu genomgångna helt utan anmärkning. Vidare anförde att Säkerhetspolisen fick ett samtal från . Därefter skrev Säkerhetspolisen en promemoria och ville ha svar på om omorganisationen vid verkligen stöttade ett gott säkerhetsskyddsarbete. Ett möte ägde rum mellan ansvarig divisionschef och en tillförordnad avdelningschef. Säkerhetspolisen stöttade förslaget fullständigt. Vad gällde det nya driftsövervakningssystemet fick en promemoria från den dåvarande säkerhetsskyddschefen. Enligt promemorian borde en förnyad diskussion genomföras om registerkontroll. tolkade inte detta som ett bör utan som ett ska och beslutade om en omedelbar avtalsförhandling med de amerikanska konsulterna. En amerikansk prövning gjordes, och en säker inloggning har funnits . fanns ett nytt säkerhetsskyddsavtal påskrivet. Även dessa händelser anmäldes som en incident. Anmälan om incidenter görs helt enkelt vid behov. Totalt anmäldes tre incidenter till Säkerhetspolisen. Samtliga är genomgångna utan anmärkning eller krav på åtgärder. anförde vidare att hon begärde tillsyn av Säkerhetspolisen efter två av dessa tre incidenter. Säkerhetspolisen är tillsynsmyndighet för säkerhetsfrågor gentemot bl.a. . Tillsynen pågår, och den kommer nog att pågå . anförde vidare att myndigheten startat en krisledningsorganisation. Krisledningen har gett kontinuerlig information till Miljö- och . hade hon tillsammans med den nya säkerhetsskyddschefen och den tillförordnade kommunikationschefen ett möte med statsrådet, statssekreteraren, expeditions- och rättschefen samt enhetschefen på departementet för att presentera mer fakta. På en fråga om huruvida de signaler om brister i arbetet med säkerhetsskydd och informationssäkerhet som lämnades i risk- och sårbarhetsanalysen lett till några instruktioner från departementet om säkerhetshöjande åtgärder svarade nej. anförde också att har redogjort för verkets it-miljö till departementet och diskuterat hur den har sett ut – allt för att klarlägga att det fungerar väl men att det finns en utmaning och att man alltid måste jobba med frågan. uppgav att regeringen fick den första informationen från myndigheten om bristerna som framkommit. Vidare uppgav att efter händelserna vid Transportstyrelsen fick alla myndigheter i uppgift att ta reda på hur det stod till med outsourcing. Myndigheten gick igenom resultatet av genomlysningen som hade gjorts tillsammans med styrelsen vid nästa myndighetsdialog. Det var tillfredsställande tyckte man på departementet. Det var inte några av de affärskritiska eller kritiska systemen som var outsourcade på myndigheten, och det kände departementet till. anförde att de uppgifter som kommit fram i massmedierna om felaktiga säkerhetsprövningar inte stämde. Myndigheten gjorde en egen genomgång och upptäckte då två stycken placeringar i fel säkerhetsklass. Dessa anmäldes som incidenter och rättades till. Vad gäller publiceringen av ändrade stamnätstariffer anförde att det som avses var en förhandsinformation till elnätsbolagen. Det var inte själva beslutet som blev försenat, utan en förhandsinformation. I den normala processen, alla år, gör man finjusteringar av de beräkningar man gjort . Just 2018 tog ledningen helhetsansvaret, för såg att det saknades en ansvarsfördelning mellan de som gjorde beräkningarna och de som skulle kommunicera dem. De som ansvarade för kommunikationen ville gärna kommunicera stamnätstarifferna. De höga elpriserna på grund av bl.a. torkan gjorde dock att var väldigt osäker på om beräkningarna som gjorts skulle hålla. Utskottet höll en offentlig utfrågning med statsrådet (bilaga B7). Inledningsvis anförde att en tillsyn av Säkerhetspolisen vad gäller Svenska kraftnäts säkerhetsskyddsarbete pågår. Det är väldigt viktigt att få klarhet i vad som verkligen har skett. Resultatet av denna tillsyn kommer naturligtvis att ge regeringen anledning att återkomma, eventuellt med nya åtgärder om det skulle visa sig att det behövs. Vidare anförde bl.a. följande. Det som har rapporterats och det som har varit föremål för utfrågning i fråga om brister kan delas in i tre huvudsakliga områden. För det första har det rapporterats om jäv, om att man inte har varit tillräckligt noga med frågor som kan tangera jäv eller har varit jäv. Det har framför allt handlat om att den förra generaldirektören i sin roll som marknadsdirektör tecknat ett avtal med ett konsultföretag där en personlig vän arbetade som också fick en roll i uppdraget. avsåg att låta granska händelsen genom en extern oberoende granskare, men i samband med att en ny tillförordnad generaldirektör utsågs av regeringen valde att inte gå vidare med utredningen. En extern konsultutredning har specifikt granskat HR-direktörens agerande i samma härad. Frågan har även där gällt jäv i upphandling och dessutom raderande av e-post. kommer enligt uppgift att upphandla ytterligare en extern konsultutredning för att mer allmänt och framåtsyftande granska processer och rutiner kopplade till avrop av konsulter. ser väldigt positivt på detta och regeringen kommer att fortsätta att ha fokus på de här viktiga frågorna. Det andra som har tagits upp är frågan om kommunikationen om stamnätstarifferna i anslutning till förra årets val. underströk att det är Svenska kraftnäts ansvar att besluta om nya stamnätstariffer men också om och när de kommunicerar detta. Det var vid tillfället redan känt att tariffhöjningar var väntade. Regeringen kommunicerade nämligen detta redan i budgetpropositionen . Det tredje område som medierna har rapporterat om är kanske det allvarligaste, och det har också varit föremål för diskussion och för utfrågning. Det handlar naturligtvis om brister kopplade till säkerhetsskyddsarbetet. Myndigheter som bedriver verksamhet som till någon del är av betydelse för säkerhet måste också bedriva ett systematiskt säkerhetsskyddsarbete. Det gäller både det fysiska skyddet, som t.ex. rutiner för inpassering, och it-säkerhetsfrågor, som ju har vuxit i dignitet allteftersom ny teknik har kommit in. menade att även medvetenheten på det här området generellt sett har vuxit . Detta är bra, för det har framkommit brister på en del områden, vilket naturligtvis alltid måste tas på allvar. Vidare anförde att han inte var nöjd med den information som verket gav till Miljö- och om de brister som det rapporterades om . Han tog därför initiativ till att först ställa följdfrågor och sedan, när inte heller det var till fyllest, bjuda in den dåvarande generaldirektören för att informera om detta. Vid mötet framkom att avsåg att ta hjälp av Säkerhetspolisen för att genomlysa detta. välkomnade att Säkerhetspolisen genomför en formell tillsyn, för det är viktigt att missförhållanden kommer upp på bordet och att processer och rutiner säkerställs. anförde vidare att i regleringsbrevet fick i uppdrag av regeringen att redovisa vilka övergripande åtgärder affärsverket vidtagit för att bedriva ett systematiskt säkerhetsskyddsarbete i enlighet med säkerhetsskyddslagen och säkerhetsskyddsförordningen. Mot bakgrund av händelserna vid Transportstyrelsen inhämtades också information om it-säkerhetsarbetet hos de myndigheter som sorterade under Miljö- och , inklusive . Av den informationen framgick bl.a. att datahantering av alla verksamhetskritiska system och sådana system som innehåller verksamheter som är känsliga med hänsyn till rikets säkerhet sker i verkets egen datormiljö. De bevakningsansvariga myndigheterna, däribland , fick också i uppdrag att analysera och bedöma informationssäkerheten i de delar av den egna verksamheten som är nödvändiga för att myndigheten ska kunna utföra sitt arbete. Myndigheten för samhällsskydd och beredskap fick i uppdrag att i samverkan med Säkerhetspolisen och Försvarsmakten göra en samlad analys och bedömning utifrån de bevakningsansvariga myndigheternas redovisningar av analyser och bedömningar av sin informationssäkerhet. Detta uppdrag redovisades . Säkerhetsfrågor har också en viktig aspekt i arbetet med det återupptagna totalförsvarsarbetet. Av regleringsbrevet framgår att de bevakningsansvariga myndigheterna, däribland , i arbetet med civilt försvar bl.a. ska stärka arbetsformer för samverkan, inklusive utrustning och tekniska system, som möter de höga krav på sekretess och robusthet som ställs vid höjd beredskap. anförde också att frågan om säkerhetsskydd och informationssäkerhet togs upp vid den årliga myndighetsdialogen med . Inte heller då framkom något av det som sedermera rapporterade om. Vad gäller brister omnämnda i Svenska kraftnäts risk- och sårbarhetsanalyser framhöll att dessa analyser inte bara handlar om , utan det är en bedömning av hela sektorn. Även om regionnäten och lokalnäten ägs privat har myndigheten ett tillsynsansvar för att se till att säkra att det arbetet sköts på bästa sätt. Risk- och sårbarhetsanalysen handlar därför om hela systemet. Vidare anförde att det inte bara är en analys som redovisar. Man redovisar också genomförda, pågående och planerade åtgärder för att ta itu med de brister man identifierat. Departementet har en rutinmässig genomgång med myndigheten i fråga när risk- och sårbarhetsanalysen lämnas. Om man då gör bedömningen att det finns brister och man inte vidtar några åtgärder eller man inte har några planer eller några idéer om detta finns det god anledning att ge extra uppdrag eller extra instruktioner. Men i Svenska kraftnäts risk- och sårbarhetsanalyser har det framkommit att man har genomförda, pågående och planerade insatser som man gör såväl i den egna verksamheten som gentemot många av de aktörer som risk- och sårbarhetsanalysen gäller. Departementet har gjort bedömningen att det inte har behövts några ytterligare insatser. Utskottet höll en offentlig utfrågning med statsminister (bilaga B10).