bet · H601KU20 · 2019-06-17 00:00:00 — Inledningsvis anförde att det mot bakgrund av Svenska kraftnäts säkerhetsskyddsarbete är av vikt att få klarhet i vad som skett, vilka brister som finns och hur allvarliga dessa är. Säkerhetspolisen genomför nu en tillsyn av Svenska kraftnäts säkerhetsskyddsarbete. Innan denna tillsyn är avslutad är det svårt att ha en fullständig bild av vad som har inträffat när det gäller Svenska kraftnäts säkerhetsskydd. Vidare anförde att regeringen självfallet har det övergripande ansvaret för styrningen av sina myndigheter och för att hålla sig informerad om deras verksamhet. anförde också att säkerhetsfrågor ligger högt på regeringens dagordning, och att regeringen har vidtagit ett stort antal åtgärder för att förbättra myndigheternas säkerhetsskyddsarbete. En mängd regeringsbeslut såväl före som efter händelserna hos Transportstyrelsen har fattats för att generellt förbättra informationssäkerheten, såsom kravet på statliga myndigheter att samråda med Säkerhetspolisen eller Försvarsmakten innan de utkontrakterar säkerhetskänslig verksamhet. En ny säkerhetsskyddslagstiftning trädde i kraft . Den nya lagen innebär en modernisering och en ambitionshöjning på området, och den ska förstärka skyddet för de mest skyddsvärda verksamheterna i samhället. Regeringen har också tagit initiativ till en ny utredning på området, som överlämnade sitt betänkande. Och förslagen i betänkandet innebär bl.a. utökad kontroll vid utkontraktering, upplåtelse och överlåtelse av säkerhetskänslig verksamhet och en betydande förstärkning av tillsyn på området. Det här betänkandet har remitterats, och analyserar nu de remissvar som har kommit in. Det pågår också ett arbete med att vidareutveckla myndighetsstyrningen i när det gäller frågor om säkerhetsskydd och informationssäkerhet. Regeringen kommer även i fortsättningen att agera för att öka medvetenheten om vikten av säkerhetsskyddsarbete. Vidare anförde att informationen om brister hos kopplade till säkerhetsskyddsarbetet nådde , då Svenska kraftnäts dåvarande generaldirektör kontaktade den dåvarande statssekreteraren med ansvar för energifrågor om brister i rutinerna för säkerhetsprövning. Statsrådsberedningen och informerades , och har löpande informerats om vad som framkommit om Svenska kraftnäts säkerhetsskyddsarbete. rutiner för att säkerställa informationsöverföring mellan departement samt mellan departement och Statsrådsberedningen har följts. anförde vidare som svar på frågor att identifierat brister i sina risk- och sårbarhetsanalyser. redovisade myndigheten genomförda, pågående eller planerade åtgärder, och med det såg inte regeringen behov av att själv kliva in och vidta några särskilda åtgärder. De risk- och sårbarhetsanalyser som görs för avser dels den egna myndigheten, dels andra verksamheter runt om, som myndigheten har ansvar för. Vidare anförde att de bevakningsansvariga myndigheterna i sina regleringsbrev fick i uppdrag att redovisa vilka övergripande åtgärder som har vidtagits för att bedriva ett systematiskt säkerhetsskyddsarbete. Och inhämtades information om myndigheternas it-säkerhetsarbete specifikt. fick de bevakningsansvariga myndigheterna i uppdrag att analysera och bedöma informationssäkerheten i den egna verksamheten. Myndigheten för samhällsskydd och beredskap fick i uppdrag att samverka med Säkerhetspolisen och Försvarsmakten och göra en samlad analys och bedömning utifrån de bevakningsansvariga myndigheternas redovisningar och analyser. Säkerhetspolisen fick i uppdrag att redovisa en samlad bild av vilka generella brister som finns i säkerhetsskyddet hos de myndigheter som bedriver mest skyddsvärd verksamhet, och vilka ytterligare åtgärder man kan vidta. I regleringsbreven har de bevakningsansvariga myndigheterna också fått i uppdrag att arbeta med civilt försvar, att stärka arbetsformerna för samverkan som möter höga krav på sekretess och robusthet osv. På frågor om informationen om ändringarna av stamnätstarifferna svarade att ändringarna inte var någon hemlighet. Regeringen såg ju behovet av investeringar och därmed av avgiftshöjningar. Det hade kommunicerats i budgetpropositionen att med den investeringsvolym som hade framför sig kommer avgifterna att behöva höjas. Så det var regeringen öppen med och hade redogjort för. Regeringen lägger sig inte i myndigheternas kommunikation över huvud taget. ansvarar för drift, förvaltning och utveckling av det svenska stamnätet för el. Dessutom är systemansvarig myndighet och elberedskapsmyndighet. Det har förekommit brister i arbetet med säkerhetsskydd och säkerhetsprövningar vid . Säkerhetsskyddsavtal har inledningsvis saknats vid anskaffningen av ett nytt styr- och övervakningssystem. Nyanställd personal på vissa tjänster har inte säkerhetsprövats utifrån den säkerhetsklass som fastställts av regeringen för tjänsterna. Att en myndighet med samhällsviktiga uppgifter inte har hanterat säkerhetsskyddet och säkerhetsprövningarna på ett riktigt sätt är allvarligt. har det pågått ett systematiskt arbete med säkerhetsfrågor vid i form av de risk- och sårbarhetsanalyser som upprättats med genomgångar av hot, risker och sårbarheter inom myndighetens verksamhetsområde. I analyserna har även redovisat genomförda, pågående och planerade åtgärder. Utskottet kan konstatera att säkerhetsfrågor har ingått som en del i den löpande dialogen mellan Miljö- och och . I granskningen har inte framkommit att vid dessa dialoger redovisat några av de brister som senare har blivit kända. Inte heller har dessa brister framgått av risk- och sårbarhetsanalyserna. Vad gäller risk- och sårbarhetsanalyserna har Miljö- och bedömt att några särskilda åtgärder inte varit nödvändiga från regeringens sida med hänvisning till att myndigheten även redovisat att åtgärder vidtogs. I sammanhanget kan även noteras att det av information som inhämtades av regeringen efter händelserna vid Transportstyrelsen framgick att huvuddelen av Svenska kraftnäts datahantering skedde i verkets egen datormiljö. Det gällde alla verksamhetskritiska system och sådana system som innehåller uppgifter som är känsliga med hänsyn till rikets säkerhet. När det gäller de uppmärksammade bristerna kring säkerhetsskydd och säkerhetsprövningar och de åtgärder som vidtas av framgår av granskningen att Miljö- och fick information om dessa först . Informationen har därefter utan dröjsmål förts vidare till Statsrådsberedningen och . Utskottet förutsätter att regeringen, med respekt för förvaltningens självständighet enligt regeringsformen, ser till att både styra myndigheterna och håller sig informerad om deras verksamhet. Utskottet förutsätter vidare att berörda delar av informeras när händelser som kan vara av betydelse för rikets säkerhet inträffar. I det nu aktuella fallet har det inte framkommit några brister i dessa hänseenden. Granskningen ger inte anledning till något ytterligare uttalande av utskottet. 3.2 Förnyad granskning av regeringens hantering av Transportstyrelsen I en anmälan till (dnr 2662-2017/18), bilaga A3.2.1, begärs det att utskottet granskar om och hur regeringen efter händelserna kring Transportstyrelsens outsourcing av it-verksamheten säkerställt att något liknande inte ska kunna inträffa igen. Utskottet bör också enligt anmälan utreda hur regeringen har hållit sig informerad om de säkerhetsbrister som kvarstår. Vidare bör enligt anmälan utskottet följa upp sina slutsatser vid den tidigare granskningen rörande Transportstyrelsen för att se hur regeringen tillvaratagit dessa. I anmälan anförs också att det har framkommit i en artikel i att Transportstyrelsen fortfarande har allvarliga brister i sin it-säkerhet. I artikeln hänvisas även till en rapport från . Till grund för granskningen har bl.a. legat två promemorior från , bilaga A3.2.2–3. Transportstyrelsen genomförde en upphandling om förändrad it-drift. tecknade Transportstyrelsen ett avtal med () om driften av myndighetens it-system (outsourcing). i har underleverantörer utomlands. Avtalet innebär att ska ansvara för att maskinvara, nätverk och program fungerar. Detta omfattar också driften av de register som Transportstyrelsen har ansvar för, t.ex. vägtrafikregistret. övertog ansvaret för driften . Icke säkerhetsklassad personal vid och dess underleverantörer fick tillgång till Transportstyrelsens it-system . beslutade Transportstyrelsen att skjuta upp övertagande av it-driften från till . beslutade Säkerhetspolisen att inleda en tillsyn av Transportstyrelsens säkerhetsskydd. Säkerhetspolisens tillsyn avslutades . Medan it-driften övergick till beslutade den dåvarande generaldirektören för Transportstyrelsen om avsteg från säkerhetsskyddslagen, personuppgiftslagen och offentlighets- och sekretesslagen. Det första avstegsbeslutet fattades och följdes därefter av ytterligare avstegsbeslut. Säkerhetspolisen inledde en förundersökning om vårdslöshet med hemlig uppgift. Transportstyrelsens tidigare generaldirektör godkände ett strafföreläggande med innebörden att hon gjort sig skyldig till vårdslöshet med hemlig uppgift. På anges att myndigheten påbörjade aktiviteter för att förbättra säkerhetsnivån. Som exempel på åtgärder anges följande: – All utrustning, alla program och all data finns i och har funnits i . All administration för lagring av data hanteras av registerkontrollerad och godkänd personal i . – All administration av nätverk hanteras av registerkontrollerad och godkänd personal i . – All huvudadministration av servrar hanteras av registerkontrollerad och godkänd personal i . – All administration av applikationsdrift hanteras av registerkontrollerad och godkänd personal i . Regeringen gav Transportstyrelsen i uppdrag att bl.a. kartlägga vilka uppgifter som med anledning av myndighetens upphandling rörande förändrad it-drift har hanterats av icke säkerhetsprövade medarbetare hos leverantörer och underleverantörer samt vilka av dessa uppgifter som är säkerhetskänsliga eller av andra skäl sekretessbelagda. Transportstyrelsen överlämnade rapporten hanteringen av vissa uppgifter (TSG 2017-2515) till regeringen. I rapporten anges att när tog över it-driften gavs motsvarande omfattande behörigheter som tidigare hade använt sig av till driftspersonal hos . Det innebar att även dessa personer i praktiken fick åtkomst till Transportstyrelsens it-miljö och dess information. har använt sig av ca 80 personer ifrån sina systerbolag i , , och . Dessa behörigheter i kombination med hur it-miljön är uppbyggd – att olika system är integrerade med varandra och återanvänder uppgifter mellan sig – har gett dessa personer åtkomst till myndighetens samlade bulkdata. Därigenom har man även haft åtkomst till hemliga uppgifter som går att få fram i Transportstyrelsens olika it-system. Vidare anges i rapporten att eftersom dessa uppgifter har varit tillgängliga för obehöriga –måste Transportstyrelsen i det pågående och fortsatta säkerhetsarbetet betrakta samtliga hemliga uppgifter som i formell mening röjda, även om det inte förekommer några indikationer om att uppgifterna kommit i orätta händer. Rapport från regeringens särskilda utredare Regeringen gav justitierådet i uppdrag att granska den upphandling rörande förändrad it-drift hos Transportstyrelsen som hade medfört att säkerhetskänslig och av andra skäl sekretessbelagd information hade hanterats på ett sätt som strider mot svensk lag (N2017/04991/SUBT). Utredaren överlämnade rapporten av Transportstyrelsens upphandling av it-drift (Ds 2018:6). I rapporten anges bl.a. att enligt uppgift från projektägaren för projekt 2.0 meddelade att samtliga underleverantörer hade tecknat säkerhetsskyddsavtal. Frågan är enligt rapporten vad detta innebar i realiteten och om denna uppgift stämmer med annan information som utredningen fått. I rapporten anges att det av uppgifter som utredningen tagit del av framgår att säkerhetsskyddsavtal med t.ex. en underleverantör i undertecknades först och att en underleverantör i fortfarande inte hade undertecknat ett säkerhetsskyddsavtal. Detsamma gäller för åtminstone två andra av underleverantörer, varav en i och en i . Utifrån detta finns enligt rapporten skäl att ifrågasätta det som uppgett om att säkerhetsskyddsavtal var tecknade med samtliga underleverantörer . I en artikel i , med rubriken gav IBM-personal tillgång till känsligt register – kan inte förklara varför, anges bl.a. följande. genomförde en granskning av rutiner och kontroller av vägtrafikregistret. riktar på flera punkter kritik och pekar på fortsatta brister i Transportstyrelsens hantering. Ett stort antal användare på och Transportstyrelsen hade stående administratörsbehörigheter till vägtrafikregistret. Det betyder att de hade full och djup tillgång till systemets registrerade uppgifter. Två tredjedelar av användarna hade åtkomst på registernivå, vilket innebär djup tillgång till den centrala databasen. Samtliga dessa användare jobbar för driftleverantören . Trots detta kunde Transportstyrelsen inte verifiera att användarna verkligen hade behov av den djupa tillgången till databasen. Det anges också i artikeln att på frågor från tidningen om hur många personer som haft tillgång till databasen utan behovsprövning, vill varken eller Transportstyrelsen svara med hänvisning till att det är hemligt. Som ett led i granskningen av Transportstyrelsens årsredovisning har granskat rutiner och kontroller i vägtrafikregistret. En revisionsrapport – Granskning av generella it-kontroller i vägtrafikregistret – beslutades . Vad gäller hanteringen av administratörsbehörigheter till vägtrafikregistret anförs i revisionsrapporten att vid tidigare revisioner har granskat hur Transportstyrelsen hanterat administratörsbehörigheter till systemet vägtrafikregistret. Med administratörsbehörigheter avses användare med en mer långtgående möjlighet att påverka och ta del av information i ett system. Det är enligt rapporten upp till varje myndighet att besluta om hur många användare som ska ha denna typ av behörighet. Enligt bedömning brukar den generella principen vara att tilldela administratörsbehörigheter restriktivt. Syftet med den restriktiva tilldelningen kan vara att säkerställa att gällande lagkrav följs och möjliggöra kontroll och uppföljning av vad användarna av systemet gör. Vidare anges i rapporten att Transportstyrelsen haft en princip om en restriktiv tilldelning av denna typ av behörighet, och ansvariga vid Transportstyrelsen har vid tidigare granskningar kunnat verifiera de fåtal användare som funnits och förklara varför varje enskild användare har behövt aktuell behörighetsnivå. I rapporten anges att principen för tilldelning och hur behörigheterna tekniskt tilldelas har ändrats i och med att Transportstyrelsen migrerat från den tidigare stordatormiljön och bytt driftleverantör. Vid granskningen konstaterade att det fanns ett stort antal användare med stående administratörsbehörighet till vägtrafikregistret. Av dessa hade cirka två tredjedelar av användarna åtkomst på registernivå (databasbehörighet). Samtliga dessa tillhörde den externa driftleverantören. Cirka en tredjedel av användarna hade åtkomst via användargränssnittet. Dessa användare var främst myndighetens egen personal. Av rapporten framgår att Transportstyrelsen i samband med revisionen vidtog vissa omedelbara åtgärder genom att låsa ett antal användarkonton och följa upp användarnas aktiviteter. Transportstyrelsen kunde i samband med granskningen inte verifiera att användarna med åtkomst på registernivå hade behov av behörighetsnivån. Vidare framgår av rapporten att kompenserande kontrollaktiviteter inte har varit implementerade . I budgetpropositionen (prop. 2018/19:1 utg.omr. 22 s. 74) anförs att Transportstyrelsen hanterar en stor mängd elektroniskt lagrad information i sin verksamhet. Det handlar exempelvis om information om fordon och fordonsägare, körkort och yrkestrafik i vägtrafikregistret. är ett mycket kritiskt system för flertalet myndigheter och samhället i stort och har ca 100 000 direkta användare, t.ex. , , Myndigheten för samhällsskydd och beredskap samt försäkringsbolag, som läser och uppdaterar information i registret. Vidare anförs i budgetpropositionen att genomförandet av stora investeringsprojekt, bl.a. stordatormigreringen, har inneburit att vidmakthållandet av it-systemen blivit eftersatt. Flertalet åtgärder är kopplade till säkerhet, och en riktad satsning behöver göras för att samhällskritiska system ska kunna upprätthållas med hög tillförlitlighet och säkerhet. Vidare anförs i budgetpropositionen att det i efterspelet till upphandlingen rörande Transportstyrelsens it-drift har framkommit att myndigheten inte lever upp till de säkerhetskrav som ställs på dess verksamhet. Utöver den tekniska uppgradering som krävs till följd av eftersatt it-förvaltning behöver Transportstyrelsen även genomföra en teknisk uppgradering i syfte att förbättra säkerheten och stabiliteten. Denna tekniska uppgradering innefattar t.ex. myndighetens datorhallar. Enligt 1 kap. 6 § regeringsformen styr regeringen riket och är ansvarig inför . Enligt 12 kap. 1 § regeringsformen lyder en förvaltningsmyndighet under regeringen om myndigheten inte är lagd under . I regeringens styrande funktion ingår en skyldighet att leda den statliga förvaltningens verksamhet (prop. 1986/87:99 s. 25). Förvaltningsmyndigheterna står till regeringens förfogande i uppgiften att styra riket. Regeringen bär ett ansvar för att föreskrifter följs och för att den statliga sektorn fungerar i enlighet med intentioner. Med regeringens styrande funktioner följer, med vissa begränsningar, en rätt att ta initiativ och ge direktiv till förvaltningen. Sådana direktiv kan avse bl.a. allt generellt inriktat arbete inom en förvaltningsmyndighet, t.ex. planering, prioriteringar eller utredningsverksamhet, samt hela det administrativa området, t.ex. vad gäller beslutsorgan, organisation eller rationaliseringar. Regeringen är i väsentliga avseenden fri att välja inriktning, utformning och omfattning av kontrollen av förvaltningsmyndigheterna. Insatser som kräver särskilda resurser förutsätter att beviljar medel. En stor del av regeringens mer löpande förvaltningskontroll sker inom ramen för budgetprocessen. Enligt 12 kap. 2 § regeringsformen får ingen myndighet, inte heller eller en kommuns beslutande organ, bestämma hur en förvaltningsmyndighet i ett särskilt fall ska besluta i ett ärende som rör myndighetsutövning mot en enskild eller mot en kommun eller som rör tillämpningen av lag. Under /18 granskade utskottet dels den tidigare regeringens (M, C, L, KD) agerande i fråga om Transportstyrelsen och informationssäkerhet (bet. 2017/18:KU20 s. 331 f.), dels den dåvarande regeringens (S, MP) agerande i samband med Transportstyrelsens it-upphandling (bet. 2017/18:KU20 s. 365 f.). När det gäller granskningen av den tidigare regeringen tog utskottet upp frågor om regeringens arbete med informationssäkerhetsfrågor. Utskottet framhöll att det i regeringens styrande funktion ingår en skyldighet att leda den statliga förvaltningens verksamhet, vilket förutsätter att regeringen följer myndigheternas verksamhet och vid behov ser till att vidta de åtgärder som är nödvändiga från ett styrningsperspektiv. Utskottet tog även upp frågor om ansvarsförhållandena inom den tidigare regeringen för informationssäkerhetsfrågor. När det gäller granskningen av den dåvarande regeringen tog utskottet upp frågor om enskilda statsråds och regeringens agerande i sammanhanget. I ställningstagandet redovisades när olika departement och statsråd nåddes av information om händelserna vid Transportstyrelsen och om Säkerhetspolisens tillsyn. Utskottet tog även upp frågor om förmedlingen av information inom när det gällde frågor av betydelse för rikets säkerhet. Granskningen väckte också frågor om information inom departementen till statsråden och mellan statsråden inklusive statsministern. Utskottet noterade att hade de berörda myndigheterna börjat vidta skadebegränsande åtgärder. I granskningen anfördes i en svarspromemoria från med anledning av frågor från utskottet att regeringen hade vidtagit ett flertal åtgärder rörande säkerhetsrisker i samband med outsourcing vid myndigheter. I promemorian anfördes att regeringen i regleringsbreven gett samtliga 46 s.k. bevakningsansvariga myndigheter (bl.a. Transportstyrelsen) i uppdrag att redovisa vilka övergripande åtgärder som hade vidtagits för att bedriva ett systematiskt säkerhetsskyddsarbete. Uppdragen skulle redovisas . I promemorian anfördes också att i samband med årets myndighetsdialoger hade frågor om säkerhetsskydd särskilt lyfts fram för de myndigheter som särskilt berördes och där frågorna inte redan tidigare var föremål för dialog. I samband med det hade informationsinsatser med Säkerhetspolisens medverkan genomförts för berörda statssekreterare och chefstjänstemän samt med statsråden. Vidare anfördes i promemorian att regeringen tillsatt en utredning med uppdrag att kartlägga och föreslå åtgärder som motverkar att uppgifter som gäller säkerhet eller säkerhetskänslig verksamhet utsätts för risker i samband med utkontraktering, upplåtelse och överlåtelse av sådan verksamhet. Utredningen skulle bl.a. överväga om tillståndsprövning skulle utföras innan utkontraktering fick ske. Utredningen skulle också föreslå ett system med sanktioner i säkerhetsskyddslagen och se över tillsynsstrukturen när det gällde säkerhetsskyddet. Uppdraget skulle redovisas . I avvaktan på utredningens förslag avsåg regeringen att genom en ändring i säkerhetsskyddsförordningen införa ett krav på statliga myndigheter att samråda med Säkerhetspolisen eller Försvarsmakten innan en utkontraktering av säkerhetskänslig verksamhet inleddes. Säkerhetspolisen eller Försvarsmakten skulle också ha möjlighet att stoppa förfarandet. I promemorian anfördes också att betänkandet En ny säkerhetsskyddslag (SOU 2015:25) bereddes i . Vidare anfördes att lämnades flera uppdrag till myndigheter för att förbättra säkerhetsarbetet och samordningen mellan myndigheter. Försvarsmakten och MSB hade fått i uppdrag att främja och utveckla en sammanhängande planering för totalförsvaret. , , och Transportstyrelsen fick i uppdrag att redovisa sina vidtagna och planerade åtgärder för att vidareutveckla sin krisberedskap och det civila försvaret. Vidare gav regeringen och Säkerhetspolisen i uppdrag att identifiera och redovisa åtgärder som kunde bidra till att ytterligare utveckla arbetet för att skydda de mest skyddsvärda verksamheterna i mot de allvarligaste hoten. I promemorian anfördes också att regeringen hade fattat flera beslut för att öka säkerheten i it-driften hos statliga myndigheter. fick i uppdrag att ta fram en förvaltningsmodell för skyddade it-utrymmen för offentliga aktörer som bedriver säkerhetskänslig verksamhet. Ambitionen var att skapa en säker it-drift i säkra utrymmen (insourcing). Uppdraget skulle utföras i samråd med och slutredovisas . fick i uppdrag att identifiera och erbjuda lämpliga och anpassade funktioner samt stöd för samordnad och säker it-drift åt andra myndigheter. I och med uppdraget kommer myndigheter där varken egen drift eller privat outsourcing är lämpligt att ha ett statligt alternativ. Arbetet utförs i samarbete med MSB och ska redovisas . Vidare anfördes att regeringen tillsatte en utredare för att kartlägga det händelseförlopp rörande förändrad it-drift hos Transportstyrelsen som lett fram till att säkerhetsskyddad information i myndighetens register och system hanterades på ett sätt som strider mot svensk lag. Regeringen hade också aviserat att Säkerhetspolisen skulle få i uppdrag att redovisa vilka generella brister som finns i säkerhetsskyddet bland myndigheterna med mest skyddsvärd verksamhet. Redovisningen skulle särskilt belysa problematiken med utkontraktering. Det anfördes också i promemorian att det i sammanhanget fanns anledning att redovisa andra åtgärder som regeringen vidtagit när det gällde informationssäkerhet i ett vidare perspektiv.