bet · H601KU20 · 2019-06-17 00:00:00 — Systemet drivs och förvaltas av med egen personal. Det finns ett säkerhetsskyddsavtal som tecknades i samband med att ett nytt affärs- och supportavtal tecknades. har konstaterat att det finns brister i tillämpningen av säkerhetsskyddsavtalet. Vid tidigare affärsavtal med fanns en säkerhetsbilaga som togs fram i samverkan med den dåvarande säkerhetsskyddschefen. genomför kontinuerligt förbättringsarbete inom säkerhetsområdet. Myndigheten gjorde en säkerhetsanalys som fastställdes . Analysen kommer att resultera i en åtgärdsplan. Förändringar av stamnätstarifferna brukar kommuniceras . diskuterades tidpunkten och processen för kommunikationen, och man valde att kommunicera , men på grund av osäkerhet i beräkningarna efter den varma sommaren och bränderna då kostnaderna för systemtjänster steg kraftigt. Nedan finns en kronologisk sammanställning av olika uppgifter som framkommit om händelser som rör . Inom parentes anges varifrån uppgiften härrör. Nytt styr- och övervakningssystem – : säger upp kontraktet med leverantören av styr- och övervakningssystemet () då de efterfrågade tjänsterna inte kunde levereras. (Promemoria från Miljö- och ) – : tecknar avtal med om en uppgradering av myndighetens Scada-system för drift och övervakning av det svenska stamnätet för el. Det nya driftsövervakningssystemet ska vara fullt levererat 2016. (Pressmeddelande från ) – 2017: Styr- och övervakningssystemet som levererats av tas över av Svenska kraftverk i förvaltning (Svenska kraftnäts webbplats). – : tecknar ett säkerhetsskyddsavtal med . (Promemoria från Miljö- och ) – : begär att Säkerhetspolisen ska göra en tillsyn av myndigheten. (Svenska kraftnäts webbplats ) – 2014: informerar Miljö- och inför att myndigheten säger upp kontraktet med leverantören av sitt styr- och övervakningssystem. Myndigheten informerar också departementet om att den avser att göra en direktupphandling med den tidigare leverantören om uppgradering av det dåvarande systemet. (Promemoria från Miljö- och ) – : informerar om att myndigheten träffat avtal med om ett nytt driftövervakningssystem. (E-postmeddelande från ) – : informerar departementet om brister i säkerhetsskyddsavtal vid anskaffningen av ett nytt styr- och övervakningssystem 2014. Enligt informationen saknades 2014–2018 säkerhetsskyddsavtal med leverantören av styr- och övervakningssystemet. (Promemoria från Miljö- och ) Säkerhetsskydd och säkerhetsprövning vid – : Säkerhetsprövningen av en person som börjar en anställning vid följer inte ett regeringsbeslut om placering av befattningar vid i säkerhetsklass. (Promemoria från Miljö- och ) – : Svenska kraftnäts dåvarande säkerhetsskyddschef informerar Säkerhetspolisen om en planerad organisationsförändring och uttrycker oro över vad förändringarna skulle innebära för säkerhetsskyddschefens roll och mandat. (Svenska kraftnäts webbplats ) – : Säkerhetspolisen skickar en skrivelse till säkerhetsskyddschefen vid . (Bilaga till promemoria från Miljö- och ) – : Möte äger rum mellan och Säkerhetspolisen med anledning av skrivelsen från Säkerhetspolisen . (Svenska kraftnäts webbplats ) – : gör en översyn som visar att medarbetare kan ha haft tillgång till information som motiverar en högre säkerhetsklass än de har haft. (Svenska kraftnäts webbplats ) – : rapporterar att medarbetare varit placerade i för låg säkerhetsklass till Säkerhetspolisen som en säkerhetsskyddsincident. (Svenska kraftnäts webbplats ) – : Årlig myndighetsdialog äger rum mellan Miljö- och och . (Promemoria från Miljö- och ) – : Årlig myndighetsdialog äger rum mellan Miljö- och och . Frågor om säkerhetsskydd och informationssäkerhet tas upp. (Promemoria från Miljö- och ) – : Departementet skaffar information om det it-säkerhetsarbete som bedrivs bl.a. hos . (Promemoria från Miljö- och ) – : I ett e-postmeddelande till Miljö- och informerar om sitt it-säkerhetsarbete. (Promemoria från Miljö- och ) – : Säkerhetsprövning av styrelseledamöter diskuteras vid ett kvartalsmöte mellan Miljö- och och . (Promemoria från Miljö- och ) – : Säkerhetsprövning av ledamöter i insynsrådet för elberedskap diskuteras vid ett kvartalsmöte mellan Miljö- och och . (Promemoria från Miljö- och ) – : Årlig myndighetsdialog äger rum mellan myndigheten och departementet. Frågor om säkerhetsskydd och informationssäkerhet tas upp. (Promemoria från Miljö- och ) – : Möte om informationssäkerhet äger rum mellan Miljö- och och . (Promemoria från Miljö- och ) – : Svenska kraftnäts dåvarande generaldirektör informerar den dåvarande statssekreteraren med ansvar för energifrågor om brister i rutinerna för säkerhetsprövning. Därefter informerar ställföreträdande generaldirektören och representanter för myndighetens krisledningsorganisation om att säkerhetsprövningen vid anställningen av en chef inte följde ett regeringsbeslut om placering i säkerhetsklass. Vidare informerar att personen säkerhetsprövades i enlighet med den klass som följer av regeringsbeslutet. (Promemoria från Miljö- och ) – : Statsrådsberedningen informeras på tjänstemannanivå av Miljö- och om vad som då har framkommit om Svenska kraftnäts säkerhetsskyddsarbete. Därefter informerar dåvarande statssekreteraren med ansvar för energifrågor och dåvarande samordnings- och energiministern löpande Statsrådsberedningen om vad som framkommer. Statssekreteraren informerar också löpande. (Promemoria från Miljö- och ) – : Vid ett möte mellan dåvarande samordnings- och energiminister och dåvarande generaldirektören vid informerar den dåvarande generaldirektören om att avsåg att ta hjälp av tillsynsmyndigheten för att värdera arbetet med säkerhetsprövning av personal och för att få hjälp med ytterligare bedömningar och överväganden. (Promemoria från Miljö- och ) – : informerar departementet om att myndigheten hade skickat in en begäran till Säkerhetspolisen om att utöva tillsyn över Svenska kraftnäts säkerhetsskyddsarbete. Departementet får en kopia av en begäran som Säkerhetspolisen sände till med anledning av den då pågående omorganisationen vid myndigheten. (Promemoria från Miljö- och ) – : Departementet får besked från om att Säkerhetspolisen fattat beslut om att utöva tillsyn. (Promemoria från Miljö- och ) – : kommunicerar en höjning av stamnätstarifferna . (Svenska kraftnäts webbplats ) – : Miljö- och får information om de nya tarifferna. Fastställandet av tarifferna föregås inte av kontakter mellan Miljö- och och . (Promemoria från Miljö- och ) – Fastställandet av tarifferna föregås inte av kontakter med departementet. (Promemoria från Miljö- och ) Vissa upphandlingar av konsulttjänster – : En tjänsteman (sedermera generaldirektör) vid ger en vän ett konsultuppdrag. Tjänstemannen och konsulten gör strax därefter en semesterresa tillsammans. – : Svenska kraftnäts HR-direktör anlitar en tidigare samarbetspartner för ett konsultuppdrag på . – 2018: Det genomförs en internrevision på som visar att det finns brister i det systematiska arbetet mot oegentligheter. (Svenska kraftnäts webbplats ) – : Ett underlag som har skickats till Svenska kraftnäts styrelse med bl.a. en rapport som har tagits fram på initiativ av myndighetens internrevisor inför ett möte översänds till Miljö- och . Rapporten är benämnd Granskning av det förebyggande arbetet mot oegentligheter och korruption. (Promemoria från Miljö- och ) – : Departementet får uppgift om att det skulle ha förekommit brister vid kopplade till jäv vid konsultupphandling. (Promemoria från Miljö- och ) Regeringens ansvar för förvaltningsmyndigheterna Enligt 1 kap. 6 § regeringsformen styr regeringen riket och är ansvarig inför . Enligt 12 kap. 1 § regeringsformen lyder en förvaltningsmyndighet under regeringen om myndigheten inte är lagd under . I regeringens styrande funktion ingår en skyldighet att leda den statliga förvaltningens verksamhet (prop. 1986/87:99 s. 25). Förvaltningsmyndigheterna står till regeringens förfogande i uppgiften att styra riket. Regeringen bär ett ansvar för att föreskrifter följs och för att den statliga sektorn fungerar i enlighet med intentioner. Med regeringens styrande funktioner följer, med vissa begränsningar, en rätt att ta initiativ och ge direktiv till förvaltningen. Sådana direktiv kan avse bl.a. allt generellt inriktat arbete inom en förvaltningsmyndighet, t.ex. planering, prioriteringar eller utredningsverksamhet samt hela det administrativa området, t.ex. vad gäller beslutsorgan, organisation eller rationaliseringar. Regeringen är i väsentliga avseenden fri att själv välja inriktning, utformning och omfattning av kontrollen av förvaltningsmyndigheterna. Insatser som kräver särskilda resurser förutsätter att beviljar medel. En stor del av regeringens mer löpande förvaltningskontroll sker inom ramen för budgetprocessen. Enligt 12 kap. 2 § regeringsformen får ingen myndighet, inte heller eller en kommuns beslutande organ, bestämma hur en förvaltningsmyndighet i ett särskilt fall ska besluta i ett ärende som rör myndighetsutövning mot en enskild eller mot en kommun eller som rör tillämpningen av lag. Av 7 § säkerhetsskyddslagen (1996:627)[3] framgår att säkerhetsskyddet ska förebygga 1) att uppgifter som omfattas av sekretess och som rör rikets säkerhet (hemliga uppgifter) obehörigen röjs, ändras eller förstörs (informationssäkerhet), 2) att obehöriga får tillträde till platser där de kan få tillgång till sådana uppgifter eller där verksamhet som har betydelse för rikets säkerhet bedrivs (tillträdesbegränsning) och 3) att personer som inte är pålitliga från säkerhetssynpunkt deltar i verksamhet som är av betydelse för rikets säkerhet (säkerhetsprövning). Säkerhetsskyddet ska även i övrigt förebygga terrorism. Säkerhetsprövning ska göras innan en person genom anställning eller på något annat sätt deltar i verksamhet som har betydelse för rikets säkerhet eller anlitas för uppgifter som är viktiga för skyddet mot terrorism (11 §). Säkerhetsprövning får göras även under pågående anställning eller annat pågående deltagande i verksamheten. Prövningen ska klarlägga om personen kan antas vara lojal mot de intressen som skyddas av säkerhetsskyddslagen och i övrigt pålitlig från säkerhetssynpunkt. Säkerhetsprövningen ska omfatta registerkontroll och särskild personutredning. En anställning eller ett annat deltagande i verksamhet som avses i 13 § ska placeras i säkerhetsklass (17 §), om den anställde eller den som annars deltar i verksamheten i stor omfattning får del av uppgifter som omfattas av sekretess och är av synnerlig betydelse för rikets säkerhet (säkerhetsklass 1) i en omfattning som inte är obetydlig får del av sådana uppgifter som avses i 1 (säkerhetsklass 2) eller i övrigt får del av uppgifter som omfattas av sekretess och som är av betydelse för rikets säkerhet, om ett röjande av uppgifterna kan antas medföra men för rikets säkerhet som inte endast är ringa (säkerhetsklass 3). Med undantag för förvaltningsområde beslutar regeringen om placering i säkerhetsklass och om registerkontroll. Regeringen får föreskriva att myndigheter och andra, för vilka bestämmelserna om registerkontroll gäller, beslutar om placering i säkerhetsklass och om registerkontroll (20 §). Det saknas en definition av begreppet rikets säkerhet i säkerhetsskyddslagen. I stället ska myndigheter och andra som omfattas av säkerhetsskyddsförordningen (1996:633) undersöka vilka uppgifter i deras verksamhet som ska hållas hemliga med hänsyn till rikets säkerhet och vilka anläggningar som kräver ett säkerhetsskydd med hänsyn till rikets säkerhet eller skyddet mot terrorism, enligt 5 § säkerhetsskyddsförordningen. Resultatet ska dokumenteras i en säkerhetsanalys. Enligt 10 a § ska en myndighet skyndsamt anmäla om det inträffat en it-incident i myndighetens informationssystem och incidenten bl.a. allvarligt kan påverka säkerheten i ett informationssystem där hemliga uppgifter behandlas i en omfattning som inte är ringa, eller allvarligt kan påverka säkerheten i ett informationssystem som särskilt behöver skyddas mot terrorism. En sådan anmälan ska göras till Säkerhetspolisen eller Försvarsmakten beroende på myndighet (39 §). beslutar enligt 26 § och 27 § 5 säkerhetsskyddsförordningen om registerkontroll av personer som ska anställas eller på annat sätt delta i verksamhet vid sådana anläggningar inom elförsörjningen som är skyddsobjekt, t.ex. vid kärnkraftverk. För elförsörjningsverksamhet beslutar även enligt 19 § andra stycket 1 och 20 § säkerhetsskyddsförordningen i vissa fall om placering i säkerhetsklass 2 och 3 samt registerkontroll. I förordningen (2015:1052) om krisberedskap och bevakningsansvariga myndigheters åtgärder vid höjd beredskap finns bestämmelser som syftar till att statliga myndigheter genom sin verksamhet ska minska sårbarheten i samhället och utveckla en god förmåga att hantera sina uppgifter under fredstida krissituationer och inför och vid höjd beredskap. Bestämmelserna i förordningen gäller för statliga myndigheter under regeringen med vissa undantag (3 §). Varje myndighet ska i syfte att stärka sin egen och samhällets krisberedskap analysera om det finns sådan sårbarhet eller sådana hot och risker inom myndighetens ansvarsområde som synnerligen allvarligt kan försämra förmågan till verksamhet inom området (8 §). Vid denna analys ska myndigheten särskilt beakta situationer som uppstår hastigt, oväntat och utan förvarning, eller en situation där det finns ett hot eller en risk att ett sådant läge kan komma att uppstå situationer som kräver brådskande beslut och samverkan med andra aktörer att de mest nödvändiga funktionerna kan upprätthållas i samhällsviktig verksamhet och förmågan att hantera mycket allvarliga situationer inom myndighetens ansvarsområde. Myndigheten ska minst värdera och sammanställa resultatet av arbetet i en risk- och sårbarhetsanalys. De myndigheter som har ett särskilt ansvar för krisberedskapen enligt 10 § ska senast vid utgången av oktober månad varje jämnt årtal lämna en sammanfattande redovisning baserad på analysen till och Myndigheten för samhällsskydd och beredskap. Redovisningen ska innefatta vilka åtgärder som planeras och en bedömning av behovet av ytterligare åtgärder. har ett särskilt ansvar för krisberedskapen enligt 10 § och är bevakningsansvarig myndighet enligt 16 §. När en myndighet avser att begära in ett anbud eller träffa avtal om upphandling där det förekommer hemliga uppgifter (se ovan), ska myndigheten enligt 8 § första stycket säkerhetsskyddslagen träffa ett skriftligt säkerhetsskyddsavtal med anbudsgivaren eller leverantören om det säkerhetsskydd som behövs i det särskilda fallet. Vid förhandlingar om sådana säkerhetsskyddsavtal som avses i 8 § första stycket företräds enligt 15 § säkerhetsskyddsförordningen (1996:633) det allmänna av den myndighet som avser att begära in anbud eller träffa avtal. Myndighetens säkerhetsskyddschef eller annan säkerhetsansvarig ska medverka vid förhandlingen. Enligt 18 och19 §§ säkerhetsskyddsförordningen beslutar myndigheter som anges i bilagan till förordningen (bl.a. ) om placering i säkerhetsklasser och registerkontroll när det gäller anställning eller uppdrag hos en anbudsgivare eller leverantör som de har ingått säkerhetsskyddsavtal med. Enligt en vägledning från Säkerhetspolisen (Säkerhetsskyddad upphandling – en vägledning, Säkerhetspolisen , rev. ) måste en myndighet som avser att begära in anbud eller genomföra en upphandling ta ställning till om det förekommer hemliga uppgifter i anbudet eller upphandlingen. Om så är fallet, ska dessa uppgifter ha samma säkerhetsskydd hos företaget där uppdraget eller tjänsten utförs som hos myndigheten. Ansvaret för detta ligger på myndigheten. Myndigheten ska träffa säkerhetsskyddsavtal med såväl huvudleverantör som eventuella underleverantörer. En huvudleverantör kan aldrig gentemot myndigheten ansvara för säkerhetsskyddet hos en underleverantör. Enligt vägledningen finns inga hinder i säkerhetsskyddslagen för att i ett uppdrag använda ett utländskt företag eller en utländsk medborgare, som därmed kan få del av hemliga uppgifter. Särskild hänsyn bör dock tas till svårigheten att genomföra en adekvat och trovärdig säkerhetsprövning. Om det uppkommer ett behov av att i ett uppdrag delge hemliga uppgifter till ett företag i ett annat land torde det krävas att regeringen ger sitt tillstånd till att hemliga uppgifter lämnas ut samt att ett generellt bi- eller multilateralt säkerhetsskyddsavtal har träffats. Ett sådant säkerhetsskyddsavtal reglerar säkerhetsskyddet mellan länderna baserat på respektive lands nationella bestämmelser samt rutiner för industrisäkerhetsskyddssamarbete. Finns det inget sådant säkerhetsskyddsavtal med landet i fråga måste myndigheten få ett bemyndigande av regeringen att teckna ett projektspecifikt säkerhetsskyddsavtal med en utländsk myndighet. Denna myndighet kan ansvara för genomförandet och kontrollen av säkerhetsskyddet vid det utländska företaget. Uppgift om vilka länder som har tecknat säkerhetsskyddsavtal med finns hos Nationella säkerhetsmyndigheten (NSA) vid sekretariat för säkerhet, sekretess och beredskap. I vägledningen uppmärksammas att det har blivit allt vanligare inom it-området med utkontraktering av tjänster, s.k. outsourcing (som är när en extern aktör utför utvecklings-, underhålls- eller driftsarbete av system) och offshoring (som är när outsourcing sker till en aktör i ett annat land). För svenska myndigheter innebär offshoring att svenska staten riskerar en sämre kontroll över samhällsviktiga system eftersom möjligheterna att säkerhetspröva personal och utnyttja svenska kontrollinstrument är begränsade i utlandet. Det är dessutom svårare för svenska myndigheter att bedöma hotbilden i de länder till vilka man har utkontrakterat verksamhet. Om det internationella säkerhetsläget förändras saknas i värsta fall såväl kompetens som kapacitet och tid för att kunna flytta hem verksamheten till . Vidare framhålls i vägledningen att det också är svårt att ha tillräcklig kontroll över leverantörens driftspersonal. När en stor mängd information från flera olika myndigheter och företag världen över hamnar hos en enskild leverantör riskerar den dessutom att bli en central punkt för t.ex. andra länders underrättelseinhämtning. Säkerhetsfrågor måste enligt vägledningen lyftas fram och avspeglas i såväl affärsavtalet som säkerhetsskyddsavtalet. Innan myndigheter lägger ut tjänster till andra aktörer och länder bör de genomföra årliga och genomgripande säkerhetsanalyser. När det gäller verksamhet som är viktig för det svenska samhället och som rör rikets säkerhet bör de särskilt beakta offentlighets- och sekretesslagens bestämmelser om utlämnande av uppgifter och möjligheten att genomföra och kontrollera säkerhetsskyddet. Offshoring bör endast ske efter särskilda överväganden, och de säkerhetsrisker som det kan innebära måste noggrant övervägas. Risken finns att myndigheten utgår från vissa förutsättningar medan leverantören inte inkluderar något utöver det som parterna uttryckligen har kommit överens om. Nationell strategi för samhällets informations- och cybersäkerhet Regeringen har tagit fram en nationell strategi för samhällets informations- och cybersäkerhet (skr. 2016/17:213). I skrivelsen anförs att det finns ett stort behov av att utveckla samhällets informations- och cybersäkerhet. Denna nationella strategi för samhällets informations- och cybersäkerhet är ett uttryck för regeringens övergripande prioriteringar och syftar till att utgöra en plattform för fortsatta utvecklingsarbete inom området. Huvudsyftena med strategin är att bidra till att skapa långsiktiga förutsättningar för samhällets aktörer att arbeta effektivt med informations- och cybersäkerhet samt att höja medvetenheten och kunskapen i hela samhället. Regeringen vill genom strategin även stödja de insatser och det engagemang som redan finns i samhället för att stärka informations- och cybersäkerheten. Strategin omfattar därmed hela samhället, dvs. statliga myndigheter, kommuner och landsting, företag, organisationer och privatpersoner. För att säkerställa en systematisk och samlad ansats i arbetet med informations- och cybersäkerhet och för att bedriva ett systematiskt informationssäkerhetsarbete anger regeringen målsättningarna att statliga myndigheter, kommuner, landsting, företag och andra organisationer ska ha kännedom om hot och risker, ta ansvar för sin informationssäkerhet och bedriva ett systematiskt informationssäkerhetsarbete och att det ska finnas en nationell modell till stöd för ett systematiskt informationssäkerhetsarbete. Regeringen ska därför enligt skrivelsen verka för att öka tydligheten i myndighetsstyrningen, lyfta betydelsen av ett tillfredsställande informationssäkerhetsarbete internt på myndigheterna, verka för att förutsättningarna förbättras för samhällets olika aktörer när det gäller att bedriva ett systematiskt informationssäkerhetsarbete och göra mer enhetliga bedömningar av hot, risker och säkerhetsåtgärder genom att en nationell modell för systematiskt informationssäkerhetsarbete tas fram. Regeringens arbete med säkerhetsfrågor För att bereda regeringsärenden och för att biträda regeringen och statsråden i deras verksamhet i övrigt ska det enligt 7 kap. 1 § regeringsformen finnas ett regeringskansli. I detta ingår departement för olika verksamhetsgrenar. Regeringen fördelar ärendena mellan departementen. Statsministern utser bland statsråden chefer för departementen. Fördelningen av regeringsärendena mellan departementen anges i bilagan till förordningen (1996:1515) med instruktion för . Av bilagan framgår också till vilka departement myndigheter och andra organ hör. Miljö- och ansvarar bl.a. för förvaltningsärenden som gäller el-, gas- och fjärrvärmemarknadernas funktion. tillhör Miljö- och . ansvarar för bl.a. samordning av samhällets krisberedskap inklusive civilt försvar, i den mån sådana ärenden inte rör försvarets militära förmåga, och informationssäkerhet, i den mån sådana ärenden inte hör till något annat departement. Säkerhetspolisen hör till . Regeringens hantering av myndigheternas risk- och sårbarhetsanalyser samlar in de olika fackdepartementens bedömningar av inkomna risk- och sårbarhetsanalyser (bet. 2017/18:KU20 del 2 s. 845). Bedömningarna görs på tjänstemannanivå med hjälp av en bedömningsmall som upprättas av . är uppbyggd på det sättet att departementen kortfattat ska besvara ett antal frågor om innehållet i risk- och sårbarhetsanalyserna. Efter varje frågeställning kan departementen lämna en kort kommentar eller bedömning. ansvarar inom för samordning av hanteringen av myndigheternas risk- och sårbarhetsanalyser (bet. 2017/18:KU20 del 2 s. 848). Det innebär att skickar bedömningsmallen till alla berörda departement för att underlätta departementens arbete med att analysera och bedöma risk- och sårbarhetsanalyserna. Med utgångspunkt från svaren från departementen och de inkomna redovisningarna gör en analys av det samlade materialet. Fokus i analysen ligger på att identifiera eventuella trender eller mönster. leder även en interdepartemental arbetsgrupp som bl.a. arbetar med att identifiera och analysera sådana generella problem som kan påverka samhällets krisberedskap. Trender eller mönster som har identifierats i risk- och sårbarhetsanalyserna diskuteras i denna arbetsgrupp. Respektive departement ansvarar för återkoppling till sina myndigheter samt för att åtgärder motiverade av risk- och sårbarhetsanalyserna tas upp i myndigheternas regleringsbrev eller andra tilläggsuppdrag. Särskilda uppdrag till de bevakningsansvariga myndigheterna och Säkerhetspolisen Regeringen gav i regleringsbreven i uppdrag åt de bevakningsansvariga myndigheterna att risk- och sårbarhetsanalyser särskilt beakta och analysera informationssäkerheten i de delar av verksamheten och de tekniska systemen som är nödvändiga för att myndigheten ska kunna utföra sitt arbete (bet. 2017/18:KU20 del 2 s. 856 f.). Uppdragen gavs mot bakgrund av granskning 2014 (RiR 2014:23).