bet · H601KU20 · 2019-06-17 00:00:00 — Syftet var att höja medvetenheten om vikten av god informationssäkerhet och att få en bättre bild av läget. gav regeringen bl.a. Säkerhetspolisen i uppdrag att identifiera och redovisa åtgärder som kunde bidra till att ytterligare utveckla arbetet för att skydda de mest skyddsvärda verksamheterna i mot de allvarligaste hoten (bet. 2017/18:KU20 del 2 s. 571). som regeringen beslutade den nationella strategin för informations- och cybersäkerhet gav regeringen flera uppdrag på informationssäkerhetsområdet. Bland annat skulle de 46 s.k. bevakningsansvariga myndigheterna analysera och bedöma informationssäkerheten i den egna verksamheten (bet. 2017/81:KU20 del 2 s. 572 f.). I regleringsbreven gav regeringen samtliga bevakningsansvariga myndigheter i uppdrag att redovisa vilka övergripande åtgärder som vidtagits för att bedriva ett systematiskt säkerhetsskyddsarbete (bet. 2017/18:KU20 del 2 s. 570). granskade hur nio myndigheter arbetar med informationssäkerhet (RiR 2016:8 Informationssäkerhetsarbete på nio myndigheter). Samma myndigheter granskades av –2007. De granskade myndigheterna är: , , , , , , , samt . Bakgrunden till granskningen var att –2007 granskade arbetet med informationssäkerhet vid elva myndigheter i statsförvaltningen. Granskningarna visade ett flertal brister. Regeringen hade inte följt upp om myndigheternas interna styrning och kontroll av informationssäkerhet var tillfredsställande och inte heller gett myndigheterna tillräckliga förutsättningar för ett effektivt informationssäkerhetsarbete. granskade återigen informationssäkerheten med inriktning mot regeringen och dess expertmyndigheters styrning och stöd. Denna granskning visade att det fanns påtagliga brister i arbetet med informationssäkerhet och att regeringen inte utövat en effektiv styrning. samlade slutsats av granskningen 2016 var att arbetet med informationssäkerhet på de granskade myndigheterna låg på en nivå som var märkbart under vad som var tillräckligt. En viktig förklaring till det var att förståelsen för vikten av en god informationssäkerhet överlag var alltför liten. Detta fick till följd att arbetet med informationssäkerhet inte varit tillräckligt högt prioriterat i förhållande till de risker som finns. Detta gällde såväl för regeringen, som borde kunnat vara tydligare med att styra myndigheterna i frågan, som för myndigheternas ledningar, som inte prioriterat arbetet med informationssäkerhet i den utsträckning som krävs. Mycket tydde på att det var svårt för många myndigheter att få till stånd ett ändamålsenligt informationssäkerhetsarbete. hade därför ingen anledning att anta att den bild som framträdde vid de granskade myndigheterna inte skulle gälla även för ett flertal andra myndigheter i statsförvaltningen. Granskningen av Arbetsförmedlingen, och var särskilt djupgående. Ingen av dessa myndigheter kunde sägas ha ett systematiskt informationssäkerhetsarbete som motsvarade kraven i Myndigheten för samhällsskydd och beredskaps (MSB) föreskrifter om statliga myndigheters informationssäkerhet. Dessa krav innebär att myndigheterna ska tillämpa ett ledningssystem som bl.a. omfattar att de ska upprätta en policy för informationssäkerhet, klassificera sin information med utgångspunkt från riktighet, tillgänglighet och konfidentialitet samt utifrån risk- och sårbarhetsanalyser och inträffade incidenter avgöra hur de ska hantera risker. En viktig förutsättning för att lägga grunden till en god informationssäkerhetskultur och för att skapa förståelse för informationssäkerhet är att myndighetens ledning visar engagemang i frågan. Granskningen visade att myndighetsledningarna hade delegerat ansvaret för informationssäkerhet utan att se till att de ansvariga hade ett tillräckligt mandat att utföra sina uppgifter och tillräckligt med resurser. De funktioner som ansvarade för informationssäkerheten hade svårt att hävda sig mot kärnverksamheten som tenderade att se kraven på informationssäkerhet som hinder, vilket fick till följd att verksamhetens krav på funktionalitet mestadels gick före kraven på säkerhet. Det var snarare it- eller säkerhetsfunktionerna som ställde krav på säkerhet än kärnverksamheten. Situationen på de sex andra granskade myndigheterna – , , , , samt – varierade, men sammanföll i stora delar med hur det såg ut på de tre särskilt djupt granskade myndigheterna. Vidare anförde att regeringen hade skapat vissa förutsättningar för myndigheterna att arbeta med intern styrning och kontroll av informationssäkerheten. Det fanns en struktur på plats med olika författningar som var avsedda att styra detta arbete. En del i detta var att regeringen hade beslutat att ledningen för ett antal myndigheter ska intyga att den interna styrningen och kontrollen är betryggande. Varje departement för dessutom regelbundna dialoger med myndigheternas ledning. Likväl visade granskningen att det var allvarliga brister i myndigheternas informationssäkerhetsarbete. bedömde att det behövdes en starkare styrning från regeringen gentemot myndigheterna, så att nödvändiga säkerhetsåtgärder verkligen blir genomförda. Att enbart ta fram ett övergripande regelverk är inte tillräckligt för att säkerheten ska bli god. Om regeringen inte efterfrågar information om myndigheternas informationssäkerhet och inte framhåller vikten av god informationssäkerhet bedömde att myndigheternas ledningar inte heller kommer att prioritera frågan. I sin skrivelse med anledning av rapporten anförde regeringen bl.a. att samhällets informationssäkerhet är en prioriterad fråga för regeringen och att det är viktigt att svenska myndigheter håller en tillräckligt hög nivå i sitt informationssäkerhetsarbete (skr. 2016/17:42). Omfattningen av hanteringen av information i elektroniska kommunikationsnät och it-system ökar i alla delar av samhället, och brister i hanteringen av och säkerheten för informationen riskerar att få omfattande säkerhets- och integritetsmässiga konsekvenser såväl för samhället i stort som för enskilda. hade regeringen vidtagit ett antal åtgärder som ytterligare tydliggör vikten av en god informationssäkerhet och som kommer att förbättra förutsättningarna för myndigheterna att bedriva ett ändamålsenligt informationssäkerhetsarbete. underströk vid behandlingen av skrivelsen att man i statsförvaltningen hanterar mycket information som är skyddsvärd och att ett seriöst arbete med informationssäkerhet borde ha som mål att all skyddsvärd information ska vara tillgänglig, riktig, konfidentiell och spårbar (bet. 2016/17:FöU8 s. 17 f.). Eftersom informationssäkerhet är en fråga som berör all personal i en myndighet borde en allomfattande kultur skapas för att minimera riskerna för störningar i olika samhällsfunktioner. Utskottet fann likt tidigare att alla myndigheters roll och ansvar i arbetet borde framhållas, ur både ett ansvars- och ett samverkansperspektiv. Av dessa skäl fann försvarsutskottet det oroande att i sin genomförda granskning av nio myndigheter funnit att arbetet med informationssäkerhet på de granskade myndigheterna ”ligger på en nivå som är märkbart under vad som är tillräckligt” och – att döma av tidigare rapporter – inte såg ut att ha utvecklats i tillräcklig grad . fann dock att regeringens arbete med att ta fram en nationell strategi för samhällets informations- och cybersäkerhet i närtid var lovvärt och att detta förhoppningsvis kan innebära ett bättre stöd till myndigheterna i informationssäkerhetsarbetet och en starkare styrning från regeringen gentemot myndigheterna men också samhället i stort. granskade 2018 vilka krav den särskilda verksamhetsformen affärsverk för att bedriva statlig verksamhet ställer på regeringen (RiR 2018:5 Regeringens styrning av affärsverken). I rapporten anfördes att affärsverken har myndighetsliknande styrning men bolagsliknande krav på ekonomin och återrapporteringen till regeringen. Förutsättningarna för styrningen av affärsverken är mer komplexa än för andra myndigheter och ställer krav på olika kompetenser. Affärsverken har fått större frihetsgrad än övriga myndigheter, vilket också ställer krav på tydlig styrning. medför den större handlingsfriheten också högre krav på ansvarstagande för de statliga tillgångar som verken förvaltar. Därtill har affärsverken blandade verksamheter som innefattade både affärsverksamhet och samhällsnytta. Styrningen har enligt inte varit tillräckligt verksamhetsanpassad i dessa avseenden. ansåg att borde utveckla dokumentationen av myndighetsdialogerna mellan affärsverken och ansvarigt departement för att underlätta kontroll och förbättra möjligheterna för de inblandade att nå en gemensam bild av diskussionens innehåll och resultat. För att granska regeringens styrning genom myndighetsdialogerna efterfrågade material från myndighetsdialogerna för perioden –2017 (ibland benämns de tertialmöten, ibland kvartalsmöten). För två av verken, och , hade endast fått ta del av dagordningar, men för även minnesanteckningar där statssekreterare och verkets ledning deltagit. Efter vad kunde se fanns inget annat dokumenterat underlag från myndighetsdialogerna. I sin skrivelse med anledning av rapporten anförde regeringen bl.a. att den inte instämde i sammanfattande slutsats att regeringen inte i tillräcklig utsträckning hade utvecklat och anpassat styrningen av affärsverken till verksamheten i dess nuvarande form och till dess framtida utmaningar (skr. 2017/18:297). Regeringen instämde inte i slutsats att dokumentationen av regeringens styrning är bristfällig. Regeringen instämde därmed inte heller i rekommendation att borde utveckla dokumentationen av myndighetsdialogerna mellan affärsverken och ansvarigt departement för att underlätta kontroll och förbättra möjligheterna för de inblandade att nå en gemensam bild av diskussionens innehåll och resultat. , som inte hade några invändningar mot regeringens bedömningar i skrivelsen, framhöll att genom sin granskning belyst ett viktigt område (bet. 2017/18:FiU13 s. 10). betonade vikten av öppenhet när det gäller regeringens styrning av affärsverken. Genom tydliga och öppna processer kan allmänhetens förtroende för hur affärsverken styrs öka. Ansvar för brister i myndigheternas verksamhet Utskottet har granskat statsråds ansvar för brister i myndigheternas verksamhet, bl.a. när det gäller hur regler följs. granskade utskottet utbildningsministerns ansvar för Centrala () förutsättningar att genomföra sina uppgifter (bet. 2001/02:KU20 s. 182 f.). Utskottet anförde att CSN under en följd av år har haft problem samt att utbildningsministern noggrant följt utvecklingen vid myndigheten och medverkat till att åtgärder vidtagits för att förbättra situationen. Mot bakgrund av att situationen inte hade kunnat förbättras trots att bristerna länge varit uppmärksammade underströk utskottet att regeringen, och framför allt utbildningsministern, bar ansvaret för att tillräckliga åtgärder inte vidtagits för att åstadkomma en tillfredsställande verksamhet inom CSN. granskade utskottet migrationsministerns ansvar för myndighetskulturen inom (bet. 2005/06:KU20 s. 134 f.). I anmälan anfördes att det rådde svåra missförhållanden i myndighetens inre kultur och agerande gentemot asylsökande. Exemplen var så många att det inte längre gick att tala om enskilda övergrepp från enskilda handläggare utan det måste betraktas som systemfel inom myndigheten. Utskottet ansåg att det i regeringens styrande funktion ingår en skyldighet att leda den statliga förvaltningens verksamhet. Förvaltningsmyndigheterna är emellertid självständiga vid tillämpningen av lag, och myndighetens chef ansvarar för att myndighetens verksamhet bedrivs författningsenligt och effektivt. I granskningen hade det framkommit att regeringen och vidtagit en rad åtgärder till följd av de händelser på som uppmärksammades i anmälan. Dessutom hade det framkommit att migrationsministern avsåg att följa utvecklingen på och försäkra sig om att de åtgärder som vidtagits leder till avsedda förbättringar. Utskottet konstaterade att regeringen bär ett ansvar för att verksamhet präglas av rättssäkerhet, humanitet och respekt för individens rättigheter. Ett särskilt ansvar bärs av migrationsministern, och det faller på henne att sörja för att regeringen vid behov vidtar sådana åtgärder som kan krävas för att avhjälpa brister i myndighetens verksamhet. granskade utskottet ansvariga statsråds agerande i fråga om utbetalning av schablonersättning till kommuner i strid med gällande författning (bet. 2007/08:KU20 s. 55 f.). I anmälan fästes särskild vikt vid brister i efterlevnad av en förordning och det faktum att regeringen var medveten om dessa brister. Granskningen visade att de ansvariga statsråden och regeringen följt utvecklingen vid den berörda myndigheten och att regeringen genom de regleringsbrev som riktats till myndigheten hade verkat för att åtgärder vidtogs för att förbättra situationen. Utskottet konstaterade dock att de åtgärder som vidtagits inte lyckades förbättra situationen i tillräcklig grad och att situationen när det gäller tillämpningen av förordningen vad avser utbetalning av schablonersättning under en följd av år varit bristfällig. Regeringen och de ansvariga statsråden bar enligt utskottet ett övergripande ansvar för detta. granskade utskottet om socialförsäkringsministern hade brustit i sitt ansvar för att garantera att arbetar i enlighet med de lagar som har beslutat ska styra verksamheten (bet. 2012/13 KU20 s. 153 f.). I granskningen uppmärksammades skillnader i beviljandegrad mellan manligt respektive kvinnligt dominerade yrken i arbetsskadeförsäkringen. Utskottet konstaterade att det hade vidtagits ett antal åtgärder för att undanröja osakliga skillnader vid bedömning av arbetsskadeärenden. Bland annat hade Inspektionen för socialförsäkringen skapats och regeringen hade gett i uppdrag att göra kunskapsöversikter över arbetsmiljöns betydelse för uppkomsten av sjukdomar och att då särskilt beakta kvinnors arbetsmiljöer. Utskottet fann inte anledning att rikta kritik mot socialförsäkringsministern. Regeringens skyldighet att leda och följa den statliga förvaltningens verksamhet uppmärksammades också i utskottets granskning av regeringens agerande i fråga om militärt samarbete med (bet. 2012/13 KU20 s. 264 f.). Enligt utskottet var det fråga om ett känsligt ärende som hade uppfattats som väldigt angeläget att lösa. Mot denna bakgrund framstod det därför som särskilt angeläget för departementet att hålla sig underrättat om utvecklingen av ärendet och följa verksamheten vid den aktuella myndigheten (, FOI). Av vad som framkommit i granskningen hade dock, ansåg utskottet, Försvarsdepartementet tvärtom skjutit ifrån sig frågan om den fortsatta händelseutvecklingen i kontakterna mellan FOI och de saudiska motparterna. Trots att det varit ett känsligt ärende som orsakat oro för utrikespolitisk och ekonomisk skada för som stat och för svenskt näringsliv skedde ingen synbar uppföljning av instruktionerna till myndigheterna att lösa problemen och upplägget med FOI som konsult. I utskottets ställningstagande anfördes att regeringen är ansvarig inför för sin styrning av riket och att ansvarsutkrävande förutsätter att det ansvariga statsrådet, med respekt för förvaltningens självständighet enligt regeringsformen, både ser till att styra myndigheterna och håller sig informerad om deras verksamhet. De brister i dessa hänseenden som har kunnat konstateras i granskningen var enligt utskottet av allvarligt slag som i förlängningen hade lett till skada för rikets internationella relationer. Samordningen och informationshanteringen inom Samordningen och informationshanteringen inom uppmärksammades av utskottet vid granskningen av regeringens krishantering i samband med flodvågskatastrofen 2004 (bet. 2005/06:KU8 s. 203). Utskottet konstaterade att informationsutbytet mellan , som var huvud- och samordningsansvarigt, och andra departement inte fungerade. En statssekreterargrupp bildades som i sin tur tog initiativ till en kontaktmannagrupp för att underlätta kontakterna mellan berörda departement. Sedan statssekreterargruppen bildats förbättrades samordningen. Vidare konstaterades att flera statsråd hade haft information i ett förhållandevis tidigt skede och att de också varit i kontakt med sina departement, men att de även borde ha sett till att underrätta andra statsråd och statsministern (bet. 2005/06:KU8 s. 206 f.). I granskningen av regeringens hantering av förvärv av Nuon (bet. 2013/14:KU20 s. 132 f.) behandlades frågor om den gemensamma beredningen och informationshanteringen i . I granskningen framkom att det fanns olika synsätt om huruvida en gemensam beredning mellan och hade genomförts i frågan om ställningstagandet till förvärv av Nuon (s. 203 f.). Dokumentation som visade att någon gemensam beredning med slutförts hade inte framkommit. Finansministern uppgav för utskottet att han för förvärvet inte var informerad om att avsåg att genomföra affären. Vidare hänvisade utskottet till att det av statsministerns särskilda ställning i regeringen får anses följa en skyldighet för departementen att informera Statsrådsberedningen om regeringsärenden eller andra frågor av större vikt. Att så skett fanns inte dokumenterat, och statsministern uppgav för utskottet att han för förvärvet inte var informerad om att avsåg att genomföra affären. Utskottet konstaterade att det hade funnits brister vad gäller den gemensamma beredningen, den interna informationen och dokumentationen. Näringsministern kunde enligt utskottet inte undgå kritik för detta. granskade utskottet den tidigare regeringens agerande i fråga om Transportstyrelsen och informationssäkerhet (bet. 2017/18:KU20 s. 331 f.). I granskningen hade det framkommit att Transportstyrelsen –2014 saknat en säkerhetsanalys och därmed brutit mot säkerhetsskyddsförordningen som syftar till att värna rikets säkerhet. Enligt utskottet hade det inte framkommit något som visade att regeringen var informerad om eller delaktig i Transportstyrelsens planer på att outsourca sin it-drift. Inte heller hade det framkommit att regeringen eller fått någon information om att Transportstyrelsen inte genomfört en säkerhetsanalys . När det gäller informationssäkerhet på ett mer allmänt plan noterade utskottet att tidigare regeringars arbete med informationssäkerhetsfrågor har granskats av . vid en granskning 2014 ansåg att arbetet med informationssäkerhet inte var ändamålsenligt sett till de hot och risker som fanns och att de brister som påpekatss 2007 kvarstod i stora drag, vilket innebar brister i regeringens styrning. Den bild som enligt utskottet framkom var att arbetet med informationssäkerhetsfrågor var eftersatt och att den tidigare regeringen inte gjorde tillräckligt för att de brister som påpekats skulle bli åtgärdade. Utskottet framhöll att det i regeringens styrande funktion ingår en skyldighet att leda den statliga förvaltningens verksamhet, vilket förutsätter att regeringen följer myndigheternas verksamhet och vid behov ser till att vidta de åtgärder som är nödvändiga från ett styrningsperspektiv. Utskottet ansåg också att det fanns skäl att ifrågasätta om ansvarsförhållandena i fråga om informationssäkerhetsfrågor varit tillräckligt klara inom den tidigare regeringen. Utskottet granskade också den dåvarande regeringens agerande i samband med Transportstyrelsens it-upphandling (bet. 2017/18:KU20 s. 365 f.). Granskningen väckte enligt utskottet frågor om förmedlingen av information inom när det gäller frågor av betydelse för rikets säkerhet. Granskningen väckte också frågor om information inom departementen till statsråden och mellan statsråden inklusive statsministern. Enligt utskottet hade och inte varit tillräckligt samordnade i hanteringen av frågor med anledning av Transportstyrelsens outsourcing. Information fanns förhållandevis tidigt vid dessa departement som sammantaget visade på allvaret i situationen, vari problemen bestod samt behovet av skyndsamma åtgärder vid inte minst Transportstyrelsen. De två departementen hade i alltför stor utsträckning agerat vart för sig, vilket gått ut över möjligheten att gemensamt skaffa sig en bättre bild över läget och med den som grund överväga vad som ytterligare kunde göras för att hantera situationen. Utskottet såg allvarligt på att det tog innan statsministern nåddes av informationen om en händelse av detta slag. I den sammantagna bedömningen av statsrådens ansvar utgick utskottet från ansvarsprincipen, som i regeringsarbetet innebär att varje departement och statsråd ansvarar för sina områden även i händelse av kris. I det aktuella fallet låg ansvaret för den myndighet där problemen uppkom, dvs. Transportstyrelsen, hos och infrastrukturministern. Ansvaret för den myndighet som fick information om riskerna med outsourcingen och som agerade gentemot Transportstyrelsen, dvs. Säkerhetspolisen, låg hos och inrikesministern. Det ansvar som låg hos övriga departement och statsråd var därmed i första hand att efter att information förmedlats till dem hantera konsekvenserna inom sina respektive områden. Enligt utskottet blev dåvarande inrikesministern förhållandevis tidigt informerad av sitt departement om det inträffade, och han bör då ha varit tillräckligt insatt för att förstå behovet av att följa utvecklingen och säkerställa att berörda departement och Statsrådsberedningen blev informerade. , och då inte minst inrikesministerns statssekreterare, brast i dessa avseenden. Det gäller både samordningen med och kommunikationen med Statsrådsberedningen. Ansvaret för dessa brister åvilar statsrådet. Vidare noterade utskottet att inrikesministern under hela den aktuella perioden inte tog upp händelsen och dess konsekvenser med vare sig statsministern eller infrastrukturministern. Det framstod för utskottet som självklart att händelser av detta allvarliga slag bör tas upp direkt med statsministern och andra berörda statsråd. När det gällde dåvarande infrastrukturministern fick hon i ett mycket sent skede information om det inträffade. konstaterade utskottet att informationen fanns tidigt i hennes departement. Det var enligt utskottet uppseendeväckande att en fråga av detta slag – att en myndighet under hennes ansvarsområde medvetet agerat på ett sätt som medfört risker för rikets säkerhet och att en förundersökning inletts – inte tagits upp mellan henne och hennes dåvarande statssekreterare. Ansvaret för den bristfälliga relationen dem emellan åvilade enligt utskottet statsrådet. Som statsråd hade dåvarande infrastrukturministern även ansvar för de otillräckliga kontakterna mellan och samt för att inte informerade Statsrådsberedningen om de risker för rikets säkerhet som uppkommit inom hennes ansvarsområde. Försvarsministern hade att hantera konsekvenserna av det inträffade för Försvarsmakten. Enligt utskottet agerade försvarsministern på ett rimligt sätt i den uppkomna situationen, och han hade skäl att utgå från att även Statsrådsberedningen hade fått den information han själv fick. Den ansvarsprincip som gäller inom om att varje departement och statsråd ansvarar för sina myndigheter får inte medföra att all information stannar inom respektive departement. Principen kan enligt utskottet inte heller innebära att ett statsråd i varje situation kan utgå från att information överförts inom andra delar av på det sätt som är avsett. Om principen inte hade följts så strikt i detta fall hade Statsrådsberedningen kunnat nås av informationen om det inträffade tidigare. Som regeringschef och chef för har statsministern det övergripande ansvaret för regeringens och arbete. Detta innebär att han bl.a. ansvarar för dels att har rutiner för informationsöverföring, dels att dessa rutiner fungerar. finns rutiner för att säkerställa informationsöverföring mellan departementen och mellan departementen och Statsrådsberedningen vid allvarliga situationer inom departementens ansvarsområden. Utskottet kunde konstatera att tillämpningen av rutinerna i detta fall har brustit. Statsministern bar det yttersta ansvaret för att rutinerna inte hade fungerat.