sou · H9B397 · 2021-12-15 00:00:00 — Säkerhetsmässigt kan det också vara enklare att integrera ett system i en myndighets befintliga it- miljö med de administrativa och tekniska säkerhetslösningar som redan används. Men it-drift i egen regi kan också medföra begräns- ningar. Det kan röra sig om låg skalbarhet, dvs. svårigheter att för- ändra kapacitetsutnyttjandet, låg potential för utveckling och sämre utbud av möjliga säkerhetslösningar. En myndighet med it-drift i egen regi kan också gå miste om stordriftsfördelar som kan följa av samordning eller utkontraktering av it-drift. Ett alternativ till utkontraktering är att en myndighet får i uppdrag att helt eller delvis hantera it-drift åt en annan myndighet, s.k. sam- ordnad it-drift. Exempel på sådan samordning är att hanterar it-driften åt bl.a. och Valmyndig- heten och att i samordnar it-driften för samtliga länsstyrelser. Ett annat exempel på samordnad it-drift är tids- begränsade uppdrag att tillhandahålla samordnad och säker it-drift för vissa statliga myndigheter. Syftet med uppdraget är att pröva och utvärdera former för samordnad it-drift inom staten. Intresset för att ansluta sig till tjänster har varit stort bland de statliga myndigheterna, och uppfattning är att behovet av ett totalåtagande är omfattande och angeläget (dnr Fi2017/ 03257/DF). Detta stärker uppfattningen i tidigare rapporter, dvs. att det finns ett stort intresse för samordnad it-drift bland statliga myndigheter (se bl.a. Statens servicecenter, En gemensam statlig moln- tjänst för myndigheternas it-drift, dnr Fi2016/00274/SFÖ). Sam- ordnad it-drift skulle också kunna ge bättre förutsättningar för sådan samverkan mellan myndigheter som syftar till att utveckla och erbjuda gemensamma digitala tjänster till medborgare och företag. Vid samordnad it-drift är det viktigt att poängtera att en myndig- het alltid är ytterst ansvarig för att den information som lämnas ut får ett effektivt och ändamålsenligt skydd och i övrigt hanteras i en- lighet med gällande rätt. Risker med bl.a. centralisering av flera myn- digheters information behöver också beaktas. Begreppet utkontraktering används ofta för att beskriva när en verk- samhetsutövare lägger ut drift, underhåll, skötsel eller liknande av en viss del av verksamheten till en utomstående leverantör. Utkontrakter- ing har ingen legal definition och innebär inte heller någon tydlig avgränsning mellan olika organisatoriska enheter. Med utkontrak- tering av it-drift avses i dessa direktiv att en myndighet genom offentlig upphandling eller på något annat sätt uppdrar åt en privat leverantör att hantera hela eller delar av myndighetens it-drift. Det kan finnas flera bakomliggande motiv till utkontraktering av it-drift. Det kan t.ex. röra sig om effektivitets- och besparingsskäl, men även att myndigheten vill dra nytta av säkerhetslösningar, expert- kompetens, innovationer eller annan teknisk utveckling hos privata leverantörer. Även om utkontraktering av it-drift kan innebära för- delar för en myndighet, kan det också innebära säkerhetsrisker. Privata leverantörers affärsmodeller är ofta komplexa vilket kan göra dem svåra att överblicka och förstå. Det förekommer också att underleve- rantörer anlitas eller byts ut, att uppgiftsmängder hanteras utanför gränser och att avtalsförhållandena är komplicerade. I sam- manhanget är det viktigt att poängtera att en myndighet aldrig genom utkontraktering kan undandra sig sitt ansvar utan är ytterst ansvarig för att den information som lämnas ut får ett effektivt och ändamåls- enligt skydd och i övrigt hanteras i enlighet med gällande rätt. Säkerhetspolisen har framhållit att utkontraktering kan leda till att den mängd information som samlas hos en leverantör medför att leverantörens verksamhet sammantaget är av stor betydelse för säkerhet. Säkerhetspolisen har också konstaterat att leverantören riskerar att bli ett attraktivt mål för bl.a. andra länders underrättelse- inhämtning (2017). Sådan centralisering, där flera myndigheters information samlas hos en leverantör, inne- bär en ökad riskexponering bl.a. för känsliga uppgifter. kan utkontraktering innebära att en myndighets informationstillgångar får ett bättre tekniskt och administrativt skydd än vad som skulle varit fallet om myndigheten hanterat sin it-drift i egen regi. Rättsliga förutsättningar och säkerhet Oavsett hur en myndighet väljer att anordna sin it-drift ställs den inför en mängd komplexa rättsliga frågor som måste hanteras. Vid utkontraktering kan myndigheten dessutom behöva ta ställning till vilka eventuella rättsliga konsekvenser den allt mer globaliserade marknaden får för hanteringen av myndighetens information, t.ex. om myndighetens informationstillgångar kommer att exponeras för andra staters rättsordningar och lättare bli åtkomliga för utländska myndigheter och organisationer eller andra aktörer. Rätt använt är offentlig upphandling och avtalsförvaltning nyckel- faktorer som ger en myndighet goda förutsättningar att ta del av marknadens it-driftstjänster på ett kostnadseffektivt och juridiskt hållbart sätt (se t.ex. Nationella upphandlingsstrategin). På motsatt sätt kan t.ex. en icke strategisk upphandling av it-drift medföra oväl- komna och långdragna konsekvenser i form av inlåsningseffekter, leverantörsberoende, oförutsedda kostnader och obalanserade avtals- Det ställs således höga krav på en myndighets verksamhets- och beställarkompetens samt förmåga att formulera ändamålsenliga avtalsvillkor och följa upp leverantörens hantering av de utkontrak- terade tjänsterna. tillhandahåller stöd och vägledning för upphandling och avtalsförvaltning (se bl.a. Avtalsför- valtning, vägledning nr 2, 2016). MSB har tagit fram en vägledning för att upphandla informationssäkert (MSB1177, ). En förutsättning för att en myndighet ska kunna samordna sin it-drift med en annan myndighets eller utkontraktera den är att bestämmelser om sekretess och dataskydd inte hindrar att uppgifter lämnas ut till och behandlas av den mottagande myndigheten eller leverantören. Bland myndigheterna råder en viss osäkerhet i fråga om de rättsliga förutsättningarna för utkontraktering. Det gäller främst tolkningen av när en uppgift ska anses röjd enligt sekretesslagstift- ningen, något som bl.a. kommit till uttryck i eSamverkansprogrammets rättsliga uttalanden om röjande och molntjänster och om röjande- begreppet enligt offentlighets- och sekretesslagen (VER 2018:57 och VER 2015:90). I slutbetänkande uttrycks att det finns en oro över att uppgifter som lämnas ut till en privat leverantör kan komma att röjas i strid med sekretesslagstift- ningen (SOU 2018:25 s. 106). Denna oro har förstärkts till följ av att den amerikanska rättsakten The Clarifying Lawful Overseas Use of Data Act (CLOUD Act) trädde i kraft . CLOUD Act syftar bl.a. till att förenkla för amerikanska rätts- vårdande myndigheter att få tillgång till vissa uppgifter som finns lagrade hos leverantörer som omfattas av den amerikanska jurisdik- tionen, oavsett var uppgifterna finns rent geografiskt. Om ett uppgiftsutlämnande inkluderar personuppgifter, behöver den utkontrakterande myndigheten också säkerställa att den behand- ling av personuppgifter som kommer att utföras är förenlig med dataskyddsregleringen. Här avses främst och rådets förordning (EU) 2016/679 av om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direk- tiv 95/46/EG (allmän dataskyddsförordning) samt lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning. Även myndighets- eller sektorsspecifika registerförfattningar kan aktualiseras. En särskild utmaning för en utkontrakterande myndighet kan vara att bedöma om leverantören kan ge tillräckliga garantier om att genom- föra lämpliga tekniska och organisatoriska åtgärder så att behand- lingen uppfyller kraven i dataskyddsförordningen, att den registrerades rättigheter skyddas och att uppgifter inte olovligen förs över till ett tredjeland, dvs. ett land utanför EU- och EES-området. Den som till någon del bedriver verksamhet som är av betydelse för säkerhet eller omfattas av ett för förpliktande inter- nationellt åtagande om säkerhetsskydd (säkerhetskänslig verksamhet) omfattas av säkerhetsskyddslagen (2018:585) och de bestämmelser i förordning och föreskrifter som kompletterar lagen. Med säkerhets- skydd avses skydd av säkerhetskänslig verksamhet mot spioneri, sabo- tage, terroristbrott och andra brott som kan hota verksamheten samt skydd i andra fall av säkerhetsskyddsklassificerade uppgifter. Enligt säkerhetsskyddslagstiftningen gäller särskilda krav om en statlig myndighet avser att ge en leverantör tillgång till eller möjlighet att förvara säkerhetsskyddsklassificerade uppgifter av visst slag utanför myndighetens lokaler eller om leverantören kan få tillgång till vissa typer av säkerhetskänsliga informationssystem utanför myndighe- tens lokaler. En myndighet som t.ex. avser att utkontraktera hela eller delar av sin it-drift ska identifiera och dokumentera vilka upp- gifter eller informationssystem som leverantören kan få del av och som kräver säkerhetsskydd och samråda med den berörda tillsyns- myndigheten innan ett sådant förfarande inleds. Tillsynsmyndig- heten får förelägga myndigheten att vidta säkerhetshöjande åtgärder och ytterst besluta att myndigheten inte får genomföra utkontrak- teringen. I betänkandet Kompletteringar till den nya säkerhetsskydds- lagen (SOU 2018:82) föreslås bl.a. att denna reglering ska utökas och träffa alla aktörer som omfattas av lagen samt att tillsynsmyndig- heterna ska ges utökade befogenheter. Betänkandet bereds för när- varande inom . Det finns stora mängder information och it-system som är av av- görande betydelse för samhällets funktionalitet och säkerhet eller som innehåller integritetskänsliga uppgifter. Om känslig information förloras, stjäls, manipuleras eller sprids till obehöriga kan det få all- varliga följder, se Nationell strategi för samhällets informations- och cybersäkerhet, skr. 2016/17:213 med en senare kompletterande bilaga: Uppdatering om genomförandet av Nationell strategi för samhällets informations- och cybersäkerhet. Likaså kan störningar i funktiona- liteten hos it-system få allvarliga följder för samhällsviktig verksam- het. Den som ansvarar för ett it-system måste utgå från att attacker kan riktas mot såväl systemets funktionalitet som den information som hanteras. Informationssäkerhet måste därför vara en självklar och integrerad del i allt arbete på alla nivåer. Säkerhetsåtgärder syftar till att skapa en mer robust informationshantering vid samhällets normaltillstånd och att hantera mer allvarliga störningar, kriser under höjd beredskap och ytterst krig. En myndighet som står inför valet att samordna sin it-drift med en annan myndighets eller utkontraktera måste säkerställa att den information som kommer att lämnas ut är tillräckligt skyddad hos mottagaren och att kraven på tillgänglighet och funktionalitet upp- fylls. Vid en bedömning av säkerhetsrisker behöver myndigheten bl.a. beakta riskerna med en allt högre grad av centralisering av den offent- liga förvaltningens it-drift och informationstillgångar. Centralisering kan medföra att leverantören blir ett attraktivt mål för antagonistiska attacker (Informationssäkerhet – trender MSB779, ). Cen- traliserad it-drift kan också innebära risk för bredare skadeverkningar vid lyckade attacker mot systemfunktionalitet eller information. Trots riskbilden kan samordnad it-drift eller utkontraktering ge bättre förutsättningar för samhällets informations- och cybersäker- het. Samordnad drift kan t.ex. förenkla införandet av enhetliga säker- hetsnivåer och ge utökade möjligheter till kontroll och uppföljning. Därtill skulle svåråtkomlig kompetens kunna utnyttjas på ett mer effektivt sätt. Samordnad it-drift kan också underlätta införande och användning av andra gemensamma tjänster och metoder som kan resultera i ökad informations- och cybersäkerhet i samhället. Uppdraget att kartlägga och analysera statliga myndigheters it-drift Statliga myndigheters behov av säker och kostnadseffektiv it-drift Det saknas en heltäckande bild av statliga myndigheters behov av säker och kostnadseffektiv it-drift och hur behoven tillgodoses . En konsekvens av detta är att det inte heller finns en klar kostnadsbild över statsförvaltningens sammanlagda utgifter för it-drift. Det saknas också övergripande analyser av vilka ekonomiska, rättsliga, säkerhets- mässiga och övriga konsekvenser samordning respektive utkontrak- tering av it-drift lede till för varje enskild myndighet och för den statliga förvaltningen som helhet i förhållande till it-drift i egen regi. I syfte att klarlägga statliga myndigheters behov och hantering av säker och kostnadseffektiv it-drift behöver dessa frågor kartläggas och analyseras. Kartläggningen ska omfatta ett representativt urval av statliga myndigheter, försvarsmyndigheterna och Säkerhetspoli- sen undantagna. Kriterier som ska beaktas vid urvalet av de myndig- heter som ska ingå i kartläggningen är bl.a. att de ska ha olika storlek och finansieringsform samt ha uppgifter inom olika verksamhets- områden. Kartläggningen ska klargöra hur de utvalda myndigheterna hanterar sin nuvarande it-drift, vilka specifika och prioriterade behov myndigheterna har av att samordna eller utkontraktera it-drift samt vilka behov myndigheterna bedömer sig ha över . De kartlagda myndigheternas kostnader för it-drift ska redovisas. Idenna del kan utredaren bl.a. ta utgångspunkt i Ekonomistyrnings- verkets rapporter inom ramen för it-användningsuppdraget (se bl.a. ESV 2018:30). Där det finns relevanta jämförelseobjekt och avtal ska en jämförelse göras mellan kostnaderna för it-drift i egen regi och utkontraktering i förhållande till samordning av it-drift. Det behöver också kartläggas i vilken utsträckning it-drift i egen regi och samordning respektive utkontraktering av it-drift kan svara mot de statliga myndigheternas behov av och krav på it-drift och andra närliggande tjänster. I detta sammanhang är det särskilt relevant att undersöka och jämföra i vilken utsträckning de olika it-driftsfor- merna förmår leva upp till rättsliga och säkerhetsmässiga krav, t.ex. krav på säkerhetsskydd och informationssäkerhet samt sekretess och skyddet för den personliga integriteten. Vidare ska utredaren, oavsett myndigheternas val av driftsform, kartlägga myndigheternas beställarkompetens och förmåga att identifiera vilka säkerhetskrav som ska ställas på it-drift. Utredaren ska också kartlägga myndighe- ternas förmåga att identifiera risker för inlåsningseffekter och möj- lighet att dra nytta av teknisk innovation. Den efterföljande analysen ska svara på vilka huvudsakliga behov olika typer av myndigheter har av samordning eller utkontraktering av sin it-drift. Det kan t.ex. röra sig om i vilken utsträckning myndig- heter har behov av ett helhetsåtagande för drift och förvaltning respektive mer specifika åtaganden, t.ex. drift av särskilt krävande digitala tjänster som kräver viss expertkompetens. Det kan också röra sig om behov av att utkontraktera annan närliggande verksam- het såsom stöd vid utveckling och teknisk utrustning. Om behoven skiljer sig åt exempelvis för myndigheter av olika storlek eller inom olika sektorer, ska dessa redovisas. Analysen ska också redogöra för för- och nackdelar av olika driftsformer samt jämföra kostnads- bilden för samordning respektive utkontraktering av it-drift jämfört med it-drift i egen regi. För att tydligare redovisa de kartlagda myn- digheternas sammanlagda utgifter för it-drift ska de kostnader som kvarstår på myndigheterna vid utkontraktering av it-drift framgå av kostnadsbilden. Eftersom myndigheterna bär det yttersta ansvaret även vid utkontrakterad it-drift ska även kostnader för att upprätt- hålla ändamålsenlig kompetens på myndigheterna beaktas. Vidare ska analysen belysa eventuella skillnader samt för- och nackdelar vid samordnad-it-drift med andra statliga myndigheter jäm- fört med utkontraktering till en privat leverantör. Det kan exempelvis gälla kvalitet, kontinuitet riskhantering, säkerhet, skalbarhet, flexibi- litet, transparens eller möjlighet at dra nytta av teknisk utveckling och digital innovation. •kartlägga och analysera statliga myndigheters behov av säker och kostnadseffektiv it-drift, hur behoven är tillgodosedda och kost- naderna för dessa, •kartlägga och analysera i vilken utsträckning olika it-driftsformer – i egen regi, samordning respektive utkontraktering – kan svara mot statliga myndigheters behov av och krav på it-drift, samt vilka förutsättningar myndigheter har för ändamålsenlig kravställning inom området, och •analysera vilka behov av it-drift och närliggande tjänster hos stat- liga myndigheter, respektive olika verksamhetshetssektorer, som utifrån behovsanalysen är mest prioriterade att tillgodose. Samordnad it-drift – omvärldsanalys Det finns mycket att lära både av hur man nationellt och i andra länder har valt att hantera frågor om samordnad statlig it-drift och offent- lig-privat samverkan kring it-drift. Dessa erfarenheter behöver kart- läggas och analyseras för att det ska gå att bättre förstå vilka alternativ som står till buds och hur de olika lösningarna står sig mot varandra utifrån bl.a. säkerhet och kostnadseffektivitet, samt vilka utmaningar och problem de olika länderna har stött på. har genomfört en större reform genom ökad centralisering och övergång till samordnad statlig it-drift genom myndigheten . Även och har erfarenheter av samordnad statlig it-drift. Utanför finns flera intressanta och relevanta exempel på såväl samordnad statlig it- drift som offentlig-privat samverkan kring molntjänster och it-drift. har infört en lösning med en statlig molntjänst som hanterar it-drift för flera centrala myndigheter frikopplat från internet. Stor- har genom en gemensam molntjänstportal valt att samordna utkontraktering till kommersiella molntjänstleverantörer. I finns flera exempel på samordnad statlig it-drift som bör analyseras, t.ex. hantering av it-drift åt och samt länsstyrelsernas samordnade it-drift. De lärdomar som dragits nationellt och i andra länder av samordnad statlig it-drift bör tas till vara och utgöra en del av underlaget inför förslag om inriktning för en mer varaktig form av samordnad statlig it-drift i . •kartlägga och analysera relevanta modeller för myndigheters it- drift såväl nationellt som i ett urval av särskilt intressanta länder med såväl samordnad statlig it-drift som offentlig-privat samver- kan kring samordnad it-drift. Uppdraget att föreslå mer varaktiga former för samordnad statlig it-drift uppdrag om samordnad och säker statlig it-drift De erfarenheter och den kompetens har byggt upp inom ramen för sitt uppdrag att tillhandahålla samordnad och säker statlig it-drift behöver tas till vara i det fortsatta arbetet att föreslå samordnad statlig it-drift. uppdrag behö- ver därför utvärderas och analyseras. Utredaren ska bl.a. redovisa hur byggt upp sin organisation kring de tjänster som tillhandahålls, för- och nackdelar med finansieringsmodell, hur anslut- ningsprocesserna med kundmyndigheterna har fortlöpt och om upp- draget i övrigt föranlett några särskilda utmaningar t.ex. när det gäller informationssäkerhet, säkerhetsskydd eller kund- och avtals- förvaltning. Utvärderingen ska innehålla en analys av vilka eventuella samordningsvinster och andra nyttor, t.ex. kostnadseffektivitet, ökad säkerhet, flexibilitet och skalfördelar, som kan uppnås vid samordnad statlig it-drift, i jämförelse med it-drift i egen regi respektive utkon- traktering. Utredaren ska också redovisa vilka eventuella nackdelar som kan följa av samordnad statlig it-drift. •utvärdera uppdrag att tillhandahålla samordnad och säker statlig it-drift och redovisa vilka slutsatser som kan dras i fråga om bl.a. upparbetad organisation, finansieringsmodell, tjänsteleverans, samordningsvinster samt påverkan på kärnverk- samhet i fråga om bl.a. resursbehov och prioriteringar inom verk- samheten, och •analysera vilka lärdomar, erfarenheter och investeringar som är relevanta att vidareutveckla inom ramen för förslag till mer varak- tiga former för samordnad statlig it-drift. Säkerhetsmässiga och rättsliga förutsättningar för samordnad statlig it-drift Samordning av statlig it-drift skulle innebära en allt högre grad av centralisering av den statliga förvaltningens it- och informationstill- gångar, vilket leder till särskilda säkerhetsmässiga utmaningar. statliga myndigheter bedriver verksamhet som till någon del är av betydelse för säkerhet och träffas därigenom av säkerhets- skyddslagen. I dessa fall är det säkerhetsskyddslagstiftningen som sätter ramarna för om det över huvud taget är möjligt för en myn- dighet att samordna eller utkontraktera sin it-drift. Även en aggreger- ing av flera statliga myndigheters informationstillgångar kan leda till att information som fristående inte skulle bedömas falla inom ramen för säkerhetsskyddslagen ändå omfattas av lagen, då de samlade informationstillgångarna får en annan hotbild och ett annat skydds- värde. Vidare ansvarar varje myndighet för att beakta och planera för totalförsvarets krav, i enlighet med vad som bl.a. föreskrivs i för- ordningen (2015:1053) om totalförsvar och höjd beredskap. De säkerhetsmässiga för- och nackdelarna för statliga myndig- heter att ansluta sig till samordnad it-drift jämfört med att hantera it-drift i egen regi eller utkontraktera driften behöver analyseras. Analysen bör bl.a. innehålla fördjupade resonemang om hur regel- verken om säkerhetsskydd, informationssäkerhet, offentlighet och sekretess samt skyddet för den personliga integriteten kan upprätt- hållas och utvecklas. Även de rättsliga förutsättningarna för samordnad it-drift i övrigt behöver genomlysas. I analysen ska särskilt fokus läggas på avtalsrättsliga förhållanden, bl.a. när det gäller statliga myndigheters förutsättningar att ingå rättsligt bindande avtal med varandra, ansvarsförhållanden och funktioner för ansvarsutkrävande, prioritering av driftbehov vid incidenter, avtalsförvaltning m.m. I analysen bör de avtalsmodeller som tagits fram inom ramen för Statens servicecenters tillhanda- hållande av tjänster beaktas. Det behöver vidare utredas om det finns konkurrens- och marknadsrättsliga förutsättningar för samordnad it- drift, hur statligt tillhandahållen it-drift förhåller sig till regelverken om offentlig upphandling och om det är nödvändigt att författnings- reglera anslutning till sådan it-drift. •analysera de säkerhetsmässiga förutsättningarna för samordnad statlig it-drift särskilt när det gäller krav på säkerhetsskydd och informationssäkerhet samt sekretess och skyddet för den person- liga integriteten, •analysera de rättsliga förutsättningarna för samordnad statlig it- drift, särskilt när det gäller avtals- och upphandlingsfrågor samt konkurrens- och marknadsrättsliga frågor, och •vid behov lämna författningsförslag som möjliggör att inrätta sam- ordnad statlig it-drift. Eventuella författningsförslag ska utformas med hänsyn tagen till kraven på säkerhetsskydd och informationssäkerhet, offentlighet och sekretess samt skyddet för den personliga integriteten. Om ändringar i offentlighets- och sekretesslagen föreslås ska de inte innebära någon förändring av lagens struktur och begreppsapparat. Inte heller ska sådana förslag innefatta ändring av, eller tillägg till, lagens bestäm- melser om beslutsordning eller sekretessprövningens metodik. I upp- draget ingår inte heller att föreslå ändringar i grundlag eller i säker- hetsskyddslagstiftningen. Samordnad, säker och kostnadseffektiv statlig it-drift Utifrån resultatet av övriga delar av utredningen ska utredaren över- väga vilka behov som finns av att inrätta mer varaktiga former av samordnad it-drift för den statliga förvaltningen samt om detta är lämpligt ur säkerhetssynpunkt.