sou · H9B397 · 2021-12-15 00:00:00 — Detta mot bakgrund av hur läget ser ut , där kompetensbrist och bristande informationssäkerhetsarbete påverkar myndigheters möjlighet att säkerställa säkra och kostnadseffektiva it-driftslösningar i verksam- heten. En samordnad statlig it-drift kan sammantaget bidra till att ge myndigheter bättre förutsättningar att göra medvetna val av säkra och kostnadseffektiva it-driftslösningar. innebär samordning en ökad koncentration av uppgifts- samlingar vilket i sig ställer krav på säkerhet. Här bedömer vi att vårt förslag med flera leverantörsmyndigheter med tjänster som också bygger på lösningar från privata leverantörer ger förutsättningar för en säker samordnad lösning. Varje aktör har, utifrån sitt uppdrag, ansvar att säkerställa att säkerhetskraven uppfylls i verksamheten. Samordnade upphandlingar inom ramen för en samordnad statlig it-drift ger förutsättningar för myndigheter att ta del av säkra och kostnadseffektiva it-driftslösningar från privata leverantörer. med kan också kraven på säkerhet och kostnadseffektivitet sannolikt lättare uppfyllas än om varje myndighet själv ansvarar för upphand- lingarna. Den samordnade statliga it-driften kan bidra med en trygghet för de myndigheter som saknar förutsättningar att erhålla en säker och kostnadseffektiv it-drift i egen regi eller genom privata leverantörer. Genom det samordnade statliga tjänsteutbudet kan myndigheter som saknar egen kompetens och resurser ta del av den kompetens som redan finns hos andra myndigheter. På så vis kan befintliga för- mågor nyttjas på ett mer kostnadseffektivt sätt för att säkerställa att samtliga myndigheter har de förutsättningar som krävs för att leva upp till krav som gällande regelverk ställer på myndigheter. De ekonomiska konsekvenserna för myndigheter som ansluter sig till ett samordnat statligt tjänsteutbud är svåra att uppskatta. Av de exempel som vi fördjupat oss i har det inte funnits ett nolläge att utgå från, vilket gör det svårt att svara för hur kostnaderna närmare har påverkats. Många faktorer påverkar dessutom kostnaderna för en myndighets it-drift. De myndigheter som anslutit sig till Försäk- ringskassan har t.ex. fått ändrade uppdrag, höjt ambitionen vad gäller säkerhet, bytt tjänster etc. Mycket talar för att myndigheterna kommer få motsvarande eller ökade kostnader för sin it-drift jämfört med genom ökad kom- plexitet, fler digitala tjänster och höjda säkerhetskrav för att säker- ställa en säker it-drift. Kostnaderna kommer dock med stor sannol- ikhet bli högre utan en samordnad statlig it-drift eftersom det skulle förutsätta att varje myndighet på egen hand genomför den analys och kravställning som krävs för att upphandla en tjänst eller på egen hand bygga upp den kompetens som vi föreslår ska erbjudas myn- digheterna i den samordnade lösningen. Beroende på hur myndigheternas befintliga situation ser ut kan det även finnas potential för besparingar . Från vår kartlägg- ning vet vi att myndigheterna främst efterfrågar infrastrukturtjäns- ter. Vi vet även att det inom detta område finns besparingspotential genom konsolidering av befintliga datacenter inom statsförvaltningen, även om omfattningen är svår att uppskatta. Det finns även potential för besparingar om en myndighet som hanterar it-drift i egen regi skulle överlåta hela eller delar av sin it-drift till ett samordnat statligt tjänsteutbud. Eftersom det är frivilligt för myndigheter att ansluta sig kan däremot bristen på volymer medföra en lägre poten- tial för stordriftsfördelar, vilket kan komma att påverka hur kost- nadseffektivt det samordnade statliga tjänsteutbudet kan bli. Det är dock viktigt att poängtera att besparingar enligt vår upp- fattning inte bör vara det huvudsakliga argumentet för att inrätta varaktiga former för samordnad statlig it-drift. Ökad säkerhet inom statsförvaltningen bör vara överordnat, därefter behöver man säker- ställa att den samordnade statliga it-driften kan erbjuda så kostnads- effektiva lösningar som möjligt. 12.4Övriga konsekvenser av förslagen 12.4.1Konsekvenser för den kommunala självstyrelsen Vårt uppdrag om samordnad statlig it-drift är avgränsat till den stat- liga förvaltningen och våra förslag får därmed inte några konsekven- ser för den kommunala självstyrelsen. 12.4.2Konsekvenser för brottsligheten och det brottsförebyggande arbetet Den tekniska utvecklingen, digitala lösningar och ökade datavolymer skapar stora möjligheter men risker och sårbarheter för myndigheter och för samhället i stort. Utredningens förslag syftar bl.a. till att öka säkerheten i enskilda myndigheters it-drift. I våra förslag ingår också överväganden kring hur en samordnad statlig it-drift ska utformas för att på bästa sätt hantera de säkerhetsrisker och hot som uppstår när uppgifter sam- ordnas i högre grad. Vår bedömning är att förslagen kommer bidra till att myndigheter i högre grad får tillgång till säkra it-driftslösningar, både genom ett samordnat statligt tjänsteutbud och genom ramavtal som säkerställer säkerhetskraven. Myndigheterna bör därmed få en ökad motstånds- kraft mot kriminellas förmåga och intentioner. Vi bedömer också att vårt förslag till samordnad statlig it-drift med flera leverantörsmyn- digheter som erbjuder samordnade it-driftstjänster innebär en mins- kad sårbarhet och risk för brottsliga angrepp jämfört med om enbart en myndighet skulle erbjuda dessa tjänster. Sammantaget bedömer vi att våra förslag medför att motståndskraften mot kriminella an- grepp och intentioner ökar både för enskilda myndigheter och för den samordnade statliga it-driften som helhet. 12.4.3Konsekvenser för sysselsättning och offentlig service i olika delar av landet Utöver de konsekvenser som vi redogjort för i avsnitt 12.2 om före- tag och marknad så ser vi inte att våra förslag kommer ha några signi- fikativa konsekvenser för sysselsättning och offentlig service i olika delar av landet generellt. Inom den statliga förvaltningen kan sysselsättningen komma att påverkas såväl positivt som negativt. DIGG kommer behöva rekry- tera personal för att utföra sina nya uppgifter. Även leverantörsmyn- digheterna kan behöva stärka upp sin it-driftsorganisation för att möta den efterfrågan som finns hos anslutande och anslutna myndigheter. Beroende på av vilka skäl en myndighet väljer att ansluta sig till ett samordnat statligt tjänsteutbud kan även andra myndigheters syssel- sättning påverkas. Om en myndighet som har drift i egen regi väljer att ansluta sig skulle det kunna bli aktuellt med avveckling av den interna it-driftsorganisationen. vet vi att det är vanligt att myndigheter omfördelar sina resurser snarare än att säga upp personal. 12.4.4Konsekvenser för små företags arbetsförutsättningar, konkurrensförmåga eller villkor i övrigt i förhållande till större företag I vårt delbetänkande bedömde vi att våra förslag kunde medföra att myndigheter ställer högre krav på tjänsteleverantörer vid utkontrak- tering, vilket skulle kunna påverka små företag negativt. Utifrån de marknadsandelar som små företag har inom it-driftsområdet be- dömdes dock effekten som marginell. Huruvida volymen av it-drift från privata leverantörer kommer öka eller minska som följd av en samordnad statlig it-drift är, som framgår av konsekvensanalysen, svårt att bedöma. Oavsett finns det en risk för att det kommer att påverka små företag negativt då voly- men per upphandling ökar genom samordning, vilket kan vara svårt för en mindre leverantör att hantera och kvalificera sig för. Små före- tag, som levererar it-driftstjänster till en myndighet och som upp- fyller myndighetens krav på säkerhet och kostnadseffektivitet, kom- mer troligtvis fortsätta leverera till myndigheten. kan mindre företag med en efterfrågad spetskompetens påverkas positiv då företagen kan vinna större upphandlingar och exponera sina tjänster till fler myndigheter. 12.4.5Jämställdheten mellan kvinnor och män Våra förslag bedöms inte påverka jämställdheten mellan kvinnor och män. 12.4.6Möjligheterna att nå de integrationspolitiska målen Våra förslag bedöms inte ha betydelse för möjligheterna att nå de integrationspolitiska målen. 12.5Ekonomiska konsekvenser av förslagen Med utgångspunkt från den modell för anslutning som vi föreslår, som baseras på frivillighet, är det svårt att uppskatta vilka kostnader som kan uppstå hos berörda myndigheter. Vi vet även att statliga myndigheters behov av samordnade it-driftstjänster och förutsätt- ningar varierar vilket påverkar möjligheten att på förhand bedöma eventuella kostnader. I detta avsnitt redogör vi för de kostnader som vibedömer är rimliga att utgå från. Den slutgiltiga kostnaden bör fastslås i dialog med berörda myndigheter. Kostnaderna för anslutna myndigheter och leverantörsmyndig- heter har beräknats med utgångspunkt från reger- ingsuppdrag om samordnad och säker statligt it-drift. För att bilda oss en uppfattning om hur stora personella resurser den nya upp- giften som samordnande myndighet skulle kräva har vi fört en dialog med DIGG. 12.5.1Anslag för regeringsuppdraget att etablera former och förmåga för en samordnad statlig it-drift Utredningens förslag: DIGG, Lantmäteriet, , Trafik- verket, , de länsstyrelser som är tillsynsmyndigheter enligt säkerhetsskyddslagen, MSB, Säkerhetspolisen och Upphandlings- myndigheten ska tilldelas anslagsmedel för regeringsuppdraget att etablera former och förmåga för en samordnad statlig it-drift. Utifrån de erfarenheter som vi samlat in och analyserat framgår att det finns utmaningar med att finansiera uppbyggnad av en verksamhet genom avgifter. Såväl som Statens servicecenter lyfter fram initial anslagsfinansiering som en viktig förutsättning för att kunna bygga upp en väl fungerande verksamhet. Mot bakgrund av detta föreslår vi att den samordnande myndigheten, leverantörs- myndigheterna och stöd- och expertmyndigheter tilldelas anslagsmedel för regeringsuppdraget att etablera former och förmåga för en sam- ordnad statlig it-drift. Anslag för den samordnande myndighetens medverkan i regeringsuppdraget att etablera former och förmåga för en samordnad statlig it-drift För att ge DIGG möjlighet att förbereda etableringen av former och förmåga för det nya uppdraget som samordnande myndighet före- slår vi att myndigheten tilldelas anslagsmedel. Vi har i dialog med DIGG tagit fram en uppskattning av hur mycket medel som skulle kunna behövas. För att starta verksamheten ser DIGG att det skulle behövas ungefär sju årsarbetskrafter för att täcka följande kompetensområden: projektledare, säkerhetsarkitekt, driftsarkitekt, personal för samman- ställning av tjänsteutbudet, rådgivare eller expert och controller. DIGG beräknar att myndigheten kommer behöva för , dvs. Detta innebär en totalsumma om . Det kan även finnas behov av vissa investeringar för att utveckla systemstöd, t.ex. sammanställning av tjänsteutbudet för anslutande myndigheter. In- vesteringsbehovet är dock svårt att uttala sig om i detta läge. Det är svårt att uppskatta hur mycket medel som leverantörsmyn- digheterna är i behov av och detta bör därför utredas närmare i dialog med de myndigheter som berörs. Dialogen bör lämpligen ta sin ut- gångspunkt i erfarenheterna från uppdrag. De anslagsmedel som föreslås tillföras leverantörsmyndigheterna kan liknas vid de medel som har fått för att bygga upp sin verksamhet inom ramen för regeringsuppdraget om sam- ordnad och säker statlig it-drift. Dessa medel fördelades från anslaget 2:6 Gemensamma e-förvaltningsprojekt av strategisk betydelse, anslagspost 1 Gemensamma e-förvaltningsprojekt – e-för- valtning, under utgiftsområde 22 Kommunikationer. I samband med att uppdrag reviderades 2019 angav regeringen att kostnaderna för uppbyggnad av verksamheten avseende myndig- hetssamverkan samt initiala engångskostnader för uppbyggnad av gemensamma funktioner skulle belasta anslaget 1:18 Myndigheten för digital förvaltning under utgiftsområde 2 Samhälls- ekonomi och finansförvaltning, anslagspost 7 Nationell digital infra- struktur. Vi redogör för dessa kostnader nedan och hur de skulle kunna användas för att uppskatta omfattningen av behovet av anslagsmedel till övriga leverantörsmyndigheter. har för åren 2017–2020 fått totalt 31,5 miljo- ner kronor i bidragsmedel för att finansiera egna kostnader för planering avseende regeringsuppdraget och för upp- byggnad av samordnad och säker statlig it-drift för: –små myndigheter vars behov kan tillgodoses med standardlösning –finansiering av aktiviteter som kan tillgodose fler än en specifik myndighet –initial uppbyggnad av infrastruktur som tillgodoser fler än en spe- cifik myndighet. I dialog med har vi förstått att av de totalt för uppdraget har nyttjats för kostnader för egen planering och uppbygg- nad utifrån uppdraget. Genom att utgå från hur denna summa har fördelat sig respektive år gör vi en uppskattning av hur en fördelning av anslagsmedel för respektive tillkommande leverantörsmyndighet kan se ut. Tabell 12.1 kostnader avseende planering Av tabellen ovan framgår att nyttjade . Motsvarande kostnad för är beräknat till och därefter avtar kostnaderna det tredje året och landar på för att under det fjärde året beräknas till . Mot bakgrund av att har gjort ett omfattande arbete i genomförandet av sitt regeringsuppdrag samt att de före- slagna leverantörsmyndigheterna redan har påbörjat ett arbete inom ramen för SITSSAM bör myndigheterna inte behöva fullt så mycket medel som har tilldelats för sitt regeringsupp- drag. Det är däremot svårt att svara på vilka besparingar som kan hämtas hem genom det förberedelsearbete som har gjorts, detaljerade beräkningarna bör därför tas fram i dialog med berörda myndigheter. Vi bedömer det som rimligt att utgå från den kostnad som Försäk- ringskassan har redogjort för vad gäller det andra och tredje året, dvs. Mot bakgrund av att har tillförts särskilda medel –2020 för att finansiera planering och uppbygg- nad bedömer vi att inte behöver några ytterligare medel. Vi vet även att har tidigare erfarenhet av att erbjuda it-drift till andra myndigheter, vilket innebär att myndig- heten inte borde behöva lika mycket som övriga myndigheter. Vi föreslår därför att Lantmäteriet och tillförs och . före- slås tillföras och för Totalt föreslår vi alltså att leverantörsmyndigheterna tillförs . Det kan även finnas behov av initiala investeringar för utveckling av det samordnade statliga tjänsteutbudet. Det kan t.ex. röra sig om utveckling av leverantörsmyndigheternas förmåga för att säkerställa kapacitet och säkerhet. Vi återkommer till hur dessa investeringar skulle kunna finansieras i avsnitt 12.6.1. Anslag för stöd- och expertmyndigheter Det är i det här läget svårt att bedöma i vilken omfattning stöd- och expertmyndigheterna kommer involveras i den samordnade statliga it-driften utöver medverkan i expertrådet. En viktig utgångspunkt i vårt förslag är att den samordnande myndigheten ska samordna det stöd som myndigheterna behöver för att kunna göra medvetna val av säkra och kostnadseffektiva it-driftslösningar. Vår tanke är där- med att den samordnande myndigheten i flera delar ska kunna av- lasta stöd- och expertmyndigheterna i frågor som kommer från en- skilda myndigheter. Den samordnande myndigheten kan i ett initialt skede hänvisa och vägleda myndigheterna till redan befintligt metod- stöd så som vägledningar, utbildningar etc. Genom den samordnande myndigheten kan gemensamma frågeställningar eller behov av för- bättringar i tillgängligt stöd samordnas på ett sätt som underlättar stöd- och expertmyndigheternas beredning. Det går däremot inte att utesluta att stöd- och expertmyndig- heterna under ett initialt skede kan behöva resursförstärkning för att stödja den samordnande myndigheten och leverantörsmyndigheterna vid etableringen av former och förmåga för den samordnande statliga it-driften. Vi bedömer därför att stöd- och expertmyndigheterna bör tillföras anslag för deras deltagande i regeringsuppdraget att etablera former och förmåga för en samordnad statlig it-drift. Hur mycket medel som kan bli aktuellt är svårt att bedöma i detta skede. Vårt förslag till expertråd har jämförts med de kompetensområden som nyttjas inom den förvaltningsgemensamma digitala infrastrukturen där MSB medverkar. Det kan till en början finnas vissa likheter fram- för allt när det gäller uppbyggnaden av de strukturer som krävs. MSB har inom ramen för den förvaltningsgemensamma digitala infrastruk- turen tilldelats för kompetensområdet Vår bedömning är dock att uppdraget inom den samordnade statliga it-driften kommer vara mer begränsat. Mot den bakgrunden föreslår vi att respektive stöd- och expertmyndighet (med undantag för tillsynsmyndigheterna inom säkerhetsskydd som tilldelas ett samlat belopp) tillförs och . Totalt uppgår medlen till 3 miljoner kro- nor för samtliga aktörer. Vi bedömer däremot att stöd- och expertmyndigheternas löpande uppgifter inom den samordnade statliga it-driften ryms inom myn- digheternas befintliga uppdrag. Under utredningens arbete har vi fått kännedom om att flera av de stöd- och expertmyndigheter som vi föreslår är underfinansierade och har svårt att fullgöra sitt uppdrag. Vi bedömer inte att det ligger i vårt uppdrag att säker- ställa att myndigheterna har tillräckliga resurser för att uppfylla sitt grunduppdrag. Vi föreslår enbart finansiering och resursförstärk- ning i de delar där vi bedömer att våra förslag innebär nya uppgifter för myndigheterna. 12.5.2Anslag för den samordnande myndigheten Utredningens förslag: DIGG ska tilldelas anslagsmedel för upp- giften som samordnande myndighet inom den samordnade stat- liga it-driften. Som vi konstaterat i avsnitt 10.7 har vi i våra dialoger med myndig- heterna förstått att framför allt små myndigheter har utmaningar att bekosta de initiala faserna av en anslutningsprocess. Ett led i detta har varit att se över på vilket sätt vi kan avlasta de myndigheter som är i behov av ekonomiskt stöd. För att renodla finansieringen bedömer videt som lämpligt att finansiera den samordnande myndighetens uppgift genom anslag. På så sätt får samtliga myndigheter som är i behov av stöd tillgång till den samordnande myndighetens kompetens oberoende av ekonomiska förutsättningar. Resursbehovet för den samordnande myndigheten – DIGG – be- höver bedömas dels utifrån myndighetens befintliga uppdrag och vilka synergier som finns med de nya uppgifterna, dels utifrån vilka delar iden samordnande rollen som kräver nya resurser och kompetens. För att göra denna bedömning har vi fört en dialog med DIGG. DIGG ser synergier med myndighetens befintliga uppgifter där myndigheten har en samordnande roll. Det handlar om upparbetade relationer, erfarenheter av att utveckla arbetsprocesser, delar av be- fintliga kompetensforum inom exempelvis arkitektur och säkerhet, ledning av samverkansforum samt administration kopplat till sam- ordningsrollen. DIGG ser också synergier med myndighetens främ- jandeuppdrag och myndigheten bedömer att förmågan att ge rätts- ligt stöd även kan användas för uppgiften att ge stöd till myndigheter inom den samordnade statliga it-driften. Både arbetssätt och DIGG rekommenderar, en digital tjänst som myndigheten utvecklar för rätts- ligt stöd, kommer här att kunna återanvändas. För uppgiften som samordnande myndighet behöver dock spe- cifik kompetens som rör it-drift tillföras. Det gäller exempelvis ny och specifik kompetens för uppdraget att ta fram, utveckla och för- valta tjänstekatalogen för det samordnade statliga tjänsteutbudet till- sammans med leverantörsmyndigheterna. Här kommer också krävas ett it-stöd för sammanställning av tjänsteutbudet. Generellt kan sägas att DIGG som ny myndighet inte har alla de it-system som kan be- hövas i det nya uppdraget som samordnande myndighet, vilket kan kräva vissa initiala investeringar. Iavsnitt 12.5.1 har vi redogjort för resurs- och kompetensbeho- vet för DIGG inom ramen för regeringsuppdraget att etablera for- mer och förmåga för en samordnad statlig it-drift, dvs. steg 1 enligt vår införandeplan. För steg 2, när regeringen inrättat varaktiga former för samordnad statlig it-drift genom förordning och uppgifter i myn- digheternas instruktioner, ska DIGG erhålla anslagsmedel. Det är svårt att göra en exakt bedömning av resurs- och kompetensbehovet i detta skede men vi har i dialog med DIGG försökt specificera hur behovet kan se ut . Det finns anledning att återkomma till dessa bedömningar och resursbehovet inför att den samordnade stat- liga it-driften formellt ska inrättas. Tillkommande kompetens- och resursbehov 1, dvs. 2024 då regeringen inrättat varaktiga former för samordnad statlig it-drift enligt vårt förslag till införandeplan, uppgår till 12 årsarbetskrafter (se tabell 12.2 nedan). Kompetensmässigt ser DIGG behov av följande kompetenser: informationssäkerhetsspecialist, it-beställare, arkitekter för drift och infrastruktur, resurser för omvärldsbevakning natio- nellt och internationellt och för uppföljning och återrapportering till regeringen samt ytterligare rådgivare för dialog och stöd till myndig- 3 (2026 enligt införandeplanen) ser DIGG ett ökat resurs- behov för att omhänderta nya myndigheter, utveckling av nya typer av tjänster och eventuellt också nya leverantörsmyndigheter samt samverkan med Kammarkollegiet vid upphandlingen av nya ramavtal. Totalt bedöms 22 årsarbetskrafter arbeta med den samordnade stat- liga it-driften år 3. Utvecklingen av resursbehovet 3 är svår att bedöma och är beroende av flera faktorer som t.ex. efterfrågan på stöd från myn- digheter, tidpunkt för när myndigheters befintliga avtal går ut och anslutningstakt gentemot leverantörsmyndigheter. Vi har utgått från ett scenario där myndigheternas behov av stödresurser kommer att öka vilket i sin tur innebär ett ökat resursbehov för DIGG. Scenariot bygger på hur det ser ut , där ett stort antal myndigheter har uttryckt intresse för att ansluta sig till ett samordnat statligt tjänsteutbud. Vi vet också att många myndigheter står i kö för an- slutning till samordnade it-drift. För att få ut effekterna av en samordnad statlig it-drift måste alla myndigheter som efterfrågar stöd också få tillgång till stöd för att komma vidare i de bedömningar som krävs vid val av it-driftslösning (anslutning till ett samordnad statligt tjänsteutbud via leverantörs- myndighet, ramavtal eller annan lämplig lösning i väntan på anslut- ning). Nya behov hos myndigheterna kan också leda till att de kan behöva ansluta sig till flera leverantörsmyndigheters tjänster för att få behoven uppfyllda. Troligtvis kommer enskilda myndigheter ha behov av djupare dialoger för att hitta en lämplig lösning vilket för DIGG:s del leder till ett behov av fler experter och eventuellt också upphandlade expertkonsulter. Under hela uppbyggnadsfasen kommer det finnas utmaningar och ta tid att hitta rätt kompetens. Det kan vara aktuellt med tillfälliga lösningar genom konsulter vilket i sig kan leda till en ökad kostnad. Bedömt resursbehov år 5 är 27,5 årsarbetskrafter. Tabell 12.2 Resursbehov för Myndigheten för digital förvaltning (DIGG) Uppskattat behov av antal årsarbetskrafter år 1, 3 och 5 Behovsanalys och samordning av kompetensstöd från Sammanställa tjänsteutbud, ta fram och förvalta långsiktig plan för utveckling av tjänsteutbud. Ingång för myndigheter med behov av stöd, sammanställa och analysera behov av it-driftstjänster. samverkan med leverantörsmyndigheter, anslutande myndigheter och expert- och stödmyndigheter på Utveckla anslutningsprocess, samverkansmodell och modell för Bidra med underlag till kravställning för samordnad upphandling. Följa upp och återrapportera till regeringen samt bevaka it - driftsfrågan nationellt och internationellt. Källa: Egen sammanställning. Omräknat till anslag skulle det innebära att DIGG tilldelas 15 mil- joner kronor för perioden –2025, –2027 och för den tillkommande uppgiften som samordnande myndighet inom den samordnade statliga it-driften. 12.5.3Avgifter för leveransen av tjänster inom det samordnade statliga tjänsteutbudet