sou · H9B397 · 2021-12-15 00:00:00 — Överlag anser merparten av de till- frågade myndigheterna att avgiftsfinansiering fungerar bra men det kan finnas behov av anslagsfinansiering i vissa delar: de initiala faserna vid anslutningen av mindre myndigheter samt kostnader för att ut- veckla gemensamma behov. Det är svårt att på en övergripande nivå uttala sig om samord- ningsvinster, resultat och effekter av uppdraget eftersom det vid tid- punkten för vår utvärdering saknades uttalade mål och Försäkrings- kassan inte gjort några specifika resultat- och effektmätningar. Vidare är det svårt att bedöma uppdragets påverkan på kärnverksamheten. Den allmänna uppfattningen är dock att det inte fått någon påverkan eftersom uppdraget är litet i förhållande till kärn- verksamhet. Andra exempel på samordnad it-drift Myndigheter samordnar sin it-drift. Nästan var tredje myndighet (50 myndigheter) anger att de samordnar sin it-drift med en annan myndighet (36 myndigheter är mottagare och 14 myndig- heter är tillhandahållare av it-drift). Exemplen skiljer sig åt men mer- parten präglas av en gemensam historik, gemensamt uppdrag eller geografisk närhet. De skiljer sig på så vis från upp- drag att erbjuda samordnad och säker statlig it-drift. Vi har även för- djupat oss i följande exempel: i , och Sunet (). Vi konstaterar att det finns såväl kompetens och erfarenhet som ett intresse hos ett flertal myndigheter att ge stöd till andra myndig- heter. En viktig framgångsfaktor för en god samverkan är att myn- digheterna etablerar ett partnerskap och undviker ett alltför utpräg- lat kund- och leverantörsförhållande. avgifter fungerar bra som finansieringsmodell. Det finns dock vissa utmaningar vid avgiftsfinansiering av utveckling och investeringar, där allt för stora skillnader i ekonomi kan leda till låsta positioner – där en myndighet har förutsättningar att investera medan den andra parten helt enkelt inte har råd. Utgångspunkter och principer för varaktiga former för samordnad statlig it-drift Vi föreslår att regeringen ska inrätta varaktiga former för samordnad statlig it-drift. Den samordnade statliga it-driften ska bidra till att lösa gemensamma behov och problem samt bidra med stöd till myn- digheter i arbetet med att välja säkra och kostnadseffektiva lösningar för it-drift – från informationskartläggning och informationsklassi- ficering till val av it-driftsform: egen regi, samordnad statlig regi eller genom utkontraktering till en privat leverantör. Vi föreslår även att regeringen ska skapa mer varaktiga former för ett samordnat statligt tjänsteutbud. Organisering och styrning av en samordnad statlig it-drift För att uppnå regeringens intentioner om en varaktig, samordnad, säker och kostnadseffektiv it-drift och tillvarata befintlig förmåga, kapacitet och kompetens ska en samordnad statlig it-drift organise- ras utifrån befintliga verksamheter och en samlad styrning genom samordnade uppdrag till flera myndigheter. Den samordnade statliga it-driften ska regleras genom en förord- ning om samordnad statlig it-drift. De myndighetsuppdrag som för- anleds av den samordnade statliga it-driften ska framgå av förord- ningen. Berörda myndigheters instruktioner ska kompletteras med hänvisningar till förordningen. Tjänsteutbud inom den samordnade statliga it-driften Tjänsteutbudet inom samordnad statlig it-drift ska bestå dels av tjänster som levereras av privata leverantörer, dels av ett samordnat statligt tjänsteutbud. Det ska i sammanhanget framhållas att även tjänster som ingår i ett samordnat statligt tjänsteutbud i någon ut- sträckning kommer att bygga på privata leverantörers tjänster. Tjänster från privata leverantörer ska som utgångspunkt upphandlas samord- nat. Behovet av samordnade it-driftstjänster varierar inom statsför- valtningen. Vilka tjänster som ska ingå i det samordnade statliga tjänsteutbudet bör därför inte avgränsas i det här skedet. Det tjänste- utbud som ska ingå i det samordnade statliga tjänsteutbudet ska fast- ställas genom att matcha myndigheternas efterfrågan mot de tjänster som de myndigheter som ska tillhandahålla it-drift har förmåga att leverera. Behov av nya tjänster bör i första hand tillgodoses genom att tjänsterna upphandlas samordnat från privata leverantörer. Om det inte är lämpligt att tjänster tillhandahålls av en privat leverantör eller om en tjänst inte erbjuds på marknaden så bör en myndighet ges i uppdrag att utveckla tjänsten inom ramen för det samordnade stat- liga tjänsteutbudet. Förordningens tillämpningsområde bör inte be- gränsas till att avse endast teknisk lagring eller teknisk bearbetning av uppgifter för annans räkning. Anslutning till det samordnade statliga tjänsteutbudet Vi bedömer att det inte är möjligt att inom ramen för utredningen avgöra vilka myndigheter som ska anslutas till det samordnade stat- liga tjänsteutbudet. Det skulle kräva ingående kunskaper om varje enskild myndighets behov av it-driftstjänster och förutsättningar. Vi föreslår därför att bedömningen av vilka myndigheter som ska an- slutas ska ske i dialog mellan de myndigheter som ska tillhandahålla it-drift och de myndigheter som anmäler intresse för att ansluta sig. En obligatorisk anslutning riskerar att frånta myndigheterna möjlig- heten att själva fatta beslut om sin it-drift. Vi föreslår därför att an- slutningen till det samordnade statliga tjänsteutbudet ska vara frivilligt och bygga på överenskommelser mellan de samverkande myndig- heterna. Det ställs särskilda krav på säkerheten i ett samordnat statligt tjänste- utbud där myndigheter erbjuder it-driftslösningar till andra myndig- heter. Genom ett samordnat statligt tjänsteutbud samlas informa- tionsmängder från flera olika myndigheter hos ett fåtal myndigheter. Det samordnade statliga tjänsteutbudet bör därför bygga på en flexi- bel och transparent lösning där it-driftstjänster från flera privata leve- rantörer ingår. Statliga aktörer måste dock ha rådigheten över det samordnade statliga tjänsteutbudet. Redundans bör säkerställas genom bl.a. spegling med flera datacenter. Ur ett säkerhetsperspektiv bör inte en sektorsindelning ligga till grund för anslutning av myndigheter. De myndigheter som får uppdraget att tillhandahålla tjänster inom ramen för ett samordnat statligt tjänsteutbud ansvarar för att bedöma vilket behov som finns av säkerhetsskydd för den egna verksamheten. För att minimera riskerna med aggregerade informationsmängder ska tjänster inom ett samordnat statligt tjänsteutbud levereras av flera myndigheter. Försvarsmyndigheterna och Säkerhetspolisen ska undantas från den samordnade statliga it-driften. Några andra myndigheter bedö- mer utredningen inte bör undantas. Hantering av säkerhetsskyddsklassificerade uppgifter ställer sär- skilda krav på säkerhet vilket kan få konsekvenser för funktionalitet och kostnadseffektivitet i en samordnad lösning. Vi bedömer därför att säkerhetsskyddsklassificerade uppgifter inte ska hanteras inom det samordnade statliga tjänsteutbudet. Finansieringsformer för den samordnade statliga it-driften Befintliga exempel på samordnad it-drift finansieras i huvudsak ge- nom avgifter. Leveransen av det samordnade statliga tjänsteutbudet kommer att ske mellan två definierade parter som tillsammans slutit en överenskommelse om vilka tjänster som ska tillhandahållas. Vi förslår därför att leveransen av it-driftstjänster inom ett samordnat statligt tjänsteutbud ska avgiftsfinansieras. Erfarenheter från befintliga exempel visar dock att det finns delar i den samordnade statliga it-driften som inte lämpar sig lika väl för en avgiftsfinansierad modell: kostnader för uppbyggnad av en ny verk- samhet, de tidiga faserna av en anslutning till det samordnade statliga tjänsteutbudet samt vid utveckling och andra investeringar. De myn- digheter som ges i uppdrag att bidra med stöd inom den samordnade statliga it-driften ska tilldelas anslag för att finansiera de generella förberedelser som krävs. Stödinsatser till myndigheter inom den sam- ordnade statliga it-driften ska finansieras genom anslag. För de myn- digheter som har behov av ekonomiskt stöd ska det finnas möjlighet att rekvirera bidragsmedel för anslutning till ett samordnat statligt tjänsteutbud. Bidragsmedel ska också kunna rekvireras av de myndig- heter som åtar sig att utveckla det samordnade statliga tjänsteutbudet. Förslag till varaktiga former för samordnad statlig it-drift Mål och syfte för en samordnad statlig it-drift Målet för en samordnad statlig it-drift ska vara ökad säkerhet och kostnadseffektivitet i statliga myndigheters it-drift. Syftet med den samordnade statliga it-driften ska vara att erbjuda statliga myndig- heter stöd och vägledning i valet av säkra och kostnadseffektiva it- driftslösningar samt att tillhandahålla ett samordnat och ändamåls- enligt statligt tjänsteutbud. () ska ges i uppdrag att ta fram nolläge och nyckelindikatorer för uppföljning av bl.a. säkerhet och kostnadseffektivitet i en samordnad statlig it-drift. Organisering av en samordnad statlig it-drift En samordnad statlig it-drift ska organiseras genom en samordnande myndighet och flera leverantörsmyndigheter. Detta för att kunna er- bjuda myndigheter ett samordnat stöd och en bredd av it-driftstjäns- ter, säkerhetsnivåer och olika tekniska plattformar. Leverantörsmyn- digheternas tjänster ska samordnas genom ett samordnat statligt tjänsteutbud. Den samordnade statliga it-driften ska underlätta för myndigheter att erhålla tjänster från privata leverantörer genom upp- handlade ramavtal. Stöd- och expertmyndigheter ska ingå i organisa- tionen för den samordnade statliga it-driften för att ge stöd inom sina respektive kompetensområden. Den samordnande myndigheten ska vara ingången till den samord- nade statliga it-driften. Myndigheten ska samordna stödet till myndig- heter, sammanställa och efter samråd med leverantörsmyndigheterna besluta om ett statligt tjänsteutbud och samverka med Kammar- kollegiet om ramavtal. Den samordnande myndigheten ska utveckla och förvalta gemensamma modeller, leda samverkan på förvaltnings- gemensam nivå och följa upp och återrapportera den samordnade stat- liga it-driften till regeringen. Vi föreslår att Myndigheten för digital förvaltning (DIGG) får i uppgift att vara samordnande myndighet. Leverantörsmyndigheterna ska leverera it-driftstjänster till myn- digheter inom ramen för det samordnade statliga tjänsteutbudet. De ska vägleda myndigheterna genom anslutningsprocessen och ta ut avgifter från anslutna myndigheter för it-driftsleveransen. Leveran- törsmyndigheterna ska medverka i fastställande och utveckling av den samlade tjänstekatalogen tillsammans med den samordnande myndigheten och delta i samverkan på förvaltningsgemensam nivå. Vi föreslår att , , och får i uppgift att vara leverantörsmyndigheter. Stöd- och expertmyndigheter ska lämna stöd i frågor om it-drift inom sina respektive kompetensområden. De ska även delta i sam- verkan på förvaltningsgemensam nivå. Vi föreslår att Integritetsskydds- myndigheten, Myndigheten för samhällsskydd och beredskap, Säker- hetspolisen och de länsstyrelser som är tillsynsmyndigheter enligt säkerhetsskyddslagen samt ska få i upp- gift att samverka med den samordnande myndigheten i frågor som rör it-drift. Kammarkollegiet ska få i uppgift att samverka med den samord- nande myndigheten om upphandling av ramavtal för it-drift som är avsedda för andra statliga myndigheter. Försvarsmakten ska få i uppgift att samråda med den samordnande myndigheten i frågor om säkerhet kopplade till den sam- ordnade statliga it-driften. Den samordnande myndigheten ska leda samverkan på förvalt- ningsgemensam nivå med leverantörsmyndigheterna, myndigheter med behov av stöd och med stöd- och expertmyndigheterna. Leve- rantörsmyndigheterna ska samverka och följa upp leveransen med anslutna myndigheter på operativ, taktisk och strategisk nivå med utgångspunkt i den övergripande modell för samverkan som beslutas av den samordnande myndigheten. Leverantörmyndigheterna och den samordnande myndigheten ska gemensamt under ledning av den samordnande myndigheten ta fram en modell för anslutning. De lärdomar och investeringar som gjorts i uppdrag om samordnad och säker statlig it-drift och det utvecklingsarbete som gjorts inom det myndighetsöver- gripande programmet Säkra it-tjänster i statlig samverkan (SITSSAM) bör tillvaratas. En prioriteringsordning mellan den anslutna myndigheten och leverantörsmyndigheten bör formaliseras genom en samverkansöve- renskommelse. Leverantörsmyndigheternas säkerhetsnivå bör dimen- sioneras efter de högst ställda kraven på säkerhet från en anslutande myndighet. För att säkerställa att myndigheter med olika grad av säkerhetskrav, olika typ av verksamhet och tekniska krav ska kunna ansluta sig till ett samordnat statligt tjänsteutbud bör det samord- nade statliga tjänsteutbudet kompletteras med ytterligare leverantörsmyndigheter än de vi föreslår. Förutsättningar utifrån kraven på säkerhetsskydd Varje myndighet som vill ansluta sig till det samordnade statliga tjänste- utbudet måste ta ställning till om det är möjligt och lämpligt utifrån de krav som säkerhetsskyddslagen ställer på den egna verksamheten. De myndigheter som tillhandahåller tjänster inom det samordnade statliga tjänsteutbudet måste löpande ta ställning till hur tillhandahål- landet påverkar myndighetens verksamhet utifrån säkerhetsskyddssyn- punkt. Reglering av villkoren för leverantörsmyndigheternas behandling av personuppgifter En leverantörsmyndighets personuppgiftsbehandling för en anslu- ten myndighets räkning, när den anslutna myndigheten är person- uppgiftsansvarig och leverantörsmyndigheten personuppgiftsbiträde, ska regleras i den förordning som vi föreslår. De villkor som uppställs i artikel 28.3 i dataskyddsförordningen, som inte är möjliga att reglera i förordningen, ska vara en del av den skriftliga överenskommelsen. Behovsstyrd och samordnad upphandling av tjänster inom samordnad statlig it-drift Kammarkollegiet ska ges i uppdrag att samverka med den samord- nande myndigheten om upphandling av ramavtal för tjänster inom it-drift avsedda för statliga myndigheter. Upphandlingen ska utgå från de behov som den samordnande myndigheten bedömer finns hos myn- digheterna och de krav som den samordnande myndigheten bedömer måste vara uppfyllda för att de upphandlande tjänsterna ska kunna användas av myndigheterna. Den samordnande myndigheten ska ges i uppdrag att ansvara för behovsinsamling och teknisk och rättslig kravställning inför Kam- markollegiets ramavtalsupphandlingar av tjänster inom it-drift. Regeringen bör säkerställa att Kammarkollegiet upphandlar ett ram- avtal för it-drift för myndigheter med färre än 100 anställda. Tillhandahållande av tjänster inom ett samordnat statligt tjänsteut- bud kan vara företag i konkurrensrättslig mening. Erhållande av tjänster inom ett samordnat statligt tjänsteutbud är sannolikt inte företag i konkurrensrättslig mening, under förutsätt- ning att tjänsterna som erhålls inte erbjuds vidare till annan myndig- het. Leverantörsmyndigheterna bör utreda vilken verksamhet inom respektive myndighet som utgör företag i konkurrensrättslig mening. Exempelvis kan aktiviteter på inköpssidan innefattas i den ekono- miska verksamheten, om inköpen avser tjänster som erbjuds inom det samordnade statliga it-tjänsteutbudet. För att förebygga att förfaranden i säljverksamhet som bedrivs av leverantörsmyndigheterna blir otillåtna utifrån regeln om konkur- rensbegränsande offentlig säljverksamhet så bör själva uppgiften att tillhandahålla tjänster inom ett samordnat statligt tjänsteutbud för- fattningsregleras. Dessutom bör det införas en bestämmelse i för- ordningen som vi föreslår att leverantörsmyndigheterna endast får erbjuda tjänster inom ett samordnat statligt tjänsteutbud till andra myndigheter. Även principerna för avgiftsuttag bör framgå av för- ordningen. Det bör också övervägas om ett krav på särredovisning ska införas. Om verksamheten att tillhandahålla tjänster inom ett samordnat statligt tjänsteutbud ska finansieras helt eller delvis genom anslag från regeringen eller genom anslag som fördelas via den samordnande myndigheten bör det utredas om finansieringen kan utgöra ett otill- låtet statsstöd. Anslag som lämnas till myndigheter för att de ska kunna förbereda den egna organisationen för en anslutning till den samordnade statliga it-driften utgör sannolikt inte statsstöd, så länge anslagen inte används för att täcka avgifter för den samordnade stat- liga it-driften. Våra förslag innebär inte en ensamrätt eller särskilda rättigheter i mening. Leverantörsmyndigheterna bör bedöma om tjänster som tillhanda- hålls inom det samordnade statliga tjänsteutbudet utgör tjänster av all- mänt ekonomiskt intresse och vilka konsekvenser det i så fall får. Införande av varaktiga former för samordnad statlig it-drift Den samordnade statliga it-driften ska etableras genom ett stegvis införande. I ett första steg ska regeringen ge ett samlat uppdrag till berörda myndigheter att etablera kompetens, förmåga och former för en samordnad statlig it-drift med utgångspunkt i utredningens förslag. Regeringen ska också förlänga befintliga uppdrag om samordnad och säker statlig it-drift samt ge ESV i upp- drag att ta fram indikatorer för uppföljning av den samordnade stat- liga it-driften. I nästa steg ska regeringen inrätta den samordnade stat- liga it-driften genom att besluta om en förordning för samordnad statlig it-drift och ändringar i berörda myndigheters instruktioner. Statskontoret ska ges i uppdrag att utvärdera den samordnade stat- liga it-driften. Det samlade regeringsuppdraget att etablera former och förmåga för en samordnad statlig it-drift ska starta . Slut- rapportering av uppdraget ska ske . Förord- ningen om samordnad statlig it-drift och nödvändiga ändringar i be- rörda myndigheters instruktioner ska träda i kraft . Myndigheten för digital förvaltning fördraget om Europeiska unionen konkurrenslagen (2008:579) lagen (2016:1145) om offentlig upp- lagen (2016:1146) om upphandling lagen (2011:1029) om upphandling på Myndigheten för samhällsskydd och Myndigheten för samhällsskydd och Säkra it-tjänster i statlig samverkan lagen (2020:914) om tystnadsplikt vid utkontraktering av teknisk bearbet- ning eller lagring av uppgifter 1.1Förslag till förordning om samordnad statlig it-drift Härigenom föreskrivs följande. 1 § Denna förordning är meddelad med stöd av 8 kap. 7 § regerings- formen. 2 § Syftet med den samordnade statliga it-driften är att erbjuda myn- digheter stöd och vägledning i valet av säkra och kostnadseffektiva it-driftstjänster samt att tillhandahålla ett samordnat statligt tjänste- utbud. 3 § Med myndighet avses enligt denna förordning myndigheter under regeringen med undantag av , Försvarets materiel- verk, , Försvarshögskolan, Försvarsmakten, Försvarsunderrättelsedomstolen, Statens inspektion för försvarsunder- rättelseverksamheten, Säkerhetspolisen, Totalförsvarets plikt- och prövningsverk och . 4 § Med samordnad statlig it-drift avses stöd som ges enligt denna förordning till myndigheter vid valet av it-driftslösning. I den sam- ordnade statlig it-driften ingår det samordnade statliga tjänsteutbudet. 5 § Med samordnat statligt tjänsteutbud avses tjänster inom it-drift som tillhandahålls av en leverantörsmyndighet enligt denna förordning. 6 § Med anslutande myndighet avses en myndighet som har beslutat att ansluta sig till det samordnade statliga tjänsteutbudet. 7 § Myndigheten för digital förvaltning är samordnande myndig- het enligt denna förordning. Den samordnande myndigheten ska –stödja en myndighet i val av it-driftsform, –analysera myndigheters behov av it-driftstjänster, –i samråd med leverantörsmyndigheterna fortlöpande besluta vilka tjänster som ska ingå i det samordnade statliga tjänsteutbudet samt förvalta tjänstespecifikationer för dessa tjänster, –föra en förteckning över vilka it-driftstjänster som ingår i det samordnade statliga tjänsteutbudet och vilken leverantörsmyndig- het som tillhandahåller respektive tjänst, –leda samverkan med leverantörsmyndigheter och anslutande myndigheter på förvaltningsgemensam nivå, –utveckla och förvalta modeller för samverkan inom samordnad statlig it-drift, –utveckla och förvalta modeller för överenskommelser avseende anslutning till det samordnade statliga tjänsteutbudet, –samverka med , länsstyrelser som är tillsynsmyndigheter enligt säkerhetsskyddslagen (2018:585), Myn- digheten för samhällsskydd och beredskap, Säkerhetspolisen och Upp- handlingsmyndigheten rörande stöd i frågor kopplade till samordnad statlig it-drift, –samverka med Kammarkollegiet inför upphandling av ramavtal inom den samordnade statliga it-driften och –samråda med Försvarsmakten i frågor rörande säkerhet. 8 § , , och är leverantörsmyndigheter enligt denna förordning. Leverantörsmyndigheterna ska tillhandahålla it-driftstjänster till de myndigheter som anslutit sig till det samordnade statliga tjänste- utbudet. Leverantörsmyndigheterna ska samverka med den samordnande myndigheten i frågor som rör den samordnade statliga it-driften. 9 § Leverantörsmyndigheterna ska medverka till den samordnande myndighetens beslut om vilka tjänster som ska erbjudas inom ett samordnat statligt tjänsteutbud samt lämna tjänstespecifikationer till den samordnande myndigheten avseende de tjänster som erbjuds. 10 § Leverantörsmyndigheterna får endast tillhandahålla it-drifts- tjänster till andra myndigheter. Anslutning till det samordnade statliga tjänsteutbudet 11 § En myndighet får ansluta sig till det samordnade statliga tjänste- utbudet. 12 § En myndighet som avser att ansluta sig till det samordnade statliga tjänsteutbudet ska ingå en skriftlig överenskommelse med en eller flera leverantörsmyndigheter. Överenskommelsen ska innefatta vilka it-driftstjänster som ska levereras, överenskomna servicenivåer och de övriga villkor som är nödvändiga. ska underrätta den samordnande myn- digheten när en överenskommelse ingåtts. Den samordnande myn- digheten ska underrätta regeringen om överenskommelsen. 13 § Bestämmelserna i 14–17 §§ kompletterar och rådets förordning (EU) 2016/679 av om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän dataskyddsförordning), här benämnd EU:s dataskyddsförordning. 14 § Bestämmelserna i 15–17 §§ gäller när en leverantörsmyndig- het inom ramen för det samordnade statliga tjänsteutbudet behand- lar personuppgifter på uppdrag av en anslutande myndighet i dess egenskap av personuppgiftsansvarig. 15 § Föremålet för personuppgiftsbehandlingen, behandlingens var- aktighet, art och ändamål, typen av personuppgifter och kategorier av registrerade ska anges i den skriftliga överenskommelsen som ingåtts enligt 12 §. 16 § En leverantörsmyndighet får endast behandla personuppgif- ter på dokumenterade instruktioner från en anslutande myndighet, inbegripet när det gäller överföringar av personuppgifter till ett tredje- land eller en internationell organisation. 17 § En leverantörsmyndighet ska 1.vidta alla åtgärder som krävs enligt artikel 32 i EU:s dataskydds- förordning. 2.med tanke på behandlingens art, hjälpa en anslutande myndig- het genom lämpliga tekniska och organisatoriska åtgärder, i den mån detta är möjligt, så att de anslutande myndigheterna kan fullgöra sin skyldighet att svara på begäran om utövande av den registrerades rät- tigheter i enlighet med kapitel III i EU:s dataskyddsförordning, 3.bistå en anslutande myndighet med att se till att skyldigheterna enligt artiklarna 32–36 i EU:s dataskyddsförordning fullgörs, med be- aktande av typen av behandling och den information som person- uppgiftsbiträdet har att tillgå,