sou · H9B397 · 2021-12-15 00:00:00 — Det går inte att komma ifrån att myndigheter som tillhandahåller respektive är an- slutna till ett samordnat statligt tjänsteutbud ändå skulle behöva ta ställning till frågan om den informationshantering som sker med hjälp av tjänsterna endast avser teknisk lagring eller teknisk bearbet- ning för annans räkning. En samordning som innebär informations- hantering som inte är begränsad till endast teknisk bearbetning eller teknisk lagring för annans räkning skulle däremot naturligtvis inte kunna ske med stöd av den förordning vi föreslår. Utgångspunkter och principer för varaktiga former för samordnad statlig it-drift Det har inte framkommit i vår utvärdering av (se kapitel 6) eller i något av de andra exempel på samordnad statlig it-drift som vi redogjort för i kapitel 7 att det funnits ett behov av att tillhandahålla tjänster som innebär en informationshantering som går utöver endast teknisk bearbetning eller teknisk lagring för annans räkning. Det finns också enligt vår bedömning mycket som talar för att it-drift i form av infrastrukturtjänster ofta innebär en informa- tionshantering som är begränsad till enbart teknisk bearbetning eller teknisk lagring för annans räkning mot bakgrund av den höga grad av automation som ofta präglar dessa tjänster. Vår kartläggning av myndigheters behov av it-drift visar dessutom att myndigheterna i störst utsträckning efterfrågar tjänster inom infrastrukturlagret. Vi kan mot denna bakgrund inte se att det finns något bärande skäl för att införa en regel som begränsar förordningens tillämpnings- område till att avse enbart teknisk bearbetning och teknisk lagring för annans räkning. Vi har därför landat i slutsatsen att någon sådan bestämmelse inte bör införas. Utgångspunkter och principer för varaktiga former för samordnad statlig it-drift 10.5Anslutning till det samordnade statliga tjänsteutbudet Utredningens bedömning: Det är inte möjligt att inom ramen för utredningen avgöra vilka myndigheter som ska ansluta sig till det samordnade statliga tjänsteutbudet. Det skulle kräva ingå- ende kunskaper om varje enskild myndighets behov av it-drifts- tjänster och förutsättningar. En obligatorisk anslutning riskerar att frånta myndigheterna en del av det ansvar som de har för den egna verksamheten, genom att de fråntas möjligheten att själva fatta beslut om it-drift. Anslutning till det samordnade statliga tjänsteutbudet behöver inte föregås av upphandling. Utredningens förslag: Bedömningen av vilka myndigheter som ska anslutas ska ske i dialog mellan de myndigheter som ska till- handahålla it-drift och de myndigheter som anmäler intresse för att ansluta sig. Bedömningen ska göras med utgångspunkt i det mål och syfte som formuleras för den samordnade statliga it-drif- ten. Anslutningen till det samordnade statliga tjänsteutbudet ska vara frivillig och bygga på överenskommelser mellan de samver- kande myndigheterna. Enligt våra direktiv ska vi överväga om det bör vara obligatoriskt för delar av den statliga förvaltningen att ansluta sig till samordnad stat- lig it-drift eller om anslutningen ska grunda sig på frivillighet. I det följande avsnittet redogör vi för våra överväganden. Av våra direktiv framgår det även att vi ska utreda hur en sam- ordnad statlig it-drift förhåller sig till regelverken om offentlig upp- handling. Vi har i avsnitt 8.3 redogjort för rättsläget avseende köp mellan statliga myndigheter. Vi gör där bedömningen att köp mellan statliga myndigheter inte omfattas av upphandlingsregleringen. Mot denna bakgrund bedömer vi att tjänsterna inom det samordnade stat- liga tjänsteutbudet inte behöver upphandlas. 10.5.1Obligatorisk eller frivillig anslutning Det finns två huvudalternativ när det gäller frågan hur myndigheter ska ansluta sig till ett samordnat statligt tjänsteutbud – genom obliga- torisk anslutning eller anslutning som bygger på frivillighet. Utgångspunkter och principer för varaktiga former för samordnad statlig it-drift En obligatorisk anslutning innebär att regeringen från början reglerar vilka myndigheter som ska vara anslutna till det samordnade statliga tjänsteutbudet genom den förordning vi föreslår. Det skulle kunna anses innebära att regeringen fråntar myndigheterna ansvaret för att uppfylla kraven på informationssäkerhet inom myndigheten. En obligatorisk anslutning kan antingen omfatta alla myndigheter eller endast ett urval. En anslutning som bygger på frivillighet inne- bär att myndigheterna själva avgör om de ska ansluta sig till det sam- ordnade statliga tjänsteutbudet eller inte. Det finns fördelar med en förordningsreglerad anslutning när det gäller möjligheten att nå de volymer som krävs för att ge skalfördelar och därigenom kostnads- effektivitet. Med utgångspunkt i den kartläggning vi gjort är det där- emot tydligt att myndigheters behov och förutsättningar skiljer sig åt och vilken it-driftslösning som är mest lämplig varierar beroende på vilken verksamhet som bedrivs och vilken typ av uppgifter myn- digheten hanterar i verksamheten. Myndigheterna efterfrågar vidare en flexibel och valbar lösning. Att avgöra vilka myndigheter som ska ansluta sig till det samordnade statliga tjänsteutbudet skulle kräva ingående kunskap om varje enskild myndighets behov av it-drifts- tjänster och förutsättningar. Vi föreslår därför inte en obligatorisk anslutning. En anslutning som bygger på frivillighet innebär att myndig- heterna själva avgör om de ska ansluta sig till det samordnade statliga tjänsteutbudet. Ett alternativ är att föreskriva att de myndigheter som vill ansluta sig ska träffa en överenskommelse om samverkan med den eller de myndigheter som ska tillhandahålla it-driftstjänsterna. ingen överenskommelse kommer inte någon anslutning till stånd. En sådan ordning innebär att de myndigheter som ska tillhandahålla it-driftstjänsterna ges en möjlighet att neka en myndighet anslutning. Det står klart att en frivillig anslutning – oavsett hur den utformas – har fördelen att myndigheterna själva beslutar om de ska ansluta sig. En frivillig anslutning ger även den myndighet som ska leverera it- driftstjänster möjlighet att bedöma om det är lämpligt att ansluta en viss myndighet. Vår bedömning är att varje myndighet har bäst för- utsättningar att själv fatta dessa beslut. En nackdel med en frivillig anslutning är emellertid svårigheten för de myndigheter som ska till- handahålla it-driftstjänster att planera sin verksamhet. Utgångspunkter och principer för varaktiga former för samordnad statlig it-drift Utmaningar och risker med en frivillig anslutning Vi har övervägt olika sätt att hantera de nackdelar som en frivillig anslutning för med sig. En ordning som vi särskilt övervägt är att i en bilaga till förordningen om samordnad statlig it-drift lista de myn- digheter som frivilligt anslutit sig. Själva anslutningen skulle alltså vara frivillig men en myndighet som anslutit sig till ett samordnat statligt tjänsteutbud skulle inte kunna avbryta samverkan med mindre än att förordningen ändras. Anledningen till att vi övervägt en sådan ordning har främst varit för att underlätta för de myndigheter som ska leverera it-driftstjäns- terna att planera sin verksamhet. Ett problem är emellertid att det av en sådan reglering visserligen skulle framgå om en myndighet ska vara ansluten till det samordnade statliga tjänsteutbudet som det inte finns något i förordningen som binder myndigheten till vissa specifika tjänster. Vår slutsats är därmed att det inte finns till- räckligt goda skäl för att inkludera en bilaga till förordningen med en lista över de myndigheter som anslutit sig. För att skapa förutsägbarhet för de myndigheter som tillhanda- håller it-drift återstår därmed att förlita sig på de samverkansformer som etablerats inom statsförvaltningen genom överenskommelser. är det viktigt att ha i åtanke att staten utgör en juridisk person och som en konsekvens av det utgör en överenskommelse om samverkan mellan två statliga myndigheter inget avtal i civilrätts- lig mening. Den ena myndigheten kan inte gå till domstol och t.ex. kräva skadestånd av den andra myndigheten för att den inte fullföljt åtagandet enligt överenskommelsen. Oavsett om det finns en överens- kommelse eller inte kommer en myndighet kunna avsluta vissa tjäns- ter eller kräva att vissa tjänster byts ut mot andra. Anslutningen till det samordnade statliga tjänsteutbudet bör bygga på frivillighet. En anslutning bör också bygga på att anslutande myn- dighet och den myndighet som tillhandahåller it-driftstjänster träffar en överenskommelse med varandra. Det innebär att myndigheterna fattar självständiga beslut som endast gäller för den myndighet som har fattat beslutet. En anslutning bör således inte kunna komma ifråga om inte den anslutande myndigheten såväl som den eller de myndig- Utgångspunkter och principer för varaktiga former för samordnad statlig it-drift heter som ska tillhandahålla it-drift var och en har fattat beslut om sitt åtagande. Med en sådan ordning står det samtliga myndigheter fritt att avstå från en anslutning. Då återstår frågan hur de nackdelar som är förknippade med en frivillig anslutning ska hanteras. Det vi har i åtanke är främst de pla- neringsproblem som kan uppstå och som har sin grund i att vi inte föreslår ett reglerat tjänsteutbud. Vi bedömer att dessa svårigheter kan mildras om ett samarbete mellan myndigheterna bygger på en överenskommelse om samverkan i enlighet med vad som beskrivits ovan. Visserligen är det så att ingen av myndigheterna är civilrättsligt förpliktade att fullfölja överenskommelsen men vi anser att man ändå måste kunna utgå ifrån att de involverade myndigheterna gör vad de kan för att fullfölja ingångna överenskommelser. Risken för kom- plikationer bör således inte överdrivas. Om den situationen skulle uppstå att involverade myndigheter inte kommer överens i en fråga får den ytterst lösas av regeringen. Vår slutsats är därmed att anslutningen till den samordnade stat- liga it-driften ska vara frivillig och bygga på samverkansöverenskom- melser mellan de involverade myndigheterna. Säkerhet i en samordnad statlig it-drift omfattar såväl säkerheten i enskilda myndigheter som i den samordnade statliga it-driften som helhet. Som vi beskriver i kapitel 2 relaterar vi begreppet säker till de krav som ställs på säkerhetsskydd, informationssäkerhet, sekretess och dataskydd. Till detta kommer också totalförsvarsperspektivet på en samordnad statlig it-drift. I detta avsnitt går vi igenom vilka säker- hetsaspekter som behöver säkerställas på olika nivåer i en samordnad statlig it-drift – för den enskilda myndigheten, den samordnade stat- liga it-driften och utifrån ett totalförsvarsperspektiv. Utgångspunkter och principer för varaktiga former för samordnad statlig it-drift 10.6.1En samordnad statlig it-drift har en central betydelse i ett stärkt civilt försvar Utredningens bedömning: Säker it-drift och en samordnad stat- lig it-drift har en central roll i ett stärkt civilt försvar. I samband med inrättandet av varaktiga former för samordnad statlig it-drift bör ställning tas till den samordnade statliga it-driftens roll i organi- sationen för civilt försvar. Som vi redogör för i kapitel 3 konstaterar utredningen om civilt för- svar i sitt betänkande att beroendet av digital information är en av- görande skillnad för den nu återupptagna planeringen för totalför- svaret jämfört med den totalförsvarsplanering som genomfördes under det . Utredningen om civilt försvar föreslår med anledning av detta en särskild beredskapssektor för försörjning av grunddata. Utredningen går dock inte specifikt in på vilken roll it-drift har i ett stärkt civilt försvar. Vi har förstått att man i utredningen diskuterade om säker it-drift borde ingå i beredskapssektorn försörjning av grund- data eller elektroniska kommunikationer alternativt vara en del av ett särskilt beredskapsområde för cybersäkerhet. I slutändan sågs dock säker it-drift som en separat fråga som är föremål för utredning och därmed osäker hur den kan komma att hanteras framöver. Därför valde man att lyfta ut frågan om säker it-drift helt från utredningens förslag. Den ökade digitaliseringen ställer krav på robusthet och redundans i myndigheters informationshantering – krav som blir ännu viktigare vid svåra förhållanden eller i händelse av krig. I detta ligger inte bara att säkra samhällsviktiga grunddata utan även att säkra myndigheters it-drift. Säkra it-driftslösningar är en förutsättning för att säkerställa konfidentialitet, riktighet och tillgänglighet i statliga myndigheters information. En samordnad statlig it-drift ställer i sig krav på robusthet och redundans i lösningarna, men kan också bidra till ökad säkerhet i statliga myndigheters it-drift. Ur ett totalförsvars- perspektiv måste säkerhetsnivån i en samordnad statlig it-drift utgå från ett långsiktigt perspektiv – den säkerhet vi behöver framöver är den säkerhet vi behöver . Vår bedömning är att säker it-drift och en samordnad statlig it- drift har en central roll i ett stärkt civilt försvar. I samband med in- rättandet av varaktiga former för samordnad statlig it-drift bör därför Utgångspunkter och principer för varaktiga former för samordnad statlig it-drift ställning tas till den samordnade statliga it-driftens roll i organisatio- nen för civilt försvar. 10.6.2En samordnad statlig it-drift ska bidra till att ge myndigheter bättre förutsättningar att göra medvetna val av it-driftslösningar Utredningens bedömning: Bristande informationsklassificering och avsaknad av relevant kompetens är de största hindren för säker it-drift i statliga myndigheter. Myndigheter behöver stöd i bl.a. informationssäkerhetsfrågor för att kunna välja rätt it-drifts- lösningar. En samordnad statlig it-drift bör därför bidra till att ge myndigheter stöd för att kunna göra rätt val. Utredningens förslag: En samordnad statlig it-drift ska bidra till att ge myndigheter bättre förutsättningar att göra medvetna val av säkra och kostnadseffektiva it-driftslösningar. Varje myndighet ansvarar för säkerheten i sin egen verksamhet och för de uppgifter som hanteras i verksamheten. Att myndigheter har kunskap om vilka uppgifter som hanteras och vilka krav som ställs på uppgiftshanteringen är viktigt för att kunna välja rätt it-driftslös- ningar. Ett systematiskt informationssäkerhetsarbete inklusive in- formationsklassificering är grunden för att säkerställa detta. Bris- tande informationsklassificering kan leda till att myndigheter väljer it-driftslösningar som inte ger ett tillräckligt skydd för de uppgifter som hanteras i verksamheten. Det kan också leda till det motsatta, dvs. att myndigheten väljer alltför säkra och kostsamma it-driftslösningar. Att enskilda myndigheter har kunskap om vilka uppgifter de han- terar i sin verksamhet lägger också grunden för säkerheten i ett sam- ordnat statligt tjänsteutbud. Om en myndighet ansluter sig till det samordnade statliga tjänsteutbudet utan att veta vilka uppgifter som överförs finns en risk att det inom det samordnade statliga tjänste- utbudet hanteras skyddsvärda uppgifter utan att det finns vetskap om det. Bristande informationssäkerhet hos den enskilda myndig- heten kan på så vis leda till bristande säkerhet i det samordnade statliga tjänsteutbudet. Utgångspunkter och principer för varaktiga former för samordnad statlig it-drift Vår kartläggning visar att många myndigheter brister i sitt infor- mationssäkerhetsarbete. Detta konstaterar även Myndigheten för samhällsskydd och beredskap (MSB) i sina uppföljningar av det syste- matiska informationssäkerhetsarbetet i offentlig sektor. Hälften av de myndigheter som besvarade vår enkät hade inte klassat sin infor- mation. Även om detta särskilt gäller små och medelsmå myndigheter visar vår enkätundersökning att såväl små som stora myndigheter ser bristande informationsklassificering och avsaknad av relevant kom- petens som de största hindren för säker it-drift. Vår bedömning är att ett systematiskt informationssäkerhets- arbete är en förutsättning för att myndigheter ska kunna välja rätt it- driftslösningar. En samordnad statlig it-drift ska därför bidra till att ge myndigheter bättre förutsättningar att göra medvetna val av säkra och kostnadseffektiva it-driftslösningar. 10.6.3Säkerhetskraven påverkar utformningen av en samordnad statlig it-drift Utredningens bedömning: Det ställs särskilda krav på säkerheten i ett samordnat statligt tjänsteutbud där myndigheter erbjuder it- driftslösningar till andra myndigheter. Genom ett samordnat statligt tjänsteutbud samlas informationsmängder från flera olika myndigheter hos ett fåtal myndigheter. Det samordnade statliga tjänsteutbudet bör därför bygga på en flexibel och transparent lösning där it-driftstjänster från flera privata leverantörer ingår. Statliga aktörer måste dock ha rådigheten över det samordnade statliga tjänsteutbudet. Redundans säkerställs genom spegling med flera datacenter. Ur ett säkerhetsperspektiv bedöms en sektors- indelning för anslutning av myndigheter inte vara lämplig. Utöver säkerhetskraven som gäller för enskilda myndigheters it- drift ställs särskilda krav på säkerheten i en samordnad statlig it-drift och det samordnade statliga tjänsteutbudet. Genom ett samordnat statligt tjänsteutbud samlas informationsmängder från flera olika myn- digheter hos ett fåtal myndigheter. Varje myndighet och informa- tionsmängd som ansluts till det samordnade statliga tjänsteutbudet ställer krav på skydd av informationens konfidentialitet, riktighet och tillgänglighet. Driftstörningar och andra typer av incidenter får mer Utgångspunkter och principer för varaktiga former för samordnad statlig it-drift omfattande konsekvenser i en samordnad lösning. Större informa- tionsmängder kan också öka intresset och risken för hot och på- verkan. Sårbarheter i informationssystem inom det samordnade stat- liga tjänsteutbudet kan utnyttjas av kriminella eller andra typer av antagonister. I våra kontakter med expertmyndigheterna på säkerhetsområdet har de framhållit att det finns behov av en samordnad statlig it-drift för att säkerställa en säker it-drift i enskilda myndigheter. Det ställs dock särskilda krav på säkerheten i ett samordnat statligt tjänste- utbud vilket påverkar hur den samordnade lösningen lämpligen bör utformas. För att säkerställa en hög säkerhet i det samordnade statlig tjänsteutbudet bör it-driftslösningar från ett flertal privata leveran- törer ingå. Alternativet att bygga en isolerad myndighetslösning inne- bär att det skapas fördröjningar i systemen som i sig ger säkerhets- risker och gör den svårare att skydda. Statliga aktörer måste dock ha rådigheten över det samordnade statliga tjänsteutbudet. Det bör även finnas en flexibilitet i de lösningar som nyttjas inom ramen för en samordnad statlig it-drift, dvs. en blandning av tjänster som hanteras på olika sätt: tjänster som helt hanteras av privata leverantörer, privata leverantörers it-driftstjänster men där driften hanteras av en myndighet samt tjänster som hanteras uteslutande i statlig regi. Vilken lösning som är lämplig får avgöras utifrån krav på säkerhet och funktion i varje enskild del. En samordnad lösning bör också bygga på transparenta system, dvs. som till designen är förut- sägbara och där man genom övervakning kan identifiera sårbarheter och hot. Redundans kan säkerställas på flera sätt, bl.a. genom speg- ling med flera datacenter och geografisk placering. Av våra direktiv framgår att vi ska ta ställning till om tjänsterna i den samordnade statliga it-driften kan tillhandahållas av flera olika myndigheter utifrån sektorsspecifika behov. Av vår kartläggning av befintliga exempel på samordnad it-drift framgår att flera myndig- heter förordar en sektorsspecifik indelning för att det underlättar samverkan mellan myndigheter, t.ex. genom ökad förståelse för var- andras uppdrag. Vi har däremot förstått att det av säkerhetsskäl inte vore lämpligt med en sådan indelning eftersom ett eventuellt drifts- stopp eller en attack skulle riskera att slå ut en hel sektor. Vi har också lyft frågan om det skulle vara lämpligt att samla myndigheter som har särskilt höga krav på säkerhet hos en myndighet, men fått medskicket att det skulle innebära stora risker. Detta talar för att de Utgångspunkter och principer för varaktiga former för samordnad statlig it-drift myndigheter som önskar ansluta sig till ett samordnat statligt tjänste- utbud sprids mellan de myndigheter som tillhandahåller it-drift. 10.6.4En samordnad lösning ska minimera riskerna med aggregerade informationsmängder Utredningens bedömning: De myndigheter som får uppdraget att tillhandahålla tjänster inom ramen för ett samordnat statligt tjänsteutbud ansvarar för att bedöma vilket behov som finns av säkerhetsskydd för den egna verksamheten. Utredningens förslag: För att minimera riskerna med aggrege- rade informationsmängder ska tjänster inom ett samordnat stat- ligt tjänsteutbud levereras av flera myndigheter. Att samla stora mängder information eller information från flera myndigheter innebär en ökad risk för olika typer av angrepp, med en potentiellt stor samhällspåverkan. En aggregering av flera statliga myndigheters informationstillgångar kan även leda till att informa- tionsmängder som fristående inte skulle bedömas falla inom ramen för säkerhetsskyddslagen (2018:585) ändå omfattas av lagen, då de sam- lade informationstillgångarna medför en annan hotbild och ett högre skyddsvärde. Även om it-driftstjänster inom ramen för ett samordnat statligt tjänsteutbud skulle tillhandahållas av enbart en myndighet så innebär inte detta med nödvändighet att alla informationsmängder hanteras samlat. Vår bedömning är ändå att det finns fördelar utifrån ett säker- hetsperspektiv att sprida riskerna genom att it-driftstjänster inom det samordnade statliga tjänsteutbudet tillhandahålls av flera myn- digheter. Förekomsten av privata leverantörer, antingen som underleveran- törer till myndigheter som levererar tjänster inom ett samordnat statligt tjänsteutbud eller som leverantörer av tjänster genom upp- handlade ramavtal, innebär ytterligare spridning av informations- hanteringen. Detta gäller dock enbart i den utsträckning som det finns en spridning av uppdragsgivare (dvs. myndigheter) bland de privata leverantörer som levererar it-driftstjänster till ett samordnat statligt tjänsteutbud och direkt till myndigheter. Utgångspunkter och principer för varaktiga former för samordnad statlig it-drift Vår uppfattning är att det inte är utredningens ansvar att göra en bedömning av vilka närmare krav som säkerhetsskyddsregleringen ställer på de myndigheter som ska tillhandahålla tjänster inom ett sam- ordnat statligt tjänsteutbud. Detta eftersom säkerhetsskyddslagen riktar sig till verksamhetsutövare, dvs. den som bedriver en viss verk- samhet. Ansvaret för bedömning av vilka krav som finns på att vidta åtgärder enligt säkerhetsskyddslagen ligger därmed på de myndig- heter som kan bli aktuella för att tillhandahålla it-driftstjänster inom ramen för ett samordnat statligt tjänsteutbud. Vilka bedömningar det rör sig om berör vi närmare i avsnitt 11.6. 10.6.5Säkerhetsskyddslagen medger inte samlade samrådsförfaranden Utredningens bedömning: Samrådsskyldigheten enligt säkerhets- skyddslagen åligger verksamhetsutövaren, dvs. den myndighet som är huvudman för den verksamhet som träffas av krav på säkerhets- skydd. Säkerhetsskyddslagen medger inte samlade samråd, dvs. att en myndighet som tillhandahåller tjänster inom det samord- nade statliga tjänsteutbudet genomför samråd för flera anslutna myndigheters räkning. Det har framförts till utredningen att det i de fall som det krävs ett samråd enligt säkerhetsskyddslagstiftningen inom ramen för samord- nad it-drift vore önskvärt med samlade samråd där den myndighet som tillhandahåller it-drift samråder för flera anslutna myndigheters räkning. Samrådsskyldigheten enligt säkerhetsskyddslagstiftningen ålig- ger verksamhetsutövaren, dvs.