sou · H9B397 · 2021-12-15 00:00:00 — Av de 65 myndigheter som ingår i gruppen anger 51 myndigheter () att de är eller eventuellt är intresserade av att ansluta sig till en samordnad statlig it-drift. Myndigheterna anger såväl kostnadsbesparingar, förbättrad säkerhet som förenklad digital samverkan som skäl för att vilja ansluta sig. Av de 51 myndigheter som har angett att de är eller eventuellt är intresserade av samordnad statlig it-drift så har 45 myndigheter svarat på vår kompletterande enkät. Av dessa anger 17 myndigheter (38 pro- cent) att de är intresserade av att utkontraktera hela sin it-drift till en samordnad statlig it-drift. Vidare anger 26 myndigheter att de är intresserade av att utkontraktera delar av sin it-drift. Av dessa anger 24 myndigheter () att de är intresserade av infrastruktur- tjänster, följt av funktionstjänster som 22 myndigheter efterfrågar (), plattformstjänster som 21 myndigheter efterfrågar (), och användarnära tjänster som 19 myndigheter efter- frågar (). Myndigheternas behov av samordnad statlig it-drift Tabell 5.11 Är myndigheten intresserad av att utkontraktera hela eller delar av it-driften till en samordnad statlig it-drift? Myndigheter som skattat sig på skala 1–3 i sitt systematiska informationssäkerhetsarbete Källa: Kompletterande enkät om behov av samordnad statlig it -drift (2021). Myndigheter som skattat sig på skala 4–6 i sitt systematiska informationssäkerhetsarbete Av enkäten framgår att det i gruppen som skattat sig på skala 4–6 i sitt systematiska informationssäkerhetsarbete finns myndigheter som hanterar uppgifter som omfattas av säkerhetsskyddslagstiftningen (inom samtliga klassificeringar), OSL (såväl rakt och omvänt skade- rekvisit som absolut sekretess) och känsliga personuppgifter i kärn- verksamheten. Myndigheterna i denna grupp hanterar i större utsträck- ning känsligare information så som kvalificerat hemliga och hemliga uppgifter samt uppgifter som omfattas av absolut sekretess. Gruppen består av såväl stora som små myndigheter, men andelen stora myndigheter med över 500 anställda är högre än andelen mindre myndigheter. Tabell 5.12 Myndigheter som hanterar skyddsvärd information som skattat sig på skala 4–6 i sitt systematiska informationssäkerhetsarbete Källa: Enkät om säker och kostnadseffektiv it-drift (2020). Myndigheternas behov av samordnad statlig it-drift Av de 78 myndigheter som ingår i gruppen anger 60 myndigheter () att de är eller eventuellt är intresserade av att ansluta sig till en samordnad statlig it-drift. Myndigheterna anger såväl kostnadsbesparingar, förbättrad säkerhet som förenklad digital sam- verkan som skäl för att vilja ansluta sig. Av de 60 myndigheter som har angett att de är eller eventuellt är intresserade har 51 myndigheter svarat på vår kompletterande enkät. Av dessa anger 8 myndigheter () att de är intresserade av att utkontraktera hela sin it-drift till en samordnad statlig it-drift. Vidare anger 40 myndigheter att de är intresserade av att utkontrak- tera delar av sin it-drift. Av dessa anger samtliga att de är intresserade av infrastrukturtjänster, följt av funktionstjänster som 32 myndig- heter efterfrågar (), plattformstjänster som 31 myndigheter efterfrågar (), och användarnära tjänster som 24 myndig- heter efterfrågar (). Tabell 5.13 Är myndigheten intresserad av att utkontraktera hela eller delar av it-driften till en samordnad statlig it-drift? Myndigheter som skattat sig på skala 4–6 i sitt systematiska informationssäkerhetsarbete Källa: Kompletterande enkät om behov av samordnad statlig it-drift (2021). 5.2.2Myndigheternas behov av stöd I delbetänkande konstaterade vi att såväl stora som små myndigheter ser bristande informationsklassificering och avsaknad av relevant kompetens som de största hindren för säker it-drift. Vi konstaterade vidare att myndigheterna saknar kompetens inom både it och säker- het och att beställarkompetens lyfts fram som ett särskilt stort pro- blem. Sammantaget konstaterade vi att kompetensbristen är en stor riskfaktor för säker it-drift i myndigheterna. Vi konstaterade även att det för en kostnadseffektiv it-drift ställs krav på förmåga att krav- ställa och på beställarkompetens. Myndigheternas behov av samordnad statlig it-drift För att fördjupa vår förståelse för myndigheternas behov av stöd frågade vi de 15 myndigheter som deltog i en workshop hur de såg att stödet inom säkerhet, upphandling och it kan utvecklas. Myndigheterna konstaterade att det finns ett stort behov av stöd inom säkerhetsområdet, inte minst utifrån gällande lagstiftning. För att hantera de rättsliga aspekterna av säkerhet efterfrågar flera myn- digheter gemensamma ställningstaganden likt det som lämnas av eSamverkansprogrammet samt inom ramen för Myndigheten för digital förvaltnings (DIGG) uppdrag om att ge rättsligt stöd till den offentliga förvaltningen avseende digitalisering. Som exempel nämns särskilt rättsliga förutsättningar för att kunna använda molntjänster. Flera myndigheter framhåller att de efterfrågar ett mer aktivt stöd med utgångspunkt från den verksamhet som myndigheterna bedriver. Det skulle t.ex. kunna ske genom praktiska riktlinjer, verktyg eller metodstöd som beskriver hur myndigheterna ska göra och inte bara vad man ska göra. Som exempel nämner myndigheterna föreskriften om säkerhetsåtgärder och arbetet med att ta fram risk- och sårbar- hetsanalyser. Flera myndigheter efterfrågar en gemensam funktion som kan stötta myndigheterna i säkerhetsfrågor, t.ex. genom konsult- tjänster och möjligheter till erfarenhetsutbyte. Stöd för att ta fram en långsiktig it-driftsstrategi Flera myndigheter lyfter även fram att det finns ett behov av att få stöd i hur man fattar beslut om en långsiktig strategi för myndig- hetens it-driftslösningar. När det gäller frågor som rör it och upp- handling konstaterade många myndigheter att man behöver stöd inom flera områden. När det gäller t.ex. molntjänster kräver det att juridik, teknik, verksamhet, upphandling och ekonomi samspelar för att myndigheten ska kunna ta fram en bra it-driftsstrategi. Myndig- heterna efterfrågar t.ex. ytterligare möjlighet att dela erfarenheter och underlag mellan varandra och att etablera ett nätverk kring upp- handlingsfrågor där man kan anordna utbildningar, erfarenhetsutbyte och nyttja varandras kompetenser. Myndigheternas behov av samordnad statlig it-drift Ett annat område som myndigheterna lyfter fram rör licenshan- tering där man efterfrågar stöd men även gemensamma bastjänster som är kravställda, upphandlade och tillgängliga. Därutöver lyfter man fram roll där myndigheterna efter- frågar mer praktiskt stöd vad gäller upphandlings- och kravställnings- kompetens genom guider och vägledning. Man efterfrågar även stöd gällande avrop från Kammarkollegiets ramavtal. Det finns ett brett intresse för samordnad statlig it-drift inom stats- förvaltningen, men myndigheternas behov och förutsättningar varie- rar. Av de 158 myndigheter som besvarade vår enkät angav 124 att de är eller eventuellt är intresserade av att ansluta sig till en samordnad statlig it-drift. Vidare har 106 myndigheter svarat på vår kompletterande enkät där de givits möjlighet att ange hur stort åtagande och vilka tjänster de är intresserade av. Av myndigheternas svar framgår det att 32 myndigheter är intresserade av att utkon- traktera hela sin it-drift, medan 69 myndigheter enbart är intresserade av att utkontraktera delar. Behovet sprider sig över hela spektrumet av it-driftstjänster Av vår kartläggning framgår att behoven skiljer sig åt inom stats- förvaltningen. Det varierar från att myndigheter efterfrågar ett hel- hetsåtande till enstaka tjänster. Vilken eller vilka typer av tjänster som kan vara aktuella att erbjuda inom en samordnad statlig it-drift är därför svårt att utröna i detta skede. Det framgår däremot tydligt av enkäten att en stor majoritet efterfrågar infrastrukturtjänster, vilket innebär att det finns goda förutsättningar för att hitta någon form av minsta gemensamma nämnare som därefter varieras i form av olika typer av tilläggstjänster. Myndigheternas behov av samordnad statlig it-drift Myndigheterna efterfrågar en flexibel och valbar lösning Myndigheternas förutsättningar skiljer sig åt och vilken it-driftslös- ning som är mest lämplig varierar beroende på vilken verksamhet som bedrivs och vilken typ av uppgifter myndigheten hanterar. Myn- digheterna efterfrågar en flexibel och valbar lösning för att kunna anpassa sig utifrån myndighetens verksamhet. Vi bedömer att det är lämpligt att utgå från flexibilitet och val- barhet i den modell som tas fram. Bland annat mot bakgrund av att viser att det finns ett stort intresse för samordnad statlig it-drift samt att det ger bättre förutsättningar för myndigheter att ansluta sig när och om det bedöms lämpligt. Det är även viktigt att vi genom våra förslag kan säkerställa att myndigheterna kan ta det ansvar som ålig- ger dem vad gäller informationshantering. Många myndigheter saknar viktiga förutsättningar för att kunna bedöma vilka it-driftslösningar som är mest lämpliga Av underlaget är det tydligt att många myndigheter saknar vik- tiga förutsättningar för att kunna bedöma vilken it-driftslösning som är mest lämplig för den information som myndigheten hanterar. Detta talar för att det finns ett stort behov av stöd bland myndigheterna för att kunna säkerställa en säker och effektiv informationshantering inom statsförvaltningen. Vi kan däremot inte med säkerhet svara för hur många myndig- heter som i slutändan skulle kunna bli aktuella för en samordnad statlig it-drift eftersom vi vet att flera faktorer påverkar myndigheter- nas möjlighet att ansluta sig. Myndigheterna kan till exempel vara bundna av avtal eller tekniska plattformar som inte möjliggör en migrering. 6Utvärdering av uppdrag om samordnad och säker statlig it-drift Enligt våra direktiv ska vi utvärdera uppdrag att tillhandahålla samordnad och säker statlig it-drift och redovisa vilka slutsatser som kan dras i fråga om bl.a. upparbetad organisation, an- slutnings- och finansieringsmodell, tjänsteleverans, samordningsvinster och påverkan på kärnverksamheten i termer av resursbehov och prio- riteringar inom verksamheten. Vi ska också analysera vilka lärdomar, erfarenheter och investeringar som är relevanta att vidareutveckla inom ramen för våra förslag till mer varaktiga former för samordnad statlig it-drift. Vi har genomfört utvärderingen med utgångspunkt från en tredelad analysmodell. För det första har vi tittat på vad som i litteraturen om- nämns som relevans, vilket svarar för om vald styrform är lämplig för att lösa de problem som omnämns i uppdraget. För det andra har vi tittat på hur implementeringen av uppdraget har gått till och hur väl den etablerade organisationen, framtagna processer och rutiner fun- gerar. har vi tittat på måluppfyllnaden, dvs. om man genom regeringsuppdraget lyckats nå avsedda effekter.1 För att svara på våra frågor har vi genomfört både intervjuer och dokumentstudier. Vi har genomfört 17 intervjuer med ett 20-tal per- soner från . Vi har även intervjuat företrädare för 1Vedung, (2009), Utvärdering i politik och förvaltning. Utvärdering av uppdrag om samordnad och säker statlig it-drift nio kundmyndigheter, där ett 30-tal personer har närvarat. Vi har även intervjuat för att fånga deras erfarenheter av samverkan med i samband med att de inkluderade datacentertjänster i sin tjänsteleverans. Därutöver har vi intervjuat företrädare för och de samver- kansmyndigheter som omnämns i direktiven för regeringsuppdrag – Myndigheten för samhällsskydd och beredskap (MSB), eSamverkansprogrammet (eSam) och (). Från har vi intervjuat för att få en bättre förståelse för hur regeringsuppdraget påverkar myndighetens kärnuppdrag. Vi har även intervjuat företrädare för , dels personer som deltog när upp- draget togs fram (då under ), dels personer som hanterat den löpande dialogen (nu under Infrastrukturdepartementet). Vi har tagit del av flertalet dokument som beskriver hur uppdraget har organiserats, bl.a. modell för anslutning och samverkan, överens- kommelser (inklusive bilagor) och avsiktsförklaringar, tjänstekatalog samt kund- och behovslogg. Vi har även tagit del av generella styr- dokument samt den återrapportering som gjorts till regeringen. Det föregicks av ett antal andra regeringsuppdrag. Regeringen hade 2015 gett i uppdrag att analysera och värdera potentialen för användning av molntjänster i staten.2 Det uppdraget byggde i sin tur på ett arbete som genomför- des av E-delegationen men som inte formellt publicerades. fick Statens servicecenter uppdraget att analysera och föreslå myn- dighetsfunktioner som skulle kunna bedrivas samordnat.3 Statens servicecenter rekommenderade i sin redovisning inrättandet av en statlig molntjänst som skulle erbjuda myndigheterna datorkraft och lagring. Enligt myndigheten skulle det leda både till besparingar och en ökad it-säkerhet i statsförvaltningen. Budgetavdelningen vid Finans- departementet såg besparingspotential i förslagen och framförde det till , som då låg på . 2Pensionsmyndigheten (2016), Molntjänster i staten – en ny generation av outsourcing. 3Statens servicecenter (2017), En gemensam statlig molntjänst för myndigheternas it-drift. SOU 2021:97 Utvärdering av uppdrag om samordnad och säker statlig it-drift hade i sin tur fört en dialog med it- cheferna på några av de större myndigheterna om bl.a. förutsätt- ningarna för att samordna statlig it-drift. Utöver det hade Försäkrings- kassans it-avdelning undersökt möjligheten att samordna it-drift med andra myndigheter. avslöjades händelserna vid Transportstyrel- sen med anledning av myndighetens utkontraktering av it-drift till en privat leverantör. Frågan om informationssäkerhet och lämplig- heten i att utkontraktera it-drift aktualiserades och regeringen såg anledning att vidta snabba och konkreta åtgärder. Ett förslag till reger- ingsuppdrag om it-drift som redan hade under beredning sågs över och gemensambereddes snabbt inom . Inriktningen, som tidigare hade legat på effektivi- sering, besparing och säkerhet, ändrades till att i högre grad fokusera på ökad informationssäkerhet. Valet av vilken myndighet som skulle få uppdraget föll på . Myndigheten bedömdes ha rätt kapacitet genom att ha en omfattande egen it-drift liksom kom- petens och erfarenhet inom området för att på kunna bygga upp nödvändiga förmågor. upp- fattade också att var intresserade av att få upp- draget. Det ansågs inte aktuellt att bygga upp en ny myndighet. Enligt uppdraget ska 2017–2020 erbjuda samord- nad och säker statlig it-drift för vissa myndigheter.4 Det övergripande syftet är att pröva och utvärdera former för samordnad och säker it- drift för lämpliga myndigheter. Av våra intervjuer med företrädare för framgår att det fanns en tanke om att uppdraget skulle syfta till att bygga upp faktisk förmåga. Det fanns dock en tveksamhet från andra delar av bland annat vad gällde konkurrensfrågor. Därför kom det att utformas som ett tillfälligt uppdrag med syfte att pröva och utvärdera former för sam- ordning. ställde sig redan från början positiva till uppdraget även om de betonade att det inte fick påverka Försäk- ringskassans kärnverksamhet. 4Regeringen (2017), Uppdrag att erbjuda samordnad och säker statlig it-drift. Fi2017/03257/DF. Utvärdering av uppdrag om samordnad och säker statlig it-drift Målgruppen för anslutning ska enligt uppdraget vara myndig- heter där åtgärder bedöms leda till högre informationssäkerhet. Det framgår inte närmare i uppdraget vilken typ av myndigheter som avses, mer än att de ska vara ”lämpliga”. Enligt våra intervjuer med företrädare för framförde de i upp- dragsdialogen att små och mellansmå myndigheter var viktigast att ansluta utifrån att de inte bedömdes ha tillräcklig kompetens för att utkontraktera sin it-drift. Det framgår inte heller av uppdraget hur många myndigheter som ska anslutas. insåg dock snabbt efter uppdragsstart att det fanns ett stort intresse bland myn- digheterna och att man inte skulle kunna ansluta alla som anmälde intresse. lyfte därför frågan om hur prioriteringen mellan myndigheter skulle göras till . Myndigheten hänvisades till att utgå från sina egna bedömningar. har efter hand utvecklat en modell för prioriter- ing av myndigheter där en viktning görs utifrån parametrarna ”säker- het”, ”kostnadseffektivitet”, ”digitalisering” samt ”liten myndighet”. Modellen beskrivs närmare i avsnitt 6.3.3. Uppdraget löpte på fram då regeringen beslutade att tillsätta Utredningen om säker och kostnadseffektiv it-drift för den offentliga förvaltningen. Regeringen reviderade och förlängde För- säkringskassans uppdrag så att tidplanen för uppdraget stämde öve- rens med utredningens tidplan. I det reviderade uppdraget anges att det behöver säkerställas att den etablerade it-driften mellan myndig- heterna kan fortsätta och att får en tydligare in- riktning för anslutning av ytterligare myndigheter till den samord- nade it-driften.5 Genom det reviderade uppdraget förlängdes uppdragstiden till den Uppdraget ska genomföras i enlighet med tidi- gare beslut och utifrån de ändringar som anges i det reviderade upp- draget. Fokus i det fortsatta uppdraget är att bibehålla den förmåga till samordnad och säker statlig it-drift som byggt upp. Ytterligare myndigheter kan anslutas, men enbart i sådan om- 5Regeringen (2019), Ändring av uppdrag att erbjuda samordnad och säker statlig it-drift, I2019/02515/DF. SOU 2021:97 Utvärdering av uppdrag om samordnad och säker statlig it-drift fattning som anses motiverad inom ramen för en bibehållen förmåga. ska i första hand prioritera it-drift för myndig- heter där åtgärder kan leda till höjd informationssäkerhet. I andra hand ska åtgärder som bidrar till ökad kostnadseffektivitet prioriteras. Uppdraget ska genomföras så att det inte påverkar kärnverksamhet negativt. Av våra intervjuer med företrädare för och framgår att innebörden av begreppet ”bibehållen förmåga” inte var helt självklar. har valt att tolka ”bibehålla” som att avsluta det som påbörjats och att följa den plan kring anslutning som upparbetats. Detta har också stämts av med . Enligt det ursprungliga uppdraget ska uppdraget genomföras i sam- verkan med MSB och de myndigheter som ska ingå i den gemen- samma it-driften och behovsanalysen ska ske i samverkan med eSam. I frågor som rör personlig integritet ska samverka med Datainspektionen (numera , ). Andra relevanta myndigheter, som t.ex. PTS ska i den utsträckning som de har möjlighet bidra så att kan fullgöra upp- draget. Av våra intervjuer med företrädare för de utpekade samverkans- myndigheterna och med framgår att utbytet mellan myndigheterna inte varit särskilt omfattande eller systematiskt i upp- draget. koncentrerade sig på att bygga upp pro- cesser och förmåga i uppdraget vilket också bidragit till att samverkan framför allt inriktats på de myndigheter som anslutit sig till den sam- ordnade it-driften. Samverkan med PTS var inledningsvis något mer frekvent vilket hängde ihop med att PTS hade ett parallellt uppdrag om förvaltningsmodell för säkra it-utrymmen som var nära kopplat till uppdrag. Samverkan med MSB begränsades till några sporadiska möten. MSB menar att både de och Försäkrings- kassan borde ha lagt mer tid på samverkan eftersom informations- säkerhet var en viktig utgångspunkt för uppdraget. Samverkan med eSam har inte formaliserats utan har snarare skett inom den befint- liga samverkan. har i ett senare skede i uppdraget Utvärdering av uppdrag om samordnad och säker statlig it-drift lyft frågan om behovsanalys och då utifrån ett bredare perspektiv än enbart uppdraget. har inte kontaktat med förklaringen att det inte funnits några frågor om personlig integritet i uppdraget. har ansvarat för uppdragsdialogerna och uppföljningen gentemot . Företrädare för Social- departementet har deltagit i relevanta delar. I våra intervjuer med företrädare för vid Infrastrukturdeparte- mentet och med och fram- kommer att samtliga tycker att uppdragsdialogen har fungerat väl. har lyft flera frågor till för- valtning under uppdragets gång. Det har dels handlat om tolkning och vägledning i uppdraget (exempelvis kring definitioner och prio- riteringar), dels kring själva genomförandet och finansieringen. När det gäller finansiering har avgiftssättningen liksom frågan om bidrag och hur investeringar ska finansieras lyfts . En fråga som tagits upp av är säkra it-utrymmen som man velat ta vidare utifrån PTS:s utredning6 (se avsnitt 7.4.2 om Pro- gram 2032). I våra intervjuer framhåller företrädare för att har tagit sig an uppdraget på ett seriöst och ambitiöst sätt trots en utmanande tidplan och utan större möjlighet att förbereda sig. De trodde till en början att fler myndig- heter skulle kunna anslutas. Men med ökad kunskap om komplexi- teten i uppdraget och att behoven delvis såg annorlunda ut än för- väntat så finns en förståelse från att anslutningarna tar . har i slutändan an- slutit fler myndigheter än vad som angavs i den egna initiala verk- samhetsplanen. har lämnat årliga delredovisningar i uppdraget. Delredovisningarna är kortfattade och fokuserar på status i upp- draget samt risker och förutsättningar för det fortsatta genomföran- det. Företrädare för menar att åter- 6Post- och (2018) Förslag till en förvaltningsmodell för skyddade it-utrymmen. SOU 2021:97 Utvärdering av uppdrag om samordnad och säker statlig it-drift rapporteringen tillsammans med den löpande dialogen har varit bra och gett tillräcklig information om uppdragets status och utmaningar. Utöver delredovisningarna gjordes en extern ut- värdering av regeringsuppdraget där en slutsats var att det var svårt att utläsa effekter i uppdraget.7 tog medarbetare vid För- säkringskassan fram en intern kompletterande analys kring effekter, risker och hinder samt påverkan på myndighetens kärnuppdrag. Av arbetsmaterialet framgår att de främsta riskerna och hindren i upp- draget som dittills identifierat har att göra med själva samordningen mellan myndigheter. Det finns i regel en låg mognad i att samverka kring it-tjänster. Det innebär i sig en stor för- ändring både för verksamhet och it. Det finns också tekniska och säkerhetsmässiga utmaningar med att bygga lösningar för flera olika behov och organisationer. För kundmyndigheterna har man sett att det finns en utmaning med att identifiera och välja lämpliga leveran- törer för olika delar av it-driftsbehovet. Ytterligare en utmaning är att få en rättvisande kostnadstäckning. 6.3Anslutningsmodell och anslutning av myndigheter 6.3.1Behovsanalys för samordnad statlig it-drift Enligt uppdragsbeskrivningen skulle göra en ini- tial analys av ett antal myndigheters behov, där säkerhetsfrågorna särskilt skulle beaktas. Utifrån detta skulle lämpliga funktioner ut- vecklas och tillhandahållas. Behovsanalysen togs fram genom att analysera vissa data om myn- digheterna i statsförvaltningen. Det fanns dock lite fakta om myndig- heternas it-driftsbehov. träffade därför det 30-tal myndigheter som visat intresse för samordnad it-drift och kunde på så vis kartlägga just dessa myndigheters behov. It-avdelningens upp- fattning innan behovsanalysen genomfördes var att myndigheterna hade liknande it-driftsbehov som och att det pri- märt var stora myndigheter som var intresserade av att samordna sig. I praktiken var det dock framför allt små myndigheter som hade be- 7Ramböll (2019), Utvärdering av uppdrag om samordnad och säker statlig it-drift. Utvärdering av uppdrag om samordnad och säker statlig it-drift hov av att stärka säkerheten och att få tillgång till kompetens genom samordnad statlig it-drift. Utifrån behovsanalysen kategoriserades myndigheterna utifrån storlek – liten, mellan och stor – och det efterfrågade tjänsteutbudet beskrevs för respektive kategori. Man kom fram till följande. –Små myndigheter: efterfrågar i första hand ett helhetsåtagande. –Mellanstora myndigheter: efterfrågan varierar beroende på verk- samhet och var myndigheten befinner sig i sin it-miljö och ut- veckling.