sou · H9B397 · 2021-12-15 00:00:00 — Säker och kostnadseffektiv it-drift –förslag till varaktiga former för samordnad statlig it-drift SOU och Ds finns på under Rättsliga dokument. Svara på remiss – hur och varför Statsrådsberedningen, SB PM 2003:2 (reviderad ). Information för dem som ska svara på remiss finns tillgänglig på regeringen.se/remisser. Layout: Kommittéservice, Tryck och remisshantering: , 2021 Regeringen beslutade vid regeringssammanträde att uppdra åt en särskild utredare att kartlägga och analysera stat- liga myndigheters behov av säker och kostnadseffektiv it-drift samt hur dessa behov tillgodoses. Utredaren ska vidare analysera säkerhets- mässiga och rättsliga förutsättningar för samordnad statlig it-drift och lämna förslag på mer varaktiga former för sådan it-drift, om det bedöms lämpligt ur ett säkerhetsperspektiv, och de författningsför- slag som detta kräver. Utredaren ska också analysera de rättsliga för- utsättningarna för statliga myndigheter, kommuner och landsting att med bibehållen säkerhet utkontraktera it-drift till privata leveran- törer och vid behov lämna författningsförslag (dir. 2019:64). Tilläggs- direktiv beslutades av regeringen (dir. 2020:73) och (dir. 2021:60). Uppdraget att kartlägga och analysera statliga myndigheters be- hov av it-drift och den offentliga förvaltningens rättsliga förutsättningar för utkontraktering av it-drift till privata leverantörer redovisades i utredningens delbetänkande Säker och kostnadseffektiv it-drift – rätts- liga förutsättningar för utkontraktering (SOU 2021:1) som överläm- nades till statsrådet . Uppdraget att föreslå mer varaktiga former för samordnad statlig it-drift ska redovisas . Som särskild utredare förordnades general- direktören . Utredaren har biståtts av ett sekretariat. I arbetet med slutbetän- kandet har sekretariatet bestått av följande personer. Som huvudsekreterare anställdes enhetschefen . Rådmannen var från till anställd som utredningssekreterare. Som utredningssekreterare var också verksjuristen anställd från till 2021 och verksamhetsutvecklaren från En expertgrupp har biträtt utredningen. I arbetet med slutbetän- kandet har följande sakkunniga och experter ingått. Som sakkunniga att biträda utredningen förordnades kanslirådet , till kanslirådet , till departementssekreteraren , till departementssekreteraren , departementssekreteraren och departementssekreteraren . Som experter att biträda utredningen förordnades departementssekreteraren , rättssakkunnig , kanslirådet , till departementssekreteraren , departementssekreteraren , till kanslirådet , departementsrådet , departementsrådet samt departementssekreteraren . har följande personer ingått i utredningens refe- rensgrupp: , : , : , Läns- styrelsen : , Myndigheten för digital förvaltning: , : , Säkerhetspolisen: , Lantmäteriet: , Statens servicecenter: , Kommuner och Regioner: , IT&Telekomföretagen (numera TechSverige): , : , Myndigheten för samhällsskydd och beredskap: , : , : , Kammarkollegiet: , : , samt , . ersattes av My , TechSverige. ersattes från av från . ersattes av , Säkerhetspolisen. Utredningen redogör för uppdraget i vi-form, även om det inte funnits fullständig samsyn i alla delar. Utredningen, som har antagit namnet (I 2019:03), överlämnar härmed sitt slutbetänkande Säker och kostnads- effektiv it-drift – förslag till varaktiga former för samordnad statlig it- drift (SOU 2021:97). Förslag till förordning om samordnad statlig it-drift........... 1.2Förslag till förordning om ändring i förordningen (2007:824) med instruktion för Kammarkollegiet................ 1.3Förslag till förordning om ändring i förordningen (2007:975) med instruktion för 1.4Förslag till förordning om ändring i förordningen (2007:1266) med instruktion för Försvarsmakten................ 1.5Förslag till förordning om ändring i förordningen (2008:1002) med instruktion för Myndigheten för samhällsskydd och beredskap ................................................ 1.6Förslag till förordning om ändring i förordningen (2009:946) med instruktion för Lantmäteriet....................... 1.7Förslag till förordning om till ändring i förordningen (2009:1174) med instruktion för ............ 1.8Förslag till förordning om ändring i förordningen (2010:185) med instruktion för ....................... 1.9Förslag till förordning om ändring i förordningen (2014:1103) med instruktion för Säkerhetspolisen .............. 1.10Förslag till förordning om ändring i förordningen (2015:527) med instruktion för Förslag till förordning om ändring i förordningen (2017:154) med instruktion för ....................... Förslag till förordning om ändring i förordningen (2017:868) med länsstyrelseinstruktion................................ Utredningens uppdrag, utgångspunkter och arbete........ Utgångspunkter för vårt arbete ............................................. Samordnad statlig it-drift ....................................... Metod och arbetssätt .............................................. Möten, dialog och samverkan................................. Digitalisering och en förändrad hotbild ......................... En bredare och mer komplex hotbild.................................... Digitalisering, it-drift och säkerhet ....................................... Ett stärkt totalförsvar............................................................. Totalförsvar, civilt försvar och krisberedskap ....... 3.3.2Dagens struktur för krisberedskap och civilt Förslag för ett stärkt civilt försvar ......................... Civilt försvar och en samordnad statlig it-drift .... 3.4.2Ett starkare skydd för säkerhet 2020/21:194)................................................. på ändringar i säkerhetsskyddslagen....................... 3.5 Informations- och cybersäkerhet........................................... 3.5.2Nationell strategi för samhällets informations- 3.5.3Uppdrag att stärka informationssäkerhetsarbetet och uppföljningen på området ................................ Samverkan, samordning och styrning i staten ............... Krav på samverkan och samordning i staten ......................... Exemplet Statens servicecenter .............................................. 4.2.1Utredningar pekar på potentialen med gemensamma servicecenter............................. Statens servicecenter inrättas .................................. 4.2.4Statens servicecenters verksamhet inom 4.3 Styrning på digitaliseringsområdet ........................................ 4.3.1Utredningen om effektiv styrning av nationella digitala tjänster................................... 4.3.2OECD:s mätningar av digitaliseringen inom svensk förvaltning .......................................... 4.4 Exemplet förvaltningsgemensam digital infrastruktur ......... Myndigheternas behov av samordnad statlig it-drift ..... Intresse av samordnad statlig it-drift .................................. Behov och intresse av tjänster .............................. 5.1.2Gemensamma behov och behov som skiljer sig åt.................................................... 5.2Myndigheternas förutsättningar för att göra medvetna val av it-driftslösning............................................................ Myndigheternas behov av stöd............................. Analys och slutsatser............................................................ om samordnad och säker statlig it-drift ....................... Metod och genomförande.................................................... Reviderat uppdrag 2019 ........................................ Samverkan i uppdraget.......................................... Uppdragsdialog och återrapportering.................. Anslutningsmodell och anslutning av myndigheter........... Behovsanalys för samordnad statlig it-drift ........ 6.3.2Processen för anslutning av myndigheter har utvecklats efter hand....................................... Modell för prioritering av myndigheter............... 6.3.5Hur tycker kundmyndigheterna och att anslutningarna har fungerat?.......................................................... 6.3.7Otydligt i överenskommelserna vilka förutsättningar som finns för insyn 6.4 Styrning och organisering .................................................... 6.4.1It-avdelningen har haft stort eget mandat att styra uppdraget ................................................. Internrevisionen har granskat uppdraget ............. 6.4.3Regeringsuppdraget har organiserats som ett projekt inom it-avdelningen............................ En ny roll för it-avdelningen................................. 6.4.5Stöd till kundmyndigheter – roller i delar som ineffektiv ............................................. 6.4.7Rutiner och processer för att omhänderta förbättringsförslag behöver utvecklas .................. Paketering av tjänsteutbud.................................... 6.5.3Snabba anslutningar har lett till viss 6.6.1Modell för kostnadsberäkning och avgiftssättning avseende samordnad och säker 6.6.2Svårt att förutsäga kostnader under planering 6.6.3Små myndigheter har svårt att själva bekosta 6.6.4Merparten av kundmyndigheterna ser fortsatt avgiftsfinansiering som huvudsaklig finansiering, men flera förordar anslag 6.7.1Säkerhet diskuteras tidigt i Incident- och felhantering .................................... 6.7.3Ansvaret för säkerheten ligger fortfarande Bristande transparens och insyn i dokumentation gällande säkerhetsnivåer............. 6.7.5Uppdraget har inte bedömts vara 6.8 Juridiska frågor ..................................................................... 6.8.1Projektet har identifierat behov av rättsligt Rättsliga bedömningar har inte dokumenterats .. 6.8.3Upphandlingsplikt en viktig fråga 6.8.4Undantaget i 2 kap. 13 § första stycket TF har bedömts tillämpligt på ett övergripande plan, men har inte varit föremål för utredning 6.8.5Rättsavdelningen har framför allt lämnat stöd avseende villkor i överenskommelser................... 6.8.6Dataskyddsfrågor har inte övervägts i särskild 6.9 Mål, resultat och effekter ..................................................... 6.9.1Försäkringskassan har inte gjort mätningar av resultat och effekter i uppdraget Analys och slutsatser............................................................ Andra exempel på samordnad it-drift ......................... Länsstyrelsernas samordnade it-drift .................................. Samverkan och organisering................................. Samverkan och organisering ................................. Samordnad it-drift genom Sunet.......................................... Samverkan och organisering ................................. 7.4.1Säkra it-tjänster i statlig samverkan (SITSSAM) ............................................................ Europeiska samarbetet Gaia-X ............................. Analys och slutsatser ............................................................ Marknadsrättsliga förutsättningar för samordnad 8.2.5Förbudet mot missbruk av dominerande Köp mellan statliga myndigheter.......................... när en statlig myndighet erhåller samordnad it-drift från en annan statlig myndighet?............. Rättsliga förutsättningar för informationshantering inom samordnad it-drift ............................................ Teknisk bearbetning och teknisk lagring ............................ 9.2.3Vad avses med teknisk bearbetning eller teknisk lagring............................................... Endast eller enbart ................................................ För annans räkning ............................................... Som ett led i........................................................... Särskilt om eget utrymme..................................... 9.3.3Formen för reglering av villkoren för personuppgiftsbiträdets behandling............... Utgångspunkter och principer för varaktiga former för samordnad statlig it-drift...................................... Regeringen bör inrätta varaktiga former för samordnad Organisering av en samordnad statlig it-drift..................... 10.2.1 Utgå från ny eller befintlig verksamhet? Separata eller samordnade uppdrag? Former för styrning.............................................................. Den förvaltningsrättsliga legalitetsprincipen ...... 10.3.2Normmässig förankring för en samordnad 10.3.3Hur ska den samordnade statliga it-driften 10.4 Tjänsteutbud inom den samordnade statliga it-driften ...... 10.4.1 Tjänsteutbudet ska bygga på tjänster som levereras av privata leverantörer och av 10.4.2Tjänster från privata leverantörer ska som utgångspunkt upphandlas samordnat................... 10.4.3Ett samordnat statligt tjänsteutbud ska utgå från samlade behov och befintlig förmåga ........... 10.4.4Behov av nya tjänster bör i första hand tillgodoses genom samordnad upphandling av privata leverantörers tjänster ............................ Teknisk lagring och teknisk bearbetning ............. Anslutning till det samordnade statliga tjänsteutbudet...... Obligatorisk eller frivillig anslutning ................... 10.6.1En samordnad statlig it-drift har en central betydelse i ett stärkt civilt försvar ........................ 10.6.2En samordnad statlig it-drift ska bidra till att ge myndigheter bättre förutsättningar att göra medvetna val av it-driftslösningar ........... 10.6.3 Säkerhetskraven påverkar utformningen av en samordnad statlig it-drift ............................. 10.6.4En samordnad lösning ska minimera riskerna med aggregerade informationsmängder ............... 10.6.5Säkerhetsskyddslagen medger inte samlade 10.6.6 Avgränsning av säkerhetskänslig verksamhet...... uppgifter i det samordnade statliga 10.7 Finansieringsformer för den samordnade statliga it- 10.7.3Verksamhet som delvis finansieras genom 10.7.4Bör den samordnade statliga it-driften finansieras genom anslag eller genom avgifter? 10.7.5Avgifter fungerar överlag bra som Förslag till varaktiga former för samordnad Mål och syfte för en samordnad statlig it-drift................... Organisering av en samordnad statlig it-drift..................... Aktörer: uppgifter, ansvar och roller .................................. Den samordnande myndigheten .......................... Stöd- och expertmyndigheter............................... 11.3.4 Myndigheter med behov av stöd .......................... Forum för samverkan ........................................................... 11.4.1Samverkan mellan anslutande myndigheter Samverkan på förvaltningsgemensam nivå .......... 11.5 Anslutning av myndigheter.................................................. 11.5.2Prioritering av drift mellan leverantörsmyndighet och anslutna Förutsättningar utifrån säkerhetsskydd.............................. Reglering av villkoren för leverantörsmyndigheternas behandling av personuppgifter............................................. Samordnad upphandling av privata 11.8.1 Behovsstyrd och samordnad upphandling av tjänster inom samordnad statlig it-drift .......... 11.8.2 Ramavtal för it-drift för små myndigheter .......... Verksamhet på utbudssidan.................................. Verksamhet på inköpssidan .................................. 11.9.3 Utformning av verksamheten ............................... 11.9.4EU:s statsstödsregler och ett samordnat Ensamrätt och speciella rättigheter ...................... Tjänster av allmänt ekonomiskt intresse.............. Aktörer som kan vara aktuella i en samordnad Stöd- och expertmyndigheter ............................... Införande av varaktiga former för samordnad Utmaningar och risker med förslaget .................................. Konsekvenser för statliga myndigheter ............................... 12.1.1Konsekvenser för statliga myndigheter 12.1.2 Konsekvenser för samordnande myndighet ........ Konsekvenser för leverantörsmyndigheter.......... Konsekvenser för stöd- och 12.2 Konsekvenser för företag och marknad .............................. 12.2.1 , branscher m.m. .......................... 12.2.2 Marknads- och konkurrensanalys för samordnad statlig it-drift ...................................... 12.2.3 Efterfrågan och utbud av samordnad 12.2.4 Årlig direkt marknadspåverkan till följd av en samordnad statlig it-drift ............................. 12.3 Konsekvenser på samhällsnivå ............................................. 12.4 Övriga konsekvenser av förslagen ....................................... 12.4.1 Konsekvenser för den kommunala 12.4.2 Konsekvenser för brottsligheten och det brottsförebyggande arbetet ............................ 12.4.3 Konsekvenser för sysselsättning och offentlig service i olika delar av landet ................................ 12.4.4 Konsekvenser för små företags eller villkor i övrigt i förhållande till större 12.4.5 Jämställdheten mellan kvinnor och män.............. 12.4.6 Möjligheterna att nå de integrationspolitiska Ekonomiska konsekvenser av förslagen.............................. 12.5.1 Anslag för regeringsuppdraget att etablera former och förmåga för en samordnad statlig 12.5.2 Anslag för den samordnande myndigheten......... 12.5.3 Avgifter för leveransen av tjänster inom det samordnade statliga tjänsteutbudet...................... 12.5.4 Bidrag för anslutning av myndigheter med behov av ekonomiskt stöd............................ 12.5.5 Bidrag för utveckling av det samordnade Finansiering av utredningens förslag................................... 12.6.1 Förslag till finansiering ......................................... Bilaga 4 Enkät om säker och kostnadseffektiv it-drift – behov av samordnad it-drift ...................................... Myndigheternas it-driftslösningar är inte alltid tillräckligt säkra eller kostnadseffektiva. Det behövs bättre förutsättningar för förvaltningen att få tillgång till säker och kostnadseffektiv it-drift. Det kan ske på olika sätt, bl.a. genom tydligare rättsliga förutsättningar för utkon- traktering av it-drift till privata leverantörer men också genom var- aktiga former för samordnad statlig it-drift. Ett centralt syfte med en samordnad statlig it-drift är att bidra till ökad informationssäkerhet i den statliga förvaltningen. Vi presente- rar i detta slutbetänkande vårt förslag till varaktiga former för sam- ordnad statlig it-drift som ska ge myndigheter bättre förutsättningar att göra medvetna val av säkra och kostnadseffektiva it-driftslösningar. Vårt uppdrag och innehållet i slutbetänkandet Syftet med utredningen är att skapa bättre förutsättningar för den offentliga förvaltningen att få tillgång till säker och kostnadseffektiv it-drift genom antingen samordnad statlig it-drift eller tydligare rätts- liga förutsättningar för att kunna anlita privata leverantörer av it-drift. I vårt delbetänkande Säker och kostnadseffektiv it-drift – rättsliga för- utsättningar för utkontraktering (SOU 2021:1) presenterade vi våra ana- lyser och förslag avseende rättsliga förutsättningar att utkontraktera it-drift till privata leverantörer. I detta slutbetänkande fokuserar vi på förutsättningar och förslag på samordnad statlig it-drift. Vi redovisar en utvärdering av Försäk- ringskassans regeringsuppdrag om samordnad och säker statlig it- drift, analys av andra befintliga exempel på samordning av it-drift samt en analys av säkerhetsmässiga och rättsliga förutsättningar för samordnad statlig it-drift. Därefter presenterar vi våra förslag på var- aktiga former för samordnad statlig it-drift. Samordnad statlig it-drift och ett samordnat statligt tjänsteutbud En utgångspunkt för våra förslag är att en samordnad statlig it-drift ska kunna bidra med stöd i myndigheters val av säkra och kostnads- effektiva it-driftslösningar och bidra till att lösa gemensamma behov. Myndigheter kommer även att ha behov av olika drifts- alternativ där samordnad it-drift utgör ett driftsalternativ vid sidan av utkontraktering till privata leverantörer och drift i egen regi. Den samordnade statliga it-driften ska därför omfatta stöd till myndig- heter vid valet av it-driftslösning: egen regi, samordnad statlig regi eller genom utkontraktering till en privat leverantör, och tillhanda- hållande av it-driftstjänster genom ett samordnat statligt tjänsteutbud. Behovet av en samordnad statlig it-drift Av vår kartläggning framgår att behoven av samordnad it-drift skiljer sig åt inom statsförvaltningen – vissa myndigheter efterfrågar ett helhetsåtande medan andra enbart efterfrågar enstaka tjänster. Vår enkät visar att en majoritet av myndigheterna efterfrågar infrastruk- turtjänster, vilket innebär att det finns goda förutsättningar för att hitta någon form av minsta gemensamma nämnare som därefter kan varieras i olika typer av tilläggstjänster. Det framgår även av vår kart- läggning att myndigheterna efterfrågar en flexibel och valbar lösning. Många myndigheter saknar viktiga förutsättningar för att kunna bedöma vilka it-driftslösningar som är mest lämpliga. Detta talar för att det finns ett stort behov av stöd bland myndigheterna för att kunna säkerställa en säker och effektiv it-drift inom statsför- valtningen. Erfarenheter av samordning inom staten Det finns flera exempel på samverkan och samordning i staten att dra lärdomar av i utformningen av en samordnad statlig it-drift. Exem- plet Statens servicecenter bidrar med lärdomar när det gäller etabler- ing och styrning av en samordnad lösning liksom former för anslut- ning, utveckling av tjänster, finansiering och uppföljning. Den för- valtningsgemensamma digitala infrastrukturen är ett intressant exem- pel på samverkan inom digitaliseringsområdet. Befintliga exempel på samordnad it-drift i staten ger kunskap och erfarenheter som är till stor nytta för utformningen av varaktiga former för samordnad stat- lig it-drift. Utvärdering av uppdrag om samordnad och säker statlig it-drift har regeringens uppdrag att pröva och utvärdera former för samordnad och säker it-drift för vissa myndig- heter. Redan från start fanns det ett stort intresse för den samord- nade it-driften. Ett 50-tal myndigheter har varit i kontakt med För- säkringskassan, merparten av dessa är små myndigheter. Fram t.o.m. är sex myndigheter fullt ut anslutna till samordnade it-drift. Samtliga avser helhetsåtaganden. Regeringsuppdraget har organiserats i form av ett projekt inom . har tagit fram en modell för anslutning och samverkan och myndigheterna sluter en överenskommelse om samverkan. Tjänsteutbudet har fastställts ut- ifrån myndigheternas behov och interna förmåga. Uppdraget finansieras i huvudsak genom avgifter, men en viss del fick bekostas med bidragsmedel. har utifrån givna förutsättningar; med för förberedelser och uppbyggnad klarat uppdraget väl. Såväl kund- myndigheterna som anger att de är nöjda med hur har tagit sig an uppdraget. Vi har landat i ett antal slutsatser och analyserat vilka lärdomar, erfarenheter och invester- ingar som är relevanta att vidareutveckla inom ramen för våra förslag till mer varaktiga former för samordnad statlig it-drift. Vi konstaterar att uppdraget är formulerat som en försöksverk- samhet men att det i praktiken rör sig om en faktisk överföring av it-drift. kärnuppdrag sätter gränser för deras roll i en samordnad statlig it-drift, t.ex. när det gäller hur många myn- digheter kan ansluta. Det har inte varit tydligt på vilka grunder vissa myndigheter har prioriterats för anslutning. Den modell för prioritering som tagits fram har inte fått genomslag i Det är vidare oklart i vilken utsträckning Försäkrings- kassan har bidragit till att öka myndigheternas informationssäkerhet. erbjuder de tjänster som används internt inom myndigheten men har inte paketerat dem för externt bruk, vilket på- verkar kundmyndigheternas möjlighet att ta ställning till vad För- säkringskassan kan erbjuda. modell för anslut- ning och samverkan fungerar överlag bra men behöver utvecklas, t.ex. hur nya behov omhändertas och rutiner för överlämning från projektet till linjeorganisationen.