sou · H9B397 · 2021-12-15 00:00:00 — Exempelvis är upp- gifter som var helt öppna numera föremål för skydd och det fysiska säkerhetsskyddet har höjts inom många verk- samheter. Det är troligt att det kommer att behöva göras omprövningar inom fler områden av vilka uppgifter som bör skyddas med hänsyn till totalförsvaret. En annan fråga som behöver beaktas med tanke på den ökade digitaliseringen är att det behöver finnas en robusthet och Digitalisering och en förändrad hotbild redundans i samordnad statlig it-drift samt att samhällsviktiga grund- data behöver säkras även under svåra förhållanden eller krig. I detta avsnitt berör vi vilka rättsliga krav som gäller för myndig- heternas säkerhetsskyddsarbete i en samordnad statlig it-drift samt ger en översiktlig redogörelse för aktuella lagstiftningsinitiativ inom området. 3.4.1Krav på myndigheternas säkerhetsskyddsarbete Vi har i delbetänkandet redogjort för de rättsliga förutsättningarna för utkontraktering till privata tjänsteleverantörer utifrån säkerhets- skyddsregleringen. Samordnad it-drift innebär också en form av ut- kontraktering av it-drift, men mellan myndigheter. De regler som en myndighet har att tillämpa vid utkontraktering av it-drift till en privat tjänsteleverantör gäller på samma vis vid utkontraktering av it-drift till en annan myndighet. När det gäller de överväganden som en myn- dighet behöver göra vid en anslutning till samordnad it-drift hänvisar vi därför till redogörelsen i avsnitt 6.2 i delbetänkandet. En annan sida av saken är att verksamheten att tillhandahålla sam- ordnad it-drift kan vara sådan säkerhetskänslig verksamhet för vilken säkerhetsskyddsregleringen ska tillämpas. Den bedömningen ska göras av verksamhetsutövaren. Frågan har dock viss betydelse för vilka rätts- liga förutsättningar som finns för ett samordnat statligt tjänsteutbud. 3.4.2Ett starkare skydd för säkerhet (prop. 2020/21:194) Regeringen har föreslagit ändringar i säkerhetsskyddslagen som bl.a. innebär att säkerhetsskyddsavtal ska ingås i fler situationer än vad som tidigare gällt och att verksamhetsutövare ska göra en särskild säker- hetsskyddsbedömning och pröva lämpligheten av utkontrakteringar och liknande förfaranden som kräver säkerhetsskyddsavtal, samt i vissa fall samråda med tillsynsmyndigheten. Ändringarna bygger på de förslag som lämnades av Utredningen om vissa säkerhetsskydds- Digitalisering och en förändrad hotbild frågor i Kompletteringar till den nya säkerhetsskyddslagen (SOU 2018:82) och som vi redogjort för i delbetänkandet i avsnitt 6.2.13. Ändringarna börjar gälla . Den utvidgade skyldigheten att ingå säkerhetsskyddsavtal inne- bär att en verksamhetsutövare som avser att genomföra en upphand- ling, ingå ett avtal eller inleda en samverkan eller ett samarbete med en annan aktör, ska ingå ett säkerhetsskyddsavtal med aktören, om aktören genom förfarandet kan få tillgång till säkerhetsskyddsklas- sificerade uppgifter i säkerhetsskyddsklassen konfidentiell eller högre, eller annan säkerhetskänslig verksamhet av motsvarande betydelse för säkerhet. Regeringen föreslår att den utökade skyldigheten att sluta säker- hetsskyddsavtal ska gälla vid statliga myndigheters mellanhavanden endast när det är fråga om anskaffning av en vara, tjänst eller bygg- entreprenad. ”samverkan” och ”rena samarbeten” ska vara undan- tagna från tillämpningsområdet. Vad som avses med ”ren samver- kan” och ”rena samarbeten” utvecklas inte närmare i motiven, men sådan samverkan och samarbete ställs i kontrast mot ”situationer där statliga myndigheter är beställare och leverantör i förhållande till varandra, dvs. när en myndighet anskaffar en vara, tjänst eller bygg- entreprenad av en annan myndighet och leverantör i förhållande till varandra”. I sådana situationer handlar det enligt regeringen inte främst om att myndigheterna arbetar mot ett gemensamt statligt mål, utan snarare agerar som aktörer på en marknad. Behovet av säker- hetsskydd är enligt regeringens uppfattning då större än vid rena sam- arbeten och samverkan, vilket motiverar att anskaffningar ska omfat- tas av den utökande skyldigheten att ingå säkerhetsskyddsavtal. Regeringens förslag innebär också en utvidgning av kravet på sär- skild säkerhetsskyddsbedömning till att omfatta alla situationer där det finns ett krav på att sluta säkerhetsskyddsavtal, utom när sådana avtal ska slutas med underleverantörer. Regeringen föreslår även krav på att genomföra en lämplighetsprövning i dessa situationer. Om en lämplighetsprövning leder till bedömningen att det plane- rade förfarandet inte är olämpligt från säkerhetsskyddssynpunkt så föreslår regeringen att verksamhetsutövaren ska vara skyldig att sam- råda med tillsynsmyndigheten. Detta gäller enbart om ett planerat förfarande innebär att en annan aktör kan få tillgång till säkerhets- skyddsklassificerade uppgifter i säkerhetsskyddsklassen hemlig eller Digitalisering och en förändrad hotbild högre, eller annan säkerhetskänslig verksamhet av motsvarande be- tydelse för säkerhet. Regeringen har beslutat om en ny säkerhetsskyddsförordning (SFS 2021:955) som träder i kraft . Genom för- ordningen förändras tillsynen av säkerhetsskyddet genom att nya tillsynsmyndigheter tillkommer och befintliga tillsynsmyndigheter får förändrade tillsynsområden. Förändringarna innebär att tillsynen av säkerhetsskydd inom myndigheter under regeringen med undan- tag av försvarsmyndigheterna och Säkerhetspolisen kommer att ut- övas av Säkerhetspolisen och länsstyrelserna i , , län och . Förändringarna i säkerhetsskyddslagen och genom den nya för- ordningen kommer sammanfattningsvis ha påverkan på bl.a. vilka skyl- digheter som åligger myndigheter som deltar i en samordnad statlig it-drift. 3.4.3Cybersäkerhetsutredningens förslag på ändringar i säkerhetsskyddslagen har i betänkandet säkerhet – behov av starkare skydd för nätverks- och informationssystem (SOU 2021:63) lämnat förslag på ändringar i säkerhetsskyddslagen. Förslagen inne- bär bl.a. dels att ett nytt kapitel om skyldigheter inför driftsättning av informationssystem införs i säkerhetsskyddslagen, dels att åsido- sättande av skyldigheterna ska kunna leda till sanktionsavgifter. Skyldigheterna som föreslås inför driftsättning eller förändring av informationssystem överensstämmer med den i prop. 2020/21:194 föreslagna systematiken med särskild säkerhetsskyddsbedömning, lämplighetsprövning och samråd men att dessa skyldigheter knyts till driftsättning i stället för till ett förfarande som innebär att en annan aktör kommer att få tillgång till säkerhetsskyddsklassificerade uppgifter eller säkerhetskänslig verksamhet. I vår kartläggning av statliga myndigheters it-drift som vi redogör för i vårt delbetänkande framkom att hälften av de myndigheter som svarade på vår enkät hade delar av sitt systematiska informations- Digitalisering och en förändrad hotbild säkerhetsarbete på plats, medan den återstående hälften behövde stärka sitt arbete med informationssäkerhet. Större myndigheter har i regel kommit längre i sitt informationssäkerhetsarbete än mindre myn- digheter. Såväl små som stora myndigheter såg bristande informa- tionsklassificering som ett av de största hindren för säker it-drift. Små myndigheter lyfter kompetensbrist som en viktig orsak till bris- terna i informationssäkerhetsarbetet. I delbetänkandet går vi också igenom regleringen på informationssäkerhetsområdet. I detta avsnitt återger vi kort kraven på myndigheternas infor- mationssäkerhetsarbete och ger exempel på vad regeringen och an- svariga myndigheter gjort på informations- och cybersäkerhetsom- rådet . 3.5.1Krav på myndigheternas informationssäkerhetsarbete Av krisberedskapsförordningen framgår att varje myndighet ansva- rar för att egna informationshanteringssystem uppfyller sådana grund- läggande och särskilda säkerhetskrav att myndighetens verksamhet kan utföras på ett tillfredsställande sätt. MSB kan meddela föreskrif- ter om krav på säkerhet för myndigheternas informationshanterings- system och rapportering av it-incidenter. MSB kom 2020 med nya föreskrifter om informationssäkerhet för statliga myndigheter (MSBFS 2020:6) som bl.a. innehåller krav på hur myndigheternas informationssäkerhetsarbete ska utformas och bedrivas och hur uppföljning av informationssäkerhetsarbetet ska ske. Myndigheten meddelade 2020 också nya föreskrifter om säkerhetsåtgärder i informationssystem för statliga myndigheter (MSBFS 2020:7) och rapportering av it-incidenter för statliga myn- digheter (MSBFS 2020:8). De nya föreskrifterna innebär bl.a. att det ställs tydligare krav på myndighetsledningen att inrikta och säker- ställa resurser samt följa upp myndighetens informationssäkerhets- arbete. Bakgrunden till de nya föreskrifterna var att MSB fått i upp- drag att genomföra en översyn av föreskrifter och allmänna råd om statliga myndigheters informationssäkerhet som en del i regeringens prioritering i den nationella strategin för informations- och cyber- säkerhet. Digitalisering och en förändrad hotbild 3.5.2Nationell strategi för samhällets informations- och cybersäkerhet I regeringens nationella strategi för samhällets informations- och cybersäkerhet, som lämnades till , skriver reger- ingen att det finns ett stort behov av att utveckla samhällets informa- tions- och cybersäkerhet.4 Med informations- och cybersäkerhet av- ser regeringen säkerhetsåtgärder för bevarande av konfidentialitet, riktighet och tillgänglighet hos information. Regeringen skriver att digitaliseringen och den förändrade användningen av ny teknik och nya innovationer innebär att hot blir svårare att upptäcka, att ris- kerna blir mer svårbedömda och att beroenden blir svårare att över- skåda. Huvudsyftet med strategin är att bidra till att skapa långsik- tiga förutsättningar för samhällets aktörer att arbeta effektivt med informations- och cybersäkerhet samt att höja medvetenheten och kunskapen i hela samhället, dvs. statliga myndigheter, kommuner och regioner, företag, organisationer och privatpersoner. Regeringen pekar i strategin ut flera prioriterade områden för att stärka samhällets informations- och cybersäkerhet. Ett område hand- lar om systematiskt informationssäkerhetsarbete. Även om den enskilda organisationen ytterst ansvarar för att hantera sin information är det enligt regeringens bedömning viktigt att förbättra förutsättningarna för att bedriva ett systematiskt infor- mationssäkerhetsarbete på ett mer samordnat sätt. I dagens förvalt- ning finns en högre grad av beroenden i informationshanteringen vilket gör att aktörer som har en sämre informationssäkerhet kan äventyra säkerheten för övriga. Detta har enligt regeringens bedöm- ning betydelse för möjligheterna till en digitalt samverkande förvalt- ning, men även för den återupptagna planeringen för civilt försvar som är beroende av goda förutsättningar att dela känslig information inom statsförvaltningen. Regeringens målsättning är att statliga myndigheter ska ha känne- dom om hot och risker, ta ansvar för sin informationssäkerhet och bedriva ett systematiskt informationssäkerhetsarbete. Målet är också att det ska finnas en nationell modell till stöd för ett systematiskt informationssäkerhetsarbete. På så vis kan man i högre grad samordna riskbedömningar, kartlägga skyddsvärda tillgångar och bestämma skyddsnivåer med tillhörande säkerhetsåtgärder. 4Nationell strategi för samhällets informations- och cybersäkerhet, skr 2016/17:213. Digitalisering och en förändrad hotbild 3.5.3Uppdrag att stärka informationssäkerhetsarbetet och uppföljningen på området MSB fick två regeringsuppdrag som syftade till att, i enlighet med strategin för samhällets informations- och cybersäker- het, stärka det systematiska informationssäkerhetsarbetet och upp- följningen på området. Det ena uppdraget avsåg riktade utbildningsinsatser till statliga myndigheter, kommuner och regioner för att höja nivån på informa- tionssäkerhetsarbetet i offentlig sektor.5 MSB skulle vid behov sär- skilt utveckla stöd till mindre myndigheter. Uppdraget skulle genom- föras i samverkan med Myndigheten för digital förvaltning (DIGG). I återrapporteringen till regeringen konstaterar MSB att mognads- graden i informationssäkerhet är för låg i offentlig sektor även om många aktörer bedriver ett arbete på området. Fler personer inom offentlig sektor behöver utbildas i informationssäkerhet. En behovs- analys för mindre myndigheter visar att myndigheterna behöver få bättre fart och större verksamhetsnytta av sitt informationssäker- hetsarbete. De mindre myndigheterna uttrycker också ett behov av särskilt stöd och erfarenhetsutbyte med andra myndigheter. MSB bedömer att de utbildningar som tagits fram inom ramen för upp- draget möter identifierade behov och regeringens uppdrag att höja nivån på informationssäkerhetsarbetet på alla nivåer i offentlig sek- tor på ett effektivt sätt. För att nå målet i den nationella strategin för informations- och cybersäkerhet krävs dock att utbudet av utbild- ningar möts upp med att organisationerna tillför mer resurser till centrala roller i det systematiska informationssäkerhetsarbetet. MSB kommer fortsatt följa organisationernas behov av stöd och utbildning och löpande utveckla utbudet av utbildningar för att möta behoven. Det andra uppdraget till MSB handlar om att ta fram en modell för uppföljning av det systematiska informationssäkerhetsarbetet i den offentliga förvaltningen.6 Målsättningen är att statliga myndigheter, kommuner och regioner ska erbjudas stöd i sitt uppföljnings- och förbättringsarbete och att regeringen ska få en samlad nivåbedöm- ning av det systematiska informationssäkerhetsarbetet i den offent- liga förvaltningen. Modellen delar in det systematiska informations- 5MSB (2021), Redovisning av regeringens uppdrag att genomföra riktade utbildningsinsatser till statliga myndigheter, kommuner och regioner, dnr 2019-11715. 6MSB (2021), En struktur för uppföljning av det systematiska informationssäkerhetsarbetet i den offentliga förvaltningen, dnr 2019-11710. Digitalisering och en förändrad hotbild säkerhetsarbetet i fyra nivåer som ett stegvis utvecklingsarbete. Genom att besvara uppföljningsmodellens frågeformulär får en orga- nisation automatisk återkoppling om sin nivå, styrkor och utveck- lingsområden. När svaren inrapporterats till MSB får organisationen en kompletterande återkoppling (benchmarking). Utifrån det sam- lade underlaget kan MSB dra slutsatser om behovet av stöd och sats- ningar på nationell nivå. Uppföljningsmodellen lanseras och kommer genomföras regelbundet i tvåårscykler. MSB bedömer att den ska kunna bidra till ett förbättrat och mer enhetligt informations- säkerhetsarbete. Det förutsätter dock enligt MSB ett brett deltagande från den offentliga förvaltningen, en positiv och bejakande uppfölj- ningskultur och att resurser tillförs till de områden där det finns be- hov av förbättring. Regeringen gav i uppdrag till , Försvarsmakten, MSB och Säkerhetspolisen att fördjupa samverkan inom cybersäkerhetsområdet genom ett nationellt cybersäkerhets- center. Teknikutveckling och digitalisering ger enligt uppdraget nya möjligheter som hoten och sårbarheterna blir fler. Säker- heten behöver därför stärkas. Det nationella cybersäkerhetscentret ska göra säkrare genom att höja den samlade förmågan att möta cyberhoten och öka förmågan att effektivt stödja offentliga och privata aktörer. Inom ramen för cybersäkerhetscentret ska myndigheterna koordi- nera arbetet för att förebygga, upptäcka och hantera cyberangrepp och andra it-incidenter, förmedla råd och stöd avseende hot, sårbar- heter och risker samt utgöra en nationell plattform för samverkan och informationsutbyte med privata och offentliga aktörer inom cybersäkerhetsområdet. Samverkan ska enligt uppdraget inledas 2020 och utvecklas stegvis 2021–2023 inom flera olika områden. Det hand- lar exempelvis om tillhandahållande av anpassade och aggregerade lägesbilder och analyser avseende hot, sårbarheter och risker; riktade och samordnade varningar avseende hot och cyberangrepp; samord- ning av stödet till förebyggande skyddsåtgärder, exempelvis tekniska säkerhetsanalyser, samt kartläggning av verksamheters beredskap vid it-incidenter. Digitalisering och en förändrad hotbild Samarbetets innehåll och former ska fastställas genom skriftliga överenskommelser mellan myndigheterna. Den fördjupade samver- kan inom cybersäkerhetscentret ska inte ta över det ansvar som lig- ger på de ingående myndigheterna och andra aktörer. Målsättningen är att det nationella cybersäkerhetscentret ska vara fullt operativt . Ett hundratal personer beräknas arbeta i centrets verksamhet vid utgången av 2023. 4Samverkan, samordning och styrning i staten Det finns många olika exempel på samverkan och samordning i sta- ten. I detta kapitel går vi igenom förutsättningar för samverkan och samordning i staten och redovisar några jämförande exempel – Statens servicecenter och den förvaltningsgemensamma digitala infrastruk- turen. Vår uppfattning är att it-drift är en viktig byggsten för den svenska förvaltningens digitalisering och att det därför är viktigt att dra lärdom av de erfarenheter som finns för att utforma våra förslag på ett så ändamålsenligt sätt som möjligt. Särskilt gäller detta hur en sam- ordnad statlig it-drift bör organiseras och hur formerna för styrning lämpligast utformas. 4.1Krav på samverkan och samordning i staten Den statliga förvaltningen regleras genom förvaltningslagen och myn- dighetsförordningen. Det finns också ett förvaltningspolitiskt mål som beslutade . Det förvaltningspolitiska målet är En innovativ och samverkande statsförvaltning som är rättssäker och effektiv, har väl utvecklad kvalitet, service och tillgänglighet, och som där- igenom bidrar till utveckling och ett effektivt EU-arbete. Statskontoret genomförde 2020 en analys av det förvaltningspoli- tiska målets status i förvaltningen med särskilt fokus på begreppen innovation och samverkan.1 Slutsatsen är att det förvaltningspoli- tiska målet har en bred acceptans i förvaltningen och att det samman- fattar kända och centrala värden som också finns reglerade i lagar och förordningar. Samverkan och innovation bedöms dock inte lika själv- 1Statskontoret, En innovativ och samverkande förvaltning med det förvaltningspolitiska målet, 2020. Samverkan, samordning och styrning i staten klara att hantera som exempelvis rättssäkerhet och effektivitet. Stats- kontoret drar slutsatsen att det förvaltningspolitiska målet har ett begränsat genomslag i myndigheternas arbete. I stället är det lagar och förordningar som styr. Av förvaltningslagen (2017:900) framgår att en myndighet ska samverka med andra myndigheter inom sitt verksamhetsområde. Myndigheter ska vidare enligt myndighetsförordningen (2007:515) verka för att genom samarbete med myndigheter och andra ta till vara de fördelar som kan vinnas för enskilda samt för staten som helhet. Kraven på myndigheterna handlar alltså i första hand om samver- kan och samarbete. Däremot nämns inte begreppet samordning i regleringen av förvaltningen. Statskontoret konstaterar dock i sin löpande uppföljning av förvaltningspolitiken att det finns en allt större efterfrågan på gemensamma lösningar inom den statliga förvaltningen. Som exempel på gemensamma lösningar nämns förvaltningens digitali- sering, informationssäkerhet och kompetensförsörjning. Regeringen har också tagit vissa initiativ i en sådan riktning. Statens servicecenter är ett exempel på samordning och inrättandet av Myn- digheten för digital förvaltning (DIGG) kan ses som exempel på ökad samordning och samordnad styrning. Statens servicecenter, som etablerades , har ett uppdrag och en verksamhet som har vissa likheter med de lösningar som kan vara aktuella för en samordnad statlig it-drift, exempelvis styrmodeller, tillhandahållande av ett tjänsteutbud och finansiering via avgifter. Vi har genom intervjuer med företrädare för Statens service- center samlat information om hur myndigheten etablerades, hur för- utsättningarna för verksamheten sett ut liksom hur verksamheten har utvecklats och ser ut . Syftet har varit att samla erfarenheter och underlag för våra förslag om varaktiga former för samordnad statlig it-drift. Samverkan, samordning och styrning i staten 4.2.1Utredningar pekar på potentialen med gemensamma servicecenter Ibörjan av kom flera utredningar2 som pekade på möjlig- heten att hitta besparingar för administrativa kostnader i staten. Gemensamma servicecenter lyftes fram som ett sätt att effektivisera och man tittade särskilt på som kommit längst genom att ha etablerat ett servicecenter för ekonomi- och HR-tjäns- ter med obligatorisk anslutning. Flera myndigheter i visade intresse för servicecenterlösningar och några större myndigheter, bl.a. och , inrättade centraliserade verksam- hetsstöd för löne- och ekonomiadministration i sina organisationer. tillsatte regeringen den s.k. Servicecenterutredningen3 som skulle förbereda bildandet av ett myndighetsgemensamt service- center med uppdrag att erbjuda tjänster inom i första hand ekonomi- och personaladministration till statliga myndigheter. Utredningen genomfördes i två steg: först genomfördes en utredning kring förut- sättningarna och därefter gick man in i genomförandet av förslagen. Utredningen lämnade 2011 sitt betänkande Ett myndighetsgemen- samt servicecenter (SOU 2011:38) och presenterade där bl.a. förslag på tjänsteutbud, organisering, anslutning av kundmyndigheter, pris- modell, lönsamhetskalkyl och handlingsplan för införande. Service- centerutredningen bedömde att en successiv anslutning av 25 större myndigheter (motsvarande av antalet statligt anställda) skulle vara tillräcklig för att servicecentret skulle uppnå ekonomisk balans inom och kunna återbetala en räntekontokredit inom ytterligare . Anslutningen av myndigheter skulle i första hand ske på frivillig basis. Myndigheter som inte ville ansluta sig skulle kunna visa att verksamheten kunde bedrivas minst lika effektivt i egen regi eller på annat sätt. 2Se exempelvis 2007 Gemensamma lösningar för effektivare administra- tion, ESV rapport 2007:33, E-delegationens betänkande Strategi för myndigheternas arbete med e-förvaltning (SOU 2009:86) och rapporten after ””, (2010) Value for Money in Government, , . 2010:117 Ett myndighetsgemensamt servicecenter för en effektivare statlig administration. Samverkan, samordning och styrning i staten bildades Statens servicecenter och har enligt sin in- struktion till uppgift att efter överenskommelse med myndigheter under regeringen tillhandahålla administrativa stödtjänster till myn- digheterna. Myndigheten ska ta ut avgifter för sin verksamhet, besluta om avgifternas storlek efter samråd med () enligt avgiftsförordningen och disponera avgiftsinkomsterna i verksamheten. En ändamålsenlig balans mellan kostnadseffektivitet, kvalitet och service ska säkerställas i verksamheten. Myndigheten ska kontinuerligt samverka med de myndigheter som nyttjar myndig- hetens tjänster i syfte att utveckla tjänsternas utformning och inne- håll med avseende på kvalitet och effektivitet. Verksamheten byggde vid starten på verk- samhetsstöd i som inkluderade lönetjänster till Pensions- myndigheten och servicecenter i som inkluderade och Lantmäteriets lönetjänster. Statens servicecenter tog också över ett servicecenter för små myndigheter som var placerat hos Kammarkollegiet. Personal vid dessa kontor gick över till den nybildade myndigheten. Löne- och ekonomitjänsterna hanterades från starten vid kontor i och och i bedrevs löne- och ekonomitjänster mot små myndigheter samt konsultverksamhet inom ekonomiområdet. I myndighetens regleringsbrev satte regeringen, i linje med förslag, mål för anslutningstakten. Statens servicecenter skulle verka för att av staten mätt i antalet anställda var anslutna till myndighetens tjänster vid utgången av 2015. Myndigheten skulle uppnå ekonomisk balans 2019. I regler- ingsbrevet ändrades målet om att ekonomin skulle vara i balans till 2022.