sou · H9B397 · 2021-12-15 00:00:00 — 4.ge en anslutande myndighet tillgång till all information som krävs för att visa att de skyldigheter som fastställs i artikel 28 i EU:s dataskyddsförordning har fullgjorts samt möjliggöra och bidra till granskningar, inbegripet inspektioner, som genomförs av de ansluta myndigheterna eller av en annan revisor som bemyndigats av en an- sluten myndighet, och 5.omedelbart informera en anslutande myndighet om den anser att en instruktion strider mot EU:s dataskyddsförordning eller någon annan tillämplig dataskyddsbestämmelse. 18 § ska den samordnande myndigheten för regeringen redovisa en samlad lägesbeskrivning av hur den sam- ordnade statliga it-driften fortskrider. En leverantörsmyndighet ska på den samordnande myndighetens begäran lämna det underlag som den myndigheten behöver för att fullgöra sin uppgift enligt första stycket. 19 § Leverantörsmyndigheterna ska ta ut avgifter av de myndigheter som anslutit sig till det samordnade statliga tjänsteutbudet. Leveran- törsmyndigheterna ska besluta om avgifternas storlek och disponera avgiftsinkomsterna i verksamheten. Denna förordning träder i kraft . 1.2Förslag till förordning om ändring i förordningen (2007:824) med instruktion Härigenom föreskrivs att 8 a § förordningen (2007:824) med instruk- tion för Kammarkollegiet ska ha följande lydelse. Myndigheten ska ansvara för att upphandla samordnade ramavtal som är avsedda för andra statliga myndigheter. Inom området in- formationsteknik gäller ansvaret den offentliga förvaltningen. I upp- giften ingår att tillhandahålla stödverksamhet för inköp vid avrop från de samordnade ramavtal som myndigheten har upphandlat. Myndigheten ska när det gäller upphandling av samordnade ram- avtal för it-drift som är avsedda för andra statliga myndigheter samverka med den samordnande myndigheten enligt förordningen (2023:000) om samordnad statlig it-drift. Myndigheten ska verka för att bästa möjliga villkor skapas för myndigheternas anskaffning av varor och tjänster. Inom området in- formationsteknik ska myndigheten särskilt beakta förvaltningsgemen- samma standarder samt intresset av innovationer och teknikneutrala lösningar. Förordning (2016:1144). Denna förordning träder i kraft . 1.3Förslag till förordning om ändring i förordningen (2007:975) med instruktion Härigenom föreskrivs i fråga om förordningen (2007:975) med in- struktion för att det ska införas ny paragraf 4 a § av följande lydelse. Myndigheten ska samverka med den samordnade myndigheten en- ligt förordningen (2023:000) om samordnad statlig it-drift avse- ende stöd till statliga myndigheter i frågor som rör behandling av per- Denna förordning träder i kraft . 1.4Förslag till förordning om ändring i förordningen (2007:1266) med instruktion Härigenom föreskrivs i fråga om förordningen (2007:1266) med in- struktion för Försvarsmakten att det ska införas ny paragraf 3 d § av följande lydelse. Myndigheten ska samverka med den samordnande myndigheten en- ligt förordningen (2023:000) om samordnad statlig it-drift i frågor om säkerhet kopplade till den samordnade statliga it-driften. Denna förordning träder i kraft . 1.5Förslag till förordning om ändring i förordningen (2008:1002) med instruktion för Myndigheten för samhällsskydd och beredskap Härigenom föreskrivs i fråga om förordningen (2008:1002) med in- struktion för Myndigheten för samhällsskydd och beredskap att det ska införas ny paragraf 11 c § av följande lydelse. Myndigheten ska samverka med den samordnade myndigheten en- ligt förordningen (2023:000) om samordnad statlig it-drift avseende stöd till statliga myndigheter i frå- gor som rör informationssäkerhet. Denna förordning träder i kraft . 1.6Förslag till förordning om ändring i förordningen (2009:946) med instruktion för Lantmäteriet Härigenom föreskrivs i fråga om förordningen (2009:946) med in- struktion för Lantmäteriet att det ska införas ny paragraf 8 a § av föl- jande lydelse. Myndigheten ska utföra de upp- gifter som framgår av förordningen (2023:000) om samordnad statlig Denna förordning träder i kraft . 1.7Förslag till förordning om ändring i förordningen (2009:1174) med instruktion Härigenom föreskrivs i fråga om förordningen (2009:1174) med in- struktion för att det ska införas ny paragraf 5 b § av följande lydelse. Myndigheten ska utföra de upp- gifter som framgår av förordningen (2023:000) om samordnad statlig Denna förordning träder i kraft . 1.8Förslag till förordning om ändring i förordningen (2010:185) med instruktion för Härigenom föreskrivs i fråga om förordningen (2010:185) med in- struktion för att det ska införas ny paragraf 9 a § av föl- jande lydelse. Myndigheten ska utföra de upp- gifter som framgår av förordningen (2023:000) om samordnad statlig Denna förordning träder i kraft . 1.9Förslag till förordning om ändring i förordningen (2014:1103) med instruktion Härigenom föreskrivs i fråga om förordningen (2014:1103) med in- struktion för Säkerhetspolisen att det ska införas ny paragraf 10 a § av följande lydelse. Myndigheten ska samverka med den samordnade myndigheten en- ligt förordningen (2023:000) om samordnad statlig it-drift avseende stöd till statliga myndigheter i frå- gor som rör säkerhetsskydd. Denna förordning träder i kraft . 1.10Förslag till förordning om ändring i förordningen (2015:527) med instruktion Härigenom föreskrivs i fråga om förordningen (2015:527) med in- struktion för att det ska införas ny para- graf 8 a § av följande lydelse. Myndigheten ska samverka med den samordnade myndigheten en- ligt förordningen (2023:000) om samordnad statlig it-drift avseende stöd till statliga myndigheter i frågor som rör upphandling. Denna förordning träder i kraft . 1.11Förslag till förordning om ändring i förordningen (2017:154) med instruktion för Härigenom föreskrivs i fråga om förordningen (2017:154) med in- struktion för att det ska införas ny paragraf 15 b § av följande lydelse. Myndigheten ska utföra de upp- gifter som framgår av förordningen (2023:000) om samordnad statlig Denna förordning träder i kraft . 1.12Förslag till förordning om ändring i förordningen (2017:868) med länsstyrelseinstruktion Härigenom föreskrivs i fråga om förordningen (2017:868) med läns- styrelseinstruktion att det ska införas ny paragraf 7 a § av följande lydelse. med den samordnade myndigheten enligt förordningen (2023:000) om samordnad statlig it-drift avseende stöd till statliga myndigheter i frågor som rör säkerhetsskydd. Denna förordning träder i kraft . 2Utredningens uppdrag, utgångspunkter och arbete Regeringen beslutade att ge en särskild utre- dare i uppdrag att kartlägga och analysera statliga myndigheters be- hov av säker och kostnadseffektiv it-drift samt hur dessa behov till- godoses (bilaga 1). Utredaren ska också enligt direktiven analysera säkerhetsmässiga och rättsliga förutsättningar för samordnad statlig it-drift och lämna förslag på mer varaktiga former för sådan it-drift om det bedöms lämpligt ur ett säkerhetsperspektiv. Författningsför- slag ska lämnas om så krävs. Syftet med utredningen är att skapa bättre förutsättningar för den offentliga förvaltningen att få tillgång till säker och kostnadseffektiv it-drift genom antingen samordnad statlig it-drift eller tydligare rättsliga förutsättningar för att kunna anlita privata leverantörer av it-drift. Vi presenterade i vårt delbetänkande Säker och kostnadseffektiv it- drift – rättsliga förutsättningar för utkontraktering (SOU 2021:1) analyser och förslag avseende rättsliga förutsättningar att utkontraktera it- drift till privata leverantörer. I delbetänkandet redovisades också en kartläggning av statliga myndigheters it-drift samt en analys av hur man i andra länder hanterar frågan om säker och kostnadseffektiv it- drift. I detta slutbetänkande analyserar vi förutsättningarna för sam- ordnad statlig it-drift. Enligt direktiven ska följande delar ingå: –Utvärdering av regeringsuppdrag om sam- ordnad och säker statlig it-drift. –Analys av andra befintliga exempel på samordnad statlig it-drift. Utredningens uppdrag, utgångspunkter och arbete –Analys av säkerhetsmässiga och rättsliga förutsättningar för sam- ordnad statlig it-drift. –Förslag på varaktiga former för samordnad statlig it-drift. –Samhällsekonomisk analys och konsekvensutredning av förslagen. Kartläggningen av statliga myndigheters it-drift, omvärldsanalysen och de rättsliga analyserna som redovisades i delbetänkandet ingår som underlag för våra analyser och förslag om samordnad statlig it- drift. Genom tilläggsdirektiv (bilaga 2) förlängdes utred- ningstiden, där uppdraget att föreslå mer varaktiga former för samord- nad statlig it-drift ska redovisas . fattade regeringen beslut om tilläggsdirektiv (bilaga 3) med nytt datum för redovisning . 2.2Utgångspunkter för vårt arbete Flera faktorer påverkar myndigheters förutsättningar att välja säkra och kostnadseffektiva it-driftslösningar En viktig utgångspunkt för vårt arbete har varit vilka problem som finns inom it-driftsområdet och hur en samordnad statlig it-drift skulle kunna bidra till att lösa problemen. Problembilden, som kan utläsas av våra direktiv men också av vår kartläggning av statliga myndigheters it-drift, kan i korthet samman- fattas enligt följande: –Myndigheternas befintliga it-driftslösningar är inte alltid tillräck- ligt säkra eller kostnadseffektiva. –Myndigheterna upplever att det är oklart vilka it-driftslösningar som är lämpliga och vilka alternativ som finns att tillgå. –Brister i myndigheternas informationssäkerhetsarbete påverkar förutsättningarna för myndigheterna att välja rätt lösningar för sin it-drift. –Kompetensbrist inom it, säkerhet och juridik är en riskfaktor för säker it-drift, beställarkompetens lyfts fram som ett särskilt problem. Utredningens uppdrag, utgångspunkter och arbete –Höga krav på säkerhet och inlåsningseffekter utgör hinder för kost- nadseffektiv it-drift – kravställning och kompetens lyfts särskilt fram. Slutsatsen är att det behövs bättre förutsättningar för förvaltningen att få tillgång till säker och kostnadseffektiv it-drift. Det kan ske på olika sätt, bl.a. genom tydligare rättsliga förutsättningar, vägledning och stöd men också genom varaktiga former för en samordnad stat- lig it-drift. Varje myndighet ansvarar för att säkerställa en säker och kostnadseffektiv it-drift men kan behöva stöd i att göra medvetna val En grundläggande utgångspunkt för organiseringen av den svenska statsförvaltningen är att statliga myndigheter är fristående och an- svarar för sin egen verksamhet. Det innebär bl.a. ett ansvar för att de lagar och regler som gäller för verksamheten följs. Av myndighets- förordningen framgår att det ytterst är myndighetens ledning som ansvarar inför regeringen för verksamheten och bl.a. ska se till att den bedrivs enligt gällande rätt och de förpliktelser som följer av medlemskap i unionen (3 §). Det ansvar som en myndighet har för sin egen verksamhet kan inte överlåtas. Det är alltid myndigheten som i slutändan behöver göra sina egna bedömningar av hur den egna verksamheten kan be- drivas på ett sätt som följer de lagar och regler som gäller för verk- samheten. Detsamma gäller i frågor om it-drift. Varje myndighet ansvarar för att säkerställa säkra och kostnadseffektiva lösningar för sin it-drift. En viktig förutsättning för att kunna göra detta är att bedriva ett systematiskt informationssäkerhetsarbete. Våra analyser visar att myndigheterna kan behöva stöd i detta arbete liksom i att ta ställning till andra strategiska frågeställningar och vägval när det gäller it-drift. Utredningens uppdrag, utgångspunkter och arbete Samordnad it-drift är ett av flera driftsalternativ I vår kartläggning av statliga myndigheters it-drift konstaterar vi att många myndigheter har en blandning av egen drift, utkontraktering till privata leverantörer eller samordning med annan statlig myndig- het för att möta sina behov. Våra fallstudier visar att flera faktorer påverkar myndigheternas val av driftsform. Det handlar om myndig- hetens uppfattning om vilka krav som ställs på uppgiftshanteringen, om man har kompetens att själv hantera driften av en viss funktion, marknadens utbud och villkor och om det finns kostnadsmässiga fördelar med ett driftsalternativ framför ett annat. Myndigheter kommer även att ha behov av olika drifts- alternativ. Detta för att kunna säkerställa säkra och kostnadseffek- tiva lösningar för olika delar av verksamheten. Att samordna it-drif- ten med en annan myndighet utgör ett driftsalternativ vid sidan av utkontraktering till privata leverantörer och egen drift. De it-drifts- val myndigheterna gör ska utgå från myndighetens verksamhet, vilka uppgifter som hanteras i verksamheten och vilka krav detta ställer på säkerhet och kostnadseffektivitet. En samordnad statlig it-drift bör ge stöd i valet av it-driftslösningar och bidra till att lösa gemensamma behov Våra kartläggningar och analyser visar att många myndigheter har behov av stöd i valet av säkra och kostnadseffektiva it-driftslösningar. Det handlar framför allt om stöd i det systematiska informations- säkerhetsarbetet, avvägningar utifrån gällande lagkrav men också krav- ställning och beställarkompetens. I synnerhet små myndigheter ut- trycker att de har sådana behov, men även större myndigheter har behov av stöd. En utgångspunkt för våra förslag är därför att en samordnad stat- lig it-drift bör kunna ge stöd i myndigheters val av säkra och kostnads- effektiva it-driftslösningar och bidra till att lösa gemensamma behov. Utredningens uppdrag, utgångspunkter och arbete I vårt delbetänkande definierade vi ett antal centrala begrepp i upp- draget, däribland säker och kostnadseffektiv. Definitionerna av säker och kostnadseffektiv är aktuella även i detta betänkande liksom be- greppen samordnad statlig it-drift och ett samordnat statligt tjänste- utbud. Begreppet säker i relation till it-drift kan avse olika nivåer i samhället –från säkerhet för enskilda personer, verksamheter eller sektorer, till säkerhet för . Beroende på verksamhet och vilka uppgifter som hanteras i verksamheten ställs olika krav på säkerhet. Varje aktör ansvarar för att klargöra vilka krav på säkerhet deras verksamhet och uppgifter omfattas av. måste definitionen av säker omfatta även ett bredare samhällsperspektiv, dvs. hela den offentliga förvalt- ningen. Utifrån detta resonemang behöver begreppet säker definieras både på aktörs- och samhällsnivå. På samhällsnivå bör begreppet rela- teras till olika hotbilder i samhället. Med säker på aktörsnivå avses att en offentlig aktörs it-drift lever upp till för verksamheten tillämpliga rättsliga och säkerhetsmässiga krav, exempelvis krav på säkerhetsskydd och informationssäkerhet samt sekretess och skydd för den personliga integriteten. I begreppet ingår även förmåga att kontinuerligt bedriva ett systematiskt och riskbaserat informationssäkerhetsarbete som omhändertar föränd- rade krav och risker. Detta innebär att säkerhet för en aktör ska be- dömas utifrån de olika förutsättningar i samhället under vilka aktören ska verka enligt sitt uppdrag. Säkerhet kan därför inte endast be- dömas utifrån informationsklass eller tillgänglighet i normalläget utan även vid samhällskriser eller höjd beredskap. Med säker på samhällsnivå avses att it-driften i den offentliga för- valtningen som helhet är organiserad på ett sådant sätt att den kan stå emot olika störningar och hotnivåer i samhället. I detta samman- hang är begreppet robusthet nära kopplat till säker, dvs. en förmåga att stå emot störningar till följd av såväl yttre som inre påverkan. Det handlar här inte bara om tillgänglighetsaspekten utan även om exem- pelvis störningar orsakade av att information blir obehörigt föränd- rad och inte kan användas på avsett sätt. En robust och säker it- Utredningens uppdrag, utgångspunkter och arbete driftslösning på samhällsnivå tar hänsyn till olika typer av risker, exempelvis vad gäller koncentration av data eller störningar i andra infrastrukturer såsom elektroniska kommunikationer som tillgången till it-driftslösningen är beroende av. En robust och säker it-drifts- lösning tar också hänsyn till olika former av naturhändelser, skade- görelse och inbrott samt beroende på skyddsvärdet även antagonis- tiska angrepp och förhållanden som råder under höjd beredskap och krig. Detta blir särskilt relevant när det gäller lösningar för en sam- ordnad statlig it-drift. Om säkerheten hos enskilda aktörer är låg kan en samordnad lösning bidra till att höja säkerheten både för den en- skilda aktören och för en större del av samhället som helhet. Det har även betydelse ur ett totalförsvarsperspektiv. Kostnadseffektivitet avser förhållandet mellan de resurser som an- vänds och hur väl ett mål eller förväntat resultat uppnås. Offentliga aktörer ska inte använda mer resurser än vad som är nödvändigt för att uppnå de krav som ställs på verksamheten. När det gäller it-drift kan kostnadseffektiviteten påverkas av flera faktorer, som t.ex. dimen- sioneringen av it-drift, val av it-driftslösning (egen regi, utkontrak- tering eller samordnad it-drift), utbudet av tjänster och leverantörer, tjänsternas utformning (exempelvis skalbarhet) och avtalsrelaterade frågor. Leverantörsberoenden och andra inlåsningseffekter kan på- verka kostnadseffektiviteten negativt. Långsiktiga avtal med en leve- rantör som har stora kunskaper om verksamheten kan å andra sidan vara en kostnadseffektiv lösning. Utifrån utredningens uppdrag om säker och kostnadseffektiv it- drift måste kostnadseffektiviteten också ställas i relation till säker- hetsaspekterna. Behovet av säkerhet varierar mellan aktörer, inom och mellan verk- samheter samt beroende på vilka uppgifter som hanteras. Varje aktör måste utifrån de krav som ställs på verksamheten göra en riskanalys och utifrån den avgöra vilken säkerhet som krävs och hitta kostnads- effektiva lösningar för it-driften. Å ena sidan kan en alltför hög säker- hetsnivå i förhållande till de krav som ställs ge för höga kostnader. Åandra sidan kan en för låg säkerhet, utöver rent säkerhetsmässiga konsekvenser, ge ökade kostnader i form av minskat förtroende för Utredningens uppdrag, utgångspunkter och arbete verksamheten och de tjänster som erbjuds. För att hitta rätt balans mellan säkerhet och kostnad kan begreppet ändamålsenlig användas. En ändamålsenlig lösning för it-drift innebär att den uppfyller de krav på funktion och säkerhet som ställs i olika delar av verksamheten till lägsta möjliga kostnad. Kostnadseffektivitet bör i likhet med säker- het analyseras både på aktörsnivå och på samhällsnivå. En it-drifts- lösning som är kostnadseffektiv för en enskild aktör behöver inte vara det för en annan. På samhällsnivå kan en samordnad it-drifts- lösning vara kostnadseffektiv och ändamålsenlig om den anpassas till gemensamma behov och krav på säkerhet. Enligt utredningsdirektiven innebär samordnad statlig it-drift ”att en myndighet får i uppdrag att helt eller delvis hantera it-drift åt en annan myndighet.” I direktiven poängteras att en myndighet alltid är ytterst ansvarig för att den information som lämnas ut får ett effek- tivt och ändamålsenligt skydd och i övrigt hanteras i enlighet med gällande rätt. Som vi redan nämnt är en utgångspunkt för våra förslag att en samordnad statlig it-drift både ska kunna ge stöd i myndigheters val av säkra och kostnadseffektiva it-driftslösningar och bidra till att lösa gemensamma behov. Den samordnade statliga it-driften ska därmed omfatta både det stöd som ges till myndigheter vid valet av it-drifts- lösningar och tillhandahållande av ett samordnat statligt tjänsteutbud. Ett samordnat statligt tjänsteutbud Tillhandahållande av ett samordnat statligt tjänsteutbud är en del av den samordnade statliga it-driften. I delbetänkandet definierade vi it-drift som en aktivitet snarare än en tjänst, dvs. aktiviteten att underhålla och hantera hårdvara och mjukvara. Aktiviteten kan i sin tur paketeras som en tjänst och till- handahållas inom en verksamhet i samband med utkontraktering eller genom samordning inom staten. Som utgångspunkt i vårt arbete med slutbetänkandet har vi tagit fram en karta över paketerade tjänster som skulle kunna ingå i ett samordnat statligt tjänsteutbud. Tjänste- kartan har bl.a. använts för att fånga vilka tjänster myndigheterna är Utredningens uppdrag, utgångspunkter och arbete intresserade av att utkontraktera till en samordnad statlig it-drift och i vår rättsliga analys av vilka tjänster som ryms inom begreppet ”en- bart teknisk bearbetning och teknisk lagring för annans räkning”. Vi beskriver tjänstekartan i sin helhet i kapitel 5. offentliga debatten likställs ofta samordnad statlig it-drift med en statlig molntjänst. Som vi beskrivit i delbetänkandet definie- ras en molntjänst som en tjänst som möjliggör tillgång till en skalbar och elastisk pool av delbara dataresurser. Tjänsten kan i sin tur ges i olika leveransformer där tillgång till datormolnets resurser är be- gränsad på olika nivåer, från helt publik till helt privat. Däremellan kan ett partnermoln erbjudas där tjänsten levereras till flera organi- sationer och användare men där antalet är begränsat och specificerat. Tjänsten kan ägas och administreras av en eller flera ingående organi- sationer eller av en extern part. En statlig molntjänst skulle utifrån denna definition ses som en skalbar, elastisk pool som delas mellan organisationer inom statsförvaltningen. Molntjänsten skulle kunna ägas och administreras av en eller flera av dessa myndigheter eller av en extern part, t.ex. ett privat företag. I slutbetänkandet ser vi att statliga molntjänster ingår som en del av den totala leveransen av ett samordnat statligt tjänsteutbud. I det samordnade statliga tjänste- utbudet skulle med andra ord tjänster som inte likställs med moln- tjänster kunna ingå. Arbetet med slutbetänkandet har omfattat flera frågor och avväg- ningar som ställt krav på dialog och samverkan med olika aktörer. I detta avsnitt redovisar vi våra avgränsningar, metoder och arbets- sätt samt möten, dialog och samverkan i olika delar av utrednings- arbetet. Vår utredning om samordnad statlig it-drift omfattar enligt våra direk- tiv endast statliga myndigheter. Vi har hållit fast vid denna avgräns- ning även om vi förstått att det kan finnas ett intresse även från kom- muner och regioner av en samordnad statlig it-drift. Utredningens uppdrag, utgångspunkter och arbete Enligt våra direktiv ska vi ta hänsyn till eventuella risker utifrån geografisk placering och fysiskt skydd av datorhallar. Vi har valt att avgränsa bort denna del i betänkandet eftersom vi bedömer att in- formationen är känslig. I vårt arbete har vi också fått information om ett pågående samverkansinitiativ om säkra it-utrymmen – Pro- gram 2032 – som vi beskriver kort i avsnitt 7.4.2. Vi har valt att inte gå närmare in på detta initiativ av samma skäl som ovan och eftersom vivet för lite om behovsbilden. Dessutom avser Program 2032 lång- siktiga investeringar som kräver fördjupade analyser. Här redovisar vi i korthet metoder och arbetssätt för de analyser som ingår i slutbetänkandet. Kartläggning och analys av behovet av samordnad statlig it-drift har genomförts genom en fördjupad analys av den enkät som skicka- des ut till 200 statliga myndigheter , en kompletterande enkät som gick ut till de 124 myndigheter som angett att de är eller eventuellt är intresserade av samordnad statlig it-drift samt en digital workshop med 15 myndigheter. Vi har fördjupat oss i hur intresset för en samordnad statlig it-drift ser ut inom statsförvalt- ningen och vilka tjänster myndigheterna är intresserade av. Vi har även fördjupat oss ytterligare i vilka förutsättningar myndigheterna har för att göra rätt val och vilket stöd de behöver. Utvärderingen av har genomförts genom inter- vjuer med företrädare för olika delar av , represen- tanter från nio kundmyndigheter, samt de sam- verkansmyndigheter som omnämns i direktiven för regeringsuppdrag.