sou · H9B397 · 2021-12-15 00:00:00 — Utredningens bedömning: Formerna för den samordnade stat- liga it-driften bör regleras samlat i en särskild författning. Utredningens förslag: Den samordnade statliga it-driften ska regleras genom en förordning om samordnad statlig it-drift. De myndighetsuppdrag som föranleds av den samordnade statliga it- driften ska framgå av förordningen. Berörda myndigheters instruk- tioner ska kompletteras med hänvisningar till förordningen. Enligt våra direktiv ska vi lämna förslag på varaktiga former för sam- ordnad statlig it-drift. För att varaktiga former för samordnad statlig it-drift ska kunna förverkligas är det nödvändigt med någon form av formell styrning. Behovet av formell styrning beror alltså inte endast på de krav som den förvaltningsrättsliga legalitetsprincipen ställer. I detta avsnitt redogör vi för våra överväganden när det gäller frå- gan hur den samordnade statliga it-driften bör regleras. Uppdrag genom regeringsbeslut eller regleringsbrev Som vi bedömer saken utgör den förvaltningsrättsliga legalitetsprin- cipen inget hinder mot att åstadkomma en styrning av en samordnad statlig it-drift genom att i regeringsbeslut eller i regleringsbrev ge vissa av myndigheterna i uppdrag att samordna sin it-drift på ett visst sätt. Det bör återigen framhållas att vi har i uppdrag att lämna förslag på varaktiga former för samordnad statlig it-drift. En styrning genom regeringsbeslut eller regleringsbrev brukar avse tidsbegränsade upp- drag. Kravet på varaktighet medför att det framstår som mindre lämp- ligt att föreslå en reglering genom regeringsbeslut eller reglerings- brev. Vi lämnar därför inte något sådant förslag. Utgångspunkter och principer för varaktiga former för samordnad statlig it-drift En förordning om samordnad statlig it-drift För att fullt ut uppnå de nyttor som kan vinnas genom att staten sam- ordnar sin it-drift är det viktigt att det sker på ett samlat och genom- tänkt sätt. Utredningen bedömer därför att det finns ett behov av att samordna den samverkan som sker och styra samordningen på ett samlat sätt. För att åstadkomma en samlad bild av den samordnade statliga it-driften med den tydlighet som krävs är det nödvändigt att formerna för it-driften regleras i en särskild författning. Det finns inte några konstitutionella skäl eller andra skäl för att dessa regler ska lagfästas. En förordning är således tillräckligt. Förordningen bör innehålla grundläggande bestämmelser om roller och ansvar inom den organisation för samordnad statlig it-drift som Regelverket bör ge en samlad bild, och därför är det nöd- vändigt att reglera de involverade myndigheternas uppgifter i för- ordningen. Myndigheternas instruktioner bör kompletteras med en hänvisning till förordningen. Det är vår bedömning att en alltför detaljerad förordningsreglering bör undvikas. Det gäller särskilt hur de involverade myndigheterna ska samverka med varandra. Det är bättre att myndigheterna själva får utveckla de former och rutiner för samarbete som är nödvändiga för att den samordnade statliga it- driften ska fungera. Inget hindrar emellertid att vi i betänkandet ut- vecklar vår syn på hur dessa frågor kan hanteras, vilket vi gör i våra förslag i detta kapitel och i kapitel 11. 10.4Tjänsteutbud inom den samordnade statliga it-driften I detta avsnitt redovisar vi de överväganden vi gjort när det gäller det tjänsteutbud som ska erbjudas inom ramen för en samordnad statlig it-drift. En central utgångspunkt för våra förslag är att privata leveran- törers tjänster är en viktig del av den lösning som vi föreslår. I detta avsnitt redogör vi därför för hur privata leverantörers tjänster kan vara en del av en samordnad statlig it-drift och ett samordnat statligt tjänsteutbud. Vi redogör också för vilka principer som bör gälla för vilka tjäns- ter som ska erbjudas inom det samordnade statliga tjänsteutbudet. Utgångspunkter och principer för varaktiga former för samordnad statlig it-drift Våra överväganden rör även hur behov av nya tjänster inom it-drift ska tillgodoses. Vi tar därutöver ställning till frågan om förordningens tillämp- ningsområde bör begränsas till uppgifter som avser endast teknisk lagring eller teknisk bearbetning i den mening som avses i 2 kap. 13 § andra stycket TF. 10.4.1Tjänsteutbudet ska bygga på tjänster som levereras av privata leverantörer och av myndigheter Utredningens bedömning: Myndigheter bör dra nytta av privata leverantörers tjänster eftersom dessa tjänster kan bidra till säker- het och förutsättningar för innovation. är det inte alltid lämpligt eller möjligt för en myndighet att utkontraktera it-drift till en privat leverantör. Därför bör det även finnas ett samordnat statligt tjänsteutbud, som består av tjänster som levereras av en annan myndighet. Det ska i sammanhanget framhållas att även tjänster som ingår i ett samordnat statligt tjänsteutbud i någon utsträckning kommer att bygga på privata leverantörers tjänster. Utredningens förslag: Tjänsteutbudet inom samordnad statlig it-drift ska bestå dels av tjänster som levereras av privata leveran- törer, dels av ett samordnat statligt tjänsteutbud. Den samordnade statliga it-driften ska stödja myndigheterna i arbe- tet med att välja säkra och kostnadseffektiva lösningar för it-drift antingen i egen regi, samordnad statlig regi eller genom utkontrak- tering till en privat leverantör. Vi erfar att det finns mycket att vinna för myndigheter i att använda privata leverantörers tjänster för it-drift, inte minst ur ett innovations- och utvecklingsperspektiv. är det inte alltid lämpligt eller möjligt för en myndighet att utkontraktera hela eller delar av sin it-drift till en privat leveran- tör. Det bör då finnas en möjlighet att erhålla it-driftstjänster från en annan myndighet, om detta utgör en lämplig lösning. Det ska i sammanhanget framhållas att även tjänster som ingår i ett samordnat statligt tjänsteutbud i någon utsträckning kommer att bygga på pri- vata leverantörers tjänster. Utgångspunkter och principer för varaktiga former för samordnad statlig it-drift Vi föreslår mot denna bakgrund att tjänsteutbudet inom samord- nad statlig it-drift ska bestå dels av tjänster som levereras av privata leverantörer, dels av ett samordnat statligt tjänsteutbud bestående av tjänster som levereras av myndigheter. Privata leverantörers tjänster kommer att ingå även i det samord- nade statliga tjänsteutbudet genom att tjänsterna som erbjuds av myn- digheter inom ett samordnad statligt tjänsteutbud i vissa fall bygger på licenser eller tjänster som köps in från privata leverantörer. 10.4.2Tjänster från privata leverantörer ska som utgångspunkt upphandlas samordnat Utredningens bedömning: Privata leverantörers tjänster bör ut- göra en central del av en samordnad statlig it-drift. Den samord- nade statliga it-driften bör innehålla mekanismer för att myndig- heter ska kunna tillgodogöra sig privata leverantörers tjänster. Någon marknadsplats bör inte inrättas men stöd att använda sig av befintliga initiativ av typen marknadsplats, exem- pelvis Gaia-X, bör lämnas inom ramen för en samordnad statlig it-drift. Utredningens förslag: Privata leverantörers tjänster ska upp- handlas samordnat. Vi ska enligt våra direktiv analysera om och föreslå hur privata leve- rantörer kan användas vid tillhandahållande av samordnad it-drift. Som vi beskriver i föregående avsnitt kommer privata leverantörers tjänster ingå som en del i det samordnade statliga tjänsteutbudet. Det finns anledning att överväga hur privata leverantörers tjänster utöver detta kan utgöra en del av tjänsteutbudet inom samordnad statlig it- drift. En utgångspunkt för våra förslag är att it-driftstjänster som till- handahålls av en annan myndighet ska vara ett alternativ i första hand när det utifrån aspekter som säkerhet eller kostnadseffektivitet inte är lämpligt att it-drift utkontrakteras till en privat leverantör. Privata leverantörers tjänster kommer därför enligt vår mening fylla en fort- satt viktig roll i förhållande till myndigheters it-driftslösningar. Utgångspunkter och principer för varaktiga former för samordnad statlig it-drift Vi har erfarit att upphandling av it-driftstjänster är ett område som uppfattas som svårt. Det ställer höga krav på olika typer av kompetenser, inte minst för att ställa rätt krav i en upphandling. En viktig utgångspunkt är att myndigheten har god inblick i vilken informationshantering som är föremål för den tjänst som är tänkt att upphandlas, för att det ska finnas förutsättningar för att ställa rätt krav i upphandlingen. Vi anser att det finns anledning att samordna upphandling av tjänster inom it-drift i större utsträckning än vad som sker . Vi föreslår därför att privata leverantörers tjänster inom it-drift som utgångspunkt ska upphandlas samordnat. När det gäller privata leverantörers tjänster som ingår som en del av de tjänster som kommer att erbjudas inom ramen för ett sam- ordnat statligt tjänsteutbud så gäller enligt förordningen (1998:796) om statlig inköpssamordning att dessa tjänster som ut- gångspunkt ska upphandlas samordnat eller avropas från ett befintligt ramavtal. Ett sätt att främja användningen av privata leverantörers it-drifts- tjänster är att inrätta en marknadsplats för sådana tjänster. Av om- världsanalysen som vi presenterade i delbetänkandet framgår att sådana initiativ tagits i två av de länder som ingick i omvärldsanalysen – och . Att tillgängliga tjänster presenteras på ett samlat vis kan under- lätta för myndigheter att hitta relevanta tjänster. Vi bedömer dock att detta underlättar marginellt för myndigheterna eftersom utma- ningar kopplade till kravställning och upphandling inte avhjälps av en marknadsplats. En marknadsplats har inte heller någon påverkan på grundproblematiken med myndigheters bristande informations- säkerhetsarbete. Mot denna bakgrund föreslår vi inte ett inrättande av en mark- nadsplats för it-driftstjänster. Vi anser dock att det är viktigt att dra nytta av befintliga initiativ, såsom Gaia-X. Utgångspunkter och principer för varaktiga former för samordnad statlig it-drift 10.4.3Ett samordnat statligt tjänsteutbud ska utgå från samlade behov och befintlig förmåga Utredningens bedömning: Behovet av samordnade it-driftstjäns- ter varierar inom statsförvaltningen. Vilka tjänster som ska ingå i det samordnade statliga tjänsteutbudet bör därför inte avgränsas i det här skedet. De tjänster som erbjuds bör paketeras och standardiseras för att underlätta för myndigheternas anslutning. Utredningens förslag: De tjänster som ska ingå i det samordnade statliga tjänsteutbudet ska fastställas genom att matcha myndig- heternas efterfrågan mot de tjänster som de myndigheter som ska tillhandahålla it-drift har förmåga att leverera. En viktig faktor som vi enligt våra direktiv ska ta hänsyn till när vi överväger vilka tjänster som ska ingå i det samordnade statliga tjänste- utbudet är hur behovet ser ut inom statsförvaltningen. är det viktigt att behovet vägs mot de förutsättningar som finns hos de myndigheter som ska tillhandahålla it-drift. Av vår kartläggning framgår att behovet av tjänster inom ett sam- ordnat statligt tjänsteutbud varierar inom statsförvaltningen. Vissa myndigheter efterfrågar ett helhetsåtagande medan andra myndig- heter ser ett samordnat statligt tjänsteutbud som ett komplement till drift i egen regi eller utkontraktering till en privat leverantör. Bland de myndigheter som ser ett samordnat statligt tjänsteutbud som ett komplement till övriga driftsformer så sprider sig intresset för tjäns- ter från enstaka infrastrukturtjänster till drift av specifika applikationer. En annan aspekt som är viktig att ta hänsyn till är vilka förutsätt- ningar de myndigheter som ska tillhandahålla tjänster inom ett sam- ordnat statligt tjänsteutbud behöver för att kunna leverera. Enligt vår bedömning finns det en risk att bristen på reglering av vilka tjänster som ska tillhandahållas kan leda till svårigheter för de myndigheter som ska tillhandahålla tjänsterna att planera sin verksamhet. Detta framgår t.ex. av våra dialoger med myndigheter som erbjuder tjänster till andra myndigheter, inte minst Statens servicecenters er- farenheter av att tillhandahålla administrativa stödtjänster till myn- digheter. Ett sätt att underlätta planeringen för de myndigheter som ska leverera it-driftstjänster inom ramen för det samordnade statliga Utgångspunkter och principer för varaktiga former för samordnad statlig it-drift tjänsteutbudet är att i förordningen som vi föreslår ange vilka tjäns- ter som ska levereras till myndigheter som är anslutna till ett sam- ordnat statligt tjänsteutbud. För Statens servicecenter finns en sådan lösning. I bilaga 1 till förordning (2015:665) om statliga myndigheters användning av Statens servicecenters tjänster anges vilka myndigheter som till ett visst datum ska ha anslutit sig till Statens servicecenters lönerelaterade tjänster. I bilaga 2 anges vilka myndigheter som senast ett visst datum ska ha anslutit sig till Statens servicecenters tjänster för elektronisk beställnings- och fakturahantering. Inom ramen för det samordnade statliga tjänsteutbudet finns det behov av en större bredd av olika tjänster jämfört med de tjänster som Statens servicecenter tillhandahåller. Att i en bilaga till förordningen om samordnad statlig it-drift ange alla de tjänster som ska levereras inom ramen för ett samordnat statligt tjänsteutbud skulle medföra en tungrodd detaljreglering. En annan betydande nackdel är att det skulle krävas en förordningsändring varje gång någon tjänst byts ut eller ändras. Ett sätt att avgränsa tjänsteutbudet skulle kunna vara att utgå från de tjänster där efterfrågan är störst. Av enkäten framgår att mer- parten av de myndigheter som angett att de är intresserade av att ansluta sig till ett samordnat statligt tjänsteutbud är intresserade av någon typ av infrastrukturtjänst. En annan naturlig avgränsning skulle kunna vara att till en början erbjuda de tjänster som är lättare att standardisera, vilket troligtvis är tjänster i de lägre delarna av tjänste- kartan (se avsnitt 5.1.1) t.ex. infrastrukturtjänster. Detta skulle tala för att avgränsa tjänsteutbudet till denna typ av tjänster. vet vi att en komplex driftsmodell med flera olika leverantörer kan vara utmanande för de myndigheter som saknar relevant kompetens. Av våra analyser framgår vidare att många av de myndigheter som är i störst behov av stöd ofta efterfrågar ett så kallat helhetsåtagande. Ytterligare ett sätt att avgränsa tjänsteutbudet är att utgå från befintliga myndigheters förmåga att leverera it-drift till andra myn- digheter och hur denna förmåga korresponderar med den efterfrågan som finns bland myndigheter. Det kan då falla sig naturligt att till en början omfatta vissa tjänster, för att kompletteras med ytter- ligare tjänster om behovet bedöms som tillräckligt stort. Ett sätt att underlätta för de myndigheter som ska tillhandahålla it-drift är att ge rätt finansiella förutsättningar för att kunna för- Utgångspunkter och principer för varaktiga former för samordnad statlig it-drift bereda t.ex. sammanställning och standardisering av tjänster. Vi åter- kommer till detta under avsnitt 10.7. Sammantaget bedömer vi att det inte är lämpligt att i det här skedet avgränsa vilket tjänsteutbud som ska ingå i det samordnade statliga tjänsteutbudet. Utifrån vår kartläggning av myndigheternas behov bedömer vi att tjänsteutbudet från början behöver var brett. En viktig utgångspunkt i våra förslag är att tjänsteutbudet ska utgå från befintliga myndigheters förmåga att leverera tjänster till andra myndigheter. Det är viktigt att de tjänster som till- handhålls inom ramen för det samordnade statliga tjänsteutbudet paketeras för att de myndigheter som är intresserade av att ansluta sig ska kunna bilda sig en uppfattning om vilka tjänster som erbjuds och till vilket pris. Paketeringen behöver anpassas för externt bruk, likt det arbete har påbörjat inom sitt uppdrag att erbjuda samordnad och säker statlig it-drift. Även implementeringen av ett ramverk likt TBM () skapar enligt vår uppfattning bättre förutsättningar för anslutande myndig- heter att få överblick över vilka tjänster som erbjuds. Vilka tjänster som blir aktuella att tillhandahålla i det samordnade statliga tjänsteutbudet ska utgå från en analys av hur behovet ser ut hos de myndigheter som vill ansluta sig och hur det korresponderar med den förmåga som finns hos de myndigheter som kan komma att leverera tjänsterna. och löpande kommer myndigheterna som tillhandahåller it-drift även behöva se över på vilket sätt tjänsteutbudet kan standar- diseras dels genom den leverans som ges av de myndigheter som tillhandahåller it-drift, dels genom standardisering av det totala sam- ordnade statliga tjänsteutbudet för att möjliggöra så kostnadseffek- tiva lösningar som möjligt. Det kan t.ex. bli aktuellt för de myndig- heter som tillhandahåller det samordnade statliga tjänsteutbudet att inledningsvis tillhandahålla tjänster där en standardisering är lättare att genomföra och där konsekvenserna för de myndigheter som an- sluter sig blir mindre. kan även det totala samordnade statliga tjänsteutbudet standardiseras genom att myndigheterna kommer öve- rens om vilka tjänster som ska tillhandahållas av respektive myndighet. Utgångspunkter och principer för varaktiga former för samordnad statlig it-drift 10.4.4Behov av nya tjänster bör i första hand tillgodoses genom samordnad upphandling av privata leverantörers tjänster Utredningens bedömning: Behov av nya tjänster inom samord- nad statlig it-drift bör i första hand tillgodoses genom att tjäns- terna upphandlas samordnat från privata leverantörer. Om det inte är lämpligt att efterfrågade tjänster tillhandahålls av en privat leverantör eller om en efterfrågad tjänst inte erbjuds på markna- den så bör en myndighet ges i uppdrag att utveckla den efterfrå- gade tjänsten. Samordnad upphandling eller utveckling inom ramen för det samordnade statliga tjänsteutbudet bör endast bli aktuellt när en tjänst efterfrågas av flera myndigheter. En principiell fråga är hur behov av tjänster som inte ingår i det sam- ordnade statliga tjänsteutbudet ska tillgodoses. Det gäller i synner- het när de tjänster som efterfrågas inte ryms inom befintlig förmåga hos de myndigheter som kan komma ifråga att erbjuda tjänster inom ett samordnat statligt tjänsteutbud. Behovet kan då tillgodoses an- tingen genom upphandling av privata leverantörers tjänster eller genom utveckling av det samordnade statliga tjänsteutbudet. Om det senare alternativet väljs uppstår frågan hur åtgärderna ska finansieras. Vi befarar att det finns en risk för konkurrensrättsliga komplikationer, i synnerhet vid egen utveckling som finansieras med anslagsmedel. Det är dessutom en allmän förvaltningspolitisk inriktning att kon- kurrensutsättning ska ske om det är lämpligt. Vi är mot denna bak- grund av uppfattningen att behov av nya tjänster inom it-drift i första hand ska tillgodoses genom att tjänsterna upphandlas från privata leverantörer. Ett syfte med den samordnade statliga it-driften är att myndig- heter ska erbjudas ett standardiserat utbud av tjänster som tillhanda- hålls av leverantörsmyndigheter och privata leverantörer. Tjänsteut- budet ska bygga på samlade behov. Med samlade behov, i motsats till enskilda behov, avses flera myndigheters behov. Upphandlingen bör därför enligt vår mening ske samordnat, dvs. genom att en aktör med uppdrag att genomföra samordnade upphandlingar av ramavtal till- godoser flera myndigheters behov. Det kan dock inte uteslutas att det kommer uppstå situationer där det inte är lämpligt eller möjligt att upphandla de efterfrågade Utgångspunkter och principer för varaktiga former för samordnad statlig it-drift tjänsterna på den privata marknaden, på grund av att tjänsterna inte erbjuds på marknaden eller att tjänster som erbjuds inte lever upp till krav som ställs på statliga myndigheters hantering av it-drift. Om den efterfrågade tjänsten inte erbjuds av privata leverantörer, eller om det exempelvis av säkerhetsmässiga skäl inte är lämpligt att en privat leverantör tillhandahåller den efterfrågade tjänsten, så kan en myn- dighet ges i uppdrag att utveckla tjänsten. Om finansieringen av ut- vecklingen ska ske genom anslag så behöver frågan om anslagen kan utgöra ett otillåtet statsstöd utredas, se vidare avsnitt 11.9. Behov hos flera myndigheter som inte kan tillgodoses genom befint- liga tjänster inom det samordnade statliga tjänsteutbudet behöver utredas och analyseras. Vid analysen av hur myndigheternas behov ska tillgodoses är det viktigt att utreda på vilket sätt privata leveran- törer kan nyttjas. Det behöver även analyseras i vilken utsträckning t.ex. stöd till myndigheter för att värdera hur privata leverantörer lever upp till myndigheternas olika krav kan lösa de utmaningar och problem som myndigheten måste hantera. Om det skulle framgå att det finns ett gemensamt behov hos tillräckligt många myndigheter kan det finnas skäl att i första hand utreda möjligheten till en sam- ordnad upphandling av den efterfrågade tjänsten. Om det inte är möjligt eller lämpligt att nyttja tjänster från pri- vata leverantörer behöver det undersökas om myndigheter som leve- rerar tjänster inom ett samordnat statligt tjänsteutbud kan utveckla en sådan tjänst. Det behöver även utredas om det är lämpligt utifrån ett kostnadseffektivitets- och säkerhetsperspektiv att en myndighet som levererar tjänster inom ett samordnat statligt tjänsteutbud ut- vecklar tjänsten. 10.4.5Teknisk lagring och teknisk bearbetning Utredningens bedömning: Förordningens tillämpningsområde bör inte begränsas till att avse endast teknisk lagring eller teknisk bearbetning för annans räkning. Utgångspunkter och principer för varaktiga former för samordnad statlig it-drift Vi har övervägt möjligheten att begränsa förordningens tillämpnings- område till tjänster inom it-drift som avser endast teknisk bearbet- ning eller teknisk lagring för annans räkning i den mening som avses i 2 kap. 13 § första stycket TF. För tjänster inom ett samordnat statligt tjänsteutbud som endast avser teknisk lagring eller teknisk bearbetning för annans räkning kommer den sekretessbrytande bestämmelse vi föreslagit i delbetän- kandet att vara tillämplig. Vidare kommer sekretessen – enligt huvud- regeln – att överföras från den anslutna myndigheten till den myndighet som tillhandahåller it-driftstjänster enligt 11 kap. 4 a § offentlighets- och sekretesslagen (2009:400) och hos den tillhandahållande myn- digheten kommer det råda absolut sekretess för uppgift om enskilds personliga eller ekonomiska förhållanden enligt 40 kap. 5 § samma lag. I sekretesshänseende är det alltså tämligen oproblematiskt att hantera uppgifter med hjälp av tjänster inom ett samordnat statligt tjänsteutbud så länge informationshanteringen inte går utöver endast teknisk bearbetning eller teknisk lagring för annans räkning. En informationshantering inom samordnad statlig it-drift som går utöver endast teknisk bearbetning eller teknisk lagring för annans räkning förutsätter att de uppgifter som berörs kan lämnas ut från en myndighet som erhåller it-drift till den tillhandahållande myndig- heten utan hinder av sekretess. Det står klart att en sådan samord- ning i många situationer skulle behöva föregås av rättsliga avvägningar som inte är helt enkla att göra. Såvitt vi kan bedöma skulle en begränsning av förordningens till- lämpningsområde till tjänster inom it-drift som avser endast teknisk bearbetning eller teknisk lagring för annans räkning inte på något sätt förändra det rättsläge som råder när det gäller myndig- heternas möjligheter att samordna sin it-drift i sådana former som går utöver endast teknisk lagring eller teknisk bearbetning för annans räkning, eller eliminera de bedömningar som krävs.