sou · H9B397 · 2021-12-15 00:00:00 — Som vi tidigare beskrivit kan vi inte med säkerhet svara för hur många myndigheter som i slutändan är aktuella för anslutning till ett samordnat statligt tjänsteutbud eftersom vi vet att flera faktorer på- Förslag till varaktiga former för samordnad statlig it-drift verkar myndigheternas möjlighet att ansluta sig. Med anledning av det stora intresse som myndigheterna har visat för samordnade it-drifts- tjänster kan det däremot finnas behov av grunder för att kunna prio- ritera vilka myndigheter som ska anslutas först. Den samordnande myndigheten ska därför, i samråd med Säker- hetspolisen och MSB, ta fram en modell för prioritering mellan myn- digheter. Modellen ska utgå från det syfte och mål som formuleras för den samordnade statliga it-driften. Modellen behöver ta hänsyn till riskerna med en sektorsindelad anslutning av myndigheter, där myndigheter som ingår i samma sektor inte bör vara anslutna till tjäns- ter hos samma leverantörsmyndighet. Modellen bör även ta hänsyn till hur specifika eller brådskande behov hos anslutande myndigheter ska hanteras. Den målgruppsanalys som presenterats i avsnitt 5.2.1 är till hjälp för att förstå vilka myndigheter som kan vara i störst behov av stöd. Leder samverkan med leverantörsmyndigheter, anslutande myndigheter och expert- och stödmyndigheter på förvaltningsgemensam nivå Den samordnande myndigheten ska leda samverkan med leverantörs- myndigheter, anslutande myndigheter och expert- och stödmyndig- heter. Samverkan ska bedrivas genom ett leverantörs-, myndighets- och expertråd. Vi beskriver dessa forum i avsnitt 11.4. Den samordnande myndigheten ska samverka med Kammarkollegiet inför samordnad upphandling av it-driftstjänster. Kammarkollegiet har uppgiften att samverka med pri- vata leverantörer. Vi ser därför inte behov av att den samordnande myndigheten regelmässigt ska samverka med privata leverantörer – den samverkan ska hanteras av Kammarkollegiet för den samordnade statliga it-driftens räkning. Förslag till varaktiga former för samordnad statlig it-drift Den samordnande myndigheten ska samråda med Försvarsmakten i frågor om säkerhet kopplade till den samordnade statliga it- driften. Bevakar it-driftsfrågor nationellt och internationellt Som vi beskrivit i avsnitt 7.4 pågår flera initiativ både nationellt och inom EU på it-driftsområdet, exempelvis Program 2032 och Gaia-X. Den samordnande myndigheten ska bevaka och delta i relevanta samarbeten och sammanhang som kan vara till nytta för den samord- nade statliga it-driften, både nationellt och internationellt. Den sam- ordnande myndighetens ska lämna stöd till myndigheter avseende hur en befintlig marknadsplats för it-driftstjänster kan användas. Följer upp och återrapporterar den samordnade statliga it-driften till regeringen Den samordnande myndigheten ska också löpande följa upp den samordnade statliga it-driften och återrapportera till reger- ingen. Uppföljningen ska omfatta efterfrågan och utbud av stöd, leve- ransen av it-driftstjänster inom det samordnade statliga tjänsteut- budet och avrop på ramavtal. Den bör även omfatta frågor av mer funktionell karaktär, som exempelvis omhändertagande av behov av nya tjänster, förändringar i det samordnade statliga tjänsteutbudet och frågor av strategisk betydelse som föranleder åtgärder. Uppfölj- ningen ska också omfatta resultat och effekter utifrån de nyckelindika- torer som vi föreslår att ESV ska ta fram. Leverantörsmyndigheterna ska bidra med underlag till uppföljningen. För att säkerställa att den samordnande myndigheten har möjlig- het att sammanställa underlag med utgångspunkt i leverantörsmyn- digheternas årsredovisningar ska den samordnande myndigheten för regeringen redovisa en samlad läges- beskrivning av hur den samordnade statliga it-driften fortskrider. Förslag till varaktiga former för samordnad statlig it-drift Utredningens förslag: Leverantörsmyndigheterna ska leverera it-driftstjänster till myndigheter inom ramen för det samordnade statliga tjänsteutbudet. De ska vägleda myndigheterna genom an- slutningsprocessen och ta ut avgifter från anslutna myndigheter för it-driftsleveransen. Leverantörsmyndigheterna ska medverka i fastställande och utveckling av den samlade tjänstekatalogen till- sammans med den samordnande myndigheten och delta i sam- verkan på förvaltningsgemensam nivå. Inom ramen för den samordnade statliga it-driften är huvuduppgiften för leverantörsmyndigheterna att leverera it-driftstjänster till myn- digheter. Leverantörsmyndigheterna ska ta ut avgifter från anslutna myndigheter för it-driftsleveransen. Tar fram tjänstespecifikationer och medverkar i fastställande och utveckling av samlad tjänstekatalog Leverantörsmyndigheterna ska ta fram tjänstespecifikationer som sedan förvaltas genom en samlad tjänstekatalog som fastställs av den samordnande myndigheten efter samråd med leverantörsmyndig- heterna. Leverantörsmyndigheterna ska även i samverkan med den samordnande myndigheten bidra till utvecklingen av tjänsteutbudet inom den samordnade statliga it-driften. Levererar it-drift till anslutna myndigheter inom ramen för det samordnade statliga tjänsteutbudet Leverantörsmyndigheterna ska ansvara för relationen med anslu- tande myndigheter från det att en avsiktsförklaring har tecknats och myndigheten får it-drift levererad fram till att uppdraget upphör och tjänsterna har avvecklats. ska vägleda och stödja den anslutande myndigheten genom stegen i anslutningspro- cessen fram till dess att myndigheten är ansluten. Samverkan mellan myndigheterna ska formaliseras genom en samverkansöverenskom- melse. Vi beskriver anslutningsprocessen mer i detalj i avsnitt 11.5.1. Förslag till varaktiga former för samordnad statlig it-drift Leverantörsmyndigheterna ska även ansvara för att etablera en samverkan med anslutna myndigheter på operativ, taktisk och stra- tegisk nivå. Vid eventuellt nya eller ändrade behov av it-driftstjänster ska leverantörsmyndigheterna ansvara för att undersöka på vilket sätt det går att lösa genom befintlig samverkan och om det inte är möjligt ska behoven eskaleras till den samordnande myndigheten. Deltar i samverkan på förvaltningsgemensam nivå Leverantörsmyndigheterna ska delta i samverkan på förvaltnings- gemensam nivå. I avsnitt 11.4 finns en beskrivning av vilka forum vi anser bör finnas och vilka parter som bör ingå. Utredningens förslag: Stöd- och expertmyndigheter ska lämna stöd i frågor om it-drift inom sina respektive kompetensområden. De ska även delta i samverkan på förvaltningsgemensam nivå. Den samordnande myndigheten ska samordna det stöd som stöd- och expertmyndigheter lämnar inom frågor som rör it-drift utifrån respektive myndighets kompetensområde. Som ett led i detta ska stöd- och expertmyndigheterna delta i den samverkan på förvaltnings- gemensam nivå som leds av den samordnande myndigheten och som beskrivs i avsnitt 11.4. Det stöd som lämnas av den samordnande myndigheten ska vara av generell (och inte individuell) karaktär och ges i form av t.ex. råd- givning, utbildning, vägledningar, checklistor och metodstöd. Stödet ska bygga på material och vägledning som tas fram av stöd- och expertmyndigheterna inom sina respektive kompetensområden. Det är viktigt att samverkan kring stödgivning med de stöd- och expert- myndigheter som även har ett tillsynsuppdrag utformas på ett sätt som inte kommer i konflikt med berörda myndigheters uppgift att bedriva tillsyn. Förslag till varaktiga former för samordnad statlig it-drift 11.3.4Myndigheter med behov av stöd Utredningens bedömning: Myndigheter som efterfrågar stöd från den samordnade statliga it-driften ansvarar för att säkerställa att de krav som ställs på verksamhetens informationshantering efter- levs vid val av it-driftslösning. Myndigheter som efterfrågar stöd från den samordnade statliga it- driften har ansvar för att vald it-driftslösning är förenlig med de regelverk som gäller för myndighetens verksamhet. Myndigheterna har ansvar för att ta ställning till vilka regelverk som är tillämpliga för den information som hanteras inom it-driften och vilka krav dessa regelverk ställer på myndighetens it-driftslösningar samt för att klassi- ficera informationen utifrån tillämpliga regelverk inom säkerhets- skydd, dataskydd och informationssäkerhet. Myndigheterna måste även ta ställning till vilka krav som offentlighets- och sekretesslagen ställer på informationshanteringen samt hur andra regleringar avse- ende hanteringen av allmänna handlingar kan uppfyllas utifrån den it-driftslösning som väljs. Utredningens bedömning: Det finns behov av samverkan i olika forum. Samverkan bör bedrivas på flera nivåer. Utredningens förslag: Den samordnande myndigheten ska ha till uppgift att leda samverkan på förvaltningsgemensam nivå med leverantörsmyndigheter, myndigheter med behov av stöd samt stöd- och expertmyndigheter. Leverantörsmyndigheterna ska sam- verka och följa upp leveransen med anslutna myndigheter på operativ, taktisk och strategisk nivå med utgångspunkt i den över- gripande modell för samverkan som beslutas av den samordnande myndigheten. För att den samordnade statliga it-driften ska fungera krävs enligt vår bedömning en samverkansmodell som innefattar flera olika forum för samverkan och stöd med olika syften och medverkande aktörer. Förslag till varaktiga former för samordnad statlig it-drift Samverkan behöver dessutom bedrivas på flera nivåer: dels i rela- tionen mellan anslutande myndighet och leverantörsmyndighet på operativ, taktisk och strategisk nivå, dels på en förvaltningsgemensam, strategisk nivå avseende den samlade samordnade statliga it-driften. Samverkan på den förvaltningsgemensamma nivån ska enligt våra förslag ske under ledning av den samordnande myndigheten. Leve- rantörsmyndigheterna ansvarar för samverkan med de myndigheter som är anslutna till det samordnade statliga tjänsteutbudet. Figur 11.2 Samverkan inom den samordnade statliga it-driften Samverkan på förvaltningsgemensam nivå Samverkan mellan anslutande myndigheter och leverantörsmyndigheter Samverkansmodell Anslutna myndigheter- leverantörsmyndigheter Källa: Egen illustration. 11.4.1Samverkan mellan anslutande myndigheter och leverantörsmyndigheter Erfarenheterna från visar att det krävs samverkan på flera olika nivåer när it-driftstjänster tillhandahålls av en myn- dighet till en annan myndighet. är det viktigt att säkerställa att en samverkansmodell inte blir mer omfattande och resursdri- vande än nödvändigt. Erfarenheterna från sam- ordnade it-drift visar att samverkan riskerar att bli tungrodd och kostnadsdrivande om den inte är anpassad till förutsättningar hos båda parter. Mindre myndigheter har inte alltid resurser att möta en större myndighet på samma nivå. En utgångspunkt för samverkan mellan leverantörsmyndigheter och myndigheter som ansluter till det samordnade statliga tjänsteutbudet måste därför vara flexibilitet. Samverkan måste kunna anpassas utifrån de tjänster som tillhanda- Förslag till varaktiga former för samordnad statlig it-drift hålls (avseende mängd och komplexitet) och anslutande myndig- heters förutsättningar (avseende resurser och kompetenser). Vår bedömning är att det är önskvärt att modellen för samverkan mellan anslutande myndigheter och leverantörsmyndigheter över- gripande är densamma inom den samordnade statliga it-driften. Det underlättar för anslutande myndigheter om de skulle byta leveran- törsmyndighet eller vara ansluten till it-driftstjänster som tillhanda- hålls av flera leverantörsmyndigheter – den anslutande myndigheten kommer då känna igen sig i den samverkansmodell som tillämpas. Det är enligt vår mening mer resurseffektivt med en gemensam modell än om varje leverantörsmyndighet tillämpar sin egen samverkans- modell. Mot denna bakgrund bör den samordnande myndigheten besluta om en övergripande samverkansmodell som ska tillämpas i relationen mellan leverantörsmyndighet och anslutande myndighet. Den samordnande myndigheten ska därför ges i uppgift att i sam- verka med leverantörsmyndigheterna och med utgångspunkt i För- säkringskassans modell för samverkan i regeringsuppdraget om sam- ordnad och säker it-drift utveckla en övergripande samverkansmodell som kan tillämpas inom ramen för det samordnade statliga tjänste- utbudet. 11.4.2Samverkan på förvaltningsgemensam nivå Vi ser ett behov av ett forum för samverkan mellan de leverantörs- myndigheter som tillhandahåller tjänster inom den samordnade stat- liga it-driften och den samordnande myndigheten. En sådan sam- verkan bör bedrivas inom ett leverantörsråd. I leverantörsrådet bör samverkan ske i frågor kopplade till det sam- ordnade statliga tjänsteutbudet utifrån de behov av tjänster som iden- tifierats av den samordnande myndigheten. Även frågor kopplade till modellen för samverkan mellan anslutna myndigheter och leveran- törsmyndigheter bör hanteras i detta forum. Detsamma gäller andra frågor som rör leverantörsmyndigheternas roll och funktion inom den samordnade statliga it-driften, exempelvis säkerhet. I leverantörsrådet bör även samverkan kring den långsiktiga planen för utvecklingen av det samordnade statliga tjänsteutbudet ske. Förslag till varaktiga former för samordnad statlig it-drift Det finns ett behov av att den samordnande myndigheten samverkar med ett representativt urval av myndigheter för att fånga vilka gene- rella behov av stöd och it-drifttjänster som finns i statsförvaltningen. Det finns också ett behov av forum för samverkan med de myn- digheter som är anslutna till det samordnade statliga tjänsteutbudet. Syftet med detta forum ska vara att samla in och omhänderta de anslutna myndigheternas erfarenheter av och synpunkter på det sam- ordnade statliga tjänsteutbudet, för att säkerställa att det tillhanda- hålls utifrån de anslutna myndigheternas behov. I forumet kan även de anslutna myndigheternas behov av nya it-driftstjänster fångas upp. Forumet kan även användas för erfarenhetsutbyte mellan anslutna myndigheter. Genom forumet kan den samordnande myndigheten informera anslutna myndigheter om vad som händer i omvärlden samt bidra till kompetensutveckling. Det ger också en möjlighet för anslutna myndigheter att lyfta eventuella problem kopplade till till- handahållandet av det samordnade statliga tjänsteutbudet till den samordnande myndigheten. De problem som framkommer kan för- medlas av den samordnande myndigheten till leverantörsmyndig- heterna, antingen bilateralt eller genom leverantörsrådet. Syftet med expertrådet är att det ska finnas ett forum där frågor om it-drift kan lyftas samlat till de stöd- och expertmyndigheter som har till uppgift att lämna stöd i frågor som har relevans för den samord- nade statliga it-driften. De myndigheter som vi identifierat som bör ingå i ett sådant råd är , MSB, berörda tillsynsmyndigheter inom säkerhetsskydd och . En viktig del i den samordnade statliga it-driften är att bidra till att ge myndigheter bättre förutsättningar att göra de bedömningar som krävs vid val av säkra och kostnadseffektiva it-driftslösningar. En förutsättning för att kunna göra medvetna val är att myndigheten har en god inblick i och kunskap om sin information och vilka krav som tillämpliga regelverk ställer på it-driftslösningarna. Även frågor kopplade till den samordnande myndighetens upp- gifter i förhållande till det samordnade statliga tjänsteutbudet kan Förslag till varaktiga former för samordnad statlig it-drift vara aktuella att hantera inom expertrådet. Ett sådant exempel är prioritetsordningen för anslutande myndigheter. Den samordnande myndighetens ska samordna stödinsatser från stöd- och expertmyndigheter, exempelvis i frågor som är gemensamma för flera myndigheter. Detta innebär en effektivisering jämfört med om alla kontakter skulle ske myndighet till myndighet. Myndigheterna kan genom expertrådet ges ett samlat stöd inom flera kompetensom- råden som är relevanta för att välja lämplig it-driftslösning. Genom expertrådet kan den samordnande myndigheten även samla upp frågor och problemställningar som är gemensamma för flera myndigheter och på så vis kunna lämna ett samlat stöd i relevanta frågor. Utredningens bedömning: De lärdomar och investeringar som gjorts i uppdrag om samordnad och säker stat- lig it-drift bör tillvaratas. Den modell som upparbetats för anslut- ning av myndigheter bör användas, men kan behöva utvecklas i delar. Det fortsatta utvecklingsarbete som bedrivits inom SITSSAM bör tillvaratas. Utredningens förslag: Myndigheterna ska gemensamt under led- ning av den samordnande myndigheten ta fram en modell för anslutning. Den samordnande myndigheten ska ansvara för att vägleda den myndighet som söker stöd genom initiera-fasen och isamverkan med stöd- och expertmyndigheterna lämna ett sam- ordnat stöd. Leverantörsmyndigheterna ska ansvara för att väg- leda och ge stöd till anslutande myndigheter från det att en av- siktsförklaring har tecknats och myndigheten erhåller it-drift fram till att uppdraget upphör och tjänsterna har avvecklats. Vi föreslår att myndigheterna gemensamt under ledning av den sam- ordnande myndigheten tar fram en anslutningsprocess. Anslutnings- processen bör omfatta de steg som har identifierat som nödvändiga, dvs. initiera, planera, bygga och köra. Anslutnings- processen behöver tydliggöras vad gäller roller och ansvar för den Förslag till varaktiga former för samordnad statlig it-drift samordnande myndigheten och leverantörsmyndigheterna. Vi ser även ett behov av att tydliggöra på vilket sätt de olika myndigheter- nas behov kan omhändertas genom stödinsatser, samordnad upphand- ling och ett samordnat statligt tjänsteutbud. De lärdomar och investeringar som gjorts i uppdrag om samordnad och säker statlig it-drift bör tillvaratas. Den modell för anslutning av myndigheter som tagit fram upplevs fungera väl, men kan behöva utvecklas i delar. Det gäller t.ex. överlämning från projektet till linjeorganisationen i den dagliga it-driftsproduktionen, processer och arbetssätt för att om- händerta nya och förändrade behov av tjänster när en myndighet är ansluten samt hur myndigheterna ska hantera en eventuell avveck- ling av en tjänst. Vi har förstått att de myndigheter som ingår i det myndighetsövergripande programmet SITSSAM har vidareutvecklat anslutningsprocess för att ytterligare förtydliga delar av de brister som har framkommit. De har bl.a. utvecklat pro- cessen genom att komplettera den med processteg för att paketera, förvalta, utveckla och avveckla. Det utvecklingsarbete som bedrivits är viktigt att ta tillvara. Vi har dock i detta läge valt att utgå från den anslutningsprocess som använts inom ramen för uppdrag. Anslutningsprocessen (se figur 11.3) ska fördelas så att den sam- ordnande myndigheten ansvarar för initiera-fasen och leverantörs- myndigheterna ansvarar för planera-, bygga- och köra-faserna. Vi beskriver respektive fas nedan. Förslag till varaktiga former för samordnad statlig it-drift Figur 11.3 Anslutning till den samordnade statliga it-driften Fördelning på olika aktörer Egen regi eller privat leverantör Källa: Utveckling av anslutningsprocess i regeringsuppdraget att erbjuda samordnad och säker statlig it-drift. Den första fasen, initiera, inleds i samband med att en myndighet tar kontakt med den samordnande myndigheten med ett behov av stöd. Den samordnande myndigheten ansvarar då för att skapa sig en bild av myndighetens behov och förutsättningar på ett övergripande plan. Syftet med processteget är att utröna vilket stöd myndigheten är i behov av. Målet är att myndigheten genom vägledning och stöd från den samordnande myndigheten ska kunna fatta beslut om lämplig driftsform: utkontraktering till en privat leverantör, anslutning till ett samordnat statligt tjänsteutbud eller drift i egen regi. För att kunna göra den bedömningen kan det initialt vara aktuellt med stödjande insatser för att vägleda myndigheten. Det kan t.ex. handla om att informera om eller hänvisa till vägledning för myndig- hetens systematiska informationssäkerhetsarbete och information om tjänster som kan avropas från ramavtal för it-drift. Stöd- och expert- myndigheter ska bistå för att ge generellt stöd inom sitt kompetens- område, exempelvis genom att informera om vilka vägledningar som erbjuds och fånga upp behov av nya eller uppdaterade vägledningar. Varje myndighet som vill ansluta sig till en samordnad statlig it- drift måste i alla led av anslutningsprocessen – och därefter – analy- Förslag till varaktiga former för samordnad statlig it-drift sera på vilket sätt myndighetens informationshantering uppfyller de krav som ställs i gällande regelverk. Anslutning till det samordnade statliga tjänsteutbudet Om myndigheten ser ett behov av att ansluta sig till ett samordnat statligt tjänsteutbud måste det därefter utredas på vilket sätt leveran- törsmyndigheterna kan bidra för att möta myndighetens behov. Vilka myndigheter som ska anslutas ska utgå från den prioriteringsmodell som tas fram av den samordnande myndigheten. Leverantörsmyndig- heterna ska vara delaktiga för att bidra med stöd till myndigheterna vid val av tjänster inom det samordnade statliga tjänsteutbudet. Behov av tjänster som inte kan tillgodoses genom ramavtal eller det samordnade statliga tjänsteutbudet I de fall som ett behov av tjänster inte kan tillgodoses genom ett samordnat statligt tjänsteutbud eller avrop från befintliga ramavtal ska den samordnande myndigheten genomföra en bredare behovs- fångst för att analysera hur stort behovet är. Om behovet bedöms finnas hos flera myndigheter bör den sam- ordnande myndigheten med utgångspunkt i vilka tjänster som efter- frågas, vilka krav som bör ställas på en eventuell leverantör och vad som erbjuds på marknaden utreda möjligheten till samordnad upp- handling av ytterligare ramavtal. Ett naturligt led i detta arbete är att samverka med Kammarkollegiet, som ansvarar för att genomföra en eventuell upphandling. Om behovet inte kan eller bör tillgodoses genom en upphandlad tjänst bör den samordnande myndigheten tillsammans med leveran- törsmyndigheterna utreda möjligheten att utveckla den förmåga som krävs inom det samordnade statliga tjänsteutbudet för att kunna till- godose det nya behovet. Fasen avslutas genom att en avsiktsförklaring tas fram mellan den anslutande myndigheten och den eller de leverantörsmyndigheter som är aktuella. Därefter tar leverantörsmyndigheten över ansvaret för processens nästa fas, planera. Förslag till varaktiga former för samordnad statlig it-drift I planera-fasen tar leverantörsmyndigheten över ansvaret för att i detalj planera och undersöka vad som krävs för att myndigheten ska kunna ansluta sig, även utifrån leverantörsmyndighetens egen verk- samhet. ansvarar även för att vägleda och stödja anslutande myndighet i vilka frågor som behöver besvaras, t.ex. genom checklistor likt de använder i sitt upp- drag om samordnad och säker statlig it-drift. Den anslutande myn- digheten och leverantörsmyndigheten ska vara överens om innehåll, omfattning och styrande principer för fortsatt anslutning och sam- verkan. De ekonomiska ramarna och styrformerna för kommande fas – bygga – ska vara förankrade hos båda parter. Fasen avslutas genom att en samverkansöverenskommelse tas fram och undertecknas av båda parter. Ibygga-fasen detaljeras anslutningen ytterligare och leverantörs- myndigheten ansvarar för att se över vilka förutsättningar som krävs internt för att kunna ansluta en myndighet. ansvarar även för att säkerställa att den anslutande myndigheten förstår vad som krävs för en migrering och bör finnas tillgänglig som stöd under processen även i dialog med eventuella befintliga leve- rantörer. Under denna fas är det viktigt att leverantörsmyndigheten för- bereder den interna organisationen inför överlämningen till den dag- liga it-driftsproduktionen. behöver ges möjlig- het att skapa rätt förutsättningar för de medarbetare som efter anslutningen av en ny myndighet ska tillhandahålla it-drift.