sou · H9B397 · 2021-12-15 00:00:00 — den myndighet som är huvudman för den verksamhet som träffas av krav på säkerhetsskydd. Vår bedöm- ning är att säkerhetsskyddslagen inte lämnar utrymme för att någon annan aktör samråder med tillsynsmyndigheten för verksamhets- utövarens räkning. Detta skulle förutsätta ändringar i säkerhetsskydds- lagen. Även om samlade samråd skulle innebära effektiviseringsvins- ter så är vi enligt våra direktiv förhindrade att lämna förslag på änd- ringar i säkerhetsskyddsregleringen. Utgångspunkter och principer för varaktiga former för samordnad statlig it-drift 10.6.6Avgränsning av säkerhetskänslig verksamhet Utredningens bedömning: Den avgränsning av myndigheter som finns i våra direktiv, dvs. att försvarsmyndigheterna och Säker- hetspolisen inte ska hanteras i en samordnad statlig it-drift, är till- räcklig. I övrigt ansvarar varje enskild myndighet för att göra be- dömningar av vad som utgör säkerhetskänslig verksamhet och vilka säkerhetskrav sådan verksamhet ställer på it-driftslösningar. Utredningens förslag: , Försvarets materiel- verk, , Försvarshögskolan, Försvarsmakten, Försvarsunderrättelsedomstolen, Statens inspektion för försvars- underrättelseverksamheten, Säkerhetspolisen, Totalförsvarets plikt- och prövningsverk och ska undantas från förordningens tillämpningsområde. I vårt uppdrag ingår att redogöra för om det finns vissa myndigheter, utöver försvarsmyndigheterna och Säkerhetspolisen, vars verksam- het inte bör hanteras inom ramen för en samordnad statlig it-drift. Som vi framhållit tidigare ansvarar varje myndighet för att säker- ställa att myndigheten uppfyller gällande krav i sin verksamhet. I detta ligger också att bedöma om myndigheten bedriver säkerhetskänslig verksamhet utifrån säkerhetsskyddslagen. Säkerhetskänslig verksam- het kan omfatta såväl större som mindre delar av en myndighets totala verksamhet. Det vore därför olämpligt om utredningen skulle peka ut myndigheter eller verksamheter som inte skulle ges möjlighet att nyttja tjänster inom ett samordnat statligt tjänsteutbud. Eftersom vårt förslag bygger på frivillig anslutning är det upp till varje enskild myndighet att göra denna bedömning. Vår bedömning är att den avgränsning av myndigheter som redan är gjord i våra direktiv, dvs. att försvarsmyndigheterna och Säker- hetspolisen inte ska hanteras i en samordnad statlig it-drift, är tillräck- lig. Därutöver är det viktigt att de myndigheter som levererar tjänster inom ramen för det samordnade statliga tjänsteutbudet säkerställer att säkerhetsskyddslagens krav uppfylls i verksamheten. Detta beskriver vi närmare i avsnitt 11.6. Utgångspunkter och principer för varaktiga former för samordnad statlig it-drift 10.6.7Hantering av säkerhetsskyddsklassificerade uppgifter i det samordnade statliga tjänsteutbudet Utredningens bedömning: Hantering av säkerhetsskyddsklassi- ficerade uppgifter ställer särskilda krav på säkerhet vilket kan få konsekvenser för funktionalitet och kostnadseffektivitet i en sam- ordnad lösning. Hoten mot en samordnad statlig it-drift kan öka om säkerhetsskyddsklassificerade uppgifter hanteras i det samord- nade statliga tjänsteutbudet. Vi bedömer utifrån detta att säkerhets- skyddsklassificerade uppgifter inte ska hanteras inom det samord- nade statliga tjänsteutbudet. Det bör inte införas någon särskild reglering om säkerhetsskyddsklassificerade uppgifter i förordningen om samordnad statlig it-drift. Vår kartläggning visar att av de myndigheter som be- svarade vår enkät hanterade säkerhetsskyddsklassificerade uppgifter i sin verksamhet. Förekomsten av säkerhetsskyddsklassificerade upp- gifter ställer särskilda krav på säkerhet i myndigheternas it-driftslös- ningar. En fråga är därför om säkerhetsskyddsklassificerade upp- gifter bör hanteras inom det samordnade statliga tjänsteutbudet. I 3 kap. säkerhetsskyddsförordningen finns flera bestämmelser som reglerar vilka åtgärder som ska vidtas i fråga om system där säkerhetsskyddsklassificerade uppgifter hanteras. Dessa bestämmelser kompletteras av Säkerhetspolisens föreskrifter. Av särskilt intresse för denna fråga är att om säkerhetsskyddsklassificerade uppgifter ska kommuniceras till ett informationssystem utanför verksamhetsut- övarens kontroll så ska uppgifterna skyddas med hjälp av krypto- grafiska funktioner som har godkänts av Försvarsmakten. Hur detta ska hanteras inom ramen för ett samordnat statligt tjänsteutbud kräver särskild analys. Försvarsmakten framhåller att det inte finns något hinder att in- kludera säkerhetsskyddsklassificerade uppgifter i ett samordnat stat- ligt tjänsteutbud om gällande krav i säkerhetsskyddslagen uppfylls. Kvalificerat hemliga uppgifter bör dock hållas utanför en samordnad lösning. Ju fler uppgifter som samlas i ett samordnat statligt tjänste- utbud och ju högre säkerhetsskyddsklass de har, desto högre krav kommer att ställas på säkerhetsskyddsåtgärder. Detta påverkar i sin tur funktionalitet och kostnad för lösningarna. Dessutom kan hoten mot ett samordnat statligt tjänsteutbud öka om säkerhetsskydds- Utgångspunkter och principer för varaktiga former för samordnad statlig it-drift klassificerade uppgifter inkluderas. Vi bedömer utifrån detta att säker- hetsskyddsklassificerade uppgifter inte ska hanteras i det samordnade statliga tjänsteutbudet. En särskild fråga är om det vore lämpligt att i förordningen om samordnad statlig it-drift införa ett förbud mot att inom ramen för det samordnade statliga tjänsteutbudet hantera säkerhetsskydds- klassificerade uppgifter. Vår bedömning är att befintlig lagstiftning är tillräcklig för att reglera hur säkerhetsskyddsklassificerade upp- gifter ska hanteras. Det behövs därmed inte någon särskild bestäm- melse i förordningen om samordnad statlig it-drift om ett förbud att hantera säkerhetsskyddsklassificerade uppgifter inom ramen för det samordnade statliga tjänsteutbudet. Mot bakgrund av vad vår kartläggning visar om myndigheternas uppgiftshantering och informationssäkerhetsarbete bedömer vi dock att det är viktigt att säkerställa att enskilda myndigheter uppfyller kraven på hantering av säkerhetsskyddsklassificerade uppgifter i sin it-drift. 10.7Finansieringsformer för den samordnade statliga it-driften Utredningens bedömning: Befintliga exempel på samordnad it- drift finansieras i huvudsak genom avgifter. Leveransen av det samordnade statliga tjänsteutbudet kommer att ske mellan två definierade parter som tillsammans slutit en överenskommelse om vilka tjänster som ska tillhandahållas. En avgiftsfinansiering är därmed att förorda för leveransen av it-driftstjänster inom ett samordnat statligt tjänsteutbud. Erfarenheter från befintliga exem- pel visar dock att det finns delar i den samordnade statliga it- driften som inte lämpar sig lika väl för en avgiftsfinansierad modell: kostnader för uppbyggnad av en ny verksamhet, de tidiga faserna av en anslutning samt vid utveckling och andra investeringar. Utredningens förslag: Leveransen av tjänster inom ett samord- nat statligt tjänsteutbud ska finansieras genom avgifter. De myn- digheter som ges i uppdrag att leverera tjänster inom ett samord- nat statligt tjänsteutbud ska tilldelas anslag för att finansiera de generella förberedelser som krävs. Utgångspunkter och principer för varaktiga former för samordnad statlig it-drift Stödinsatser till myndigheter inom den samordnade statliga it- driften ska finansieras genom anslag. För de myndigheter som har behov av ekonomiskt stöd ska det finnas möjlighet att rekvirera bidragsmedel för anslutningen till ett samordnad statligt tjänste- utbud. Bidragsmedel ska också kunna rekvireras av de myndig- heter som tillhandahåller samordnade it-drifttjänster och som åtar sig att utveckla det samordnade statliga tjänsteutbudet. I följande avsnitt redogör vi för våra överväganden och förslag när det gäller finansieringsformer för den samordnade statliga it-driften. Vi redogör bland annat för vilka rättsliga krav olika finansierings- former ställer, vilka för- och nackdelar som har lyfts fram kring anslags- och avgiftsfinansiering i tidigare utredningar samt vad som framgår av våra egna kartläggningar och analyser. Bestämmelser om statens inkomster och utgifter finns i reger- ingsformen, riksdagsordningen och budgetlagen (2011:203). Härut- över finns ett antal förordningar av relevans, bl.a. anslagsförordningen (2011:223) och avgiftsförordningen (1992:191). Mer detaljerade be- stämmelser om hur myndigheterna får disponera anslag och andra inkomster återfinns i myndighetsinstruktioner och regleringsbrev. Myndigheters verksamhet finansieras i regel via anslag. Av 1 kap. 4 § andra stycke RF följer bl.a. att det är som beslutar hur statens medel ska användas. I linje med detta sägs i 9 kap. 3 § första stycket RF att beslutar om anslag för bestämda ändamål. Det är alltså som beslutar anslagen. Däremot är det reger- ingen som tilldelar myndigheterna anslagen (jfr 9 kap. 8 § RF). Detal- jerade bestämmelser om anslag finns i anslagsförordningen. Vid sidan om anslag förekommer bidrag som en finansierings- källa för myndigheter. Bidrag kan komma från andra myndigheter, från privata organisationer och från privatpersoner. Något samlat regelverk om bidrag finns inte. I 11 § anslagsförordningen sägs exem- pelvis att utbetalning av bidrag från anslag ska göras i nära anslutning till att bidraget ska användas av mottagaren. Det förekommer således att en myndighet tilldelas medel som den myndigheten i sin tur kan fördela vidare till andra myndigheter i form av bidrag. Utgångspunkter och principer för varaktiga former för samordnad statlig it-drift för digital förvaltning (DIGG) får exempelvis – enligt sitt reglerings- brev – använda en del av sitt anslag för utveckling och förvaltning av förvaltningsgemensam digital infrastruktur. DIGG får lämna bidrag till statliga myndigheter, kommuner och regioner samt till kommuner och Regioner (SKR) och . Vid sidan av den anslagsfinansierade verksamheten kan myndigheters verksamhet finansieras via avgifter. Av 9 kap. 1 § RF följer att det är sak att besluta om avgifter till staten. I vissa fall får även regeringen besluta om avgifter till staten. I 8 kap. 2 § första stycket punkten 2 RF sägs att föreskrifter ska meddelas genom lag om de avser förhållandet mellan enskilda och det allmänna under förutsättning att föreskrifterna gäller skyldig- heter för enskilda eller i övrigt avser ingrepp i enskildas personliga eller ekonomiska förhållanden. Inom denna kategori faller bl.a. be- lastande (betungande) avgifter, dvs. sådana avgifter som innebär skyl- digheter för enskilda eller i övrigt avser ingrepp i enskildas personliga eller ekonomiska förhållanden. Avgifter som tas ut när en myndighet tillhandahåller frivilligt efter- frågade varor eller tjänster, s.k. uppdragsverksamhet, tillhör däremot regeringens restkompetens, se 8 kap. 7 § första stycket p. Det finns alltså inget som hindrar att regeringen inför sådana avgifter och även bestämmer avgifternas storlek. När en myndighet säljer en vara eller tjänst till en annan myndighet räknas det också som uppdrags- verksamhet, oavsett om efterfrågan är frivillig eller tvingande1. Mer detaljerade bestämmelser om myndigheternas avgifter finns i avgiftsförordningen. I anslutning till förordningen har Ekonomistyr- ningsverket (ESV) gett ut allmänna råd och riktlinjer. Avgiftsförordningen gäller för myndigheter under regeringen (1 §). Förordningen skall tillämpas om inte något annat följer av en annan förordning eller av ett särskilt beslut av regeringen (2 §). En myndighet får ta ut avgifter för varor och tjänster som den tillhanda- 1ESV (2016), Hur finansierar statliga myndigheter sin verksamhet? Utgångspunkter och principer för varaktiga former för samordnad statlig it-drift håller bara om det följer av en lag eller förordning eller av ett särskilt beslut av regeringen (3 §). I 4 § i förordningen sägs att myndigheter får ta ut avgifter för vissa varor och tjänster om verksamheten är av tillfällig natur eller av mindre omfattning. Bestämmelsen saknar rele- vans i detta sammanhang. För att en myndighet ska få bestämma storleken på andra avgifter än de som avses i 4 § krävs ett bemyndigande från regeringen (5 § första stycket). Vidare gäller att om inte regeringen har föreskrivit något annat, ska avgifter beräknas så att de helt täcker verksam- hetens kostnader (full kostnadstäckning) (5 § andra stycket). ESV har i anslutning till den senare av dessa bestämmelser lämnat en före- skrift enligt vilken myndigheterna ska – för att uppnå full kostnads- täckning i respektive avgiftsbelagd verksamhet – beräkna avgiftsnivån så att den långsiktiga självkostnaden täcks. Detta innebär, enligt samma föreskrift, att avgifterna ska beräknas så att intäkterna på ett eller täcker samtliga med verksamheten direkt eller indirekt förenade kostnader. Som vi uppfattar denna bestämmelse innebär den att avgifterna inte heller får sättas så högt att intäkterna på ett eller överstiger samtliga med verksamheten direkt eller indirekt förenade kostnader. 5 § avgiftsförordningen innebär alltså att myndigheterna inte får göra någon vinst på sin verksamhet. En myndighet får disponera över andra avgiftsinkomster än sådana som avses i 4 § och 15 § i avgiftsförordningen (15 § avser avgifter för kopior av allmänna handlingar m.m.) endast efter ett särskilt be- myndigande (25 §). 10.7.3Verksamhet som delvis finansieras genom avgifter Som nämns ovan är huvudregeln att avgifterna ska beräknas så att de helt täcker verksamhetens kostnader. Regeringen får emellertid före- skriva annat. Det innebär således att inget hindrar att en verksamhet finansieras med både avgifter och anslag. Som exempel på detta kan nämnas att en del av den verksamhet som MSB bedriver finansieras såväl genom avgifter som genom anslag. Det följer av förordning (2008:1002) med instruktion för Myn- digheten för samhällsskydd och beredskap att myndigheten ska ta ut avgifter för grundabonnemang och tilläggstjänster som avser det gemen- samma radiokommunikationssystemet för skydd och säkerhet (Rakel- Utgångspunkter och principer för varaktiga former för samordnad statlig it-drift Vidare anges års regleringsbrev för myndigheten att den medges undantag från kravet på full kostnadstäckning för . Undantaget medger att avskrivningar på anslagsfinansierade tillgångar inte ska ingå i underlaget för beräknande av avgifter för . 10.7.4Bör den samordnade statliga it-driften finansieras genom anslag eller genom avgifter? Frågan om hur förvaltningsgemensam digitalisering bör finansieras har avhandlats . Flera tidigare utredningar som be- rört finansieringen av förvaltningsgemensam digitalisering har i stor utsträckning fokuserat på finansiering av utveckling och nyttjande av tjänster som syftar till att lösa gränsöverskridande och sektors- övergripande behov, t.ex. Mina meddelanden och Sammansatt Bas- tjänst Ekonomiskt Bistånd (SSBTEK). Inom ramen för en samord- nad statlig it-drift rör det sig däremot primärt om tjänster som inte nödvändigtvis är gräns- eller sektorsövergripande. I stället rör det sig om tjänster som nyttjas av den enskilda myndigheten för att säker- ställa grundläggande funktionalitet i myndighetens it-miljö. Det ute- sluter däremot inte att det kan förekomma tjänster som är av mer sektorsövergripande karaktär, exempelvis e-arkiv. Det samordnade statliga tjänsteutbudet kommer även kräva investeringar och löpande utveckling. Gemensamt för flera tidigare utredningar är att de förordar anslags- finansiering för att förstärka det förvaltningsgemensamma perspek- tivet samt öka möjligheter för statsmakterna att utöva ett yttre effektiviseringstryck på verksamheterna. I betänkandet reboot – om- start för den digitala utvecklingen (SOU 2017:114) framgår det att utredningen är kritisk till en finansieringsmodell som bygger på av- gifter och menar att avgiftsfinansiering av förvaltningsgemensamma digitala funktioner är en vare sig tillräckligt förutsägbar, stabil eller långsiktig finansieringsform för att funktionerna, på ett effektivt sätt, ska kunna leverera de förväntade resultaten. ESV har i sin rapport och finansiering av förvaltningsgemen- sam digital infrastruktur beskrivit att det finns situationer där anslagsfinansiering är mest lämplig. Exempelvis när det är svårt att identifiera den tjänst eller den målgrupp som ska betala för tjäns- Utgångspunkter och principer för varaktiga former för samordnad statlig it-drift ten eller när det är tydligt att ett avgiftsuttag skulle få icke önskvärd eller en hämmande effekt på efterfrågan. ESV anser vidare att det även finns argument som talar för att avgiftsbelägga en verksamhet. Under förutsättning att både tjänsten och målgruppen kan identifieras kan det vara rimligt att den som använder en verksamhet eller en tjänst också betalar för den. Dess- utom kan avgifter öka kostnadsmedvetenheten hos den som ska betala avgiften. Eftersom inomstatliga avgifter inte ger en finansier- ing till staten som helhet anser ESV att motivet till att ta ut avgifter mellan statliga myndigheter bör vara den styreffekt de förväntas ge. Ett motiv för att låta en myndighet ta betalt av andra myndigheter kan vara att de beställande myndigheterna kan prioritera hur mycket och vilken typ av verksamhet som behövs på ett bättre sätt än reger- ingen och den myndighet som tar betalt. Finansiering av leveransen av tjänster inom ett samordnat statligt tjänsteutbud Vi kan konstatera att ett samordnat statligt tjänsteutbud innebär en leverans av tjänster som mer liknar en utkontraktering av it-drift till en privat leverantör. I många delar rör det sig alltså om något som skulle kunna liknas vid en affärsuppgörelse mellan två parter. I det hänseendet liknar själva leveransen av ett samordnat statligt tjänste- utbud vad ESV hänvisar till om att både tjänsten och målgruppen kan identifieras. Med tanke på att vi föreslår en frivillig och flexibel modell för anslutning är det svårt att se hur en anslagsfinansiering av själva affärs- uppgörelsen skulle kunna se ut. Genom att disponera om anslagen blir det desto svårare för myndigheterna att vid ett senare skede ta ställning till om det finns ett annat alternativ som bättre tillgodoser myndighetens krav och behov. För att ytterligare stärka myndigheter som ansluter sig till ett samordnat statligt tjänsteutbud i deras relation till den eller de myn- digheter som tillhandahåller it-drift kan det också finnas skäl att använda avgifter. finns det en uppenbar risk att relationen mellan myndigheterna i allt för stor utsträckning präglas av en be- ställar- och utförarrelation, vilket många myndigheter anger att de vill undvika. Utgångspunkter och principer för varaktiga former för samordnad statlig it-drift Finansiering av utveckling och investeringar i det samordnade statliga tjänsteutbudet Som vi tidigare nämnt kommer det uppstå ett behov av att utveckla det samordnade statliga tjänsteutbudet och göra investeringar för att säkerställa såväl kapacitet som säkerhet. I ESV:s rapport hänvisas till att investeringar i form av förvaltningsgemensamma digitala anlägg- ningstillgångar bör kunna finnas i två olika kategorier: verksamhets- investeringar och samhällsinvesteringar.2 Verksamhetsinvesteringar är investeringar som används i myndighetens verksamhet och som i huvudsak finansieras med lån från . Samhällsinve- steringar är investeringar som beslutar om, antingen genom att anvisa anslag eller genom en övrig kreditram. Enligt ESV kan föl- jande tre punkter ge vägledning i om det kan röra sig om en samhälls- investering snarare än en verksamhetsinvestering: 1.Om investeringen snarare är resultatet av verksamheten är det att klassa som en samhällsinvestering, t.ex. invester- ingar i järnvägar och vägar. 2.Om en myndighet gör stora anskaffningar där såväl investerings- beloppet som vidmakthållande uppgår till väsentliga belopp, kan det finnas behov att klassificera investeringen som en samhälls- investering. 3.Om en myndighet återkommande gör stora anskaffningar kan det finnas ett behov att rapportera detta i en investeringsplan till . ESV menar att merparten av de förvaltningsgemensamma tjänsterna styrs och klassificeras som verksamhetsinvesteringar. I rappor- ten hänvisar ESV till att investeringar i flera fall än vad som sker skulle kunna klassificeras som samhällsinvesteringar. Myndigheten menar att det skulle ge och regeringen bättre möjligheter att utöva en mer strategisk styrning över förvaltningens digitala in- vesteringar. För att möjliggöra detta föreslår ESV att DIGG ska få en strategisk roll i bedömningen av vilka utvecklingsinsatser som är att se som samhällsinvesteringar. Vissa investeringar inom det samordnade statliga tjänsteutbudet kan vara av sådan karaktär att det skulle kunna klassificeras som sam- 2ESV (2020), Styrning och finansiering av förvaltningsgemensam digital infrastruktur. Utgångspunkter och principer för varaktiga former för samordnad statlig it-drift hällsinvesteringar snarare än verksamhetsinvesteringar. Det kan t.ex. finnas ett behov av att öka säkerheten i leverantörsmyndigheternas datacenter för att leva upp till de krav som ställs på myndigheterna. 10.7.5Avgifter fungerar överlag bra som finansieringsmodell Av de exempel på samordnad it-drift som vi har fördjupat oss i finan- sieras samtliga i huvudsak genom avgifter. Av vår kartläggning fram- går att merparten av dem vi har intervjuat överlag anser att avgifter fungerar bra som finansieringsmodell. framgår att det finns områden då det inte lämpar sig lika väl med enbart en avgiftsfinansierad modell. Det rör sig till exem- pel om de kostnader som är förenade med att starta upp en verksamhet som exempelvis regeringsuppdrag om samord- nad och säker statlig it-drift samt vid bildandet av Statens service- center. Av erfarenheterna från länsstyrelsernas samordnade it-drift finns det sådant som talar för att vissa kostnader som är förenade med driften av bastjänster med fördel skulle kunna anslagsfinansieras. Det gäller t.ex. kostnader som är stabila och som inte baseras på nyttjandet av en tjänst. är det viktigt att framhålla att länsstyrelsernas samordnade it-drift är obligatorisk, varför det är mer logiskt att anslagsfinansiera kostnader som är stabila . Det framgår vidare av våra intervjuer med de myndigheter som är anslutna till samordnade it-drift att det finns sär- skilda utmaningar för små myndigheter att bekosta de initiala faserna av en anslutningsprocess. Flera har också lyft fram att det finns pro- blem med att finansiera investeringar och kostnader som är förknip- pade med utveckling av gemensamma behov. Därutöver har flera myndigheter lyft fram att det kan finnas problem med att finansiera kostnader för utveckling genom avgifter, särskilt när det är för stora skillnader i ekonomiska förutsättningar mellan de myndigheter som ingår i en samordnad it-drift. Särskilt har lyft fram detta som ett problem, men även För- säkringskassan anger att de ser utmaningar med att finansiera utveck- lingen av gemensamma behov inom ramen för regeringsuppdraget utan fortsatta bidragsmedel. Förvisso anser myndigheterna att den modell som tagit fram där avgifterna fastställs Utgångspunkter och principer för varaktiga former för samordnad statlig it-drift genom att beräkna genomsnittskostnaderna över en treårs- period till stor del underlättar finansieringen av delar av den utveck- ling som kan vara nödvändig. När det rör sig om större investeringar kan det däremot trots detta uppstå ekonomiska utmaningar för de myndigheter som har stramare ekonomiska ramar att förhålla sig till. Med utgångspunkt i det faktum att leveransen av det samordnade stat- liga tjänsteutbudet kommer ske mellan två definierade parter som tillsammans slutit en överenskommelse om vilka tjänster som ska tillhandahållas föreslår vi att leveransen av tjänster inom det samord- nade statliga tjänsteutbudet finansieras genom avgifter.