sou · H9B397 · 2021-12-15 00:00:00 — Vartefter leverantören och den anslutande myndigheten fastställer ytterligare detaljer i samverkan kompletteras överenskommelsen med eventuella bilagor, t.ex. när det gäller ekonomi och säkerhet. Fasen avslutas med att det finns en accepterad leverans av såväl den anslu- tande myndigheten som av leverantörsmyndigheten. När så är fallet är det för lansering i köra-fasen. Förslag till varaktiga former för samordnad statlig it-drift Under köra-fasen samverkar myndigheterna enligt fastställd sam- verkansmodell. Eventuella avvikelser och uppföljningar lyfts och han- teras på rätt nivå inom respektive myndighet. Båda parter är överens om hur tjänsterna ska följas upp och en god samverkan utvecklas och bibehållas. Vid eventuellt nya eller ändrade behov ska den anslutna myn- digheten i första hand anmäla det till leverantörsmyndigheten för att undersöka på vilket sätt leveransen kan utökas eller ändras inom befintlig samverkansstruktur. Om det skulle uppstå ett behov som ligger utanför aktuell leverantörsmyndighets befintliga förmåga ska leverantörsmyndigheten och den anslutna myndigheten vända sig till den samordnande myndigheten som då ansvarar för att analysera på vilket sätt privata leverantörer eller andra leverantörsmyndigheter kan bistå. Även i detta fall ansvarar den samordnande myndigheten för att genomföra en behovsfångst och analysera om det kan vara aktu- ellt att genom Kammarkollegiet genomföra en samordnad upphand- ling eller om förmågan ska utvecklas som en ny tjänst inom det sam- ordnade statliga tjänsteutbudet. 11.5.2Prioritering av drift mellan leverantörsmyndighet och anslutna myndigheter Utredningens bedömning: Leverantörsmyndigheternas säker- hetsnivå bör dimensioneras efter de högst ställda kraven på säker- het från en anslutande myndighet. En prioriteringsordning mellan myndigheterna bör även formaliseras genom samverkansöverens- kommelsen. För att säkerställa att myndigheter med olika grad av säkerhets- krav, olika typ av verksamhet och olika tekniska krav ska kunna ansluta sig till ett samordnat statligt tjänsteutbud bör det sam- ordnade statliga tjänsteutbudet kompletteras med ytter- ligare leverantörsmyndigheter. Av våra direktiv framgår att vi särskilt ska analysera risken att en myndighets kärnverksamhet blir lidande om en myndighets behov inte kan tillgodoses eller prioriteras av den myndighet som sköter it- Förslag till varaktiga former för samordnad statlig it-drift Vi har i vårt arbete fått kännedom om exempel som visar på vilka utmaningar och frågor som kan uppstå. Vi vet t.ex. att använ- dande av viss teknisk plattform kan ha betydelse för om det är möj- ligt eller lämpligt för en myndighet att samordna sin it-drift med en annan myndighet. Det kan även finnas beroendeförhållanden mellan myndigheternas olika uppgifter, t.ex. tillsyn, som innebär att en sam- ordning är olämplig. Vi har även fått kännedom om exempel där det funnits utma- ningar att fastställa en prioriteringsordning mellan myndigheterna vid ett eventuellt driftsstopp. Det har visat sig vara särskilt utma- nande när den myndighet som tillhandahåller it-drift har lägre säker- hetskrav än den myndighet som vill ansluta sig. Vi har förstått att de högst ställda kraven på säkerhet dimensionerar för den nivå av säker- het som krävs när en myndighet tillhandahåller it-driftstjänster till andra myndigheter. För att hantera risken att det uppstår en konflikt om vilken myndighet som bör prioriteras bedömer vi det som lämp- ligt att leverantörsmyndigheternas säkerhetskrav avgör säkerhets- nivån i tjänsterna som erbjuds och därmed vilka myndigheter som går att ansluta. Det innebär att en leverantörsmyndighet kan ansluta en myndighet som har motsvarande eller lägre krav på säkerhet. En prioriteringsordning i förhållande till andra myndigheter som är an- slutna till samma leverantörsmyndighet bör därefter formaliseras myn- digheterna emellan i samverkansöverenskommelsen. Prioriterings- ordningen skulle t.ex. kunna baseras utifrån grad av samhällskritisk verksamhet. För att säkerställa att myndigheter med olika grad av säkerhets- krav, olika typ av verksamhet och olika tekniska krav ska kunna an- sluta sig till ett samordnat statligt tjänsteutbud kan det finnas behov av att komplettera den samordnade statliga it-driften i fram- tiden kompletteras med ytterligare leverantörsmyndigheter än de vi föreslår. kan det övervägas om det behövs ett inbäddat ramverk för styrning av prioritet för tillgång till it-drift. Det skulle kunna liknas vid den metod för planering, Styrel, som tillsam- mans med andra aktörer har utarbetat för att kunna prioritera sam- Förslag till varaktiga former för samordnad statlig it-drift hällsviktiga elanvändare vid en frånkoppling. Frågan har även adres- serats av MSB i en rapport från 2015.1 Utredningens bedömning: Varje myndighet som vill ansluta sig till det samordnade statliga tjänsteutbudet måste ta ställning till om det är möjligt och lämpligt utifrån de krav som säkerhets- skyddslagen ställer på myndighetens verksamhet. De myndigheter som tillhandahåller tjänster inom det samordnade statliga tjänste- utbudet måste löpande ta ställning till hur tillhandahållandet på- verkar myndighetens verksamhet utifrån säkerhetsskyddssynpunkt. Verksamhetsutövaren är ansvarig för att göra de bedömningar som säkerhetsskyddslagen kräver. Detta innefattar bland annat att iden- tifiera vilka delar av verksamheten som omfattas av säkerhetsskydd. Om det finns sådana delar, så måste säkerhetsskyddsregleringen föl- jas oavsett om verksamheten bedrivs i egen regi eller om någon del av verksamheten som omfattas av säkerhetsskyddslagen utkontrak- teras. Vid en utkontraktering spelar det ingen roll om en privat leve- rantör anlitas eller om it-drift erhålls från en annan statlig myndighet –säkerhetsskyddregleringen ska tillämpas av verksamhetsutövaren oavsett. Beroende på hur känslig en verksamhet eller uppgift är ur säkerhetssynpunkt så är utkontraktering överhuvudtaget i vissa fall inte ett alternativ, varken till en privat leverantör eller till en annan statlig myndighet. En myndighet som har för avsikt att ansluta sig till ett samordnat statligt tjänsteutbud måste därför först och främst ta ställning till om säkerhetsskyddslagen gäller för de uppgifter eller för den verksam- het som då ska hanteras inom ramen för samordnad statlig it-drift. Finns det någon osäkerhet om huruvida säkerhetsskyddslagen ska tillämpas för någon del av verksamheten så bör en säkerhetsskydds- analys göras för att få svar på den frågan. Vi har redogjort i avsnitt 3.4.1 för att nytillkomna ändringar i säkerhetsskyddslagen, innefattande bl.a. en utvidgning av skyldigheten 1MSB (2015), It- och informationssäkerhet i Erfarenheter och reflektioner från några större it-incidenter –2014. Förslag till varaktiga former för samordnad statlig it-drift att ingå säkerhetsskyddsavtal. Tillämpningen av samrådsbestämmel- sen inom ramen för samordnad statlig it-drift har vi berört i av- snitt 10.6.5. En fråga som uppkommit under vårt arbete är om säkerhetsskydds- regleringen innebär ett krav på att en myndighet som önskar ansluta sig till ett samordnat statligt tjänsteutbud i sin säkerhetsskyddsanalys behöver beakta hur skyddsvärdet av myndighetens uppgifter påverkas av andra myndigheters uppgifter som hanteras av samma leveran- törsmyndighet, och av leverantörsmyndighetens uppgifter. Vår be- dömning är att säkerhetsskyddsanalysen ska genomföras utifrån den egna verksamheten. En verksamhetsutövare kan inte förväntas ha, eller kunna få tillgång till, sådan information som kan krävas för att ta ställning till vilken påverkan andra myndigheters uppgiftsmängder kan ha på skyddsvärdet av de egna uppgifterna. Däremot kan verk- samhetsutövaren i lämplighetsbedömningen behöva analysera lämplig- heten i en åtgärd som innebär att uppgifter ska hanteras av en aktör som kan vara en intressant måltavla på grund av sitt innehav av aggre- gerade mängder uppgifter. En annan, sammanhängande fråga är vilka skyldigheter en leve- rantörsmyndighet har att bedöma hur hanteringen av anslutande myn- digheters information påverkar behovet av säkerhetsskydd i den egna verksamheten (som består dels av verksamheten att tillhandahålla it- drift till andra myndigheter, dels leverantörsmyndighetens övriga verksamhet). Vår bedömning i denna del är att leverantörsmyndig- heterna löpande behöver bedöma och ta ställning till hur hanteringen av anslutande myndigheters it-drift och därmed sammanhängande informationshantering påverkar behovet av säkerhetsskydd för den samlade verksamheten som leverantörsmyndigheten bedriver. Den samordnande myndigheten behöver ta ställning till vilka krav säkerhetsregleringen uppställer avseende hantering av uppgifter om myndigheters behov av it-drift, uppgifter kopplade till det samord- nade statliga tjänsteutbudet och andra uppgifter som den samord- nande myndigheten hanterar om samordnad statlig it-drift. Den samordnande myndigheten och leverantörsmyndigheten be- höver verka för att motarbeta oönskade beroenden där ett över- vägande antal eller samtliga myndigheter använder en eller ett fåtal produkter, tjänster, eller leverantörer inom det samordnade statliga tjänsteutbudet. Förslag till varaktiga former för samordnad statlig it-drift 11.7Reglering av villkoren för leverantörsmyndigheternas behandling av personuppgifter Utredningens förslag: En leverantörsmyndighets personuppgifts- behandling för en ansluten myndighets räkning, när den anslutna myndigheten är personuppgiftsansvarig och leverantörsmyndig- heten personuppgiftsbiträde, ska regleras i den förordning som vi föreslår. De villkor som uppställs i artikel 28.3 i dataskyddsför- ordningen, som inte är möjliga att reglera i förordningen, ska vara en del av den skriftliga överenskommelsen. Vår bedömning är att leverantörsmyndigheterna som utgångspunkt kommer att vara personuppgiftsbiträden ifråga om den personupp- giftsbehandling som kommer att utföras inom ramen för it-driften som tillhandahålls anslutna myndigheter. De anslutna myndigheterna kommer sannolikt i de allra flesta fall vara personuppgiftsansvariga, men det kan inte uteslutas att det finns fall då en ansluten myndighet är personuppgiftsbiträde åt en annan myndighet. I de fall den anslutna myndigheten är personuppgiftsansvarig så kommer ett personuppgiftsbiträdesavtal behöva slutas mellan leve- rantörsmyndigheten och den anslutna myndigheten, om inte villkoren för personuppgiftsbehandlingen regleras på annat vis. Vi har uppfattat att slutande av personuppgiftsbiträdesavtal utgör en inte obetydlig administrativ börda inom den offentliga förvaltningen. Det är inte otänkbart att denna administrativa börda dessutom relativt sett är mer betungande för mindre myndigheter. Att införa bestämmelser om villkoren för leverantörsmyndigheternas behandling av person- uppgifter i nationell rätt är ett sätt att minska denna administrativa börda. Inom det samordnade statliga tjänsteutbudet kommer varje leve- rantörsmyndighet ha flera anslutna myndigheter, och därmed flera personuppgiftsbiträdesavtal att förhålla sig till. Regleringen i arti- kel 28.3 lämnar ett utrymme att närmare precisera villkoren för per- sonuppgiftsbiträdets behandling i det enskilda fallet. En leverantörs- myndighet kan inte kräva av en personuppgiftsansvarig anslutande myndighet att en viss avtalsmall ska användas. I den utsträckning som inte en och samma avtalsmall kan användas för samtliga myn- Förslag till varaktiga former för samordnad statlig it-drift digheter som en leverantörsmyndighet ansluter (eller för samtliga myndigheter som ansluter sig till det samordnade statliga tjänste- utbudet) så kan en nationell reglering av villkoren för leverantörs- myndigheternas behandling bidra med tydlighet och enhetlighet för de registrerade som berörs av personuppgiftsbehandlingen. Vi kan också konstatera att till skillnad från den typsituation för vilken regleringen i och rådets förordning (EU) 2016/679 av om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (data- skyddsförordningen) är utformad, när en från den personuppgifts- ansvarige separat aktör ska utföra behandling av personuppgifter för den ansvariges räkning, så är det i det aktuella fallet fråga om två aktörer – myndigheter – som ingår i den juridiska personen staten. Den personuppgiftsansvariga myndigheten och personuppgiftsbiträdet, dvs. leverantörsmyndigheten, utövar reglerad verksamhet och lyder i stor utsträckning under samma lagar och regler. Utrymmet för att råda över personuppgiftsbehandlingen är i stor utsträckning redan begränsat genom det regelverk som gäller för offentlig verksamhet. Det är enligt vår uppfattning önskvärt utifrån de registrerades per- spektiv att regleringen av personuppgiftsbiträdets behandling för den ansvariges räkning inom ramen för ett samordnat statligt tjänsteutbud i så stor utsträckning som möjligt är enhetlig. Det finns enligt vår bedömning inga integritets- eller dataskyddsaspekter som talar emot en författningsreglering – tvärtom. Mot denna bakgrund föreslår vi att villkoren för personuppgifts- biträdets behandling ska regleras i den förordning som vi föreslår. Som vi läser artikel 28.3 i dataskyddsförordningen kan den natio- nella lagstiftaren – om den väljer att i nationell rätt införa de regler som nämns i artikeln – nöja sig med att i princip kopiera förord- ningstexten. De villkor som framgår av artikel 28.3 (a)–(h) ska där- för införas i förordningen vi föreslår om samordnad statlig it-drift. Det bör framhållas att oavsett hur den nationella regleringen ut- formas kommer det återstå vissa frågor relaterade till behandlingen av personuppgifter i den enskilda uppdragsrelationen. Det är alltså fråga om förhållanden som varierar från personuppgiftsbehandling till personuppgiftbehandling och därmed inte låter sig regleras i en förordning, som ju måste innehålla generella bestämmelser. Som exempel på sådant som behöver regleras i det enskilda fallet kan näm- Förslag till varaktiga former för samordnad statlig it-drift nas föremålet för behandlingen, behandlingens varaktighet, art och ändamål, typen av personuppgifter, kategorier av registrerade och instruktionerna till personuppgiftsbiträdet. Vår bedömning är att regleringen av dessa delar kan utgöra en del av den skriftliga doku- mentationen av samverkansöverenskommelsen. En möjlig invändning mot vårt förslag är att den administrativa bördan inte helt försvinner eftersom det fortfarande kommer att krävas förhandling och dokumentation av vissa frågor kopplade till uppdraget att behandla personuppgifter, t.ex. avseende säkerhets- nivåer. Det kan konstateras att utformningen av artikel 28 närmast är anpassad för ett förhållande mellan två parter. Vårt förslag om- fattar en mängd aktörer och personuppgiftsbehandlingar, varför regler- ingen av nödvändighet måste hållas generell. Vår bedömning är dock, inte minst utifrån att det här är fråga om ett antal myndigheter som ingår i samma juridiska person och inte två mer eller mindre ojämn- bördiga parter, att det finns mycket som talar för att införa en för- fattningsreglering av villkoren för personuppgiftsbiträdets behand- ling av personuppgifter inom ett samordnat statligt tjänsteutbud och att dessa skäl inte förtas av att det inte är möjligt att införa en regler- ing som ersätter personuppgiftsbiträdesavtal i sin helhet. Ett alternativ till att införa samtliga villkor för personuppgifts- biträdets behandling i förordningen är att enbart införa en bestäm- melse om rätt för den samordnande myndigheten att, i likhet med vad som gäller för Lantmäteriet och som vi beskrivit i avsnitt 9.3.3, besluta om föreskrifter om leverantörsmyndigheternas behandling av personuppgifter för anslutna myndigheters räkning. Vi bedömer dock att det bidrar till en större tydlighet att regleringen genomförs i form av en förordning. Att den effektivisering som vi ser som ett starkt skäl för att införa en reglering sker blir annars beroende av att föreskrifter faktiskt beslutas. När det gäller Lantmäteriets föreskrifts- rätt så är den dessutom knuten till rollen som personuppgiftsansva- rig. Den samordnande myndigheten kommer inte att ha någon roll i personuppgiftsbehandlingen som äger rum inom det samordnande statliga tjänsteutbudet. Det kommer inte heller, som i fallet med Lantmäteriet, att finnas en personuppgiftsansvarig utan det kommer vara fråga om ett obestämt antal personuppgiftsansvariga myndigheter som berörs. Detta talar också enligt vår mening emot en föreskrifts- rätt i stället för reglering genom förordningen. Vi ser egentligen inga skäl som talar för en föreskriftsrätt framför en förordningsreglering. Förslag till varaktiga former för samordnad statlig it-drift 11.8Samordnad upphandling av privata leverantörers tjänster 11.8.1Behovsstyrd och samordnad upphandling av tjänster inom samordnad statlig it-drift Utredningens förslag: Kammarkollegiet ska ges i uppgift att sam- verka med den samordnande myndigheten om upphandling av ram- avtal för tjänster inom it-drift avsedda för statliga myndigheter. Upphandlingen ska utgå från de behov som den samordnande myndigheten bedömt finns hos myndigheterna och de krav som den samordnande myndigheten bedömt måste vara uppfyllda för att de upphandlande tjänsterna ska kunna användas av myndig- heterna. Den samordnande myndigheten ska ansvara för behovsinsam- ling och teknisk och rättslig kravställning inför Kammarkollegiets ramavtalsupphandlingar av tjänster inom it-drift. Vår bedömning är att det kommer finnas ett fortsatt behov hos stat- liga myndigheter av privata leverantörers it-driftstjänster. Upphandling är ett område där vi identifierat att det finns kom- petensbrist. Upphandlingar är dessutom resurskrävande. Det är där- för enligt vår uppfattning rationellt att i så stor utsträckning som möjligt samordna upphandlingar av it-driftstjänster. finns en samordning genom de ramavtal som upphandlas av Kammarkollegiet. Vi har under utredningsarbetet erfarit att dessa avtal avropas i begränsad utsträckning. Skälen till detta har viförstått är flera, och bl.a. beroende på den osäkerhet som råder kring de rättsliga krav som ställs på statliga myndigheters informa- tionshantering utifrån bl.a. dataskyddsregleringen. Kammarkollegiets uppgift när det gäller upphandling av ramavtal inom it-området är dess- utom brett; upphandlingarna ska tillgodose både statliga, regionala och kommunala myndigheters behov av it-drift. Som vi beskrivit i avsnitt 11.3 ska den samordnande myndigheten ha en samlad bild av de behov av it-driftstjänster som finns bland myndigheterna och av vilka krav som ska vara uppfyllda avseende bl.a. säkerhet och dataskydd för att tjänsterna ska kunna användas av myndigheterna. Förslag till varaktiga former för samordnad statlig it-drift Ett alternativ som vi övervägt är att ge den samordnande myn- digheten i uppgift att upphandla de ramavtal för tjänster som det finns behov av inom den samordnade statliga it-driften. Vi bedömer dock att detta skulle innebära uppbyggnad av en parallell struktur till den som redan finns inom Kammarkollegiet. Det skulle dessutom sannolikt krävas rekrytering av ytterligare kompetens inom upphand- ling, oavsett vilken aktör som får i uppgift att vara samordnande myn- dighet. Av dessa skäl har vi avfärdat alternativet att den samordnande myndigheten ska i uppgift att upphandla ramavtal för tjänster inom samordnad statlig it-drift. Ett annat alternativ är att överföra uppgiften att genomföra sam- ordnad upphandling av ramavtal från Kammarkollegiet till den sam- ordnande myndigheten, tillsammans med berörd personal. Kammar- kollegiets uppgift att upphandla ramavtal inom it-drift gäller dock i förhållande till hela den offentliga förvaltningen. Den samordnande myndighetens uppgift är begränsat till vissa myndigheter under reger- ingen. Det är bl.a. av detta skäl inte lämpligt att överföra uppgiften till den samordnande myndigheten. Kammarkollegiet bör därför enligt vår uppfattning även fortsätt- ningsvis upphandla ramavtal för it-driftstjänster för statliga myndig- heter. Det är den samordnande myndigheten som kommer att ha den samlade behovsbilden avseende tjänster och vilka krav dessa ska uppfylla för att kunna användas i statliga myndigheters verksamhet. För att säkerställa att de tjänster som upphandlas svarar mot de behov som finns inom statlig förvaltning bör Kammarkollegiet ges i uppgift att samverka med den samordnande myndigheten om upp- handlingar av ramavtal inom it-drift. Den samordnande myndigheten ska ges i uppgift att ansvara för behovsinsamling och teknisk och rättslig kravställning inför Kammarkollegiets ramavtalsupphandlingar av tjänster inom samordnad statlig it-drift. 11.8.2Ramavtal för it-drift för små myndigheter Utredningens bedömning: Regeringen bör säkerställa att Kammar- kollegiet upphandlar ett ramavtal för it-drift för myndigheter med färre än 100 anställda. Förslag till varaktiga former för samordnad statlig it-drift Statens inköpscentral vid Kammarkollegiet har i uppgift att upphandla samordnade ramavtal för den offentliga förvaltningen inom bl.a. it- området. I uppgiften ingår att tillhandahålla stödverksamhet för in- köp vid avrop från de samordnade ramavtal som myndigheten har upphandlat. Statens inköpscentral har upphandlat två nu gällande ramavtal för it-drift; ett för större myndigheter (fler än 400 anställda) och ett för mellanstora myndigheter (100–400 anställda). Det finns inte något ramavtal för it-drift som myndigheter med färre än 100 anställda kan avropa från. Kammar- kollegiet hade för avsikt att upphandla ett sådant ramavtal som skulle gälla , men efter tvist i domstol om den sjuåriga löptiden så kom inte något ramavtal till stånd. Kort därefter lämnade regeringen uppdraget om samordnad och säker statlig it-drift till Försäkrings- kassan. Eftersom små myndigheter var en prioriterad målgrupp i uppdrag inledde Kammarkollegiet inte någon upphandling av nytt ramavtal för it-drift för små myndigheter. Vår utvärdering av har visat att det av olika skäl inte funnits möjlighet att ansluta alla myndigheter som visat in- tresse för samordnad it-drift tillhandahållen av . Inte minst av den anledningen finns det enligt vår mening ett fortsatt stort behov av ett ramavtal för it-drift, i synnerhet för de mindre myndigheterna, då dessa mer sällan besitter den kompetens och de resurser som krävs för att genomföra en upphandling av it-drift. Kvar står då alternativet att behålla driften i egen regi, vilket i vissa fall varken är det mest lämpliga, säkra eller kostnadseffektiva alternativet. Mot denna bakgrund anser vi att det är angeläget att Kammar- kollegiet upphandlar ett ramavtal för it-drift för små myndigheter (med färre än 100 anställda). Regeringen bör därför säkerställa att Kammarkollegiet genomför en sådan upphandling. I avsnitt 8.2 har vi redogjort för reglerna i och i kon- kurrenslagen om bl.a. konkurrensrättens tillämplighet. I detta avsnitt gör vi vissa överväganden utifrån de förslag avseende samordnad statlig it-drift som vi presenterat i det föregående. Det är viktigt att framhålla att det i slutändan är de myndigheter som berörs av sam- Förslag till varaktiga former för samordnad statlig it-drift ordnad statlig it-drift som måste bedöma om konkurrensrätten ska tillämpas i någon del av myndigheternas verksamhet. Utredningens bedömning: Tillhandahållande av tjänster inom ett samordnat statligt tjänsteutbud kan vara företag i konkurrens- rättslig mening. Våra förslag innebär att statliga myndigheter – leverantörsmyndig- heter – kommer att erbjuda tjänster inom it-drift mot avgift till andra statliga myndigheter. Att tjänsterna kommer att erbjudas mot betal- ning (i form av avgifter) talar enligt vår bedömning för att det är fråga om tjänster av ekonomisk art. De tjänster som kommer att erbjudas inom det samordnade stat- liga tjänsteutbudet är sannolikt sådana som erbjuds av privata aktörer, dvs.