sou · H9B397 · 2021-12-15 00:00:00 — –Stora myndigheter: är i första hand intresserade av enstaka tjänster som är enkla att konsumera inom ett område där man inte själv klarar av att leverera, exempelvis datacenter som molntjänst. Syftet är i första hand effektivisering. bedömer att behovsanalysen stämmer väl och är aktuell även . De myndigheter som haft kon- takt med har också uttryckt att de känner igen sig i behovsbild. 6.3.2Processen för anslutning av myndigheter har utvecklats efter hand Det fanns ingen färdig process eller rutin för anslutning när upp- draget startade. har därför fått ta fram, utveckla och förfina processen för anslutning av kundmyndigheter under upp- dragets gång. Processen, som kallas för anslutningsmodell, är inspirerad av privat sektor och består av fyra steg som ska stödja arbetet från förfrågan till etablerad it-tjänst och samverkan. Modellen be- skriver de olika stegen i anslutningsprocessen, vad som ska vara klart i varje steg, viktiga beslutspunkter samt roll- och ansvarsfördelning. De fyra stegen framgår nedan. Det första steget i anslutningsprocessen – initiera – startar när en myndighet kontaktar med förfrågan om att an- sluta sig till den samordnade it-driften eller genom att Försäkrings- SOU 2021:97 Utvärdering av uppdrag om samordnad och säker statlig it-drift kassan får ett uppdrag eller direktiv att ansluta en myndighet. En analys görs av myndighetens behov och förutsättningar utifrån en checklista och svaren vägs mot vad kan erbjuda. Bl.a. ställs frågor om myndighetens verksamhet, drivkrafter, behov av säkra lösningar och var man står när det gäller it-drift och digita- lisering. Hur denna fas tar beror på vilken kännedom myn- digheten har om sin information, myndighetens behov och hur den befintliga it-driftslösningen ser ut. bedömer i en egen riskanalys vilken påverkan en anslutning kan få för Försäkrings- kassan. Målet är att nå fram till ett beslut om myndigheten ska, kan eller bör ansluta sig till samordnade it-drift. Om avsikten är att gå vidare i anslutningsprocessen skrivs en avsiktsför- mellan kundmyndigheten och . I annat fall fattas beslut om att avbryta anslutningen. Genom avsiktsförklaringen inleds nästa steg – planera – som syftar till att kundmyndigheten och ska vara överens om innehåll, omfattning och styrande principer för fortsatt anslut- ning och samverkan. En detaljerad behovsanalys tas fram, ibland i samarbete med kundmyndighetens befintliga it-driftsleverantör. Under planera-fasen ska även de ekonomiska ramarna och styrformerna för nästa steg – bygga – vara förankrade hos båda parter. Om parterna kommer fram till att en anslutning ska göras tecknas en samverkans- överenskommelse och en samverkansaktivitet genomförs. Även här kan parterna komma fram till att samverkan ska avbrytas. Samverkansöverenskommelsen tas sedan vidare och utvecklas i nästa steg – bygga. Även denna fas kan se olika ut beroende på kundmyn- dighet, behov och leverans. Bygga-fasen avslutas när kundmyndig- heten och driftsorganisation nått fram till en accepterad leverans. Samverkansöverenskommelsen har då komplet- terats med bilagor som fastställer ekonomi, säkerhet m.m. Målet är en effektiv och trygg utformning och etablering av överenskommet driftsåtagande. Utvärdering av uppdrag om samordnad och säker statlig it-drift När parterna kommit fram till en accepterad leverans går man över i det sista steget i anslutningen – köra – där kontaktvägar och gräns- snitt för kommunikation fastställs. Målet är att båda parter är överens om hur tjänsterna ska följas upp och hur en god samverkan ska ut- vecklas och bibehållas. I denna fas kan både förvaltnings- och utveck- lingsfrågor bli aktuella liksom ändrade behov. Anslutningsprocessen är fullföljd när det finns ett etablerat it-tjänsteåtagande och en etable- rad samverkan. 6.3.3Modell för prioritering av myndigheter Frågan om vilka myndigheter skulle prioritera i uppdraget togs upp redan i uppdragsdialogen, vilket vi beskrivit i av- snitt 6.2.1. har efter hand tagit fram en modell för vikt- ning av myndigheter där kundmyndigheterna får olika värden utifrån verksamhet, behov och förutsättningar samt vad som kommer fram i dialogen med myndigheterna. I modellen sätts ett grundvärde för om myndigheten omfattar samhällsbärande och säkerhetskänslig verksamhet som helhet, delvis eller inte alls. Därefter rangordnas verk- samhetens behov och förutsättningar enligt följande kriterier: 1) it- säkerhet, 2) kostnadseffektivitet, 3) liten myndighet, 4) digitaliser- ing. Företrädare för it-avdelningen på framhåller att det också är viktigt att kundmyndigheten har rätt drivkraft för att gå in i en samverkan med . Myndigheter som inte har någon utmaning vad gäller säkerhet, kostnadseffektivitet eller digitalisering utan enbart vill hitta en alternativ lösning till sin befintliga it-driftsleverantör är inte aktuella för anslutning till en sam- ordnad statlig it-drift. har med tiden lärt sig att ställa ”rätt” frågor för att få en tydlig bild av drivkrafterna. I våra intervjuer med företrädare för fram- kommer dock att prioriteringsmodellen i praktiken inte använts syste- matiskt. Det har inte heller ställts skarpa krav på prioritering efter- som myndigheterna kommit in med sina förfrågningar allteftersom och då bedömts i varje enskilt fall. har alltså i liten grad behövt prioritera mellan flera myndigheter vid ett och samma tillfälle. Av de myndigheter som är anslutna eller som är på väg SOU 2021:97 Utvärdering av uppdrag om samordnad och säker statlig it-drift att anslutas finns i vissa fall andra skäl bakom anslutningen (se närmare avsnitt 6.3.4 nedan om anslutna myndigheter). Vilka skäl som varit tyngst vägande har också varierat något . Säkerhet har varit i fokus. Mindre myndigheter har varit en viktig målgrupp i uppdraget eftersom de har särskilda utmaningar och be- hov. De är också en grupp som visat stort intresse för anslutning. Trots detta har parametern liten myndighet en lägre viktning än kost- nadseffektivitet i modellen. I praktiken är dock flertalet av de anslutna myndigheterna små myndigheter. Det fanns ett stort intresse för den samordnade it-driften redan från att uppdraget startade. tog ett 30-tal myn- digheter kontakt med . Merparten av dessa var små myndigheter. och fram t.o.m. har 56 myndigheter kon- taktat angående samordnad statlig it-drift. Myn- digheterna efterfrågar olika typer av it-driftstjänster vilket beskrivs närmare i avsnitt 6.5. Några myndigheter har kontaktat Försäkrings- kassan enbart för att få allmän information om vad samordningen innebär. Anslutningsläget i olika faser i anslutningsprocessen framgår av tabell 6.1. nedan. har utöver det kontakt med ett flertal myndigheter där det är mer oklart om och när en anslutning kommer ske. Utvärdering av uppdrag om samordnad och säker statlig it-drift Tabell 6.1 Myndigheter i olika faser i anslutningsprocessen inom ramen för regeringsuppdrag () förvaltning (DIGG) Källa: Sammanställning utifrån uppgifter från . Anm. lämnade en delredovisning till regeringen. Av denna framgår att Arbetsförmedlingen och nu befinner sig i köra -fasen, Det framgår även att , länsstyrelserna och har anslutits till den avgränsade tjänsten E-identitet för offentlig sektor (EFOS). Fram t.o.m. är sex myndigheter fullt ut anslutna till För- säkringskassans samordnade statliga it-drift, se tabell 6.2. Samtliga avser helhetsåtaganden. Tabell 6.2 Myndigheter som är anslutna till samordnade statliga it-drift () Källa: egen sammanställning. SOU 2021:97 Utvärdering av uppdrag om samordnad och säker statlig it-drift Den första myndigheten att anslutas till samord- nade statliga it-drift var Myndigheten för digital förvaltning (DIGG). Förfrågan om anslutning kom från den organisationskommitté som ansvarade för etableringen av den nya myndigheten. En samordning sågs som naturlig både med tanke på myndighetens lokalisering till och myndighetens uppdrag. Anslutningen gick förhållande- vis snabbt och var styrd av tidpunkten för den formella invigningen av DIGG. Utöver den renodlade it-driften (säker it-arbetsplats, CAP- tjänst etc.) där DIGG är i köra-fasen befinner sig DIGG i anslut- ningsprocessen även för andra tjänster. För t.ex. eIDAS-noden som DIGG enligt sin instruktion ansvarar för ligger DIGG både i planera- och bygga-fasen hos . Nästa myndighet att anslutas var Statens servicecenter. aviserade regeringen att Statens servicecenter skulle ta över de lokala servicekontoren. Regeringsuppdragen beslutades och skulle även omfatta förberedelse av en stegvis överföring av ansvaret för it-drift till . En avsiktsförklaring tecknades omfattande it-drifttjänster både för att ersätta delar av existe- rande it-drift på Statens servicecenter och en överföring av it-drift- tjänster till den nya servicekontorsverksamheten. Överföringen till skulle i de centrala delarna vara klar till , vilket var en tidplan som hölls. Överföringen till avseende it-driften för servicekontoren skulle påbörjas , men denna överföring försenades . Den huvud- sakliga anledningen till förseningen var ett behov av att invänta nöd- vändiga lagändringar (prop. 2018/19:47), men även att överföringen behövde ske stegvis eftersom den omfattande 116 kontor, vilket var resurskrävande och komplext att genomföra. var en av de första myndigheterna som tog kontakt med . Myndigheten såg ett behov av att gå över från sin dåvarande privata it-driftsleverantör till en säkrare lösning. De första kontakterna togs och fortsatte under efterföljande år. Flera frågor aktualiserades med anledning av anslutningen, bl.a. om sekretess. Detta tillsammans med andra frå- gor ledde till vissa förseningar och att Statens servicecenter kom att anslutas före . fick med anledning av det förlänga avtalet med den privata leverantören fram till anslutningen . Utvärdering av uppdrag om samordnad och säker statlig it-drift tog kontakt med första gången . Myndigheten stod inför en ny upphandling och hade via kontakter med hört talas om deras sam- ordning med och blev intresserade. Därefter har man successivt arbetat sig igenom de olika faserna i anslutningspro- cessen fram till anslutningen som skedde . Anslutningen har löpt på enligt plan. Myndigheten för familjerätt och föräldraskapsstöd (MFoF) an- slöts . Myndigheten tog kontakt med i samband med att myndigheten utlokaliserades till . MFoF är en liten myndighet med få anställda och en sam- ordning med sågs som ett lämpligt sätt att övergå från befintlig privat it-driftslösning och stärka kompetensen på om- rådet. Anslutningen av myndigheten har av olika skäl dragit ut , bl.a. har frågan om MFoF är en lämplig kandidat i uppdraget påverkat tidplanen. har också arbetat parallellt med andra anslutningar, vilket enligt företrädare för MFoF också har påverkat myndighetens anslutning. Myndigheten för delaktighet gick över i köra-fasen och är fram t.om. den senaste myndigheten som anslutits. Myndigheten har hanterat sin it-drift i egen regi och såg ett behov av att höja säkerheten och minska sårbarheten inom it och tog därför kontakt med . Genom den kommande anslut- ningen har antalet anställda som arbetar med it-drift minskats från tre till en. Två myndigheter befinner sig i bygga-fasen. Samtliga avser att ansluta hela sin it-drift till . Tabell 6.3 Myndigheten i Bygga-fasen inom ramen för uppdrag () Källa: Egen sammanställning. SOU 2021:97 Utvärdering av uppdrag om samordnad och säker statlig it-drift tog de första kontakterna med Försäkrings- kassan och befinner sig nu i bygga-fasen för en del av it- driften och planera-fasen för en annan del. Det finns flera skäl till att myndigheten valt att gå in i uppdrag. Man såg ett behov av att gå över från befintlig privat leverantör till en säkrare, mer stabil och långsiktig lösning. Dessutom fanns synergieffekter genom att och hanterar lik- artad information, har liknande behov och likartad syn kring arkitek- tur. blir den första kundmyndigheten med ett 24/7-åtagande som ansluts till . Även () är i bygga-fasen och på- började sin anslutningsprocess . Myndigheten har en privat it-driftslösning. Anslutningen till motiveras av att SPV vill säkerställa en hög säkerhetsnivå för it-driften och att infor- mationen hanteras på ett tryggt och säkert sätt. Kostnadseffektivitet är också en viktig aspekt i valet av it-driftslösning. Planen är att ska ta över myndighetens it-drift from 2023. 6.3.5Hur tycker kundmyndigheterna och att anslutningarna har fungerat? Som framkommit har den korta tidplanen inför och under uppdraget inneburit att har fått utveckla processer, rutiner och checklistor för anslutning parallellt med faktisk anslutning av kundmyndigheter. Vissa frågeställningar har därmed fått hanteras löpande och när kundmyndigheterna har tagit upp dem. Det har exem- pelvis handlat om ansvarsfördelning mellan parterna, utformning av överenskommelse, säkerhetsfrågor, arbetsformer i anslutningen och styrformer. framhåller att de senare anslutningarna har varit bättre förberedda än de tidiga anslutningarna. Av våra intervjuer med företrädare för kundmyndigheterna fram- kommer att myndigheterna ändå tycker att anslutningen till Försäk- ringskassans it-drift på det stora hela har fungerat väl. Försäkrings- kassan upplevs som en stabil och säker it-organisation. Anslutningarna har i regel löpt på enligt tidplan. I vissa fall har det tagit tid från första kontakt till faktisk anslutning, vilket berott på både Försäkrings- kassan och enskilda kundmyndigheter. I två fall har anslutningen försenats på grund av att har genomfört parallella anslutningar. En synpunkt som lyfts fram är att kundmyndigheterna Utvärdering av uppdrag om samordnad och säker statlig it-drift får information om kostnaden för it-driften först i ett sent skede i processen då det kan upplevas som svårt att avbryta och hitta en ny leverantör. Företrädare för it-avdelningen inom konstate- rar att anslutningsmodellen är anpassad för anslutning för helhets- åtaganden vilket gör den relativt krävande både för kundmyndig- heter och för . Man behöver därför titta på vilka förändringar som behöver göras när man ansluter kundmyndigheter som efterfrågar enstaka tjänster. menar också att man har lagt mycket tid på initiera- och planeringsfaserna. Mer tid behöver läggas på att utveckla och standardisera även bygga- och köra-faserna där en viktig fråga är hur själva leveransen ska reali- seras på bästa sätt. 6.3.6Uppdragsrelationen dokumenteras i överenskommelser sluter en överenskommelse med varje myndighet som ansluts. I flera av överenskommelserna för kundmyndigheter i köra-fasen används formuleringar som exempelvis att överenskom- melsen ”reglerar” bl.a. villkor för it-drift, att öve- renskommelsen är ”giltig” under vissa angivna förutsättningar och att den kan sägas upp. Vidare finns skrivningar om tolkning av överens- kommelsen. Man är dock hos medveten om att överenskommelserna inte har någon rättslig status. Det är också tyd- ligt att överenskommelserna utvecklats – i senare tillkomna överenskommelser anges uttryckligen att överenskommelsen som sådan inte har några rättsverkningar. Innehållet i överenskommelserna med olika kundmyndigheter är inte helt identiska men de flesta överenskommelser innehåller ett avsnitt där syftet med överenskommelsen beskrivs. I senare tillkomna överenskommelser beskrivs i stället syftet med samverkan. Flera öve- renskommelser innehåller en skrivning om att enbart får hantera uppgifter som ett led i teknisk bearbetning och teknisk lagring för annans räkning. I en överenskommelse anges hur intressekonflikter, som kan uppstå på grund av att levererar it-drift till flera myndigheter, ska hanteras av Försäkrings- kassan. SOU 2021:97 Utvärdering av uppdrag om samordnad och säker statlig it-drift I de flesta överenskommelser finns avsnitt om hur ändringar och tillägg kommer till stånd, om hävning, om force majeure och om tvister. När det gäller tvister så anges att dessa ska lösas genom för- handling och i vissa fall att tvister som inte kan lösas inom ramen för samverkansmodellen eskaleras vidare till respektive myndighetschef att gemensamt hantera. I några överenskommelser anges att tvister i sista hand avgörs genom att de hänskjuts till regeringen. Till överenskommelserna finns flera bilagor, bl.a. rörande hur samverkan ska ske, beräkningsmodeller för kostnader, administrativa rutiner och villkor för behandling av personuppgifter (personupp- giftbiträdesavtal) inklusive instruktioner för personuppgiftsbiträdets behandling. Vilka bilagor som finns skiljer sig i viss utsträckning från överenskommelse till överenskommelse. Samtliga kundmyndigheter har dock tecknat personuppgiftsbiträdesavtal med . Dessutom finns till samtliga träffade överenskommelser för myndig- heter i köra-fasen en bilaga om servicenivåer och leveransuppföljning. 6.3.7Otydligt i överenskommelserna vilka förutsättningar som finns för insyn i hantering När det gäller kundmyndigheternas möjlighet till insyn i Försäkrings- kassans informationshantering så regleras det uttryckligen i person- uppgiftsbiträdesavtalen att den personuppgiftsansvarige har rätt att kontrollera att de säkerhetsrelaterade bestämmelserna avseende be- handling av personuppgifter följs och att per- sonuppgiftsbehandling i övrigt sker i enlighet med vad som anges i avtalet. Vidare anges att granskning av personuppgiftsbehandlingen kan ske med bistånd från tredje part samt att personuppgiftsbiträdet ska ge den personuppgiftsansvarige tillgång till all nödvändig infor- mation samt möjliggöra och bidra till granskningen. När det gäller möjligheter till insyn och kontroll av att villkoren för samverkan i övrigt är uppfyllda avseende bl.a. säkerhetsnivåer så finns det inte något skrivet om detta i överenskommelserna. Av våra intervjuer har vi förstått att kundmyndigheterna även sluter säker- hetsöverenskommelser med . Vi har dock inte fått ta del av dessa. I våra intervjuer har det också framgått att det i prak- tiken visat sig svårt för kundmyndigheter att få insyn i Försäkrings- kassans hantering med avseende på bl.a. säkerhetsnivåer (se avsnitt 6.7.4). Utvärdering av uppdrag om samordnad och säker statlig it-drift 6.4.1It-avdelningen har haft stort eget mandat att styra uppdraget Regeringsuppdraget delegerades till it-avdelningen på Försäkrings- kassan och avdelningen har haft stort eget mandat att styra upp- draget. It-avdelningen har haft löpande kontakter med företrädare för och det är primärt här som den löpande dialogen har skett. Genom våra intervjuer med företrädare på har viförstått att myndighetsledningen har följ uppdraget i enlighet med gängse interna rutiner för regeringsuppdrag. Uppdraget har inte prioriterats högre än övriga regeringsuppdrag eller hanterats som ett principiellt viktigt eller strategiskt projekt. Myndighetsledningen har agerat på frågor som lyfts från it-avdelningen och när det funnits behov fört dialog med kundmyndigheter. Överlag tycks den här upp- delningen ha fungerat väl, men under ett antal intervjuer med före- trädare för olika delar av har det framgått att man ser ett behov av att ledningen engagerar sig ytterligare i uppdraget i händelse av att det skulle förlängas eller utvidgas. har fått information om uppdraget vid ett antal tillfällen antingen via it-chefen eller generaldirektören. har därutöver på eget initiativ tagit kontakt med företrädare för ett antal myndigheter för att undersöka möjlig- heten att fler skulle kunna erbjuda it-driftstjänster till de kundmyn- digheter som kommit i kontakt med . Med ut- gångspunkt i detta har ett myndighetsövergripande program bildats under namnet Säkra it-tjänster i statlig samverkan (SITSSAM). bildades även ett myndighetsövergripande program under namnet Program 2032 där ingående myndigheter ämnar ta vidare de förslag som PTS lämnade i sitt regeringsuppdrag Förslag till en förvaltningsmodell för skyddade it-utrymmen. Vi beskriver de två initiativen närmare under avsnitt 7.4. SOU 2021:97 Utvärdering av uppdrag om samordnad och säker statlig it-drift 6.4.2Internrevisionen har granskat uppdraget Internrevisionen genomförde i enlighet med revisionsplan ett uppdrag som handlade om att bevaka myndighetens arbete med regeringsuppdraget. Syftet var att följa de aktivi- teter som pågick inom regeringsuppdraget och identifiera eventuella utmaningar och riskområden. Uppdraget har således inte utgjort en traditionell internrevisionsgranskning. Internrevisionen pekade redan då på behovet av att; –definiera begreppet ”säker” it-drift tillsammans med , –diskutera strategiska roll och vilka risker och konsekvenser som kan uppstå på lång sikt, –klargöra beslutsordningen, –förbättra återrapportering av risker, –tydliggöra prioriteringsordning vid ett eventuellt driftsstopp. genomförde internrevisionen på uppdrag av myndig- hetens styrelse en granskning med syfte att bedöma om den interna styrningen och kontrollen kopplat till regeringsuppdraget har varit ändamålsenlig och effektiv för att leva upp till verksamhetskraven i myndighetsförordningen. Granskningen avrapporterades till styrel- sen . Internrevisionen lämnade i sin granskning iakttagelser inom föl- jande sex huvudområden: 1.Nedbrytning av mål från extern styrning till intern styrning. 2.Prioritering av kundmyndigheter. 3.Förankring av leveransförmåga och tidplan inför anslutning. 4.Bemanning av uppdraget med samtliga nödvändiga specialistkom- petenser. 5.Fördelning av ansvar för att leverera tjänster till kundmyndigheter. 6.Identifiering av risker och hinder. Internrevisionen redogör i sin granskning för två övergripande om- ständigheter som har påverkat deras bedömning. För det första lyfter Utvärdering av uppdrag om samordnad och säker statlig it-drift de fram det faktum att uppdraget delegerades till it-avdelningen av- seende ansvar för såväl styrning som uppföljning. De anger vidare att det tyder på att myndigheten sett uppdraget mer som ett operativt it-driftsuppdrag än ett uppdrag av strategisk betydelse med konse- kvenser på myndighetsnivå . För det andra lyfter de fram att det i stor utsträckning saknas spårbarhet och dokumen- tation eftersom avstämningar genomförts muntligt med avseende bland annat identifierade risker, tolkning av upp- dragets intentioner samt tolkning av roll och ansvar. Detta har enligt deras beskrivning sammantaget försvårat deras granskning. 6.4.3Regeringsuppdraget har organiserats som ett projekt inom it-avdelningen Regeringsuppdraget har organiserats i form av ett projekt inom it- avdelningen under verksamhetsområdet it-produktion. Myndigheten har tillämpat projektstyrning inom linjeorganisationen med beman- ning från it-avdelningen. Projektet har i sin tur avropat stöd vid be- hov från andra avdelningar inom myndigheten bl.a. rättsavdelningen och ledningsstaben (ekonomi- och säkerhetsstaben). Projektet över- lämnar successivt till linjeorganisationen i samband med respektive anslutning och vartefter organisationen börjar etablera permanenta rutiner och processer. It-avdelningen inrättade ett huvudprojekt –2018. Inom huvudprojektet har det bildats tillfälliga delprojekt för att hantera till exempel anslutningen av respektive kundmyndighet. Delprojekten för anslutning bildas i bygga-fasen i anslutningspro- cessen (vi har beskrivit anslutningsprocessen i avsnitt 6.3) och be- drivs helt i linjen. Den leverans som ges i köra-fasen hanteras av samma personal som för övriga delar av verksamhet. Av våra intervjuer med företrädare från projektet och från linje- organisationen framgår att det fortsatt kvarstår en del arbete med att strukturera mottagandet i linjeorganisationen. Projektet har lagt mycket tid på de initiala stegen av anslutningsprocessen och det finns en medvetenhet om att det kvarstår en del arbete med att etablera effek- tiva arbetssätt vid överlämning till linjen. Man ser även ett behov av att strukturera och standardisera leveransen i köra-fasen på ett så- SOU 2021:97 Utvärdering av uppdrag om samordnad och säker statlig it-drift dant sätt att man redan i de tidiga skedena av en anslutning kan ge kundmyndigheterna en bild av hur processen kommer se ut.