sou · H9B397 · 2021-12-15 00:00:00 — Det är även det mest logiska förfarandet med utgångspunkt i de resonemang vi fört när det gäller att skapa förutsättningar för myndigheter att själva kunna välja den it-driftslösning som är mest lämplig. Av våra exem- pel framgår vidare att merparten är nöjda med en avgiftsfinansierad samordnad it-drift. Vi föreslår däremot att de initiala stödinsatser som kan bli aktu- ella för en myndighet som vill ansluta sig till ett samordnat statligt tjänsteutbud ska anslagsfinansieras. För att adressera små myndig- heters behov av ekonomiskt stöd vid anslutning till ett samordnat statligt tjänsteutbud föreslår vi att det ska finnas bidragsmedel att tillgå. De myndigheter som ges i uppdrag att bidra i en samordnad stat- lig it-drift föreslås få anslagsmedel för att finansiera de förberedelser som är nödvändiga för att kunna leverera på sitt uppdrag. Därutöver anser vi att det ska finnas möjlighet att rekvirera bidragsmedel för de myndigheter inom den samordnade statliga it-driften som åtar sig att utveckla delar av det samordnade statliga tjänsteutbudet. Vissa av de investeringar som kan komma att krävas inom det samordnade statliga tjänsteutbudet bör även kunna klassificeras som samhälls- investeringar. Hur detta bör hanteras och fördela sig mellan ingående aktörer återkommer vi till i avsnitt 12.5 och 12.6. 11Förslag till varaktiga former för samordnad statlig it-drift Vi presenterar i detta kapitel våra förslag till varaktiga former för samordnad statlig it-drift, dvs. hur en samordnad lösning ska utfor- mas i praktiken. I detta ingår förslag på hur en samordnad statlig it- drift ska organiseras, vilka aktörer som ska ingå och vilket ansvar och uppdrag de olika aktörerna ska ha. I denna del ingår också förslag på hur samverkan inom den samordnade statliga it-driften ska organi- seras. Vidare redogör vi närmare för anslutningsprocessen till den samordnade statliga it-driften och till ett samordnat statligt tjänste- utbud och de säkerhetsmässiga förutsättningarna för en samordnad statlig it-drift. Vi presenterar förslag till reglering av ett biträdes be- handling av personuppgifter och samordnad upphandling samt redo- gör för våra konkurrensrättsliga överväganden. Slutligen redovisar vi vilka myndigheter som ska ges uppdrag inom den samordnade stat- liga it-driften och lämnar förslag till införande. 11.1Mål och syfte för en samordnad statlig it-drift Utredningens förslag: Målet för en samordnad statlig it-drift ska vara ökad säkerhet och kostnadseffektivitet i statliga myndig- heters it-drift. Syftet med den samordnade statliga it-driften ska vara att erbjuda statliga myndigheter stöd och vägledning i valet av säkra och kostnadseffektiva it-driftslösningar samt att tillhanda- hålla ett samordnat och ändamålsenligt statligt tjänsteutbud. () ska ges i uppdrag att ta fram nolläge och nyckelindikatorer för uppföljning av bl.a. säkerhet och kostnadseffektivitet i en samordnad statlig it-drift. ESV ska samverka med Myndigheten för digital förvaltning (DIGG) och Myndigheten för samhällsskydd och beredskap (MSB) i uppdraget. Förslag till varaktiga former för samordnad statlig it-drift För att uppnå regeringens intentioner om en varaktig, samordnad, säker och kostnadseffektiv it-drift bör en samordnad statlig it-drift ha ett tydligt formulerat mål och syfte som verksamheten kan styras och följas upp mot. Vårt förslag är att målet för en samordnad statlig it-drift ska vara ökad säkerhet och kostnadseffektivitet i statliga myn- digheters it-drift. Syftet med den samordnade statliga it-driften ska vara att erbjuda statliga myndigheter stöd och vägledning i valet av säkra och kostnadseffektiva it-driftslösningar samt att tillhandahålla ett samordnat statligt tjänsteutbud. Målet och syftet ska ligga till grund för uppföljning av resultat och effekter av den samordnade statliga it-driften. För att detta ska vara möjligt är det viktigt att i förberedelserna för inrättandet av den samordnade statliga it-driften ta fram ett nolläge och nyckelindika- torer för uppföljning som ligger till grund för löpande resultat- och effektmätning. För en samordnad statlig it-drift och särskilt för det samordnade statliga tjänsteutbudet är indikatorer på både säkerhet och kostnad viktiga för att säkerställa att en samordnad lösning ger rätt stöd och bidrar med kostnadseffektiva och säkra it-driftstjäns- ter. Därutöver är indikatorer på ändamålsenlighet och kvalitet rele- vanta för det samordnade statliga tjänsteutbudet. Erfarenheterna från både regeringsuppdrag och Statens servicecenter visar att det är svårt att återskapa ett nolläge i efterhand och det påverkar i sin tur möjligheten att jämföra resultat och effekter mot hur det såg ut vid start. Erfarenheterna visar också att de enskilda myndigheterna har ett stort ansvar att bidra med information och underlag som sedan kan användas i en samlad uppföljning. För att säkerställa etablering av ett nolläge för den samordnade statliga it-driften föreslår vi att ESV får i uppdrag av regeringen att ta fram ett sådant. I uppdraget ska också ingå att ta fram nyckelindi- katorer för uppföljning av den samordnade statliga it-driften. Indika- torer som omfattar olika aspekter på informationssäkerhet och kost- nadseffektivitet är viktiga liksom ändamålsenlighet och kvalitet. Vi föreslår vidare att ESV ska samverka med DIGG och MSB i upp- draget. Förslag till varaktiga former för samordnad statlig it-drift 11.2Organisering av en samordnad statlig it-drift Utredningens bedömning: För att underlätta för enskilda myn- digheter bör det finnas en samordnande aktör som kan ge myn- digheter stöd i it-driftsfrågor och vägleda dem i valet av säkra och kostnadseffektiva it-driftslösningar. Flera myndigheter bör leve- rera it-driftstjänster inom ramen för ett samordnat statligt tjänste- utbud för att kunna erbjuda en bredd av tjänster, säkerhetsnivåer och olika tekniska plattformar. Stöd- och expertmyndigheter bör ingå utifrån sina respektive kompetensområden. Utredningens förslag: En samordnad statlig it-drift ska organi- seras genom en samordnande myndighet och flera leverantörs- myndigheter. Leverantörsmyndigheternas tjänster ska samordnas i ett samordnat statligt tjänsteutbud. Den samordnade statliga it- driften ska underlätta för myndigheter att erhålla tjänster från privata leverantörer genom upphandlade ramavtal. Stöd- och expert- myndigheter ska ingå i organisationen för den samordnade statliga it-driften för att ge stöd inom sina respektive kompetensområden. Som framgår i kapitel 10 föreslår vi att den samordnade statliga it- driften ska tillvarata den förmåga, kapacitet och kompetens som finns hos flera befintliga myndigheter. Vi menar att det är viktigt att omhänderta de initiativ som pågår samt det intresse som finns hos flera myndigheter att bidra i en samordnad statlig it-drift. Vi föreslår också att den samordnade statliga it-driften ska organiseras genom samordnade uppdrag till flera myndigheter. Vår utvärdering av uppdrag om samordnad och säker statlig it-drift, vår analys av andra exempel på samordnad it-drift samt våra kontakter med olika myndigheter har gett oss under- lag för att bedöma hur en samordnad statlig it-drift bör organiseras för att på bästa sätt uppfylla statliga myndigheters olika förutsätt- ningar och behov. Vår slutsats är att den samordnade statliga it-driften ska organiseras på ett sådant sätt att den: –erbjuder myndigheter en ”en-väg-in”-lösning, –underlättar för myndigheter att välja säkra, ändamålsenliga och kostnadseffektiva it-driftslösningar oavsett driftsform, Förslag till varaktiga former för samordnad statlig it-drift –stödjer potentiella myndigheter i bedömningar av behov och krav på it-drift utifrån myndigheternas verksamhet och uppgiftshan- tering, –erbjuder ett samordnat statligt tjänsteutbud som omfattar olika tekniska plattformar och säkerhetsnivåer, –utgår från enhetliga processer för anslutning, samverkan och av- giftsuttag, samt –underlättar för regeringen att styra och följa upp helheten. Det finns flera myndigheter som erbjuder it-driftstjänster till andra myndigheter och det pågår ett myndighetsgemensamt ini- tiativ om samordnad statlig it-drift genom det myndighetsövergri- pande programmet Säkra it-tjänster i statlig samverkan (SITSSAM). Flera myndigheter ger också stöd i olika frågor som rör it-drift. För en enskild myndighet som har behov av stöd i it-driftsfrågor kan det vara svårt att överblicka vilket utbud av it-driftstjänster och möjlig samordning som finns och vilket stöd det finns att tillgå. Vi ser därför ett behov av en samordnande aktör som kan bidra med stöd till myndigheter i it-driftsfrågor och vägleda dem i valet av säkra och kostnadseffektiva it-driftslösningar. Vi bedömer också att flera myndigheter behöver leverera it-drifts- tjänster inom ramen för ett samordnat statligt tjänsteutbud. Det är nödvändigt för att öka anslutningstakten av myndigheter och för att kunna erbjuda en större bredd av tjänster och olika tekniska platt- formar men också för att ur ett säkerhetsperspektiv sprida uppgifts- hanteringen på flera aktörer. Genom att flera myndigheters kapacitet, förmåga och kompetens samlas i en samordnad helhet ges förutsättningar att uppnå synergi- och samordningseffekter. Den samordnade lösningen förutsätter dock att ansvariga myndigheter samverkar utifrån sina respektive uppdrag, tillför relevant kompetens och bidrar i utvecklingen av den samord- nade statliga it-driften. På en övergripande nivå kan aktörerna i förslaget beskrivas enligt figur 11.1 nedan. Förslag till varaktiga former för samordnad statlig it-drift Figur 11.1 Aktörer i vårt förslag om samordnad statlig it-drift Källa: Egen illustration. Myndigheter är statliga myndigheter som har ett behov av stöd i valet av it-driftsform. Den samordnande myndigheten är ingången till den samordnade statliga it-driften och den aktör som myndigheterna först kommer i kontakt med. Den samordnande myndigheten stöd- jer myndigheterna i att klargöra behov och krav på it-drift utifrån bl.a. ett informationssäkerhetsperspektiv. Leverantörsmyndigheterna förbereder anslutning till ett samordnat statligt tjänsteutbud och levererar tjänster inom it-drift till anslutna myndigheter. Kammar- kollegiet ansvarar för att upphandla ramavtal för it-driftstjänster. Stöd- och expertmyndigheter ger stöd inom sina respektive kompe- tensområden, exempelvis inom informationssäkerhet och säkerhets- skydd. Regeringen styr och följer upp den samordnade statliga it- driften i enlighet med uppsatta mål. Vi beskriver de olika aktörernas uppdrag, ansvar och roller mer ingående i avsnitt 11.3. Vårt förslag på organisering bygger på samverkan. En utmaning med denna form för organisering är att tydliggöra roller, ansvar och beslutsmandat. Det finns inte några förutsättningar för den samord- nande myndigheten att styra leverantörsmyndigheterna – det kan bara regeringen göra. Mot denna bakgrund bedömer vi att det är vik- tigt att det tydligt framgår vilken myndighet som ska fatta vilka beslut inom ramen för den samordnade statliga it-driften. Förslag till varaktiga former för samordnad statlig it-drift Det är enligt vår uppfattning inte aktuellt att föreskriva att beslut ska fattas gemensamt, av främst två skäl. För det första saknas det enligt vår bedömning formella förutsättningar för gemensamma be- slut mellan flera myndigheter. I praktiken kan myndigheterna komma överens om vilket beslut som ska fattas, men det formella beslutet om den egna verksamheten måste fattas enskilt av respektive myndig- het. För det andra ser vi en risk att exempelvis det samordnade stat- liga tjänsteutbudet inte kommer till stånd på grund av att en eller flera myndigheter inte är överens om vilket beslut som ska fattas. är det centralt att alla relevanta synpunkter och erfaren- heter inhämtas innan ett beslut om exempelvis tjänstekatalog eller modeller för samverkan tas. Våra förslag innebär därför att de beslut som ska fattas av den samordnande myndigheten i de flesta fall ska föregås av samverkan med leverantörsmyndigheterna. Förslag som vi övervägt men avfärdat Vi har också tagit fram och övervägt ett alternativt organisations- förslag utöver det förslag som presenteras ovan. Det alternativa för- slaget utgår från att den samordnade statliga it-driften samlas i en it- driftsmyndighet. skulle ansvara för samtliga delar i en samordnad statlig it-drift och ha all kompetens, även den opera- tiva it-driftskompetensen. Även detta alternativ skulle utgå från att den samordnade statliga it-driften etableras utifrån förmåga och kompetens hos befintliga myndigheter. Det skulle förutsätta verk- samhetsövergång från några av de myndigheter som levererar it-driftstjänster till andra myndigheter. Vi har övervägt ett alternativ för verksamhetsövergång där personal på leverantörsmyndigheterna organisatoriskt skulle gå över till it-driftsmyndigheten men arbeta kvar i leverantörsmyndighetens lokaler och med teknisk utrustning som fortsatt skulle ägas av leverantörsmyndigheten. Det andra alter- nativet för verksamhetsövergång skulle innebära att både personal och teknisk utrustning skulle gå över från leverantörsmyndighet till it-driftsmyndigheten. Vi har övervägt för- och nackdelarna med detta alternativ och även fört dialog med berörda myndigheter. Vår egen analys är sam- stämmig med det som framförts av myndigheterna. Förslag till varaktiga former för samordnad statlig it-drift Fördelarna med en it-driftsmyndighet är att det skulle vara en mer renodlad organisationslösning som också skulle vara lättare att styra. Det skulle även innebära att samordnad statlig it-drift skulle vara kärnuppdrag för it-driftsmyndigheten utan andra konkurrerande upp- drag. Möjligen skulle också lösningen ge bättre förutsättningar för stordriftsfördelar och kostnadseffektivitet , men detta har vi inte analyserat närmare. Nackdelarna med alternativet överväger dock fördelarna. Verk- samhetsriskerna för berörda leverantörsmyndigheter skulle bli allt- för stora. Detsamma gäller säkerhetsriskerna genom att leverantörs- myndigheterna skulle förlora rådigheten över sina system. Det skulle också, beroende på lösning för verksamhetsövergång, innebära en ökad koncentration av uppgifter och därmed en ökad hotbild och säkerhetsrisk. Det finns även risker med kompetensförsörjningen eftersom it-driftsmyndigheten sannolikt skulle behöva göra omfat- tande rekryteringar för att få kompetens på plats i alla delar. Bedöm- ningen är att det dessutom skulle ta att etablera en lösning med en it-driftsmyndighet. Med anledning av ovanstående har vi valt att inte gå vidare med detta alternativ och därmed inte heller gjort djupare analyser av möj- liga effekter och konsekvenser av alternativet. Vi har också övervägt i vilken utsträckning som den samordnade statliga it-driften som vi föreslår skulle kunna utgöra en del av den förvaltningsgemensamma digitala infrastrukturen och även fört en dialog med DIGG om detta. Vår bedömning är att det inte är lämp- ligt att låta samordnad statlig it-drift utgöra en del av den förvalt- ningsgemensamma digitala infrastrukturen. Detta eftersom it-drift är ett förhållandevis smalt område, men potentiellt resurs- krävande på ett vis som skulle kunna medföra att arbetet med övriga delar av den förvaltningsgemensamma digitala infrastrukturen inte skulle kunna drivas vidare på ett effektivt sätt. Vi bedömer att det inte heller är lämpligt att använda samma styr- modell som är föreslagen för den förvaltningsgemensamma digitala infrastrukturen eftersom den är utformad för en organisation som innefattar en mycket större bredd och variation av tjänster än enbart inom it-drift. Den föreslagna styrmodellen förutsätter dessutom att regeringen fattar beslut om de två förordningar som föreslagits för att inrätta styrmodellen. Regeringen har ännu inte tagit ställning till om eller hur det finns för avsikt att gå vidare med förslagen till för- Förslag till varaktiga former för samordnad statlig it-drift Vi bedömer även av denna anledning att det inte är lämp- ligt att utgå från den styrmodell som föreslagits. 11.3Aktörer: uppgifter, ansvar och roller I detta avsnitt redogör vi närmare för de olika aktörernas uppgifter, ansvar och roller. Utredningens förslag: Den samordnande myndigheten ska vara ingången till den samordnade statliga it-driften. Myndigheten ska samordna stödet till myndigheter, sammanställa och efter samråd med leverantörsmyndigheterna besluta om ett statligt tjänste- utbud och samverka med Kammarkollegiet om ramavtal. Den samordnande myndigheten ska utveckla och förvalta gemensamma modeller, leda samverkan på förvaltningsgemensam nivå och följa upp och återrapportera den samordnade statliga it-driften till regeringen. Den samordnande myndigheten ska vara ingången till den samord- nade statliga it-driften. Myndigheten ska samordna stödet till myn- digheter, analysera myndigheternas behov och ta fram, förvalta och utveckla gemensamma modeller för bl.a. samverkan. Den samord- nande myndigheten ska sammanställa och efter samråd med leveran- törsmyndigheterna besluta om ett statligt tjänsteutbud och samverka med Kammarkollegiet, som ska ansvara för upphandling av ramavtal på området. Den samordnande myndigheten ska också ansvara för att leda samverkan på förvaltningsgemensam nivå och för att följa upp och återrapportera den samordnade statliga it-driften till regeringen. Vi beskriver de olika uppgifterna närmare nedan. Förslag till varaktiga former för samordnad statlig it-drift Ingången till den samordnade statliga it-driften Den samordnande myndigheten ska vara vägen in till den samord- nade statliga it-driften och vara den aktör som myndigheterna tar kontakt med när de har frågor om säker och kostnadseffektiv it-drift. En viktig roll för den samordnande myndigheten ska därför vara att informera om vad den samordnade statliga it-driften omfattar, vilket stöd myndigheterna kan få i valet av it-driftslösningar och vilket utbud av statliga it-driftstjänster och ramavtal som kan erbjudas. Be- roende på vilka frågor eller behov en myndighet har så ska den sam- ordnande myndigheten ha till uppgift att vägleda myndigheten rätt. Samordnar stöd till myndigheter i it-driftsfrågor It-drift omfattar frågor inom flera olika områden – juridik, informa- tionssäkerhet, säkerhetsskydd, upphandling och digitalisering. Vår kartläggning visar att många myndigheter ser kompetensbrist som ett hinder för att få tillgång till säkra och kostnadseffektiva it-drifts- lösningar. Det finns ingen myndighet som samlat ger stöd till myndigheter i frågor som rör it-drift, utan ansvaret för att ge stöd är spridda på flera myndigheter, t.ex. () när det gäller behandling av personuppgifter, MSB när det gäller informationssäkerhet och Säkerhetspolisen när det gäller säkerhets- skydd. I syfte att göra det stöd som lämnas mer verknings- fullt och överskådligt ska stödet inom den samordnade statliga it- driften samordnas genom en aktör. Vi föreslår att den samordnande myndigheten ska stödja myn- digheterna i deras arbete – från informationskartläggning och infor- mationsklassificering till val av it-driftsform: egen regi, samordnad statlig regi eller genom utkontraktering till en privat leverantör. Exem- pelvis kan det handla om vägledning och stöd till myndigheter när det gäller intresseavvägningen i den sekretessbrytande bestämmelse som vi föreslagit i vårt delbetänkande. En sådan vägledning fråntar dock inte myndigheterna ansvaret att själva bedöma om ett utläm- nande kan ske med stöd av den föreslagna bestämmelsen. För att kunna göra detta ska den samordnande myndigheten dels samverka med ansvariga myndigheter på området, exempelvis MSB, tillsynsmyndigheter inom säkerhetsskydd, och Upphandlings- myndigheten, dels bygga upp egen kompetens. Vår bedömning är att Förslag till varaktiga former för samordnad statlig it-drift ett samordnat stöd ger bättre förutsättningar än om varje enskild myndighet på egen hand ska söka och hitta rätt stöd hos flera olika aktörer. Stödet som lämnas av den samordnande myndigheten ska vara generellt och kan innefatta utbildning, vägledningar, checklistor och metodstöd. Varje myndighet ansvarar för att gällande regler och lagar upprätthålls inom den egna verksamheten. Ansvaret för att fatta be- slut avseende den egna verksamheten övergår inte till den samord- nande myndigheten och det ingår inte i den samordnande myndig- hetens uppgift att lämna stöd i bedömningen av enskilda sakfrågor. För de myndigheter som väljer att ansluta sig till ett samordnat statligt tjänsteutbud ska den samordnande myndigheten bidra med information om vilka tjänster som kan tillhandahållas och vilka leve- rantörsmyndigheter som står till buds. Från det att myndigheten har tecknat en avsiktsförklaring övergår relationen med den anslutande myndigheten från den samordnande myndigheten till leverantörs- myndigheten. Vi beskriver anslutningsprocessen mer i detalj i av- snitt 11.5.1. Sammanställer och analyserar behovet av stöd och it-driftstjänster Ytterligare en central uppgift för den samordnande myndigheten ska vara att sammanställa och analysera myndigheternas behov av stöd och it-driftstjänster. Genom att vara ingången till den samordnade statliga it-driften kommer den samordnande myndigheten få både överblick och kunskap om vilket stöd och vilka it-driftstjänster som myndigheterna efterfrågar. Behovsanalysen är viktig för att kunna anpassa stödet till myndigheter, utforma ett samordnat statligt tjänste- utbud samt bidra med underlag för ramavtalsupphandlingar. Paketerar och utvecklar det statliga tjänsteutbudet tillsammans med leverantörsmyndigheterna Som framgår av figur 11.1 föreslår vi att flera myndigheter får i uppgift att leverera it-drift inom ramen för ett samordnat statligt tjänsteutbud. Uppgiften för den samordnande myndigheten ska vara att samman- ställa det samlade tjänsteutbudet från leverantörsmyndigheterna och Förslag till varaktiga former för samordnad statlig it-drift efter samråd med leverantörsmyndigheterna besluta om en tjänste- katalog. Den samordnande myndigheten ska också efter samråd med leverantörsmyndigheterna ta fram en långsiktig plan för utvecklings- insatser och investeringar inom det samordnade statliga tjänsteutbudet. Det ingår inte i den samordnande myndighetens mandat att fatta beslut om vilken leverantörsmyndighet som ska tillhandahålla vilka tjänster. Vi förutsätter att detta är något som den samordnande myn- digheten och leverantörsmyndigheterna i samverkan kan komma överens om. Om det i praktiken visar sig svårt att genomföra återstår för regeringen att lämna uppdrag till leverantörsmyndigheterna att erbjuda specifika it-driftstjänster inom ramen för ett samordnat stat- ligt tjänsteutbud. Den samordnande myndigheten ska även föra en förteckning över vilka it-driftstjänster som ingår i det samordnade statliga tjänste- utbudet och vilken leverantörsmyndighet som tillhandahåller respek- tive tjänst. Detta möjliggör för den samordnande myndigheten att ha en samlad bild av var uppgiftskoncentrationer kan uppstå till följd av det samordnade statliga tjänsteutbudet, vilket kan vara relevant utifrån säkerhetssynpunkt. Den samordnande myndigheten ska rapportera till regeringen vilka anslutningar som sker till det samordnade statliga tjänsteutbudet. Utvecklar och förvaltar modeller för anslutning och samverkan, prioriteringsmodell samt avgiftsmodell för den samordnade statliga it-driften Den samordnande myndigheten ska ha en sammanhållande roll i den samordnade statliga it-driften vilket även innefattar att utveckla och förvalta de gemensamma modeller och rutiner som behövs i olika delar. Vår bedömning är att det är en fördel om myndigheterna möter samma modell för anslutning och samverkan liksom avgiftsmodell, där arbete inom regeringsuppdraget bör tillvaratas. Detsamma gäller och modell för uppföljning av it-kostnader med TBM (Technology Business Manage- ment) som underlag för avgiftssättning av det samordnade statliga tjänsteutbudet.