sou · H9B397 · 2021-12-15 00:00:00 — visar kundmyndigheterna förståelse för att de har varit pilotmyndigheter och visar tilltro till att kommer kunna ta fram mer träffsäkra prog- noser framöver. 6.6.3Små myndigheter har svårt att själva bekosta anslutningen Kundmyndigheterna upplever att det är bra att avgifterna sätts på treårs-basis. har det varit svårt för små myndigheter att själva bekosta planering och uppbyggnad inför en anslutning. Vissa myndigheter har därför initialt fått planeringsfasen finansierad via bidragsmedel. Två av de myndigheter som an- slutits , som inte fått samma ekonomiska stöd för planer- ing och uppbyggnad som de tidigare myndigheterna, menar att de enbart tack vare minskade kostnader för resande på grund av pande- min klarade av att betala avgiften. har uppmärksammat reger- ingen om utmaningarna med att bekosta uppbyggnad av uppdraget. I sin första delredovisning rapporterar de att mindre myn- digheter i regel har en begränsad it-budget och att de inledande faserna isamverkan kan få relativt sett orimliga kostnader. De bedömer däremot att kostnaderna per myndighet kommer minska allteftersom automa- tiserade funktioner för att förenkla anslutningsprocessen färdigställs. SOU 2021:97 Utvärdering av uppdrag om samordnad och säker statlig it-drift 6.6.4Merparten av kundmyndigheterna ser fortsatt avgiftsfinansiering som huvudsaklig finansiering, men flera förordar anslag som komplement Merparten av kundmyndigheterna ser fortsatt att avgifter är en bra finansieringsmodell för kostnader som varierar beroende på t.ex. nyttjandegrad. Flera förordar däremot att man skulle komplettera av- giftsfinansieringen med anslag för att hantera vissa övergripande kost- nader så som overhead, där kundmyndigheterna inte kan styra nivån på samma sätt. Några kundmyndigheter kan även se vissa fördelar med en anslagsfinansiering för att få ett tydligare effektiviserings- tryck genom pris- och löneomräkningen (PLO) samt bättre uppfölj- ning från regeringen. Flera myndigheter har under våra intervjuer särskilt lyft fram de utmaningar som finns för små myndigheter att hantera variationer i avgifterna över åren. Det uppstår utmaningar i samverkan när kost- nader för satsningar och investeringar ska fördelas på samtliga myn- digheter trots att förutsättningarna ser olika ut. Detta innebär inte bara utmaningar för små myndigheter, utan även för större myndig- heter som kan bli tvungna att låta utvecklingsinsatser stå tillbaka. Av regeringsuppdrag framgår bland annat att säkerhet särskilt ska beaktas och att myndigheter där åtgärder be- döms leda till högre informationssäkerhet ska stå i fokus. Bakgrun- den till uppdraget anges vara att ge ökad tillgång till säkra funktioner och en ökad kompetens avseende it-drift i offentlig sektor, för att möj- liggöra en effektivare och säkrare digitalisering av statsförvaltningen. Företrädare för säkerhetsstaben och området för cybersäker på it-avdelningen inom menar att det har varit vik- tigt att använda de riktlinjer och processer som redan finns etable- rade inom och att inte bygga upp något parallellt för respektive kundmyndighet. Regeringsuppdraget har därför integ- rerats i myndighetens övriga säkerhetsarbete där säkerhetsstaben ansvarar för direktiv och riktlinjer (vad) och området för cybersäker- het på it-avdelningen ansvarar för den operativa leveransen (hur). De har däremot gjort några särskilda bedömningar specifikt för uppdraget. Det rör till exempel hur kundmyndigheter kan komma att påverka Utvärdering av uppdrag om samordnad och säker statlig it-drift verksamhet samt hur man bör omhänderta kund- myndigheternas specifika säkerhetsbehov. 6.7.1Säkerhet diskuteras tidigt i anslutningsprocessen Säkerhetsstaben har inte varit involverade i projektet utan hänvisar till sin normerande roll för hela myndigheten. Området för cyber- säkerhet involveras däremot tidigt vid anslutningen av en kundmyn- dighet. Med utgångspunkt i ett antal checklistor stämmer de av med kundmyndigheterna hur långt de har kommit i sitt säkerhetsarbete samt vilka säkerhetskrav de har. För varje steg kundmyndigheten tar i anslutningsprocessen inhämtar ytterligare in- formation. När man kommit till planera-fasen tittar Försäkrings- kassan på de tekniknära säkerhetsfrågorna och ju längre fram i pro- cessen de kommit desto mer konkreta blir frågeställningarna. När myndigheterna har skrivit på säkerhetsöverenskommelsen formali- seras dialogen. Även i köra-fasen finns området för cybersäkerhet tillgänglig för kundmyndigheterna som ”speaking partner”. I samband med anslutningen tar fram en sam- verkanshandbok där man kommer överens om t.ex. hur incident- och felhantering ska gå till. Om kundmyndigheten uppmärksammar en incident så rapporteras den i ”Min support” där frågan tas vidare till rätt funktion. sköter driften för alla system på samma sätt, så den personal som bemannar driften ser inte skillnad på vilken kund det rör sig om. Om det sker en attack eller liknande så sker incidentrapportering oavsett till MSB. Kundmyndigheterna är överlag nöjda med hur incidentrapporter- ingen fungerar. Även om det funnits incidenter som eskalerats till beredskapsläget varningsläge (gult läge) på it-avdelningen har det inte inneburit några allvarliga konsekvenser för kundmyndigheterna. Flera lyfter däremot upp utmaningar och risker med prioritering mellan myndigheter vid ett eventuellt driftsstopp. En kundmyndig- het lyfter till utredningen att de upplevt ett driftstopp på myndigheten som inte uppmärksammades av . Orsaken till att driftstoppet inte uppmärksammades anges vara för SOU 2021:97 Utvärdering av uppdrag om samordnad och säker statlig it-drift att det berörde så få. För den myndighet som drabbades berördes däremot hela myndigheten, vilket i relation till totala organisation är väldigt lite. Även frågor om hur Försäkrings- kassans krisorganisation är uppsatt både avseende kriterier för bered- skapslägen och ansvarsfördelningen mellan it-avdelningen och övriga stabs- och ledningsfunktioner har aktualiserats om krisen enbart ger effekt på leveranserna till kundmyndigheterna. 6.7.3Ansvaret för säkerheten ligger fortfarande hos kundmyndigheten Med utgångspunkt i att varje enskild myndighet själv äger ansvaret för sin informationssäkerhet har valt att avgränsa sitt uppdrag gentemot kundmyndigheterna till it-säkerhet. Försäk- ringskassan har inte heller ställt några krav på kundmyndigheternas informationssäkerhetsarbete. Av våra intervjuer har det däremot fram- gått att personal på it-avdelningen i sin dialog med kundmyndig- heterna har gett vägledning, delat med sig av sina egna erfarenheter och de ställningstaganden som har gjort i olika säkerhetsfrågor. Det har även framgått att man genom att ställa frå- gor kring kundmyndighetens befintliga it-säkerhet kunnat identifiera områden med brister. Regeringsuppdraget har gett nya infallsvinklar på säkerhet, t.ex. om mognaden hos små myndigheter i säkerhets- relaterade frågor. insåg tidigt att det fanns ett behov av att avsätta resurser för kompetenshöjande insatser. Man har kunnat se att små myndigheter var i behov av stöd i bl.a. hur man bör resonera och ta sig an ett systematiskt informationssäkerhets- arbete. För att diskutera säkerhetsrelaterade frågor och erbjuda kom- petenshöjande insatser erbjuder även ett säker- hetsforum. framhåller att man i sin dialog med kundmyndigheterna har försökt vara tydliga med att myndigheten enbart kan agera rådgivande och att det i slutändan är kundmyndig- heterna som äger ansvaret för sin informationshantering. Utvärdering av uppdrag om samordnad och säker statlig it-drift 6.7.4Bristande transparens och insyn i dokumentation gällande säkerhetsnivåer menar att myndighetens säkerhetsnivåer har varit dimensionerande för samtliga kundmyndigheter. Några kundmyn- digheter har lyft att säkerhetsnivåerna i vissa delar upplevs vara för höga utifrån myndighetens behov. anger samtliga kundmyn- digheter att de känner sig trygga med den säkerhet som Försäkrings- kassan levererar. Flera har även fått möjlighet att efterhand lätta på säkerhetsrestriktioner och anpassa säkerhetsnivåerna utifrån de behov som myndigheten har. menar att det har varit viktigt för dem att vara transparenta med vilken säkerhetsnivå myndigheten erbjuder så att kundmyndigheterna kan bedöma om det är tillräckligt. anger två kundmyndigheter till utredningen att de upplever brist på trans- parens och en otydlighet när det gäller säkerhet. Det gäller dels be- skrivningar i avtal och överenskommelser, dels att få tillgång till system för att kunna övervaka t.ex. support, logg och drift. Enligt kund- myndigheterna har detta gjort det svårt att bedöma om leveransen uppfyller kundmyndighetens krav och behov. Även Pensionsmyn- digheten förmedlar till utredningen att det finns en osäkerhet kring vilka säkerhetsnivåer som gäller på grund av bristande transparens och insyn. 6.7.5Uppdraget har inte bedömts vara säkerhetskänslig verksamhet har på eget initiativ tagit kontakt med Säkerhets- polisen för att inhämta mer kunskap inför myndighetens beslut av om uppdraget är säkerhetskänsligt. Säkerhetspolisen har i huvudsak framfört att projektet inte är säkerhetskänsligt med avseende på genomförande (tillgänglighet) men att det mycket väl kan inkludera hantering av säkerhetsskyddsklassificerade uppgifter och att den verk- samhet som blir resultatet av projektet kan vara säkerhetskänslig. har landat i att uppdraget inte ska ses som säker- hetskänsligt i sig, men att kundmyndigheter kan föra med sig den typen av verksamhet vilket i förlängningen kan leda till att åtgärder behö- ver vidtas utifrån vad som föreskrivs i säkerhetsskyddslagen. Försäk- ringskassan bedömer att frågan om it-drift åt andra myndigheter ska SOU 2021:97 Utvärdering av uppdrag om samordnad och säker statlig it-drift anses vara säkerhetskänslig bör hållas levande då kan finnas skäl att ändra bedömningen om omständigheterna förändras. 6.8.1Projektet har identifierat behov av rättsligt stöd Det har inte funnits med någon jurist som formell deltagare i pro- jektet, varken i styrgruppen eller som projektdeltagare. Ansvaret för att identifiera vilka rättsliga frågor som behöver tas omhand under genomförandet har legat på projektet. De rättsliga frågorna har han- terats genom att projektet har avropat rättsligt stöd från rättsavdel- ningen när man identifierat behov av sådant stöd. Det är framför allt affärsjuristerna inom rättsavdelningen som varit inkopplade i frågor. Det fanns inledningsvis inte någon särskild rutin eller process för hur rättsavdelningen skulle involveras i genomförandet av regerings- uppdraget, utan man använde sig av etablerade kanaler såsom funk- tionsbrevlåda eller direktkontakt med någon av juristerna inom enheten myndighetsjuridik. kopplas rättsavdelningen regelmässigt in för att granska villkor i avtal och överenskommelser. Det har även införts en formell rutin som innebär att personuppgiftsbiträdesavtal ska granskas av rättsavdelningen innan de tecknas. Av våra intervjuer framgår det att rättsavdelningen strävar efter en ökad bemanning i it- och digitaliseringsfrågor. Rätts- avdelningen har mer kontakt med it-avdelningen och övriga av- delningar när det gäller digitaliseringsfrågor och har utsedda kon- taktpersoner för olika avdelningar. Man är ”med från början” i större utsträckning . 6.8.2Rättsliga bedömningar har inte dokumenterats Återkoppling i de frågor som ställts till rättsavdelningen har skett genom mailsvar, telefonsamtal eller muntligen vid möten. Rättsliga bedömningar och ställningstaganden har inte diarieförts eller doku- menterats. Under våra intervjuer framgår det att rättsavdelningen anser att det är projektet som ansvarat för att dokumentera de rättsliga bedömningar och ställningstaganden som man utgått från igenom- Utvärdering av uppdrag om samordnad och säker statlig it-drift förandet av projektet. Från projektets sida anser man däremot att det är rättsavdelningen som haft ansvar för dokumentationen. 6.8.3Upphandlingsplikt en viktig fråga inledningsvis Den viktigaste rättsliga frågan vid uppstarten av uppdraget rörde huruvida reglerna om offentlig upphandling ska tillämpas vid köp mellan statliga myndigheter i kölvattnet av den s.k. Depona-domen.8 Frågan diskuterades internt, i dialog med vissa anslutande myndig- heter och togs även upp med . I slutändan, efter tydliggörandet från Konkurrensverket9, landade i ett ställningstagande att det inte rådde någon upphandlingsplikt vid anslutning till it-drift. fram- håller dock att det inte är som eventuellt gör sig skyldig till ett brott mot upphandlingslagstiftningen om tjänsterna som erbjuder inte upphandlas, utan att det är kund- myndigheterna som måste göra bedömningen om tjänsterna ska upp- handlas när de går från att anlita en privat, upphandlad leverantör till att i stället köpa tjänster av . 6.8.4Undantaget i 2 kap. 13 § första stycket TF har bedömts tillämpligt på ett övergripande plan, men har inte varit föremål för utredning på tjänstenivå Det har enligt rättsavdelningen även funnits en fråga om räckvidden av tillämpligheten av undantaget i TF för enbart teknisk bearbetning och teknisk lagring för annans räkning (2 kap. 13 § första stycket TF). Myndigheten har bedömt att undantaget är tillämpligt på ett övergripande plan avseende de uppgifter som hanteras för kund- myndigheternas räkning. Man har dock inte utrett i vilken omfattning undantaget är tillämpligt i förhållande till de enskilda tjänster som ingår i leveransen till respektive kundmyndighet. I en av de överenskommelser som slutits med kundmyndigheterna finns det en skrivning om att måste behandla upp- gifter ”enbart som ett led i teknisk bearbetning och teknisk lagring 8Kammarrätten i avgörande i mål nummer 7355-16. 9Konkurrensverkets ställningstagande , 2018:1, Omfattas en statlig myndighets anskaffningar från en annan statlig myndighet av upphandlingsskyldighet? SOU 2021:97 Utvärdering av uppdrag om samordnad och säker statlig it-drift för kundmyndighetens räkning”. I samband med anslutningen genom- förde kundmyndigheten en fördjupad utredning av förutsättningarna för överföring av sekretess. Någon bedömning i förhållande till de spe- cifika tjänster som nyttjas finns dock inte dokumenterad, varken från kundmyndighetens eller sida. 6.8.5Rättsavdelningen har framför allt lämnat stöd avseende villkor i överenskommelser I övrigt har de frågor som hanterats av rättsavdelningen främst rört villkor i enskilda överenskommelser och det har ställts ett begränsat antal sådana frågor till rättsavdelningens medarbetare. I avsnitt 6.3.6 ovan finns en redogörelse för innehållet i de överenskommelser som slutits avseende it-drift. Några överväganden i förhållande till konkurrensregleringen har inte gjorts. 6.8.6Dataskyddsfrågor har inte övervägts i särskild ordning är personuppgiftsbiträde i förhållande till sina kund- myndigheter. Med varje kundmyndighet sluts ett personuppgifts- biträdesavtal avseende den personuppgiftsbehandling som Försäk- ringskassan utför för kundmyndighetens räkning. Det finns inte några dokumenterade bedömningar av roller, an- svar och skyldigheter enligt dataskyddsregleringen i förhållande till personuppgiftsbehandling inom ramen för upp- draget. Det har inte heller genomförts någon konsekvensbedömning avseende dataskydd rörande hur regeringsuppdraget påverkar den behandling av personuppgifter som utför i egen- skap av personuppgiftsansvarig. skyldigheter enligt dataskyddsregleringen i rollen som personuppgiftsbiträde, exempel- vis att rapportera incidenter, hanteras i befintliga processer. har inte utsett något särskilt dataskyddsom- bud för den personuppgiftsbehandling som utförs i myndighetens roll som personuppgiftsbiträde, utan utgått från att det befintliga data- skyddsombudets uppdrag även omfattar den verksamhet som är kopp- lad till regeringsuppdraget. Dataskyddsombudet har inte kopplats in Utvärdering av uppdrag om samordnad och säker statlig it-drift i någon fråga rörande genomförandet av regeringsuppdraget och har inte genomfört någon granskning kopplad till den verksamheten. 6.9Mål, resultat och effekter 6.9.1Försäkringskassan har inte gjort mätningar av resultat och effekter i uppdraget Regeringen har inte pekat ut några mål, förväntade resultat eller effekter i uppdraget. har inte heller efterfrågat någon redovisning eller uppföljning av vilka effekter som uppnåtts i uppdraget. Företrädare för menar att det hade varit bra om det funnits tydligare målsättningar i uppdraget. har inte heller satt upp effektmål, följt upp effekter eller gjort mätningar av kundnytta. Detta trots att de i sin återrapportering till regeringen satt upp som mål att de ska kunna visa på positiva effekter i kundmyndigheternas it-drift utifrån gemen- samma överenskomna mätkriterier. Fokus har i stället legat på ett antal produktmål med inriktning på antal anslutna myndigheter, upp- byggnad av förmåga och utveckling av processer. Det är också detta som har återrapporterats till regeringen. beslutade om att förtydliga målen för arbetet med regeringsupp- draget för perioden –2023. Detta bland annat med anledning av de iakttagelser som Internrevisionen och har gjort av hur genomför sitt uppdrag med samord- nad säker statlig it-drift. genomförde i enlighet med uppdragsbeskriv- ningen en extern utvärdering av uppdraget 2019. I utvärderingen konstaterades att det inte gick att dra några slutsatser om vilka resul- tat och effekter som hade uppnåtts och att i större utsträckning bör arbeta med att följa upp nyttorealiseringen. Även i våra intervjuer med företrädare för framkommer att man inte skapat förutsättningar för att mäta resultat och effekter från start i uppdraget och att detta borde ha gjorts. Det förutsätter dock att det finns ett nolläge att utgå ifrån för respektive kundmyn- dighet. Både och kundmyndigheterna framhåller att det är svårt att få fram sådana uppgifter. Kundmyndigheterna upp- lever inte att ställt sådana krav medan Försäkrings- SOU 2021:97 Utvärdering av uppdrag om samordnad och säker statlig it-drift kassan menar att kundmyndigheterna inte varit fullt ut villiga att dela med sig av kostnader för befintlig it-driftsleverans. Kundmyndigheterna skiljer sig åt i vad de själva gjort eller för- väntar sig vad gäller uppföljning av resultat och effekter. En myndig- het menar att de inte sett behov av att ta fram några specifika indi- katorer för den samordnade it-driften eftersom det är svårt att mäta effekter av en säker, trygg och stabil drift. En annan myndighet tycker att det räcker att följa upp genom incidentrapporteringen. En kund- myndighet efterfrågar en mer utvecklad uppföljning genom nyckel- tal för bl.a. kostnader. Flertalet kundmyndigheter bedömer att leveransen via Försäk- ringskassan ger en ökad säkerhet i it-driften. En myndighet påpekar att säkerheten möjligen är för hög för deras egentliga behov. Fler- talet kundmyndigheter framhåller i våra intervjuer att deras kostna- der är desamma som tidigare eller har ökat i samband med anslutningen till . poängterar alla att tjänsteinnehållet har förändrats och att kostnaderna framför allt har höjts på grund av högre säkerhetskrav. Flera menar även att deras kostnader troligen hade ökat ändå eftersom de stod inför en ny upphandling med änd- rade krav. Några kundmyndigheter har även i samband med sin an- slutning till fått förändrat uppdrag vilket också påverkat kostnaderna. Det har med anledning av dessa faktorer varit svårt för kundmyndigheterna att svara på frågan om varför kostna- derna har ökat. bedömer att de uppfyllt produkt- målen vad gäller antal anslutna myndigheter. Det är dock stor skill- nad i anslutningstakt beroende på om det är ett helhetsåtagande eller enskild tjänst. Om man ansluter myndigheter som vill ha enstaka tjänster så kan anslutningstakten öka. har utvecklat en kundenkät till- sammans med några kundmyndigheter. Syftet är att mer löpande kunna följa upp arbetet och hur väl samverkan fungerar. Därutöver finns s.k. kundforum med möjlighet att lämna synpunkter och förbätt- ringsförslag. Utvärdering av uppdrag om samordnad och säker statlig it-drift Enligt det reviderade regeringsuppdraget ska ut- föra uppdraget så att negativ påverkan på möjligheten att utföra myn- dighetens kärnuppgifter undviks. Någon motsvarande skrivning finns inte i det ursprungliga uppdraget. Företrädare för såväl som framhåller dock att det var ett viktigt medskick till redan i de tidiga upp- dragsdialogerna. Den externa utvärderingen av uppdraget som lät göra 2019 pekade på att internt utvecklingsarbete inom Försäk- ringskassan har fått stå tillbaka p.g.a. uppdraget, men att kärnverk- samheten inte bedöms ha påverkats. Ivåra intervjuer med företrädare för såväl projektet, it-avdel- ningen och myndighetsledningen på framkom- mer att det är svårt att kunna bedöma uppdragets påverkan på kärn- verksamheten. Den allmänna uppfattningen är dock att det inte fått någon påverkan eftersom uppdraget är litet i förhållande till Försäk- ringskassans kärnverksamhet. Uppdraget rör it-produktionen, hade det omfattat även it-utveckling hade det fått större konsekvenser på kärnverksamheten menar man. De företrädare för kärnverksamheten inom som viintervjuat menar att uppdraget inte påverkat Försäkrings- kassans kärnverksamhet. Däremot kommer uppdraget påverka det interna arbetssättet mellan it-avdelningen och kärnverksamheten efter- som it-produktion vill standardisera det produktinriktade arbetssätt som man har gentemot kundmyndigheterna i uppdraget och använda det även internt inom . Det ger en mer kostnads- effektiv men mindre flexibel it-verksamhet. De bedömer att påverkan på kärnverksamheten blir större om uppdraget skulle utökas och det skulle förutsätta tydligare prioriteringar både inom och av regeringen. Skulle få ett utökat uppdrag kan det finnas anledning att se över organisation så att man säkerställer både uppdraget och kärnverksamheten menar de. SOU 2021:97 Utvärdering av uppdrag om samordnad och säker statlig it-drift har utifrån givna förutsättningar; med för förberedelser och uppbyggnad klarat uppdraget väl. Såväl kundmyn- digheterna som anger att de är nöjda med hur För- säkringskassan har tagit sig an uppdraget. har även visat intresse för att arbeta med ständiga förbättringar och utveckla verksamheten i den riktning som uppdraget kräver. Det är dock svårt att på en övergripande nivå uttala sig om samordningsvinster, resultat och effekter av uppdraget eftersom det saknas uttalade mål och För- säkringskassan inte gjort några specifika resultat- och effektmätningar. I det följande avsnittet redogör vi för ett antal slutsatser samt analyserar vilka lärdomar, erfarenheter och investeringar som är rele- vanta att vidareutveckla inom ramen för våra förslag till mer varak- tiga former för samordnad statlig it-drift. Uppdraget är formulerat som en försöksverksamhet men i praktiken rör det sig om en faktisk överföring av it-drift har haft i uppdrag att pröva och ut- värdera former för samordnad och säker it-drift för lämpliga myn- digheter. I praktiken har inte bedrivit uppdraget som en försöksverksamhet. Myndigheter har sagt upp gällande avtal eller avvaktat med upphandling av nya avtal för att kunna ansluta sig till it-drift. Det rör sig med andra ord om ett långsiktigt åtagande för kundmyndigheterna och . Det saknas en långsiktig strategisk plan för hur planerar att hantera uppdraget framöver. Av vår utvärdering har vi förstått att en migrering av en myndig- hets it-drift tar både tid och resurser i anspråk. I våra kontakter med kundmyndigheterna har det framgått att det finns en oro för hur de kan komma att påverkas av en eventuell förändring av Försäkrings- kassans uppdrag och prioriteringar. Flera har även angett att de inte skulle ha råd med en ytterligare migrering på kort sikt. Försöksverksamheter kan generellt vara ett bra sätt att pröva nya former i staten, men lämpar sig inte för verksamheter som omfattar långsiktiga investeringar och överenskommelser mellan myndigheter.