sou · H9B397 · 2021-12-15 00:00:00 — I arbetet ska myndigheterna säkerställa att kraven på säkerhetsskydd och in- formationssäkerhet, offentlighet och sekretess samt dataskydd efter- Förslag till varaktiga former för samordnad statlig it-drift Myndigheterna, förutom , ska tilldelas sär- skilda medel för uppdraget. Övriga uppdrag för uppbyggnad av en samordnad statlig it-drift Utöver det samlade regeringsuppdraget ska regeringen också besluta om separata regeringsuppdrag till enskilda myndigheter enligt nedan- stående. –Förlängning och revidering av uppdrag om samordnad och säker statlig it-drift t.o.m. . Detta för att ska kunna fortsätta leverera it-drift till anslutna myndigheter samt ansluta de myndigheter som myndig- heten bedömer lämpliga. Av uppdraget ska framgå att Försäkrings- kassan ska samverka med och bistå med kompetens och erfaren- heter till det samlade regeringsuppdraget att etablera former och förmåga för en samordnad statlig it-drift. –Uppdrag till ESV att ta fram nolläge och nyckelindikatorer för uppföljning av en samordnad statlig it-drift. Av uppdraget ska framgå att myndigheten ska samverka med DIGG och MSB. Steg 2: Regeringen inrättar varaktiga former för samordnad statlig it-drift genom förordning och permanenta uppgifter i berörda myndigheters instruktioner När regeringsuppdragen att förbereda former och förmåga för sam- ordnad statlig it-drift är slutfört ska regeringen inrätta varaktiga for- mer för samordnad statlig it-drift. Det görs genom att regeringen beslutar om den förordning om samordnad statlig it-drift som vi föreslår i detta betänkande. Regeringen ska också fastställa uppgifter inom samordnad statlig it-drift i myndigheternas instruktioner. Statskontoret ska ges i uppdrag att utvärdera den samordnade stat- liga it-driften. Det bör lämpligen ske efter att den inrättats. Förslag till varaktiga former för samordnad statlig it-drift Tidplanen för införande av en samordnad statlig it-drift är beroende av regeringens beredning av utredningens förslag, hur och när reger- ingen väljer att gå vidare med förslagen samt budgetprocessen. Ut- ifrån vårt förslag till införandeplan ovan bedömer vi att följande tid- plan är lämplig; –Samlat regeringsuppdrag att etablera former och förmåga för en samordnad statlig it-drift bör starta . Slutrap- portering av uppdraget bör ske . –Beslut om förordning om samordnad statlig it-drift och uppgifter i berörda myndigheters instruktioner ska träda i kraft . 11.12 Utmaningar och risker med förslaget Vi bedömer att våra förslag ger robusta förutsättningar för statliga myndigheter att få tillgång till säker och kostnadseffektiv it-drift genom antingen ett samordnat statligt tjänsteutbud eller genom ramavtal för it-driftstjänster. Enskilda myndigheter kommer genom förslaget också att få stöd i de olika frågor som uppkommer i valet av säkra och kostnadseffektiva it-driftslösningar. Därmed kan säker- heten när det gäller it-driften i den statliga förvaltningen som helhet höjas och stärkas. Genom att förslaget bygger på kunskap och kom- petens i befintliga myndigheter samt ett samordnat uppdrag ser vi också att förslaget är genomförbart och att ett införande av varaktiga former för samordnad statlig it-drift kan ske på ett kostnadseffektivt sätt. Förslaget ger också förutsättningar för regeringen att styra och följa upp den samordnade statliga it-driften mot uppsatta mål. Vi ser också att det finns utmaningar och risker med förslaget som behöver hanteras i de olika stegen i införandet av varaktiga former för samordnad statlig it-drift. Förslaget utgår från att flera myndigheters kompetens och för- måga samordnas i en gemensam lösning. Det förutsätter att ingående myndigheter kan och vill samverka för att bidra till helheten. Fun- gerar det inte i en del får det konsekvenser även i andra delar. An- svarsfördelningen mellan aktörerna måste därför vara tydlig och det måste finnas förutsättningar för samverkan. Vi bedömer att förord- Förslag till varaktiga former för samordnad statlig it-drift ningen för en samordnad statlig it-drift bidrar till att tydliggöra ramarna för helheten som uppgifterna i berörda myndig- heters instruktioner säkerställer varje enskild aktörs ansvar. Utöver det behövs resurser för att kunna bygga upp den gemensamma för- mågan och ge förutsättningar för löpande utveckling av den samord- nade statliga it-driften. Det finns många fördelar med att de myndigheter vi föreslår som leverantörsmyndigheter redan har påbörjat ett samarbete inom ramen för SITSSAM. Befintligt arbete och investeringar ska tillvaratas och byggas vidare på inom ramen för ett samordnat statligt tjänsteutbud. Den samordnande myndigheten – DIGG – har en central och viktig roll att tillsammans med leverantörsmyndigheterna ta samarbetet vidare och utveckla det i enlighet med utredningens förslag. DIGG har genom arbetet med den förvaltningsgemensamma digitala infra- strukturen både erfarenheter och uppbyggd samverkan med flera av de aktörer som vi föreslår ska ha en roll inom den samordnade statliga it-driften. är DIGG en relativt ung och liten myndighet som fått flera omfattande uppdrag (förvaltningsgemensam digital infrastruktur, nationella grunddata, öppna data och e-IDAS). Att som liten myndighet komma in som ny och samordnande aktör i ett redan pågående samarbete med flera resursstarka och väletable- rade aktörer på it-driftsområdet kan vara utmanande. Det ställer krav både på DIGG och på leverantörsmyndigheterna att tillsammans kunna göra en omstart utifrån det nya uppdraget och med de nya förutsättningar som gäller. Vi bedömer att DIGG genom sin helhets- syn på digitalisering och genom sin erfarenhet från befintlig samverkan har förmåga att leda arbetet med en samordnad statlig it-drift till- sammans med övriga aktörer. Under utredningens arbete har flera aktörer framhållit att en ut- maning med en samordnad statlig it-drift är att en sådan lösning aldrig kommer ha samma förmåga och kapacitet till innovation och utveckling som privata leverantörer har. Det skulle krävas både kom- petens och betydande finansiella resurser i den samordnade statliga it-driften för att åstadkomma detta. Vårt förslag bygger dock på att privata aktörer har en viktig roll i den samordnade statliga it-driften, både genom leverantörsmyndigheternas tjänster inom det samord- nade statliga tjänsteutbudet och genom ramavtalsupphandling. Den samordnade statliga it-driften är därmed inte en statligt isolerad företeelse och ska heller inte vara det. Det ställer dock krav på leveran- Förslag till varaktiga former för samordnad statlig it-drift törsmyndigheterna att ha ett tydligt säkerhets-, innovations- och utvecklingsperspektiv på sin it-drift och på de tjänster som ingår i det samordnade statliga tjänsteutbudet. Vi bedömer att de berörda myn- digheterna har detta. En samordnad statlig it-drift bygger på principen att enskilda myn- digheters it-drift samordnas till ett antal aktörer som har förmåga, volym och kompetens på it-driftsområdet. Det ger förutsättningar för ökad kostnadseffektivitet och ökad säkerhet jämfört med om varje enskild myndighet ska hitta säkra och kostnadseffektiva lös- ningar på egen hand. Ur ett säkerhetsperspektiv innebär en samord- nad statlig it-drift dock en ökad koncentration till ett färre antal aktörer. Att flera myndigheters system och informationstillgångar direkt eller indirekt är sammankopplade i it-driftsmiljöer hos ett fåtal driftsorganisationer kan i sig innebära risker. Det kan göra en driftorganisation mer attraktiv för angripare men också innebära att fler aktörer drabbas av avbrott eller att tillgänglighet och riktighet i information äventyras vid handhavandelfel, incidenter och olyckor. Detta innebär i sig en ökad risk för allvarliga konsekvenser för staten och samhället som helhet. Dessa risker ska ställas mot de risker som finns med att enskilda myndigheter på egen hand ska säkerställa säkra it-driftslösningar. Vi har i kapitel 10 och 11 beskrivit hur ett samordnat statligt tjänsteutbud bör organiseras så att det uppfyller kraven på robusthet och säkerhet. Med flera leverantörsmyndigheter sprids riskerna och vi bedömer också att de myndigheter som vi före- slår som leverantörsmyndigheter har förmåga och kompetens att säkerställa en hög säkerhet i de samordnade lösningarna. Slutligen ser vi en utmaning i styrning och uppfölj- ning av den samordnade statliga it-driften. Den samordnade lösningen bygger på flera ingående myndigheter som tillhör olika sakdepartement, varför en samordnad statlig it-drift ställer krav på samordning även inom . Brist på samordning inom riskerar att fördröja införandet och etableringen av en samordnad statlig it-drift. Vi bedömer att förordningen om en samordnad statlig it-drift liksom enhetligt formulerade uppgifter i berörda myndigheters instruktioner underlättar samordningen. Genom att DIGG föreslås som samordnande myndigheter blir det också naturligt att den sam- ordnade statliga it-driften samordnas och styrs som en del av den för- valtningsgemensamma digitaliseringen under ledning av Infrastruktur- departementet. I vårt uppdrag ingår att analysera konsekvenserna av lämnade förslag ienlighet med 14–15 §§ kommittéförordningen (1998:1474). Efter- som vi lämnar författningsförslag ska konsekvensutredningen också göras i enlighet med 6 och 7 §§ förordningen (2007:1244) om konse- kvensutredning vid regelgivning. Av våra direktiv framgår att vi också ska analysera de samhällsekonomiska effekterna av förslagen. Kon- sekvenserna är i många delar just samhällsekonomiska konsekvenser och därför har vi valt att integrera den samhällsekonomiska analysen ikonsekvensutredningen i övrigt. Vårt uppdrag om samordnad stat- lig it-drift omfattar enligt direktiven endast statliga myndigheter. Vi redovisar därmed inte konsekvenser för kommuner eller regioner. 12.1Konsekvenser för statliga myndigheter Från våra direktiv och av vår kartläggning vet vi att myndigheternas befintliga it-driftslösningar inte alltid är tillräckligt säkra eller kost- nadseffektiva. som globalisering och digitalisering bidrar till förutsättningar för välstånd, tillväxt och utveckling så ökar sårbar- heten och risken för hot och påverkan. Detta ställer stora krav på myn- digheterna att säkerställa att säkerhetskraven uppfylls i verksamheten och i it-driften. Vi föreslår att regeringen inrättar varaktiga former för samordnad statlig it-drift med utgångspunkt i det behov av stöd som många myndigheter ger uttryck för. Den samordnade statliga it-driften ska stödja myndigheterna i arbetet – från informationskartläggning och informationsklassificering till val av it-driftsform: egen regi, samord- nad statlig regi eller genom utkontraktering till en privat leverantör. Vi föreslår också att regeringen skapar mer varaktiga former för ett samordnat statligt tjänsteutbud. Ett centralt syfte med en samordnad statlig it-drift är att bidra till ökad informationssäkerhet i den statliga förvaltningen. Våra förslag syftar till att stärka säkerheten i statliga myndigheters it-drift på ett kostnadseffektivt sätt. I följande avsnitt redogör vi för hur de statliga myndigheter som berörs av våra förslag kan komma att påverkas. Det gäller vilka kon- sekvenser som kan uppstå för myndigheter generellt samt för de myn- digheter som vi föreslår som samordnande myndighet, som leveran- törsmyndigheter och som stöd- och expertmyndigheter. 12.1.1Konsekvenser för statliga myndigheter generellt Våra analyser visar att många myndigheter, såväl stora som små, upp- lever att de har kompetensbrist inom flera områden som rör it-drift t.ex. it, säkerhet och juridik, men också vad gäller beställarkompetens. Myndigheterna upplever att det är oklart vilka it-driftslösningar som är lämpliga och vilka alternativ som finns att tillgå. Kompetensbrist kan bidra till brister i myndigheternas informationsklassificering och bedöms också vara det största hindret för att säkerställa en säker it-drift. Myndigheterna bedömer också att höga krav på säkerhet och inlåsningseffekter utgör hinder för kostnadseffektiv it-drift. Vår be- hovsanalys visar att det finns ett intresse hos myndigheter att ansluta sig till it-driftstjänster inom en samordnad statlig it-drift. Flera faktorer kan påverka i vilken mån myndigheterna i prakti- ken nyttjar det stöd och de tjänster som ingår i den samordnade statliga it-driften. Ökade säkerhetskrav kommer sannolikt vara den faktor som starkast kommer att påverka myndigheternas efterfrågan på statliga alternativ. Det kan avse både tjänster inom ett samordnat statligt tjänsteutbud eller avrop på ramavtal. Andra faktorer som påverkar om och när en myndighet i praktiken kommer att ansluta sig till ett samordnat statligt tjänsteutbud eller inte är inlåsning i be- fintliga avtal med en privat leverantör, livscykelkostnader och graden av flexibilitet i de lösningar som erbjuds av leverantörsmyndigheterna inom det samordnade statliga tjänsteutbudet. På samma sätt kan till- gången på centralt upphandlade ramavtal påverka efterfrågan både på statliga it-driftstjänster och myndigheternas behov av att göra egna upphandlingar. Konsekvenserna av våra förslag för enskilda myndigheter beror därmed på hur myndigheternas befintliga it-driftslösningar uppfyller kraven på ändamålsenlighet, säkerhet och kostnadseffektivitet vilket i sin tur påverkar myndigheternas behov och efterfrågan på stöd och tjänster inom en samordnad statlig it-drift. För de myndigheter som har ett behov av generellt stöd eller av faktiska it-driftstjänster kommer den samordnade statliga it-driften att kunna underlätta för myndig- heterna att välja ändamålsenliga, säkra och kostnadseffektiva lös- ningar – antingen genom ramavtal eller ett samordnat statligt tjänste- utbud. Myndigheterna kommer genom våra förslag få stöd för att kunna öka säkerheten i sin it-drift, vilket sannolikt kommer leda till en högre kostnad jämfört med den lösning de har . Vår utvärder- ing av uppdrag visar på detta. Eftersom säkerhets- kraven generellt ökar så gäller dock motsvarande även om myndig- heten utkontrakterar tjänster till en privat leverantör eller hanterar driften i egen regi. Även om varje myndighet har ansvaret för sin informationssäkerhet och för att säkerställa en säker och kostnads- effektiv it-drift i sin verksamhet, så ger den samordnade statliga it- driften samordningsnyttor genom ett samlat och bättre stöd. 12.1.2Konsekvenser för samordnande myndighet Enligt vårt förslag ska den samordnande myndigheten samordna stödet till myndigheter, sammanställa och besluta om ett statligt tjänsteut- bud i samverkan med leverantörsmyndigheterna, samverka med Kam- markollegiet om ramavtal och samråda med Försvarsmakten i frågor om säkerhet kopplade till den samordnade statliga it-driften. Den samordnande myndigheten ska vidare utveckla och förvalta gemensamma processer, leda samverkan på förvaltningsgemensam nivå och följa upp och återrapportera den samordnade statliga it-driften till regeringen. Den samordnande myndigheten ska inte tillhanda- hålla någon operativ it-drift, eller upphandla tjänster inom it-drift, utan tyngdpunkten ligger i att samordna andra myndigheters tjäns- ter. I uppdraget ligger även att bidra till kravställning avseende de tjänster som ska upphandlas och att ha den samlade bilden av efter- frågan och utbud av it-driftstjänster. Ingen myndighet besitter alla de förmågor som skulle krävas för rollen som samordnande myndighet. Behov av resurser och kom- petensuppbyggnad för den myndighet som vi föreslår, Myndigheten för digital förvaltning (DIGG), behöver bedömas för följande om- råden: –Samordna stöd till myndigheter i it-driftsfrågor. –Sammanställa och analysera statsförvaltningens behov av it-drifts- tjänster. –Sammanställa tjänsteutbudet, ta fram och förvalta en långsiktig plan för utveckling av tjänsteutbud tillsammans med leverantörs- myndigheter. –Utveckla och förvalta modeller för anslutning, samverkan, priori- tering och avgifter. –Bidra med underlag till kravställning för samordnad upphandling. –samverkan med leverantörsmyndigheter, anslutande myndig- heter och expert- och stödmyndigheter på förvaltningsgemensam nivå. –Bevaka it-driftsfrågor nationellt och internationellt. –Följa upp och återrapportera till regeringen. DIGG har en samordnande roll inom den förvaltnings- gemensamma digitaliseringen och har flera funktionsmässiga likheter med rollen som samordnande myndighet enligt ovan. Myndigheten har därmed erfarenhet och kunskap om vad som krävs för att bygga förmåga och förutsättningar för samverkan mellan de olika aktörerna i den samordnade statliga it-driften. Utifrån vårt förslag till införande bedömer vi att kompetens- och förmågeuppbyggnad i det första steget kommer att vara avgörande för att den samordnade statliga it-driften ska kunna gå över i varaktiga former . Detta kommer att ställa krav på DIGG:s verksamhet och organisation, exempelvis be- höver DIGG bygga upp egen kompetens och förmåga inom säkerhet för att kunna bedöma, hantera och samordna säkerhetsfrågor inom den samordnade statliga it-driften. Vi föreslår att , , och ska få i uppgift att erbjuda it-driftstjänster inom ramen för ett samordnat statligt tjänsteutbud. I vårt förslag till förordning om samordnad statlig it-drift benämns deras roll som leverantörs- myndigheter. Enligt vårt förslag ska leverantörsmyndigheterna leverera it-drifts- tjänster till myndigheter inom ramen för det samordnade statliga tjänsteutbudet. De ska vägleda myndigheterna genom anslutnings- processen och ta ut avgifter från anslutna myndigheter för tjänste- leveransen. Leverantörsmyndigheterna ska medverka i fastställande och utveckling av den samlade tjänstekatalogen tillsammans med den samordnande myndigheten och delta i samverkan på förvaltnings- gemensam nivå. I avsnitt 11.10.2 har vi redogjort för vilken kapacitet de myndig- heter som vi föreslår har samt vilka förutsättningar de bedömer krävs framåt för att kunna erbjuda it-driftstjänster till andra myndig- heter. I detta avsnitt redogör vi för vilka konsekvenser vi bedömer att våra förslag skulle kunna få för berörda myndigheter. Risk för påverkan på kärnverksamhet Vi har tidigare konstaterat att det finns en risk att ett uppdrag att tillhandahålla samordnade it-driftstjänster kan få påverkan på eller påverkas av en myndighets övriga kärnuppdrag. Om uppdraget blir för litet riskerar det att nedprioriteras och om det blir för stort riske- rar det att påverka det befintliga kärnuppdraget negativt. För att kunna erbjuda myndigheter stöd i it-driftsfrågor samt olika tjänster och lösningar inom ramen för ett samordnat statligt tjänsteutbud har vivalt att föreslå en samordnande myndighet och flera leverantörs- myndigheter. Vi har även föreslagit att uppdraget ska regleras genom en förordning för att tydliggöra att uppgiften som leverantörs- myndighet är ett varaktigt åtagande och inte en frivillig samverkan. Det finns däremot fortsatt en risk för att uppgiften att tillhanda- hålla samordnade it-driftstjänster kan påverka leverantörsmyndig- heternas kärnverksamhet. Detta ställer krav på att berörda myndig- heter internt tydliggör hur den nya uppgiften ska hanteras i relation till befintligt kärnuppdrag. Förbereda den interna organisationen Av vår utvärdering av har det tydligt framgått att regeringsuppdraget inneburit en förändringsresa för de medarbetare som berörts. Myndighetens medarbetare har fått ställa om från en tidigare intern leverans till en extern flerkundsleverans, vilket har tagit tid. har också med anledning av det nya uppdraget tagit fram nya processer och modeller samt reviderat befintliga pro- cesser inom myndigheten för att anpassa sin verksamhet till det nya uppdraget. Även om tillkommande leverantörsmyndigheter i stor utsträck- ning kan och bör dra nytta av det arbete som har gjort krävs att anpassningarna införlivas i respektive organisation. De leverantörsmyndigheter som föreslås har genom den sam- verkan som bedrivits inom SITSSAM redan kommit en bit på väg i att utreda vilka förutsättningar och förändringar som krävs. Vad vi förstår kvarstår dock ett arbete med att utreda vissa delar, att imple- mentera de förändringar som myndigheterna identifierat samt att bygga upp leveransförmåga. Vi bedömer därför att berörda myndigheter, utöver Försäkrings- kassan, kommer att behöva tid för att förbereda sig inför den nya uppgiften som leverantörsmyndighet. kommer att behöva bidra med sina erfarenheter och dela med sig av de lärdomar myndigheten gjort inom sitt regeringsuppdrag. Leverantörsmyndigheterna kommer behöva bygga både teknik och organisation utan att på förhand veta hur många myndigheter som kommer ansluta sig och vilka tjänster som kommer efterfrågas. Det innebär att leverantörsmyndigheterna initialt och framöver kommer behöva ta en viss finansiell risk. Av den anledningen föreslår vi att myndigheterna tillförs medel i det inledande regerings- uppdraget för att bygga leveransförmåga. Eftersom det ska vara fri- villigt för myndigheter att ansluta sig till ett samordnat statligt tjänste- utbud kan det även medföra lägre potential för stordriftsfördelar för leverantörsmyndigheterna. Vi återkommer i avsnitt 12.5 om ekonomiska konsekvenser med anledning av regeringsuppdraget och för leverantörsmyndigheternas leverans av it-drift till anslutna myndigheter. Ta ställning till och förbereda anslutning av myndigheter utifrån juridiska och säkerhetsmässiga krav Varje leverantörsmyndighet behöver ta ställning till vilka juridiska och säkerhetsmässiga krav en anslutning av andra myndigheter ställer på myndighetens befintliga organisation. Det kommer bl.a. att påverka myndighetens organisation – exempelvis kan nya processer behöva tas fram för att omhänderta juridiska och säkerhetsmässiga frågor kopplade till anslutningen av en ny myndighet. Det kan även finnas behov av att internt utreda juridiska och säkerhetsmässiga förutsätt- ningar för att kunna svara upp mot de krav som ställs på myndig- heten med anledning av den nya uppgiften. Ytterligare resurser och kompetens för att ansluta myndigheter har inom ramen för sitt uppdrag om samordnad och säker statlig it-drift etablerat en projektorganisation för att om- händerta anslutande myndigheter. De har bl.a. bemannat projektet med nya roller, t.ex. (), SDM (Service Delivery Manager) och kundmyndighetsarkitekter. De nya rollerna har bedömts nödvändiga för att kunna ge stöd till anslutande myn- digheter genom anslutningsprocessen och för att säkerställa att en migrering av myndighetens it-drift kan fortlöpa. Vi bedömer att även de övriga leverantörsmyndigheterna kom- mer behöva etablera nya roller för att ansluta myndigheter vilket kommer att kräva antingen en omfördelning av resurser internt eller nyrekrytering. För att kunna påbörja detta arbete innan de varaktiga formerna för samordnad statlig it-drift införs bedömer vi att ny- tillkomna leverantörsmyndigheter behöver viss resursförstärkning, vilket vi återkommer till i avsnitt 12.5.1. Till viss del kommer den sam- ordnande myndigheten ta över några av de uppgifter som Försäk- ringskassan hanterar i sitt regeringsuppdrag, vilket bör inne- bära att resursbehovet för leverantörsmyndigheterna inte blir lika omfattande som det varit för . Ytterligare resurser och kompetens för tjänsteutveckling samt samverkan inom den samordnade statliga it-driften Leverantörsmyndigheterna kommer även att behöva samverka med varandra och bidra med att etablera och utveckla den samordnade statliga it-driften. I detta ingår dels att bistå den samordnande myn- digheten med tekniska tjänstespecifikationer över de tjänster som myndigheten kan erbjuda, dels att bistå med kompetens inom it-drifts- området för att stödja anslutande myndigheter. Leverantörsmyndig- heterna kommer även behöva bistå med kvalificerad it-personal för att utveckla det samordnade statliga tjänsteutbudet. 12.1.4Konsekvenser för stöd- och expertmyndigheter