sou · H9B397 · 2021-12-15 00:00:00 — Utredningens förslag: Följande myndigheter ska ges i uppgift att vara leverantörsmyndigheter och erbjuda it-driftstjänster inom ramen för ett samordnat statligt tjänsteutbud: , , och . I vårt arbete med att analysera vilka myndigheter som skulle kunna vara tänkbara att föreslå som leverantörsmyndigheter har vi utgått från befintliga exempel på samordnad it-drift, vår enkät där vi frågade om myndigheterna är intresserade av att erbjuda it-drift till andra myndigheter samt andra pågående initiativ som vi fått kännedom om. Av vår kartläggning och analys framgår att det finns flera myn- digheter som har kapacitet och förmåga att erbjuda it-drift till andra myndigheter, inte minst som genom sitt reger- ingsuppdrag har byggt upp relevant och nödvändig förmåga för att kunna erbjuda samordnad it-drift till andra myndigheter. Av vår enkät framgår vidare att 25 myndigheter är intresserade av att erbjuda it-drift till andra myndigheter. De allra flesta är stora eller medelstora myndigheter och hanterar viss it-drift åt andra myndigheter. Vi har även fördjupat oss i ett antal exempel på myndigheter som erbjuder samordnad it-drift : Skatte- verket, i och Sunet (Vetenskaps- rådet). Det pågår också ett samverkansinitiativ – SITSSAM – där För- säkringskassan, Lantmäteriet, och har en ambition att erbjuda it-drift till andra myndigheter. Förslag till varaktiga former för samordnad statlig it-drift Sammantaget ser vi att det finns flera myndigheter som regeringen kan överväga att ge i uppgift att erbjuda tjänster inom en samordnad statlig it-drift till andra myndigheter. Myndigheternas förutsätt- ningar skiljer sig dock åt. Vi har fördjupat oss i hur förutsättningarna ser ut för följande sex myndigheter: 5.Sunet (). Vi har genom dialog med ovanstående myndigheter gett dem möjlig- het att yttra sig om våra förslag samt vilka förutsättningar myndig- heterna behöver för att kunna ta ett uppdrag som leverantörsmyndig- het. I det följande avsnittet redogör vi för vad som har framkommit. anger att myndighetens förutsättningar att ta rollen som leverantörsmyndighet beror på hur våra förslag utformas i prak- tiken, men menar att den faktiska förmågan finns. Det är viktigt att uppdraget utformas så att myndighetens kärnuppdrag inte påverkas. bedömer att uppgiften att tillhandahålla tjäns- ter inom ett samordnat statligt tjänsteutbud behöver regleras. Behovet av resurser är beroende av hur förslaget realiseras. För- säkringskassan har dock tidigare lyft behovet av finansiering för upp- byggnad av gemensamma förmågor och anslutningskostnader främst för mindre myndigheter. bedömer att detta be- hov kvarstår och utgör ett hinder för små myndigheter med behov av it-drift med statligt huvudmannaskap att samverka inom ramen för regeringsuppdraget. Hur många myndigheter som kan anslutas till tjänster är beroende av typ av myndighet, teknisk lösning, omfånget Förslag till varaktiga former för samordnad statlig it-drift av it-leverans, teknisk plattform och respektive myndighets bedömda hotbild. Tidsspannet för anslutning samt övriga uppdrag påverkar också förmågan. Det finns även aspekter kopplade till ackumulering av skyddsvärden som behöver beaktas. Lantmäteriet har uppgett att myndigheten har den kompetens som krävs för att vara leverantörsmyndighet. Myndigheten menar att man har en omfattande och professionell driftverksamhet som med för- del skulle kunna komma andra myndigheter inom statsförvaltningen till del. För att Lantmäteriet ska kunna ta en roll som leverantörsmyndig- het krävs att myndigheten ges ett sådant uppdrag. Uppdraget kan ges i form av t.ex. ett regeringsuppdrag, en instruktionsändring eller ett tillägg i regleringsbrevet och att rollen som leverantörsmyndighet därigenom blir en del av myndighetens kärnverksamhet. Vidare be- höver Lantmäteriet få kostnadstäckning för att bygga upp förmåga i sin leverantörsroll på samma sätt som har fått inom ramen för sitt uppdrag att tillhandahålla samordnad och säker statlig it-drift. Hur många myndigheter Lantmäteriet kan ansluta är helt bero- ende av storlek och komplexitet hos de anslutande myndigheterna. Baserat på ett resonemang som förts inom SITSSAM ser Lantmäte- riet att myndigheten kan ansluta minst två myndigheter . Det är också viktigt att Lantmäteriet görs delaktig i valet av anslutande myndigheter för att säkerställa överensstämmelse, t.ex. vad gäller teknik. Lantmäteriet levererar endast it-drift internt inom myndig- heten. Myndigheten hänvisar dock till sin erfarenhet av att leverera it-system till de 39 kommunala lantmäterimyndigheterna samt av att vara datavärd inom projektet samhällsbyggnadsprocess. i anger att myndigheten har goda möjligheter att leverera specifika it-drifttjänster utifrån länsstyrel- sernas övergripande ansvar att samordna olika samhällsintressen och statliga myndigheters insatser utifrån regionala förhållanden och Förslag till varaktiga former för samordnad statlig it-drift i har ett intresse av att flera verksamhetsfunktioner fungerar för andra myndigheter, till exempel elektronisk kommunikation. Länsstyrelserna har t.ex. krav på 21 regionalt skyddade ledningsplatser med tillhörande data- center. Länsstyrelserna har bäst förutsättningar att leverera en it-drifts- tjänst åt annan myndighet om det finns ett behov av: –regional närvaro, –höga krav på tillgänglighet, –hög sekretessnivå. Utifrån i uppdrag ser myndigheten inte att det finns förutsättningar att erbjuda ett helhetsåtagande till andra myndigheter. Myndigheten anser i stället att fokus bör läggas på it-drifttjänster som är mer lämpade för länsstyrelserna att erbjuda. i ser det som nödvändigt att anslutning till ett samordnat statligt tjänsteutbud är obligatorisk för att kunna uppnå stordriftsfördelar och därigenom kostnadseffek- tivitet. Utan en kritisk massa, det vill säga tillräckligt antal myndig- heter som ansluts, minskar sannolikt stordriftsfördelarna väsentligt. För att anta rollen som leverantörsmyndighet behöver i få ett formellt uppdrag från regeringen. Hur många myndigheter som i kan ansluta går inte att ange utan det beror bland annat på vilken it-driftstjänst som avses, hur stor den anslutande myndigheten är, var den är placerad och vilket uppdrag den har. anser sig ha goda möjligheter att vara leverantörsmyn- dighet av it-drift och hänvisar till att myndigheten har en fungerande leverans till Kronofogden, och . menar att myndigheten har en bra dialog och en aktiv samverkan med de myndigheter som erhåller it-drift för att säker- ställa stabilitet i befintliga tjänster men även det utvecklingsarbete som behövs för att de anslutna myndigheternas digitala tjänster ska vara effektiva när det gäller användarvänlighet, säkerhet och kost- Förslag till varaktiga former för samordnad statlig it-drift anser att nuvarande samverkan och rådande öve- renskommelser ger ett tillräckligt underlag för att det ska vara en vinst både för liksom de myndigheter som använder deras tjänster. anger att myndigheten behöver ett uppdrag från regeringen i t.ex. regleringsbrev samt finansiering för att kunna agera leverantörsmyndighet. har svårt att se någon bortre gräns för hur många myndigheter som kan anslutas under förutsättning att tillräcklig tid och resurser ges. uppskattar att myndigheten kan an- sluta cirka två myndigheter . Sunet anger att man har goda möjligheter att ta rollen som leveran- törsmyndighet, för vissa tjänster. Den leveransmodell som tillämpas inom Sunet bygger i huvudsak på leverans av tjänster i större skala, till kunder med viss egen teknisk kompetens och förmåga att hantera slutanvändarsupport för sina användare. Sunet erbjuder inte någon slutanvändarsupport, utan det hanteras av slutanvändarens help- desk eller motsvarande. Leverans av tjänster som kräver fysisk när- varo (t.ex. lokala nät) förutsätter tillgång till lokal supportpersonal. Sunet bedömer att redan upphandlade avtal kan behöva ses över, för att säkerställa att dessa går att använda till andra än myndigheter inom utbildningssektorn samt undersöka om samma pris kan tillämpas (utbildningssektorn har ofta större rabatter än andra). Hur många myndigheter som kan anslutas beror på vilken typ av tjänst det handlar om. När det gäller t.ex. Sunets mediatjänster så kan myndigheten troligen leverera dessa till hela statsförvaltningen (givet det som sägs ovan om slutanvändarsupport och avtal). När det gäller nätverksanslutningar så kan myndigheten, med hjälp av privata underleverantörer, antagligen leverera anslutning till det rikstäckande nätet till de flesta myndigheter. Förslag till varaktiga former för samordnad statlig it-drift bedömer att myndigheten har förmåga att ta rollen som leverantörsmyndighet, främst inom vissa segment. Den breda it-driftsleverans som sker inom täcker förmodligen de flesta myndigheters behov. Myndigheten bedömer dock att det är främst inom transmission, datakommunikation och serverlagring som bäst förutsättningar finns. bedömer att implementering av uppdragen och styr- modellen kommer att kräva tid för uppbyggnad och utökning av förmågor, arbetssätt, resurser och infrastruktur hos utpekade myn- digheter. får enligt sin instruktion bedriva uppdrags-, uthyrnings- och försäljningsverksamhet som är förenlig med verkets uppgifter i övrigt. I detta ingår att tillhandahålla drift av it-system samt bedriva andra elektroniska kommunikationstjänster. har tidigare tillhandahållit drift av it-system. tillhanda- håller myndigheten endast kommunikationstjänster, dock i betydligt mindre omfattning . Trots möjligheterna som instruktionen ger bedömer myndigheten att ett eventuellt uppdrag som leveran- törsmyndighet kan behöva förtydligas, förslagsvis i regleringsbrev. För att ska ha möjlighet att ta ansvar som leverantörsmyn- dighet anger myndigheten att det även krävs att separat finansiering säkerställs som är kopplad till det specifika uppdraget som leverantörs- myndighet. anger att det finns flera faktorer som påverkar hur många myndigheter man kan ansluta, som exempelvis behov, volym och typ av leverans samt vilken sektor myndigheten tillhör i den stat- liga förvaltningen. För att säkerställa en effektiv lösning för Trafik- verket och hela statsförvaltningen är det viktigt att görs delaktig i val av anslutande myndigheter. Våra överväganden och förslag Vi föreslår att i ett första steg ge uppgiften som leverantörsmyn- dighet till de myndigheter som vi bedömer har förmåga och kapacitet att på relativt kort sikt kunna erbjuda it-driftstjänster inom ramen för ett samordnat statligt tjänsteutbud. Det finns även ett antal myndig- heter som skulle kunna erbjuda it-drift till fler myndigheter, men där vi bedömer att förutsättningarna behöver utredas ytterligare. Förslag till varaktiga former för samordnad statlig it-drift Med utgångspunkt i det förberedelsearbete som bedrivits inom ramen för det myndighetsövergripande programmet SITSSAM be- dömer vi att de myndigheter som ingår i programmet har bäst för- utsättningar att ta sig an uppgiften som leverantörsmyndighet. Det rör sig alltså om , , och . För att säkerställa att myndigheter med olika grad av säkerhets- krav, olika typ av verksamhet och tekniska krav ska kunna ansluta sig till ett samordnat statligt tjänsteutbud kan det finnas behov av att komplettera den samordnade statliga it-driften med fler leve- rantörsmyndigheter. Vi ser t.ex. att i och Sunet () kan vara aktuella som leverantörsmyn- digheter framöver, men det kan även finnas fler. Vi bedömer där- emot att deras medverkan behöver utredas ytterligare. Vi har även haft en dialog med för att översikt- ligt utreda vilka förutsättningar myndigheten har att framöver erbjuda samordnade it-driftstjänster till fler myndigheter, utöver domstolarna. Myndigheten ser att det finns vissa förutsättningar att erbjuda it- drift till flera myndigheter, men primärt inom samma verksamhets- område. är myndigheten tydlig med att det är en komplex fråga utifrån myndighetens roll som servicemyndighet i förhållande till cirka åttio självständiga domstolar som värnar sitt oberoende. Vi har inte haft möjlighet att fördjupa oss i den utsträckning som krävs för att kunna bedöma om det vore lämpligt att föreslå Domstols- verket som leverantörsmyndighet. Förslag till varaktiga former för samordnad statlig it-drift 11.10.3 Stöd- och expertmyndigheter Utredningens förslag: , de länsstyrelser som är tillsynsmyn- digheter enligt säkerhetsskyddslagen (2018:585), MSB, Säkerhets- polisen och ska ges i uppgift att sam- verka med den samordnande myndigheten i frågor som rör it-drift. Kammarkollegiet ska ges i uppgift att samverka med den sam- ordnande myndigheten om upphandling av upphandling av rama- vtal för it-drift som är avsedda för andra statliga myndigheter. Försvarsmakten ska ges i uppgift att samråda med den sam- ordnande myndigheten i frågor om säkerhet kopplade till den samordnade statliga it-driften. Vi har beskrivit att vi ser ett behov av samordning av det stöd som ska lämnas av olika myndigheter i frågor som rör it-drift. I detta avsnitt beskriver vi vilka myndigheter som vi föreslår ska ingå i en sådan samverkan. är tillsynsmyndighet enligt dataskyddsförordningen. I tillsyns- myndighetens uppgifter ingår bl.a. att öka personuppgiftsansvarigas och personuppgiftsbiträdens medvetenhet om sina skyldigheter enligt förordningen. It-drift inom myndigheters verksamhet innefattar nästan undan- tagslöst någon form av behandling av personuppgifter. Vi ser ett stort behov av stöd i frågor som rör behandling av personuppgifter inom det samordnade statliga tjänsteutbudet, såväl till anslutande myndig- heter som till leverantörsmyndigheter. Vår utvärdering av uppdrag visar att frågor om behandling av personuppgifter inom ramen för genomförandet av regeringsuppdraget ägnats begränsad uppmärksamhet. Vi anser att det är av största vikt att dessa frågor inte glöms bort, även om person- uppgiftsbehandlingen utförs i egenskap av personuppgiftsbiträde. Det är också viktigt att löpande ta ställning till hur personuppgifts- behandling i andra delar av en myndighets kärnverksamhet kan på- Förslag till varaktiga former för samordnad statlig it-drift verkas av ett uppdrag som leverantörsmyndighet av tjänster inom it- drift. Vi vet att det finns en stor efterfrågan på vägledning i frågor som rör behandling av personuppgifter kopplade till it-drift inom den statliga förvaltningen. har en roll som tillsynsmyn- dighet som inte alltid är enkel att förena med uppgiften att lämna vägledning. Vi bedömer att det finns en samordningsvinst i att ingår i den samordnade stödgivning som vi föreslår, eftersom sam- ordningen ger en möjlighet att på ett enkelt sätt nå ut till många myn- digheter på ett samlat vis och att samverka med andra myndigheter som också har en viktig roll att ge stöd i angränsande frågor. Det är också viktigt att leverantörsmyndigheterna ges information i sin verk- samhet att tillhandahålla tjänster inom det samordnade statliga tjänste- utbudet. Myndigheten ska därför ges i uppgift att ingå i den samverkan som vi föreslår. Myndigheten för samhällsskydd och beredskap MSB har bl.a. till uppgift att stödja och samordna arbetet med sam- hällets informationssäkerhet samt analysera och bedöma omvärlds- utvecklingen inom området. I detta ingår att lämna råd och stöd i fråga om förebyggande arbete till andra statliga myndigheter, kom- muner och regioner samt företag och organisationer, och rapportera till regeringen om förhållanden på informationssäkerhetsområdet som kan leda till behov av åtgärder på olika nivåer och områden i samhället. Vi har identifierat informationssäkerhetsområdet som helt cen- tralt inom samordnad statlig it-drift, inte minst utifrån de brister som vår kartläggning påvisat i myndigheters informationssäkerhets- arbete. Ett centralt mål med den samordnande statliga it-driften som viföreslår är att öka säkerheten i statliga myndigheters it-drift. Vi ser det därför som nödvändigt att MSB ingår i organisationen för det stöd som ska lämnas inom ramen för den samordnade statliga it-drif- ten. Myndigheten ska därför ges i uppgift att ingå i den samverkan som vi föreslår. Förslag till varaktiga former för samordnad statlig it-drift Länsstyrelserna i , län, och samt Säkerhetspolisen är från och med den 1 decem- ber 2021 tillsynsmyndigheter inom säkerhetsskydd för de myndig- heter som är föremål för våra förslag. Tillsynsmyndigheterna ska inom sina respektive tillsynsområden ge vägledning om säkerhetsskydd. Säkerhetspolisen och Försvarsmakten är samordnande myndig- heter inom säkerhetsskydd. I den samordnande rollen ingår bl.a. att leda ett samarbetsforum där tillsynsmyndigheterna ingår, i syfte att underlätta samordning. Även om vi bedömer att säkerhetsskyddsklassificerade uppgifter inte ska hanteras inom det samordnade statliga tjänsteutbudet så ser viett behov av att kompetens inom säkerhetsskydd ingår i den sam- ordnade statliga it-driften. Frågor om tillämpning av säkerhetsskydds- regleringen kan uppstå i det initiala skedet när en myndighet överväger vilken lösning för it-drift som är lämplig för den egna verksamheten. Det är även enligt vår bedömning lämpligt att involvera berörda till- synsmyndigheter i samordningen kring den samordnade statliga it- driften utifrån ett samhällsperspektiv, exempelvis med avseende på samlade informationsmängder och tjänster som kommer att han- teras av leverantörsmyndigheterna. är det viktigt att tillsyns- myndigheternas roll inom den samordnade statliga it-driften inte kommer i konflikt med tillsynsuppdraget. Myndigheterna ska därför ges i uppgift att ingå i den samverkan som vi föreslår. När det gäller uppdelningen mellan berörda myndig- heter i att ge vägledning och hur detta ska utföras i förhållande till sam- ordnad statlig it-drift så är det enligt vår uppfattning lämpligast att tillsynsmyndigheterna själva hanterar detta, antingen i det samarbets- forum som leds av Säkerhetspolisen och Försvarsmakten eller på annat vis. har bl.a. i uppgift att utveckla, förvalta och stödja den upphandling som genomförs av upphandlande myn- digheter och enheter. Våra förslag innebär att en myndighet som har ett behov av tjäns- ter inom it-drift ska ges stöd i att välja it-driftsform. I den mån som Förslag till varaktiga former för samordnad statlig it-drift den efterfrågade tjänsten erbjuds av privata leverantörer så kan det bli aktuellt att upphandla den efterfrågade tjänsten. Vi ser mot denna bakgrund att det finns behov av stöd från i frågor kopplade till upphandling av it-drift. Myndigheten ska därför ges i uppgift att ingå i den samverkan som vi föreslår. Kammarkollegiet har i uppgift att upphandla ramavtal som är avsedda för statliga myndigheter, bl.a. inom it-drift. I uppgiften ingår att till- handahålla stödverksamhet för inköp vid avrop från de samordnade ramavtal som myndigheten har upphandlat. Våra förslag innebär att Kammarkollegiet ska ges i uppgift att sam- verka med den samordnande myndigheten om upphandling av ram- avtal för tjänster inom it-drift avsedda för statliga myndigheter. Den samordnande myndigheten ska bidra med teknisk och juridisk krav- ställning inför upphandlingen. Det finns mot denna bakgrund ett behov av samverkan mellan den samordnande myndigheten och Kammarkollegiet. Vårt förslag om ett expertråd bygger på utgångspunkten att det är stöd- och expertmyndigheter som har uppgifter som omfattar stöd till de myndigheter som berörs av våra förslag som ska ingå i expertrådet. Vi har i avsnitt 2.3.1 beskrivit vad vi avser med ”säker” på aktörs- nivå, dvs. Där framgår att med säker avser vi it- drift som lever upp till de regelverk som gäller för verksamheten, exempelvis krav på säkerhetsskydd och informationssäkerhet samt sekretess och skydd för den personliga integriteten. När det gäller Försvarsmakten och andra myndigheter inom för- svarsområdet så har dessa myndigheter ett begränsat uppdrag att lämna stöd till de myndigheter som berörs av våra för- slag i de regelverk avseende säkerhet som tillämpas på aktörsnivå. Denna bedömning utgår från att det ännu inte fattats något beslut Förslag till varaktiga former för samordnad statlig it-drift om att it-drift ska utgöra en del av det civila försvaret. Om en sam- ordnad statlig it-drift blir en del av organisationen för civilt försvar och därmed totalförsvaret så kan det finnas anledning att komplettera den samverkan som vi föreslår med fler stöd- och expertmyndigheter. Att försvarsmyndigheterna inte föreslås ingå i expertrådet för- hindrar inte att enskilda myndigheter tar kontakt med försvarsmyn- digheterna i frågor som ingår i dessa myndigheters ansvarsområde – tvärtom. Exempelvis får efter begäran stödja statliga myndigheter som hanterar information som bedöms vara käns- lig utifrån sårbarhetssynpunkt eller i ett säkerhets- eller försvarspoli- tiskt avseende. Vi bedömer att behovet av stöd inom den kompetens som försvarsmyndigheterna besitter framför allt kan förmodas finnas hos leverantörsmyndigheterna. Vi ser däremot att det finns anledning för den samordnande myn- digheten att samråda med Försvarsmakten i frågor om säker- het kopplade till den samordnade statlig it-driften. Försvarsmakten ska därför ges i uppgift att samråda med den samordnande myndig- heten i dessa frågor. 11.11Införande av varaktiga former för samordnad statlig it-drift Utredningens förslag: Den samordnade statliga it-driften ska etable- ras genom ett stegvis införande. I ett första steg ska regeringen ge ett samlat uppdrag till berörda myndigheter att etablera kom- petens, förmåga och former för en samordnad statlig it-drift med utgångspunkt i utredningens förslag. Regeringen ska också för- länga befintliga uppdrag om samordnad och säker statlig it-drift samt ge ESV i uppdrag att ta fram indikatorer för uppföljning av den samordnade statliga it-driften. I nästa steg ska regeringen inrätta den samordnade statliga it-driften genom att besluta om förordning för samordnad statlig it-drift och änd- ringar i berörda myndigheters instruktioner. Statskontoret ska ges i uppdrag att utvärdera den samordnade statliga it-driften. Den samordnade statliga it-driften ska etableras genom ett stegvis införande. Det krävs kompetens- och förmågeuppbyggnad inom flera olika områden och hos ett flertal myndigheter. Även om vi konsta- Förslag till varaktiga former för samordnad statlig it-drift terat att det finns uppbyggd förmåga hos några myndigheter att leverera samordnade it-driftstjänster så behöver förmågan breddas till flera myndigheter. Den samordnande myndigheten behöver bygga upp kompetens och förmåga inom sitt ansvarsområde och etablera sam- verkan och samverkansforum med de myndigheter som har uppgif- ter inom den samordnade statliga it-driften. Även andra myndigheter har en viktig roll för att kunna ge stöd inom den samordnade statliga it-driften. För att åstadkomma en sammanhängande helhet förutsätts att uppbyggnaden sker i samverkan utifrån en samlad införandeplan. Vi redogör nedan för hur införandet av en samordnad statlig it- drift ska genomföras. Steg 1: Förmågeuppbyggnad genom regeringsuppdrag till berörda myndigheter I steg 1 byggs förmågan för den samordnade statliga it-driften upp. Det görs genom flera regeringsuppdrag. Samlat regeringsuppdrag att etablera former och förmåga för en samordnad statlig it-drift Ett samlat regeringsuppdrag ska ges till DIGG, , , och samt berörda stöd- och expertmyndigheter (MSB, , tillsynsmyndigheter inom säkerhets- skydd och ) för att tillsammans etablera former och förmåga för en samordnad statlig it-drift. DIGG ska leda arbetet. I uppdraget ska följande delar ingå: –Ta fram gemensamma arbetsformer, rutiner, organisation och ansvarsfördelning i den samordnade statliga it-driften. –Respektive myndighet ska bygga upp kompetens och förmåga ut- ifrån sin uppgift i den samordnade statliga it-driften. Arbetet ska ta utgångspunkt i de förslag som presenteras i detta be- tänkande och utgå från en långsiktig plan för etablering av en samord- nad statlig it-drift som myndigheterna gemensamt tar fram.