sou · H9B397 · 2021-12-15 00:00:00 — Vi har även tagit del av flertalet dokument som beskriver hur uppdraget har organiserats, generella styrdokument samt den återrapportering som gjorts till regeringen. En närmare metod- beskrivning finns i kapitel 6. Vi har även kartlagt och analyserat andra exempel på samordnad it-drift. Utgångspunkten för vår kartläggning och analys har varit den enkät som skickades ut samt intervjuer med repre- sentanter från olika delar av de myndigheter som vi fördjupat oss inom; i , och Sunet () inom . Utredningens uppdrag, utgångspunkter och arbete Vi har även tagit del av dokument som beskriver myndigheternas samordnade it-drift. I vårt arbete med slutbetänkandet har vi även fördjupat oss i två exempel på samordning inom staten; Statens servicecenter och den förvaltningsgemensamma digitala infrastrukturen. Vi har genomfört intervjuer med företrädare för olika delar av Statens servicecenter samt tagit del av dokumentation som beskriver deras verksamhet. Vi har också genomfört dokumentstudier för att beskriva den förvalt- ningsgemensamma digitala infrastrukturen samt haft en dialog med Myndigheten för digital förvaltning (DIGG). I den rättsliga analysen om förutsättningar för samordnad statlig it- drift har vi använt oss av sedvanlig juridisk metod. Det innebär att vi sökt svaren på de frågor som vi ställts inför genom att analysera lag- text, lagmotiv, rättspraxis och litteratur. Vi har även genomfört en workshop med ett antal deltagare med kompetens inom it och juridik. Syftet med workshopen har varit att analysera hur begreppet ”enbart teknisk bearbetning och teknisk lagring för annans räkning” förhåller sig till tjänster inom it-drift. 2.4.3Möten, dialog och samverkan Vi har haft kontakt med ett stort antal aktörer i vårt arbete med slut- betänkandet. Expertgruppen, där företrädare för ingår, har haft fyra möten samt ett slutjusteringsmöte. Referens- gruppen med företrädare för 14 statliga myndigheter, kom- muner och regioner (SKR), TechSverige (tidigare It- och Telekom- företagen), samt har haft fyra möten. På mötena har sekretariatet presenterat upplägg för arbetet, redovisat resultat i de olika analyserna samt lyft principiella frågor och förslag för diskus- sion. Sekretariatet har utöver det stämt av mer specifika frågor med enskilda experter och sakkunniga samt med företrädare i referens- gruppen. Avstämningar har hållits med Infrastrukturdepartementet. Vi har även tagit hjälp av den juridiska arbetsgruppen, där jurister från flera statliga myndigheter ingått, samt representanter från SKR och Inera. Arbetsgruppen har kvalitetssäkrat underlag och skrivningar samt bidragit med synpunkter i principiella frågor. Utredningens uppdrag, utgångspunkter och arbete Två möten har också hållits med en grupp myndighetsföreträdare för att stämma av olika säkerhetsaspekter på samordnad statlig it- drift. I vårt arbete med tjänsteutbud och andra it-tekniska frågor har vi haft stöd av , infrastrukturarkitekt vid Pensionsmyndig- heten. De myndigheter som beskrivs i våra exempel – DIGG, Försäk- ringskassan, , , Statens servicecenter och Sunet () – har faktagranskat de texter där deras verksamhet beskrivs. Våra förslag om organisering av en samordnad statlig it-drift har prövats, utvecklats och förankrats i dialog med de åtta myndigheter som vi bedömt varit aktuella som samordnande myndighet respek- tive leverantörsmyndigheter inom ramen för en samordnad statlig it- drift. I ett första steg svarade myndigheterna på skriftliga frågor om organisationsalternativen: hur de såg på alternativen, myndighetens roll och förutsättningar utifrån alternativen liksom vilka förutsätt- ningar myndigheten behövde för att kunna ta den aktuella rollen. Därefter genomförde vi dialogmöten med respektive myndighet med utgångspunkt i myndighetens skriftliga svar. Vid mötena deltog från myndigheterna bl.a. generaldirektörer och it-chefer samt företrädare för ledningsstaber eller andra delar av verksamheterna. Vi har också stämt av våra förslag med Försvarsmakten, Säkerhetspolisen och Myndigheten för samhällsskydd och beredskap (MSB) samt Kammar- kollegiet. Med utgångspunkt i myndigheternas synpunkter och med- skick har vi därefter anpassat och utvecklat vårt förslag till organi- sering i de delar där vi bedömt det lämpligt. Vi har också haft flera möten med det myndighetsövergripande programmet Säkra it-tjänster i statlig samverkan (SITSSAM) och ett möte med systerprogrammet Program 2032 för att informera om ut- redningen och inhämta kunskap om de båda samverkansinitiativen. Därutöver har vi deltagit vid kundråd och infor- merat om utredningen och vårt arbete. Vi har också haft dialog med . Underlag till konsekvensutredningen och marknadsanalysen har tagits fram av på vårt uppdrag. Utredningens uppdrag, utgångspunkter och arbete I kapitel 3 redogör vi för de säkerhetsmässiga förutsättningar och krav som en samordnad statlig it-drift behöver förhålla sig och ta hän- syn till. Kapitel 4 beskriver förutsättningar för samverkan och samord- ning i staten och redovisar några jämförande exempel: Statens service- center och den förvaltningsgemensamma digitala infrastrukturen. I kapitel 5 redovisar vi vår analys av myndigheternas behov av sam- ordnad statlig it-drift. I kapitel 6–7 presenterar vi vår utvärdering av regeringsuppdrag om samordnad och säker statlig it-drift och redo- gör för andra exempel på samordnad it-drift: , länssty- relserna och Sunet (). Kapitel 8–9 omfattar en redogörelse för de rättsliga förutsättningarna för samordnad statlig it-drift: marknadsrättsliga förutsättningar respek- tive rättsliga förutsättningar för informationshantering inom sam- ordnad statlig it-drift. Kapitel 10 innehåller våra överväganden och förslag när det gäller utgångspunkter och principer för varaktiga former för samordnad och säker statlig it-drift; organisering och styrning, inriktning för tjänsteutbud och principer för anslutning, säkerhet och finansiering. I kapitel 11 presenterar vi våra förslag till varaktiga former för sam- ordnad statlig it-drift: hur en samordnad statlig it-drift ska organise- ras, vilka aktörer som ska ingå, vilket ansvar och uppdrag de olika aktörerna ska ha samt hur samverkan inom den samordnade statliga it-driften ska organiseras. Vi redogör också för våra konkurrensrättsliga överväganden och vilka myndigheter som vi föreslår ska ges uppdrag inom den samordnade statliga it-driften. Vi presenterar också förslag till införande. I kapitel 12 redogör vi för vår konsekvensutredning och för finan- sieringen av våra förslag. I kapitel 13 behandlas ikraftträdande för förordningen om sam- ordnad statlig it-drift. 3Digitalisering och en förändrad hotbild Digitalisering skapar nya möjligheter för utveckling och tillväxt men innebär också nya sårbarheter i samhället. I detta kapitel går vi igenom vilka hotbilder, säkerhetsmässiga för- utsättningar och krav som en samordnad statlig it-drift behöver för- hålla sig och ta hänsyn till. Vi går också igenom förslagen om ett stärkt totalförsvar liksom pågående arbete när det gäller frågor om säker- hetsskydd, informationssäkerhet och cybersäkerhet. Vi går inte igenom några av de säkerhetskrav som gäller enligt dataskyddsförordningen, men det bör framhållas att ett fullgott dataskydd förutsätter en till- räcklig nivå av informationssäkerhet. Våra analyser utifrån genom- gången och vad som specifikt gäller för it-driftsområdet redovisar vi i kapitel 10 och 11. 3.1En bredare och mer komplex hotbild Flera rapporter pekar på ett försämrat säkerhets- politiskt läge och en förändrad hotbild mot . I rapporterna beskrivs att globalisering och digitalisering bidrar till förutsättningar för välstånd och tillväxt som det ökar sårbarheter och risker. I Försvarsberedningens rapport ”Motståndskraft – Inriktningen av totalförsvaret och utformningen av det civila försvaret 2021–2025”, (Ds 2017:66) framhålls att ökade datavolymer och bearbetningsför- mågor i elektroniska kommunikationsnät, it-system och styrsystem ökar riskerna för antagonistisk påverkan genom cyberattacker och andra it-incidenter. På samma sätt konstaterar regeringen i prop. 2020/21:30, Totalförsvaret 2021–2025 att digitaliseringen är en viktig grund för säkerhet och ekonomiska välstånd. Digitaliseringen påver- kar både militär och civil verksamhet inom och utom totalförsvaret. Digitalisering och en förändrad hotbild Den tekniska utvecklingen, utbredningen av digitala lösningar och ökade datavolymer skapar stora möjligheter men risker och sårbarheter för myndigheter och för samhället i stort. De data som genereras medför i sig både sårbarheter och möjligheter. Många av de system som är kritiska för att upprätthålla samhällets funktio- nalitet är redan i fredstid sårbara för störningar. Digitalisering, cen- tralisering och tekniska beroenden medför sårbarheter som kan ut- nyttjas av en antagonist. Säkerhetspolisen skriver i sina årsböcker för både 2019 och 2020 att hotet mot har breddats och blivit mer komplext. Det tra- ditionella underrättelsehotet består, som säkerhetshotande verksamhet intensifieras. Globalisering och digitalisering skapar nya möjligheter men också nya och förändrade sårbarheter i samhället. Brister i säkerheten utnyttjas av främmande makt för att inhämta information men också för att påverka beslutsfattare och andra. Cyberhotet riskerar att få allvarliga konsekvenser för samhällets funk- tionalitet. Den genomgripande digitaliseringen, att fler enheter kopp- las upp mot internet samt fortsatt stora brister i it-säkerheten inne- bär att riskerna för störningar i samhällsviktiga verksamheter ökar. Främmande makt har en hög cyberförmåga och metoden kommer att bli viktigare både vad gäller informationsinhämtning och förstö- rande angrepp. Ett omfattande cyberangrepp från främmande makt kan få mycket allvarliga konsekvenser för samhällets förmåga att fun- gera och därmed för säkerhet. 3.2Digitalisering, it-drift och säkerhet presenterade regeringen en strategi för ett hållbart digitali- serat Sverige.1 Det övergripande målet för strategin är att ska vara bäst i världen på att använda digitaliseringens möjligheter. För att nå det övergripande målet finns fem delmål om digital kompetens, digital trygghet, digital innovation, digital ledning och digital infra- struktur. Inom delmålet digital trygghet finns flera uppdrag och åt- gärder för att säkerställa höga krav på säkerhet i digitala lösningar, exempelvis uppdrag om samordnad och säker statlig it-drift, ett nationellt cybercentrum och uppdrag till Myndig- 1Regeringen (2017) För ett hållbart digitaliserat – en digitaliseringsstrategi, /informationsmaterial/2017/05/for-ett-hallbart-digitaliserat-sverige-en- digitaliseringsstrategi. Digitalisering och en förändrad hotbild heten för samhällsskydd och beredskap (MSB) om att bidra till ökad kunskap och samverkan på informationssäkerhetsområdet. Reger- ingen fastslår att det är viktigt med säkra digitala system som värnar den personliga integriteten och att identifierade sårbarheter hanteras när människor och samhället i allt högre grad blir beroende av att teknik är uppkopplad och kommunicerbar via internet. Utkontraktering av it-drift och andra it-relaterade tjänster skapar både nya möjligheter och risker i samhället. Nya leveransformer kan vara ett sätt att öka kvaliteten och sänka kostnaderna i en verk- samhet. Men de kan också leda till en ökad koncentration av it-drift som innebär att flera aktörer kan komma att drabbas av en incident och att konsekvenserna för samhället kan bli allvarliga. Leve- ranskedjeangrepp har också blivit en allt vanligare företeelse där skad- lig programvara installeras via betrodda leverantörskanaler. har det inträffat ett antal it-drifts- relaterade händelser och incidenter som fått säkerhetsmässiga konse- kvenser för enskilda myndigheter. drabbades ett stort antal samhällsaktörer inom flera olika sektorer av en driftstörning hos den privata leverantör som hanterade deras it-drift. Driftstörningen innebar i flera fall långvariga verksamhetsstörningar. Konsekvenserna hade nationell spridning, var tvärsektoriella och drabbade i flera fall samhällsviktiga verksamheter.2 Ett annat exempel är Transportstyrel- sen som 2015 utkontrakterade sin it-drift till en privat leverantör. En- ligt avtalet skulle leverantören ansvara för maskinvara, nätverk och program samt drift av myndighetens register. Under övergången av it- driften till den privata leverantören beslutades om en rad avsteg från svensk lagstiftning vilket i sin tur medförde att säkerhetskänslig och sekretessbelagd information hanterades på ett sätt som strider mot svensk lag.3 Digitalisering och nya leveransformer bidrar alltså både med möj- ligheter och förutsättningar för myndigheter att hitta kostnadseffektiva it-driftslösningar, men det ställer krav på myndigheterna att hantera sin it-drift på ett säkert sätt. Detsamma gäller för en sam- ordnad statlig it-drift. I de följande avsnitten går vi igenom ett stärkt totalförsvar samt reglering och pågående arbete på säkerhetsområdet. 2MSB (2012) Reflektioner kring samhällets skydd och beredskap vid allvarliga it-incidenter. En studie av konsekvenserna i samhället efter driftstörningen hos Tieto . 3Granskning av Transportstyrelsens upphandling av it-drift, Ds 2018:6. Digitalisering och en förändrad hotbild 2020/21:30 Totalförsvaret 2021–2025 drar regeringen slut- satsen att det förändrade säkerhetspolitiska läget innebär att total- försvarets förmåga fortsatt behöver stärkas. Regeringen framhåller att det civila och militära försvaret är ömsesidigt förstärkande. För att värna balansen i totalförsvaret är det viktigt att också det civila försvaret prioriteras och fortsätter att utvecklas. Det är särskilt vik- tigt att vidareutveckla och fördjupa arbetet med att stärka motstånds- kraften i de viktigaste samhällsfunktionerna samt att säkerställa en nödvändig försörjning. Det civila försvaret ska i sin tur bygga på struk- turer och processer som används inom krisberedskapen. Vidare be- tonas att ett väl fungerande säkerhetsskyddsarbete är grunden för uppbyggnaden av hela totalförsvaret. Totalförsvar, civilt försvar och krisberedskap hänger därmed nära samman. Förmågan att hantera kriser i samhället i fredstid ger en grundläggande förmåga att hantera situationer under höjd beredskap och ytterst krig. På samma sätt bidrar ett starkt totalförsvar till att förstärka den fredstida krisberedskapen. Genom en sammanhållen planering, ledning och beredskap för totalförsvaret samt nödvändiga resurser för att kunna hantera krig, förbättras även möjligheterna att förebygga och hantera fredstida kriser. 3.3.1Totalförsvar, civilt försvar och krisberedskap Av 1 § lagen (1992:1403) om totalförsvar och höjd beredskap fram- går att totalförsvar är verksamhet som behövs för att förbereda för krig. Totalförsvar består av militär verksamhet (militärt försvar) och civil verksamhet (civilt försvar). För att stärka landets försvars- förmåga kan beredskapen höjas. Höjd beredskap är antingen skärpt beredskap eller högsta beredskap. Under högsta beredskap är total- försvar all samhällsverksamhet som då ska bedrivas. Totalförsvarsresur- ser ska utformas så att de även kan användas för att stärka samhällets förmåga att förebygga och hantera svåra påfrestningar på samhället. Myndigheters ansvar vid höjd beredskap regleras i förordningen (2015:1053) om totalförsvar och höjd beredskap och i förordningen (2015:1052) om krisberedskap och bevakningsansvariga myndigheters åtgärder vid höjd beredskap (krisberedskapsförordningen). Digitalisering och en förändrad hotbild 3.3.2Dagens struktur för krisberedskap och civilt försvar Av krisberedskapsförordningen framgår bl.a. följande. Planeringen för höjd beredskap ska bedrivas inom ett antal samverkansområden av ett antal utpekade myndigheter som har ett särskilt ansvar inför och vid höjd beredskap. Dessa myndigheter har ett särskilt ansvar för den fredstida krisberedskapen. Samma myndigheter har också ett ansvar att vidta de ytterligare förberedelser som krävs inom respektive ansvarsområde vid höjd beredskap, ett så kallat bevakningsansvar. MSB ska i samverkan med de myndigheter som ingår i samverkansområdena utveckla formerna för arbetet i respektive samverkansområde. I förordningen finns fem samverkansområden utpekade (teknisk infrastruktur, transporter, farliga ämnen, ekonomisk säkerhet och skydd, undsättning och vård) där olika myndigheter ingår. MSB och länsstyrelserna har därutöver ett geografiskt områdesansvar. Utöver det 25-tal myndigheter som är utpekade i förordningen har MSB med stöd av krisberedskapsförordningen beslutat att ytter- ligare sex myndigheter ska ingå i arbetet med samverkansområdena. Till detta kommer ett antal adjungerade aktörer i vissa samverkans- områden. Utredningen om civilt försvar skriver i sitt betänkande (SOU 2021:25) att det inte har gjorts några omfattande strukturella för- ändringar för samverkansområdena sedan de bildades . De byg- ger på ett delat ansvar mellan de myndigheter som ingår i respektive område. MSB har i sina uppföljningar bl.a. konstaterat att arbetet behöver utvecklas för att ytterligare stärka ansvariga aktörers för- måga att förebygga och hantera olyckor, kriser och krig. Exempelvis behöver strukturen för samverkansområdena göras mer flexibel, om- rådena utvecklas liksom samverkan mellan olika samverkansområden. Uppföljningarna visar också att flera myndigheter tycker att struk- turen för arbetet är otydlig och att ingen av myndigheterna har ett ansvar att driva arbetet framåt på ett systematiskt sätt. Myndigheterna efterlyser ett tydligare mandat för det arbete som ska genomföras till- sammans med andra myndigheter för att frågorna ska kunna drivas framåt och resultera i konkreta resultat. Digitalisering och en förändrad hotbild 3.3.3Förslag för ett stärkt civilt försvar Utredningen om civilt försvar lämnar med utgångspunkt i sitt upp- drag och med anledning av de slutsatser som dras om det befintliga systemet för krisberedskap och civilt försvar ett antal förslag med syfte att stärka strukturen för civilt försvar. Vi redogör kort för dessa nedan. Utredningen har remissbehandlats och bereds inom . Befintliga samverkansområden föreslås ersättas med tio beredskapssektorer Utredningen om civilt försvar föreslår att samverkansområdena av- vecklas och ersätts av en struktur med beredskapssektorer som tar sin utgångspunkt i samhällsviktiga verksamheter och funktioner. En beredskapssektor ska uppfylla ett antal kriterier, bl.a. ska den om- fatta samhällsviktig verksamhet där det finns ett starkt behov av sam- ordning i planering och för beredskapsåtgärder. Arbetet i respektive beredskapssektor ska bidra till att stärka samhällets säkerhet, total- försvaret och krisberedskapen. Tio beredskapssektorer föreslås inrättas inom områdena ekono- misk säkerhet, elektroniska kommunikationer och post, energiför- sörjning, finansiella tjänster, försörjning av grunddata, hälsa, vård och omsorg, livsmedelsförsörjning och dricksvatten, ordning och säker- het, räddningstjänst och skydd av civilbefolkningen samt området transporter. När det gäller försörjning av grunddata skriver utredningen i sitt betänkande att en avgörande förändring mellan den totalförsvarsplaner- ing som genomfördes under det och den nu återupptagna planeringen för totalförsvaret gäller beroendet av digital information. Därför föreslås en särskild sektor för försörjning av grunddata. Cybersäkerhet föreslås bli ett av fyra särskilda beredskapsområden Utöver beredskapsområdena har utredningen om civilt försvar iden- tifierat ytterligare fyra områden av särskild betydelse att upprätthålla i kris, höjd beredskap och då ytterst krig. De kallas för särskilda Digitalisering och en förändrad hotbild beredskapsområden och är inriktade på cybersäkerhet, psykologiskt försvar, skola och förskola samt migration. Myndigheter inom de särskilda beredskapsområdena ska vara beredskapsmyndigheter och föreslås få sina uppdrag genom instruktion, regeringsbeslut eller annan reglering. Beredskapsområdena föreslås ingå i den sammanhängande planering som MSB och Försvarsmakten ska hålla samman. När det gäller cybersäkerhet skriver utredningen att man delar För- svarsberedningens bedömning att ett systematiskt arbete med infor- mations- och cybersäkerhet spelar en avgörande roll för att en tro- värdig totalförsvarsförmåga ska kunna uppnås hos staten, kommuner, regioner och näringsliv. En förutsättning för ett starkt cyberförsvar är att samtliga aktörer inom totalförsvaret har en god informations- och cybersäkerhet. Det behöver därför finnas en nationell funktion med uppgift att stödja myndigheter och samhället i övrigt i arbetet med att förebygga och hantera angrepp inom informations- och kom- munikationsområdet samt upprätthålla en aktuell lägesbild över sam- hällets digitala miljö. Utredningen hänvisar till uppdraget att inrätta ett nationellt cybersäkerhetscenter samt till utredningen om en säker och kostnadseffektiv it-drift för den offentliga förvaltningen. Sektorsansvariga myndigheter och beredskapsmyndigheter En ny förordning, beredskapsförordningen, föreslås ersätta krisbered- skapsförordningen. Den nya förordningen ska enligt förslaget inne- hålla bestämmelser om ansvar för krisberedskap och civilt försvar när det gäller statliga myndigheter under regeringen. Av den föreslagna beredskapsförordningen framgår bl.a. följande. Samtliga statliga myndigheter under regeringen ska även i fortsätt- ningen ha ett grundläggande ansvar för uppgifter inom krisbered- skapen och totalförsvaret. Staten ska genom beredskapssektorerna ha huvudansvaret för att driva på och samordna arbetet så att det bedrivs systematiskt och med en gemensam inriktning. Utöver stat- liga myndigheter är kommuner och regioner samt privata aktörer vik- tiga för att utveckla och upprätthålla den samlade beredskapen. Varje beredskapssektor ska ha en utpekad sektorsansvarig myndighet samt myndigheter med beredskapsansvar inom sektorn. De sektorsansvariga myndigheternas uppgifter föreslås regleras i beredskapsförordningen och i respektive myndighets instruktion. Digitalisering och en förändrad hotbild Övriga myndigheter med ansvar inom en eller flera viktiga samhälls- funktioner och vars verksamhet har särskild betydelse för krisbered- skapen och totalförsvaret ska enligt den föreslagna förordningen vara beredskapsmyndigheter. Uppdraget föreslås regleras i respektive myndighets instruktion för att tydliggöra att det ingår i myndighetens kärnverksamhet och omfattas av myndighetens interna styrning och kontroll enligt myndighetsförordningen (2007:515). Av myndighets- instruktionerna ska det också framgå att beredskapsmyndigheterna blir bundna av de sektorsansvariga myndigheternas föreskrifter under höjd beredskap. MSB föreslås få ansvaret att utifrån ett totalförsvarsperspektiv ha en helhetssyn och ge stöd till beredskapssektorerna i deras arbete samt hantera frågor som ingen beredskapssektor har ansvar att ta om hand och där det eventuellt kan finnas behov av att inrätta en ny sektor. Beredskapssektorerna ska samarbeta och samverka över sek- torsgränserna. Samverkan ska dock inte vara författningsreglerad. Frågorna och behoven ska vara styrande för hur samverkan och sam- arbete ska utformas. MSB ska i egenskap av förvaltare av beredskaps- systemet vid behov tillhandahålla stöd till sektorsövergripande sam- verkan. Resultaten av det gemensamma arbetet i beredskapssektorerna ska bidra till ökad försvarseffekt i händelse av ett väpnat angrepp och en god förmåga att hantera kriser i fred. 3.3.4Civilt försvar och en samordnad statlig it-drift Ett stärkt totalförsvar innebär att fler aktörer än tidigare kommer att få uppgifter i det civila försvaret. Det är därför viktigt att statliga myndigheters deltagande i en samordnad statlig it-drift inte påverkar skyddet av aktörers förmåga att planera inför samt utföra sina upp- gifter under höjd beredskap och då ytterst krig.