sou · H9B397 · 2021-12-15 00:00:00 — Det skapar också en osäkerhet för de myndigheter som har anslutit sig. Myndigheter som ingår i samordnade it-drift Utvärdering av uppdrag om samordnad och säker statlig it-drift har investerat tid och resurser på att ansluta sig, vilket innebär att det hade inneburit stora risker att avbryta sin samverkan om Försäkrings- kassan hade kommit fram till att försöksverksamheten inte fungerar väl. Det är av denna anledning viktigt att se över formerna för upp- draget framåt för att säkerställa mer varaktiga former genom t.ex. författningsreglering i stället för ett tidsbegränsat regeringsuppdrag. Det är även viktigt att analysera på vilket sätt myndigheter som är anslutna till samordnade it-drift kan omhänder- tas framöver. Det är oklart i vilken utsträckning har bidragit till att öka myndigheternas informationssäkerhet Av vår utvärdering framgår det tydligt att säkerhet har varit en viktig parameter i uppdrag. Vad som avses med säker- het har däremot inte tydliggjorts. I direktiven till lyfter regeringen fram att fokus i uppdraget ska ligga på funktioner och myndigheter där åtgärder bedöms leda till högre informations- säkerhet. konstaterar att myndigheten har avgränsat sitt åtagande till it-säkerhet. Det är därför oklart i vilka utsträckning har bidragit till att öka myndighe- ternas samlade informationssäkerhet och inte enbart it-säkerhet. För att säkerställa att regeringens intentioner fullföljs vore det lämpligt att tydliggöra på vilket sätt inom ramen för sitt uppdrag kan bidra till att öka myndigheternas informations- säkerhet. Det vore även önskvärt att tydliggöra på vilket sätt det stöd givit inom området it-säkerhet kan tänkas påverka eller påverkas av kundmyndigheternas systematiska informations- säkerhetsarbete. erbjuder tjänster som levereras internt inom myndigheten men de har inte paketerats för externt bruk Vad som avses med kostnadseffektivitet enligt direktiven till För- säkringskassan är diffust. Det har inte framgått vilka tjänster som ska erbjudas eller hur myndigheternas olika behov ska hanteras. För- säkringskassan har därför valt att utgå från de behov som matchar SOU 2021:97 Utvärdering av uppdrag om samordnad och säker statlig it-drift Tjänsteutbudet pakete- rades däremot inte på förhand för externt bruk. De kundmyndigheter som har anslutits har överlag fått de tjäns- ter som de har efterfrågat med mindre justeringar för att passa För- säkringskassans driftsorganisation. I ett fall har i samförstånd med en kundmyndighet valt att inte gå vidare med en anslutning eftersom myndigheterna har haft olika tekniska plattfor- mar. Flera kundmyndigheter uppger till utredningen att de till en början upplevde att det var svårt att förstå vad kunde erbjuda och hur det förhöll sig till de behov kundmyndigheterna hade. Det har även påverkat möjligheten att på förhand kunna få in- formation om kostnaderna för en tjänst. Genom att utgå från den leverans som redan ger internt har myndigheten kunnat undvika kostnader för att bygga upp ny förmåga. Eftersom merparten av kundmyndigheterna har fått de tjänster som de har efterfrågat så bedömer vi att det har varit en klok avvägning. Det finns däremot ett behov av att tydliggöra hur man omhändertar behov som avviker från det befintliga tjänsteutbudet och hur man kan identifiera de fall där det vore skäligt och motiverat utifrån ett kostnadsperspektiv att utveckla ny förmåga. Det skulle t.ex. kunna vara om tillräckligt många myndigheter är intresserade av samma tjänst. För att säkerställa transparens och så kostnads- effektiva lösningar som möjligt bör tjänsteutbudet paketeras och stan- dardiseras i de delar det är möjligt. Det har inte varit tydligt på vilka grunder vissa myndigheter har prioriterats för anslutning har tagit fram en modell för prioritering mellan myndigheter inför anslutning. I praktiken har modellen däremot inte använts systematiskt. Det har inte heller ställts skarpa krav på prioritering eftersom myndigheterna kommit in med sina förfråg- ningar allteftersom och då bedömts i varje enskilt fall. Försäkrings- kassan har alltså i liten grad behövt prioritera mellan flera myndig- heter vid ett och samma tillfälle. För att säkerställa en ordnad, rättvis och träffsäker anslutning av kundmyndigheter borde det tydligare ha framgått av vilka skäl myn- digheter skulle ansluta sig till med angivna krite- rier för vilka myndigheter som skulle prioriteras. Utvärdering av uppdrag om samordnad och säker statlig it-drift modell för anslutning och samverkan fungerar överlag bra men behöver utvecklas har byggt upp förmåga och anslutit ett antal myn- digheter sedan uppdraget startade . har tagit fram en modell för anslutning som består av fyra steg samt för sam- verkan på tre nivåer. Kundmyndigheterna är till stor del nöjda med sin samverkan med och med leverans. Det har där- emot framkommit att vissa kundmyndigheter upplever att Försäk- ringskassans organisation delvis är ineffektiv och att det finns brister vad gäller insyn och transparens. lyfter fram att det finns ett behov av att fortsatt utveckla överlämningen till pro- duktionen samt tydliggöra på vilket sätt tar om hand löpande förändringar och förslag till förbättringar. För att kundmyndigheterna ska kunna ta ansvar för hela sin it- drift är det viktigt att de har god insyn och förståelse både för hur processen för en anslutning ser ut, hur deras behov omhändertas och hur utveckling förväntas hanteras. Som vi tidigare nämnt ser vi även ett behov av att tydliggöra hur behov som avviker från Försäkrings- kassan leverans ska hanteras. Juridisk kompetens borde ha ingått i projektorganisationen har i sitt regeringsuppdrag avropat juridisk kom- petens vid behov men det har inte ingått någon permanent juridisk kompetens i projektorganisationen. Bedömningen av vilka rättsliga frågor som bör analyseras har därmed i stor utsträckning gjorts av den projektgrupp som ansvarat för genomförandet. Det har även varit otydligt vem som har ansvarat för att rättsliga analyser och ställnings- taganden dokumenteras och diarieförs. Samordning mellan statliga myndigheter är ett komplext område, inte minst ur ett juridiskt perspektiv. Flera rättsliga utmaningar aktua- liseras när myndigheter ska samordna sig, vilket kan vara svårt att navigera i om man saknar rätt juridisk kompetens. Det finns en risk att har missat viktiga rättsliga avvägningar på grund av bristande juridisk kompetens direkt i projektorganisationen. Det hade därför varit lämpligt att hade involverat juri- disk kompetens direkt i projektet. SOU 2021:97 Utvärdering av uppdrag om samordnad och säker statlig it-drift kärnuppdrag sätter gränser för deras roll i en samordnad statlig it-drift har ett stort kärnuppdrag där it är en stödfunk- tion. Av våra intervjuer med dels företrädare för , dels företrädare för myndighetsledning framgår att det finns ett tak för hur många myndigheter skulle kunna ansluta. Vi ser även att det finns risker förenade med att it-driftsuppdraget hanteras inom en myndighet som har ett i övrigt omfattande kärnuppdrag. Om den samordnade statliga it-driften är för liten i relation till kärnuppdraget så riskerar den att nedpriori- teras, men om den blir för omfattande riskerar den att få negativ påverkan på kärnuppdraget. För att värna om kärnuppdrag som kundmyndigheternas behov och förutsättningar omhändertas är det viktigt att se över organiseringen av den samordnade statliga it- driften. Det kan till exempel finnas anledning att undersöka på vilket sätt andra myndigheter kan bidra och komplettera i den samordnade statliga it-driften. Även har lyft fram ett behov av att involvera fler myndigheter som kan erbjuda it- drift till andra myndigheter, vilket bl.a. är bakgrunden till att det myn- dighetsövergripande programmet SITSSAM bildades. Det är viktigt att samverkan präglas av transparens och ett partnerskap och kundmyndigheterna framhåller att en viktig framgångsfaktor med en statligt tillhandahållen it-drift är att den ut- går från samverkan och ett partnerskap mellan myndigheter. För- säkringskassan har lyft fram ett behov av att frångå ett allt för ut- präglat leverantörs- och kundförhållande. Även kundmyndigheterna önskar en transparent och tillitsfull samverkan där myndigheterna gemensamt hittar lösningar på de utmaningar som uppstår. lyfter flera kundmyndigheter att skulle behöva utvecklas i sin roll som leverantör. Det har även framgått att För- säkringskassan inte alltid är transparent i delar som ligger inom kund- myndighetens ansvarsområden, exempelvis när det gäller säkerhet. Det är viktigt att bygga vidare på det som upplevs som positiva erfarenheter av uppdrag om samordnad och säker Utvärdering av uppdrag om samordnad och säker statlig it-drift statlig it-drift och som kan skapa det partnerskap som förordas. Det gäller t.ex. att skapa transparens och insyn och att vara tydlig med att myndigheterna inte kan ingå civilrättsligt bindande avtal med var- andra. behöver det vara tydligt vad som ingår i rollen för den myndighet som tillhandahåller it-drift vad gäller ansvar och för- pliktelser gentemot kundmyndigheterna. Svårt att förutsäga kostnaderna för den samordnade it-driften Flera kundmyndigheter har lyft att besked om kostnaderna för an- slutning till it-drift har kommit i ett så pass sent skede av anslutningsprocessen att myndigheterna har upplevt det svårt att avbryta anslutningen. Bristen på standardisering och pake- tering är enligt en anledning till att det varit svårt att presentera kostnader i ett tidigare skede. anger Försäk- ringskassan att det alltid kommer vara svårt att ge en fullständig prognos av kostnaderna eftersom mycket beror på de val som kund- myndigheten gör. För att kundmyndigheterna ska kunna bedöma om det är lämp- ligt och kostnadseffektivt att ansluta sig till en samordnad lösning är det viktigt att det finns förutsättningar för att tidigt få information om kostnaderna, helst innan parterna tecknar en överenskommelse. Genom att standardisera och paketera tjänsteutbudet samt använda en enhetlig och transparent modell för kostnadsredovisning, t.ex. TBM, torde förutsättningar för det finnas. är det viktigt att modellen är flexibel för kundmyndigheternas specifika behov. Avgiftsfinansiering fungerar i huvudsak bra men det kan finnas behov av anslagsfinansiering i vissa delar Merparten av de som vi har intervjuat ser fortsatt att avgifter bör användas som huvudsaklig finansiering. Kundmyndigheterna har även uppskattat den modell för avgiftsuttag som ut- vecklat som utgår från myndighetens långsiktiga självkostnader utifrån en årlig genomsnittskostnad . Det finns däremot särskilda utmaningar både vad gäller kostnader för anslutning och för att få en långsiktigt kostnadseffektiv leverans. SOU 2021:97 Utvärdering av uppdrag om samordnad och säker statlig it-drift Flera kundmyndigheter anger att de utan finansiellt stöd hade haft svårt att ansluta sig till . Två av de myndig- heter som varit tvungna att själva finansiera kostnaderna för anslut- ning anger att de inte hade haft möjlighet att bekosta avgifterna om det inte vore för minskade kostnader med anledning av pandemin. har även varit tydlig med att de ser ett fortsatt behov av anslagsfinansiering av de delar som rör utveckling av gemen- samma tjänster. Det finns anledning att titta närmare på hur en avgiftsfinansierad modell kan kompletteras med anslag i de delar som rör uppstart och uppbyggnad av en samordnad statlig it-drift, kostnader för små myn- digheter i initiera-fasen samt vid utveckling av gemensamma behov. 7Andra exempel på samordnad it-drift Myndigheter samordnar sin it-drift . Vi kan inte uttala oss om den totala omfattningen, men av vår enkät till 200 statliga myn- digheter framgår att det förekommer samordning i större utsträckning än vad man skulle kunna tro. Nästan var tredje myndighet (50 myn- digheter) anger att de samordnar sin it-drift med en annan myn- dighet. Av dessa är 36 myndigheter mottagare och 14 myndigheter tillhandahållare av it-drift. Myndigheterna utbyter allt från specifika tjänster, såsom de HR- och lönerelaterade tjänster som Statens service- center tillhandahåller, till ett helhetsåtagande. Det förekommer även exempel där en myndighet får hyra in sig i en annan myndighets data- center och att myndigheter sköter drift och förvaltning av tjänster för hela förvaltningen, såsom digital post. Därutöver vet vi att Dom- stolsverket erbjuder it-drift till samtliga domstolar, , samt Lagrådet. I antalet motta- gande myndigheter inkluderas inte heller de 20 länsstyrelser som tar emot it-drift från i . För att ytterligare förstå hur myndigheter samordnar sin it-drift och vilka lärdomar och erfarenheter som är viktiga att ta med sig vid en eventuell utveckling av samordnad it-drift har vi fördjupat oss i ett antal av dessa exempel. Vi har valt att titta närmare på följande tre exempel: 1.Länsstyrelsernas samordnade it-drift som tillhandahålls via Läns- styrelsen i . 2.Skatteverket som tillhandahåller it-drift till bl.a. Kronofogden och . Andra exempel på samordnad it-drift 3.Sunet () vid Vetenskaps- rådet som har till uppgift att tillgodose behovet av datakommuni- kation hos svenska lärosäten och andra offentliga organisationer med koppling till forskning eller högre utbildning. Länsstyrelserna har en lång tradition av att samordna flera av sina administrativa tjänster sinsemellan. I regleringsbreven för åren 2007–2008 fick länsstyrelserna i uppdrag att utveckla en gemensam it-organisation. Uppdraget baserades bl.a. på en förstudie som läns- styrelserna genomförde 2006. genomfördes en verk- samhetsövergång från samtliga län av personal som jobbade minst 50procent inom it-verksamheten till it-avdelningen hos Länsstyrel- sen i . upphörde verksamheten vid samtliga länsstyrelsers it-avdelningar. All it-personal fördes över till i men fick sitta kvar geografiskt på den länsstyrelse som personalen tidigare tillhört. Genom att dra nytta av det som i hade byggt upp kunde länsstyrelserna höja den lägsta säkerhets- nivån på ett smidigt sätt. Genom att samla all it-verksamhet hos Läns- styrelsen i kunde de även ta ett helhetsgrepp om samtliga avtal och likrikta it-verksamheten och på så vis minska länsstyrelsernas samlade it-kostnader. i ansvarar för it-försörjningen till samtliga länsstyrelser. Myndigheten äger alla it-tillgångar (personal, hårdvara, mjukvara, tjänster, konsulter) som nyttjas av länsstyrel- serna och är också avtalspart när det gäller anskaffning av produkter och tjänster inom it-området. Grundläggande ansvarsförhållanden mellan i och de övriga 20 läns- styrelserna regleras i en överenskommelse. Överenskommelsen har ingåtts mellan i och respektive länsstyrelse. Vid sidan av överenskommelsen finns också ett ägar- direktiv för it, där länsstyrelserna redogör för en flerårig strategisk inriktning för it-verksamheten. Andra exempel på samordnad it-drift Landshövdingemötet beslutar om och äger såväl överenskom- melsen som ägardirektivet. Det är också landshövdingemötet som beslutar om årliga kostnadsramar för it-verksamheten. Därutöver har länsrådsmötet ett särskilt utskott med samordningsansvar för it, som också – tillsammans med länsstyrelsernas it-chef – agerar port- följstyrgrupp för it-relaterade projekt och förvaltningsåtaganden. Organisationen har byggts upp och även justerats vartefter samverkan har etablerats och utvecklats. Till en början byggdes orga- nisationen upp utifrån en ekonomistyrning med styrning och kon- troll i fokus, men successivt har man övergått till en organisation som allt mer präglas av samverkan och partnerskap mellan länsstyrel- serna och it-avdelningen. Länsstyrelsernas samordnade it-drift präglades länge av en be- ställar- och utförarrelation vilket i i efterhand kan se var skadligt för relationen och på många sätt häm- made länsstyrelsernas digitala utveckling. Det ledde till att man inte kunde satsa på de goda idéer som fanns inom kärnverksamheten. För att lyckas har man insett att det är viktigt att it-avdelningen har ett förtroende hos de myndigheter som man samordnar sig med. I i leverans till länsstyrelserna ingår såväl utveckling som drift. Tjänsteutbudet har utvecklats successivt, till en början ingick enbart drift och support. står driften för av den totala it-verksamheten. Tjänsteutbudet inkluderar tjänster inom följande områden: •Arbetsplats, vilket omfattar hårdvara för klienter och telefoni, kon- ferensutrustning, på-platsen-support, servicedesk, skrivare och ut- bildning. •Stödjande, vilket omfattar arkitektur, information och kommuni- kation, it-tjänstestyrning, processledning, projektledning, säker- het samt upphandling och inköp. •Infrastruktur, vilket omfattar bl.a. databas, datahall, access, fillag- ring, katalogtjänster och identitetshantering, , , med- delandehantering, servrar, säkerhetskopiering och återläsning, över- vakning. Andra exempel på samordnad it-drift •Applikation, vilket omfattar applikationsutveckling och underhåll, GIS-plattform, integrationsplattform, samarbetsplattform, sam- bands- och informationssystem och ärendeplattform. Verksamheten inom it-avdelningen bedrivs som en avgiftsfinansie- rad resurssamverkan mellan länsstyrelserna. I princip alla it-kostnader samlas hos den verksamhet som bedrivs hos i . På så vis får länsstyrelserna en samlad bild av de totala it-kostnaderna, som därefter debiteras respektive länsstyrelse. Avgifterna sätts baserat på en grundavgift som står för den gemen- samma it-förmågan och baseras på en fast avgift per it-användare inom respektive länsstyrelse. Därutöver sätter man avgifter enligt en prislista för kontinuerligt innehav av standardiserade beställnings- tjänster, för engångsbeställningar (kringutrustning och tillbehör) samt för utvecklingsuppdrag eller särskilt beställda insatser (projekt/ offert). uppgick avgiftsintäkterna för it-avdelningen hos Läns- styrelsen i till . gick verksamheten med ett överskott om cirka 6,7 miljoner kro- nor, med ett ackumulerat överskott om . i kan se att betydelsen av en avgiftsfinansiering har minskat vartefter samverkan mellan länssty- relserna har utvecklats. Eventuellt skulle det vara lämpligt med en direkt finansiering av it, t.ex. genom anslag för bastjänster. Myndig- heten ser ett behov av att komma bort från rundgången på pengar och den interna administration som uppstår kring hanteringen av för- valtningskostnader. Länsstyrelserna genomför en översyn av den ekonomiska modellen Överlag upplever företrädare för i att den ekonomiska modell som tillämpas fungerar väl. Den upp- levs som väl inarbetad och det uppstår sällan frågor från kundmyn- digheterna. I dialog med ekonomicheferna inom respektive länssty- relse har man däremot kommit överens om att göra en översyn av Andra exempel på samordnad it-drift modellen för att dels minska antalet debiteringar , dels för- bättra kommunikation och dialog kring utfall tidigare i processen. Historiskt har länsstyrelserna debiterats , men man har gått över till en halvårsvis debitering. Ursprungligen fanns det en tanke om att länsstyrelserna kortsiktigt skulle kunna påverka sina kostnader och att det därmed fanns ett behov av att se hur kost- naderna varierade över året. Vartefter samverkan har utvecklats har kostnaderna blivit allt mer förutsägbara. Ambitionen är att gå över till en årsvis debitering. Länsstyrelsernas samordnade it-drift har bidragit till en effektivisering Företrädare för i bedömer att organisationen har blivit mer effektiv jämfört med när respektive länsstyrelse själv hanterade sin it-drift. De direkta kostnaderna för it-driften har kunnat minskas framför allt genom mer effektiva in- köp och avtal. har man byggt upp en förbättrad servicenivå som gett besparingar i kärnverksamheten. Det har däremot varit svårt att följa upp och mäta de exakta värdena eftersom så mycket annat påverkar kostnadsutvecklingen. Det saknas även en korrekt baslinje över hur kostnaderna såg ut att utgå från. Uppdraget till i att tillhandahålla it- drift åt övriga länsstyrelser framgår av regleringsbrev. Samverkan av- seende it-drift med andra kommunala och statliga myndigheter har inte sin grund i författning eller regeringsbeslut. Rättsligt stöd lämnas av jurister vid rättsenheten. Gemensamma informationssäkerhets- och dataskyddsfrågor hanteras i en separat organisation placerad hos i , där länsstyrelsernas gemensamma dataskyddsombud ingår. Länsstyrelsernas samverkan kring it-drift har dokumenterats i en överenskommelse. i utför inte be- handling av personuppgifter i egenskap av personuppgiftsbiträde åt övriga länsstyrelser, utan länsstyrelserna har bedömt att det är fråga Andra exempel på samordnad it-drift om ett gemensamt personuppgiftsansvar, som finns dokumenterat i ett skriftligt arrangemang. Länsstyrelserna gjorde en generell bedömning att den samord- nade it-driften var begränsad till teknisk bearbetning och teknisk lagring i enlighet med 2 kap. 13 § första stycket TF i samband med att it-överenskommelsen slöts. Länsstyrelserna har inte gjort någon separat bedömning per tjänst om uppgiftshanteringen är begränsad till enbart teknisk bearbetning och teknisk lagring för annans räkning. i har bedömt att it-driftstjänsterna som tillhandahålls andra länsstyrelser inte behöver upphandlas. Man har också gjort bedömningen att man som leverantör inte har blivit så stor att konkurrensen hämmas. ansvarar för sin egen information och att de skyl- digheter som finns avseende behandling av personuppgifter, krav på säkerhetsskydd och krav på informationssäkerhet efterlevs. Efter- som samtliga länsstyrelser har en gemensam it-miljö och en gemen- sam it-försörjare så hanteras personuppgifter och dataskydd genom ett så kallat arrangemang mellan myndigheter. Man har även gemen- samma användarriktlinjer för arbete i it-miljön. har en informationssäkerhetssamordnare och en säkerhetsskyddschef, men man har också valt att etablera gemen- samma stödfunktioner för hantering av dataskydd och informations- säkerhet; Nationell organisation för dataskydd samt Gemensam funk- tion för informationssäkerhet. De gemensamma funktionerna bedrivs i regi av i . It-avdelningen ansvarar för it-säkerheten för samtliga länsstyrelser It-avdelningen ansvarar för länsstyrelsernas hantering av it-säker- heten, vilket regleras i överenskommelsen mellan länsstyrelserna och omsätts bl.a. via särskilda riktlinjer för it-säkerhet. Det finns också en befattning som it-säkerhetsansvarig, som rapporterar direkt till it- chefen. It-avdelningen styr vilka tekniska lösningar som ska tillämpas för att möta länsstyrelsernas behov av it och har rätt att neka lös- Andra exempel på samordnad it-drift ningar som inte följer riktlinjer för it-säkerhet samt arkitekturram- verk. It-säkerhetsansvarig kan besluta om att stänga av applikationer som medför säkerhetsrisker. It-chefen kan också, efter samråd med it-säkerhetsansvarig, besluta om att koppla bort någon av länsstyrel- serna från den gemensamma it-miljön, om allvarliga säkerhets- eller kontinuitetshot föreligger för verksamheten. i jobbar kontinuerligt risk- baserat med att hitta rätt säkerhetsnivåer i sina leveranser och vart annat år görs omfattande GAP-analyser mot riktlinjerna för it-säkerhet. Utmaningen ligger inte i att tekniskt skilja den del av verksamheten som omfattas av säkerhetsskyddslagstiftningen från övrig verksam- het. En utmaning är att verksamheten vid en kris även behöver tillgång till stödsystem både regionalt och nationellt, även system som inte innehåller känsliga uppgifter. Detta innebär att även dessa måste fun- gera vid en krissituation och under höjd beredskap. tillhandahåller it-drift åt två myndigheter: Krono- fogden och Myndigheten för digital förvaltning (DIGG) och agerar även värdmyndighet åt flera nämndmyndigheter: , och . Vi kommer i detta avsnitt fokusera på samordningen med Kronofogden, men i vissa delar berör vi även samordning med . samordning med Kronofogden har sitt ursprung från att myndigheten bröts loss från och blev en egen myndighet.