sou · H9B3103 · 2022-01-01 00:00:00 — De uppgifter som utredningen föreslår att den nya myndigheten ska ansvara för ställer i väsentliga delar höga krav på säkerhetsskydd för verksamheten. Säkerhetsskyddet behöver utformas för att hantera hot i hela hotskalan samt ytterst från främmande makt. Detta ställer krav på tillgång till säkra mötesrum, säkra Ledningsform och säkerhetsskydd för den nya myndigheten informations- och sambandssystem, säkerhetsprövad personal, tillträdesbegränsningar och ett robust skalskydd. Alla befattningar vid den nya myndigheten bör vara placerade i säkerhetsklass vilket innebär att all personal ska genomgå säkerhetsprövning och utbildning enligt 3 kap. säkerhetsskyddslagen. Se mer om säkerhetsskyddslagstiftningen nedan i avsnitt 10.4.2. Myndighetens system och infrastruktur ska anpassas för att kunna vidta lämpliga skyddsåtgärder för att kunna upptäcka, försvåra och hantera skadlig inverkan på systemen samt obehörig avlyssning, åtkomst till och nyttjande av systemet. Myndighetens informationssäkerhet bör också anpassas till de krav som gäller för närmast berörda myndigheter för att skydda den information som Totalförsvarsanalys kan komma att ta del av. Myndigheten bör också ur säkerhetsskyddssynpunkt undvika att samla in och koncentrera mer information än vad som är nödvändigt för myndighetens uppdrag. Utformningen av säkerhetsskyddet behöver även beakta behovet av att myndigheten i väsentliga delar ska vara en öppen, transparent och tillgänglig myndighet. Hur säkerhetsskyddet ska utformas i detalj måste noggrant avvägas utifrån hur myndighetens uppdrag slutligen utformas genom beslut av regeringen. Detta bör därför lösas av en kommande organisationskommitté. Förslag: Totalförsvarsanalys ska få besluta om placering i säkerhetsklass 2 och 3 i fråga om anställning eller annat deltagande i den egna verksamheten, och placering i säkerhetsklass 2 och 3 i fråga om anställning eller uppdrag hos en leverantör som Totalförsvarsanalys har ingått ett säkerhetsskyddsavtal med. Totalförsvarsanalys ska därför läggas till i bilagan till säkerhetsskyddsförordningen (2021:955). Bedömning: Försvarsmakten bör utöva tillsyn över säkerhetsskyddet hos Totalförsvarsanalys. Av 3 kap. 5–10 §§ säkerhetsskyddslagen framgår att inom verksamhet som omfattas av säkerhetsskyddslagen ska en anställning eller något annat deltagande i säkerhetskänslig verksamhet placeras i säker- Ledningsform och säkerhetsskydd för den nya myndigheten hetsklass 1, 2 eller 3. Av 3 kap. 12 § samma lag framgår att regeringen, förutom när det gäller och dess myndigheter, beslutar om placering i säkerhetsklass. Regeringen har i säkerhetsskyddsförordningen (2021:955) meddelat föreskrifter om när myndigheter och andra får besluta om placering i säkerhetsklass. Huvudregeln är att regeringen beslutar om placering i säkerhetsklass (5 kap. 5 §). Om en kommun, en region eller en sådan myndighet som är uppräknad i bilagan till förordningen bedömer att det finns behov av att placera en anställning eller annat deltagande i säkerhetsklass 1, ska kommunen, regionen eller myndigheten begära att regeringen beslutar om en sådan placering (5 kap. 6 §). Kommuner, regioner och de myndigheter som anges i bilagan till förordningen beslutar dock enligt 5 kap. 8 § om placering i säkerhetsklass 2 och 3 i fråga om anställning eller annat deltagande i den egna verksamheten, och placering i säkerhetsklass 2 och 3 i fråga om anställning i den egna verksamheten eller uppdrag hos vissa leverantörer. I bilagan till förordningen anges flera av de myndigheter som ingår i totalförsvaret, bl.a. Försvarsmakten, och . Mot bakgrund av de uppgifter som Totalförsvarsanalys föreslås att få anser utredningen att även Totalförsvarsanalys behöver kunna besluta om placering i säkerhetsklass på detta sätt. Även Totalförsvarsanalys bör därför anges i bilagan. I 8 kap. 1 § säkerhetsskyddsförordningen anges att tillsyn över säkerhetsskyddet ska utövas av Försvarsmakten när det gäller och Försvarshögskolan samt de myndigheter som hör till Försvarsdepartementet och av Säkerhetspolisen när det gäller domstolarna som inte hör till Försvarsdepartementet och övriga myndigheter, däribland MSB och länsstyrelserna. Det framgår även av denna bestämmelse att vissa länsstyrelser har tillsyn över kommuner, regioner och statliga myndigheter inom vissa geografiska områden. Det anges även att , , , , , och har tillsyn över de enskilda verksamhetsutövare som bedriver verksamhet inom myndigheternas respektive ansvarsområden. De myndigheter som främst kan komma i fråga för att ha tillsyn över Totalförsvarsanalys säkerhetsskydd är Försvarsmakten och Säkerhetspolisen. Totalförsvarsanalys utvärderingsmandat omfattar emellertid både Försvarsmaktens verksamhet, med undantag för den verk- Ledningsform och säkerhetsskydd för den nya myndigheten samhet som Försvarsmakten bedriver som innebär försvars- eller säkerhetsunderrättelseverksamhet, och Säkerhetspolisens verksamhet, med undantag för den verksamhet som Säkerhetspolisen bedriver som innebär underrättelseverksamhet. Det är inte helt idealt att den myndighet som ska ha tillsyn över Totalförsvarsanalys säkerhetsskydd är en myndighet vars verksamhet som Totalförsvarsanalys har att utvärdera. Exempel på motsvarande förhållande finns dock. Försvarsmakten bedriver tillsyn av säkerhetsskyddet vid Statens inspektion för försvarsunderrättelseverksamheten (Siun), som i sin tur har till uppgift att kontrollera att den försvarsunderrättelseverksamhet som bedrivs av Försvarsmakten sker i enlighet med det regelverk som fastställts av och regeringen. Säkerhetspolisen bedriver tillsyn över (), som i sin tur ska utöva tillsyn över de brottsbekämpande myndigheterna, däribland Säkerhetspolisen. Totalförsvarsanalys kommer att hantera mycket skyddsvärd information och det kan antas att huvuddelen av denna information kommer att komma från de myndigheter som hör till Försvarsdepartementet. Med hänsyn till detta får Försvarsmakten antas ha bäst förutsättningar att utöva tillsyn över säkerhetsskyddet hos Totalförsvarsanalys. Utredningen har inte tagit ställning till frågan om vilket departement som Totalförsvarsanalys ska tillhöra. Om regeringen beslutar att Totalförsvarsanalys ska tillhöra Försvarsdepartementet behöver ingen ändring av 8 kap. 1 § säkerhetsskyddsförordningen göras eftersom Försvarsmakten då kommer att utöva tillsyn över säkerhetsskyddet hos Totalförsvarsanalys. Förslag: Det ska anges i förordningen (2015:1053) om totalförsvar och höjd beredskap att Totalförsvarsanalys ska ha säkra kryptografiska funktioner. ska svara för att Totalförsvarsanalys tilldelas säkra kryptografiska funktioner. Försvarsmakten ska meddela verkställighetsföreskrifter rörande när Totalförsvarsanalys ska kunna ta emot och sända krypterade meddelanden. Ledningsform och säkerhetsskydd för den nya myndigheten Enligt 16 § förordning (2015:1053) om totalförsvar och höjd beredskap ska , , Säkerhetspolisen, Myndigheten för samhällsskydd och beredskap, , , , , , Totalförsvarets plikt- och prövningsverk, och Försvarshögskolan ha säkra kryptografiska funktioner. Med uttrycket säkra kryptografiska funktioner avses kryptografiska funktioner godkända av Försvarsmakten. Enligt samma bestämmelse beslutar MSB vilka övriga myndigheter som ska ha säkra kryptografiska funktioner. MSB beslutar även vilka företag som efter överenskommelse ska få tillgång till säkra kryptografiska funktioner. MSB får därutöver ingå avtal om tilldelning med kommuner och organisationer som har behov av säkra kryptografiska funktioner. MSB beskriver på sin hemsida säkra kryptografiska funktioner på följande sätt. Säkra kryptografiska funktioner används för att förhindra förlust av riktighet, tillgänglighet och konfidentialitet hos organisationens informationstillgångar. Riktighet innebär att informationen skyddas mot att den förändras/manipuleras. Tillgänglighet innebär att informationen är nåbar när den behövs. Konfidentialitet innebär att informationen skyddas mot att obehöriga får insyn eller tillgång till den.21 Mot bakgrund av det uppdrag som utredningen föreslår att Totalförsvarsanalys ska ha kommer även Totalförsvarsanalys att ha behov av säkra kryptografiska funktioner. Det ska därför framgå av 16 § förordningen om totalförsvar och höjd beredskap att Totalförsvarsanalys ska ha säkra kryptografiska funktioner. Enligt 17 § förordningen om totalförsvar och höjd beredskap svarar Försvarsmakten för att Försvarsmakten, , , Totalförsvarets plikt- och prövningsverk, och Försvarshögskolan tilldelas säkra kryptografiska funktioner. svarar för att övriga som enligt 16 § ska ha säkra kryptografiska funktioner tilldelas sådana. Eftersom Totalförsvarsanalys ska vara oberoende från de myndigheter som Totalförsvarsanalys har att utvärdera, och Försvarets radioanstalts verksamhet till stor del är undantagen Total- 21www.msb.se/sv/amnesomraden/informationssakerhet-cybersakerhet-och-sakra- kommunikationer/sakra-kommunikationer/sakra-kryptografiska-funktioner/ (hämtad 2021- 12-13). Ledningsform och säkerhetsskydd för den nya myndigheten försvarsanalys utvärderingsmandat, anser utredningen att ska svara för att Totalförsvarsanalys tilldelas säkra kryptografiska funktioner. Något tillägg i 17 § förordningen om totalförsvar och höjd beredskap ska därför inte göras. Av 18 § i samma förordning framgår att myndigheter som tilldelats säkra kryptografiska funktioner ska kunna ta emot och sända krypterade meddelanden under normal kontorstid och att vid vissa situationer ska myndigheterna även kunna ta emot och sända krypterade meddelanden under icke kontorstid. Enligt 19 § får MSB meddela verkställighetsföreskrifter rörande bl.a. 18 §, utom i fråga om , , , , och Försvarshögskolan. Enligt Försvarsmaktens instruktion får Försvarsmakten meddela övriga statliga myndigheter föreskrifter i frågor om signalskyddstjänsten inklusive säkra kryptografiska funktioner inom totalförsvaret, förutom i fråga om verkställigheten av 18 § förordningen om totalförsvar och höjd beredskap.22 Eftersom utredningen har föreslagit att Försvarsmakten ska ha tillsyn över säkerhetsskyddet hos Totalförsvarsanalys är det lämpligt att Försvarsmakten även meddelar föreskrifter i frågor om säkra kryptografiska funktioner inom totalförsvaret för Totalförsvarsanalys. Det ska därför inte anges att MSB får meddela verkställighetsföreskrifter för Totalförsvarsanalys utan även Totalförsvarsanalys bör undantas i 19 § förordningen om totalförsvar och höjd beredskap. 2233 § förordning (2007:1266) med instruktion för Försvarsmakten. 11Sak- och metodkompetens vid myndigheten Enligt utredningsdirektivet ska utredaren lämna förslag på sammansättningen av sak- och metodkompetens vid myndigheten samt vilka eventuella särskilda kompetenser myndigheten bör ha för att kunna fullgöra sitt uppdrag. 11.2Tillgången på relevanta kompetenser Arbetsförmedlingen gjorde 2019 en bedömning om jobbmöjligheterna som indikerar att yrkeskategorin utredare och handläggare är i balans.1 Arbetsförmedlingen informerar på sin hemsida att det finns cirka 64 600 anställda utredare och handläggare i , varav är kvinnor och är män. Myndigheten bedömer att det kommer vara liten konkurrens om jobben som utredare och handläggare under det närmaste året och att även kommer möjligheterna till arbete som utredare och handläggare vara stora.2 I SCB:s Arbetskraftsbarometer görs bedömningen att tillgången på nyutexaminerade samhällsvetare är god medan tillgången på yrkeserfarna bedöms fortsatt vara i balans.3 Även om det inte råder brist på generell utredningskompetens gör utredningen bedömningen att det ändå kan finnas svårigheter att rekrytera personal med specifik kompetens om totalförsvaret. Satsningarna på det militära försvaret och intensifieringen i återuppbyg- 1Arbetsförmedlingen (2019), Var finns jobben? Bedömning och , s. 11. 2https:///for-arbetssokande/yrken-och-framtid/hitta- yrkesprognoser/prognoser/prognos/172 (hämtad ). 3SCB (2020), Vilka utbildningar ger jobb? Arbetskraftsbarometern , s. 23. Sak- och metodkompetens vid myndigheten gandet av det civila försvaret kan förväntas bidra till en ökad efterfrågan på, och således även konkurrens om, befintlig sakkompetens inom totalförsvaret. Att konkurrensen om personal med kompetens inom totalförsvaret tilltagit efter satsningarna på totalförsvaret är en faktor som också framkommit i de kontakter som utredningen haft med myndigheter och övriga aktörer inom totalförsvaret. Det handlar om ökad efterfrågan på personal med såväl bredare erfarenhet av verksamheter inom totalförsvaret som personal med erfarenhet av vissa mer specialiserade områden, ex. inom säkerhetsskydd där efterfrågan ökat kraftigt. 11.3Sammansättningen av sak- och metodkompetens Förslag: Totalförsvarsanalys bör i sin kompetenssammansättning ha en tyngdpunkt i kunskaper om analys- och utvärderingsmetoder. Myndighetens behov av sakkompetens bör säkerställas genom att det inom myndigheten finns erfarna personer som har ett brett kunnande inom olika ämnesområden inom totalförsvaret och en överblick över totalförsvarssystemet. Myndighetens behov av mer specialiserad och ämnesspecifik sakkompetens bör tillförsäkras genom att myndigheten knyter till sig sådan kompetens från aktörerna inom totalförsvaret. Bedömning: För att hantera de frågor om oberoende, objektivitet och trovärdighet som följer med att Totalförsvarsanalys knyter till sig sakkompetens från aktörerna inom totalförsvaret är det centralt att myndigheten har goda interna kvalitetssäkringsrutiner i verksamheten och bedriver ett aktivt värdegrundsarbete. Konsultanvändning i kärnverksamheten vid Totalförsvarsanalys bör undvikas. Sak- och metodkompetens vid myndigheten En analys- och utvärderingsmyndighet behöver självfallet ha stark metodkompetens. är det, som tidigare nämnt, ett oerhört brett sakområde som den nya myndigheten ska täcka. Vid sidan om kunskap om hur systemet för totalförsvar är uppbyggt, i form av bl.a. mål, styrning, struktur, samarbeten och beroenden, innefattar även totalförsvaret ämnesmässigt i stort sett alla samhällsområden. Det blir således en utmaning för en myndighet att täcka in sakkunskapen hos de olika aktörerna och bredden av samhällsaspekter inom totalförsvaret. Analys- och utvärderingsutredningen påtalade bl.a. att sakkompetens och sektorskunskap är viktig för att kunna förstå och värdera de verkliga problemen och möjligheterna inom ett område. Det noterades även att som sakkompetens och sektorskunskap är nödvändigt för relevansen i arbetet kan den å andra sidan göra det svårt att i frågasätta värdet av befintliga verksamheter och således vara ett hinder för att verkligen ta fram underlag för omprövning.4 Vissa avvägningar kommer att behöva göras för att Totalförsvarsanalys ska kunna ha en kompetenssammansättning som är ändamålsenlig och resurseffektiv inom ramen för vad som kan antas vara en rimlig omfattning på myndighetens verksamhet. För att ytterligare öka kvaliteten i verksamheten kan det även noteras att utredningen föreslår att det vid myndigheten ska finnas ett vetenskapligt råd som bistår myndigheten med ämneskunskap samt i frågor om vetenskapliga metoder (se kapitel 10). Myndighetens spets ligger i utvärderings- och metodkunskapen I utredningens intervjuer med de sektorsanknutna analys- och utvärderingsmyndigheterna har vikten av att det finns en gedigen utvärderings- och metodkompetens vid myndigheterna betonats. Kunnandet om beprövade ansatser och vetenskaplig förankring i analys- och utvärderingsmetoder framhålls som kärnkompetensen vid en analys- och utvärderingsmyndighet. Det gäller oavsett vilken sektor som myndigheten är inriktad mot. Flera myndigheter framhåller att utredarnas grundkompetens behöver vara kunskapen om metoder och utvärderingsmodeller, medan sakkunskapen hos utredarna i större utsträck- 4SOU 2018:79, s. 172. Sak- och metodkompetens vid myndigheten ning kan byggas upp . En myndighet som kontinuerligt analyserar ett visst område har förutsättningar att utveckla och varaktigt upprätthålla även sakkunskap. Detta till skillnad från centrala analys- och utvärderingsaktörer (ex. Statskontoret, ESV, ) som av givna skäl inte följer frågor inom ett specifikt område med samma regelbundenhet. Att vända på denna kompetensansats och i stället utgå från att sakkompetens ska vara basen hos medarbetarna för att sedan bygga på med metodkompetens, anser flera av myndigheterna inte vara ett gångbart sätt att tillförsäkra att myndigheten har den förmåga som behöver finnas i en analys- och utvärderingsverksamhet. En framträdande kompetens som behöver finnas hos den nya myndigheten är förmågan att analysera och utvärdera huruvida verksamheterna håller hög metodmässig kvalitet i sina underlag för planering, är systematiska i genomförandet av sina uppdrag samt lämnar ifrån sig strukturerade och tillförlitliga redovisningar och bedömningar. Utredningen bedömer att Totalförsvarsanalys för att uppnå detta, likt övriga analys- och utvärderingsmyndigheter, behöver i sin kompetenssammansättning ha en tyngdpunkt i kunskaper om analys- och utvärderingsmetoder. Sakkompetens vid myndigheten handlar primärt om systemkunnande Även om betoningen hos en analys- och utvärderingsmyndighet bör ligga på metodkompetens, är sak- och sektorskunskap angelägen för att förstå den kontext som präglar området som myndigheten ska följa upp, analysera och utvärdera.5 Sakkompetens är viktig för att få perspektiv på de villkor och förutsättningar som finns och som ligger till grund för resultat och utveckling i de för området aktuella verksamheterna. Såväl de sektorsanknutna analys- och utvärderingsmyndigheterna som de myndigheter och aktörer inom totalförsvaret som utredningen talat med framhåller att det behöver finnas sakkompetens i den nya myndigheten. Att denna förmåga finns inom myndigheten är även angeläget från såväl ett oberoendeperspektiv som för myndighetens legitimitet och tilltron till att myndigheten är kunnig om det område som analyseras och utvärderas. Sak- och metodkompetens vid myndigheten I kapitel 8 har utredningen föreslagit att det i Totalförsvarsanalys kärnuppdrag bör vara en betoning på totalförsvarets samlade funktionssätt. Kunskap om totalförsvaret som system är också den typ av sakkompetens som myndigheter och aktörer inom totalförsvaret framhållit som särskilt viktig för myndigheten. Detta ställer givetvis krav på den kompetensprofil som behöver finnas på myndigheten avseende sakkunskap. Den komplexitet som finns i sambanden mellan reform, ekonomi, resultat och effekt inom totalförsvaret ställer krav på ett systemkunnande. Systemkunnandet behövs för att identifiera och förstå de underliggande sammanhangen och beroendena mellan olika delar av totalförsvaret och för att tolka den information som myndigheten får del av. Systemkunnande ackumuleras framförallt hos individer som endera rört sig mellan verksamheter inom totalförsvaret och/eller arbetat med totalförsvarsfrågor på en mer strategisk nivå. Det kan därför förväntas att dessa kompetenser har längre yrkeserfarenhet inom området och därmed är seniora medarbetare. Det optimala är givetvis om det är möjligt för myndigheten att attrahera individer som både besitter systemkunnandet samt har utvärderings- och metodkunskap. I sådant fall blir det ett mindre antal medarbetare som har en smalare profil av endera utvärderings- och metodkunnande eller systemkunnande. Vid sidan om att det kan förväntas finnas en ökad konkurrens om denna erfarna kompetens, kommer denna kompetens att behöva kompletteras relativt sett oftare med tanke på att det rör sig om senior kompetens. Utredningen ser det som ofrånkomligt att sakkompetens kommer att behöva hämtas från myndigheterna och aktörerna inom totalförsvaret, inte minst inledningsvis efter myndighetens inrättande. En fråga som kan resas i sammanhanget är vilka konsekvenser detta kan få för oberoendet hos och trovärdigheten för Totalförsvarsanalys. Utredningen konstaterar dock att detta inte är en ny utmaning. Flera befintliga analys- och utvärderingsmyndigheter vittnar om att de, på liknande sätt om än i olika utsträckning, behöver inhämta sakkompetens från verksamheter som myndigheten analyserar och utvärderar. För att hantera de frågor om oberoende, objektivitet och trovärdighet som följer med att Totalförsvarsanalys knyter till sig sakkompetens från aktörerna inom totalförsvaret är det centralt att myndigheten har goda interna kvalitetssäkringsrutiner i verksamheten Sak- och metodkompetens vid myndigheten och bedriver ett aktivt värdegrundsarbete. Myndigheten behöver också vara transparent i fråga om vilka kompetensresurser som deltagit i olika projekt. Det som ytterst avgör om myndighetens verksamhet ses som opartisk och saklig är dock huruvida verksamheten kan visa att den är empiriskt välgrundad samt att det finns ett starkt faktamässigt stöd för myndighetens slutsatser och de sätt som slutsatserna dragits. kommer myndigheten också att utveckla förutsättningar att institutionalisera sakkompetens. Det är dock sannolikt att myndigheten, med anledning av myndighetens relativt sett begränsade storlek och med det breda fält av frågor som myndigheten ska täcka, aldrig kommer att kunna bli helt självförsörjande med sakkunnande. Utredningen bedömer mot bakgrund av det som ovan anförts att Totalförsvarsanalys behov av sakkompetens bör säkerställas genom att det inom myndigheten finns erfarna medarbetare med ett brett kunnande från olika ämnesområden inom totalförsvaret och med en överblick över totalförsvarssystemets uppbyggnad. Specialist- och ämnesspecifik kompetens inhämtas i huvudsak externt Totalförsvarsanalys kan även komma att behöva mer teknisk och ämnesspecifik kompetens för att underbygga de analyser och bedömningar som ska göras. Det kan handla om att förstå vissa mer detaljerade frågor inom alla de områden som ingår i totalförsvaret, ex. militära strukturer, energisystemens funktion, transportsystemet villkor eller processerna inom hälso- och sjukvården. Det finns givetvis begränsade möjligheter att på alla områden inrymma denna form av mer specialiserad kompetens inom myndigheten. Flera av de myndigheter som utredningen talat med beskriver att behovet av expertkompetens i vissa frågor kan lösas bl.a. genom olika former av inlån eller projektanställningar av medarbetare från andra myndigheter. Nyttjande av referensgrupper i de enskilda analys- och utvärderingsprojekten är ytterligare en metod som tillämpas för att lösa behov av expertkunskap. Även upphandling av konsulter för att få expertkunskap inom sakfrågor och omvärldsbevakning förekommer men görs i varierande utsträckning bland analys- och utvärderingsmyndigheterna. Sak- och metodkompetens vid myndigheten digheter uppger att konsultresurser nyttjas för framtagande av sakunderlag men inte för att göra själva analys- och utvärderingsarbetet. Utredningen bedömer att även Totalförsvarsanalys kommer att behöva finna former för att dra nytta av den expertkunskap som finns bland aktörerna inom totalförsvaret. På samma sätt som påtalats när det gäller rekrytering av den generella sakkompetensen avseende systemkunnande, är frågorna om oberoende och trovärdighet lika närvarande i frågan om nyttjande av expertkompetens. Dessa aspekter behöver som tidigare påpekat hanteras av myndigheten på ett medvetet, systematiskt och transparent sätt. Konsultanvändning i myndighetens kärnverksamhet bör undvikas Användandet av konsulter kan inverka negativt på myndighetens oberoende och på tilliten till Totalförsvarsanalys förmåga att skydda säkerhetsklassificerade uppgifter från de myndigheter och aktörer som myndigheten behöver inhämta information ifrån.