4991143 H509134 Protokoll 2017/18:134 Måndagen den 18 juni 2017/18 134 2018-06-18 00:00:00 Granskningsbetänkande Vissa frågor rörande Transportstyrelsens outsourcing m.m. (kapitel 5) ärendedebatt 9a94260a-c99b-e811-910e-901b0e9b71a0 22 Laila Naraghi (S) S <p>Herr talman! Ärade ledamöter! Jag kommer att tala om punkt 5.1 i KU20, om den förra regeringens agerande i fråga om Transportstyrelsen. Det mesta i debatten har ju hittills handlat om den nuvarande regeringen, men som Hans Ekström och andra har sagt spelade också förhistorien en roll här.</p><p>Säkerhetspolisen varnade tidigt Sveriges regering och svenska myndigheter för farorna med outsourcing av it-verksamhet. Exempelvis finns i Säpos årsbok från 2012 ett helt avsnitt med rubriken "Outsourcing - potentiellt hot mot känsliga uppgifter" i stora svarta bokstäver. I det avsnittet går Säpo igenom riskerna med outsourcing när det gäller främmande makts underrättelseinhämtning.</p><p> STYLEREF Kantrubrik \* MERGEFORMAT Gransknings-betänkande Vissa frågor rörande Transportstyrelsens outsourcing m.m. (kapitel 5)</p><p>I ett annat avsnitt beskriver Säpo hur man redan då hade sett exempel på att organisationer hade missat att identifiera olika it-system som skyddsvärda och sedan outsourcat systemen med otillräckliga krav på säkerhet. Också i andra rapporter och sammanhang har Säkerhetspolisen varnat för detta.</p><p>Detta var alltså ett känt problem - ett känt hot mot rikets säkerhet. Säkerhetspolisen pekar själv i årsböckerna på att denna utveckling till stora delar drevs fram av krav från regeringen på myndigheterna vad gäller effektivitet och ekonomiska hänsyn. Detta är också vad konstitutionsutskottets granskning visar. När Transportstyrelsen bildades av den tidigare regeringen fanns ett tydligt budskap från regeringen om att det skulle göras effektiviseringar.</p><p>Herr talman! Det är viktigt att belysa att den förra regeringens agerande fick allvarliga konsekvenser. Det har framkommit att Transportstyrelsen från den dag då den förra regeringen bildade myndigheten år 2009 bröt mot svensk lag vad gäller it-säkerhet.</p><p>Fram till år 2014 hade myndigheten inte gjort någon säkerhetsanalys. Därmed bröt man under nära fem år mot den svenska säkerhetsskyddsförordningen, vars hela syfte är att värna rikets säkerhet. Vi kan i dag inte veta vad detta innebar för myndigheten och vilka skador som då skedde, och det har heller inte varit vår uppgift att granska detta. </p><p>Utskottets uppgift har varit att ta reda på ansvarsförhållandena i den förra regeringen och bland dess ministrar. Den bild som har framkommit under vår granskning är att arbetet med informationssäkerhetsfrågor i den förra regeringen var eftersatt och att den dåvarande regeringen inte gjorde tillräckligt för att de brister som påpekats skulle bli åtgärdade.</p><p>Vissa initiativ togs visserligen, men ett enigt KU konstaterar att konkreta och omedelbara insatser inte synes ha vidtagits i den utsträckning som krävts. Med anledning av detta är det viktigt att regeringen följer myndigheternas verksamhet och vid behov ser till att vidta de åtgärder som är nödvändiga ur ett styrningsperspektiv.</p><p>Herr talman! Tidigare regeringars arbete med informationssäkerhet har vid flera tillfällen granskats av Riksrevisionen. Riksrevisionen ansåg vid en granskning 2014 att arbetet med informationssäkerhet inte var ändamålsenligt, sett till de hot och risker som finns. I sin rapport framhöll Riksrevisionen att regelsystemet för informationssäkerhet i huvudsak såg ut som det gjorde 2007 och att de brister som Riksrevisionen då hade påpekat i stora drag kvarstod, vilket innebär brister i den förra regeringens styrning.</p><p>Under sju år av den förra regeringens styre vidtogs alltså inte tillräckliga åtgärder, trots tydliga varningssignaler från både Säkerhetspolisen och Riksrevisionen. Vi socialdemokrater i riksdagen tog detta på stort allvar.</p><p>Ett exempel är när Riksrevisionens styrelse i en framställan till riksdagen redan 2007 ansåg att regeringen snarast borde genomföra en översyn av regleringen av den statliga förvaltningens informationssäkerhet, något som vi då stödde. Vi motionerade om en översyn, i en följdmotion till Riksrevisionens framställan, men både vi socialdemokrater och Riksrevisionens styrelse blev här i riksdagen nedröstade av Moderaterna, Centerpartiet, KD och Liberalerna.</p><p> STYLEREF Kantrubrik \* MERGEFORMAT Gransknings-betänkande Vissa frågor rörande Transportstyrelsens outsourcing m.m. (kapitel 5)</p><p>Herr talman! För mig som riksdagsledamot framstår det som synnerligen allvarligt när regeringens ledamöter ignorerar varningsklockor när två så viktiga myndigheter som Säkerhetspolisen och Riksrevisionen ringer i dem, särskilt när det gäller något så angeläget som it-säkerhet och rikets säkerhet.</p><p>I ljuset av detta framstår den förra regeringens vilseledande information kring statens outsourcing av it-verksamhet som problematisk. Jag kommer i det följande att tala om det, för en stor del av tiden vi ägnat åt detta ärende har tyvärr handlat om den vilseledande information som har getts KU.</p><p>Herr talman! Här är exempel ett: I januari 2011 publicerade Riksrevisionen ännu en rapport om it inom statsförvaltningen och om outsourcing. I rapporten uppmärksammades bland annat krav på informationssäkerhet. Riksrevisionen ansåg att myndigheterna i vissa fall antingen brast i sin skyldighet att klassificera informationen eller klassificerade informationen felaktigt. En tänkbar förklaring var att det saknades gemensamma riktlinjer och ställningstaganden för hur informationen skulle klassificeras. Riksrevisionen ansåg att denna avsaknad av råd kan ha inneburit att myndigheterna brast.</p><p>Det saknades också en rekommendation för hur myndigheterna skulle ställa krav vad gäller informationssäkerhet vid upphandling.</p><p>Den förra regeringen uttalade i sin bedömning av Riksrevisionens rapport, som sändes till riksdagen, att den delade Riksrevisionens bedömning att det var önskvärt att en större del av myndigheternas it-behov tillfredsställdes med hjälp av outsourcing. Ansvarig för skrivelsen var dåvarande it-minister Anna-Karin Hatt. Problemet var bara att denna utsaga var direkt felaktig och vilseledande. Ingenstans skrev Riksrevisionen att det var önskvärt att myndigheternas it-verksamhet outsourcades. Riksrevision påpekar själv att förra regeringens utsaga var fel. Riksrevisionens Anna Maria Böök har till media sagt:</p><p>"I rapporten finns en sådan bedömning inte med."</p><p>Därutöver har en av Sveriges främsta experter på revision inom statlig förvaltning, Shirin Ahlbäck Öberg, vid Uppsala universitet, uttalat sig med anledning av detta: "Genom att referera någon typ av sakkunskap underbygger man en ideologisk ståndpunkt och får det att se ut som man faktiskt har underlag som pekar i den riktningen, men det har man inte."</p><p>Hon har även sagt:</p><p>"Jag tycker man mycket väl kan stå för en preferens, en värdering man har: i det här fallet att outsourcing skulle vara bra. Men att försöka klä det i någon form av rationell dräkt genom att åberopa stöd i en källa som faktiskt inte ger stöd, det är inte bra. Det är vilseledande."</p><p>Vilseledande var ordet.</p><p>Herr talman! Här är exempel två: I KU har vi hållit utfrågningar i ärendena med anledning av Transportstyrelsen. De flesta har varit med representanter från myndigheter eller från den nuvarande regeringen. En utfrågning har varit med en representant från den förra regeringen: den förra itministern Anna-Karin Hatt.</p><p>Vid utfrågningen var Anna-Karin Hatt mycket noga med att i sitt inledningsanförande påpeka att hon som minister inte ansvarade för informationssäkerhetsfrågorna. Detta återkom hon också till flera gånger under utfrågningen. Dagens Nyheter räknar det till att hon vid minst sju tillfällen upprepade detta.</p><p> STYLEREF Kantrubrik \* MERGEFORMAT Gransknings-betänkande Vissa frågor rörande Transportstyrelsens outsourcing m.m. (kapitel 5)</p><p>Jag minns det väl. Både jag och andra ledamöter i KU försökte ställa frågor till henne om informationssäkerhet, men hon avvisade dem bestämt. De uppgifter som gavs KU visade sig dock inte stämma.</p><p>Anna-Karin Hatt hade ett ansvar för samhällets informationssäkerhet. Det handlade till och med om något så viktigt som att hon hade regeringens samordningsansvar för detta.</p><p>I utskottet konstaterar vi att det hon sa var bristfälligt och gav bilden av att frågor om informationssäkerhet inte alls ingick i hennes ansvarsområde. Som tidigare uttalats av utskottet ska uppgifter som lämnas till KU vara korrekta och fullständiga. Och det utskottet tidigare har uttalat i liknande fall är alltså att medvetet vilseledande uppgifter självfallet aldrig kan accepteras. Det står i strid med saklighetskravet i regeringsformen. Den konstitutionella kontroll som utförs av konstitutionsutskottet förutsätter att utskottet kan lita på att uppgifter som lämnas till utskottet är riktiga samt ger en rättvisande bild av det som granskas och att inte väsentliga fakta utelämnas. Kan utskottet inte lita på detta undergrävs den konstitutionella kontrollen av regeringen.</p><p>Först efter ett par vändor skriftliga frågor till Anna-Karin Hatt, där vi i utskottet hänvisar till ett Youtubeklipp där hon själv talar om sitt ansvar för informationssäkerhet, tillstod Hatt att hon haft ett ansvar.</p><p>Youtubeklippet är från en konferens om informationssäkerhet som Myndigheten för samhällsskydd och beredskap, MSB, anordnade 2012. Då sa Anna-Karin Hatt:</p><p>"Det här är faktiskt första gången som vi har en IT-minister i Sverige som har ett samlat, horisontellt ansvar för den här typen av frågor, t.ex. när det gäller informationssäkerhet.</p><p>Det är ju därför jag står här idag. Det är därför jag kan ge ett uppdrag till FRA, det är därför som jag har tjänstemän på försvarsdepartementet som jobbar åt mig när det gäller informationssäkerhetsfrågorna.</p><p>Så även om regeringen inte bestämde sig för att inrätta ett särskilt departement för informationssäkerhet så har ju regeringen valt att inrätta en portfölj som har att hantera de här frågorna."</p><p>Genom den bristfälliga och missvisande information som hon gav vid KU:s utfrågning försvårade hon vårt arbete. Det är mycket allvarligt.</p><p>Herr talman! Enligt vår gemensamma mening i KU finns det skäl att ifrågasätta om ansvarsförhållandena inom den förra regeringen när det gäller informationssäkerhetsfrågorna var tillräckligt klara. KU anser att det med sådana oklara ansvarsförhållanden inom regeringen fanns en risk att problemen inte fick den uppmärksamhet som krävdes i regeringsarbetet och att nödvändiga åtgärder därför uteblev. Vi vill understryka vikten av tydliga ansvarsförhållanden, särskilt på områden som informationssäkerhet, där konsekvenserna av uteblivna åtgärder kan bli mycket allvarliga.</p><p>Herr talman! Sammanfattningsvis är det så här:</p><p>Från att den förra regeringen bildade Transportstyrelsen år 2009 och fram till 2014 hade myndigheten inte gjort någon säkerhetsanalys. Därmed bröt de under nära fem år mot den svenska säkerhetsskyddsförordningen, vars enda syfte är att värna rikets säkerhet.</p><p>Den förra regeringen tog inte varningssignalerna om säkerhetsriskerna med outsourcing av it-verksamhet från Säkerhetspolisen, Riksrevisionen och oss socialdemokrater på allvar. Det fick allvarliga konsekvenser.</p><p>Tidigare it-minister Anna-Karin Hatt har vid minst två tillfällen gett vilseledande information till riksdagen vad gäller outsourcing och informationssäkerhet.</p><p>Gransknings-betänkande Vissa frågor rörande Transportstyrelsens outsourcing m.m. (kapitel 5)</p><p>Herr talman! Avslutningsvis ska jag säga något apropå en sak som tidigare har sagts här i talarstolen. Per-Ingvar Johnsson anser att det är mindre väsentligt vad före detta it-ministern sa till KU vid utfrågningen och att vi i KU borde vara nöjda med att hon deltog. Jag delar inte den bedömningen utan vill framhålla KU:s tidigare ställningstagande om betydelsen av att regeringens representanter lämnar korrekt information.</p><p>Men visst, om ribban ligger vid att statsråd inte behöver dyka upp - Centerns före detta partiledare, Maud Olofsson, gjorde inte det - kan man möjligen förstå Per-Ingvar Johnssons beundran av Hatts bristfälliga information. Jag delar dock ej denna och upprepar utskottets ställningstagande vad gäller KU:s utfrågning av Anna-Karin Hatt. Det hon sa var bristfälligt.</p><p>(Applåder)</p> 0619928872229 H501KU20 N 2018-08-09 13:41:16 449822 https://www.riksdagen.se/sv/dokument-och-lagar/dokument/protokoll/protokoll_H509134/#anf22