Den osynliga infrstrukturen - om förbättrad samordning av offentlig IT-standardisering

Den osynliga infrastrukturen

– om förbättrad samordning av offentlig IT-standardisering

Betänkande av IT-standardiseringsutredningen

Stockholm 2007

SOU 2007:47

SOU och Ds kan köpas från Fritzes kundtjänst. För remissutsändningar av SOU och Ds svarar Fritzes Offentliga Publikationer på uppdrag av Regeringskansliets förvaltningsavdelning.

Beställningsadress: Fritzes kundtjänst 106 47 Stockholm Orderfax: 08-690 91 91 Ordertel: 08-690 91 90

E-post: order.fritzes@nj.se Internet: www.fritzes.se

Svara på remiss. Hur och varför. Statsrådsberedningen, 2003.

– En liten broschyr som underlättar arbetet för den som skall svara på remiss. Broschyren är gratis och kan laddas ner eller beställas på http://www.regeringen.se/remiss

Textbearbetning och layout har utförts av Regeringskansliet, FA/kommittéservice

Tryckt av Edita Sverige AB

Stockholm 2007

ISBN 978-91-38-22765-7

ISSN 0375-250X

Till statsrådet Åsa Torstensson

Genom regeringsbeslut den 6 april 2006 bemyndigades statsrådet Ulrica Messing att tillkalla en särskild utredare med uppdrag att föreslå en förbättrad samordning av utvecklingen av standarder och grundfunktioner inom IT-området.

Från och med den 10 april 2006 förordnades kanslirådet Arne Granholm som särskild utredare.

Till sakkunnig förordnades den 12 maj 2006 ämnesrådet Nils- Gunnar Forsberg och samma dag förordnades till experter direktö- ren Bo Bergner, verksamhetsområdeschefen Torbjörn Cederholm, civilingenjören Marianne Leckström, departementssekreteraren Helena Linde, ämnessakkunniga Margareta Lindquist och utveck- lingsstrategen Clas Thorén.

Till ytterligare experter förordnade statsrådet Åsa Torstensson den 28 november 2006 verkställande direktören Rolf Atterling, departementssekreteraren Karin Edin, departementssekreteraren Johanna Elmstedt, Senior Manager Sven Fischer, stabschefen Nicklas Lundblad, handläggaren Christine Simon, avdelningsche- fen Leif Trogen och förbundsjuristen Kerstin Wiss Holmdahl och slutligen den 25 januari 2007 sektionschefen Ann Hedberg Balkå och ämnessakkunnige Magnus Enzell.

Till sekreterare förordnades ämnesrådet Lena Hägglöf fr.o.m. den 8 maj 2006, utredaren Carl-Öije Segerlund fr.o.m. den 15 maj samma år och filosofie doktorn Anders Hektor fr.o.m. den 15 augusti samma år. Med verkan fr.o.m. den 15 februari 2007 entledi- gades Lena Hägglöf och fr.o.m. 5 mars samma år förordnades kanslirådet Hans Öjemark till sekreterare.

Enligt direktiven (dir. 2006:36) skulle utredningen redovisa sitt arbete senast den 30 juni 2007. Den 23 november beslutade reger- ingen om tilläggsdirektiv (dir. 2006:117), med samma sista redovis- ningsdag som tidigare.

Missiv

SOU 2007:47

Utredningen har antagit namnet IT-standardiseringsutredningen. Utredningen överlämnar härmed sitt betänkande Den osynliga

infrastrukturen – om förbättrad samordning av offentlig IT-stan- dardisering (SOU 2007:47).

Stockholm i juni 2007

Arne Granholm

/Anders Hektor Carl-Öije Segerlund Hans Öjemark

Innehåll

Förkortningar.....................................................................			15
Sammanfattning ................................................................			19
Summary ..........................................................................			29
Författningsförslag .............................................................			47
1	Uppdraget .................................................................		53
1.1	Det ursprungliga uppdraget ....................................................		53
1.2	Tilläggsuppdrag........................................................................		54
1.3	Uppdragets genomförande......................................................		55
1.4	Läsanvisning .............................................................................		56
2	Allmänt om standardisering.........................................		59
2.1	Framväxten av standarder och statens roll .............................		59
	2.1.1	Enhetsstandard .............................................................	59
	2.1.2	Likhetsstandard ............................................................	60
	2.1.3	Kompatibilitets-, och interoperabilitetsstandard........	63
	2.1.4	En osynlig infrastruktur...............................................	64
2.2	Definitioner och terminologi ..................................................		64
	2.2.1 Former av standarder och dess utveckling..................		64
	2.2.2 IT-standarder, en fråga om interoperabilitet ..............		71
	2.2.3 Certifiering: bedömning av överensstämmelse
		med standard.................................................................	75

Innehåll SOU 2007:47

3	Allmänt om standardiserings- organisationer och den
	svenska standardiseringsstrukturen ..............................		79
3.1	Inledning...................................................................................		79
3.2	Erkända standardiseringsorganisationer .................................		81
	3.2.1	Internationell handel.....................................................	81
	3.2.2 Global standardisering inom ISO, IEC och ITU .......		83
	3.2.3 Europeisk standardisering inom CEN,
		CENELEC och ETSI ...................................................	84
	3.2.4	Standardiseringsorganisationer i Sverige .....................	87
3.3	Andra standardiseringsorganisationer ....................................		92
	3.3.1 Internetinfrastruktur: IETF/ISOC och W3C ............		92
	3.3.2	OASIS............................................................................	94
	3.3.3 Institute of Electrical and Electronics Engineers........		94
	3.3.4	FN..................................................................................	95
3.4	Konsortier.................................................................................		95
3.5	Enskilda företag........................................................................		96
4	Den formella strukturen för nationell samordning av
	IT-standardiseringen ...................................................		97
4.1	De svenska myndigheterna och organisationerna..................		97
	4.1.1	Utrikesdepartementet...................................................	97
	4.1.2	Kommerskollegium.......................................................	98

4.2Beredning av standardiseringsfrågor med anledning av

EU:s direktiv 98/34................................................................		101
4.2.1 Nya metoden – the new approach .............................		101
4.2.2	98/34-direktivet...........................................................	102
4.2.3	Behandling av standardiseringsärenden .....................	108
4.2.4 Beredningen av svenska ståndpunkter.......................		110
4.3 Andra former för standardisering inom EU.........................		112
4.3.1	Kommittéväsendet ......................................................	112
4.3.2 Det svenska deltagandet i CEN:s workshops
	(WS).............................................................................	114
4.4 Sammanfattning av aktörsstrukturen....................................		118

Innehåll		SOU 2007:47
5	Statens roll och myndigheternas ansvar ......................	121
5.1	Allmänt om myndigheternas ansvar .....................................	121
5.2	Svenska myndigheters EU-arbete.........................................	122

5.3Självständigt ledda myndigheter och representation i

standardiseringsorganen ........................................................

123

5.4Några myndigheters instruktioner och regleringsbrev

	m.m. om IT-standardisering och näraliggande frågor .........		124
	5.4.1	PTS ..............................................................................	124
	5.4.2	Kommerskollegium ....................................................	125
	5.4.3	Verva och förvaltningspolitiken ................................	126
	5.4.4	Lantmäteriverket ........................................................	127
	5.4.5	Socialstyrelsen.............................................................	128
	5.4.6	Myndigheten för skolutveckling ...............................	128
	5.4.7	Kungliga biblioteket ...................................................	129
	5.4.8 Myndigheten för handikappolitisk samordning
		(Handisam) .................................................................	129
	5.4.9	En slutkommentar ......................................................	129
6	Interoperabilitet och gemensamma specifikationer i e-
	förvaltningen ...........................................................		131

6.1Regeringens förvaltningspolitiska handlingsprogram

	och våra direktiv.....................................................................		131
	6.1.1	Regeringens handlingsprogram .................................	131
	6.1.2 Utredningens utgångspunkter för förbättrad
		samordning..................................................................	132
6.2	Interoperabilitetens fyra nivåer.............................................		133
6.3	Interoperabiliteten som en del av myndighetsansvaret .......		135
6.4	Gemensamma specifikationer ...............................................		138
	6.4.1	Definition....................................................................	138
	6.4.2	Användning.................................................................	139
	6.4.3	Tänkbara aktörer.........................................................	141
	6.4.4 Förhållandet till formella och informella
		standarder....................................................................	143
6.5	Arkitektur...............................................................................		144

Innehåll SOU 2007:47

6.6	Nytta, kostnad och risker ......................................................		147
	6.6.1	Nytta och kostnader ...................................................	147
	6.6.2	Risker...........................................................................	149
6.7	Diskussion ..............................................................................		151
7	Informationssäkerhet i e-förvaltningen .......................		153
7.1	Inledning.................................................................................		153
7.2	Allmänt om informationssäkerhet ........................................		153

7.3Nuläget för informations- och IT-

säkerhetsstandardisering i Sverige.........................................

155

7.4Offentliga aktörer i arbetet med standarder för

	informationssäkerhet .............................................................	157
7.5	Legala krav ..............................................................................	159
7.6	Aktörer i det nationella informationssäkerhetsarbetet........	160
7.7	Översikt över styrande dokument ........................................	162
7.8	Pågående diskussion i offentlig sektor..................................	163
7.9	Diskussion ..............................................................................	165
8	IT-standarder i offentlig upphandling och deras
	betydelse för småföretag och innovationer ...................	169

8.1Hur påverkar IT-standarder aktörerna i upphandlingen?....169

8.1.1 Beskrivning av aktörernas syn....................................		170
8.1.2	Användning av standarder ..........................................	173
8.1.3	Kommentarer till regelsystemet.................................	176
8.1.4	Diskussion om upphandling.......................................	179
8.2 Småföretag och standarder ....................................................		184
8.2.1	Användning av standarder ..........................................	184
8.2.2 Diskussion om småföretagens deltagande i
	upphandlingen.............................................................	185

8.3Kan innovationer påverkas av IT-standarder i

upphandlingen? ......................................................................

188

Innehåll SOU 2007:47

	8.3.1 Nuteks och Vinnovas rapporter om offentlig
		upphandling och innovation ......................................	188
	8.3.2 Kan användning av standarder öka
		innovationsgraden i offentlig IT-upphandling?........	192
	8.3.3	Diskussion om innovationer......................................	193
9	Elektroniska inköps- och upphandlingsprocesser .........		195
9.1	Inledning.................................................................................		195
9.2	Bakgrund ................................................................................		195
9.3	Synpunkter från användare och leverantörer ......................		198
	9.3.1	Uppdrag ......................................................................	198
	9.3.2 Behov av harmonisering generellt..............................		198
	9.3.3	Harmoniserade systemlösningar ..............................	200

9.4Harmoniserings- och standardiseringsbehov för nya

	upphandlingsformer...............................................................		202
	9.4.1	Allmänt........................................................................	202
	9.4.2	Specifika frågor för elektroniska auktioner ..............	202
	9.4.3	Specifika frågor för avrop och beställningar .............	203
	9.4.4	Verifiering ...................................................................	204
9.5	Var behövs standarder?..........................................................		204
10	Öppen programvara i offentlig sektor ..........................		207
10.1	Definitioner och avgränsningar.............................................		207
10.2	Statskontorets rapporter .......................................................		208
10.3	För- och nackdelar.................................................................		209
10.4	Tendenser ...............................................................................		213
	10.4.1 Trender........................................................................		213
	10.4.2 Offentlig förvaltning ..................................................		214
	10.4.3 IDABC och internationellt........................................		215
10.5	Användning av öppen programvara inom olika sektorer ....		216
	10.5.1 Kommunerna ..............................................................		216
	10.5.2 Skolområdet ................................................................		217

Innehåll	SOU 2007:47
10.6	Öppen programvara – analys .................................................	217
10.7	Rättsliga konsekvenser...........................................................	222
	10.7.1 Inledning......................................................................	223
	10.7.2 Några upphovsrättsliga utgångspunkter....................	224
	10.7.3 Behov av vägledning....................................................	228
11	Andra viktiga policyfrågor ..........................................	229
11.1	Vilka är de centrala policyfrågorna?......................................	229
11.2	Teknik- och marknadsutvecklingens betydelse för IT-
	standardiseringen....................................................................	230
11.3	Begrepps- och informationsstandardisering i e-
	förvaltningen...........................................................................	234
11.4	Näringspolitiska frågor ..........................................................	241
	11.4.1 Undvika risker för inlåsning hos leverantörer ..........	243
	11.4.2 Öppna standarders betydelse för
	Dataföreningens medlemmar, särskilt för
	småföretagen ...............................................................	248
	11.4.3 Standardiseringens roll för innovation ......................	251
11.5	IT-standardiseringsarbetet i den offentliga sektorn som
	ett system................................................................................	253
	11.5.1 Tillgänglighet till och användningen av
	existerande standarder ................................................	254
	11.5.2 Förvaltningsansvar för existerande standarder (av
	olika slag) med relaterade behov av införandestöd ...	255
	11.5.3 Utvecklingen av standarder och relationen till
	standardiseringsorganisationerna, i första hand
	SIS ................................................................................	255
11.6	Avslutande kommentarer ......................................................	260
12	Samordning och organisation .....................................	261
12.1	Tidigare utredningar m.m. om central samordning .............	261
	12.1.1 Samhällets grundläggande information .....................	261
	12.1.2 Digitala tjänster – hur då?...........................................	263

Innehåll		SOU 2007:47
	12.1.3 Statskontorets, e-nämndens och Vervas
	diskussion om central samordning av e-
	förvaltningen...............................................................	264
	12.1.4 Regeringens beslut 2006/2007 om central
	samordning..................................................................	267
12.2	Diskussion om samordningens former ................................	268
	12.2.1 Begränsningar av samordningen ................................	268
	12.2.2 Samordningens omfattning och styrmedel ...............	270
	12.2.3 Förhållandet till den statliga förvaltningen i
	övrigt ...........................................................................	271
	12.2.4 Förhållandet till omvärlden i övrigt...........................	275
	12.2.5 Olika aspekter på IT-standardisering och
	organisatoriska konsekvenser ....................................	275
12.3	En central expertfunktion för e-förvaltningens IT-
	standardisering – fyra alternativ............................................	278
	12.3.1 En helt ny organisation ..............................................	278
	12.3.2 Inom eller nära Regeringskansliet .............................	280
	12.3.3 I anslutning till SSR eller SIS .....................................	282
	12.3.4 I anslutning till redan existerande statlig
	myndighet ...................................................................	283
12.4	Diskussion av Vervas uppgifter och organisation
	beträffande e-förvaltningens IT-standardisering .................	286
	12.4.1 Sammanfattning av tänkta uppgifter .........................	286
	12.4.2 Organisationsformer ..................................................	288
12.5	IT-standardiseringsfrågor med näringspolitiska och
	andra syften ............................................................................	289
13	Överväganden och förslag..........................................	291
Inledning..........................................................................................		291
13.1	Statens nationella ansvar........................................................	292
	13.1.1 Bättre understöd för beredning av 98/34-
	kommittéens ärenden m.m. .......................................	292
	13.1.2 IT-standardisering som ett organisatoriskt
	system..........................................................................	295
	13.1.3 Expertis för näringspolitiska analyser av och
	främjandeinsatser för IT-standarder och deras
	användning ..................................................................	299
		11

Innehåll SOU 2007:47

13.2	IT-standardiseringsansvar inom ramen för
	verksamhetsansvar..................................................................		302
	13.2.1 Myndigheternas ansvar för interoperabilitet.............		302
	13.2.2 Informationssäkerhet .................................................		304
	13.2.3 Användning och utveckling av standarder ................		309
	13.2.4 Öppen programvara....................................................		311
13.3	Vervas samordningsroll..........................................................		313
	13.3.1 En central expertfunktion för interoperabilitet
	och IT-standardiseringsfrågor vid Verva...................		313
	13.3.2 Behov av samordning inom offentlig upphandling...		319
	13.3.3 Den elektroniska inköps- och
	upphandlingsprocessen...............................................		321
13.4	Användandet av standardiserade dokumentformat i
	offentlig förvaltning ...............................................................		323
14	Ekonomiska och andra konsekvenser ..........................		327
14.1	Inledning.................................................................................		327
14.2	Statens kostnader, intäkter och finansiering ........................		327
	14.2.1 Bättre former för beredning av 98/34-
	kommittéens ärenden m.m. (förslag 1) .....................		328
	14.2.2 Förslag om utredningar i samverkan mellan SSR,
	SIS och Verva (förslag 2)............................................		328
	14.2.3 Funktioner för central bevakning av IT-
	standarders betydelse för näringspolitiken m.m.
	(förslag 3–4) ................................................................		328
	14.2.4 Informationssäkerhet (förslag 7)...............................		328
	14.2.5 Främjandet av öppen programvara (förslag 14)........		329
	14.2.6 Förstärkning av den centrala
	samordningsfunktionen för IT-
	standardiseringsfrågor vid Verva (förslag 15) ...........		329
	14.2.7 Behov av samordning av kravspecifikationer inför
	offentlig upphandling (förslag 17).............................		330
	14.2.8 IT-standarder i elektronisk upphandling (förslag
	18)	................................................................................	330
	14.2.9 Sammanfattning ..........................................................		330
	14.2.10	Statens intäkter .....................................................	331
	14.2.11	Finansiering...........................................................	331

Innehåll		SOU 2007:47
14.3	Kostnader för kommuner och landsting ..............................	332
14.4	Kostnader för företag och andra enskilda ............................	332
14.5	Samhällsekonomiska effekter................................................	333
14.6	Betydelse för små företags villkor i förhållande till
	större företags ........................................................................	334
14.7	Betydelse för sysselsättning och offentlig service i olika
	delar av landet.........................................................................	334
14.8	Övrig betydelse ......................................................................	335
Bilagor
Bilaga 1–2 Kommittédirektiv..........................................................		337
Bilaga 3 Överblick över den offentliga sektorns IT-
	standardisering – enkäter och intervjuer .........................	353
Bilaga 4 Fallstudier ..........................................................................		393
Bilaga 5 Policy- och planeringsdokument om EU:s
	IT-standardisering.............................................................	477
Bilaga 6 Några andra länders samordning......................................		489
Bilaga 7 Näringslivet deltagande och några storföretags
	standardiseringspolicier ....................................................	509
Bilaga 8 Rapporter på uppdrag av utredningen .............................		515

Förkortningar

ANEC	European Association for the Co-ordination of
	Consumer Representation in Standardisation
ANSI	American National Standards Institute
API	Anropsgränssnitt
ASP	Application service provider
BITS	Basnivå för informationsäkerhet
CC	Common Criteria
CCRA	Common Criteria Recognition Arrangement
CEN	European Committee for Standardisation
CENELEC	European Committee for Electrotechnical
	Standardisation
CIO	Chief information officer
CoBIT	Control Objectives for Information and Related
	Technology
COCOM	Verkställighetskommitté inom EU
CSEC	Sveriges Certifieringsorgan för IT-säkerhet
CWA	CEN Workshop Agreement
DNS	Domain name system
EDI	Electronic data interchange
EDIFACT	Electronic Data Interchange for Administration,
	Commerce and Transport
EICTA	European Information & Communications
	Technology Industry Association
EMC	elektromagnetisk kompatibilitet
EMF	elektromagnetiska fält
EN	Europeisk Standard
e-Nämnden	Nämnden för e-förvaltning (avvecklad)
ESO	Europeiska standardiseringsorganisationer (avser
	CEN, CENELEC och ETSI)
ESQH	European society for quality in health care

Förkortningar SOU 2007:47

ESV	Ekonomistyrningsverket
ETSI	Europen Telecommunications Standards Institute
EULP	European Union Public License
FM	Försvarsmakten
FMV	Försvarets materielverk
FRA	Försvarets radioanstalt
FRAND	Fair Reasonable and Non-Discriminatory
GEA	Gemenskapen för elektroniska affärer, numer NEA
GIS	Geografiska informationssystem
HL7	Health Layer 7
HR-XML	Human resources XML konsortium
i2010	Europeiska kommissionens program för
	informationssamhället till år 2010.
ICT	Information and Communication Technology
ICTSB	ICT Standards Board
IDABC	Interoperable Delivery of European eGovernment
	Services to public Administrations, Businesses and
	Citizens.
IEC	International Electrotechnical Commission
IEEE	Institute of Electrical and Electronics Engineers
IETF	Internet Engineering Task Force
IGF	Internet Governanace Forum
IKT	Informations och kommunikationsteknik
IP	Internet Protocol
IPR	Intellectual Property Rights
ISO	International organization for standardisation
ISOC	Internet Society
IST	Information Society Technologies
IT	Informationsteknik
IS	International Standard
ITIL	Information technology infrastructure library
ITPS	Institutet för tillväxtpolitiska studier
ITS	Informationstekniska standardiseringen
ITU	International Telecommunication Union
JTC1	Joint Technical Committee för ISO/IEC
KBM	Krisberedskapsmyndigheten
KK	Kommerskollegium
LAMP	plattform för webbutveckling, bestående av Linux,
	Apache, MySQL och PHP/Perl/Python
16

SOU 2007:47 Förkortningar

LIS	Ledningssystem för informationssäkerhet
LOU	Lagen om offentlig upphandling
NEA	Nätverket för elektroniska affärer
NES	Northern European Subset (nordisk subset av UBL)
NGN	Next generation network
Normapme	European Office of Crafts, Trades and Small and
	Medium- Sized Enterprises for Standardisation
NSO	Nationell standardiseringsorganisation (avser för
	Sverige SIS, ITS och SEK)
NTP	Network time protocol
NUTEK	Verket för näringslivsutveckling
OASIS	Organization for the Advancement of Structured
	Information Standards
ODF	Open Document Format
OffLIS	Statskontorets riktlinjer för uppfyllandet av LIS
OIO	offentlig information online
OOXML	Open Office XML
PDF	Portable Document Format
PDF/A	Portable Document Format version arkiv
PTS	Post- och telestyrelsen
RAND	Reasonable, and Non-Discriminatory
RCS	Verkställighetskommitté inom EU
RPS	Rikspolisstyrelsen
SAMFI	Samverkansgruppen för informationssäkerhet
SC	Subcommittee
SEK	Svensk elstandard
SFTI	Singel face to industry
SHS	Spridnings- och hämtningssystem
SIS	Swedish Standards Institute
SKL	Sveriges kommuner och landsting
SME	Små och medelstora företag
SOGITS	Senior Officials Group for IT-Standardisation
SOGS	Senior Officials Group for Standardisation
SP	Sveriges tekniska forskningsinstitut
SQL	Structured Query Language
SSR	Sveriges Standardiseringsråd
Swedac	Styrelsen för ackreditering och teknisk kontroll
TBT	Technical Barriers to Trade
TC	Technical committe

Förkortningar SOU 2007:47

TK	Teknisk kommitté
TNC	Terminologicentrum
UN/CEFA	UN Centre for Trade Facilitation and Electronic
CT	Commerce
UN/ECE	Förenta Nationernas ekonomiska kommission för
	Europa
UBL	Universal Business Language
USB-uttag	Universal serial bus
UWB	Ultra-wideband
W3C	World Wide Web Consortium
Verva	Verket för förvaltningsutveckling
WG	Working group
VINNOVA	Verket för innovationssystem
WTO	World Trade Organisation
XBRL	Extensible Business Reporting Language
XML	Extensible markup language

Sammanfattning

Utredningens uppdrag

IT-standardiseringsutredningens ursprungliga uppdrag från april 2006 var att föreslå hur IT-standardiseringen i den offentliga för- valtningen kan samordnas bättre – både den samordning som behövs inför EU:s beslut om standardisering och den interna sam- ordningen inom den svenska offentliga förvaltningen. Vidare skulle vi överväga om – och i så fall hur – öppen programvara (öppen källkod) borde främjas.

I november 2006 fick utredningen tilläggsdirektivet att under- söka hur e-förvaltningens införande kan påskyndas, hur säkerheten kan ökas i e-förvaltningen, hur elektronisk upphandling kan främ- jas samt de rättsliga konsekvenserna av öppen programvara.

Policyer om val av standarder

Regeringen uttalade i sin senaste IT-proposition Från IT-politik för samhället till politik för IT-samhället (prop. 2004/05:175) att användning av öppna standarder ska främjas. Formella standarder, dvs. sådana som fastställs av erkända standardiseringsorgan, är exempel på sådana standarder. Men det finns också många andra globala standarder som uppfyller höga krav på öppenhet, t.ex. sådana som är en förutsättning för Internet.

Den nu gällande lagen om offentlig upphandling (LOU) bestämmer hur standarder får åberopas. Där är formella standarder huvudalternativet. Trots detta domineras den offentliga upphand- lingen av applikationer med proprietär programvara. Med tanke på att det nu finns öppna standarder med god funktion på en mängd områden borde även upphandlingen sträva efter att använda dessa.

Vi anser att myndigheterna ska kunna ta emot vad som i dagligt tal kallas öppet dokumentformat. Riksarkivet arbetar för närva-

Sammanfattning

SOU 2007:47

rande med en föreskrift om hur dokument kan lagras med hjälp av IT. I denna föreskrift avser man bl.a. att behandla användningen av öppna dokumentformat i statlig förvaltning. På så vis säkerställs att myndigheterna har tillgång till nödvändiga programvaror och kan kommunicera med allmänheten med hjälp av dessa.

Förslag

Användningen av formella standarder vid elektronisk informa- tionshantering ska främjas beträffande myndigheter som lyder under regeringen.

Regeringen ska ge Verva i uppdrag att även ta hänsyn till de långsiktiga aspekterna av användningen av standarder med hög grad av öppenhet när man upprättar kravspecifikationer i ram- avtalsarbetet. Verva ska årligen redovisa hur uppdraget fullföljs.

Sverige ska inom EU arbeta för att upphandlingar ska kunna referera till standarder likvärdiga de formella, såväl på EU-nivå som på nationell nivå. Detta skulle göra det möjligt att hänvisa till IT-standarder från IETF, OASIS, W3C, UN/CEFACT och andra liknande organ som utarbetar brett accepterade standar- der som dock inte är erkända i den mening som avses i EU:s regelverk för offentlig upphandling.

Regeringen ska ge Riksarkivet i uppdrag att föreskriva en möj- lighet för myndigheter som omfattas av arkivlagen att lagra elektroniska dokument i ett allmänt förekommande format som bygger på standarder från erkända standardiseringsorgan.

Statens nationella ansvar

Samordningen av beredningen av EU:s standardiseringsärenden

Det ingår i vårt uppdrag att föreslå former för en förbättrad sam- ordning av beredningen av ärenden i enlighet med EG:s 98/34- direktiv. Direktivet ska förhindra att nationella standarder och föreskrifter på IT-området skapar handelshinder och därmed för- svårar rörligheten på EU:s inre marknad.

Det är svårt för UD och Kommerskollegium att få fram under- lag från berörda sektorer och experter i den offentliga sektorn när ärenden kommit från EU, trots ansträngningar att skapa nätverk på departement och myndigheter. För att försöka lösa problemet

SOU 2007:47

Sammanfattning

föreslår vi ett nätverk eller råd med representanter för olika verk- samheter i samhället som berörs av IT-standardisering.

Förslag

En förbättrad beredning av 98/34-direktivets ärenden ska ske med hjälp av ett råd, IT-standardiseringsrådet, med företrädare för de i sammanhanget viktigaste myndigheterna och organisa- tionerna inom stat, kommuner och landsting samt standardise- ringsinriktade personer från näringslivet och andra experter, t.ex. från standardiseringsorgan, departement samt användar- och konsumentintressen. Även frågor från kommittologiförfa- randet kan bli standardfrågor, vilket motiverar att experter från sådana områden, t.ex. geografisk information, kan ingå i rådet.

Rådet ska innehålla högst omkring 30 personer, utöver ordföranden, för att möjliggöra någorlunda effektiva fysiska möten; den huvudsakliga kontaktformen blir dock troligen e- post.

Rådets uppgift är att bistå UD och Kommerskollegium när svenska ståndpunkter i internationella IT-standardiseringsfrå- gor tas fram. Rådet ska också delta i diskussioner och informa- tionsutbyte om frågor som rör det internationella arbetet med standardiseringsfrågor på IT-området.

En anställd bedöms vara tillräckligt för att sköta ärende- hantering, dvs. utskick av remisser, mottagande och samman- ställning av remissvar och administration av rådets arbete.

Ledamöter, arbetsuppgifter och finanisering bör överens- kommas mellan staten och SSR i ett särskilt avtal om rådet organisatoriskt ska höra till SSR. Om en överenskommelse inte kan nås med SSR förs rådet organisatoriskt över till Kommers- kollegium, och då utses ordförande och ledamöter i rådet av Kommerskollegium.

IT-standardisering som ett organisatoriskt system

Många aktörer är involverade på IT-standardiseringens område: departement, myndigheter, enskilda kommuner och landsting, företag, branschorganisationer och andra samarbetsorgan.

Alla har intresse av övergripande bedömningar men ingen tycks ha en tillräckligt övergripande roll. Därför behövs en sektors- och

Sammanfattning

SOU 2007:47

departementsövergripande monitorfunktion för IT-standardise- ringens organisatoriska system i sin helhet, särskilt vad gäller det som har med den offentliga sektorn att göra.

Förslag

Sveriges Standardiseringsråd ska få i uppdrag att i samråd med SIS och Verva utreda följande:

Hur kan finansieringen lösas på ett sätt som ökar tillgäng- ligheten till SIS standarder, särskilt på IT-området, t.ex. i de fall hänvisning sker till standarder i föreskrifter?

I vilka delar av den offentliga sektorn kan man med fördel nyttja SIS mer för att utveckla standarder, t.ex. förvalt- ningsgemensamma krav och begreppsstandarder?

Vilka förändringar i SIS arbetsformer skulle underlätta ett allmänt ökat samarbete mellan myndigheter och SIS?

Hur initieras ett samordnat system av register över standar- der, förvaltningsgemensamma krav m.m. för att fylla beho- vet av en central förteckning över standarder som är orga- niserad efter användningsområde och som ger en översikt över standardernas syfte och innehåll?

Vilka särskilda utredningar i övrigt behöver göras för att ge underlag för förslag om hur standardiseringen, särskilt IT- standardiseringen, i sin helhet kan effektiviseras?

Näringspolitiska aspekter

När det gäller elektronisk kommunikation är sambandet mellan tjänsternas utformning och marknadsstrukturen klart och tydligt etablerat genom lagen om elektronisk kommunikation. Här är PTS den ansvariga myndigheten.

När det gäller IT-tjänsterna högre upp i värdekedjan finns där- emot inte samma uppmärksamhet på näringspolitiska frågeställ- ningar och hur marknaden fungerar. Några exempel är frågor kring kostnadsallokering, inlåsningseffekter, samt standarders relation till innovation, forskning, småföretag, tillväxt och konkurrenskraft.

SOU 2007:47

Sammanfattning

Förslag

Regeringen ska ge Nutek och ITPS i uppdrag att bevaka när- ingspolitiska aspekter på IT-standardisering enligt följande:

Nutek bevakar IT-standarders betydelse för småföretag och deras utveckling inom vissa marknader.

ITPS bevakar standarders effekter på marknader och kon-

kurrenskraft.

Uppdragen kan ges återkommande i myndigheternas årliga regleringsbrev och ska återrapporteras till regeringen.

Regeringen ska ge Vinnova i uppdrag att fortlöpande bevaka näringspolitiska aspekter på IT-standardisering när det gäller innovationer och forskning.

Myndigheternas verksamhetsansvar

Myndigheternas interoperabilitetsansvar

För att fortsätta att utveckla förvaltningens IT-stöd måste samar- betet mellan och inom myndigheter, kommuner och landsting utvecklas i högre grad än tidigare.

För att säkerställa att interoperabiliteten uppmärksammas i myndigheternas arbete bör varje myndighet under regeringen ha ett ansvar för att det finns effektiva metoder för informationsutbyte (en informationsutbytesansvarig). Här ingår även ansvar för till- gänglighet, t.ex. för funktionshindrade.

För att åstadkomma en rättvisande och någorlunda enhetlig uppfattning om läget bör alla offentliga aktörer få i uppdrag att kartlägga och dokumentera sin samverkan med andra myndigheter.

Förslag

Varje statlig myndighet under regeringen ska utse en person som ansvarar för att främja det elektroniska informationsutby- tet inom den offentliga förvaltningen (s.k. informationsutby- tesansvarig).

Samtliga myndigheter ska ges i uppdrag att kartlägga och publi- cera sina informationsutbyten med tillhörande informations- strukturer, kommunikationslösningar och regelverk för att

Sammanfattning

SOU 2007:47

möjliggöra en samlad bild över vilka gemensamma lösningar som behövs för den offentliga sektorn på detta område.

Informationssäkerhet

Visionen om en sammanhållen e-förvaltning innebär ökade möjlig- heter att kommunicera mellan olika myndigheters register och IT- applikationer, Ökade kopplingar mellan olika administrativa system innebär dock en ökad sårbarhet för systemet som helhet, eftersom säkerhetsproblem i en del av systemet sprider sig till andra delar.

Myndigheterna bör säkerställa att informationssäkerheten han- teras på ett lämpligt sätt – antingen genom en egen ökad kontroll eller genom certifiering mot Ledningssystem för informationssä- kerhet (LIS). Medan LIS är en standard för en metod som anger vad som behöver beaktas utifrån ett organisationsperspektiv, är KBM:s basnivå för informationssäkerhet (BITS) rekommendatio- ner som anger hur säkerheten ska åtgärdas i huvudsak på IT- systemnivå. För mindre myndigheter kan BITS vara ett lämpligt första steg inför tillämpning av LIS.

Förslag

Verva ska få i uppdrag att ingående undersöka hur kostnads- aspekten påverkar spridning och användning av standarder inom myndigheterna när det gäller informationssäkerhet inom e-förvaltningen.

Bedömning

Myndigheter som deltar i upphandling av IT-tjänster och IT- utrustning för e-förvaltningen bör definiera den egna organisa- tionens säkerhetskrav kopplade till det som ska upphandlas.

Verva bör fullfölja sin ansats att ge ut en föreskrift som pekar ut ISO/IEC 27001 respektive ISO/IEC 27002 (LIS) som grund för myndigheternas arbete med informationssäkerhet, förslagsvis med KBM:s rekommendationer BITS i en förbättrad form som grund för etablering av en basnivå för informations- säkerhet.

SOU 2007:47

Sammanfattning

Öppen programvara

I IT-propositionen 2004/05:175 menade regeringen att använd- ningen av öppna standarder och öppna programvaror bör främjas och att utvecklingen på området för öppna programvaror bör följas upp löpande. Regeringens skäl för detta var dels möjligheterna att minska kostnaderna för IT-användning, dels att konkurrensen bör främjas inom programvaruområdet.

Vervas analys på uppdrag av utredningen leder till slutsatsen att det i första hand är öppna standarder och gränssnitt som ska främ- jas, inte öppen programvara. En annan slutsats är att öppna pro- gramvaror i normalfallet måste ha egen kraft att klara sig på mark- naden. Undantagen är bl.a. applikationer som är särskild anpassade för svensk offentlig förvaltning, t.ex. barnomsorgsplanering, som i vissa fall kan behöva stöd för att få igång användningen.

Ett sätt att återanvända egenutvecklade program är att statliga myndigheter kan bidra till det arkiv (repository) för öppna program som erbjuds av det s.k. Programverket. Även andra arkiv bör kunna användas för denna återanvändning.

Bedömning

Statliga myndigheter bör bidra med egenutvecklade öppna pro- gram till Programverkets och andra liknande programarkiv, under förutsättning att licensvillkoren i de enskilda fallen med- ger detta.

En vägledning bör utarbetas som beskriver hur myndigheter bör agera vid anskaffande och utveckling av öppna programva- ror, inklusive upphandling av stödtjänster till dessa och hur de kan gå till väga för att underlätta återanvändning av de program som de tagit fram.

Vervas samordningsroll

En central expertfunktion för interoperabilitet och IT- standardiseringsfrågor vid Verva

Den nya utvecklingen av IT-strukturen, som har accelererat sedan millennieskiftet, förutsätter en organisation med centrala experter och central samordning för att säkerställa en standardiserad upp- byggnad. De största centrala myndigheterna har redan börjat bygga

Sammanfattning

SOU 2007:47

upp sådan central expertis, och nätverk har skapats för samverkan mellan myndigheter. Vi föreslår att de centrala experterna på IT- standardiserings- och interoperabilitetsområdet hos Verva förstärks i motsvarande grad.

Huvuduppgiften för Vervas expertfunktion är att vara en tak- funktion som ser till att frågor som hör samman med standarder och standardisering på e-förvaltningens område inte tappas bort i den offentliga decentraliserade organisationen utan att någon instans vid behov tar ansvar för initiativ, så att det finns en obruten ansvarskedja. Samordning kan göras frivillig och behöver inte regle- ras genom ytterligare föreskriftsrätt för Verva, utöver den som redan finns.

Ibland kan den centrala funktionens roll vara att driva en viss konkret fråga för att skapa en teknisk specifikation som svarar mot behov i den offentliga förvaltningen. Verva har föreslagit begreppet gemensam specifikation för att uttrycka detta.

Som stöd för arbetet med gemensamma specifikationer och för att samordna myndigheternas interoperabilitetsansvar kan Verva utveckla en gemensam interoperabilitetsstruktur. Det förutsätter dock att myndigheterna frivilligt efter förhandlingar kommer över- ens om att denna ska gälla som referensram.

Inflytande från andra intressenter som näringslivet och intresse- organisationer kan ske på åtminstone två sätt. Dels bör Verva vända sig till en formell standardiseringsorganisation, t.ex. SIS, med en intresseförfrågan när så är lämpligt. Dels kan myndigheter själva välja att hantera IT-standardiseringsfrågor av relevans för sin sektor i särskilda grupper där myndigheterna tillsammans med andra intressenter bereder frågan.

En viktig förutsättning för en fungerande expertfunktion är att den utövas i samarbete med bl.a. de myndigheter som har stora expertstaber och som har praktisk erfarenhet på fältet på IT-stan- dardiseringens område samt med näringslivet.

Förslag

En central kanslifunktion ska inrättas vid Verva för att utveckla och förvalta förutsättningarna för interoperabilitet dvs. ett interoperabilitets- och standardiseringskansli. Denna kansli- funktion ska samordna, förankra, publicera och underhålla de förvaltningsgemensamma specifikationerna samt ge metod- och

SOU 2007:47

Sammanfattning

expertstöd i IT-standardiseringsfrågor inom den offentliga för- valtningen, särskilt när det gäller begreppsstandarder. Som vägledning i detta arbete bör en form (arkitektur) för att främja interoperabilitet inom den offentliga förvaltningen utvecklas och förvaltas. En öppen webbaserad katalogtjänst bör skapas för de gemensamma kravspecifikationerna.

Tekniska specifikationer och liknande krav för informations- hantering och informationsutbyte ska utvecklas i ett forum som är öppet för alla parter, t.ex. i SIS, när så är möjligt och lämpligt. Verva ska främja sådant standardiseringsarbete.

Upphandlingens former

Såväl på beställarsidan som på leverantörssidan kan det förekomma att enskilda aktörer ser ett behov av enighet om hur något ska vara beskaffat. Dock saknar kanske aktörerna kraft, tid eller kompetens att initiera ett arbete för att nå denna enighet.

En funktion för samordning av kravställande inför upphand- lingar inom Verva bör hållas isär från Vervas arbete med ramavtals- upphandlingar för att de har olika fokus: I samordningen inför upphandlingar ligger tyngdpunkten på myndigheters intresse av att samordna sitt kravställande, medan utformningen av ramavtalen är en del av en upphandlingsprocess.

Bedömning

En särskild funktion med ansvar för samordning inför den offentliga IT-upphandlingen bör inrättas vid Verva. Denna funktion ska arbeta för en samordning mellan myndigheter när det gäller gemensamma upphandlingskravsspecifikationer som sedan kan användas i kommande förfrågningsunderlag inom IT-området.

Elektronisk upphandling

Det finns en förväntan att e-handel ska komma igång av sig själv, men tröskeln har varit oväntat hög. Därför måste insatser göras för hela inköpsprocessen.

För vissa delar av inköpsprocessen, upphandlingsdelen, kan det vara aktuellt för den offentliga sektorn att i samverkan med

Sammanfattning

SOU 2007:47

branschintressen ta fram gemensamma specifikationer med funk- tionella krav på t.ex. processer, begrepps- och informationsstruk- tur. Förberedelser kan göras redan nu, och justeringar kan ske i takt med att förutsättningar i form av ny lagstiftning klarnar.

Förslag

Regeringen ska ge Verva i uppdrag att i samverkan med Sveriges Kommuner och Landsting samt branschintressen utarbeta ett handlingsprogram för standardisering inom den del av den elektroniska inköpsprocessen som gäller upphandling. Förberedelser bör ske inom följande områden:

En vägledning utarbetas om hur t.ex. mottagningsfunktio- nerna för anbud kan utformas.

Terminologi och informationsstrukturer klarläggs redan från början i upphandlingsprocessen.

För vissa delar av inköps- och upphandlingsprocessen utformas gemensamma kravspecifikationer med funktio- nella krav på t.ex. processer samt begrepps- och informa- tionsstruktur.

Summary

Remit of the Inquiry

The original remit of the IT Standards Inquiry, set by the Govern- ment in April 2006, was to submit proposals on ways of improving the coordination of IT standardisation. This applied both to the necessary coordination of standardisation work in response to EU decisions on standardisation and to internal coordination within the Swedish public administration. The Inquiry was also instructed to consider whether and how open software, i.e. applications based on open source software, should be promoted.

In supplementary terms of reference issued in November 2006, the Inquiry was further instructed to consider and propose ways of speeding up the introduction of e-government, enhancing e- government security and promoting electronic procurement, and to examine the legal implications of open source software.

A brief summary of the Inquiry’s findings is presented below.

Some basic observations

The title of the present report “The Invisible Infrastructure” is a reference to the fact that standards – including IT standards – are unnoticeable when they are in place and functioning properly. It is only when they are lacking that their absence is noticed and pro- blems arise. To a large extent, they are also invisible to those responsible for operations in the course of the decision-making process. Although operational decisions, e.g. procurement of e-ser- vices, often involve choosing standards, these do not seem to be taken separately or expressly, at least at this level, but are a tacit outcome of operational decisions of different kinds. The purpose of our report is therefore to make IT standards visible and to spot- light some of the consequences of their selection.

Summary

SOU 2007:47

Another basic observation we have made is that IT standards must be viewed in several aspects. IT standards in the public admi- nistration cannot be coordinated from a single vantage point or from within one and the same body. We have identified the follo- wing arenas for discussion of IT standardisation in the public sec- tor:

Swedish coordination in response to EU decisions

e-government

industrial policy

gaining an overall view of IT standardisation as an organisatio- nal system.

Basically, the summary is structured into three levels:

government responsibility for IT standardisation at national level and coordination at international level,

responsibility for IT standardisation as part of the operational tasks of government agencies, municipal and county councils, public bodies concerned with standardisation, etc.

The role of the Swedish Administrative Development Agency and other government authorities responsible for developing common specifications for the public administration and the coordination of IT standardisation work.

It should be noted that in certain areas, e.g. information security, our proposals could have been divided into a number of categories, to be dealt with at several levels. However, such issues are best addressed where their centre of gravity lies – primarily within the agencies’ operational responsibilities in the case of information security.

However, we begin with a discussion of overall policy issues arising in connection with the choice of standards.

Policies concerning choice of standards

The Inquiry began by examining the various sets of standards cur- rently in place and how these are developed and applied in different types of organisation. The term ‘standard’ was understood both in its everyday sense of a commonly accepted or approved example of something against which other things are judged or measured, and

SOU 2007:47

Summary

in a more specific sense, namely the outcome of a standardisation process. The term embraces all types of standards as well as agree- ments on how a thing is to be constituted, embodied in a specifica- tion.

In its latest IT Bill (2004/05:175), the Government has declared that the use of open standards should be promoted. Examples of the above include formal standards established by recognised EU standardisation bodies such as the European Committee for Stan- dardisation (CEN), the European Telecommunications Standards Institute (ETSI) and the European Committee for Electrotechnical Standardisation (CENELEC). However, there are numerous other standards, some of which are essential to the operation of the internet, that meet stringent requirements of openness. All stan- dards exhibiting a reasonable degree of openness are normally referred to as open standards.

Provisions governing the invoking of standards, where formal standards are the principal alternative, are set out in the current Public Procurement Act. Despite this, proprietary software appli- cations predominate in public procurement. Given the existence of effectively functioning open standards in a range of areas, efforts should be made to apply these in public procurement. Such an aim should also be reflected in framework procurement contracts.

The need to refer to informal standards in regulations based on EU directives and procurement legislation can give rise to pro- blems. This is possible in principle provided it can be shown that the choice of standards is not discriminating. The legal position is unclear and requires further elucidation. However, Sweden should actively seek – and for its part adopt an interpretation that will make it possible in practice – to promote direct reference to IT standards developed by the Internet Engineering Task Force (IETF), the Organization for the Advancement of Structured Information Standards (OASIS), the World Wide Web Consor- tium (W3C), the United Nations Centre for Trade Facilitation and Electronic Business (UN/CEFACT) and similar bodies.

A number of other countries have laid down guidelines on the use of document formats based on formal standards, the so-called open document format. Belgium, Denmark, Australia, Norway and the US state of Massachusetts are examples of places where soft- ware formats for ordinary office documents used in public admi- nistration or to communicate with citizens, such as word proces- sing, spreadsheet and presentation programs, must be based on

Summary

SOU 2007:47

ISO standards. At present, the few formats regarded as applicable that meet these requirements, are specific versions of the Portable Document Format (PDF) and the Open Document Format (ODF).

In our view, public authorities should be able to receive all types of documents that normally occur in the market, are widely used by the general public and have been designed in accordance with technical specifications based on formal standards – referred to in everyday parlance as ‘open document format’. Whether authorities also choose to use the open document format in other contexts, i.e. when communicating with citizens, is, in our view, a matter for them. If authorities are to be required to offer open document formats in communications with citizens, the Government will need to ensure that support for the development of suitable pro- ducts is available in this area.

The National Archives are currently drafting a regulation on technical specifications for automatic processing, i.e. document storage facilitated by IT. The regulation, which is concerned inter alia with the use of open document formats in the public administ- ration, is based on provisions in the Archives Act (1990:782) and the Archives Ordinance (1991:446). Prescribing the formats in which public authorities must save incoming or newly created electronic documents ensures that the former have access to the necessary software applications and can communicate with mem- bers of the public with their help.

Proposals

•That the use of formal standards for electronic information management be promoted in the case of authorities accoun- table to the Government.

•That the Government also instruct the Administrative Deve- lopment Agency to attach particular importance to the long- term implications of using standards with a high degree of openness when drafting tender model specifications for fra- mework contracts. If this proposal is adopted, the agency sho- uld be required to report annually on progress in this area.

•That Sweden actively seek the adoption of an EU position on public procurement that allows reference to be made to other than formal standards. Such a position, which would apply at

SOU 2007:47

Summary

national as well as EU level, would make it possible in practice to refer to IT standards developed by the IETF, OASIS, W3C, UN/CEFACT and other, similar bodies that provide widely adopted standards but are not recognised in the sense unders- tood in Community law.

•That the Government commission the National Archives to issue regulations permitting authorities covered by the Archi- ves Act to store electronic documents which are in a widely used format based on standards provided by recognised stan- dards bodies.

The Government’s national responsibility

Coordinating the preparation of EU standardisation matters

Our remit includes drafting up proposals for coordinating the pre- paration of standards-related matters more effectively, in accor- dance with directive 98/34 EC. The purpose of the directive is to prevent national IT standards, regulations and administrative provi- sions from creating trade barriers and thereby restricting the free movement of “goods, persons, services and capital” in the single market.

We have found that it is difficult for the Ministry for Foreign Affairs, which deals with these issues in collaboration with the National Board of Trade, to obtain supporting data and material on matters proceeding from the EU from the relevant sectors and experts in the public sector, despite efforts to create networks in government ministries and agencies. One reason for this may be the lack of a permanently established group of administrative offi- cers and experts, owing in turn to the varied nature of IT standar- disation issues and the fact that these are often so specific that the possible number of experts is always likely to be inadequate. We have attempted to solve this problem by proposing a network or council made up of people representing different activities and pur- suits in the community affected by IT standardisation. Such a net- work in our view could more easily locate the parties concerned and elicit opinions on the issue in question.

Summary

SOU 2007:47

Proposal

•That an IT standardisation council be set up with a view to improving the preparation of matters referred to in Directive 98/34 EC. The council should be composed of representatives of the most important government, municipal and county council authorities and organisations, people in the indu- stry/trade sector directly concerned with standardisation and other experts, e.g. from standardisation bodies, including the ITS and SEK, ministries, etc. As matters proposed for comi- tology procedures may also be standards-related, consideration

should also be given to the inclusion of experts in such areas, e.g. from Geographical Information Systems (GIS).

To ensure reasonably effective physical meetings with all present, the number of council members (excluding the chair) should not exceed 30. However, members will communicate principally via e-mail. Should the need arise, assessors with spe- cial expertise, would of course be able to take part in council meetings. The council would be tasked with assisting the Mini- stry for Foreign Affairs and the National Board of Trade in framing Swedish positions on international IT standardisation issues. It would also be required to take part in discussions and exchanges of information on issues relating to international IT standardisation.

The administrative work – referring proposals for comment, receiving and collating comments from referral bodies and the administration of council affairs – could in our view be handled by a single officer.

The council’s composition, tasks and financing should be decided by a special agreement between the Government and the Swedish Standards Council, in which case the council sho- uld form part of the latter organisation. If an agreement with the Swedish Standards Council cannot be reached, however, the council should be established under the National Board of Trade, in which case its chair and members would be appointed by the latter.

SOU 2007:47

Summary

IT standardisation as an organisational system

There is at present no clear division of roles and responsibilities among the various actors concerned and thus no clearly designated body with overall responsibility for issues arising in connection with IT standardisation, task allocation and general financing. There are many actors involved: ministries, government agencies, The Swedish Association of Local Authorities and Regions, muni- cipal and county councils, companies, industry/trade organisations and other cooperation bodies, the Swedish Standards Council, the Swedish Standards Institute, the Swedish Centre for Terminology, etc.

While it is in the interests of all the above that overall assess- ments are undertaken, no single player seems to have been assigned a sufficiently overarching role. What is needed is a cross-sectoral, inter-ministerial body tasked with monitoring the entire organisa- tional system for IT standardisation, especially that part of it con- cerned with the public sector. The Swedish Standards Council would be the obvious candidate for such a role.

Proposal

•That the Swedish Standards Council be assigned to inquire into the following matters in collaboration with the Swedish Standards Institute and the Administrative Development Agency:

•How can financing be arranged to improve access to stan- dards developed by the Swedish Standards Institute, parti- cularly in the IT sphere, e.g. in cases where reference is made to standards prescribed in regulations?

•In what areas of the public sector can the Swedish Stan- dards Institute be advantageously employed to develop standards, e.g. requirements common to the public admi- nistration as a whole and concept standards?

•What changes in the working methods of the Swedish Standards Institute would facilitate closer overall coope- ration between it and public authorities?

•The establishment of a coordinated system of standards registers, requirements common to the public administra- tion as a whole, etc. with a view to meeting the need for a

Summary

SOU 2007:47

centrally administered standards inventory classified by area of application and providing an overview of the pur- pose and content of each standard.

•What other special inquiries should be undertaken to provide background data for proposals on how standardi- sation in general – with particular reference to IT standar- disation – can be made more efficient and effective?

Implications for Swedish industrial policy

With regard to electronic communications, i.e. IT delivered by the telecoms sector, the physical IT infrastructure and the services directly associated with it, the relationship between service design and development and the structure of the market has been clearly established, partly through a special law, the Electronic Communi- cations Act, whose main purpose is to safeguard competition in the market. The National Post and Telecom Agency is the authority responsible for these matters.

However, in the case of IT services higher up the value chain, e.g. e-government services, market functions and similar industrial policy issues are not accorded the same level of attention. Other examples of industrial policy issues and questions:

•should the main costs be borne by enterprises or the public sector?

•the degree of involvement by the Swedish Standards Institute,

•the significance of IT standards for innovation and research,

•the need for more information on IT standards, in particular among SMEs,

•the need to boost competition, inter alia in the computer con- sultancy market, and between document formats through the introduction of open standards and open source code,

•growth promotion through wider use of IT standards,

•measures to prevent municipal and county councils from get- ting locked into supplier solutions.

SOU 2007:47

Summary

Proposals

•That the Government commission the Swedish Agency for Economic and Regional Growth and the Institute for Growth Policy Studies to monitor industrial policy aspects of IT stan- dardisation, as follows:

•The Swedish Agency for Economic and Regional Growth: the importance of IT standards to small enterprises and their development in certain markets, and

•The Institute for Growth Policy Studies: the effect of

standards on the market and competitiveness.

These tasks can be assigned on a regular basis in the agencies’ annual appropriation directions. The agencies would be requi- red to submit outcome reports to the Government.

•That the Swedish Agency for Innovation Systems be assigned to continuously monitor the industrial policy implications of IT standardisation in the spheres of innovation and research.

Agencies’ operational responsibilities

Agency responsibility for interoperability

To ensure continued development of IT support in the public administration, it will be necessary to promote closer cooperation between and within agencies and municipal and county councils, and to focus on improving conditions for interoperability, that is effective methods of information exchange. We have provided a number of examples of the need, both in local government and among citizens, for interoperability between government agencies’ information systems. Above all, the terms and concepts used in IT applications must be standardised.

Although enhancing interoperability is a costly undertaking, it enables wider use of IT. To ensure that interoperability is given due prominence in agency operations, each government agency should have an information exchange officer responsible for ensuring that effective methods and procedures for information exchange are in place. We mean by the latter everything contained within the con- cept of interoperability – a term unfortunately considered too alien to the Swedish language to be used in legislative contexts – inclu- ding responsibility for access, e.g. by people with disabilities.

Summary

SOU 2007:47

Interoperability must be embedded at all levels of the system – technical, semantic, organisational and judicial – as its absence at any one level could be sufficient to impair its overall effectiveness. The judicial level is included to emphasise that development of the legal system must keep pace with that of the other three levels if interoperability is to be realised in practice.

In order to ensure a fair and reasonably uniform assessment of developments, all public actors should be required to map and document their collaboration with other agencies and, in particular, any opportunities for electronic information exchanges already taking place or that need to be introduced. At the Administrative Development Agency, such a survey is already under way as part of its government assignment to coordinate the automation of case handling. This will focus on interoperability, i.e. communication between agencies’ information systems.

Proposals

•That every government agency appoint a person to be respon- sible for promoting electronic information exchange in the public administration (information exchange officer).

•That all government agencies be tasked with mapping and documenting activities involving the exchange of information, including associated information structures, communication solutions and regulatory frameworks, with a view to facilita- ting a coherent overall picture of the sector’s need for com- mon solutions in this sphere.

Information security

Every government agency and public body is accountable for its own information security as part of its overall operational respon- sibility.

The vision of a coherent e-government environment presuppo- ses greater scope for communication between agency registers and IT applications, inter alia to make it easier for citizens, businesses and municipal and county councils to communicate with the complex government administration. However, increasing the number of links between administrative systems also heightens the

SOU 2007:47

Summary

vulnerability of the system as a whole as security problems in one part of the system spread to other parts. Thus the more coherent e- government becomes the more attention must be given to security issues. Greater consideration must therefore be given to IT secu- rity standards.

Authorities should ensure that information security is handled appropriately, either through more stringent controls of its own or through certification accredited under ISO/IEC Standard 27001 and the corresponding official Swedish version, Information Secu- rity Management Systems (LIS). This would not only be a confi- dence-building measure for e-government but would also help improve security among IT suppliers. While LIS is a standard for a system that specifies what needs to be monitored from an organi- sational perspective, the Swedish Emergency Management Agency’s Basic Level for IT Security (BITS) is a set of recommen- dations on security measures at IT systems level. Smaller agencies may find BITS a suitable first stage before moving on to LIS. However, for agencies whose information security requirements are less stringent, LIS certification is probably too radical a mea- sure.

A number of government authorities have an important part to play here. Cooperation between these agencies takes place under the auspices of the Joint Action Group on Information Security (SAMFI). Overall responsibility for information security in Swe- den rests with the Swedish Emergency Management Agency. The role of the Administrative Development Agency in this context is to monitor the development of e-government standardisation in the information security domain, submit policy proposals and be responsible for the dissemination of knowledge and information concerning standards, a task that needs to be defined with increa- sing clarity in terms of direction and delimitation.

Proposal

•That the Administrative Development Agency be commissio- ned to conduct a detailed examination of how cost considera- tions affect the dissemination and use of e-government infor- mation security standards in government agencies.

Summary

SOU 2007:47

Assessment

•Agencies taking part in procurement of e-government IT services and equipment should define their own organisation’s security requirements in relation to what is to be procured.

•The Administrative Development Agency should pursue efforts to draw up a regulation that specifies ISO/IEC 27001 and ISO/IEC 27002 (LIS) respectively as bases for agency efforts to improve information security, and possibly also develop an improved version of the Swedish Emergency Management Agency’s methodological tool, BITS, as a plat- form for establishing a basic level of information security.

Open source software

In its IT Bill (2004/05:175), the Government declared that the use of open standards and open source software should be promoted and that developments in the open source software domain should be followed up on a regular basis. These measures would, in the Government’s view, provide opportunities to reduce the cost of IT use and encourage competition in the software sphere.

The Administrative Development Agency's analysis (commis- sioned by the Inquiry) led it to the conclusion that open standards and interfaces, not open source software, should be promoted as a first priority. Another conclusion was that in normal circumstances open source software must be able to compete in the market on its own merits. The exceptions are software applications especially adapted for use in areas of the Swedish public administration such as childcare planning. In certain cases, getting such applications up and running may require support. It may be necessary to promote the features common to programs of this kind. Also important is the presence of a maintenance organisation that is sustainable over the long term.

One way of ensuring that programs developed in house are re- used is to encourage government agencies to contribute to the open software repository provided by eGovforge, a project concer- ned with open software and open software development in the public sector. The project was initiated by the Swedish Association of Local Authorities and Regions with the aim of promoting closer collaboration and more efficient use of IT. This is an effective way

SOU 2007:47

Summary

of stimulating the development of open software, not just in the municipal sector but throughout the public sector.

Other repositories, such as SourceForge, can also be used for this purpose.

Assessment

•Government agencies should contribute open software develo- ped in house to eGovforge and other similar repositories, pro- vided this is permitted under relevant licensing terms and con- ditions.

•A guidance should be drawn up with recommendations on how agencies should go about acquiring and developing open software and procuring support services for the latter, and how they should proceed so as to facilitate re-use of the pro- grams they have developed.

The Swedish Administrative Development Agency’s coordinating function

A central expert unit responsible for interoperability and IT standardisation at the Administrative Development Agency

Improvements in the handling of EC IT standardisation matters with the help of a new coordinating body have been proposed above. This should be clearly distinguished from the coordination of IT standardisation in the Swedish public administration, the other principal concern of the Inquiry. We are dealing here with two distinct coordination processes, and it is essential to preclude any suspicion that Sweden’s handling of EC matters might be influenced by the public administration’s own interest in standards that could take on national characteristics.

New development of the IT structure, which has accelerated since the turn of the millennium, presupposes a centrally coordina- ting body supported by central experts, if standardised develop- ment is to be achieved. The larger central agencies have already begun building up central expertise, and inter-agency collaboration networks have been created. Our proposal is that central IT stan-

Summary

SOU 2007:47

dardisation and interoperability expertise at the Administrative Development Agency be strengthened to a corresponding degree.

The agency’s main task in this connection is to act as “roof” i.e. to ensure that matters relating to standards and standardisation in e-government do not get lost in the decentralised public administ- ration, but that where necessary responsibility for initiatives is taken at some level so that there is an unbroken chain of responsi- bility.

Coordination can be undertaken on a voluntary basis; there is no need to give the agency regulatory powers beyond those which already exist. In some cases, this central coordinating role may be a matter of pursuing a specific standardisation matter, e.g. a certain adaptation or a profile. The agency has proposed the term ‘com- mon specification’ or ‘administration-wide specification’ to denote this need for coordination within the administration.

To support efforts to develop shared specifications for the coordination of agency interoperability, the Administrative Deve- lopment Agency can develop a common interoperability structure or architecture. Work on this has already begun. This means that agencies voluntarily agree, after negotiations have taken place, that such a structure should serve as reference framework.

Even in cases where common specifications are not aimed at the development of a new standard, or an advanced profiling of an existing standard, an opportunity should be provided at some stage for all interests to be heard. This applies particularly to specifica- tions which are not exclusively intended to be used in connection with the management of public sector operations. Other interested parties, such as the industry sector and stakeholder groups can bring their influence to bear in at least two ways. When necessary and appropriate, the Administrative Development Agency can turn to an official standards body, such as the Swedish Standards Insti- tute, with a call for expressions of interest. Agencies themselves can also choose to address IT standardisation matters of relevance to their sector in special groups where they and other interested parties, such as enterprises, stakeholder groups, other authorities, municipal and county councils, etc. can prepare the matter in ques- tion, a Swedish adaptation of the Danish approach.

The distribution among government agencies of expert resour- ces in architecture and standardisation is an important issue. Although there is a stronger perceived spirit of collaboration, and participation in joint networks is considered to have increased sig-

SOU 2007:47

Summary

nificantly in recent years, the tendency towards sectorisation will be difficult to counter as long as a number of big agencies each dis- pose of more expertise than the authorities at cross-sectoral level. If the expert unit is to function effectively it must above all work closely with industry and with agencies with large experts staffs as well as practical IT standardisation experience in the field.

Proposals

•That a central administrative unit (an interoperability and stan- dardisation secretariat) be set up within the Administrative Development Agency with responsibility for developing and promoting interoperability, coordinating, establishing, publi- shing and maintaining common specifications, and providing methodological and expert support in IT standardisation mat- ters, particularly concept standards in the public administra- tion. A procedural framework for the promotion of interope- rability in the public administration should be developed and managed as a guide for this undertaking. An open web-based catalogue service should be created to implement the common specifications.

•That where possible and appropriate technical specifications and similar requirements governing the handling and exchange of information be developed within a forum open to all parties such as the Swedish Standards Institute. Such standardisation work should be promoted by the Administrative Development Agency.

Forms of procurement

Although many individual actors among customers and suppliers alike may well see the need for agreement on how something sho- uld be constituted, none has the energy, time or expertise to undertake the work needed to achieve this sort of consensus. On the supplier side, this may be due to reasons of competition. On the agency side, initiatives may be hampered by budgetary, time and other constraints.

One solution could be the introduction of a unifying actor. Companies should not need to turn to more than one agency for

Summary

SOU 2007:47

help. The aim here is to coordinate the procuring authorities before the procurement process begins. It is important that the task of coordinating the specification of procurement requirements assig- ned to the Administrative Development Agency is kept separate from the agency’s work on framework contract procurement, not because the two are mutually contradictory but because each has a different focus: in the former case, the emphasis is on the agency’s own interest in coordinating its requirement specification, while the development of framework contracts is a centralised expert function.

Assessment

•A special unit with responsibility for coordinating public IT procurement should be set up at the Administrative Develop- ment Agency with the task of promoting inter-agency coordi- nation of the development of common procurement require- ments specifications, which can subsequently be used in tender dossiers in the IT domain.

Electronic procurement

Work on electronic commerce was focused initially on parts of the procurement process following the awarding of contracts, i.e. price list management, suborders (i.e. call off against framework agreement), ordering and invoice management. One reason why efforts were concentrated on elements of the procurement process subsequent to the contract allocation stage was that suborders are the most important part of the process in terms of volume. They involve many users and it was expected that more efficient requisitioning and invoice management would yield substantial savings. Another reason was that functional e-commerce was not possible under then existing legislation.

Work on the subsequent stages of the procurement process, i.e. from suborders to receipt of invoice – here referred to as e- commerce – was undertaken as part of the Single Face to Industry project. The Swedish Association of Local Authorities and Regi- ons, the Administrative Development Agency (then the Swedish Agency for Public Management) and the National Financial Mana-

SOU 2007:47

Summary

gement Authority have continued to collaborate within this project on standardisation and other processes aimed at promoting e- commerce, along with suppliers of goods and services and systems suppliers. Some work on the procurement process prior to the contract allocation stage has also been undertaken within frame- work of the Single Face to Industry project.

There is an expectation that e-commerce will get under way of its own accord. However, given the unexpectedly high threshold at which the self-sustaining mechanism is set to kick in, attention must be given to the entire procurement process and not merely to the final ordering and invoice stage.

This entails establishing conditions conducive to the re-use of information in different stages of the process by clarifying the in- formation structures. In the case of certain parts of the procurement process, the tendering and award process , it may be opportune for the public sector, working in collaboration with interested parties in industry, to develop common specifications setting out functional requirements e.g. with regard to processes and concept and information structures. Preparations for the development of common specifications and preparatory standar- disation can already be started and any necessary adjustments made as conditions, in the form of new legislation, grow clearer. The actual standardisation work can be undertaken as part of the Single Face to Industry project.

Proposal

•That the Government commission the Administrative Development Agency, acting in collaboration with the Swe- dish Association of Local Authorities and Regions and inte- rested parties in industry, to draw up an action plan for the introduction of common specifications for the electronic procurement process as it relates to the tendering and award process, and that the following preparatory work be under- taken:

•Preparation of a guidance on the design of tender recep- tion procedures.

•Clarification of terminology and information structures at the initial stage of the procurement process.

Summary

SOU 2007:47

•Development of common specifications for certain parts of the procurement process, setting out functional re- quirements, e.g. with regard to processes and concept and information structures.

Författningsförslag

1Förslag till

förordning om ändring av förordningen (2000:1132) med instruktion för Verket för innovationssystem

Härigenom föreskrivs i fråga om förordningen (2000:1132) med instruktion för Verket för innovationssystem att 2 § skall ha föl- jande lydelse.

Nuvarande lydelse

Föreslagen lydelse

2 §

Verket för innovationssystem skall särskilt

-fördela medel till forskning och utveckling och därmed sammanhängande verksamhet,

-verka för att industriforsk- ningsinstitutens roll i innova- tionssystemet utvecklas,

-med beaktande av kun- skapsutvecklingen i särskilt små och medelstora företag utveckla samarbetet mellan industri- forskningsinstitut, universitet och högskola samt aktörerna inom privat och offentlig verk- samhet,

-främja det svenska delta- gandet i aktuella forsknings- teman inom EG:s ramprogram

Verket för innovationssystem skall särskilt

-fördela medel till forskning och utveckling och därmed sammanhängande verksamhet,

-verka för att industriforsk- ningsinstitutens roll i innova- tionssystemet utvecklas,

-främja det svenska delta- gandet i aktuella forsknings- teman inom EG:s ramprogram

Författningsförslag

SOU 2007:47

för forskning och	utveckling,	för	forskning och utveckling,
övriga internationella forsknings-		övriga internationella forsknings-
program samt utbytet med EG:s		program samt utbytet med EG:s
strukturfonder i aktuella delar,		strukturfonder i aktuella delar,
- stimulera till kunskaps-		- stimulera till kunskaps-
överföring och rörlighet mellan		överföring och rörlighet mellan
olika grupper av aktörer i inno-		olika grupper av aktörer i inno-
vationssystemet,		vationssystemet,
- vara rådgivande organ åt re-		- främja sådan standardisering
geringen i forsknings- och ut-		och	användning	av standarder
vecklingsfrågor,		som är av betydelse för innova-
- verka för att genusperspek-		tion,	kunskapsspridning och
tiv får genomslag i forskningen,		framväxten av nya marknader,
och		- vara rådgivande organ åt re-
- arbeta för	jämställdhet	geringen i forsknings- och ut-
mellan män och kvinnor.		vecklingsfrågor,
		- verka för att genusperspek-
		tiv får genomslag i forskningen,
		och
		- arbeta för		jämställdhet
		mellan män och kvinnor.

Verket skall samverka med berörda regionala, nationella och in- ternationella aktörer. Verket skall särskilt samverka med Verket för näringslivsutveckling och Institutet för tillväxtpolitiska studier.

Denna förordning träder i kraft den

SOU 2007:47

Författningsförslag

2Förslag till

förordning om ändring av förordningen (2005:860) med instruktion för Verket för förvaltningsutveckling

Härigenom föreskrivs i fråga om förordningen (2005:860) med instruktion för Verket för förvaltningsutveckling att 2 § skall ha följande lydelse.

Nuvarande lydelse

Föreslagen lydelse

2 § Verket för förvaltningsutveckling skall

1.följa upp och analysera förvaltningsutvecklingen nationellt och internationellt,

2.biträda regeringen i internationellt arbete avseende förvalt- ningsutveckling,

3.följa forskning, nationell och internationell, som kan ha bety- delse för förvaltningens utveckling,

4.ha ett beställaransvar för statistik som beskriver den offentliga sektorns utveckling,

5.följa och analysera kompetensförsörjningen i statsförvalt- ningen,

6.stödja och utveckla arbetet med den strategiska kompetens- försörjningen i statsförvaltningen,

7.förmedla eller erbjuda utbildningar inom sitt verksamhets- område och bidra till framtagandet av utbildningar för enskilda myndigheter,

8.erbjuda myndigheter stöd i arbetet med att utveckla verksam- heten genom att utveckla och tillhandahålla metoder och riktlinjer för övergripande frågor om organisering och styrning av statsför- valtningen,

9. främja användningen av enhetliga kvalitetskrav och rikt- linjer för användningen av in- formationsteknik och utveckla användbarheten av och tillgäng- ligheten till elektronisk infor- mation och elektroniska tjänster,

9. främja användningen av enhetliga kvalitetskrav och rikt- linjer för användningen av in- formationsteknik, utveckla an- vändbarheten av och tillgänglig- heten till elektronisk informa- tion och elektroniska tjänster, utveckla och följa upp möjlighe- terna till ett säkert och effektivt elektroniskt informationsutbyte

Författningsförslag

SOU 2007:47

samt främja standardiserings- arbete avseende informations- hantering och informationsutbyte enligt 2 § förordningen (2003:770) om statliga myndigheters elektro- niska informationshantering och informationsutbyte,

10.ansvara för förvaltning, utveckling och marknadsföring av elektronisk samhällsinformation och rättsinformation samt fullgöra de uppgifter som framgår av rättsinformationsförordningen (1999:175),

11.svara för samordnad upphandling för offentlig förvaltning inom området informationsteknik, verka för bästa möjliga villkor för anskaffning och användning av informationsteknik inom of- fentlig förvaltning och tillse att den offentliga förvaltningen använ- der gemensamma funktioner och lösningar samt beakta intresset av innovationer och teknikneutrala lösningar, samt

12.lämna de statliga och på begäran även de kommunala myn- digheterna råd och upplysningar i de frågor om upptagningar för automatisk databehandling som avses i 15 kap. 9 § sekretesslagen (1980:100).

Av 3 § förordningen (2003:770) om statliga myndig- heters elektroniska informa- tionsutbyte framgår att verket får meddela föreskrifter i fråga om standarder eller liknande krav som skall vara gemen- samma för elektroniskt infor- mationsutbyte för myndigheter under regeringen.

Av 3 § förordningen (2003:770) om statliga myndig- heters elektroniska informa- tionshantering och informa- tionsutbyte framgår att verket får meddela föreskrifter i fråga om standarder eller liknande krav som skall vara gemen- samma för elektroniskt infor- mationsutbyte för myndigheter under regeringen.

Denna förordning träder i kraft den

SOU 2007:47

Författningsförslag

3Förslag till

förordning om ändring av förordningen (2003:770) om statliga myndigheters elektroniska informationsutbyte

Härigenom föreskrivs i fråga om förordningen (2003:770) om statliga myndigheters informationsutbyte

dels att rubriken till förordningen skall ha följande lydelse, dels att en ny 2 a § skall föras in i förordningen,

dels att 2 § skall ha följande lydelse.

Nuvarande lydelse	Föreslagen lydelse
Förordning (2003:770) om	Förordning (2003:770) om
statliga myndigheters elektro-	statliga myndigheters elektro-
niska informationsutbyte	niska	informationshantering
	och informationsutbyte
Nuvarande lydelse	Föreslagen lydelse

2 §

En myndighet skall i sin verksamhet främja utvecklingen av ett säkert och effektivt elektroniskt informationsutbyte inom den of- fentliga förvaltningen.

Användningen av tekniska specifikationer för elektronisk informationshantering som över- ensstämmer med en nationell el- ler internationell standard som godkänts av ett erkänt standardi- seringsorgan skall främjas.

En myndighet bör bidra till att utveckla tekniska specifikationer och liknande krav för elektronisk informationshantering och infor- mationsutbyte som myndigheten behöver för sin verksamhet genom att delta i standardiseringsarbete vid ett erkänt standardiserings-

Författningsförslag

SOU 2007:47

organ. Verket för förvaltnings- utveckling skall främja sådant standardiseringsarbete.

2 a §

En myndighet skall utse en person som ansvarig för att främja elektroniskt informationsutbyte inom den offentliga förvaltningen (informationsutbytesansvarig).

Denna förordning träder i kraft den

1 Uppdraget

1.1Det ursprungliga uppdraget

Regeringen fattade den 6 april 2006 beslut om följande uppdrag (dir. 2006:36) som följer i sammanfattning.

Utredaren ska utreda formerna för ytterligare samordning när det gäller arbetet med standarder, gemensamma grundfunktioner, kravspecifikationer och liknande inom IT-området och också före- slå hur dessa former kan utvecklas. Om det finns skäl för en för- ändrad reglering eller organisation ska utredaren överväga hur en sådan bör utformas och lämna de författnings- och organisations- förslag som behövs.

Uppdraget har fyra huvuddelar.

Den första delen gäller svenska intressenters roll i det internatio- nella standardiseringsarbetet på IT-området. Utredaren ska här ge en samlad överblick över det svenska deltagandet i det internationella standardiseringsarbetet på IT-området. Utredaren ska vidare kart- lägga behovet av att samordna deltagandet från svenska myndighe- ter och offentliga organ i IT-standardiseringen och föreslå lämpliga former för att få fram samlade svenska ståndpunkter. Samord- ningen gäller såväl horisontellt mellan olika aktörer som vertikalt, t.ex. inom nyckelmyndigheter. Hänsyn bör tas till behovet av sam- ordning med industrin och andra privata aktörer.

Den andra delen gäller samordning av de facto-standarder inom offentlig förvaltning och statens samspel med den kommunala sektorn och näringslivet. Utredaren ska här utreda hur samordnings- och samverkansformerna i IT-standardiseringsfrågor kan utvecklas på den övergripande nivån utifrån den roll Nämnden för elektronisk förvaltning (e-nämnden) tidigare haft, vilken numera övertagits av Verva. Bland annat ska utformningen och användningen av s.k. grundfunktioner belysas.

Uppdraget

SOU 2007:47

Vidare ska utredaren göra en genomgång av samordningen i standardiseringsfrågor inom olika sektorer. Tre myndigheter med nyckelfunktioner inom respektive sektors IT-arbete nämns i prop. 2004/05:175 – Socialstyrelsen, Myndigheten för skolutveckling och Lantmäteriverket. En genomgång ska göras dels av huruvida dessa och andra myndigheter med liknande roller har en tillräckligt tydlig samordningsroll när det gäller standardiseringsarbetet, dels av huruvida arbetsfördelningen gentemot Verva är tillräckligt klar.

Utredaren ska även undersöka om liknande samordnande myn- digheter behöver pekas ut inom andra sektorer, bl.a. utifrån det utökade administrativa samarbetet med myndigheter i EU:s med- lemsstater.

Den tredje delen gäller standardiseringsarbetets betydelse för offentlig upphandling. Standarder och gemensamma kravspecifika- tioner är viktiga inom den offentliga upphandlingen. Utredaren ska översiktligt beskriva hur förekomsten av IT-standarder och gemen- samma kravspecifikationer påverkar aktörerna i den offentliga upp- handlingen. Utredaren ska vidare undersöka om en bättre samord- ning kan stimulera innovationer genom upphandlingen och öka småföretagens deltagande. Om detta visar sig vara fallet ska utreda- ren föreslå hur en ökad samordning av IT-standardiseringen inför upphandling kan ske.

Den fjärde delen av uppdraget gäller främjande av öppen pro- gramvara inom offentlig förvaltning. Utredaren ska överväga för- och nackdelar med att använda öppen programvara i olika verk- samheter i offentlig förvaltning, lämna förslag om användningen av öppen programvara inom offentlig förvaltning bör främjas och i så fall hur detta ska ske. Utredaren ska även föreslå lämpliga hand- lingslinjer inför arbetet inom EU när det gäller användning av öppen programvara.

Uppdraget ska redovisas till regeringen senast den 30 juni 2007. Direktivets fullständiga lydelse, bl.a. kraven på samråd och kon- takter, framgår av bilaga 1.

1.2Tilläggsuppdrag

Den 30 november fattade den efter valet tillträdda regeringen beslut om följande uppdrag (2006:117).

Utöver nuvarande uppdrag ska utredaren analysera IT-standar- diseringens betydelse som viktig förutsättning för att påskynda en

SOU 2007:47

Uppdraget

sammanhållen e-förvaltning, omfattande såväl stat som kommuner och landsting. I utredarens arbete ska även informationssäkerhets- frågor ges en framträdande roll. Utredaren ska särskilt uppmärk- samma betydelsen av ökad användning av standarder för myndig- heternas möjligheter att införa elektroniska inköpsprocesser inklu- sive upphandling – i synnerhet för möjligheterna att ta emot elek- troniska anbud. Vidare ska möjligheterna till, och de rättsliga kon- sekvenserna av, en ökad användning av s.k. öppen källkod analyse- ras ytterligare.

Användarnas behov av ändamålsenlig informationshantering ska vara vägledande för arbetet.

Utifrån sina slutsatser ska utredaren föreslå åtgärder som bidrar till informationsteknikens genomslag i samhället med möjlighet till effekt före 2010.

Tilläggsdirektivets fullständiga lydelse framgår av bilaga 2.

1.3Uppdragets genomförande

Av det ursprungliga uppdraget framgår att utredaren ska samråda med Verva, Sveriges Kommuner och Landsting (SKL) och de nationella standardiseringsorganisationerna (SIS, SEK och ITS). Vidare ska utredaren samråda med statliga myndigheter med sär- skilt ansvar för standardfrågor inom respektive sektor, t.ex. Handisam, Socialstyrelsen, Lantmäteriverket och Myndigheten för skolutveckling. Vidare bör arbetet bedrivas i kontakt med företrä- dare för verksamhetsledningar inom stat, kommun och landsting som har praktiska erfarenheter av samordningsfrågor i samband med införande och drift av IT-system, med myndigheter i övrigt som deltar i standardiseringsarbetet samt med olika näringslivsor- ganisationer.

I tilläggsuppdraget framhölls att utredaren ska beakta det för- valtningspolitiska utvecklingsarbete som pågår inom Regerings- kansliet i fråga om övergripande frågor om informationsteknik inom statlig förvaltning.

Kraven på samråd, kontakter och beaktande har fullföljts på olika sätt, bl.a. genom möten med expertgruppen i princip en gång i månaden under arbetsåret, varvid flera av de uppräknade myndig- heterna, organisationerna och intressena representerats, bl.a. före- trädare för det förvaltningspolitiska utvecklingsarbetet. Vidare har utredningen haft regelbundna möten med företrädare för SKL, en

Uppdraget

SOU 2007:47

större hearing med statliga myndigheter och en hearing med några större myndigheter och näringslivsrepresentanter. Dataföreningen har bjudit in sina medlemmar till möten med utredningen, vid tre tillfällen i Linköping och ett i Stockholm. Utredaren har dessutom deltagit i två möten ordnade av projektet Sambruk, med företrädare för dess medlemmar bland kommunerna samt några leverantörer. Utredaren har presenterat utredningsuppdraget och utbytt syn- punkter om detta med styrelsen för Sveriges Standardiseringsråd. Utredaren har även redovisat utredningsläget och deltagit i diskus- sionen vid två allmänna möten ordnade av SIS, vid två allmänna konferenser om öppen programvara, vid ett av nätverket Sirnets möten (lett av Sören Lindh) samt vid konferensen Offentliga Rummet i Örebro 2007.

Ett stort antal intervjuer har gjorts inom flertalet större sam- hällssektorer och särskilda kontakter har tagits i enlighet med sam- rådskravet. Enkäter har dessutom sänts till ett hundratal centrala myndigheter, länsstyrelser och högskolor samt alla kommuner och landsting (i de senare fallen i samverkan med SKL).

Därutöver har utredningsuppdrag givits till Verva och professor Åke Grönlund, Örebro universitet (se Bilaga 8).

Sverige, som en av fyra medlemsstater i EU, har representerats av en av utredningens sekreterare i styrgruppen för Study on the specific policy needs for ICT standardisation inom EU-kommissio- nens generaldirektorat DG Enterprise. Sekretariatet har också genomfört en studieresa till Danmark.

1.4Läsanvisning

Kapitel 2–4 ger underlag för förslag om den svenska samordningen inför det internationella standardiseringsarbetet, framför allt inom EU. I dessa kapitel går vi också igenom olika slag av standarder och standardiseringsorganisationer, vilket har betydelse även för andra delar av betänkandet. Kapitel 5–10 handlar i huvudsak om e-för- valtningen, med särskilda kapitel om informationssäkerhet, upp- handling, den elektroniska inköpsprocessen och öppen program- vara. Kapitel 11–12 har mer övergripande karaktär och analyserar bl.a. förutsättningarna för samordning. Kapitel 13 innehåller över- väganden och förslag. Förslagen kostnadsberäknas och förslag på finansiering lämnas; detta sker i kapitel 14.

SOU 2007:47

Uppdraget

I bilagorna finns huvuddelen av det särskilt insamlade empiriska underlaget, dvs. de tre stora enkäterna till stat, kommun och lands- ting samt 12 fallstudier som ger exempel på IT-standardernas utveckling och betydelse inom sektorer och funktioner. Vidare refereras några EU-dokument samt IT-standardiseringen inom några länder och företag.

När ”vi” används i texten avses i allmänhet utredaren, experterna och sekretariatet som kollektiv, även om utredaren ansvarar för betänkandets innehåll och förslag.

2 Allmänt om standardisering

2.1Framväxten av standarder och statens roll

2.1.1Enhetsstandard

Standarder kan förklaras som mer eller mindre stabila överens- kommelser om hur något ska förstås och beskrivas. Utifrån en sådan enkel definition kan standarder återfinnas så långt tillbaka i tiden som för 5 000 år sedan, i tidiga Egypten och Babylonien, då mer eller mindre godtyckliga referenser för längd och vikt användes för att effektivisera handel och kommunikation. Den lokala varia- tionen mellan olika mått var emellertid stor och en ”standard” hade inte större räckvidd än makten hos den auktoritet som kungjorde definitionen.

Utifrån en något snävare förståelse kan tidiga exempel på stan- dard återfinnas hos Kung Henry I av England, när han år 1120 standardiserade vad som skulle gälla för mått i kungariket till måt- tet på hans egen tummes yttersta led och längden på hans fot.

Värdet av sådana enhetsstandarder ökar ju större geografiskt område standarden omfattar (vad ekonomerna kallar externalitet eller nätverkseffekt) och det var en förutsättning för att kunna beskatta folket.

Dessa enhetsstandarder eller referensstandarder kan ses som förhistoria till vetenskapen om mått och metoder för mätning (metrologin).

I slutet av 1700-talet, vid tiden för den franska revolutionen, hade naturvetenskapen tagit fäste och man ville vädra ut godtycke genom att ersätta befintliga måttreferenser med naturens konstan- ter – vad som kom att bli det s.k. SI-systemet med sina grunden- heter (t.ex. meter, kilogram och sekund) och härledda enheter (t.ex. densitet – kg/m3P ,P hastighet – m/s). Detta innebar inte att mått och mätande plötsligt blivit opolitiskt, utan definitionen av meter och kilogram 1799 var ett uttryck för ett behov att skapa

Allmänt om standardisering

SOU 2007:47

enhetliga enheter efter den franska revolutionen. Än i dag har Stor- britannien och USA som bekant inte ersatt sina gamla (och skilj- aktiga) måttenheter med det metriska systemet.

Att enhetsstandarder tjänar allmänheten bättre ju mer spridda och använda de är anses i de flesta fall vara uppenbart. Samtidigt finns ännu i dag inlåsningar i olika standarder för mått och vikt som knappast kan förbises.

2.1.2Likhetsstandard

Medan enhetsstandarder beskriver t.ex. en tunnas volym eller en tegelstens yttermått, så beskriver en likhetsstandard tunnans och tegelstens likhet med varje annan tunna och tegelsten. Sådana lik- hetsstandarder har haft stor betydelse för industrialiseringen genom de fördelar de har för produktion, lagring, transporter osv.

Historien anger att inför återuppbyggnaden av staden Boston efter en storbrand 1689 togs en lag att alla tegelstenar skulle ha måtten 9x4x4 tum. Man menade att sådana standardiserade tegel- stenar skulle leda till en snabbare och mer ekonomisk uppbyggnad av staden.

Ett annat kanske mer välbekant exempel på likhetsstandard är spårvidden för järnvägar. 1700-talets järnvägsbaroner specificerade unika spårvidder för de järnvägar de ägde och kontrollerade, med effekten att de begränsade konkurrensen och ”låste in” kunder i ett leverantörsberoende. Nackdelarna med sådan konkurrensbegräns- ning blir emellertid snabbt tydliga, och i många fall accepterades en viss spårvidd före andra helt enkelt för att det var mer ekonomiskt. Den framgångsrika spårvidden blev en de facto-standard genom sin dominans.

I England rekommenderades standard guage som blivit den mest spridda spårvidden av British Royal Commission 1845. Året därpå tog det brittiska parlamentet en spårviddslag som stipulerade att alla nya spår som byggdes skulle följa specifikationen för standard guage.

Förutom ekonomiska skäl för standardisering växte det också fram skäl vid denna tid som hade med allmän säkerhet att göra. År 1880 beräknades ca 50 000 människor ha omkommit till följd av explosioner i trycksatta system (ångmaskiner) till sjöss och på land, enligt American Society for Mechanical Engineers (ASME), som var en av de första frivilliga standardiseringsorganisationerna. ASME

SOU 2007:47

Allmänt om standardisering

publicerade 1915 #138 ASME Boiler and Pressure Vessel Code som de menar var den första regelrätta standarden för hur trycksatta system ska konstrueras, inspekteras och testas för att garantera säker funktion.

Likhetsstandarder begränsar variationsrikedom på ett sätt som ibland anses begränsa innovationer. Men fördelarna är ofta så uppenbara att likhetsstandarder kan sägas vara en av industrialise- ringens mest betydelsefulla innovationer. 1800-talet såg framväxten av likhetsstandarder på en stor mängd områden – standarder som varit avgörande för den väg utvecklingen tagit. De förekommer dels i samhällets stora perspektiv, som för ångmaskiner och andra branschstandarder, dels i det lilla perspektivet, med standarder som bara gäller för enstaka industrier eller fabriker, t.ex. jiggar och formar.

Nyttan av en enhetlig tid är ett tydligt exempel på hur en praktik sprids från det lokala via en större region, till att bli nationell och slutligen en väldefinierad del av ett globalt sammanhang. I mitten av 1800-talet hade t.ex. olika städer i Sverige sin egen lokala tid satt efter den verkliga soltiden. Men för järnvägen och telegrafen med- förde detta praktiska problem, med en faktisk skillnad på 24 minuter mellan tiden i Göteborg och i Stockholm. Man införde därför först en gemensam tid för järnvägssträckan, och 1878 inför- des en nationell enhetlig tid.

Tidpulser sändes per telegraf från Stockholms observatorium till alla järnvägsstationer en gång i veckan för att justera stations- klockan, och den nationella tidsstandarden spreds därmed över landet. Vid en internationell konferens År 1884 beslöts att en glo- bal tidsstandard skulle dela in globen i 24 tidszoner med Greenwich som nollongitud, eftersom majoriteten av världens sjökort hade Greenwich som nollongitud. En konkurrerande – men förlorande – standard delade i stället in globen i tio zoner med Paris som noll- longitud och dygnet i tio timmar som bestod av hundra minuter vardera, var och en hundra sekunder lång. Detta franska decimala förslag ratades dock. Sverige ratificerade det vinnande förslaget och anslöt sig till den globala ordningen 1910.

En av massproduktionens grundförutsättningar är principen om utbytbarhet, dvs. att varje producerad delkomponent ska kunna sättas samman med varje annan delkomponent som en viss produkt är uppbyggd av.

Genombrottet för utbytbarhet kom inom vapenproduktion. Runt sekelskiftet 1700–1800 producerades fortfarande de flesta vapnen av enskilda vapensmeder och delarna till varje enskilt vapen

Allmänt om standardisering

SOU 2007:47

justerades in separat, med resultatet att när det gick sönder var man tvungen att lämna in vapnet till en smed som nyproducerade och passade in en reservdel. I Frankrike och USA försökte man under de första årtiondena av 1800-talet i stället producera varje del mot noggrannare specifikationer som angav vilken tolerans varje yta fick ha, dvs. det lägsta respektive högsta mått en komponent kunde ha för att passa mot nästa komponent. Med bättre ritningar, mät- metoder och tolkar (ett slags toleransmall) växte mot mitten av 1800-talet metoden fram att producera helt utbytbara komponen- ter, i vad som ibland kallas ”det amerikanska systemet”. På världs- utställningen i London 1851 kunde Colt, framför en häpen publik, förevisa tio revolvrar som alla kunde demonteras och efter att alla delarna blandats åter monteras i tio fullt fungerande revolvrar.

Systemet med likhetsstandarder som fabrikerna använde sig av gjorde att en komponent kunde produceras i en del av landet och en annan del i en annan del av landet. Kunden kunde beställa reservdelar genom Sears-Roebucks postorderkataloger och själv byta ut den felande komponenten.

Många komponenter i 1800-talets exploderande mekaniserings- process, t.ex. muttrar och skruvar, var också generellt användbara och etablerades som standarder som inte bara var industri- eller branschspecifika utan snarast universella.

En svensk innovatör har haft mycket stor betydelse i samman- hanget. Carl-Edvard Johansson, även kallad ”Mått-Johansson”, patenterade 1901 ett system med passbitar av olika storlekar med mycket stor måttprecision. Dessa kombinationsmåttsatser, eller Jo Blocks (Johansson Guage Blocks) som de kallades i USA, användes för att kontrollmäta och kalibrera fabrikernas mätverktyg. Johans- sons innovation bestod dels av de 102 passbitarna av metall som förvaras i en sammetsinklädd trälåda, dels av en uppdelning av tole- ransklasser och standardiserade spel som fortfarande används.

Betydelsen av C-E Johanssons innovation för möjligheten till massproduktion av verkstadsprodukter med stor precision kan knappast överdrivas. Amerikanska biltillverkare hörde till hans första kunder, och 1923 köpte Henry Ford företaget och anställde Johansson. Det hävdas också att Johanssons innovation hade bety- delse för att man kunde enas om att de olika långa amerikanska och brittiska tum båda två skulle fastställas till exakt 25,400 mm, vilket 1933 antogs som internationell standard av American Standards Association.

SOU 2007:47

Allmänt om standardisering

2.1.3Kompatibilitets-, och interoperabilitetsstandard

Ytterligare en form av standard rör specifikationer för två eller fler delar som ska passa ihop, exempelvis elektriska kontakter. Forska- ren Ken Krechmer menar att en likhetsstandard kan beskriva en stickkontakt och en annan likhetsstandard kan beskriva ett vägguttag där stickkontakten passar, men en specifikation som beskriver både kontakten och uttaget beskrivs bättre som en kom- patibilitetsstandard.

Kompatibilitet är viktigt exempelvis för telekommunikation. Precis som i andra exempel på teknisk utveckling började historien med telekommunikation med proprietära standarder. När telegra- fen började användas kommersiellt i mitten av 1800-talet korsade inte telegraftrådarna nationsgränserna, utan olika länder använde olika system. I kommunikation mellan länder måste därför medde- landena skrivas ut, översättas och överlämnas vid gränsen för att sedan åter skrivas in för vidare telegrafering. Systemen var alltså inte kompatibla.

Våren 1865 förhandlade 20 europeiska länder, inklusive Sverige, om villkoren för internationell interkonnektivitet, grundläggande regler för standardisering av teknisk utrustning, gemensamma instruktioner för handhavande samt villkor för kostnader och eko- nomisk redovisning. För att hantera framtida tillägg och ändringar till överenskommelsen bildade man gemensamt International Tele- graph Union (ITU).

Kompatibilitet har beskrivits som den tekniska aspekten av interoperabilitet,TPF1FPT och i och med framväxten av persondatorer och Internet i slutet av 1900-talet ökade behovet av standarder som inte bara beskrev hur komponenter kunde samexistera i likartade system, dvs. vara kompatibla, utan också beskrev hur olika kompo- nenter kunde fungera i heterogena system uppbyggda av många lokala nätverk. Modern informationsteknik är mer förknippad med interoperabilitet än med kompatibilitet, där det förra samman- kopplas inte bara med rent teknisk samfunktion utan med syntax, semantik och samordning som tar hänsyn till institutioner som rättsregler och organisationer. Däri ligger en stor del av utma- ningen med att ta fram standarder för informationsteknik, och där finns skälet till en stark framväxt av konsortier som en alternativ form för att utveckla standarder.

1TP PT Future of Identity in the Information Society, FIDIS (No. 507512),www.fidis.net.

Allmänt om standardisering

SOU 2007:47

De begrepp som presenterats här ovan beskrivs ytterligare i avsnittet om definitioner nedan, och de återkommer delvis i den historiska framväxten av olika standardiseringsorganisationer som beskrivs i kapitel 3.

2.1.4En osynlig infrastruktur

Det ligger nära till hands att beskriva de olika formerna av standarder som nämnts ovan som betydelsefulla komponenter i en infrastruktur. En infrastruktur där viss kunskap uttrycks, sprids och kommer till användning. Denna infrastruktur har den egen- heten att den är osynlig i de fall standarder finns på plats och är ändamålsenliga. Standarder, inte bara IT-standarder, märks inte när de finns och fungerar. Först när de saknas märks deras frånvaro och skapar problem. IT-standarder är också i stor utsträckning osynliga i beslutsfattandet hos verksamhetsansvariga. Verksamhets- beslut, t.ex. om upphandling av e-tjänster, innebär ofta beslut också om val av standarder, men dessa tycks inte beslutas separat och uttryckligen, åtminstone på den verksamhetsansvariga nivån, utan blir en outtalad konsekvens av verksamhetsbeslut av olika slag. Det är vår förhoppning att detta betänkande skall göra det osynliga synligt.

2.2Definitioner och terminologi

2.2.1Former av standarder och dess utveckling

Standard

Begreppet standard betyder enligt Nationalencyklopedin ”en fast- ställd norm för en viss företeelse”.TPF2FPT En standard uttrycker ”standardiseringsresultat i form av beskrivningar, regler (normer) och rekommendationer för allmängiltig och upprepad använd- ning”.TPF3FPT SIS pekar på de dokument som är processens resultat och beskriver standard som ”dokument, upprättat i konsensus och fast- ställt av erkänt organ, som för allmän och upprepad användning ger

2TP PT Enligt Nationalencyklopedins ordbok.

3TP PT Enligt Nationalencyklopedin.

SOU 2007:47

Allmänt om standardisering

regler, riktlinjer eller kännetecken för aktiviteter eller deras resul- tat, i syfte att nå största möjliga reda i ett visst sammanhang.”TPF4FPT

SIS-definitionen är en direkt översättning av den definition ISO och IEC erbjuder:

Document, established by consensus and approved by a recognized body, that provides, for common and repeated use, rules, guidelines or characteristics for activities or their results, aimed at the achievement of the optimum degree of order in a given context.

Det finns förstås också en svagare betydelseform av begreppet, som handlar om något som är ”vanligast” eller ”normalt förekom- mande”, även det enligt NE:s ordbok.

Det finns alltså ingen universellt accepterad standard för vad som utgör en standard, och egentligen är inte standarden det intressanta utan det intressanta är i stället själva standardiseringen. Man kan därför låta nöja sig med att det finns en vardaglig betydelseform som beskriver något vanligt eller normalt, och en mer specifik betydelseform som beskriver resultatet av en standardiseringspro- cess.

Utredningen förstår standard i den allmänna meningen och innefattar i det dels alla typer av standarder, dels överenskommelser uttryckta i specifikationer om hur något ska vara beskaffat.

Standardisering

Standardisering avser enligt Nationalencyklopedin systematisk ordnings- och regelskapande verksamhet med syfte att uppnå optimala tekniska och ekonomiska lösningar på återkommande problem. Det avser med andra ord processer att fastställa standar- der. Utredningen förstår dessa processer som kniviga sociala akti- viteter, att processerna sker med mer eller mindre formella meto- der, och att processen kan vara mer eller mindre öppen, strategisk och medveten.

Standardiseringsprocessens resultat kan vara en standard, som nämndes ovan, men också leverabler med annan status är vanliga. Inom ISO, exempelvis, är begreppet standard reserverat för doku- ment som genomgått en speciell procedur med flera steg och omröstningsförfaranden. Om dokumentet är informativt snarare än normativt, eller om det gäller ett teknikområde under utveck-

4TP PT www.sis.se.

Allmänt om standardisering

SOU 2007:47

ling, kan dokumentet ges ut med en tilläggsbeteckning som anger en lägre dignitet, t.ex. TS (technical specification) eller PAS (publicly available specification). Motsvarande finns inom övriga erkända organ.

Inom CEN används numera flitigt en procedur som benämns CEN Workshop. Det är ett projekt med målet att ta fram ett speci- fikt standardiseringsdokument som får beteckningen CEN Work- shop Agreement (CWA). En CWA är endast en överenskommelse mellan dem som deltagit i projektet men kan upphöjas till Europa- standard efter gängse omröstningsförfarande.

Också andra standardiseringsorganisationer har specifikationer av olika status. Exempelvis hänvisar IETF bara till en mindre del av sina standarder som ”standard” och den större delen som RFC (Request for comment).

Formell standard

Standarder som fastställs av erkända standardiseringsorganisationer hänvisar vi till som formell standard.

Erkänd standardiseringsorganisation

Med erkänd standardiseringsorganisation avser vi en organisation som utvecklar standarder och som erkänns på global, regional och nationell nivå. ISO, IEC och ITU erkänns på global nivå (av WTO), CEN, CENELEC och ETSI erkänns på europeisk nivå (av EU) och SIS, SEK och ITS erkänns i Sverige (av regeringen genom SSR). EU:s harmoniserade standarder är formella europeiska stan- darder. Alla dessa beskrivs vidare i kapitel 3.

Andra standardiseringsorganisationer

Med andra standardiseringsorganisationer menar vi sådana organisa- tioner som har till huvudsaklig uppgift att utveckla standarder, som har allmänt tillgängliga regler för sin verksamhet, som är interna- tionellt accepterade och som inte är formella standardiseringsorga- nisationer. Exempel på sådana standardiseringsorganisationer är IETF, W3C och OASIS. Synonymt kallas de också informella

SOU 2007:47

Allmänt om standardisering

standardiseringsorganisationer, vilket kan vara olyckligt eftersom de ofta är väl så formella i sin process med att ta fram standarder.

Informell standard

I brist på bättre benämning kallar vi standard som tas fram av dessa andra standardiseringsorganisationer för informell standard. Exem- pel på informella standarder är IP, som utvecklats av IETF, HTML som utvecklats av W3C, samt UBL som kommer från OASIS.

Obligatorisk standard

En grundläggande princip för standarder är att de är frivilliga. Undantaget är när en lag pekar på att en viss standard ska användas. Om de en standard utpekas i lag hänvisar vi till den som en obliga- torisk standard, oavsett om den i annat avseende är att betrakta som en formell standard eller en de facto-standard. Ibland förekommer i litteraturen om standarder begreppet de jure-standard. Använd- ningen av begreppet är dock inte entydigt och konsekvent, varför vi i utredningen inte använder det.

De facto-standard

De facto betyder i kraft av faktiska förhållanden och en de facto- standard ska förstås som en etablerad dominerande standard, inte att den behöver vara formellt fastställd. En de facto-standard kan vara en produkt som i kraft av sin dominans utgör norm, exempel- vis Microsoft Word för ordbehandling och VHS-standarden för videokassetter. Men en de facto-standard kan också vara en funk- tion hos en produkt som lever vidare och överförs till andra pro- dukter, exempelvis QWERTY-ordningen på tangentbordens bok- stäver.

Konsortier

Konsortier avser sammanslutningar av företag med syfte att delvis eller i huvudsak utveckla standarder eller profiler av standarder. Exempel på konsortier är Bluetooth SIG och Digital Living Net- work Alliance. Hit kan också möjligen räknas sådana sammanslut-

Allmänt om standardisering

SOU 2007:47

ningar av företag där medlemskap sker på inbjudan och i regel inte är öppen, exempelvis Blue-ray Disc Association. Sådana sam- manslutningars standarder kan i princip jämställas med företags- standarder och är bara delvis relevanta för utredningen.

Öppen programvara eller källkod

Det händer att användning av begreppen öppen standard respektive öppen programvara leder till viss förvirring. Det kan dels vara svårt att skilja det ena begreppet från de andra, dels vara svårt att veta vad för slags öppenhet som avses för standarden respektive program- met. Medan det som regel inte svårt att skilja på vad som är en standard mot vad som är en programvara, så blir det märkvärdigt oklart när dessa refereras till som öppna.

En standard är i grova drag en specifikation medan en program- vara är en datorbaserad kod, och öppen kan i grova drag förstås som motsatsen till proprietär i båda fallen, vilket medför ägande och möjlighet att licensiera ut rättigheter.

För utredningens vidkommande förstås öppen programvara och

öppen källkod som synonymt med det engelska Open Source Soft- ware. Vi gör alltså ingen distinktion mellan de båda uttrycken, men vi använder för enkelhetens skull genomgående begreppet öppen programvara. Utredningen ansluter sig därmed till Statskontorets definition från 2003 av öppen programvara som en programvara där källkoden är fritt tillgänglig och där programmet fritt kan använ- das, förändras, förbättras, kopieras och distribueras av alla.TPF5FPT

Öppet dokumentformat

Ett annat förekommande begrepp är öppet dokumentformat, vilket avser dokumentformat som baseras på formell standard.

Öppen standard och dess olika kriterier

Benämningen öppen standard förstås vara synonym med formell standard. Epitetet öppen anspelar antingen på att den formella stan- darden rent allmänt är mer öppen än en proprietär leverantörsstan- dard, eller på att formella standarder utvecklas och görs tillgängliga under principer av öppenhet.

5TP PT Öppen programvara, Statskontoret 2003:8.

SOU 2007:47

Allmänt om standardisering

Det ska också sägas att det finns avvikande meningar i vilka krav man ska ställa på en standard för att den ska kunna kallas öppen. I IT-propositionen från 2005 beskrivs öppen standard som:

en standard som i princip är möjlig för alla att ta del av och använda, som utvecklas i en allmänt accepterad och öppen miljö, som tas fram enligt en konsensusmodell samt offentliggörs, förvaltas och under- hålls.TPF6FPT

År 2005 uttalade Global Standards Collaboration (GSC) en gemen- sam uppfattning om vad som avses med öppen standard.TPF7FPT GSC är en sammanslutning av tolv standardiseringsorganisationer på kommunikationsområdet, och man menar att standarder är öppna om de möter följande kriterier (förkortat):

1.Standarden är utvecklad eller godtagen och upprätthållen i en kollaborativ process som bygger på konsensus.

2.Processen är transparent.

3.Materiellt påverkade och intresserade parter utesluts inte från processen.

4.Standarden bygger på en policy om RAND/FRAND (fair, reasonable and non-discriminatory) för immaterialrätter som kan tillåta licensiering utan kompensation.

5.Standarden publiceras och görs tillgänglig för allmänheten till rimlig eller ingen kostnad.

Den tyska förbundsregeringens arkitekturdokument SAGA anger ett antal minimikrav på öppenhet för att en standard ska komma ifråga för att rekommenderas i federala IT-lösningar. I SAGA ställs dock inga krav på utvecklingsprocessen utan endast på tillgänglig- het och användarrättigheter.

Inom den formella standardiseringen hänvisar många till följande definition, fastställd av Telecommunication Standardization Advi- sory Group (TSAG):

“Open Standards” are standards made available to the general public and are developed (or approved) and maintained via a collaborative and consensus driven process. “Open Standards” facilitate interoperability and data exchange among different products or services and are intended for widespread adoption.

6TP PT PropT . 2004/05:175.T

7TP PT www.gsc.etsi.org/.

Allmänt om standardisering

SOU 2007:47

Därefter beskrivs ett antal begrepp som påverkar öppenheten – reasonably balanced, due process, intellectual property rights (IPR), quality and level of detail, publicly available och on-going support.

Definitionerna kräver inte att det ska vara gratis att delta i utvecklingen av standarder men det ska vara öppet på kända villkor för alla intresserade att delta. Det kan också innebära att alla möten ska vara öppna och all information ska vara allmänt tillgänglig, antingen hela tiden eller efter fastslagna mognadsgrader. Det innebär också i regel att beslut tas när man skapat konsensus och att det finns ett röstningsförfarande för majoritetsbeslut.

En konsensusmodell utesluter inte att det finns ett röstnings- förfarande eller invändningar mot beslutet. Hur konsensus beskrivs och hanteras skiljer sig mellan olika organisationer. ISO/IEC defi- nierar konsensus enligt följande:

General agreement, characterized by the absence of sustained opposi- tion to substantial issues by any important part of the concerned inte- rests and by a process that involves seeking to take into account the views of all parties concerned and to reconcile any conflicting argu- ments.TPF8FPT

I formella såväl som informella standarder kan patent eller annan immaterialrätt (IPR) tillåtas ingå mot löfte från patentägaren att denna före omröstning redovisar sina krav på motprestationer och att den inte senare ändrar dessa. För att standarden ändå ska betraktas som öppen krävs vanligen att eventuella licenser görs till- gängliga på lika villkor och utan diskriminering, dvs. RAND/ FRAND-villkor. Definitioner av öppen standard för vanligen också med sig krav på rimliga eller inga avgifter för att någon ska få ta del av standarder i sammandrag eller i sin helhet, med all nödvändig dokumentering.

Olika organisationer hanterar restriktioner olika. Öppen är säl- lan detsamma som gratis, och kostnaderna hanteras ibland genom att man tar ut medlemsavgifter. Ibland bekostas standardiserings- arbetet genom att man tar betalt för publikationer, och ibland kos- tar det pengar att använda en standard. I samtliga fall minskar öppenheten i någon mening, men så länge villkoren är rimliga och icke-diskriminerande brukar restriktionen godtas.

Krav som anses vara nödvändiga för att standarder ska kunna användas tenderar att motsvara sådana som ställs på formella stan- darder, dvs. krav som specificeras av de erkända standardiserings-

8TP PT ISO/IEC Guide 2:1991.

SOU 2007:47

Allmänt om standardisering

organisationerna. Bland kravställarna finns dock avvikelser, exem- pelvis i form av krav på frånvaro av patent i standarder, kostnadsfri licensiering, kostnadsfritt publicerade dokument osv. Sådana posi- tioner är förknippade med några viktiga osäkerheter – dels kan de rättsliga konsekvenserna ge oönskade resultat och är svåra att för- utse, dels är effekterna på rådande affärsmodeller och på den befintliga marknaden för standarder och standardisering oklar.

2.2.2IT-standarder, en fråga om interoperabilitet

Det saknas övertygande definitioner som placerar begreppen inter- operabilitet, kompatibilitet, interkonnektivitet och integration i ett sammanhang, trots att de kan sägas höra till samma familj av begrepp som beskriver sammanhang i komplexa system.TPF9FPT Ett av de mer betydelsefulla skälen att standardisera informationsteknik är att man därmed säkerställer att olika delar kan samverka; fysiska apparater och sladdar ska fungera ihop och metoder för att över- föra data måste vara oberoende av vem som tillverkat apparaterna. Utöver det behövs samstämmighet i presentation av överförda data och t.o.m. viss tolkning av dem.

Den här förmågan till samverkan kallas i regel interkonnektivitet eller interoperabilitet. Av dessa båda är interoperabilitet det mer förekommande begreppet, vilket kan bero på att interkonnektivitet uppfattas som att det bara handlar om att sladdar ska passa ihop medan interoperabilitet antyder en generisk funktion som svar på krav på en mer sammansatt samverkan av begrepp, tjänster och verksamheter. Interkonnektivitet kan förstås som en nödvändig men inte tillräcklig förutsättning, för kompatibilitet, och kompati- bilitet kan ses som en motsvarande förutsättning för interoperabi- litet.

Man kan säga att interoperabilitet är en nödvändig förutsättning för fungerande informationsteknik, och för interoperabilitet är standarder en nödvändig, men inte tillräcklig, förutsättning.

CEN definierar interoperabilitet enligt följande:

a state which exists between two application entities when, with regard to a specific task, one application entity can accept data from the other

9TP PT I den mån dessa begrepp hör till en familj kan dess anfader kanske beskrivas som John Zachman och det ramverk för systemutveckling som han presenterade 1987 (A framework for information systems architecture. IBM systems journal Vol 26, no. 3, 1987).

Allmänt om standardisering

SOU 2007:47

and perform that task in an appropriate and satisfactory manner without the need for extra operator intervention.TPF10FPT

Lite mindre ordrikt definierar ISO och IEEE interoperabilitet som:

the ability of two or more systems to exchange data, and to mutually use the information that has been exchanged.

För proprietära system av det större slaget – där kanske de mest framträdande exemplen är de omfattande affärshanteringssystem som många företag använder (SAP, Movex och liknande) – är inte interoperabilitet en utmaning på samma sätt som det är en utma- ning för öppna system. Det proprietära systemet är inte heterogent och interoperabilitet är därför inte aktuellt. För dessa är i stället utmaningen integration – av verksamheter, mål, mått och metoder medelst ett bra införande och nyttiggörande av datorsystemet. För det öppna systemet kan integration också vara ett åtråvärt mål, men då är interoperabilitet en förutsättning som först måste lösas.

Inom den offentliga förvaltningen är interoperabilitet en av för- utsättningarna för ett fungerande informationsutbyte.

För att betona att utmaningen rör ett öppet Internet snarare än mer slutna proprietära system, beskriver vi interoperabilitet som förmågan till samordning i heterogena system bestående av flera lokala nätverk.

Också standardiseringsorganisationerna har definitioner av vad man avser med interoperabilitet, och mycket energi har lagts ner på att definiera begreppet och beskriva vad det består av. En före- kommande struktur är att skilja på teknisk interoperabilitet, seman- tisk interoperabilitet och organisatorisk interoperabilitet. När det finns behov av ytterligare preciseringar kan man däremellan lägga in syntaktisk interoperabilitet och rättslig interoperabilitet.

I en artikel i tidskriften Öppna systemTPF11FPT ger författarna en ännu mer detaljerade hierarki av interoperabilitet: fysisk (hårdvara, sig- naler, bitar), empirisk (koder, brus), syntaktisk (data, protokoll), semantisk (signifikans, tolkning), pragmatisk (information, förstå- else) eller social/kulturell (kunskap, normer) interoprabilitet.

Ramverket för interoperabilitet kan sägas bestå av standarder eller riktlinjer som beskriver hur organisationer eller funktioner inom en organisation bestämt sig för att arbeta tillsammans. Det betyder bl.a. att man måste säkerställa att man är överens om hur

10TP PT CEN Report CR 14300:1999.

11TP PT Arkitektursamverkan mellan myndigheter, nr 2, 2005.

SOU 2007:47

Allmänt om standardisering

betydelsen av specifika data ska tolkas, dvs. att man kan skapa semantisk interoperabilitet. Exempel på sådant är att man enats om att begreppet pris avser enhetspris och inte faktiskt pris (eller vice versa).

I arbetet att uppdatera European Interoperability Framework

(EIF) 1.0 till EIF 2.0 i EU-programmet IDABC, har Gartner före- dragit att man skiljer ut interoperabilitet för teknik och system som en fråga om interkonnektivitet. Teknik innefattar där hårdvara (t.ex. dator eller lagring), transport av bitar (t.ex. WAN, WiFi eller LAN), överföring av meddelanden (t.ex. HTTPS eller FTP), och vidareföring (transfer) av meddelanden (t.ex. IP eller IPv6).

Till lagret system räknar Gartner sådant som kan räknas som data, applikationer och presentation. För kommunikation ingår meddelandeinteraktion (t.ex. SOAP eller REST) och meddelande- syntax (t.ex. CSV, MIME, EDI eller XML). Dessa områden, som Gartner hänvisar till som en fråga om interkonnektivitet, kallas ibland lite förenklat för pipes and wires. De europeiska standardise- ringsorganisationerna, särskilt ETSI, har varit mest aktiva på dessa områden.TPF12FPT

Över lagren för teknik och system lägger Gartner ett lager som omväxlande kallats organisation och business. Medan de två föregå- ende lagren, teknik och system, uppfattas vara en fråga för inter- konnektivitet, beskrivs detta lager som ett område för interopera- bilitet. Till detta lager förs semantik (till vilket man räknar infor- mation och process) samt organisation. Kommunikation på denna nivå anses bestå av komponenterna meddelandesemantik (t.ex. X12, EDIFACT, ebXML eller XBRL), strategisk inriktningen på (alignment) affärsprocesser och organisation.

Semantisk interoperabilitet har på Europanivå i mindre utsträck- ning varit integrerad i ESO:ernas arbetsprogram, medan de i stället återfinns i olika sektoriella initiativ TPF13FPTsom e-hälsa.TPF14FPT

För att uppnå önskvärd interoperabilitet och samtidigt stimulera konkurrens och utveckling kan det behövas väl avvägd lagstiftning eller riktlinjer. I enlighet med det föreslår ett annat europeiskt pro- gram, MODINIS, governance som ett lager för interoperabilitet, utöver områdena teknik, semantik och organisation/business.

12TP PT Commission staff working document, Follow-up of the Recommendations of the, Task Force on ICT Sector Competitiveness and ICT Uptake.

13TP PT CEN e-Business Interoperability platform.

14TP PT CEN:s TC 251.

Allmänt om standardisering

SOU 2007:47

Den flyende gränsen mellan teknik, programvara, verksamhet, mål och användarnas beteende gör det svårt att dra fasta skiljelinjer mellan vad som är interkonnektivitet, kompatibilitet, interoperabi- litet respektive integration. Klart är dock att krav på interoperabi- litet och utvecklingen av inom-, och mellanstatliga förvaltnings- tjänster, medför diverse utmaningar för ett öppet och heterogent Internet.

Utmaningar

Standardisering för ökad interoperabilitet är inte okomplicerat och innebär flera utmaningar.

Kanske den mest centrala utmaningen är att ökade krav på inter- operabilitet på allt högre nivåer av komplexitet också väcker ökad risk att misslyckas. Interoperabilitet som, förutom teknik, också inkluderar semantiska ensningar av verksamheter, processer och mål, är ingen enkel sak att åstadkomma. Utfallet av ett sådant inte- roperabilitetsarbete är stort och viktigt, men det är också en kost- sam och svår sak att åstadkomma, vilket man bör vara medveten om.

Interoperabilitet på högre nivåer berör också frågor som i grun- den är kulturella och sociala med tydliga skillnader mellan EU:s medlemsstater. Begreppsstandarder är synnerligen politiska, efter- som de handlar om att ensa förvaltningsprocesser mellan länder och traditioner. Tekniska standarder utpekas ibland för att vara ett uttryck för den verkliga forskningsfronten inom ett område. Möj- ligen är en parallell till det en internationell begreppsstandard som är ett uttryck för det för närvarande politiskt möjliga.

Ytterligare en utmaning är att begreppsstandarder kan medföra andra krav på dynamik och kontinuerlig uppdatering av både bety- delseglidningar och språklig utveckling.

Standardisering för interoperabilitet berör dessutom delvis andra områden än traditionell standardisering, om man kan tala om en sådan, med delvis andra aktörer och sakägare. Frågan om vem som ska finansiera och dra fördelarna av standardiseringsarbetet och påföljande standarder återstår också att besvara.

Några ytterligare utmaningar är följande:

•Den snabba utvecklingen av teknik och av användares förvänt- ningar är ännu en utmaning.

SOU 2007:47

Allmänt om standardisering

•Konsensusskapandet drivs ännu längre, med en ytterligare skärp- ning av redan existerande problem som följd,

•Användningen av öppen programvara ökar, där interoperabili- tet kan tänkas ha väldigt annorlunda förutsättningar.

Inom EU erbjuds offentliga medel till de europeiska standardise- ringsorganisationerna som stöd till aktiviteter som ska pröva stan- darders interoperabilitet, genom praktiska s.k. plugtests och lik- nande aktiviteter. Andra än formella organisationer har dock inte möjlighet att söka dessa medel, vilket kan snedvrida marknaden.

Profilering av standarder

Standardiseringsorganisationer samverkar med varandra och drar nytta av standarder som utvecklats av andra och man för samman flera standarder i ett och samma sammanhang i vad som kallas pro- filer. European Information and Communication Technology Indu- stry Association (EICTA) är en europeisk organisation för ICT- branschen som har behandlat frågan om profilering av standarder. Profilering är ett växande område och utgör en stor del av exem- pelvis ETSI:s arbete.

Profileringsarbetet är grannlaga, eftersom komplexiteten växer när flera standarder ska samverka i sammanhang som inte alltid kan förutses. EICTA pekar på tre faser i profilering som alla är av bety- delse för att garantera interoperabilitet, vilket är en av profilernas verkliga poänger:

1.val av standarder när flera alternativa standarder är möjliga

2.strategi för komponering av standarder och specificering av ett litet antal kombinationer som motsvarar kraven i punkt 1.

3.Urval av alternativa egenskaper, som tar hänsyn till effekten av att flera standarder i kombination ökar antalet alternativ för egenskaper.

2.2.3Certifiering: bedömning av överensstämmelse med standard

En standard är, som tidigare nämnts, i grunden en överenskom- melse uttryckt i en specifikation om hur någonting ska vara beskaffat i något visst avseende. En viktig fråga blir då hur man kan avgöra (verifiera) att en vara eller tjänst som uppges uppfylla vad

Allmänt om standardisering

SOU 2007:47

som står i specifikationen verkligen gör det. En sådan verifiering har på svenska fått namnet bedömning av överensstämmelse, vilket är en översättning från engelskans conformity assessment.

Många standarder har ett avsnitt som anger kriterier för när standarden ska vara uppfylld, och beroende på vad standarderna handlar om, kan kriterierna vara mer eller mindre detaljerade. Det finns t.ex. standarder för testmetoder inom ett visst område, exem- pelvis användbarhet hos konsumentelektronik. För standarder om hälsa och säkerhet är det i stället avgörande att det finns fastställda mät- och testmetoder kopplade till kriterierna.

En central fråga för tilltron till samt tidsåtgången och kostna- derna för bedömning av överensstämmelse är vem som gör bedöm- ningen. Det kan vara köparen, tillverkaren eller en tredje, obero- ende, part. Köparen är naturligtvis fri att göra hur den vill för att före köpet övertyga sig om att en produkt överensstämmer med standard. Tillverkaren kan å sin sida göra en s.k. egendeklaration (supplier’s declaration of conformity), där denne intygar och specifi- cerar i vilken grad produkten överensstämmer med en given upp- sättning kriterier.

Kriterierna kan finnas i någon typ av standard. I Sverige finns t.ex. IT-företagens miljödeklaration, som är en egendeklaration mot en specifikation är överenskommen mellan IT-företagen och ett antal kommuner. Ett annat exempel är Common Industry For- mat (ISO/IEC 23025), som är en egendeklaration av användbarhet hos programvaror. Det finns därutöver en standard (ISO/IEC 17050) som ställer vissa övergripande krav på egendeklarationer och på dem som utfärdar dem.

I Svenska Miljöinstitutets rapport Ställ verifierbara miljökrav skiljer man på företagsintyg, där företaget bestyrker på heder och samvete att ställda krav uppfylls, och egendeklaration, där företaget därutöver öppet tillhandahåller de uppgifter som behövs för att någon utomstående ska kunna göra en verifiering.

Miljöinstitutet använder beteckningen andrapartsdeklaration när en kund kontrollerar sin leverantör, vanligen när en leverantör kontrollerar sin underleverantör.

När en oberoende part gör bedömningen brukar man tala om en tredjepartscertifiering. Ett certifikat är i detta sammanhang ett intyg utfärdat av en därtill behörig tredje part.

En egendeklaration är inte ett certifikat i denna mening, inte heller de intyg eller diplom som utdelas t.ex. till personer som genomgått en viss projektledarutbildning, och en certifiering kan

SOU 2007:47

Allmänt om standardisering

vara frivillig eller obligatorisk. För obligatoriska certifieringar ska bedömaren vara ackrediterad, dvs. fått behörighet att utfärda intyg om överensstämmelse (certifikat). I Sverige utfärdas sådana ackre- diteringar av SWEDAC. Allmänna krav som ska uppfyllas för att bli ackrediterad för certifiering av produkter anges i standarden EN 45011 General requirements for bodies operating product certification systems. Begreppet produkter innefattar här både varor och tjänster.

Utredningsförslagen återkommer i kapitel 13 med överväganden och förslag när det gäller allmänna rekommendationer om standar- der i offentlig förvaltning.

3Allmänt om standardiserings- organisationer och den svenska standardiseringsstrukturen

3.1Inledning

Det finns ingen allmänt accepterad hierarki eller ordning av olika standardutvecklande organisationer. En historisk beskrivning kan dock ge vägledning till någon form av ordning.TPF1FPT

De standardutvecklande organisationerna tar sin början om- kring 1880 då flera handelsorganisationer, särskilt i USA, började utveckla standarder för sina verksamhetsområden. IEEE är ett exempel på en organisation med sådana rötter.

Standarder visade sig vara en viktig nyttighet i framväxten av industrisamhället, och runt sekelskiftet tillkom organisationer med standardisering som sitt enda syfte – en del med internationella ambitioner, som ISO och ITU, andra med nationen som verksam- hetsplats, som SIS i Sverige.

Konsortier är en ganska sentida företeelse; den egentliga till- växten av industrigemensamma ambitioner som uttrycktes i kon- sortieform skedde först i slutet av 1980-talet. Inom områden som data/IT upplevdes en ökad utvecklingshastighet, som en del inte tyckte att de etablerade internationella organisationerna hängde med i .

Förutom att konsortierna tycktes vara snabbare, fyllde de också andra behov hos marknaden, som i sin tur ökade insyn och kontroll när företagen själva kunde besluta om hur och vad som skulle släp- pas igenom.

1TP PT Uppdelningen bygger på främst Cargill & Bolin, (2006) Study on the specific policy needs for ICT standardisation. 1st Interim Report, Annex: Field expert position papers, Brussels, oktober 2006.

Allmänt om standardiseringsorganisationer och den svenska standardiseringsstrukturen SOU 2007:47

Ett sätt att sortera standardiseringsorganisationerna skulle alltså kunna vara:

•handelsorganisationer (exempelvis IEEE)

•formella organisationer (exempelvis ISO)

•konsortier (exempelvis Bluetooth SIG).

Vid en sådan uppdelning saknas dock en viktig grupp standardise- ringsorganisationer som tillkommit de senaste decennierna och som inte kan beskrivas som något av ovanstående, nämligen organi- sationer med internationell närvaro och som utvecklar standarder för teknik som är viktig i alla länder, exempelvis IETF för Internet och W3C för webben. Dessa är mer lika formella standardiserings- organisationer än konsortier, eftersom de inte är sammanslutningar av företag och ofta har formella principer för att garantera öppen- het, och de är inte handelsorganisationer. Å andra sidan är de verk- samma på begränsade områden och bortom nationalstaters insyn och kontroll, likt konsortier.

Vårt förslag är att förekommande standardiseringsorganisatio- ner skiljs åt på det sätt som finns beskrivet i kapitel 2:

•Erkända standardiseringsorganisationer, dvs. sådana organisatio- ner som erkänns av forum som EU och WTO och som ut- vecklar formella standarder.

•Andra standardiseringsorganisationer, dvs. sådana organisationer som har till sin huvudsakliga uppgift att utveckla standarder, som har allmänt tillgängliga regler för sin verksamhet, som i kraft av sin historia är internationellt accepterade och som inte är formella standardiseringsorganisationer.

•Konsortier, dvs. sammanslutningar av företag med syfte att del- vis eller i huvudsak utveckla standarder eller profiler av stan- darder.

På IT-området utvecklas viktiga standarder av alla dessa organisa- tionstyper. Apparaternas elektriska komponenter standardiseras av IEC medan deras andra komponenter och funktioner standardise- ras av ISO. Kommunikationer standardiseras av t.ex. ITU, IEEE, IETF och ett antal konsortier, regionalt av ANSI, ETSI m.fl. och i Sverige vid behov av ITS.

SOU 2007:47 Allmänt om standardiseringsorganisationer och den svenska standardiseringsstrukturen

3.2Erkända standardiseringsorganisationerTPF2FPT

Anledningen till att WTO och EU har pekat ut några organisatio- ner som man ger särskild status för standardisering är global handel respektive europeisk handel i kombination med etablerandet av en inre marknad för EU:s del.

3.2.1Internationell handel

När diskussionerna i början av 1900-talet startade i Sverige om att bilda svenska standardiseringsorganisationer var några industrifö- retag som var engagerade i export de mest pådrivande. Förutom att standardisering gynnade producenterna insåg man nämligen även de möjligheter som standardisering erbjöd vid internationell han- del. De globala standardiseringsorganisationerna bildades strax efter en del nationella organisationer kommit i gång.

För att hävda sig i konkurrensen krävs inte bara billiga produk- ter utan även i allt högre grad produkter som möter konsumenter- nas ökade krav på funktion, säkerhet och miljöhänsyn. Arbets- kraftens allt högre krav på god arbetsmiljö bidrar också till utveck- ling av säker och ergonomisk utrustning. Också samhällsorgan utformar regler som ställer tvingande krav i dessa avseenden. Även dessa typer av krav kan formuleras på internationell nivå. Gemen- samma eller likalydande standarder i olika länder och regioner ska- par större marknader, vilket i sin tur är av stort intresse för inter- nationellt inriktat näringsliv.

WTO

Samhällsorganen kan ha ett handelspolitiskt syfte med global och regional standardisering, förutom intresset att värna hälsa och säkerhet för medborgarna. Det går ut på att bidra till en harmonisk utveckling och tillväxt av världshandeln. Detta kan uppnås genom att stater avvecklar befintliga tekniska handelshinder och motver- kar uppkomsten av nya. Tekniska handelshinder är hinder som till- verkare och leverantörer möter vid mellanstatlig handel genom att varor vid import måste anpassas till nationella särkrav som kan fin- nas i lagar, föreskrifter och standarder. Den inhemska industrin

2TP PT Den större delen av detta avsnitt bygger på Miljöhänsyn i standarder (SOU 1997:173).

Allmänt om standardiseringsorganisationer och den svenska standardiseringsstrukturen SOU 2007:47

anpassar sig i första hand till det egna landets regler och möter därför svårigheter vid export till andra länder som har avvikande regler. Om det dessutom är flera länder som är intressanta för lan- dets industri att idka handel med, och dessa i sin tur har olika tek- niska regler sinsemellan, blir företagens svårigheter mycket stora.

Den globala handelsöverenskommelsen inom WTO säger att parterna, när det finns behov av tekniska föreskrifter eller standar- der och det finns relevanta internationella standarder, ska använda dessa som grundval. Den del av WTO-avtalet som berörs här kallas TBT-avtalet (Technical Barriers to Trade), och de organisationer man pekar ut är bla ISO, IEC och ITU.

Det är en förutsättning för standarder som ska fungera lika överallt (globala standarder) att det finns internationella överens- kommelser om vad som konstituerar en standard samt hur standar- derna ska beredas och tillämpas. Sådant inflytande på standarders tillkomst har WTO:s code of good practice som beskriver kriterier för en acceptabel standardiseringsprocess. Nationella standardise- ringsorganisationer (SIS, SEK och ITS i Sverige) ska rapportera till WTO att man förbinder sig följa denna praxis mot att WTO och EU godkänner organisationen som en formell standardiseringsor- ganisation. Också regionala standardiseringsorganisationer kan göra detta, vilket CEN, CENELEC och ETSI gör.

Reglerna föreskriver att standardiseringsorganisationerna regel- bundet ska rapportera till WTO vilka standarder som för närva- rande bereds i olika stadier.

EU:s inre marknad

En viktig distinktion i sammanhanget är att tekniska föreskrifter definieras som tvingande regler och att standarder är regler vars till- lämpning är frivillig. Inom Europa har man också tidigt arbetat med integration mellan tekniska föreskrifter och standarder. När man tog beslut som behövdes för att effektivisera EG:s harmonise- ringsarbete genom resolutionen om en ny harmoniseringsmetod – The New Approach – slogs standardernas roll i sammanhanget fast. (En mer ingående beskrivning av metoden återfinns i kapitel 4.2.)

EU (EG) strävar efter att genom direktiv, som alla medlemslän- der måste anpassa sig till, harmonisera erforderliga lagar och före- skrifter, så att man skapar en fri inre marknad. Denna fria marknad ska omfatta fri rörlighet för varor, tjänster, människor och kapital.

SOU 2007:47 Allmänt om standardiseringsorganisationer och den svenska standardiseringsstrukturen

Ursprungligen innebar harmoniseringen att direktiven innehöll alla de tekniska detaljer som krävdes för varor, för att direktiven skulle accepteras av alla medlemsländer. Av flera skäl blev detta arbete mycket långsamt, och i många fall blev de tekniska detaljerna för- åldrade innan direktivet blev antaget. Den nya harmoniseringsme- toden innebär att direktiven innehåller allmänt formulerade krav på åtgärder så att produkten är säker ur användarens synpunkt samt åtgärder till skydd för hälsa och miljö. De nödvändiga tekniska detaljerna utformas i kompletterande harmoniserade standarder. En harmoniserad standard har i allmänhet utarbetats på direkt uppdrag av kommissionen i s.k. mandat.

I likhet med WTO:s code of good practice, kräver direktivet 98/34/EG att de nationella standardiseringsorganisationerna bland medlemsländerna i EU och EFTA ska informera varandra och kommissionen om de tekniska standarder och tekniska föreskrifter som relaterar till produkter eller tjänster som befinner sig under utveckling. Syftet med informationsförfarandet är att garantera att standarder som utarbetas inte kolliderar på EU:s inre marknad.

Direktivet listar också de nationella kontaktpunkterna för tek- niska föreskrifter och för standarder. Svenska kontaktpunkter utses av regeringen; för den del som rör tekniska föreskrifter har man pekat ut Kommerskollegium som kontaktpunkt. För den del som rör standarder har regeringen anmält SIS, SEK och ITS som kon- taktpunkter

3.2.2Global standardisering inom ISO, IEC och ITU

På internationell global nivå bedrivs standardiseringsarbetet i huvudsak inom två privaträttsliga organisationer – International Electrotechnical Commission (IEC) och International Organization for Standardization (ISO).

IEC svarar för det globala standardiseringsarbetet inom det elektrotekniska området. IEC etablerades redan 1906, pga. att elektrisk energi tidigt kom att distribueras över landgränser samti- digt som säkerheten i hanteringen krävde stränga säkerhetsbe- stämmelser.

ISO svarar för den globala standardiseringen inom alla teknik- områden utanför dels det elektrotekniska området, dels områdena telekommunikation och informationsteknik. ISO:s föregångare

International Standards Association (ISA) bildades 1926. ISA upp-

Allmänt om standardiseringsorganisationer och den svenska standardiseringsstrukturen SOU 2007:47

hörde att fungera under andra världskriget, och ISO bildades 1945 och övertog sin föregångares verksamhet.

För verksamheterna inom telekommunikation finns ett samar- bete mellan ländernas teleförvaltningar i International Telecommu- nication Union (ITU), som är ett FN-organ och som i huvudsak ägnar sig åt internationell standardisering för tele- och radiokom- munikation. Två organ har sedan bildats inom ramen för ITU, dels

Telecommunication Standardisation (ITU-T), dels Radiocommuni- cation Standardisation (ITU-R).

Global standardisering för informationstekniken sker inom en gemensam kommitté för IEC och ISO – Joint Technical Committee number 1 (JTC 1). Man tog 1987 till denna lösning därför att IT ingår som komponent i många standardiseringsområden inom IEC såväl som ISO. JTC 1 har också ett väl utvecklat samarbete med ITU-T.

3.2.3Europeisk standardisering inom CEN, CENELEC och ETSI

Standardiseringen i Europa och EFTA bedrivs inom tre organ:

•European Committee for Standardisation (CEN)

•European Committee for Electrotechnical Standardisation

(CENELEC)

•European Telecommunications Standards Institute (ETSI).

På samma sätt som ISO, IEC och ITU på det globala planet, ansva- rar CEN, CENELEC och ETSI för ungefär motsvarande delar av standardiseringsområdet på europeiskt plan. När handeln över gränserna i Europa började komma i gång på allvar efter kriget noterade man att handeln ofta försvårades av de olikheter som fanns bl.a. vad gäller ländernas standarder. I början av 1960-talet bildade därför de flesta nationella standardiseringsorganen i Väst- europa gemensamt två samarbetsorgan, CEN och CENELEC, med målet att åstadkomma gemensamma standarder för medlemmarna. Genom de behov som senare tillkommit inom främst telekommu- nikationsområdet bildades 1987 ett tredje europeiskt standardise- ringsorgan – ETSI.

För att få till stånd gemensamma (eller åtminstone likalydande) standarder bland medlemsorganisationerna, och därmed i EU:s medlemsländer, ingår i medlemsvillkoren för respektive standardi-

SOU 2007:47 Allmänt om standardiseringsorganisationer och den svenska standardiseringsstrukturen

seringsorganisation att ett medlemsland förbinder sig att anta de standarder som fastställs enligt det europeiska standardiseringsor- ganets regler samt att motstridig standard upphävs. Det innebär för Sveriges del att SIS/SEK ska anpassa svenska standarder efter det som antas av CEN/CENELEC. För ETSI:s område ser det lite annorlunda ut; där blir ETSI-standarder antagna som svenska stan- darder av ITS med automatik, utan att ens översättas till svenska. När europeiska standarder fastställs av de nationella standardise- ringsorganisationerna sker detta normalt per automatik. Motsva- rande gäller inte för ISO/IEC.

De två organisationerna CEN och CENELEC har sina säten i Bryssel. De arbetar båda efter gemensamma regler, CEN/ CENELEC Internal Regulations. Arbetsfördelningen mellan dem är ungefär den som gäller mellan ISO och IEC. Det innebär att CEN ägnar sig åt den standardisering som ligger utanför det elektrotekniska området med undantag för telekommunikation medan CENELEC i huvudsak ägnar sig åt uppgifter inom det elektrotekniska området. CEN:s och CENELEC:s nuvarande stora uppgifter är att på Europeiska kommissionens uppdrag ta fram de standarder som behövs för att den inre marknaden i Europa ska kunna fungera som avsett.

Man fann det så småningom nödvändigt att också bilda ett sär- skilt organ för standardiseringen inom teleområdet, och 1987 grundades ETSI.

För CEN och CENELEC såväl som för ISO och IEC gäller att medlemskapet är nationellt vilket innebär att man i allmänhet har ett organ per land som medlem. ETSI och ITU har däremot annorlunda medlemsstrukturer, där ETSI är en intresseorganisation där medlemmarna har långtgående inflytande och ger en avsevärt bredare representation än att bara omfatta EU och EFTA. Med- lemskretsen i ETSI och ITU utgörs dels av nationella standardise- ringsorgan, dels av industrier, teleoperatörer och IT-företag från länder också utanför EU och EFTA.

Allmänt om standardiseringsorganisationer och den svenska standardiseringsstrukturen SOU 2007:47

Om det finns avvikelser i nationella standarder jämfört med den europeiska standarden (s.k. A-avvikelser) ska CEN meddelas.TPF3FPT Sådana avvikelser motiveras av att svensk nationell lagstiftning för- hindrar att delar av den europeiska standarden för svenska villkor genomförs. Avvikelserna är dock endast tillåtna på det icke-harmo- niserade lagstiftningsområdet.TPF4FPT

ICT Standardisation Board

ICT Standardisation Board (ICTSB) är ett europeiskt initiativ till samverkan mellan dels de tre formella europeiska standardiserings- organisationerna CEN, CENELEC och ETSI, dels företrädare för europeiska konsumenter (ANEC), småföretagare (Normapme), Kommissionen samt ett antal konsortier (för närvarande 15) som är aktiva inom IKT-standardisering och som dessutom har närvaro i Europa.

Syftet med ICTSB är att man ska samverka inom utvalda områ- den (för närvarande inom ramen för sex arbetsgrupper) att utgöra en kommunikationspartner till kommissionen och att i övrigt verka för en mer effektiv standardiseringsprocess på IT-området.

Ledning och arbetsgrupper träffas kvartalsvis.

3TP PT Om det i ett förslag till europeisk standard som är under utarbetande (prEN) finns krav som inte är förenliga med föreskrift i svensk lagstiftning (lag, förordning eller myndighets- författning) ska berörd föreskrivande myndighet ompröva föreskriften och undersöka om den kan ändras så att den blir förenlig med kravet i prEN. Anser myndigheten att före- skriften inte kan ändras skall myndigheten anmoda SIS att hos CEN begära att en svensk A- avvikelse förs in i en bilaga i EN. Innan SIS vidarebefordrar en sådan begäran ska SIS förvissa sig om att myndighetens krav återfinns i en relevant svensk föreskrift. En begäran om svensk A-avvikelse får inte grundas på t.ex. ett allmänt råd eller rekommendation från myndighetens sida. Berörd teknisk kommitté inom CEN har att ta ställning till om begärd nationell A- avvikelse är relevant med hänsyn till standardens innehåll. Om så är fallet ska berörd teknisk kommitté införa den nationella A-avvikelsen som en bilaga i slutförslaget till standarden samt i förordet hänvisa till den. Det finns, för övrigt, också B-avvikelser vilka är sådana avvikelser som inte har sitt upphov i föreskrift utan baseras på historiska eller klimat- relaterade skäl.

4TP PT Ambitionen är att sådana nationella avvikelser ska arbetas bort genom att hindrande regleringar med tiden anpassas. I realiteten visar det sig att nationella avvikelser skapar hinder för den inre marknaden och lever kvar längre än önskvärt från den inre marknadens synpunkt.

SOU 2007:47 Allmänt om standardiseringsorganisationer och den svenska standardiseringsstrukturen

CEN Workshop Agreements – ett snabbspår för formella IT- standarder

Information society standardisation system (ISSS), tillkom inom CEN 1997 för deras IKT-relaterade aktiviteter. Inom gruppen arbetar man med workshops för att snabbare och mer effektivt möta marknadens krav på utveckling av formella IT-standarder. Så kallade CEN Workshop Agreements (CWA), används framför allt på IT-området men kan också tillämpas på andra områden. Medan bara länder inom EU och EFTA är medlemmar i CEN, kan andra, även företag, organisationer och andra standardiseringskonsortier, delta i CEN:s workshop-arbete.

Se också kapitel 4 om det svenska deltagandet i CEN work- shops.

3.2.4Standardiseringsorganisationer i Sverige

Sveriges standardiseringsråd (SSR)

Huvudmannaskapet för standardiseringsverksamheten i Sverige bedrivs sedan 2001 genom Sveriges standardiseringsråd (SSR). Standardiseringsverksamheten utförs av svenska standardiserings- organ som erkänns av SSR med ansvarsområden motsvarande verksamheterna i de internationella och europeiska organisatio- nerna. Före 2001 var Standardiseringen i Sverige (SIS) huvudman och hade då auktoriserat åtta standardiseringsorgan. När den nya strukturen etablerades 2000–2001 blev SSR huvudman, medan SIS i en ny form – Swedish Standards Institute blev en av de tre standar- diseringsorganisationerna. De övriga två är Informationstekniska standardiseringen (ITS) och Svensk Elstandard (SEK). Dessa tre beskrivs nedan.

Av de ursprungliga åtta standardiseringsorganen blev sex stycken en del av det nya SIS.

Någon lag eller annan författning som reglerar standardise- ringen finns inte i Sverige. Medlemmarna i SSR, (staten, Lands- tingsförbundet, Svenska Kommunförbundet, Svenskt Näringsliv, Svensk Handel och Svenska Bankföreningen), har genom SSR:s stadgar enats om ändamål och riktlinjer för SSR.TPF5FPT Regeringen och Svenskt Näringsliv utser vardera sex av sexton ledamöter i full-

5TP PT Stadgar för SSR – Sveriges standardiseringsråd antagna den 27 juni 2000 samt den 28 februari 2001 och www.svenskstandard.se.

Allmänt om standardiseringsorganisationer och den svenska standardiseringsstrukturen SOU 2007:47

mäktige. De övriga kommer från de organisationer som nämns

ovan.TPF6FPT

Enligt stadgarna har SSR till uppgift att främja svensk standardi- sering och verka för att fastställda standarder används. Vidare har SSR som uppgift att besluta om ordning för fastställande, upphä- vande och registrering av svensk standard samt utse eller erkänna standardiseringsorgan i enlighet med de internationella och euro- peiska regelverken. Dessutom äger SSR rätten till SIS varumärke och ansvarar också för nyttjande och förvaltning av SIS fond. SSR har också till uppgift att ansöka om uppdragsmedel hos regeringen.

Staten ger årligen bidrag till standardiseringen på ca 30 miljoner kronor.TPF7FPT Medlen disponeras av Kammarkollegiet som betalar ut medlen till SSR efter rekvisition.TPF8FPT Bidraget motsvarar ca 10 procent av den svenska standardiseringsorganisationens kostnader för stan- dardiseringsarbetet. Av dessa medel fördelar SSR ca 23 miljoner kronor till SIS, och 2,5 miljoner kronor till Konsumentrådet, som därifrån fördelas som stöd till diverse intresseorganisationers delta- gande i standardiseringsprojekt i huvudsak inom SIS. Övriga delar fördelas till ITS och SEK.

Den största delen av bidraget är avsett för att bidra till standar- diseringsorganisationens basuppgifter och olika standardiserings- projekt på mandat (dvs. uppdrag från Europeiska kommissionen till de europeiska standardiseringsorganen att ta fram europeiska standarder). Bland annat ska standardiseringsorganisationen full- göra de uppgifter som åligger de nationella standardiseringsorganen enligt Europaparlamentets och rådets direktiv 98/34/EG av den 22 juni 1998 om ett informationsförfarande beträffande tekniska stan- darder och föreskrifter samt de uppgifter som följer av WHO:s avtal om tekniska handelshinder.

Standardiseringsoganisationens uppgift är att tillvarata svenska intressen i det europeiska och internationella standardiseringsar- betet. När det gäller standardiseringsprojekt på mandat ska sådana projekt som har anknytning till statens ansvar för medborgarnas skydd för liv, hälsa, miljö och egendom, dvs. den myndighetsregle- rade sfären där medlemsstaterna och kommissionen kan utöva ini- tiativ. Medlen är också avsedda att främja användarintresset genom ersättning till ideella organisationer för deras avgifter för medver- kan i svenskt standardiseringsarbete.

6TP PT t.ex. Regeringsbeslut 2006-05-11, dnr UD2006/22351/EIMx.

7TP PT Anslaget 39:6 Bidrag till standardisering, anslagsposten 1 Sveriges Standardiseringsråd.

8TP PT Regleringsbrev till Kammarkollegiet, 2006-02-02, dnr UD2006/3540/EIM.

SOU 2007:47 Allmänt om standardiseringsorganisationer och den svenska standardiseringsstrukturen

Dessutom får bidraget användas för drift av ett IT-baserat register över gällande svensk standard. Registret ska vara tillgäng- ligt för allmänheten utan kostnad.TPF9FPT

SSR är också huvudman för SSR Konsumentråd.TPF10FPT Konsument- rådet bildades 1990 för att slå vakt om användarnas inflytande över standardiseringsarbetet och fördela en del av regeringens ekono- miska bidrag till SSR. Pengarna används till att stödja användare med ekonomiska bidrag, utbildning och information. Enligt reger- ingsuppdraget ska SSR Konsumentråd främja inflytandet från ide- ella organisationer, som konsument-, arbetstagar- och miljöorgani- sationer.

I SSR Konsumentråd finns representanter för Handisam, Kon- sumentverket, Sveriges Konsumenter, Svenska Naturskyddsföre- ningen, LO och TCO.

Nämnden för svensk standard

Nämnden för svensk standard är ett organ inom SSR. Ordföranden utses av SSR, och ledamöterna är de verkställande direktörerna från de tre nationella standardiseringsorganisationerna. Den nuvarande ordföranden kommer från Kommerskollegium. Nämndens uppgift är att fungera som säkerhetsspärr mot nationella standarder som kan skapa handelshinder. När europeiska standarder fastställs av de nationella standardiseringsorganisationerna sker detta normalt per automatik.

När en rent svensk nationell standard planeras måste ett förfa- rande i enlighet med 98/34-direktivet följas, vilket innebär att medlemsländerna ska informera varandra om standardiseringsar- betet (se även kapitel 4). När detta förfarande genomförts och en svensk standard har tagits fram måste den nya standarden lämnas till Nämnden för svensk standard för godkännande.

9TP PT Regeringsbeslut 2006-05-11, dnr UD2006/22351/EIM. 10TP PT www.ssrkonsument.se/

Allmänt om standardiseringsorganisationer och den svenska standardiseringsstrukturen SOU 2007:47

Nationella formella standardiseringsorgan – SIS, SEK, ITS

Swedish Standards Institute

Swedish Standards Institute (SIS) är en ideell förening som har medlemmar både från privat och från offentlig sektor. SIS deltar i europeisk och internationell standardisering och är medlemmar i CEN och ISO. Det standardiseringsarbete SIS deltar i sker inom nio verksamhetsområden – bygg och anläggning, hälso- och sjuk- vård, industriteknik, informationshantering, ledningssystem, mate- rialteknik, miljö och energi, tjänster och personlig säkerhet samt utveckling.TPF11FPT

Verksamheten inom SIS innefattar förutom standardisering även förlag och utbildning. SIS förlag AB ger ut svensk och inter- nationell standard samt handböcker, och SIS Forum AB ansvarar för utbildning.

SIS, inklusive dotterbolag, har totalt 170 anställda (januari 2007) varav 80–90 arbetar med standardisering.

Medlemmarna är organisationer, myndigheter och företag, både stora och små, och antalet medlemmar är ca 1 500. Medlemsavgif- ten är 2 000–4 000 kronor per år.TPF12FPT SIS omsätter ca 200 miljoner kronor per år.

SIS standardiseringsarbete styrs i första hand genom uppdrag från medlemmarna. SIS startar grupper, s.k. tekniska kommittéer, när intresse aviserats från tillräckligt många. Dessa kommittéer finansieras genom projektavgifter, statsanslag och del av överskot- tet från förlags- och utbildningsverksamheten. Det är vanligt att sektorsmyndigheter tar ett större ansvar för arbetet än andra intressenter. Avgiftens storlek beror på omfattning och Sveriges engagemang i frågan samt antalet deltagare.

Den avgift som en intressent betalar till SIS varje år för att delta i ett projekt, kan variera mellan 10 000 kronor och 200 000 kronor. Det innebär att en del företag och myndigheter som deltar i flera standardiseringsprojekt kan betala ett par miljoner kronor årligen. Enligt SIS är dock det vanligaste att avgiften ligger runt 20 000– 25 000 kronor.

Kommittéerna har långvariga uppdrag generellt sett när standar- der behöver revideras för att möta nya krav. För närvarande finns det ungefär 400 pågående grupper. De IT-standardiseringsfrågor

11TP PT SIS verksamhetsberättelse 2005.

12TP PT www.sis.se.

SOU 2007:47 Allmänt om standardiseringsorganisationer och den svenska standardiseringsstrukturen

som i första hand ligger inom utredningens uppdrag finns främst inom SIS verksamhetsområde.

Svensk Elstandard

Svensk Elstandard (SEK), är en annan av de svenska standardise- ringsorganisationer som är erkända av SSR. SEK är ansvarigt för standardiseringen på elområdet och är medlem i CENELEC och IEC. SEK fastställer svensk standard på det elektrotekniska områ- det. De flesta standarder som fastställs är europeiska standarder. SEK:s verksamhet inom IT ligger huvudsakligen inom området elektronisk kommunikation (exempelvis radiostörningar).

SEK är en ideell organisation och deltagandet är frivilligt. Orga- nisationen har deltagare från myndigheter, företag och organisatio- ner. Verksamheten finansieras huvudsakligen genom publikationer och avgifter från intressenterna. Det statliga bidraget utgör endast en liten del av finansieringen.TPF13FPT

Verksamheten verkar fungera väl; frågan om ytterligare samord- ning av denna verksamhet är därför inte en prioriterad uppgift för utredningen.

Informationstekniska standardiseringen

Informationstekniska standardiseringen (ITS) är det svenska stan- dardiseringsorganet för telekommunikationsområdet och det nationella standardiseringsorganet i ETSI. ITS finansieras genom uppdragsmedel från intressenterna samt, till en liten del, genom statligt anslag.TPF14FPT

Verksamheten ligger inom området elektronisk kommunika- tion. Ansvar och samordningsformer förefaller fungera väl; frågan om ytterligare samordning av denna verksamhet är därför inte en prioriterad uppgift för utredningen.

13TP PT www.sekom.se.

14TP wwwPT .its.se.

Allmänt om standardiseringsorganisationer och den svenska standardiseringsstrukturen SOU 2007:47

3.3Andra standardiseringsorganisationer

På IT-området kan man inte längre förbise organisationer som IETF, W3C, OASIS och andra, eftersom utveckling av viktiga standarder för Internet och webbrelaterad teknik sker inom dessa och inte inom de formella standardiseringsorganisationer där Sverige finns formellt representerat. Mot den bakgrunden bevakar Näringsdepartementets IT-politiska enhet utvecklingen inom ett antal standardiseringsorganisationer för grundläggande Internet- teknik. Också Post- och telestyrelsen, PTS, Verva och andra myn- digheter deltar mer eller mindre regelbundet i ett antal sådana stan- dardiseringsorganisationer.

Man kan också delvis skilja ut en grupp av standardiseringsorga- nisationer som har det gemensamt att de är mellanstatliga organi- sationer med nationell röstning (även om deltagandet kan vara bre- dare), där länderna i huvudsak representeras genom en myndighet. På IT-området är UN/CEFACT en sådan organisation, och egent- ligen också ITU. Om UN/CEFACT därmed ska räknas till famil- jen av formella organisationer är en bedömningsfråga som utred- ningen inte har anledning att ta ställning till.

3.3.1Internetinfrastruktur: IETF/ISOC och W3C

Internets infrastruktur möjliggörs av protokoll och standarder som utvecklas av Internet Engineering Task Force (IETF). Dessa stan- darder antas av Internet Engineering Steering Group (IESG), med möjlighet att överklaga till Internet Architecture Board (IAB). Slut- ligen är det Internet Society (ISOC) som kungör dem som interna- tionella standarder.

I huvudsak rör IETF:s standarder protokoll och infrastruktur för IP-nät inklusive Internet.

IETF är inte en formell organisation i juridisk mening men verksamheten har stor praktisk betydelse för ledning och utveck- ling av Internet. IETF är ett globalt forum som engagerar både pri- vatpersoner och företag och dess standardiseringsprocess är jämfö- relsevis öppen. Flera svenska nätverkstekniker som utmärkt sig i Internetgemenskapen har valts till förtroendeposter på olika nivåer.

IETF har mycket goda relationer med ISO/IEC och ITU. Man har justerat definitionerna för standarders olika mognadsgrader för att dessa ska överensstämma med varandra. På så vis har man kun-

SOU 2007:47 Allmänt om standardiseringsorganisationer och den svenska standardiseringsstrukturen

nat enas om att ömsesidigt korsreferera varandras standarder. Man utbyter också löpande information sinsemellan och med andra organisationer med delvis överlappande verksamhet, t.ex. OASIS och W3C, om nya standardiseringsprojekt genom en frivillig noti- fieringsprocess för att öka effektiviteten och för att motverka fenomenet att företag går runt mellan olika standardutvecklande organisationer för att plantera sina standardiseringsprojekt.

Internet Governance Forum

Internet Governance Forum (IGF) diskuterades 2006 på FN:s

World Summit on the Information Society (WSIS) och bildades på villkoret att IGF inte skulle fatta formella beslut. Syftet med foru- met är att erbjuda en plats där intressenter kan mötas för policydis- kussioner om Internets kontroll och utveckling.

På det första mötet diskuterades bland mycket annat principiella frågor kring standarder och reglering inom områdena säkerhet, interoperabilitet och tillgänglighet, frekvensfördelning samt tråd- lösa nätverk. Mötet ledde bl.a. till fem s.k. dynamic coalitions, varav flera har frågor om standarder på sin agenda.

World Wide Web Consortium

World Wide Web Consortium (W3C) utvecklar standarder för webben, där webben är en applikation på Internet, t.ex. URL, XML eller andra www-relaterade tekniker. Således rör det standarder i lagret ovanför IETF:s standarder.

Konsortiets medlemmar utarbetar specifikationer i olika mog- nadsnivåer, tills de når mognadsgraden W3C recommendation. Sedan W3Cs tillkomst 1994 har man publicerat fler än 90 webb- standarder i form av sådana rekommendationer. Standarderna kan sedan uppdateras i omgångar tills en ny version (edition) utvecklas.

W3C:s rekommendationer är fria att använda under en royalty- befriad licens.

Medlemmar i W3C är organisationer och företag. Individer har visst inflytande genom öppna e-postlistor, men utvecklingen av standarder sker i huvudsak slutet i arbetsgrupperna tills enighet nåtts och standarden publiceras.

Allmänt om standardiseringsorganisationer och den svenska standardiseringsstrukturen SOU 2007:47

3.3.2OASIS

Organization for the Advancement of Structured Information Stan- dards (OASIS) är ett icke vinstdrivande konsortium som arbetar för att utveckla och sprida produktoberoende format som baseras på öppna standarder som t.ex. HTML, XML och SGML. Man kan alltså beskriva OASIS som verksamt i ett lager över W3C. Till- sammans med FN (UN/CEFACT) sponsrar OASIS e-handels- standarden ebXML. Organisationen antog Open Document For- mat som standard 2005 och utvecklade den tillsammans med ISO till en internationell standard 2006. Legal XML, UBL och UDDI är ytterligare några av de knappa 80 standarder organisationen arbetar med i olika tekniska kommittéer.

Konsortiet har svenska Verva, SKL, FMV, SICS, SAAB och ett fåtal små svenska företag bland sina ca 600 medlemmar. Medlem- marna tar initiativ till nya tekniska kommittéer och standarder som på olika mognadsnivåer antas i konsensusförfarande. Medlemmar ska uppge immaterialrätter som de känner till och respektive kom- mitté beslutar om licensiering enligt versioner av RAND-licens och royaltyfri licens.

3.3.3Institute of Electrical and Electronics Engineers

Institute of Electrical and Electronics Engineers (IEEE) är en med- lemsorganisation för individer och företag. Man producerar teknisk litteratur, arrangerar konferenser, utvecklar industristandarder m.m. IEEE-Standards Association (IEEE-SA) hävdar en katalog med 1 300 standarder som är antingen klara eller under utveckling. Dessa standarder har haft stort inflytande när det gäller lokala nät- verk och trådlösa lokala nätverk med Ethernet och IEEE 802.11- standarderna.

IEEE hör hemma i USA, vilket innebär viss koppling till Ameri- can National Standards Institute (ANSI).TPF15FPT Man eftersträvar emel- lertid ökad frihet genom att definiera IEEE som en transnationell standardiseringsorganisation som inte är bunden av ANSI:s regler och royalties.

IEEE:s standarder kan, i likhet med ETSI:s, betraktas som regi- onala i den mening att lokal variation förekommer. Deltagare i

15TP PT Study on the specific policy needs for ICT standardisation. 1st interim report. DLA Piper, TU Delft, Uninova.

SOU 2007:47 Allmänt om standardiseringsorganisationer och den svenska standardiseringsstrukturen

IEEE:s standardiseringsprocess ombeds att redogöra för eventuella immaterialrätter de har. Färdiga patent licensieras i regel på RAND-villkor.

3.3.4FN

Förenta nationernas ekonomiska kommission för Europa (UN/ECE) omfattar projekt och arbetsgrupper inom bl.a. miljö, transporter, statistik och handel. Standarder sorterar under rubri- ken handel.

Det är inte självklart att all standardisering under FN ska beskrivas som ”informell”. Medan FN inte är en organisation avsedd att utveckla standarder, är UN/ECE ett undantag med bl.a. standarden UN/EDIFACT som i dag är antagen som ISO-stan- dard. Sverige är genom UD/IH representerat i detta standardise- ringsarbete.

CEFACT är också fortsatt betydelsefullt för genomförande och spridning av standarder och rekommendationer som på olika sätt motverkar handelshinder och effektiviserar internationell handel och interoperabilitet.

UNECE WP.6

En av UNECE:sTPF16FPT arbetsgrupper (Working Party on Regulatory Cooperation and Standardization Policies – WP.6) fokuserar på samverkan mellan de 56 medlemsländernas respektive regeringar. I detta forum utvecklar experter rekommendationer kopplade till policyfrågor, specifikationer, standarder, certifiering, ackreditering m.m. syftande till internationell harmonisering. Sverige är repre- senterat genom Kommerskollegium.

3.4Konsortier

Det finns 400 till 500 konsortier (varav ett par beskrivits ovan) som utvecklar IT-relaterade standarder under mer eller mindre slutna former.TPF17FPT Sådana konsortier är i regel sammanslutningar där syftet

16TP PT http://www.unece.org/trade/ctied/wp6/index_wp6.htm.

17TP PT ETSI anger ”ca 500”. Consortiuminfo.com anger våren 2007 460 stycken. (www.etsi.org/forawatch/) (www.consortiuminfo.org/links/).

Allmänt om standardiseringsorganisationer och den svenska standardiseringsstrukturen SOU 2007:47

är att utveckla standarder eller profiler av standarder samt att skapa eller stödja framväxten av en marknad för en produkt eller tjänst.

Third Generation Partnership Project (3GPP) är ett exempel på ett relativt öppet forum. 3GPP kan sägas stamma från ITU:s pro- jekt International Mobile Telecommunications (IMT-2000). På senare tid har emellertid utvecklingen inom 3GPP gått från att vara ett standardutvecklande konsortium till att bli ett s.k. profilerande konsortium där man i huvudsak ägnar sig åt att få olika standarder som utvecklats på annat håll att fungera tillsammans.

3.5Enskilda företag

Standarder som i huvudsak hanteras av ett enskilt företag eller en företagskoncern beskrivs bäst som företagsstandard och kallas ibland leverantörsstandard. Ett exempel kan vara Microsofts Windows-svit, eller SAP:s programvaror, vars formspråk och for- matmallar kan beskrivas som standarder. Ett annat exempel kan vara Apples format för musikfiler och andra proprietära lösningar som är eller aspirerar på att bli de facto-standarder genom att dominera sin marknad.

4Den formella strukturen för nationell samordning av IT- standardiseringen

4.1De svenska myndigheterna och organisationerna

4.1.1Utrikesdepartementet

I Regeringskansliet är standardiseringsfrågorna organiserade till- sammans med utrikeshandel och investeringsfrämjande frågor inom Utrikesdepartementet. Enligt Regeringskansliets instruktion hör allmänna frågor om teknisk provning, kontroll och standardi- sering samt genomförandet av EG:s inre marknad (i den mån sådana ärenden inte hör till något annat departement) till UD. Detta innebär att UD genom Enheten för främjande och EU:s inre marknaden (UD/FIM) ansvarar för regeringens handläggning av standardiseringen i Sverige. Enheten har även ansvar för Kommers- kollegium, Styrelsen för ackreditering och teknisk kontroll (SWEDAC), Invest in Sweden Agency (ISA), Exportkreditnämn- den (EKN), Svensk exportkredit AB samt myndighetsansvaret för Exportrådet.TPF1FPT Ansvarigt statsråd är handelsministern.

UD/FIM ansvarar bl.a. för allmänna frågor om informations- procedurer (bl.a. 98/34/EG), teknisk provning och kontroll samt standardisering och genomförande av EG:s inre marknad.TPF2FPT I detta ingår ansvar för tjänstedirektivet, för den nya metoden och för ömsesidigt erkännande på det icke harmoniserade området.

UD/FIM:s övergripande ansvar och samordningsansvar inom Regeringskansliet innebär att alla frågor som berör den inre mark- naden ska beredas med enheten och att enheten ansvarar över- gripande för de olika problem företag och enskilda möter på den

1TP PT Förordning om ändring i förordningen (1996:1515) med instruktion för Regeringskansliet. (SFS 2005:583) kap 3

2TP PT Regeringskansliets föreskrifter med arbetsordning för Utrikesdepartementet; UF 2006:1

Den formella strukturen för nationell samordning av IT-standardiseringen

SOU 2007:47

inre marknaden, bl.a. i form av handelshinder. Det har varit svårt för UD att få underlag från berörda sektorer och experter i den offentliga sektorn när ärenden kommit från EU, trots ansträng- ningar att skapa nätverk på departementen. Motsvarande svårighe- ter har funnits för Kommerskollegium i relation till myndigheter. Ett skäl kan vara att det vare sig på departement eller myndigheter finns en fast krets av handläggare och experter på frågor som rör IT-standardisering.

Ett viktigt instrument för att förhindra handelshinder och för att alla ska konkurrera på lika villkor är harmonisering. Konkur- renskraftsrådet inom EU är den konstellation som har det samlade ansvaret för att den inre marknaden fungerar och för att de sam- hälleliga institutioner som är förutsättningar för fungerande mark- nader inte medför några hinder i form av t.ex. tekniska föreskrifter och standarder eller föreskrifter på tjänsteområdet som är utfor- made så att de försvårar ett fritt varu- och tjänsteutbyte mellan län- derna.

UD/FIM:s s.k. inre marknadsgrupp representerar Sverige i råds- arbetsgrupper, expertkommittéer och andra kommittéer inom EU. Bland dessa kan nämnas den permanenta kommittén för tekniska standarder och föreskrifter (98/34-kommitten), Internal market advisory committee (IMAC), Senior Officials Group for Standardi- sation and Conformity Assessment Policy (SOGS), 133-MRATPF3FPT och rådsarbetsgruppen om standardisering och om nya metoden.TPF4FPT

Ett område som berör standardiseringsområdet är handels- politiska frågor kopplade till bl.a. världshandelsorganisationen (WTO). För dessa frågor ansvarar Enheten för internationell handelspolitik (UD/IH), och där finns den svenska representa- tionen i UN/CEFACT.

4.1.2Kommerskollegium

Enligt Kommerskollegiums instruktion (SFS 1998:279, senast änd- rad 2006, 1 §) är myndigheten central förvaltningsmyndighet för utrikeshandel och handelspolitik. Verksamheten bedrivs inom ramen för Sveriges medlemskap i Europeiska unionen, särskilt del- tagandet i den inre marknaden, tullunionen och den gemensamma

3TP PT Rådsarbetsgruppen 133-MRA, som administrerar avtal om ömsesidigt erkännande av produktgodkännanden mellan EU och tredje land.

4TP PT Regeringskansliets föreskrifter med arbetsordning för Utrikesdepartementet; UF 2006:1.

SOU 2007:47

Den formella strukturen för nationell samordning av IT-standardiseringen

handelspolitiken. Utgångspunkten är Sveriges intresse av en effek- tiv inre marknad, ett öppet och starkt multilateralt handelssystem och av fortsatta handelspolitiska liberaliseringar.

I kollegiets regleringsbrev för 2006 framgår bl.a. att ett mål ska vara att man ska bidra till en effektiv inre marknad, inbegripet en effektivisering av de horisontella instrumenten på den inre mark- naden samt handelspolitiska aspekter på nya metoden-direktiven och standardisering.

Vidare har Kommerskollegium som mål att minska eller elimi- nera handelshinder och andra problem inom bl.a. EU/EES, inklu- sive Turkiet, och i relevanta fall WTO, genom att granska och påverka utformningen av såväl utländska som svenska förslag till tekniska föreskrifter, och när det gäller utländska förslag aktivt förmedla information om anmälningsprocedurerna för tekniska regler. Kollegiet ska också bidra till att öka svenska myndigheters och allmänhetens kunskaper om den inre marknaden samt de rät- tigheter – och för myndigheter, de skyldigheter – som följer av EU-medlemskapet.

Av instruktionen framgår att kollegiet ska vara en samordnings- central för behandling av frågor som uppstår i samband med genomförandet av den inre marknaden och som har kommit in från andra medlemsstater i EU eller från Europeiska gemenskapernas kommission, och man ska också vara en kontaktpunkt dit företag och enskilda kan vända sig med problem på den inre marknaden (3 §).

En av Kommerskollegiums uppgifter i detta avseende är att representera Sverige i nätverket SOLVIT.TPF5FPT Nätverket har funnits sedan 2002 och drivs av medlemsstaterna och Europeiska kommis- sionen. Varje medlemsland (samt Norge, Island och Liechtenstein) har ett SOLVIT-center; i Sverige svarar Kommerskollegium för detta. Nätverket ska hjälpa enskilda och företag med problem som gäller tillämpningen av EU-lagstiftningen för den inre marknaden och som uppstått mellan exempelvis ett företag och en nationell myndighet. Det kan t.ex. röra etablering som egenföretagare, marknadstillträde för varor eller erkännande av yrkeskvalifikationer och examensbevis.TPF6FPT

Vidare ska Kommerskollegium enligt sin instruktion bl.a. vara kontakt- och informationspunkt för WTO:s tjänstehandelsavtal

5TP PT Regleringsbrev för budgetåret 2006 avseende Kommerskollegium.

6TP PT www.kommers.se och http://ec.europa.eu/solvit/.

Den formella strukturen för nationell samordning av IT-standardiseringen

SOU 2007:47

(GATS) samt för WTO:s avtal om tekniska handelshinder (TBT) (3 a §, punkt 2 och 5).

Kollegiet har under 2006 utvecklat aktiviteterna vad gäller tek- niska regler. Bland annat har samarbetet med näringsliv och myn- digheter utvecklats genom att man inrättat Kontaktgruppen för tekniska regler och handelshinder (KTH). Gruppen är informell och består av representanter för UD, standardiseringsorganisatio- nerna, några större myndigheter, branschförbund för handel och industri samt några större svenska företag.

Dessutom har ett särskilt nätverk med representanter för myn- digheter, näringsliv och kollegiet bildats för att effektivisera granskningen av utländska anmälningar i procedurerna enligt WTO/TBT-avtalet och 98/34-direktivet. Det senare nätverket är dock inte detsamma som den mer horisontella beredningsgrupp inom kollegiet i form av ett antal kontaktpersoner på olika myn- digheter.

Kommerskollegium ska anmäla de regler som avses i förord- ningen (1994:2029) om tekniska regler samt ta emot och bereda anmälningar och andra meddelanden enligt nämnda avtal och direktiv, i enlighet med WTO:s TBT-avtal samt Europaparlamen- tets och rådets direktiv 98/34/EG om ett informationsförfarande beträffande tekniska standarder och föreskrifter och beträffande föreskrifter för informationssamhällets tjänster, ändrat genom Europaparlamentets och rådets direktiv 98/48/EG.

Av förordningens 4 § framgår att en myndighet som avser att ändra, upphäva eller utarbeta en ny en teknisk regel ska undersöka om det finns en internationell eller europeisk standard på området samt utreda möjligheten att anpassa regeln till den. Detta gäller också förslag till sådana standarder. Myndigheten bör i ett sådant fall utforma regeln så att den är förenlig med standarden.

Vidare framgår att myndigheten ska samråda med Kommers- kollegium om utformningen av en teknisk regel, när det kan finnas risk för att regeln får handelshindrande verkningar samt att myn- digheten i god tid ska underrätta Kommerskollegium om det för- slag den har utarbetat, om man avser att fatta beslut om en teknisk regel (5–6 §).

Kommerskollegium ska sedan anmäla den föreslagna regeln till övriga berörda parter genom meddelanden till WTO-sekretariatet samt EG-kommissionen (10 §).

Kommerskollegium har i en föreskrift (KFS 1999:1) om tek- niska regler stadgat att samråd med kollegiet ska ske om en till-

100

SOU 2007:47

Den formella strukturen för nationell samordning av IT-standardiseringen

tänkt regel avviker från bindande gemenskapsrättsakter m.m. samt om den föreslagna regeln helt motsvarar en internationell eller europeisk standard eller delvis utgör en anpassning. Skyldigheten omfattar inte bara varor utan även informationssamhällets tjänster (se nedan).

Kollegiet deltar för UD:s räkning och tillsammans med UD i den kommitté som upprättats enligt direktiv 98/34/EG. Inför möten i denna kommitté remitterar Kollegiet förslagen till mandat för utarbetandet av europeiska standarder till myndigheter, stan- dardiseringsorgan och berörd bransch. Inkomna synpunkter sam- ordnas sedan och fastställs av regeringen.

Hos Kommerskollegium finns också en kontaktgrupp för ex- portörer i utvecklingsländer – Open Trade Gate Sweden (OTGS), OTGS är ett s.k. one stop information centre om t.ex. vilka införsel- krav, standarder, procedurer och avgifter som gäller vid export till Sverige.

Kommerskollegiums utredningsverksamhet omfattar frågor inom OECD, FN:s ekonomiska kommission för Europa (ECE), FN:s organ för handel och utveckling (UNCTAD) och andra internationella organisationer inom kollegiets verksamhetsområde. Kollegiet arbetar t.ex. under ECE med regulativa samarbetsfrågor och standardiseringspolitiska frågor som bygger på lagstiftnings- tekniken enligt nya metoden (se nedan) i EU.

Kollegiet administrerar också SWEPRO-kansliet som samord- nar och deltar i arbetet med att förenkla, harmonisera och ta bort onödiga procedurer och informationsflöden i den internationella handeln. Det internationella arbetet sker här i Centre for Trade Facilitation and Electronic Commerce (UN/CEFACT) som utvecklar verktyg och rekommendationer om bl.a. internationella handelsprocedurer, bank- och finansfrågor, transportfrågor, elek- tronisk handel och tullfrågor.

4.2Beredning av standardiseringsfrågor med anledning av EU:s direktiv 98/34

4.2.1Nya metoden – the new approach

En ny teknik – den nya metoden – för reglering etablerades 1985, som tidigare nämnts. Den innebär att harmoniserad lagstiftning ska inskränka sig till att endast ställa de väsentligaste kraven för att produkter ska kunna cirkulera fritt. Lagstiftaren ska ange vilka

101

Den formella strukturen för nationell samordning av IT-standardiseringen

SOU 2007:47

grundläggande krav produkten ska uppfylla men inte föreskriva de tekniska detaljerna. De grundläggande kraven ska fastställas så långt att ett enhetligt genomförande inom EU blir möjligt.

Nya metoden-direktiv innehåller ingen detaljerad teknisk beskrivning, utan i stället finns allmänt hållna säkerhetskrav. Det betyder att tillverkare måste översätta dessa krav till tekniska lös- ningar. Ett sätt att göra det på är att använda den europeiska stan- dard som gemenskapen hänvisat till, s.k. harmoniserad standard. Användningen av standarder är frivillig och en tillverkare kan använda sin egen lösning, men då är man skyldig att bevisa att den följer de väsentliga kraven i direktivet. En produkt som uppfyller harmoniserad standard ska förutsättas uppfylla kraven. Bevisbör- dan är då omvänd och det ankommer i stället på den myndighet som övervakar marknaden att bevisa att produkten inte är anpassad efter lagen.TPF7FPT

Den nya metoden innebar en förändring för standardiseringssy- stemen i Europa. Enligt den historiebeskrivning som DG Enter- prise gett i Vademecum on European StandardisationTPF8FPT innebar denna förändring att det kom att godkännas ett (och endast ett) standardiseringssystem nästan i alla länder. På europeisk nivå skedde godkännandet genom 98/34-direktivet.TPF9FPT Kommissionen började lämna officiella uppdrag (mandat) om gemensam europeisk standard, vilket i sin tur medförde att tekniska kommittéer inom ett stort antal sektorer växte fram.

Den nya metoden har inneburit att antalet obligatoriska regler har minskat och att detaljregelverket, dvs. standarderna, har kunnat uppdateras med den tekniska utvecklingen. Metoden anses också ha gett industrin flexibilitet i valet av teknisk lösning.

4.2.298/34-direktivet

Kärnpunkten i Europaparlamentet och rådets direktiv 98/34/EG är informationsförfaranden vad gäller tekniska standarder och före-

10, 11		Direktivet anger att en standard är en teknisk specifi-
skrifter,TPF FPTP		Direktivet anger att en standard är en teknisk specifi-
TF	FTP

7TP PT Vademecum on European Standardisation,, Part I General Framework, 2003, sid 5 f http://ec.europa.eu/enterprise/standards_policy/vademecum/doc/standards_directive_98_3 4_history.pdf.

8TP PT Vademecum on European Standardisation, Part I General Framework, 2003, sid. 8.

9TP PT 80/723/EEG av den 25 juni 1980 om insyn i de finansiella förbindelserna mellan medlems- staterna och offentliga företag samt i vissa företags ekonomiska verksamhet.

10TP PT Europaparlamentet och rådets direktiv 98/34/EG av den 22 juni 1998 om ett informa- tionsförfarande beträffande tekniska standarder och föreskrifter.

102

SOU 2007:47

Den formella strukturen för nationell samordning av IT-standardiseringen

kation som har fastställts av ett erkänt standardiseringsorgan för upprepad eller fortlöpande tillämpning, som inte är tvingande och som tillhör typen internationell, europeisk eller nationell standard och som därtill är allmänt tillgänglig.

Direktivets syfte är att om ett medlemsland avser att utveckla tekniska föreskrifter eller standarder ska detta förmedlas till övriga medlemsländer för att undvika onödiga hinder mot handel på den inre marknaden. Ett sådant system har visat sig mer effektivt än ett system där handelshinder ska ändras efter att beslut redan fattats. På global nivå finns ett motsvarande förfarande inom ramen för WTO-samarbetet.

Direktivet omfattar alla industriellt framställda produkter och alla jordbruksprodukter, inklusive fiskprodukter, som kan värderas i pengar och som därmed kan vara föremål för kommersiella trans- aktioner (artikel 1). Genom 98/48/EGTPF12FPT har systemet vidgats till att även omfatta informationssamhällets tjänster,TPF13FPT dvs. tjänster som tillhandahålls på distans, på elektronisk väg och på individuell begäran av en tjänstemottagare.TPF14FPT

Direktivet omfattar därmed inte radio- och TV-sändningar. Direktivet tillämpas inte heller på föreskrifter om frågor som omfattas av gemenskapsbestämmelser för teletjänster enligt defini- tionen i direktiv 90/387/EEGTPF15FPT eftersom det området är helt har- moniserat och undantaget enligt artikel 10.

Direktivet är delat i två distinkt olika delar när det gäller infor- mationsförfaranden:

•Den ena delen handlar om informationsförfaranden för standar- der.

11TP PT Eftersom direktivet är avsett att skapa en transparent process kallas det ibland för transparens-direktivet. Det finns dock andra direktiv, på helt andra områden, som också kallas transparensdirektivet varför det inte benämns på detta sätt här.

12TP PT Europaparlamentet och rådets direktiv 98/48/EG av den 20 juli 1998 om ändring av direktiv 98/34/EG om ett informationsförfarande beträffande tekniska standarder och före- skrifter.

13TP PT Ytterligare utvidgning på tjänsteområdet har aviserats.

14TP PT Ett kriterium för en tjänst är att den vanligtvis tillhandahålls mot ersättning, dvs. betal- ning, enligt EG-domstolens rättspraxis. Följande tjänster räknas upp: allmänna informa- tionstjänster (dagstidningar, databaser, etc.), fjärrövervakning, interaktiv teleshopping, elek- tronisk post, direktbokning av flygbiljetter och direkttillgång till specialisttjänster (tillträde till databaser, diagnoser etc.) Verksamhet som staten utövar utan betalning inom ramen för sina åtaganden omfattas inte eftersom det inte tillhandahålls mot ersättning. Som exempel på områden som inte omfattas nämns samhälls-, kultur, utbildnings- och rättsskipnings- områdena.

15TP PT Rådets direktiv 90/387/EEG av den 28 juni 1990 om upprättandet av den inre marknaden för teletjänster genom att tillhandahålla öppna nät.

103

Den formella strukturen för nationell samordning av IT-standardiseringen

SOU 2007:47

•Den andra delen medför ett ömsesidigt system för information och övervakning av förslag till nationella tekniska föreskrifter.

Dessutom finns ett kommittéförfarande enligt vilket medlemssta- terna uttalar sig om bl.a. ett förslag till standardiseringsmandat.

Informationsförfarandet för standarder

I bilaga till direktivet har CEN, CENELEC och ETSI listats som de erkända europeiska standardiseringsorganen, och CEN samord- nar notifieringar om nya standardiseringsprojekt. Varje land har kontaktpunkter för de delar i 98/34-direktivet som gäller standar- der respektive tekniska föreskrifter. Kontaktpunkter för den del som gäller standarder är respektive lands nationella standardise- ringsorgan dvs. SIS, SEK och ITS för Sveriges del. Dessa har, efter anmälan från svenska regeringen, tagits upp som de erkända natio- nella standardiseringsorganen i Sverige och listas i bilaga till direk- tivet.

De nationella standardiseringsorganen ska tillhandahålla infor- mation om nya nationella initiativ som ska leda till standarder. Kommissionen och standardiseringsorganen ska informeras om ett nationellt organ avser att ta fram en standard. Om t.ex. SIS planerar att ta fram en svensk standard måste detta notifieras innan arbetet sätts igång, för att kontrollera att inget motsvarande arbete redan pågår på europeisk nivå. Om så skulle vara fallet får inte det svenska arbetet sättas igång. CEN samordnar notifieringsförfaran- det och upprätthåller databasen Infopro.TPF16FPT CEN skickar också ut notifieringen till de övriga medlemmarna som får lämna synpunkter och måste beredas tillfälle att delta i det arbete som är tänkt att startas. Förfarandet kan också leda till att man kommer fram till att ett arbete i stället ska sättas gång på europeisk nivå.

Det är alltså de svenska standardiseringsorganisationerna som ansvarar för att notifiera nationella standarder. Från SIS anmäldes 5 notifieringar till CEN:s databas Infopro 2005, varav 2 avsåg IT- området. Under 2006 gjordes 9 notifieringar; ingen av dessa avsåg IT-området. För 2002, 2003 respektive 2004 gjordes 32, 11 respek- tive 33 svenska anmälningar. Sammantaget gjordes 81 svenska notifieringar för perioden 2002–2005. Danmark gjorde 39, Norge

16TP PT Mer information finns på www.cen.eu/BOSS/support/support+processes+- +index/notification+procedure+-+notifications/index.asp.

104

SOU 2007:47

Den formella strukturen för nationell samordning av IT-standardiseringen

86, Finland 28, Nederländerna 324 och Belgien 41 notifieringar, för att nämna några länder i Sveriges storlek.TPF17FPT

Enligt SIS har ingen erinran lämnats från svensk sida på andra länders notifieringar. Det är dock oklart i vilken mån någon erbju- dits den möjligheten; utredningen har inte tillgång till CEN:s data- bas Infopro och vi saknar även statistik över kommentarer på noti- fierade standardiseringsprojekt från Sverige, andra medlemsländer respektive kommissionen. Vi kan därför inte bedöma hur aktivt Sverige deltagit i notifierinsgsprocessen utöver rapporteringen av nationella standardiseringsinitiativ, eller i vilken mån proceduren nyttjas och fungerar i sin helhet.

Informationsförfarandet för tekniska föreskrifter

Den del som rör informationsförfarandet för tekniska föreskrifter berör i huvudsak inte det som vår utredning ska behandla, men vi lämnar ändå information här för att ge en helhetsbild av vad direk- tivet omfattar.

Kommerskollegium är den svenska nationella kontaktpunkten för tekniska föreskrifter och sköter det elektroniska utbytet med Kommissionens generaldirektorat för näringsliv och industri.

Informationsförfarandet i denna del innebär att medlemssta- terna är förpliktade att redan på förslagsstadiet anmäla utkast till tekniska föreskrifterTPF18FPT och regler om bl.a. informationssamhällets tjänster till kommissionen. Det är oftast föreskrifter som tas fram av olika myndigheter som är aktuella för anmälan, eller notifiering som det också kallas. En svensk notifikation sänds via Kommers- kollegium till kommissionen som översätter den och skickar den vidare till övriga medlemsländer. Normalt sett tar det tre månader innan medlemsstaten får anta förslaget eller föreskriften.

Ett stort antal nationella regler anmäls varje år inom EES-områ- det. Under 2005 anmäldes 800 och under 2006 anmäldes närmare

17TP PT Commission staff working document. Annex till Report from the commission to the council, the European parliament and the European Economic and social committee. The operation of directive 98/34/EC from 2002 to 2005. COM(2007) 125 final.

18TP PT Med detta avses medlemsstaters lagar och andra författningar som hänvisar till tekniska föreskrifter eller andra krav. Det kan också gälla frivilliga överenskommelser där en offentlig myndighet är avtalsslutande part och där tekniska specifikationer eller andra krav ska upp- fyllas, med undantag av anbudsspecifikationer vid offentlig upphandling. Vidare kan det gälla tekniska specifikationer eller andra krav eller tjänster och som hänger samman med skatte- mässiga eller finansiella åtgärder som i sin tur påverkar konsumtionen av produkterna eller tjänsterna.

105

Den formella strukturen för nationell samordning av IT-standardiseringen

SOU 2007:47

700 nationella regler.TPF19FPT Dessa riskerar att splittra upp marknaden om de inte är utformade på ett korrekt sätt, och det är därför anmälningsförfarandet finns. Det kan också vara viktigt att bevaka de anmälningar som skickas in från olika länder, eftersom dessa föreskrifter kan ha betydelse för t.ex. företag med intressen i det aktuella landet.

Underlåtelse att anmäla leder till att föreskriften inte får tilläm- pas och till att staten kan bli skadeståndsskyldig. Om en medlems- stat inte anmäler sådant som ska anmälas kan det vidare leda till att kommissionen inleder ett överträdelseförfarande enligt artikel 226 i EG-fördraget.TPF20FPT

Artikel 9 anger skyldigheten vad gäller frysningsperioderna, och den innebär att föreskriften inte får antas under ett visst tidsper- spektiv, normalt tre månader. Notifierade föreskrifter kan dock drabbas av mycket längre frysningsperioder (stand still) än den normala tremånadersperioden. Det kan vara fallet om kommissio- nen eller annat medlemsland avger ett s.k. detaljerat utlåtande var- vid frysningsperioden förlängs med ytterligare tre månader. Kom- missionen har deklarerat att detaljerade utlåtanden från kommis- sionen skall betraktas som första steget i ett överträdelseförfarande. Förlängda frysningsperioder gäller också om den notifierade före- skriften för en fråga redan täcks i ett utkast till ett direktiv eller om kommissionen ser sig föranledd att inleda ett harmoniseringsarbete och meddelar då att man har för avsikt att föreslå eller anta ett direktiv. I dessa fall gäller en frysningstid på 12 månader. Under denna tid får inte medlemsstaten anta sitt utkast till teknisk före- skrift. Denna frysningstid kan förlängas ytterligare, till 18 månader, om rådet antar en gemensam ståndpunkt under tolvmånaders- blockeringen.

Det direktiv som kommissionen tar fram kan i sin tur leda till beslut om att ge standardiseringsmandat till någon av standardise- ringsorganisationerna.

19TP PT Directive 98/34/EC at the Service of ”Better Regulation” in the Enlarged EU: the Notification Procedure in 2005, 2006-12-01, ENTR/PBE/ec D (2006) 487.

20TP PT Regeringskansliets EU-cirkulär 8, Informationsförfarande enligt direktiv 98/34/EG m.m. sid. 3

106

SOU 2007:47

Den formella strukturen för nationell samordning av IT-standardiseringen

Standardiseringsmandat

Direktiv 98/34/EG ger kommissionen möjlighet att efter hörande av medlemsländer ge de europeiska standardiseringsorganen sär- skilda uppdrag, s.k. mandat, att utarbeta europeiska standarder. Denna möjlighet tillkom i och med den nya harmoniseringsmeto- den, enligt vilken standarder är ett centralt instrument i lagstift- ningen. Möjligheten att ge mandat används också på områden där lagstiftning inte är aktuell men där gemenskapen ändå har ett intresse av att standarder utarbetas, t.ex. IT-området, offentlig upphandling eller tjänsteområdet.

Enligt den nya metoden har standarder en central roll som komplettering till lagstiftningen. Det bör dock understrykas att det arbete som de europeiska standardiseringsorganen utför på kom- missionens mandat endast är en mindre del av organens arbete.

Kommissionen lämnar ibland ett ekonomiskt bidrag till det europeiska standardiseringsorgan som utför arbetet. Kommissio- nen förfogar över ca 18 miljoner euro per år för ändamålet och för- delningen av dessa medel på de områden kommittén har bestämt görs av kommissionen. Resurserna är dock förhållandevis små; den övriga finansieringen står de berörda aktörerna för. För att ge en stabil rättslig grund för fortsatta bidrag till det mandaterade stan- dardiseringsarbetet antogs den 24 oktober 2006 ett beslut av Euro- paparlamentet och rådet om finansiering av europeisk standardise- ring (1673/2006/EG). När ett mandat lämnats till CEN eller CENELEC, frågar de rutinmässigt ISO respektive IEC om de vill utveckla en standard som svarar mot mandatet. Detta regleras genom de s.k. Wien-, och Dresdenavtalen mellan CEN-ISO respektive CENELEC-IEC.

När ett mandat har getts inträder en frysningsperiod, när med- lemsstaterna ska säkerställa att deras standardiseringsorgan inte bedriver något standardiseringsarbete som negativt kan påverka den standard som kommissionen gett mandat om (artikel 6:3 och 7). Frysningsperioden pågår tills standarden är färdig. Det finns ingen gräns för hur lång frysningsperioden kan vara, men i snitt tar det tre år att ta fram en europeisk standard.

Detta gäller alltså enbart de nationella standardiseringsorganen och arbetet med standarder. Myndigheter och deras arbete med föreskrifter har som tidigare nämnts sitt eget förfarande, och kravet att respektera överenskomna standarder utanför de områden där de

107

Den formella strukturen för nationell samordning av IT-standardiseringen

SOU 2007:47

fått särskild status, t.ex. under den nya metoden, återfinns i huvud- sak i förordningen (1994:2029) om tekniska regler.

CEN har möjlighet att ge undantag från frysningen i särskilda fall om ett medlemsland begär det eller om framtagandet av en standard tar längre tid än beräknat. Så snart en standard är framta- gen måste dock nationella standarder upphävas (senast sex månader senare).

4.2.3Behandling av standardiseringsärenden

Senior Officials Group for Standardisation and Conformity Assessment Policy (SOGS)

Senior Officials Group for Standardisation and Conformity Assess- ment Policy (SOGS) är en rådgivande grupp till kommissionen som diskuterar standardisering, bedömning av överensstämmelse, marknadskontroll och teknisk lagstiftning i allmänhet. Kommis- sionen konsulterar SOGS i större frågor innan förslag föreläggs rådet eller 98/34-kommittén. Kommissionen använder också SOGS för avstämning i andra frågor. UD/FIM har beredningsansvaret och representerar Sverige i denna rådgivande grupp. Kommerskol- legium och SWEDAC brukar medverka på hög nivå. Även hori- sontella övergripande policyfrågor, t.ex. på IT-området, tas upp i SOGS .

Tillbakablick mot SOGITS (numera avskaffad)

Tidigare sammanträdde Senior Officials Group for Information Technologies Standardisation (SOGITS) på EU-nivå. Man hade ungefär motsvarande uppgifter som SOGS men specialiserat till IT- sidan. En tjänstemannagrupp i Sverige administrerades från Stats- kontoret med uppgift att förbereda mötena i SOGITS. Vid SOGITS-mötena representerades Sverige av Statskontoret och ibland även av ett par personer från den svenska referensgruppen. Bland medlemmarna i den svenska referensgruppen kan nämnas PTS, Konsumentverket, Kommerskollegium, Försvarsmakten, Närings- och handelsdepartementet (numera UD), Finansdepar- tementet, SWEDAC, motsvarigheten till SIS, ITS, Ericsson, IBM, Telia, Teracom, SPRI, konsultbranschen och IT-företagen.

108

SOU 2007:47

Den formella strukturen för nationell samordning av IT-standardiseringen

År 2001 avtog SOGITS aktiviteter och därmed upphörde också den svenska tjänstemannagruppen att träffas; sista mötet hölls under första halvåret 2000.

Den stående kommittén för tekniska standarder och föreskrifter (98/34-kommittén)

För 98/34-direktivet finns den permanenta kommittén för tekniska standarder och föreskrifter (98/34-kommittén). Kommitténs leda- möter utses av medlemsstaterna, och Sverige representeras av UD/FIM med bistånd av Kommerskollegium. Kommittén sam- manträder normalt fyra gånger per år, varav en eller två gånger med företrädare för de europeiska och nationella standardiseringsorga- nen och vissa andra intressenter.

I kommittén behandlas allmänna handelshinderfrågor, frågor om informationsförfarandet för tekniska föreskrifter och enskilda anmälningar från medlemsstaterna som visat sig problematiska samt förslag till standardiseringsmandat och formella invändningar mot standarder. Kommittén är således en central kommitté för alla sektorsområden när det gäller standarder.

Här tas, från svensk sida, slutlig ställning till mandat inom alla områden – alltså även om frågan tidigare kommit upp i olika sek- torskommittér. Som exempel behandlar kommittén standarder som passerat den stående kommittén på byggområdet och kommittén för produktsäkerhetsdirektivet i 98/34-kommittéen när ärendena går till beslut.

I kommittén fattas alltså beslut om uppdrag att ta fram tekniska standarder på olika områden kopplade till olika politikområden i EU. PÅ IT-området är exempel på dessa politikområden Europe Standardisation Action Plan (ESAP); 2006 ICT Standardisation Work Programme.TPF21FPT Även mandat avseende andra stora policyområ- den t.ex. tjänsteområdet behandlas. Normalt har policydokumen- ten då redan behandlats i SOGS.

De mandat som beslutas lämnas sedan till en eller flera av de tre standardiseringsorganisationerna CENELEC, CEN eller ETSI. Om avsikten med ett mandat är att standarden ska tillämpas i lag- stiftningen enligt den nya metoden publicerar kommissionen en hänvisning till den färdiga standarden i Europeiska unionens offici- ella tidning. Standarden har genom detta förfarande blivit harmoni-

21TP PT Den senare har dock ännu inte gett upphov till några standardiseringsmandat.

109

Den formella strukturen för nationell samordning av IT-standardiseringen

SOU 2007:47

serad. För att kunna publiceras där måste det alltid finnas en lag- stiftning i botten, och när standarden har publicerats har den rätts- lig verkan (se avsnitt om nya metoden).

Det finns ca 25 olika rättsakter på olika områden där denna metod används; exempel är direktivet om radio- och telekommuni- kationsutrustning (RTTE-direktivetTPF22FPT) samt direktiven för bygg- produkter, leksaker, medicinteknik och explosiva varor.

Om någon medlemsstat anser att en standard är otillräcklig och inte kan användas i ett direktiv kan medlemsstaten anföra en s.k. formell invändning mot standarden. Detta kan göras antingen före eller efter att hänvisningen till standarden publicerats. Sådana invändningar behandlas i 98/34-kommittén. En formell invändning innebär inte att standarden i sig ifrågasätts eller undanröjs, utan endast att den inte anses kunna användas inom ramen för EG-lag- stiftningen och att hänvisning helt eller delvis ska utgå. Dessa invändningar kan ha stor inverkan på handeln.

4.2.4Beredningen av svenska ståndpunkter

Beredningen av svenska ståndpunkter i det som berör 98/34-kom- mittén hanteras av inre marknadsgruppen på enheten för främjande och EU:s inre marknad på UD i samarbete med Kommerskolle- gium. UD skickar ut dokument och instruktioner för synpunkter till kontaktpersoner på alla berörda departement inom Regerings- kansliet. Kommerskollegium gör utskick till berörda myndigheter, näringslivsorganisationer och standardiseringsorgan. Inför mötena i kommittén bjuder Kommerskollegium in berörda parter till ett förmöte där de aktuella punkterna diskuteras. Slutsatserna från förmötet ger ett kompletterande underlag till instruktionen med Sveriges ståndpunkter på mötet. Det finns således en sedan gam- malt utmejslad beredningsordning för 98/34-direktivet.

Diskussion

En viktig fråga för UD och Kommerskollegium är att de som ingår i beredningsorganisationen är tillräckligt insatta i hanteringen, eftersom frågorna kan vara komplexa, detaljerade och kräva bered- ning under mycket korta tidsfrister. I de flesta fall fungerar bered-

22TP PT 1999/5/EG.

110

SOU 2007:47

Den formella strukturen för nationell samordning av IT-standardiseringen

ningen mycket väl och upplysningarna som kommer in till UD respektive Kommerskollegium är relevanta. På IT-området kan situationen däremot i bästa fall beskrivas som fläckvis mycket bra. Det har visat sig vara svårt att finna lämpliga kontaktytor som har överblick över de frågor som dyker upp. Frågorna kan vara av såväl policy- som teknisk karaktär och det gäller att rätt nivå och person får underlaget i tid. Detta fungerar inte helt tillfredsställande i dag, särskilt inte när det gäller frågor som spänner över större områden eller där standardisering ska inledas. Detta kan göra att Sverige inte har någon tydlig ståndpunkt på ett specifikt område där standardi- seringsmandat ska lämnas.

Utredningen har frågat dem som tar del av beredningsunderlag för IT-standardisering i Regeringskansliet och på myndigheter hur beredningen fungerar och om den borde fungera på något annat sätt. Ett fåtal svar har inkommit men en del problem kan ändå skönjas.

Från Regeringskansliet har det framkommit att en del handläg- gare känner sig okunniga på standardiseringsområdet. Man kan vis- serligen vända sig till specialister för sakkunskap i enskilda frågor men detta kan å sin sida leda till att den generella samsynen saknas. Bristen på kunskap och tid gör att synpunkter inte alltid lämnas. Det finns också exempel där ärenden undvikits med motivering att handläggarens bevakningsområde avser en viss teknik men inte standardisering på teknikområdet.

Bland de myndigheter som deltar i beredningen har liknande synpunkter framkommit. Det anses inte alltid lätt att sätta sig in i vad standardiseringen omfattar och vilka konsekvenser den kom- mer att få vilket i sin tur medför att det inte är så lätt att svara på ett relevant sätt.

Regeringskansliet anser även att det material som sänds ut skulle kunna vara kommenterat och att tidigare svenska ställningstagan- den borde redovisas. Ibland ser mottagaren dokumenten för första gången, även om processen för dokumentet har pågått under en tid. Vidare menar man att den klassificering av standarder som kom- missionen gör är annorlunda än den klassificering och ansvarsför- delning som görs nationellt. Förslagen bör därför granskas och anpassas till den svenska modellen.

Från myndigheternas sida framkommer liknande förslag om t.ex. en kortfattad tydlig information på svenska om vad standardi- seringen gäller, vad den kan medföra och vad som kan påverkas.

111

Den formella strukturen för nationell samordning av IT-standardiseringen

SOU 2007:47

Kommentarerna, från såväl Regeringskansliet som myndighe- terna i övrigt, tyder bl.a. på att handläggarna av ärendena ofta inte har tillräcklig kontinuitet och överblick på standardiseringsområ- det. Intervjusvaren tyder på att de som får materialet för kommen- tarer, särskilt i Regeringskansliet, inte är tillräckligt insatta för att kunna ta ställning. De efterfrågar ytterligare vägledning kring själva utskicken.

Den lösning vi ser på detta problem är inte att ytterligare bereda ärendena i samband med att de skickas ut för kommentarer, men att hitta en metod som gör att man lättare ska kunna hitta de per- soner som redan är insatta i frågorna, personer som förmodligen i stor utsträckning går att hitta utanför Regeringskansliet hos speci- alistorgan av olika slag.

4.3Andra former för standardisering inom EU

4.3.1Kommittéväsendet

Rådet kan delegera verkställighetsbeslut till kommissionen. Rådet ska, enligt artikel 202 i fördraget om upprättandet av Europeiska gemenskapen, ge kommissionen befogenhet att genomföra de reg- ler rådet beslutat om i de rättsakter rådet antar. En korresponde- rande bestämmelse i artikel 211 föreskriver att kommissionen ska utöva de befogenheter som rådet ger kommissionen för att genom- föra beslutade regler.

För att uppfylla vad fördraget föreskriver har ett system med verkställighetskommittéer skapats. Syftet med dessa kommittéer är att effektivisera gemenskapens beslutsfattande. Detta sker genom att lagstiftaren, dvs. rådet eller rådet och Europaparlamentet till- sammans, delegerar rätten att verkställa gemenskapslagstiftningen till kommissionen. Systemet med kommissionens verkställighets- kommittéer kallas även kommittéväsendet (den s.k. kommittolo- gin). I kommittéerna sitter kommissionsföreträdare ordförande. Rådet är representerat genom medlemsstaterna.

112

SOU 2007:47

Den formella strukturen för nationell samordning av IT-standardiseringen

Under våren 1999 förhandlades ett nytt beslut om kommittévä- sendet fram, och rådets beslut 373/86/EEG ersattes med rådets beslut 486/99/EG om de förfaranden som ska tillämpas vid ut- övandet av kommissionens genomförandebefogenheter. Beslutet trädde i kraft den 18 juli 1999. I det beslutet finns fyra olika förfa- randen:

1.rådgivande förfarande

2.förvaltande förfarande

3.föreskrivande förfarande

4.skyddsåtgärder.

kommittologiförfarandet ändrades 2006 (2006/512/EG) och det finns nu ett föreskrivande förfarande med kontroll.TPF23FPT

Verkställighetskommittéer finns enligt många rättsakter och berör flera olika myndigheter. Bl.a. flera inom PTS:s område elek- tronisk kommunikation (COCOM, RCS, TCAM). Bland upp- gifterna för sådana kommittéer kan ingå att besluta om frågor som gäller tekniska föreskrifter och standarder.

För Inspire-direktivet, som syftar till att skapa en infrastruktur för rumslig information i gemenskapen och som trädde i kraft den 15 maj 2007, kommer genomförandebestämmelser för harmonise- rad information, harmoniserade nättjänster, licensvillkor mm att under en femårsperiod tas fram i enlighet med det föreskrivande förfarandet, i vissa delar med den nya kontrollen (se not ovan). Resultaten av kommittologiförfarandet här kan delvis jämställas med standarder som kommer att bli bindande för medlemsstaterna.

Lantmäteriverket har av regeringen tilldelats ett samordningsan- svar inom området geografisk information och fastighetsinforma- tion och ett geodataråd inrättats vid verket som stöd i detta arbete. På uppdrag av regeringen har en strategisk plan för utvecklingen inom områdets upprättats och lämnats till regeringen i mars 2007.

23TP PT …Det är nödvändigt att tillämpa det föreskrivande förfarandet med kontroll för åtgärder med allmän räckvidd vilka är avsedda att ändra icke väsentliga delar av en grundläggande rättsakt som antagits i enlighet med det förfarande som avses i art 251 i fördraget […] Detta förfarande gör det möjligt för den lagstiftande myndighetens båda parter att utföra en kontroll, innan sådana åtgärder antas”. 2006/512/EG

113

Den formella strukturen för nationell samordning av IT-standardiseringen

SOU 2007:47

4.3.2Det svenska deltagandet i CEN:s workshops (WS)

I vårt utredningsdirektiv nämns CEN:s workshops (WS) särskilt som ett exempel på brister i den svenska samordningen. Dessa workshops har ovan nämnts som ett snabbspår för den formella standardiseringsprocessen. I skrivande stund finns 14 pågående och 35 avslutade workshops i CEN/ISSS. Det finns också workshops på andra områden än IT men i mycket mindre utsträckning. Som en jämförelse har icke IT-relaterade workshops resulterat i 19 dokumenterade överenskommelser (CWA) medan det på IT- området finns ca tio gånger så många.

Det finns ingen central överblick över det svenska deltagandet i CEN:s workshops, även om CEN Management Center (CMC) på begäran kan ge övergripande men odetaljerad information.

Ett problem med CEN:s workshops är att medverkan sker direkt utan att det nationella standardiseringsorganet involveras. SIS har därför ingen detaljerad kunskap om svensk medverkan.

Genom intervjuer och nystande i diverse nätverk, uppskattar vi att det i april 2007 fanns ca 10 svenskar engagerade i 7 pågående workshops. Det finns också spår från ytterligare ca 20 personer som deltagit i 12 numera avslutade workshops. Av dessa har 6 per- soner också deltagit i 5 förberedande fokusgrupper, varav 2 av dessa grupper verkar ha avslutats.

När samtliga pågående och avslutade workshops med svenska deltagare (som vi känner till) placeras i ett sociogram (se nästa sida), framträder en bild av att de flesta workshops har någon enstaka svensk deltagare utan kopplingar till andra workshops eller till förberedande fokusgrupper. Det finns några fall där en work- shop har fler svenska deltagare och fall när enstaka personer deltar i flera verksamheter. I ett fall framträder ett kluster av flera personer och aktiviteter med olika aspekter av elektronisk handel som gemensam nämnare.

Nya workshops meddelas av CMC till nationella medlemmar och ordföranden i tekniska kommittéer m.m. SIS mottar sådan information i egenskap av medlem i CEN/ISSS Forum när en ny workshop annonseras samt skriftligt på de CEN/ISSS Forum- möten som förekommer 2–3 gånger per år. SIS sprider informatio- nen internt.

Utredningen har skickat en enkät till de personer vi funnit vara relaterade till CEN workshops, och har fått in 10 svar. Frågorna rör främst om informationsutbyte och samordning.

114

SOU 2007:47

Den formella strukturen för nationell samordning av IT-standardiseringen

Från svaren framgår att man fått information om workshops genom sitt ordinarie arbete och kontaktnät. En person fick känne- dom om en workshop genom SIS, då i egenskap av ordförande i en teknisk kommitté.

Man understryker att CEN:s workshops är en bra arbetsmetod, men att den kan vara bättre lämpad för företag och det privata näringslivets intressen än för statens och myndigheters arbete. De skäl man anger är att det inte är reguljärt standardiseringsarbete som pågår vilket kan ha betydelse om resultatet ska användas i offentliga sammanhang.

CEN: workshops, sociogramTPF24FPT

WS/ICT-Skills	WS/DPP	eSign FG	WS/eSIGN	WS/ADNOM	eGov FG	WS/CPF	WS/ECHOP
					1		abilities
							abilities
1	1	1		1		1	1
					1
WS/ISDEM	WS/learning	WS/DFA	Web	WS/ eInvoicing	WS/ eProcure.	WS/eAuth	DRM FG
	tech		accsessibility
2	3	3	4			1	1
2	3		4		1
					1
WS/IT	WS/NEA	WS/ECHOP	WS/eConst	eInvoicing FG	WS/eBES	WS/ePPE	e-Health FG
	abilities
1	5	1	1		1	1	2
				antal
Pågående WS		Pågående fokusgrupp		personer	Avslutad WS	Avslutad fokusgrupp
				personer

24TP PT Detaljer kring CEN/ISSS workshops kan man få på: www.cen.eu/cenorm/businessdomains/businessdomains/isss/about_isss/forum.asp.

115

Den formella strukturen för nationell samordning av IT-standardiseringen

SOU 2007:47

Man nämner också att arbetet kan gå fort och därmed vara svårt att skapa en nationell förankring och driva ärenden med heterogena intressen.

Respondenterna ger exempel på hur man agerat för att skapa samordning inför arbetet i sina respektive workshops, bl.a. genom seminarier, regelbundna möten i en intresseorganisation och refe- rensgrupper.

Bland svaren kan man skilja ut sådant som rör saksamordning respektive samordning på det strategiska planet. Saksamordningen tar sig uttryck dels i att samla in synpunkter till den representant som åker på möten, dels i att samla flera deltagares gemensamma deltagande på möten. Ingen respondent ger något exempel på stra- tegisamordning men flera noterar den betydelse det har eller borde ha. Inte heller beskrivs saksamordningen som någon stort pro-

blem.TPF25FPT

De förslag man ger till ökad strategisamordning pekar i de flesta fall på SIS i samverkan med Regeringskansliet. SIS, menar man, har genom sitt medlemskap i CEN den nödvändiga överblicken och uppfattas också som neutralt i förhållande till olika intressenter. Samverkan med Regeringskansliet skulle ge ömsesidig nytta genom att Regeringskansliet å sin sida får del av upplysningar från stan- dardiseringshåll, och SIS å sin sida får del av aktuella politiska mål.

Man pekar också på möjligheten att bevaka gränsytan mellan CEN och Kommissionen, vilket redan görs genom formell han- tering via UD och Kommerskollegium. Ytterligare förslag är regel- bundna seminarier eller andra former för informationsutbyte med en bredare krets. Någon noterar vikten av att samordningen inte baseras på frivillighet, och någon anser att samordningen bäst borde skötas av den privata sektorns branschsammanslutningar.

Diskussion

Vid sidan om det reguljära arbetet med standardisering inom EU som pågår inom ramen för 98/34-förfarandet sker ett återkom- mande arbete på annat sätt. Exempelvis deltar olika myndigheter inom ramen för sina respektive instruktioner och regleringsbrev i

25TP PT I den mån saksamordningen beskrivs som ett problem relaterar detta till standardise- ringens höga nivå av specialisering och specificitet. Några respondenter beskriver att deras uppdragsgivare m.fl. inte förstår vad det är man gör, att man inte har någon att tala med sitt arbete om och att ingen verkar intresserad av resultaten.

116

SOU 2007:47

Den formella strukturen för nationell samordning av IT-standardiseringen

minst tre olika sammanhang där IT-standardisering har stor bety- delse:

•EU:s verkställighetskommittéer, där standardiseringsärenden av IT-relevans uppstår som förarbeten till mandat som i den egenskapen kommer in i samordningssystemet i ett senare skede genom 98/34-förfarandet.

•I andra än formella standardiseringsorganisationers arbete, exempelvis via OASIS, IETF, Dublin Core samt IMS Global Learning Consortium.

•I CEN:s workshops.

I samtliga dessa fall har det hittills varit myndighetens eget ansvar att samordna sitt deltagande och representera Sverige.

De procedurer som beskrivits genererar stadiga flöden av upp- lysningar om förslag, planer och nya standarder och tekniska före- skrifter. Sverige har en roll att spela i de processer där dessa leve- rabler arbetas fram och resultaten har i vissa fall stor betydelse för svenska intressen.

I sammandrag ser flödena ut enligt följande:

•Till SIS inkommer upplysningar från CEN om nya workshops. SIS sprider informationen internt.

•Till SIS inkommer notifieringar från CEN om andra länders (och de europeiska standardiseringsorganisationernas) planer att påbörja standardiseringsprojekt; SIS notifierar motsvarande svenska planer i Infoprosystemet, enligt anmälningsdelen av 98/34-direktivet.

•Till Kommerskollegium inkommer notifieringar från WTO om standardiseringsarbetet utanför EU. Detta rör mest föreskrifter men det förekommer också standardrelaterade frågor i TBT- koden, särskilt rörande ITA II (Information technology agree- ment II i Doharundan).

•Till Kommerskollegium inkommer notifieringar om tekniska föreskrifter som planeras av andra medlemsländer och av kom- missionen. Kommerskollegium notifierar motsvarande svenska planer enligt föreskriftsdelen av 98/34-proceduren som i vissa fall blir relevant för standardsamordning.

117

Den formella strukturen för nationell samordning av IT-standardiseringen

SOU 2007:47

•Till UD/FIM och Kommerskollegium inkommer upplysningar om planerade standardiseringsmandat och olika policydoku- ment inom området, enligt standarddelen av 98/34-direktivet.

Andra flöden förekommer för specifika standardiseringsfrågor där Sverige är officiellt representerat, exempelvis för UN/CEFACT till UD/IH.

Också inom kommittologiförfarandet förekommer regelbundna flöden när olika direktiv är aktuella. Dessa flöden är visserligen regelbundna, men de är begränsade i tid och av varierande relevans för olika departement och myndigheter.

4.4Sammanfattning av aktörsstrukturen

Utvecklandet av en bättre beredningsprocedur inför Sveriges ställ- ningstaganden till IT-standardiseringen i EU sker i en komplicerad myndighets- och organisationsstruktur. Nedan sammanfattas sam- ordningsmiljön i en kraftigt förenklad bild.

118

SOU 2007:47

Den formella strukturen för nationell samordning av IT-standardiseringen

Figur 4.1 Myndigheter och organisationer inom standardiseringsområdet

UNCEFACT,

Branschinter-

ITU

nationaler,

Internat.

IETF,

IEC

W3C och

nivå

andra

ISO

konsortier

EU-komm.

ETSI

EU-

DG Enter-

CENELEC

nivå

prise

CEN

and

Industry

CEN Workshop

CWA

Regeringskansliet

Nationell

nivå

SSR

SIS

SEK

ITS

Statlig

Sveriges kommuner

Företag

Statlig

Företag

Statlig

och landsting (SKL)

myndighet

Kommun

Landsting

Av figuren ovan framgår några huvuddrag i strukturen, som beskri- vits tidigare i texten och här upprepas bara för att förklara förkort- ningarna.

Vad gäller myndighetssidan, så representeras den offentliga sektorn på nationell nivå av Regeringskansliet, inklusive Utrikes- departementet, tillsammans med de statliga myndigheterna samt kommuner och landsting. DG Enterprise and Industry vid EU- kommissionen är huvudmyndigheten i standardiseringssamman- hang på EU-nivå.

119

Den formella strukturen för nationell samordning av IT-standardiseringen

SOU 2007:47

Staplade i mitten av schemat återfinns de tre nivåerna av de for- mella standardiseringsorganen, dvs.:

•ISO, IEC och ITU på global nivå

•CEN, CENELEC och ETSI på europeisk nivå

•SIS, SEK och ITS på nationell nivå.

Sveriges Standardiseringsråd (SSR) är den gemensamma takorgani- sationen i Sverige för standardiseringsorganen.

Längst till höger finns de internationella gemenskaperna, branschinternationaler av olika slag och andra liknande organ som brukar sammanfattas som konsortier. De har i olika grad kontakt med de formella standardiseringsorganisationerna; bl.a. anses en del initiativ komma från konsortiesidan för införande i CEN-proces- sen på europeisk nivå via CEN:s workshops.

Längst till höger i figuren har också företagssektorn markerats med en ruta.

Den grå cirkeln mitt i figuren illustrerar utredningsdirektivens utpekade behov av samordning av deltagandet från svenska myn- digheter och offentliga organ i IT-standardiseringen. I kapitel 13 återkommer vi med överväganden och förslag till former för en förbättrad samordning.

120

5Statens roll och myndigheternas ansvar

Utöver de roller som staten har som delägare i SSR, som anslagsgi- vare till svensk standardisering och som medlem i EU, så har staten även andra roller i standardiseringsarbetet. En sådan är att staten genom myndigheterna har ett ansvar för IT-standardiseringen inom de egna sakverksamheterna. Den första rollen beskrevs i kapitel 3, den andra rollen i kapitel 4, och det sistnämnda ansvars- området, verksamhetsansvaret, behandlas i detta kapitel.

5.1Allmänt om myndigheternas ansvar

Den statliga förvaltningen består av ett stort antal självständigt ledda myndigheter. Den mål- och resultatstyrning som tillämpas inom svensk statsförvaltning innebär att myndigheterna har fått ökad frihet att välja de bästa sätten att använda tillgängliga resurser, för att uppnå de mål som riksdag och regering fastställt för myn- dighetens verksamhet.

Det är ytterst få myndigheter som har IT-standardisering som en särskilt utpekad fråga i sina instruktioner och regleringsbrev; PTS och Verva är dock två. Det finns inte heller några generella skrivningar från regering och riksdag som särskilt ställer krav på att myndigheterna arbetar med och bevakar IT-standardiseringsområ- det, eller som på annat sätt gör tydligt vilket mandat myndigheter har att ge sig in i standardiseringsengagemang. Sådana engagemang är i en del fall konsortier och andra inslag av informell standardise- ring medan de i andra fall är väl så formella bl.a. genom att de ingår i EU:s kommittologiförfarande där tekniska specifikationer av styrande karaktär tas fram.

För den absoluta majoriteten av myndigheter ingår IT-standar- diseringen i det generella sakansvar som varje myndighet har att på

121

Statens roll och myndigheternas ansvar

SOU 2007:47

ett effektivt sätt bedriva den verksamhet som statsmakterna fast- lagt.

För myndigheterna ingår därför IT-standardisering som en del av den normala verksamhetsutvecklingen – inte som ett separat verksamhetsområde. Den beskrivning av standardiseringsarbetet inom olika samhällssektorer som görs i bilaga 4 innehåller på grund av detta även ett stort mått av verksamhetsbeskrivningar. I detta kapitel tar vi enbart upp de mer formella dokument som hos olika myndigheter kan kopplas till IT-standardisering.

5.2Svenska myndigheters EU-arbete

De senaste åren (2006–2007) har kommissionen formulerat en handlingsplan för gemenskapens generella behov av standarder som kan förutses utifrån de politiska beslut som fattas.TPF1FPT Planen har kompletterats med ICT Standardisation Work Programme som mer i detalj beskriver behovet av gemensamma standarder på ICT- området.TPF2FPT

Ur EU-texten kan utläsas hur olika direktiv kommer att öka behovet av engagemang hos myndigheter att delta i projekt där standardisering förekommer, innan frågorna mognat till eventuella standardiseringsmandat eller CEN-workshops.

Exempel på prioriterade standardiseringsområden för 2007 är:

•RFID

•digital television

•implementering av Single Euro Payment Area

•tillgänglighet för äldre

•öppna dokumentformat

•e-hälsa

•e-lärande

•diverse säkerhetsaspekter.

Dessa områden berör många olika myndigheters arbete. Utöver detta förekommer horisontella aktiviteter, där det kan vara svårt att på förhand hänvisa till någon specifik myndighet.

1TP PT Action Plan för European Standardisation. 15 march, 2007 final. DG ENTR. 2TP PT 2007 ICT Standardisation Work Programme. 15 march. DG ENTR.

122

SOU 2007:47

Statens roll och myndigheternas ansvar

5.3Självständigt ledda myndigheter och representation i standardiseringsorganen

Som framgått av tidigare beskrivningar i utredningen är IT-stan- dardiseringsområdet mycket heterogent vad gäller organisations- former – nationellt, på Europanivå och globalt. Här finns formella standardiseringsorgan som är sanktionerade av EU respektive WTO samt olika internationella konsortier bestående av privata och offentliga aktörer.

Den självständighet som myndigheterna har innebär att varje myndighet kan fatta egna beslut om, och i så fall hur, myndigheten ska vara representerad i olika standardiseringsorgan både nationellt och internationellt.

Myndighetens val av vilket standardiseringsorgan man deltar i kan ha oväntat stor betydelse. Deltagandet i en viss organisation kan t.ex. bidra till en viss ”legitimering” av denna organisation och de standarder den utarbetar. Om det dessutom finns konkurre- rande standarder kan denna effekt på marknaden bli än mer påtag- lig beroende på det val berörd myndighet gör.

Allt arbete i standardiseringsorganisationerna är dessutom fri- villigt, så intensiteten och aktiviteten i myndigheternas nationella och internationella engagemang är varierande. Inom Sverige ser vi hur olika myndigheter i olika hög grad använder sig av och deltar i det formella IT-standardiseringsarbetet inom SIS.

Ett skäl man nämner för lågt engagemang i den formella stan- dardiseringen, är att det tar lång tid att arbeta med IT-standardise- ring inom SIS ramar. Ett annat skäl är att SIS tar betalt av myndig- heten när denna måste köpa de standarder man varit med och tagit fram.

Lantmäteriverket är en av de myndigheter som aktivt arbetar inom SIS med IT-standardisering – verksamheten bedrivs i ett sär- skilt projekt, Stanli, som beskrivs närmare i bilaga 4.

Det kan, åtminstone teoretiskt sett, ha viss betydelse vilka stan- dardiseringsorganisationer myndigheterna väljer att engagera sig i. Kanske kan avvägningen i användandet av formella eller de facto- standarder påverkas av vilket val myndigheten gör, kanske finns det en större risk för tillkomsten av nationella standarder om inte for- mella standardiseringsorgan används. Dessa risker ska å andra sidan inte överdrivas i och med att IT-standardiseringen i hög grad drivs av marknadsaktörer.

123

Statens roll och myndigheternas ansvar

SOU 2007:47

5.4Några myndigheters instruktioner och regleringsbrev m.m. om IT-standardisering och näraliggande frågor

I det följande beskrivs instruktioner och regleringsbrev vid några myndigheter som är av särskilt intresse för utredningen.

5.4.1PTS

Instruktionen för Post- och telestyrelsen (SFS 1997:401, senaste ändring 2006) beskriver myndigheten som en central förvaltnings- myndighet med ett samlat ansvar (sektorsansvar) inom postområ- det och området för elektronisk kommunikation. Vad gäller stan- dardisering nämns särskilt (4 §) dess deltagande i nationellt och internationellt standardiseringsarbete samt att myndigheten när den beslutar om föreskrifter ska ta hänsyn till nationell och inter- nationell standard (5 §). Angående den internationella standardise- ringen framhålls i instruktionen att:

•PTS ska inom EU-arbetet och annan internationell verksamhet bl.a. handlägga frågor rörande Sveriges deltagande i verksam- heten inom EU, världspostföreningen UPU, den europeiska post- och telesammanslutningen CEPT, den internationella teleunionen ITU och annat internationellt samarbete, delta i nationellt och internationellt standardiseringsarbete samt hand- lägga ärenden som teknisk och ekonomisk koordinering enligt EUTELSAT.

Av PTS regleringsbrev för 2007 framgår att myndigheten i årsredo- visningen bl.a. ska återrapportera följande:

•en samlad redogörelse för resultatet av arbetet i de internatio- nella organisationer där PTS deltar, inklusive EU

•det standardiseringsarbete PTS deltar i och på vilket sätt arbetet främjar Sverige.

Inom sitt sektorsansvar verkar PTS övergripande för att standardi- seringen ska fungera väl såväl globalt, regionalt som nationellt och inom postområdet deltar PTS i en grupp inom SIS som behandlar standarder med bäring på tillämpningen av framför allt EU:s regler inom området.

124

SOU 2007:47

Statens roll och myndigheternas ansvar

Utvecklingen inom området elektronisk kommunikation är till stor del teknikdriven och drivs huvudsakligen av de stora mark- nadsaktörerna – ibland kompletterad med ny teknik driven av mindre innovationsföretag. För att ha en god uppfattning om vilka statliga åtgärder som kan tänkas vara nödvändiga för en gynnsam utveckling av sektorn behöver PTS ha en bred uppfattning om utvecklingen inom hela sektorn. Deltagande i standardisering eller annat internationellt arbete ger oftast en god uppfattning om utvecklingen, eftersom forskning, utveckling och standardisering ofta går hand i hand.

Områden där PTS löpande kan behöva delta aktivt i standardise- ringen, åtminstone på policynivå, är t.ex. radio- och EMC-paramet- rar som påverkar frekvensplanering och samexistensmöjligheter, nummer- och adresseringsfrågor, samtrafikfrågor, säkerhet och funktionshinder. Andra områden kan vara av mer tidsbegränsad karaktär, t.ex. kvalificerade elektroniska signaturer, framtida nät som Next Generation Network (NGN), positionering i IP-nät, nödsamtal i IP-nät, Ultra Wide Band (UWB), Software Defined Radio (SDR), IP-tv, mobil-tv och elektromagnetiska fält (EMF).

De standardiseringsorgan där PTS normalt deltar är ITS, SEK och SIS, listade i arbetsmängdsordning.

På europeisk nivå deltar PTS i första hand i ETSI, i viss mån i CENELEC men normalt inte i CEN. Man deltar även i verkställig- hetskommittéerna COCOM, RSC och TCAM, där standardisering berörs.

På global nivå deltar PTS i ITU, med tonvikt på ITU-R där den stora delen av arbetet är frekvensharmonisering och endast en mindre del standardisering, samt även i ITU-T som främst är ett standardiseringsorgan. Inom IEC deltar PTS i vissa frågor rörande EMC och radiostörningar. PTS deltar däremot normalt sett inte i ISO.

PTS deltar också vid behov i andra organisationer, t.ex. IETF.

5.4.2Kommerskollegium

Enligt sin instruktion 1998:279 ska Kommerskollegium i enlighet med bl.a. Europaparlamentets och rådets direktiv 98/34/EG anmäla regler som avses i förordningen (1994:2029) om tekniska regler samt ta emot och bereda anmälningar och andra meddelanden enligt samma direktiv. Kommerskollegium bevakar därmed att den

125

Statens roll och myndigheternas ansvar

SOU 2007:47

myndighet som tänker ändra, eller utarbeta en ny, teknisk regel ska undersöka om det redan finns en internationell eller europeisk standard på området samt utreda möjligheten att anpassa regeln till den.

Kommerskollegiets verksamhet beskrivs närmare i kapitel 4.

5.4.3Verva och förvaltningspolitiken

Verket för förvaltningsutveckling (Verva) är enligt instruktionen (SFS 2005:860) central förvaltningsmyndighet för utveckling av en sammanhållen statlig förvaltning. Verket ska bl.a. främja använd- ningen av informationsteknik i offentlig förvaltning. Bland upp- gifterna nämns att verket ska ”främja användningen av enhetliga kvalitetskrav och riktlinjer för användningen av informationstek- nik”. Detta ska fullgöras genom samverkan med myndigheter samt att man erbjuder samverkan med landsting och kommunerTPF3FPT.

Vidare svarar Verva för en samordnad upphandling inom områ- det informationsteknik och man ska se till att den offentliga för- valtningen använder gemensamma funktioner och lösningar samt tar hänsyn till intresset för innovationer och teknikneutrala lös- ningar.

Av 3 § i förordningen (2003:770) om statliga myndigheters elektroniska informationsutbyte framgår att verket får meddela föreskrifter i fråga om standarder eller liknande krav som ska vara gemensamma för elektroniskt informationsutbyte för myndighe- terna under regeringen.

Av regleringsbrevet för 2006 framgår bl.a. att verket ska bidra till en ökad användning inom statsförvaltningen av gemensamma grundfunktioner för elektroniska tjänster och elektronisk kommu- nikation. Bland uppdragen nämns särskilt främjandet av e-legiti- mationer i offentlig förvaltning i enlighet med ett ramavtal från 2004.

Under 2006 utarbetade Enheten för statlig förvaltningsutveck- ling inom Finansdepartementet programmet Bättre service för varje skattekrona – strategi för fortsatt utveckling av elektronisk förvaltning

(juni 2006). Denna strategi vänder sig till hela statsförvaltningen och Verva nämns särskilt i samband med genomförandet. Även standardiseringsaspekten tas upp. Exempelvis avser regeringen att

3TP PT En redogörelse för Vervas samordningsarbete i dag finns i: Samordnings- och samverkans- former. Av Desirée Veschetti Holmgren, Verva. PM, 2007–02–20.

126

SOU 2007:47

Statens roll och myndigheternas ansvar

låta analysera om det behövs en enhetlig informationshantering, särskilt om det behövs en gemensam terminologi för statsförvalt- ningen som grund för förvaltningsgemensamma grundfunktioner och specifikationer. Vidare avser regeringen att ge riktlinjer för att vidareutveckla förvaltningsgemensamma specifikationer för säker elektronisk kommunikation och informationsöverföring.

Under 2006 har regeringen fattat beslut om ett obligatorium för alla statliga myndigheter att hantera inkommande och utgående fakturor elektroniskt fr.o.m. den 1 juli 2009. Verva, Ekonomistyr- ningsverket och några andra myndigheter är involverade i genom- förandet.

5.4.4Lantmäteriverket

Enligt instruktionen för det statliga lantmäteriet (SFS 1995:1418) är Lantmäteriverket central förvaltningsmyndighet för frågor om fastighetsindelning samt grundläggande geografisk information och fastighetsinformation. Man har även ett nationellt samordningsan- svar för produktion, samverkan, tillhandahållande och utveckling inom grundläggande geografisk information och fastighetsinfor- mation. Inom verket (12 §) finns ett geodataråd som är rådgivande och som bl.a. ska bidra till utvecklingen av den nationella och internationella infrastrukturen inom geodataområdet genom att t.ex. stödja tillämpningen av standarder. Lantmäteriverket har till- sammans med geodatarådet och andra berörda intressenter på regeringes uppdrag arbetat fram en nationell strategi för en effektiv och utvecklad informationsförsörjning inom geodataområdet. Strategin överlämnades till regeringen den 31 mars 2007

Av regleringsbrevet för 2006 framgår att myndigheten bl.a. ska samordna de förberedande insatserna vid berörda myndigheter som krävs för att genomföra Inspire-direktivet. Vidare ska verket tillgo- dose angelägna samhällsbehov och svara mot användarnas behov och efterfrågan, bl.a. genom ett brett utbud av standardiserade grunddataprodukter och grunddatatjänster.

127

Statens roll och myndigheternas ansvar

SOU 2007:47

5.4.5Socialstyrelsen

Socialstyrelsen är, enligt instruktionen (SFS 1996:570, senaste änd- ring 2006), central förvaltningsmyndighet för verksamhet som rör socialtjänst, hälso- och sjukvård m.m. Även sektorsansvaret för handikappfrågor nämns i första paragrafen.

Enligt regleringsbrev för 2006 ska Socialstyrelsen:

...under 2006 förbereda för att ta ett övergripande nationellt och stra- tegiskt ansvar för att individbaserad patientinformation görs mer entydig, uppföljningsbar och tillgänglig. Arbetet bör under 2006 inriktas på att skapa förutsättningar för en gemensam nationell infor- mationsstruktur och enhetliga begrepp och termer. Socialstyrelsen skall vidare bidra till en europeisk samordning av informationsstruktu- ren inom hälso- och sjukvården genom att etablera ett nätverkskontor inom ramen för European Society for Quality in Health care (ESQH).

Socialstyrelsen ska vidare normera användningen av nationella ter- mer och begrepp samt ta fram en enhetlig informationsstruktur inom hälso- och sjukvård samt omsorg, i syfte att skapa en tydlig information som stöder kommunikation och samverkan mellan huvudmän. Socialstyrelsen ska vidare, i samråd med Läkemedels- verket, utreda möjligheterna att införa ett kodsystem som anger läkemedels förskrivningsorsak på recept.

Socialstyrelsen har också, liksom bl.a. Verva och Riksarkivet, föreskriftsrätt rörande IT-standardisering.

5.4.6Myndigheten för skolutveckling

Enligt instruktionen (SFS 2002:1161) ska Myndigheten för skolut- veckling stödja kommuner och andra huvudmän i deras utveckling av verksamheten, så att nationellt fastställda mål och likvärdighet i utbildningen uppnås. Myndigheten ska bl.a. stödja användningen av informationsteknik (2 §).

Av regleringsbrevet för 2006 framgår bl.a. att myndigheten 2005 fick i uppdrag att främja utveckling och användning av informa- tionsteknik i förskola, skola och vuxenutbildning; detta uppdrag ska redovisas 2009.

128

SOU 2007:47

Statens roll och myndigheternas ansvar

5.4.7Kungliga biblioteket

Enligt instruktionen (SFS1996:505) har Kungliga biblioteket (KB) ett antal nationalbiblioteksfunktioner, t.ex. att tillhandahålla den svenska tryckproduktionen i dess helhet samt vissa elektroniska dokument. Biblioteket ska vidare svara för samordning, utveckling och visst utredningsarbete inom biblioteksområdet. Samordnings- rollen gäller i första hand forskningsbiblioteken.

Den s.k. KB-utredningen föreslog i sitt betänkande KB – ett nav i kunskapssamhället (SOU 2003:129) bl.a. att KB skulle få ett ode- lat ansvar för utveckling och samordning av informationsförsörj- ning till alla offentligt finansierade och tillgängliga bibliotek, dvs. även folk- och länsbiblioteken.

5.4.8Myndigheten för handikappolitisk samordning (Handisam)

Enligt instruktionen (SFS 2005:1073) är Handisam central förvalt- ningsmyndighet för samordningen av arbetet inom det handikapp- politiska området. Av regleringsbrevet för 2007 framgår bl.a. att myndigheten genom omvärldsanalys och samordning ska bidra till att handikapperspektivet får ett ökat genomslag i standardiserings- arbete, upphandling och forskning.

5.4.9En slutkommentar

Ovanstående översikt är inte resultatet av en fullständig och syste- matisk genomgång av alla regleringsbrev; det kan finnas fler myn- digheter som har standardiseringsfrågor i sina regleringsbrev. Den genomgång som gjorts visar dock att flertalet myndigheter saknar uttryckliga hänvisningar till standarder i sina regleringsbrev och instruktioner. De få hänvisningar som finns gäller myndigheter med centrala roller, generellt eller inom en sektor, och det vanliga mönstret är att standarder anses vara en normal del av verksam- hetsansvaret och därför inte anses behöva regleras uttryckligen.

129

6Interoperabilitet och gemensamma specifikationer i e- förvaltningen

6.1Regeringens förvaltningspolitiska handlingsprogram och våra direktiv

Vi övergår nu till att behandla möjligheterna till förbättran sam- ordning av IT-standardiseringsarbetet inom den offentliga sektorn. I centrum står e-förvaltningens behov av standarder.

6.1.1Regeringens handlingsprogram

Innan vi går vidare kan det finnas skäl att diskutera definitionen av begreppet e-förvaltning (vi återkommer till detta i kapitel 12). Regeringen använder begreppet, t.ex. i budgetpropositionen 2007 (prop. 2006/07:1, Bilaga 8, UO2) utan någon uttrycklig definition, I stället beskriver man snarare vad man förväntar sig av e-förvalt- ningen:

Utvecklingen av elektronisk förvaltning skall göra det enklare för myndigheter att samverka och för medborgare och företag att utöva sina rättigheter och fullgöra sina skyldigheter gentemot förvaltningen.

Den slutsats man kan dra av detta är att e-förvaltning helt enkelt avser offentlig förvaltning som samverkar med omgivningen med hjälp av elektronik.

Regeringen har fastlagt ett förvaltningspolitiskt handlingspro- gram i vilket det ingår en strategi för fortsatt utveckling av e-för- valtningen. I strategin fastställs tre mål som den statliga förvalt- ningen ska ha ska uppnått till 2010:

131

Interoperabilitet och gemensamma specifikationer i e-förvaltningen

SOU 2007:47

•en effektiv informationshantering som gör informationen lättillgänglig och användbar

•en i lämpliga delar automatiserad ärendehantering

•kapacitet att hantera sina inköpsprocesser elektroniskt.

Även om strategin huvudsakligen riktar sig till den statliga förvalt- ningens chefer och anställda kan den enligt propositionen också vara till nytta för förtroendevalda och anställda i kommuner och landsting.

I budgetpropositionen 2007 (prop. 2006/7:1) finns flera punkter som berör standardiseringsfrågor inom e-förvaltningen och man prioriterar följande:

Regeringen skall säkerställa att förvaltningen utvecklar gemensamma principer för hur statlig registerinformation enklare skall kunna utby- tas, samt att myndigheter använder enhetliga format för övrig infor- mationsöverföring och kommunikation när det krävs. Vidare kommer regeringen att tillse att statsförvaltningen i samverkan med kommuner och landsting utvecklar och tillämpar förvaltningsgemensamma speci- fikationer för elektronisk identifiering, signering, lagring samt sökning av elektroniska meddelanden och dokument. Angelägna pilotprojekt som skall finansieras samordnat skall identifieras. Regeringen skall ut- veckla former för en sådan finansiering samt fördela samordningsan- svar för dessa projekt. Uppföljningen och granskningen av myndighe- ternas IT-baserade utvecklingsarbete skall stärkas.

Sett i efterhand kan man konstatera att det terminologiska skiftet från 24-timmarsmyndighet till sammanhållen e-förvaltning, med dess betoning på samverkan internt och med omvärlden, är en vik- tig markering även för vårt utredningsuppdrag, eftersom IT-stan- darder i grunden handlar om att skapa förutsättningar för samver- kan.

6.1.2Utredningens utgångspunkter för förbättrad samordning

Huvudsyftet med samordningen av IT-standardiseringen är beho- vet av förbättrad interoperabilitet mellan de system som finns i olika delar av den offentliga sektorn. I det följande diskuterar vi först innebörden av interoperabilitet och dess samband med myn- digheternas verksamhetsansvar. Därefter behandlar vi begreppet gemensamma kravspecifikationer, dvs. ett av de samordnings-

132

SOU 2007:47

Interoperabilitet och gemensamma specifikationer i e-förvaltningen

instrument som Verva behandlat i två rapporterTPF1FPT till utredningen samt arkitekturbegreppet som ett ramverk för att välja standarder och andra gemensamma specifikationer för att uppnå den önskade interoperabiliten. Formerna för samordningen diskuteras närmare först i kapitel 12.

6.2Interoperabilitetens fyra nivåer

På EU-nivå prioriteras arbete med sådant som främjar informa- tionsutbytet över organisationsgränserna, dvs. interoperabiliteten. En liknande prioritering har också gjorts av Verva. Interoperabilitet behövs för att åstadkomma en effektiv och rättssäker ärendehan- tering och inbegriper även en viss harmonisering av modeller och metoder. Interoperabilitet är ett centralt krav för att uppnå en sam- verkande e-förvaltning. EU-programmet IDABC publicerade 2004

European Interoperability Framework (EIF) som bygger på de tre nivåerna teknisk, semantisk och organisatorisk interoperabilitet.

Sverige och andra länder har identifierat många exempel på rättsliga hinder för interoperabiliteten, t.ex. registerlagar, vilket motiverar att man även talar om rättslig interoperabilitet som en fjärde nivå (se figuren nedan).

Figur 6.1 Interoperabilitetsnivåer

Rättslig interoperabilitet

Organisatorisk interoperabilitet

Semantisk interoperabilitet

Teknisk interoperabilitet

Hittills har man mest koncentrerat sig på den tekniska nivån, för att på så sätt kunna kommunicera mellan olika IT-system. Diverse standarder har rekommenderats, gränssnitt har fastställts och systemlösningar har utvecklats, upphandlats och anpassats så att systemen kan utbyta data. Därmed har man dock inte löst det egentliga behovet av att utbyta verksamhetsinformation utan

1TP PT Detta kapitel bygger i mycket på Vervas rapporter Att utveckla och använda gemensamma kravspecifikationer (2007–03-28), Ramverk för interoperabilitet och återanvändbarhet i e- förvaltningen (2007–05–25) samt Ekonomiska samband kring ett förvaltningsgemensamt arkitekturramverk med kravspecifikationer. PM 2007-03-30 av Maria Yperidis.

133

Interoperabilitet och gemensamma specifikationer i e-förvaltningen

SOU 2007:47

endast skapat grundförutsättningar i form av teknisk anslutning eller ihopkoppling (interconnectivity). Detta är förstås viktigt, men inte den enda – eller ens avgörande knut – som behöver lösas upp. Den befintliga IT-infrastrukturen klarar i dag de flesta rent tek- niska krav med allmänt tillgängliga marknadslösningar. För att data ska kunna tolkas som information behövs sammanhang, struktur och överenskomna definitioner av använda begrepp, vilket för dis- kussionen vidare till den semantiska nivån i modellen.

Här har en hel del arbete gjorts. Informationsmodeller har utvecklats med hjälp av standardiserade struktureringsmetoder, t.ex. XML-scheman, vilka i sin tur är en W3C-rekommendation. Detta är ett viktigt steg på vägen, ibland även kallat syntaktisk interoperabilitet, men inte heller detta är tillräckligt.

För att uppnå full semantisk interoperabilitet behövs förvalt- nings- eller sektorsgemensamma begreppsanalyser med en tydlig ansvarsfördelning och förvaltning av fastställda terminologidefini- tioner. Samordning av begrepp, semantiken, betraktas numera som en kritisk framgångsfaktor för att förverkliga den samverkande för- valtningen och arbete har inletts, bland annat inom vårdsektorn, där regeringen har gett Socialstyrelsen ett samordningsansvar. Detta är dock ett generellt arbete som inte kan sägas höra ihop med IT-standardiseringen, men det är en viktig generell förutsättning (som behandlas utförligare i kapitel 11). För att samverkan mellan IT-system ska vara möjlig är behovet av begreppssamordning något smalare och begränsas till de begrepp som ingår i de informations- modeller som beskriver gränssnittet mellan berörda system. Meto- der och beskrivningsspråk skiljer sig också från det renodlade ter- minologiarbetet, som sker inom bl.a. TNC.

I Vervas regeringsuppdrag (22 februari 2007) om att underlätta informationsutbytet för att främja den automatiserade ärendehan- teringen ingår att föreslå hur ansvaret för begreppssamordningen bör fördelas mellan sakmyndigheter. På den organisatoriska nivån handlar det om att tydliggöra och vid behov anpassa mål, roller, resurser och ansvar så att verksamhetsprocesser som är beroende av samband över organisationsgränser hänger ihop och fungerar smi- digt, och inte motverkas av oklara eller motstridiga organisatoriska förhållanden. Hit kan även ekonomiska samordningsbehov räknas, t.ex. fördelningen av kostnader och intäkter samt anslags- och avgiftsbaserade finansieringsmodeller. På denna nivå kan exempel- vis införandet av standardiserade ledningssystem för kvalitet,

134

SOU 2007:47

Interoperabilitet och gemensamma specifikationer i e-förvaltningen

informationssäkerhet, dokumenthantering och IT-drift vara ett bra stöd.

På den rättsliga nivån slutligen gäller att alla berörda parter har ett rättsligt stöd för den samverkan som man behöver och avser att medverka i. Om det finns oförenliga regelverk, eller om rättsläget är oklart, räcker det inte om de tekniska, semantiska och organisa- toriska förutsättningarna för samverkan föreligger; samarbetet kan ändå inte sättas igång. Denna situation är tyvärr inte helt ovanlig och tar vanligtvis lång tid att lösa upp. I första hand gäller det då att klarlägga om hindret är avsiktligt och relevant, eller om det är oav- siktligt och beror på att regelverket skapades i en annan tid med andra förutsättningar. På den rättsliga nivån finns också ett behov av att i förväg undvika att skapa ett regelsystem som motverkar interoperabilitet.

6.3Interoperabiliteten som en del av myndighetsansvaret

Regeringen beslöt 30 november 2006 att ge uppdrag till Verva att leda och samordna statsförvaltningens utvecklingsarbete med säker elektronisk kommunikation och dokumenthantering. Regeringen framhöll att de tekniska lösningar som finns bör vara ”interope- rabla” så att medborgaren eller företaget inte behöver använda olika metoder för kommunikation med olika myndigheter.

Begreppet interoperabilitet är ett relativt nytt ord i förvaltnings- sammanhang. I de regeringsbeslutet som innehåller uppdrag till Verva (utöver ovanstående även den 22 februari 2007 om automati- sering av viss ärendehantering m.m.) används följande uttryck med näraliggande betydelse:

•principer för hur statlig registerinformation enklare skall kunna utbytas samt

•enhetliga format för informationsöverföring och kommunika- tion.

Om man kombinerar ovanstående uttryck med kraven på automa- tiserad handläggning får man de olika beståndsdelar som interope- rabilitet i e-förvaltningen innehåller:

•metoder för

•effektiv kommunikation

135

Interoperabilitet och gemensamma specifikationer i e-förvaltningen

SOU 2007:47

•mellan system och organisationer.

Även om behovet av interoperabiliteten i beslutet av den 30 november begränsas till frågor som rör säkerhet har dessa dock en vidsträckt tillämpning och innefattar bl.a. förutsättningar för med- borgarnas och andra användares användning av e-legitimation och för säkert informationsutbyte av information mellan stat, kommun, landsting och företag överhuvudtaget.

Det framgick vidare ovan att regeringen i budgetpropositionen 2007 (prop. 2006/7:1) lagt fast ett förvaltningspolitiskt handlings- program som bl.a. syftar till att förvaltningen utvecklar gemen- samma principer för hur statlig registerinformation enklare skall kunna utbytas, samt att myndigheter använder enhetliga format för övrig informationsöverföring och kommunikation när det krävs. Gemensamma standarder är en förutsättning för interoperabilitet och värdet av en sammanhållen e-förvaltning ökar med större bredd och djup i interoperabilitet.

Också i vårt utredningsuppdrag motiveras den förbättrade sam- ordningen av användningen av IT-standarder med behovet av interoperabilitet som definieras som ”att information lätt skall kunna föras mellan olika tekniska miljöer”. Även om man i de ovannämnda formella dokumenten inte alltid använder begreppet interoperabilitet är det sålunda en centralt mål för regeringen.

Den vikt som möjligheterna till ett effektivt informationsut- byte, dvs. interoperabiliteten, har fått i regeringens beslut, som refererats ovan, och den starka kopplingen mellan dessa frågor och myndighetsansvaret motiverar ett särskilt framhävande av interope- rabiliteten

Exempel på problem sammanhängande med brister i interopera- bilitet är att kommuner och länsstyrelser måste kommunicera med många olika myndigheter vilket skapar svårigheter när myndighe- terna väljer olika systemlösningar, olika användargränssnitt och därmed ställer olika krav på kommunikationen med användarna. Ju enhetligare lösningar myndigheterna har desto enklare blir kom- munikationen för denna typ av användare.

Även medborgarna vinner på ökad enhetlighet. Det pågår sedan länge en debatt om behovet av e-legitimation som medborgarna skall kunna använda vid sina kontakter så långt möjligt i alla sina kontakter med omvärlden, på samma sätt som identitetshandlingar i pappersform. Detta förutsätter enhetliga lösningar hos motta- garna.

136

SOU 2007:47

Interoperabilitet och gemensamma specifikationer i e-förvaltningen

Andra exempel är att de elektroniska ingångarna till myndighe- ternas information, tjänster och ärenden ser olika ut och begrepp definieras olika, t.ex. inkomst, vilket skapar problem vid kontak- terna. Ett ytterligare exempel är att medborgarna behöver veta i kontakter med myndigheter när gränsen passeras mellan myndig- heternas informationsgivning och myndighetsutövning, t.ex. när man frågar Skatteverket om en skattefråga. Det uppstår problem för användaren om denna gräns är otydlig eller ser olika ut i olika myndigheters portaler.

En grundsten i den statliga förvaltningens arbete är de offentliga register som finns hos ett stort antal myndigheterTPF2FPT. Information utbyts ständigt mellan dessa register och mellan dem och användare av olika slag. Kommunerna behöver t.ex. underlag för beslut om utskänkningstillstånd från Svenskt näringslivsregister (Bolagsver- ket), Beskattningsdatabasen (Skatteverket) samt Utsöknings- och indrivningsdatabasen (Skatteverket och kronofogdemyndighe- terna).

Redan i dag förekommer ett omfattande elektroniskt uttag av uppgifter från de stora statliga registren. Många myndigheter och kommuner får filer överförda via en fast uppkopplad förbindelse, uppringd ISDN-koppling eller servicebyråtjänst. Uppgifterna leve- reras i det systemspecifika format som används vid registerhållande myndighet och mottagande myndighet har anpassat sina lösningar därefter. Flera register erbjuder också myndigheterna möjligheten att genom en webbtjänst eller genom terminaluppkoppling söka ut och titta på efterfrågad information (eventuellt via en återförsäl- jare).

Det påpekas i Statskontorets rapport (2004, se fotnoten nedan) att så länge den mottagande myndighetens tillämpningar fortlever oförändrade, saknas ofta drivkrafter för övergång till XML-base- rade leveransformat och standardiserade informationsstrukturer. Nya system utvecklas däremot numera normalt med hjälp av XML. En successiv övergång till standardiserade format för informations- utbytet mellan förvaltningsorganisationerna är, enligt rapporten, en förutsättning för framväxten av en sammanhållen elektronisk för- valtning.

2TP PT Se bilaga 4, Statlig e-förvaltning. Texten i bilagan liksom i delar av huvudtexten i detta avsnitt bygger på Statskontorets rapport Förstudierapport Standardmeddelande. Bilaga 2,. Standardmeddelanden hos några registermyndigheter – en kartläggning av behov och möjligheter. 2004:22.

137

Interoperabilitet och gemensamma specifikationer i e-förvaltningen

SOU 2007:47

Beträffande de standarder och normer som kan komma i fråga för leverans- och mottagningsformat så förefaller XML vara den givna utgångspunkten med hänsyn till att det är en globalt accepte- rad standard. Att ersätta eller komplettera de stora statliga regist- rens nuvarande systemspecifika format med ett XML-baserat sådant, måste inte förutsätta en förändring av registrens interna format. Även med bibehållande av nuvarande format kan, enligt Statskontorets rapport, informationen struktureras och beskrivas i standardiserat, XML-baserat format och konvertering ske i ett sär- skilt moment före leverans (som ett alternativ till att alltfler använ- dare måste genomföra motsvarande konvertering i samband med mottagandet). Vi har i vårt utredningsarbete inte kunnat komma fram till någon annan inställning än den som här refererats.

En vanlig metod för att svara mot behovet av interoperabilitet är SHS-systemet (spridnings- och hämtningssystemTPF3FPT) som utvecklats av dåvarande Statskontoret. SHS ingår som en del i Vervas ramav- tal, dvs. det kan upphandlas på marknaden. SHS används i dag av 23 statliga myndigheter och 83 kommunala organisationer. Exempel- vis får Försäkringskassan information genom SHS om sjukanmälan och vård av barn från vissa kommuner. och Skatteverket skickar olika informationstyper till Försäkringskassan, Bolagsverket, SCB och Länsstyrelsen i Stockholm. SHS baseras numera i växande utsträckning på XML.

6.4Gemensamma specifikationer

6.4.1Definition

Regeringen angav i IT-propositionen (prop. 2004/05:175, sid. 101– 105) att det måste finnas gemensamma grundfunktioner och speci- fikationer inom hela förvaltningen för att skapa förutsättningar för och underlätta utvecklingen av en sammanhållen förvaltning. Begreppet grundfunktioner förekommer på 23 ställen i denna pro- position. Verva har sedan dess analyserat begreppet närmareTPF4FPT, och det visade sig att det fanns finnas två typer av tolkningar.

Den ena tolkningen var att grundfunktioner innebar konkreta tekniska lösningar (produkter eller tjänster) som tillgodosåg ett

3TP PT SHS-systemet beskrivs närmare i Bilaga 4 (under rubriken Statlig e-förvaltning).

4TP PT Se Vervas rapport till utredningen Att utveckla och använda gemensamma kravspecifikationer

(2007–03-28) vi använder även ”gemensamma specifikationer” med samma betydelse.

138

SOU 2007:47

Interoperabilitet och gemensamma specifikationer i e-förvaltningen

generellt funktionsbehov, t.ex. av det slag som representeras av e- legitimation, SHS m.fl. sådana existerande tjänster som upphand- lats och finns tillgängliga på marknaden.

Den andra tolkningen var att grundfunktionen i stället var krav- specifikationer för hur man förverkligar grundfunktionen och att dessa inte får bygga på någon specifik produkt eller tjänst utan sna- rare ska beskriva generella byggstenar eller funktioner som olika leverantörer kan utveckla i olika lösningar för sina produkter eller tjänster.

De två tolkningarna bygger på två olika filosofier om vad som är ett centralt samordningsorgans huvuduppgift när det gäller gemen- samma funktioner: att initiera, upphandla eller själv tillhandahålla färdiga tjänster eller att specificera byggstenar som marknaden eller andra aktörer kan kombinera och tillhandahålla. Den förra tolk- ningen har dominerat i Statskontorets verksamhet, vilket var naturligt i ett läge när det inte fanns en fungerande marknad för den typ av tjänster det gäller här. I dagens läge kan behovet av e- förvaltningstjänster i större utsträckning tillgodoses genom att man kombinerar förvaltningsanpassade byggstenar, som garanterar interoperabilitet genom att de följer förvaltningsgemensamma kravspecifikationer, med tjänster och produkter som följer öppna standarder som redan finns på marknadenTPF5FPT.

Verva har därför föreslagit att termen grundfunktioner ska ersättas med gemensamma kravspecifikationer för att tydligare mar- kera att det är den andra tolkningen som ska betonas, dvs. att beskriva hur generella byggstenar ska utformas som produkter, tjänster och informationsstrukturer.

6.4.2Användning

Olika typer av kravspecifikationer tas fram för olika syften och med olika detaljkrav, vilket kräver olika kompetens och resursin- sats. Upphandlings- och utvecklingsspecifikationerTPF6FPT ställer t.ex. skilda krav. Möjligheten att hänvisa till befintliga standarder påver- kar också i hög grad arbetsformerna, t.ex. i upphandling.

De gemensamma funktionella specifikationer som behövs för att skapa förutsättningar för interoperabilitet på de fyra nivåer som

5TP PT Denna konsekvens av marknadsutvecklingen beskrivs närmare i kap 11 i avsnittet ”Teknik- och marknadsutvecklingens betydelse för IT-standardiseringen”.

6TP PT Standarders betydelse för upphandling behandlas mer utförligt i kapitel 8 och 9.

139

Interoperabilitet och gemensamma specifikationer i e-förvaltningen

SOU 2007:47

behandlats ovan kan uppenbart vara av helt olika karaktär. Tekniska standarder och rättsliga föreskrifter utarbetas t.ex. alltför ofta obe- roende av varandra, av olika intressentgrupper, och fastställs av olika utfärdare i olika former – trots att det i praktiken behövs samverkande åtgärder på samtliga fyra interoperabilitetsnivåer för att den önskade funktionella samordningseffekten ska uppnås.

Ett aktuellt exempel är vad som krävs för att åstadkomma en samhällsövergripande lösning för elektroniska legitimationer och underskrifter:

•tekniska kravspecifikationer på kort, certifikat, spärrlistor osv.

•semantiska kravspecifikationer på begreppsapparaten

•organisatoriska kravspecifikationer på utgivare, finansiering osv.

•rättsliga kravspecifikationer på rättsverkan, ansvarsfördelning osv.

SAMSET-gruppen (ett samverkansprojekt mellan Skatteverket, Försäkringskassan, Bolagsverket och Statskontoret om elektro- niska id-handlingar) har försökt hålla ihop dessa samband och man har kommit en bit på vägen genom de vägledningar som fastställts av Nämnden för elektronisk förvaltning (e-nämnden). Behovet har dock ändrats över tid.

De förvaltningsgemensamma specifikationerna syftar till att säkerställa önskad funktion och interoperabilitet såväl inom för- valtningen som vid förvaltningens kontakter med medborgare och företag.

Traditionellt har det mesta specifikations- och standardiserings- arbetet fokuserat på den tekniska kommunikationsförmågan. Även om detta naturligtvis fortfarande är viktigt, så är trenden att den internationella marknaden klarar att tillgodose dessa grundläggande IT-lösningar utan större behov av styrning eller stöd från det offentliga. Genom utvecklingen mot moderna, flerskiktsindelade IT-arkitekturer flyttas de för slutkunden relevanta gränssnitten ständigt uppåt i värdekedjan – från tekniska infrastrukturfrågor i riktning mot informationsstrukturer och verksamhetsprocesser.

Detta gör att behovsinriktningen för nya förvaltningsgemen- samma specifikationer förskjuts från den tekniska nivån i riktning mot de semantiska och organisatoriska nivåerna. De tekniska stan- darder som används kan därför i ökande utsträckning i normalfallet harmonisera med utvecklingen på den globala IT-marknaden.

140

SOU 2007:47

Interoperabilitet och gemensamma specifikationer i e-förvaltningen

För den semantiska standardiseringen (informationsstrukturer och terminologifrågor) finns också internationella standarder avse- ende metoder och principer, men här finns ofta ett stort behov av nationella tillämpningsstandarder, t.ex. av språkliga skäl.

Även på det organisatoriska området finns internationella stan- darder i form av ledningssystem, men här finns också behov av till- lämpningsstandarder som passar svensk förvaltning, finansiering och lagstiftning.

Organisationsfrågorna gränsar till den rättsliga nivån, där det nog är mer ovanligt att tala om kravspecifikationer eller standarder i traditionell mening. Icke desto mindre är behovsbilden likartad. Det finns internationella regelverk och EU-direktiv att anpassa sig till, men framför allt finns det stora behov av att harmonisera de gällande nationella regelverken. De förvaltningsgemensamma spe- cifikationerna på den rättsliga nivån kan således ge underlag för att motivera och föreslå nya eller ändrade författningar.

6.4.3Tänkbara aktörer

Utvecklingen av förvaltningsgemensamma specifikationer skulle i princip kunna initieras respektive bedrivas av vem som helst. De bör, som tidigare framhållits, så långt möjligt bestå av eller bygga på ett urval av generellt använda marknadslösningar och standarder. På en punkt kan dock kravbilden skilja sig från marknadens utvecklingsprocesser, vilket är ett viktigt motiv för behovet av denna särskilda förvaltningsstandardisering. Om behovet av en ny förvaltningsgemensam kravspecifikation har aktualiserats genom ett politiskt beslut, en ny författning, en myndighetsinstruktion eller ett regeringsuppdrag så finns det nämligen i allmänhet ett tyd- ligt uttryckt krav på både resultat och tidsramar som förvaltningen måste hålla sig till, vilket kan vara svårt eller omöjligt att garantera i traditionella öppna standardiseringsprocesser. Möjligen finns lik- nande krav på den europeiska standardisering som sker inom CEN på EU:s uppdrag.

Nedan anges några aktörer som kan förväntas känna särskilt ansvar för detta arbete samt ha intresse och kompetens inom området:

•Varje myndighet med verksamhetsansvar och informationsut- byte med omvärlden bör ha uppmärksamheten mot dessa frå- gor och bör ta initiativ om det behövs.

141

Interoperabilitet och gemensamma specifikationer i e-förvaltningen

SOU 2007:47

•Vervas tre samverkansgrupper för statliga myndigheter, för kommuner och för näringslivsorganisationer kan komma med förslag.

•E-Forums styrgrupp, bestående av personer i eller nära led- ningen för stora e-fövaltningsmyndigheter, kan såväl lämna förslag som göra åtaganden vad gäller framtagning av kravspe- cifikationer.

•Myndighets- och leverantörssammansatta arbetsgrupper för utvalda områden, typ e-legitimation, Infratjänst m.m., finns redan.

•Formella standardiseringsorgan (SIS, CEN, ISO), där medlem- mar kan föreslå nya tekniska kommittéer och nya standardise- ringsprojekt inom dessa. Myndigheter kan vara drivande, men processen måste vara öppen för deltagande och inflytande från näringslivet. Inom SIS kan nationella standarder utvecklas, som t.ex. Stanli-projektet gör för geografisk information. Andra dokumenttyper som kräver mindre förankring kan tas fram, exempelvis tekniska specifikationer eller s.k. Workshop Agree- ments.

•Medlemmar i informella, internationella standardiseringsorgan (OASIS, W3C, IETF etc.) kan föreslå nya tekniska kommittéer och nya standardiseringsprojekt.

•Internationella samarbeten inom EU och FN kan generera för- slag, t.ex. UN/CEFACT inom e-handelsområdet; NES är ett nordeuropeiskt samarbete och SFTI är ett svenskt samarbete på samma område. Internationellt finns XBRL för finansiell information. Alla dessa kan ge underlag till förvaltningsgemen- samma specifikationer.

•Geodatarådet kan ta initiativ inom området geografisk informa- tion liksom myndigheter eller myndighetsgrupper i övrigt med gemensamt intresse för samordning inom olika områden.

•Landstingens beställarorganisation för IT i vård och omsorg kan ta initiativ inom vårdsektorn.

•Sveriges Kommuner och Landsting inom kommun- och lands- tingssektorn kan ta initiativ.

•Föreningar som Sambruk och Carelink kan ta initiativ.

142

SOU 2007:47

Interoperabilitet och gemensamma specifikationer i e-förvaltningen

•En del IT- och konsultföretag kan förväntas själva ta initiativ och bidra med förslag. Under alla förhållanden lär IT-bran- schen i hög grad komma att bidra till arbetet och resultaten, antingen på uppdrag eller av eget intresse. Detta är också önsk- värt för att tidigt få in marknads- och branschkompetens i arbetet.

Ovanstående uppräkning hindrar inte att även andra kan ta initia- tiv. Arbetet kan således bedrivas i många olika konstellationer med olika arbetsformer och förutsättningar, och en sådan öppenhet och mångfald är en förutsättning för framgång.

6.4.4Förhållandet till formella och informella standarder

Gemensamma specifikationer är i likhet med andra standardlik- nande specifikationer avsedda att så långt möjligt vara frivilliga och de bör utvecklas med möjlighet för alla berörda parter att delta på lika villkor. Det innebär att utvecklingen av gemensamma specifi- kationer som i praktiken motsvarar en ny standard så långt möjligt förväntas ske vid ett erkänt standardiseringsorgan, t.ex. SIS.

De förvaltningsgemensamma specifikationerna kan referera till andra självständiga och frivilliga standarder, främst från de erkända (eller formella) standardiseringsorganisationerna SIS, CEN, ISO eller möjligen deras motsvarigheter på elområdet SEK, CENELEC och IEC och inom telekommunikation ITS, ETSI och ITU-T.

Inom IT-området utfärdas dock många viktiga standarder av andra, informella, standardiseringsorganisationer, främst IETF, W3C och OASIS. Internet är t.ex. helt beroende av informella, globala standarder från dessa tre, och det förekommer också att formella ISO-standarder i sin tur bygger på informella W3C-stan- darder som t.ex. XML.

I samband med EU-direktiv och i upphandlingslagstiftningen kan det dock innebära problem att behöva hänvisa till informella standarder i föreskrifter och upphandlingsdokument. Rättsläget är svårtolkat och behöver belysas ytterligare. Problemet kan delvis kringgås genom att informella standarder ”upphöjs” till formella standarder genom s.k. fast track procedures, vilket har börjat före- komma i ökande omfattning. Detta är dock ingen tilltalande lös- ning, eftersom det medför följande:

•ökade kostnader för byråkrati och administration

143

Interoperabilitet och gemensamma specifikationer i e-förvaltningen

SOU 2007:47

•betydande fördröjningar mellan färdigställande och formellt fastställande av standarder

•en reducering av den formella standardiseringen till en trans- portsträcka som inte tillför något intellektuellt förädlingsvärde.

Frågan har uppmärksammats i kommissionens pågående studieTPF7FPT om behovet av förändringar i gällande policy kring ICT-standarder. Studien kommer i sin slutrapport sommaren 2007 att föreslå för- ändringar på området och kommissionen kommer i en kommuni- kation att uttala sig i saken under andra halvan av 2007.

Andra typer av syntaktiska och semantiska förvaltningsgemen- samma specifikationer används också redan i praktiken. Vervas föreskrift om elektroniska fakturor anger exempelvis en specifika- tion från SFTI – en samarbetsorganisation som omfattar Sveriges Kommuner och Landsting, Ekonomistyrningsverket och Verva.

Bolagsverkets tjänst för elektronisk ingivning av årsredovis- ningar bygger på att informationen är strukturerad enligt specifi- kationer från den internationella organisationen XBRL och på taxonomier från föreningen XBRL Sweden, som därmed i prakti- ken förvaltar specifikationen, även om denna specifikation inte uttryckligen nämns i Bolagsverkets föreskrift.

Detta är exempel på att den svenska förvaltningen använder spe- cifikationer från olika externa källor som inte räknas till de formella standardiseringsorganisationerna.

6.5Arkitektur

Inom svensk förvaltning pågår arkitekturarbete sedan länge i stora myndigheter som Skatteverket och Försäkringskassan och även inom sektorer eller områden som försvaret, rättsväsendet, länssty- relserna, vården (Carelink), geografisk information (med Lantmä- teriet som en nyckelaktör), jordbrukssektorn med flera. Dessa insatser tar sin utgångspunkt i att man vill samordna och effektivi- sera utvecklingen i den egna sektorn. Ett exempel är den struktur som beskrivs i Nationell IT-strategi för vård och omsorg (Socialde- partementet, Sveriges Kommuner och Landsting m.fl. 2006). Beho- vet av tjänster i IT-strategin för vård och omsorg riktas mot två målgrupper – dels medborgare, patient och brukare, dels vård- och omsorgspersonal.

7TP PT Sverige har genom en sekreterare från vår utredning varit representerad i styrgruppen.

144

SOU 2007:47

Interoperabilitet och gemensamma specifikationer i e-förvaltningen

Strukturen innehåller följande:

•portal

•informationssystem

•infrastrukturella stödtjänster

•standarder

•regelverk.

Till denna beskrivning har kopplats ett antal insatsområden som beskriver en projektstruktur för ett genomförande.

Olika områden har kommit olika långt och resultaten kan se ganska olika ut. Så länge skillnaderna handlar om den berörda sek- torns inre angelägenheter så är detta inget större problem, men när det finns behov av interoperabilitet måste det finns en struktur som beskriver sambanden, t.ex. en interoperabilitetetsarkitektur, se figuren nedan.

145

Interoperabilitet och gemensamma specifikationer i e-förvaltningen

SOU 2007:47

Figur 6.1 En interoperabilitetsarkitektur beskriver hur verksamhetssystem kopplas samman.

En interoperabilitetsarkitektur omfattar de datoriserade processer och den elektroniska information som är intressanta för andra organisationer att utnyttja, samt beskrivningar av de protokoll och teknologier, meddelandeformat med mera som tillämpas. Därut- över krävs ibland även organisatorisk anpassning hos de inblandade i samarbetet, varför arkitekturen ofta beskriver även organisations- överskridande processer samt de gemensamma begrepp man enats om.

I en interoperabilitetsarkitektur ges övergripande lösningar av

•integritets- och säkerhetsfrågor

•tillgänglighetsfrågor

•tillgången till förvaltningsgemensamma funktioner och resur- ser.

Motsvarande arbete pågår inom EU:s IDABC-program, där en uppdatering av ett tidigare ramverk har påbörjats; Verva deltar i detta arbete. Det svenska arkitekturramverket kommer troligen att harmoniseras med den uppdatering och utveckling som nu är på gång med IDABC-programmets European Interoperability Frame- work, kallat EIF v2.0. En förstudie har beställts av Gartner Group

146

SOU 2007:47

Interoperabilitet och gemensamma specifikationer i e-förvaltningen

som under 2007 kommer att leverera sin slutrapport med rekom- mendationer till fortsatt arbete för att kunna uppnå det föreslagna principiella målet Public services where needed.

Det preliminära förslaget bygger på att varje medlemsstat har sitt eget National Interoperability Framework (NIT), vilket Sverige således behöver ta fram.

Då krävs en organisatorisk plattform för att dela erfarenheter, samordna metoder och modeller och komma fram till vad som behöver samordnas för att möjliggöra återanvändning och effektiva verksamhetsprocesser över sektors- och myndighetsgränser.

De fyra nivåerna som beskrivits ovan är viktiga beståndsdelar i en interoperabilitetsarkitektur. Verva planerar att under 2007, i samråd med bland annat e-Forum (ett diskussionsforum för cen- trala myndigheter), föreslå ett grundläggande ramverk.

6.6Nytta, kostnad och risker

6.6.1Nytta och kostnader

I en rapport från VervaTPF8FPT analyseras bl.a. nytta, kostnader och risker förknippade med samordningen av IT-standardiseringen. Skälet till detta är att merparten av nyttorna förväntas uppstå när de specifi- kationer som finns i t.ex. föreskrifter och standarder tillämpas i konkreta funktioner. Det är också här de stora kostnaderna upp- kommer, eftersom arbetet med ramverket och kravspecifikatio- nerna är fråga om komplicerade processer med många aktörer inblandade. Framför allt betonas att man måste ta hänsyn till ris- kerna. Detta verkar vara särskilt relevant när det är fråga om IT- investeringar, där fokus annars tenderar att hamna på den tekniska nivån. Avsnittet är ett kort sammandrag av Vervas rapport, varvid

viframför allt fokuserar på de gemensamma specifikationerna. Nuläget beskrivs i rapporten på följande sätt:

•Graden av IT-standardisering i dagens förvaltning är låg.

•Det saknas samordning och gemensam strategi.

•Användbarheten är ofta outvecklad.

8TP PT Verva: Ekonomiska samband kring ett förvaltningsgemensamt arkitekturramverk med kravspecifikationer. PM 2007-03-30, av Maria Yperidis.

147

Interoperabilitet och gemensamma specifikationer i e-förvaltningen

SOU 2007:47

•Drivkrafterna för att samarbeta inom förvaltningen och hitta gemensamma och billigare lösningar är svaga.

•Det saknas bra metoder för att mäta lönsamhet för offentliga investeringar, särskilt när flera aktörer ingår.

•Lösningar utgår från tekniska möjligheter och tillgänglig pro- gramvara – inte från användarbehov, verksamhet och ekonomi.

I dag finns redan etablerade funktioner inom förvaltningen som bygger på gemensamma specifikationer, t.ex. genom implemente- ring av ramavtalsupphandlingar. Användningen har dock inte alltid fått den förankring och spridning som har förväntats.

Nyttan med ökad samverkan är att man kan uppnå en minskad flora av produkter och tjänster inom förvaltningen med ökad enhetlighet och användarvänlighet för medborgare och företag.

Kostnaderna delas i rapporten upp i förberedelser och verkstäl- lande. Under förberedelsefasen handlar kostnaderna om att kart- lägga existerande gemensamma specifikationer och standarder, behov av ny- och vidareutveckling samt hinder för interoperabilitet på olika nivåer.

Under verkställandefasen ökar kostnaderna märkbart. Det handlar om engångsinvesteringar för att ny- och vidareutveckla gemensamma specifikationer inom några grundläggande områden, skapa en webbplats med webbtjänst för att lämna förslag samt en öppen katalogtjänst, etablera en förvaltningsgemensam samord- nings- och rådgivningsfunktion (”standardiseringsenhet”), sprida och förankra information internt och externt samt genomföra utbildningsinsatser internt och externt.

I slutet av verkställandefasen avtar kostnaderna och administra- tions- och underhållsfasen tar vid. Denna fas handlar om att konti- nuerligt identifiera behov och utveckla specifikationerna, vilket kan medföra tillfälliga kostnadsökningar. Fasen innebär också att bevaka IT-standardisering, handlägga förslag till nya specifikatio- ner, följa upp specifikationer, främja samverkan, vägleda förvalt- ningen, sprida information och administrera samordningsfunktio- nen. De initialt högre kostnaderna under administrations- och underhållsfasen består av justeringar och insatser för att säkerställa tillämpning.

148

SOU 2007:47

Interoperabilitet och gemensamma specifikationer i e-förvaltningen

6.6.2Risker

De förväntade nyttoeffekterna innehåller dock också risker att inte realiseras. Detta beror till viss del på att nyttoeffekterna uppkom- mer först efter att ett projekt, en åtgärd eller investering har avslu- tats och att ingen är ansvarig för att se till att nyttan verkligen reali- seras. Här presenteras några centrala risker förknippade med den förväntade nyttan:

•användarrisker

•risker vid implementering

•organisatoriska risker

•risker med teknisk utveckling

•politiska risker

•risker med överdriven tilltro.

Den största risken med insatsen för gemensamma specifikationer är att förvaltningens aktörer i egenskap av användare inte tar hän- syn till den samordnade insatsen och inte deltar i arbetet eller tar hänsyn till specifikationerna. Anledningar till detta kan vara att information och kunskap om ramverket inte når ut eller att aktö- rerna har svårt att förstå och tillämpa specifikationerna, t.ex. i valet av standarder. Följden blir att de håller kvar vid egna lösningar eller utvecklar nya lösningar som inte uppfyller specifikationerna. Detta medför att ramverket och specifikationerna inte överensstämmer med förvaltningens behov och de funktioner som utvecklas samt att arbetet med interoperabilitet försenas och ger merkostnader.

Åtgärder som kan sättas in är information och utbildning men också att skapa forum för dialog kring arbetet med ramverket och förvaltningsgemensamma funktioner. Genom att öka aktörernas inflytande i processen, t.ex. deras möjlighet att lämna förslag, ska- pas delaktighet och acceptans.

Om normnivån inte är tillräckligt hög (t.ex. i form av föreskrift och vägledning) eller själva utformningen inte tillräckligt attraktiv för att lyckas motivera deltagande, kan det vara nödvändigt att anpassa normnivån, utveckla kompletterande styrmedel eller se över fördelningen av kostnader.

Från implementeringssynpunkt kan det för en enskild aktör kan det vara rationellt att hitta egna tillfälliga lösningar – trots att dessa blir mer kostsamma på sikt, både för den enskilda aktören och för förvaltningen som helhet. Aktörer väntar dessutom ut varandra och hoppas att någon annan ska stå för utvecklingskostnaden.

149

Interoperabilitet och gemensamma specifikationer i e-förvaltningen

SOU 2007:47

Andra orsaker till att aktörer inte deltar i arbetet med ramverket eller beaktar specifikationerna kan vara brister i tillit till hur arbetet bedrivs eller att man saknar intresse för att delta, dvs. vad som kan kallas organisatoriska risker. Aktörer som har hittat lösningar som de upplever fungerar kommer naturligt att vara ovilliga att byta.

Det gäller alltså att ha en utarbetad strategi för att skapa driv- krafter för deltagande och användande och en process som skapar delaktighet. specifikationerna bör i största möjliga utsträckning hämtas från generella funktioner som finns på marknaden som minskar aktörernas risk och ger hållbarhet på lång sikt. Här är en tydlig strategi för samarbetet med externa aktörer och etablerade standardiserings- och normeringsorgan viktig.

Interoperabilitet förutsätter att flera nivåer är i överensstäm- melse, dvs. inte bara den tekniska utan även den rättsliga, seman- tiska och organisatoriska. Det finns risk att fokus även fortsätt- ningsvis hamnar på den tekniska.

En stor orsak till att nytta uteblir med IT-investeringar i all- mänhet är just bristen på överensstämmelse mellan verksamhetens behov och övriga förutsättningar. Rättsliga hinder för samverkan inom förvaltningen samt mellan förvaltningen och medborgare och företag måste därför kartläggas så tidigt som möjligt.

Risker förknippade med teknisk utveckling är att utvecklingen av säkra IT-lösningar tar längre tid och kostar mer än beräknat. Om elektroniska överföringar inte är tillräckligt säkra och myndighe- terna inte kan skydda sig mot olika typer av dataintrång kan detta ifrågasätta satsningen och dess prioriteringar, och därmed skapa förseningar och merkostnader. För att komma tillrätta med detta kan arbetet med säkerhet behöva prioriteras ytterligare i kombina- tion med insatser för kommunikation med aktörerna i säkerhets- frågor. Satsningarna bör i första hand inriktas på funktioner som kan klara kraven på säkerhet.

Politiska risker kan t.ex. vara att politiskt stöd saknas för inve- steringen och projektet avbryts, försenas, ändrar omfattning, änd- rar inriktning, får tilläggsdirektiv, får oväntade nedskärningar i budgeten (för deltagande myndigheter eller för hela eller delar av projektet) eller viktiga aktörer hoppar av. Risken är särskilt aktuell i samband med val och kan leda till att hela kostnads- och nyttobil- den förändras.

Tilltron till fördelarna och möjligheterna med IT och nya verk- samhetssystem har en tendens att förstoras, särskilt av dem som har något att tjäna på att systemen införs, vad som kan kallas risker

150

SOU 2007:47

Interoperabilitet och gemensamma specifikationer i e-förvaltningen

med överdriven tilltro. Därför är det viktigt att ha en tydlig plan för hur arkitekturramverket och kravspecifikationerna ska genomföras för att inte generera skepsis och motstånd mot satsningar på inter- operabilitet överlag.

6.7Diskussion

Två problem behöver enligt vår mening lösas. Det ena hänger samman med den drivkraft som finns eller kan skapas i den decent- raliserade och verksamhetsbaserade styrmodellen som vi har i Sverige, dvs. att varje myndighet, kommun och landsting har ett eget verksamhetsansvar inom de ramar som lagts fast av de poli- tiska organen. Utredningen koncentrerar sig på att lösa drivkrafts- frågan inom den statliga sektorn. Vi har i kapitlet beskrivit behovet av interoperabilitet mellan myndigheternas olika system för att möjliggöra enkel tillgång till information både för medborgare och andra privata användare liksom för olika delar av den offentliga sektorn. Som framgått så ingår de olika e-tjänsterna och registren i respektive myndigheters, liksom även kommuners och landstings, verksamhetsansvar. Vill man uppnå interoperabilitet krävs beslut hos respektive organisation. Den mest framkomliga vägen förefal- ler vara att precisera det verksamhetsansvar som de statliga myn- digheterna redan har men som ännu inte har formulerats på ett pre- ciserat sätt när det gäller interoperabilitet. Vi återkommer i kapitel 13 till metoden för detta.

Det andra problemet är den organisatoriska formen för den centrala samordningen och det stöd som kan behöva ges till myn- digheterna. De eventuella motsättningarna mellan de enskilda myndigheternas, kommunernas och landstingens verksamhetsan- svar och det övergripande intresset av enhetlighet måste överbryg- gas på något sätt. Vad gäller kommun- och landstingssektorn handlar eventuell samordning och stöd om frivilligt deltagande.

Vad gäller staten framgår det av regeringens beslut 30 november 2006 med uppdrag till Verva att det, för att åstadkomma den öns- kade interoperabiliteten och för att skapa förutsättningar för marknaden, behövdes riktlinjer, metoder och specifikationer som är gemensamma för förvaltningen och avpassade till näringslivets behov. För att underlätta och driva på utvecklingen ansågs det vik- tigt att de myndigheter som utvecklar automatiserade processer och e-tjänster har en kontaktpunkt att vända sig till för vägledning

151

Interoperabilitet och gemensamma specifikationer i e-förvaltningen

SOU 2007:47

vid införandet av säker kommunikation och dokumenthantering. Verva beskrivs som en sådan kontaktpunkt för myndigheterna. I regeringsuppdraget till Verva om att samordna automatisering av viss ärendehantering m.m. (22 februari 2007) så handlar Vervas roll bl.a. om att vidareutveckla och sammanställa befintliga riktlinjer och vägledningar samt lämna förslag till hur ansvaret för begreppsmodeller för informationsutbytet bör fördelas mellan berörda ”sektorsmyndigheter” (dvs. myndigheter inom olika sak- områden).

Vårt uppdrag kan uttryckas på ett liknande sätt: för att uppnå interoperabilitet i allmänhet inom e-förvaltningen behöver myn- digheternas användning av standarder m.m. samordnas. Det behövs ett centralt samordningskansli för interoperabilitet och återan- vändning med stöd av gemensamma specifikationer. Verva pekas dock i våra direktiv inte uttryckligen ut som den centrala samord- ningspunkten. Detta blir en diskussionsfråga när alla beståndsdelar av samordningsfrågan kommit på plats efter de närmaste kapitlen, som behandlar olika delar av e-förvaltningen:

•informationssäkerheten (kapitel 7),

•upphandlingen, dels generellt (kapitel 8),

•dels särskilt den inköpsprocess som sker med elektroniska hjälpmedel (kapitel 9) och

•användningen av öppen programvara (kapitel 10).

Därefter behandlar vi begreppsstandardisering samt några andra aspekter på IT-standardisering som inte i första hand är förvalt- ningspolitiska (kapitel 11). Slutligen återkommer vi till frågan om samordning och de organisatoriska alternativen i kapitel 12 och lämnar förslag i kapitel 13.

152

7Informationssäkerhet i e-förvaltningen

7.1Inledning

I regeringens tilläggsdirektiv till vår utredning framhålls särskilt att informationssäkerhetsfrågorna ska ges en framträdande roll i utredningens arbete. I detta syfte har utredningen gett Verva i uppdrag att beskriva området och föreslår hur säkerhetsarbetet inom e-förvaltningen bör fortsätta. Detta kapitel bygger i huvudsak på Vervas rapportTPF1FPT som utarbetats i en arbetsgrupp där även exper- ter från Krisberedskapsmyndigheten och Försvarets materielverk deltagit.

Rapporten är ingen total redovisning av standardisering med koppling till detta område utan den begränsas till standarder som vunnit gehör och tillämpas, i större eller mindre utsträckning, inom offentlig verksamhet och näringslivet i Sverige och internationellt. Rapporten visar också hur standardisering och strukturerade arbetsformer kan bidra till utveckling av en effektiv och säker offentlig sektor.

7.2Allmänt om informationssäkerhet

Utveckling av IT-användningen, inte minst den som följer av ökade krav på en effektivare offentlig förvaltning, innebär stora möjlig- heter men ger också en dramatiskt ökad sårbarhet. Den omfattande internationaliseringen – främst en ökad användning av Internet, utökat informationsutbyte mellan organisationer samt tjänster som innehåller olika former av integritetskänslig information – leder ofrånkomligen till att hela samhällets riskexponering förändras.

Begreppet informationssäkerhet innefattar såväl det som tradi- tionellt benämnts som datasäkerhet som övriga områden med

1TP PT Verva, Informationssäkerhet – standardisering för ledning och styrning samt för säkerhet i system, produkter och tekniska skyddskomponenter. PM 2007-03-30 av Wiggo Öberg

153

Informationssäkerhet i e-förvaltningen

SOU 2007:47

anknytning till hur information ska kunna hanteras på ett säkert sätt i skilda slag av verksamheter. Utgångspunkten är att viss information kan vara kritisk i något avseende – t.ex. genom att verksamheten och dess mål kan komma att äventyras om informa- tion kommer till obehörigs kännedom, modifieras, förstörs eller på annat sätt görs otillgänglig (SIS HB 550). Detta synsätt gör att informationssäkerhetsområdet är mycket omfattande och kom- plext och därmed också omfattar skydd av information – både när den hanteras manuellt av människor i en organisation och när den behandlas och kommuniceras med hjälp av IT.

Ett väl genomfört informationssäkerhetsarbete inom ramen för offentlig sektor är en nödvändighet för att skapa nödvändigt för- troende från allmänhet och företag. Därmed ökar också förutsätt- ningarna för att de investeringar som görs på e-tjänsteområdet blir lönsamma.

Att åstadkomma god informations- och IT-säkerhet ställer krav på god styrning samt administrativa och tekniska skyddsåtgärder och är en förutsättning för att ärendehantering och dokument- produktion ska fungera utan störningar eller förlust av informa- tion. Riksrevisionens granskningar under senare tid av ett tiotal myndigheter visar att det finns betydande brister, inte minst när det gäller ledningarnas engagemang och förmåga att styra.

Ökat beroende av IT från 1970-talet och framåt synliggjorde behovet av insatser. Viktiga initiativ togs inledningsvis av större industriföretag, bl.a. inom försvarsindustrin. Under 1980-talet upp- stod flera organisationsutvecklade de facto-standarder, bl.a. inspi- rerade av Försvarsdepartementet i USA och den samling anvis- ningar och rekommendationer som kallades The Orange Book.

Sakkunniga inom området slog tidigt fast vikten av att säkerhet ses som en ledningsfråga och att ansvaret även beträffande infor- mations och IT-säkerhet måste följa verksamhetsansvaret. Infor- mationssäkerhetsarbetet under 1990-talets präglades av två stora frågor av betydelse – Internets framväxt och det förestående mil- lennieskiftet. Persondatorns och Internets utveckling skapade nya hot och risker som medförde att det krävdes nya säkerhets- produkter för att förhindra intrång och spridning av farlig kod, dvs. datavirus, trojaner och liknande. Former för varudeklaration eller certifiering utvecklades. En modell att certifiera produkter på basis av internationella överenskommelser utvecklades från The Orange Book via Information Technology Security Evalutation Criteria (IT-

154

SOU 2007:47

Informationssäkerhet i e-förvaltningen

SEC) till Common Criteria eller ISO 15408 som blev dess stan- dardbeteckning.

Under 1990-talet och inledningen av 2000-talet fick också stan- darder för ledning och styrning av IT- och informationssäkerhet en ökad spridning, liksom standarder för tekniska lösningar, t.ex. för identifiering med hjälp av smarta kort och kryptering.

7.3Nuläget för informations- och IT- säkerhetsstandardisering i Sverige

Standardiseringen vad gäller informationssäkerhet har i huvudsak bedrivits inom ramen för SIS arbete kopplat till ISO/IEC, JTC1, SC27 och IT Security Techniques. Arbetet har utvecklats till att omfatta fem arbetsgrupper (WG) med följande inriktning:

•WG1 – Information security management systems

•WG2 – Cryptography and security mechanisms

•WG3 – Security evaluation criteria

•WG4 – Security controls and services

•WG5 – Identity management and privacy technologies.

Inom SIS är arbetet inom SC27 i Sverige organiserat i två tekniska kommittéer – TK 318 med inriktning enligt WG1 och TK 456 med inriktning på WG1-5 vad gäller standarder och annan teknisk inriktning. Kommittéerna drivs som projekt med projektledare från deltagande organisationer med stöd av SIS.

Utöver ISO har OASIS vuxit fram som en betydelsefull aktör med inriktning på standardisering inom IT-området, vilket också omfattar teknik för identifiering och signering (PKI – Public Key Infrastructure, ID-trust, SAML etc.) Detta är teknik som de facto kan vara mycket betydelsefull för utformningen av e-tjänster i hela Europa, och Verva följer i viss omfattning standardutvecklingen inom OASIS.

TK 318 – har i sin tur ca tio arbetsgrupper med inriktning på spridning och marknadsföring av aktuella standarder och på olika standarder i ISO 27000-serien, vilken omfattar standarder för ledning och styrning inom informationssäkerhetsområdet. Arbetet inom TK 318, som bedrivs under samlingsnamnet LIS-projektet, har lockat relativt många deltagare i form av företrädare för myn- digheter och företag, varav relativt stor andel konsultföretag med inriktning på informationssäkerhet och certifiering mot krav-

155

Informationssäkerhet i e-förvaltningen

SOU 2007:47

standarden i ISO/IEC 27001. Skälet till den tydliga medverkan av konsultföretag är naturligtvis att dessa ser en marknad för tjänster på de områden standarderna omfattar.

Standarderna ISO/IEC 27001 respektive 27002 (tidigare ISO/IEC 17799) med inriktning på ledningssystem för informa- tionssäkerhet (LIS) har nått stor framgång och är väl spridda både internationellt och i Sverige. Antalet organisationer som certifierar sig mot kravstandarden 27001 ökar i hela världen. Antalet certifi- eringar i Sverige är dock ännu relativt blygsamt.

1995 utvecklade Department of trade and industry (DTI) en security code of practice som British Standards (BS) antog som stan- darden BS 7799. Efter uppgraderingar gick den in i ett fast-track mot ISO-standard och blev år 2000 standarden ISO 17799. I Stor- britannien fortsatte standarden att utvecklas och 2002 kom BS 7799-2 som inkluderade ledningssystem för informationshantering. Också denna brittiska standard gick i ett fast-track in som en ISO standard år 2005 under beteckningen ISO 27001. Oförtrutet har arbetet i Storbritannien fortsatt med ytterligare en uppgradering till BS 7799-3 som inkluderar stödfunktioner för ISO27001. I ISO:s nummerserier har man avsatt ”27005” för en eventuell framtida ISO standard baserad på BS 7799-3.

Arbetet inom TK 456 har trots sin omfattning lockat färre delta- gare. Deltagarna kommer från myndigheter och företag, varav endast en mindre andel utgörs av företrädare för konsultföretag. Inom ramen för TK 456 har SIS HB 550 Terminologi för informa- tionssäkerhet tagits fram och blivit normgivande i Sverige med stor framgång.

Standardiseringsarbetet inom WG2–WG5 spänner över ett mycket stort område och omfattar ett avsevärt antal standarder vad gäller kryptering, nyckelhantering, autenticering, säkerhet i nät- verk, åtkomstkontroll, personidentifiering och skydd av personlig integritet. Standardserien ISO/IEC IS 15408 Evaluation criteria for IT security utgör vad som brukar kallas Common Criteria och omfattar kriterier och metod för evaluering och certifiering av säkerhetsfunktioner i IT-produkter.

TK 456 bevakar även och tar del av det arbete som görs i ISO/TC 68/SC 2 Financial Services Security och samverkar till viss del med SIS/TK 448 Identifieringskort, särskilt avseende arbetet inom JTC 1/SC 37 Biometrics.

SIS/TK 448 Identifieringskort omfattar utveckling av standarder för tekniker och datainnehåll för plastkort och för identifiering av

156

SOU 2007:47

Informationssäkerhet i e-förvaltningen

individer. Generellt är målet att medverka till att man i det inter- nationella arbetet tar största möjliga hänsyn till svenska krav och behov av teknik och säkerhet på kortområdet. Projektet omfattar också biometrisk teknik för identifiering, däremot inte identifiering av föremål.

Inom IT-området finns också andra standarder som i större eller mindre omfattning har inslag av informationssäkerhet, även om det inte är huvudinriktningen. De mest kända är förmodligen Control Objectives for IT and Related Technology (COBIT) som är ett ram- verk för IT-styrning och kontroll samt Information Technology Infrastructure Library (ITIL) som är ett ramverk för att styra IT- drift och IT-tjänster. ITIL är för övrigt också en ISO-standard med beteckningen ISO 20000.

7.4Offentliga aktörer i arbetet med standarder för informationssäkerhet

Engagemanget från statsförvaltningen vad avser standardisering med inriktning på informationssäkerhet har varit tämligen splittrat. I många fall har medverkan i standardisering skett på initiativ från enskilda tjänstemän och mer begränsat kopplat till uttalade verk- samhetsbehov. Några som ändå uppfattats som tydliga aktörer eller redovisat initiativ inom området anges nedan.

Sveriges Certifieringsorgan för IT-säkerhet (CSEC) är en själv- ständig enhet inom FMV som, enligt ett beslut i riksdagen i maj 2002, ansvarar för uppbyggnad, drift och förvaltning av ett system för evaluering och certifiering av IT-säkerhet i produkter och system i enlighet med standarden ISO/IEC 15408 (Common Cri- teria). CSEC:s arbete bedrivs inom ramen för Arrangement on the Recognition of Common Criteria Certificates in the field of Informa- tion Technology Security (CCRA), vilket i sin tur är en samverkan mellan för närvarande 24 nationer som erkänner varandras certi- fikat enligt denna standard.

Common Criteria (CC) är en standard för att definiera:

•krav på IT-säkerhet i produkter

•deklaration av IT-säkerhet i produkter

•regler och metoder för oberoende granskning av IT-produkter (s.k. certifieringsordning eller schema) gentemot ovan nämnda krav och deklarationer.

157

Informationssäkerhet i e-förvaltningen

SOU 2007:47

Styrelsen för ackreditering och teknisk kontroll (SWEDAC) har bl a i sin roll att ackreditera företag som har till uppgift att certifiera organisationer mot standard för ledning och styrning av informa- tionssäkerhet (ISO/IEC 27001). SWEDAC:s engagemang omfat- tar både TK 318 och TK 456.

SWEDAC leder också en teknisk kommitté med inriktning på informationssäkerhet och standardiseringsfrågor med representa- tion från offentlig förvaltning och näringslivet.

Försvarets materielverk (FMV) har inom ramen för sin roll som Försvarsmaktens partner i materialanskaffning en lång tradition av engagemang i standardiseringsarbete i allmänhet, och även inom området informations- och IT-säkerhet. En av FMV:s represen- tanter är ordförande i WG3 under JTC 1/SC 27.

Verket för förvaltningsutveckling (Verva) har tagit över rollen från Statskontoret när det gäller standardiseringsfrågor inom IT-områ- det, inklusive informations- och IT-säkerhet. Verva deltar aktivt i både TK 318 och TK 456. Engagemanget är kopplat till utveck- lingen av en elektronisk förvaltning där interoperabilitet och säker- het är grundstenar för effektivisering, kvalitet och förtroende från allmänhet och företag.

Krisberedskapsmyndigheten (KBM) är från den 1 januari 2007 svensk signatär för CC inom ramen för CCRA (enligt ovan). KBM initierade i början av 2007 en arbetsgrupp, som består av represen- tanter från 17 myndigheter. Samverkansgruppen för informations- säkerhet (SAMFI) med inriktning på standardisering inom infor- mations- och IT-säkerhetsområdet. Initiativet härstammar från ett förslag i Informationssäkerhetsutredningens slutbetänkande (SOU 2005:71).

KBM har utformat rekommendationer och tillhandahåller stöd för implementering av en basnivå för system- och IT-säkerhet – BITS och dess analysverktyg BITS Plus. BITS struktur har blivit anpassat till ISO/IEC 27002.

Post- och telestyrelsen (PTS) ansvarar för informationssäkerhet inom området elektronisk kommunikation och därmed också för standardfrågor inom området.

158

SOU 2007:47

Informationssäkerhet i e-förvaltningen

7.5Legala krav

Någon specifik lagstiftning enbart med inriktning på informations- säkerhet finns inte. Däremot finns lagbestämmelser om informa- tionssäkerhet i ett antal lagar och förordningar samt i registerlagar för socialförsäkringen, skatteområdet, hälso- och sjukvården och den sociala omsorgen, bl.a. Inriktningen på informationssäkerhet har som regel sin utgångspunkt i krav på sekretess eller personlig integritet.

Följande författningar av särskilt intresse på informationssäker- hetsområdet:

•brottsbalken (1962:700)

•sekretesslagen (1980:100)

•lagen (1990:217) om skydd för samhällsviktiga anläggningar

•lagen (1990:409) om skydd för företagshemligheter.

•säkerhetsskyddslagen (1996:627)

•säkerhetsskyddsförordningen (1996:633)

•personuppgiftslagen (1998:204)

•förordningen (2002:472) om åtgärder för fredstida krishanter- ing och höjd beredskap.

•lagen (2003:389) om elektronisk kommunikation

Sverige har genom sitt medlemskap i EU dessutom en skyldighet att följa rådets säkerhetsskyddsbestämmelser.

Informationssäkerhetsutredningen föreslog i sitt delbetänkande (SOU 2005:42) en särskild förordning om informationssäkerhet. Förslaget togs dock inte upp i efterföljande proposition.

Verva får enligt sin instruktion meddela föreskrifter i fråga om standarder eller liknande gemensamma krav för elektroniskt infor- mationsutbyte för myndigheter under regeringen. Verva har, kopplat till sitt regeringsuppdrag, tolkat det som att detta även kan omfatta informationssäkerhet av grundläggande betydelse för utveckling och förvaltning av myndigheternas e-tjänster, dvs. även ledning, styrning och administrativa skyddsåtgärder av betydelse.

Den tidigare Nämnden för elektronisk förvaltning (e-nämnden) som hade motsvarande föreskriftsrätt som Verva nu har, hade ett förslag framme till beslut om en föreskrift om informationssäker- het för statliga myndigheter. Förslaget bordlades dock på grund av Informationssäkerhetsutredningens förordningsförslag enligt ovan.

159

Informationssäkerhet i e-förvaltningen

SOU 2007:47

7.6Aktörer i det nationella informationssäkerhetsarbetet

Sedan 2001 har uppgifterna på informationssäkerhetsområdet varit uppdelade på ett antal myndigheter:

•Krisberedskapsmyndigheten (KBM) har ett sammanhållande myndighetsansvar för samhällets informationssäkerhet och har också uppgiften att utforma en nationell handlingsplan för informationssäkerhet.

•Försvarets radioanstalt (FRA) tillhandahåller tekniskt stöd med inriktning på informationssäkerhet till organisationer som hanterar information som bedöms som känslig ur sårbarhets- synpunkt eller i ett säkerhets- eller försvarspolitiskt avseende.

•Post- och telestyrelsen (PTS) med ansvar för infrastruktur inom telekomområdet inrymmer också Sveriges IT-incidentcentrum (Sitic). Sitic fungerar i dag som en internationell s.k. CERT- organisation.

•Försvarets materielverk (FMV) har genom Sveriges Certifieringsorgan för IT-säkerhet (CSEC) uppgiften att utforma ett system för evaluering och certifiering av IT-säker- het i produkter och system i enlighet med standarden ISO/IEC 15408, (CC).

•Rikspolisstyrelsen (RPS), med S-BIT som är en samordnings- funktion för brottsrelaterade IT-incidenter, gemensamt ägd av Rikskriminalpolisen och Säpo.

•Försvarsmakten (FM) är en given aktör vad avser informations- säkerhet med inriktning på rikets säkerhet och relation till främmande makt. FM har föreskrifts- och tillsynsansvar för aktörer inom sitt ansvarsområde och för statliga myndigheter i övrigt vad gäller signalskydd.

•Verket för förvaltningsutveckling (Verva) har uppdraget att leda och samordna statsförvaltningens utvecklingsarbete med säkert elektroniskt informationsutbyte och säker hantering av elek- troniska handlingar. Verva får utfärda föreskrifter och ge väg- ledning med denna inriktning.

160

SOU 2007:47

Informationssäkerhet i e-förvaltningen

Samarbetet mellan ovanstående myndigheter bedrivs i Samverkans- gruppen för informationssäkerhet (SAMFI), som ska stödja de aktu- ella myndigheternas uppdrag genom informationsutbyte och sam- verkan inom informationssäkerhet och defensiva informations- operationer:

•Med informationssäkerhet menas säkerhet beträffande informa- tionstillgångar vad gäller förmågan att upprätthålla önskad konfidentialitet, riktighet och tillgänglighet.

•Med defensiva informationsoperationer menas samordnade och samlade åtgärder i fred, kris och krig vad gäller policy, opera- tioner, personal och teknik för att skydda och försvara infor- mation, informationssystem och den egna förmågan att fatta rationella beslut.

Andra aktörer inom området är:

•Datainspektionen som är tillsynsmyndighet för personuppgifts- lagen (PUL). Datainspektionen utfärdar allmänna råd och är en viktig remissinstans vid utveckling av standarder om IT- och informationssäkerhet.

•National Security Administration (NSA) som är Sveriges kon- taktorganisation med EU när det gäller säkerhetsfrågor. Rådets säkerhetsskyddsbestämmelser ska följas vid hantering av EU- relaterad information som är klassificerad Restricted och högre. NSA är organiserat inom UD och man har en referensgrupp med representanter från svenska säkerhetsmyndigheter, inklu- sive Rymdstyrelsen.

•KBM:s informationssäkerhetsråd som står till KBM:s förfogande när det gäller nationella informationssäkerhetsfrågor och vän- der sig till myndigheter såväl som näringsliv. En särskild grupp har etablerats för kontakter mellan KBM och svenskt närings- liv, Arbetsgruppen Näringsliv (AgN).

•Svenskt Näringsliv som har en lång tradition av engagemang vad gäller säkerhet och informationssäkerhet med visst fokus på legala frågor. Svenskt Näringsliv ingår i KBM:s informations- säkerhetsråd, enligt ovan.

161

Informationssäkerhet i e-förvaltningen

SOU 2007:47

•Statligt nätverk för informations- och IT-säkerhet (SNITS) som är ett nätverk av informations- och IT-säkerhetsansvariga inom offentlig sektor. Nätverket koordineras av Verva.

7.7Översikt över styrande dokument

Statskontoret har i sin tidigare roll (vilken nu tagits över av Verva) utformat vägledningar och andra råd med inriktning på informa- tions- och IT-säkerhet tillsammans med KBM.

Handbok i IT-säkerhet, del I–III, gavs ut av Statskontoret 1997. Handboken innehöll en allmän introduktion, vägledning för policy, ansvar och organisation samt skyddsåtgärder. Statskontoret har också gett ut ett flertal rapporter och vägledningar med inriktning på olika delområden inom IT-säkerhet, t.ex. hantering av IT-inci- denter, elektronisk identifiering och krav på brandväggar.

Statskontorets metodstöd och mallregelverk för myndigheters informationssäkerhet (OffLIS) publicerades 2003. OffLIS var en grundläggande regeldatabas för myndigheter utifrån standarden för ledningssystem för informationssäkerhet (SS ISO/IEC 62 77 99), vilken i dag motsvaras av den internationella standarden SS ISO/IEC 27002. Viktiga delar av OffLIS överfördes till metod- stödet Basnivå för informationssäkerhet (BITS) i ett samarbete mellan Statskontoret och KBM under 2005.

SIS handbok Ge din information rätt säkerhet, handbok i infor- mationssäkerhetsarbetet (SIS HB 360) som rönt stor uppskattning hos organisationer inom både den privata som offentliga sektorn, ges ut av SIS förlag.

Med KBM:s rekommendationer BITS och analysverktyget BITS Plus ska organisationers arbete med informationssäkerhet stödjas. Inriktningen är att åstadkomma en basnivå för system och IT-sä- kerhetsåtgärder men det är också möjligt att få rekommenderade åtgärder för ytterligare två skyddsnivåer.

I samband med sammanslagningen med OffLIS (se ovan) för- ändrades strukturen för att följa ISO/IEC 27002 till det bättre, och KBM har varit framgångsrikt i sitt arbete att sprida BITS, framför allt till kommuner och länsstyrelser. KBM strävar nu efter att BITS ska etableras som en de facto-standard i offentlig förvaltning när det gäller basnivå för informationssäkerhet.

Från och med 2007 tillhandahåller t.ex. KBM ett paket med interaktiv utbildning i informationssäkerhet – DISA.

162

SOU 2007:47

Informationssäkerhet i e-förvaltningen

Därutöver har Försvarsmaktens handböcker med inriktning på säkerhetstjänst och informationsteknik varit viktiga källor till råd- givning på IT- och informationssäkerhetsområdet.

7.8Pågående diskussion i offentlig sektor

Informationssäkerhetsutredningen konstaterade i sina delbe- tänkanden att standarder inom främst styrning och ledning samt för evaluering och certifiering av säkerhetsegenskaper i produkter och system hade stor betydelse för utvecklingen inom informa- tions- och IT-säkerhet. Några omfattande förslag lades dock inte, utöver att KBM skulle överta rollen som signatär för CCRA från SWEDAC – för övrigt ett av de få förslag från utredningen som togs upp i efterföljande proposition (prop. 2005/06:133).

Informationssäkerhetsutredningen pekade också på möjligheten för KBM att också samordna frågor med inriktning på informa- tionssäkerhet. Detta har resulterat i att tidigare nämnda arbets- grupp med just detta syfte etablerades under SAMFI i början av 2007.

Riksrevisionen har under de senaste två åren reviderat elva större myndigheters arbete med informationssäkerhet. Revisorernas underlag har i huvudsak varit befintliga standarder för lednings- system för informationssäkerhet (ISO/IEC 27001 respektive ISO/IEC 27002). Samtliga rapporter från revisionen redovisar betydande brister hos de granskade myndigheterna. En slående och återkommande anmärkning är myndighetsledningarnas brist på helhetssyn, överblick och kontroll över sin informationssäkerhet. Det saknades ofta spårbara beslut om korrigering av identifierade brister utifrån genomförda riskanalyser, och det påvisades brister vid tilldelning av behörigheter m.m.

Nämnden för elektronisk förvaltning (e-nämnden) fastslog ett antal vägledningar med inriktning på elektronisk identifiering och elektronisk signatur. Dessa vägledningar utformades av projektet Samset – ett samarbetsprojekt mellan Skatteverket, Försäkrings- kassan, Bolagsverket och Statskontoret. Dessa vägledningar har blivit de facto-standarder för tillämpning med e-legitimation och förvaltas sedan årsskiftet 2006–2007 av Verva.

E-nämnden föreslog också en föreskrift för myndigheternas arbete för informationssäkerhet. Förslaget pekade på myndigheter- nas och myndighetsledningarnas ansvar för säkerhet och angav att

163

Informationssäkerhet i e-förvaltningen

SOU 2007:47

standarderna för ledningssystem för informationssäkerhet (ISO/IEC 27001 respektive ISO/IEC 27002) skulle tillämpas som utgångspunkt. Grunden till förslaget var det inte räcker att säkra enbart ”kommunikationslänken”, att åstadkomma ett säkert infor- mationsutbyte och säkra e-tjänster mot medborgare och företag. Därutöver krävs en organisationsövergripande ordning mot- svarande ett kvalitetsledningssystem. Det är givetvis också nödvän- digt att organisationer som kommunicerar information har samma grundsyn vad gäller informationsskydd. Ovan nämnda standarder beskriver just en sådan ordning och medför en samsyn över orga- nisationsgränser. Nämndens förslag bordlades i september 2005 i avvaktan på Informationssäkerhetsutredningens resultat.

Verva kan, inom ramen för sina uppgifter som stabsmyndighet till regeringen, normera inom de områden som är av betydelse för utvecklingen av en effektiv och säker e-förvaltning. Denna norme- ring kan ske på olika sätt – föreskrifter, vägledningar eller upp- handling. Verva har bland annat gett ut en vägledning för utform- ning av webbplatser, Vägledningen 24-timmarswebben, samt en föreskrift om hantering av elektroniska fakturor (VERVAFS 2007:1). Verva avser också att åter ta upp tidigare förslag från e- nämnden om en föreskrift om informationssäkerhet, bl.a. med anledning av att Riksrevisionens rapporter så tydligt visade att det behövs tydligare direktiv till myndigheterna.

Regeringen meddelade i sin proposition Samhällets säkerhet och beredskap (prop. 2001/02:158) att FMV bör få i uppgift att bygga upp ett system för evaluering och certifiering av IT-säkerhetspro- dukter. FMV har därefter etablerat CSEC som en självständig organisation för ändamålet. Systemet för evaluering och certifiering bygger som tidigare beskrivits på standarden ISO/IEC 15408, Common Criteria, och följer den ordning som lagts fast inom ramen för den internationella överenskommelsen CCRA. Systemet innebär mycket omfattande formella krav och har därför tagit lång tid att etablera. Införandet är nu i sitt slutskede med en dokumen- terad ordning för godkännande och pågående provevaluering. Två svenska evalueringsföretag har ackrediterats.

En besvärande faktor under etableringsskedet har varit diskus- sionen mellan SWEDAC och FMV vad gäller signatärskap och roller i övrigt.

Tillämpningen av Common Criteria (CC) är komplex och krä- vande, och man kan förmoda att de signaler som spreds genom dis-

164

SOU 2007:47 Informationssäkerhet i e-förvaltningen

kussionen mellan SWEDAC och FMV inte gynnade svenska intressenters attityd till standarden.

Verva har i ett antal av sina ramavtalsupphandlingar ställt frågor om leverantörernas förmåga att leverera CC-certifierade produkter. Responsen från leverantörer har visserligen varit god, men det är uppenbart att myndigheternas efterfrågan av certifierade produkter är mycket begränsad. En viktig fråga är därför också hur man ska öka efterfrågan från offentlig sektor på produkter som kan bidra till önskvärd säkerhet.

Ett allmänt intryck med inriktning på standardisering av infor- mations- och IT-säkerhet är att tillämpningen av standarder i många fall är alltför begränsad. Ett tydligt skäl är en alltför om- fattande brist på kunskap om vilka standarder som finns och om deras innehåll. I alltför liten utsträckning sker aktiv kunskaps- inhämtning och medverkan i standardiseringsarbetet. Ofta råder dessutom oklarhet i vilken mån standarder bör tillämpas och följas och också om huruvida det finns någon statlig hållning till standar- der och standardisering.

7.9Diskussion

Standardisering inom informations- och IT-säkerhetsområdet, lik- som IT-området i övrigt, har en tydlig koppling till verksamhets- och produktutveckling. Det finns uppenbart en väl etablerad inställning till att standarder och dess tillämpning kan ge stora nyttoeffekter och bidra till utveckling av säkerhet på ett mycket positivt sätt. Samtidigt kan man konstatera att insatserna för att sprida och öka medvetandet om standarder och deras innehåll är och har varit relativt begränsat.

Gemensamma kravspecifikationer och en gemensam IT-arki- tektur kan vara lämpliga områden för att tydligt visa vilka standar- der som är lämpliga att tillämpa när det gäller informations- säkerhet.

Inom informationssäkerhetsområdet finns ett otal standarder med varierande inriktning. Det krävs därför ett ganska omfattande arbete för att dels strukturera och informera mottagarsidan om de standarder som finns och i vilka sammanhang de kan vara lämpliga att tillämpa, dels att bidra till att standarder utvecklas och att nya kommer till i en riktning som innebär att de också på sikt följer verksamhetsbehoven. Ett problem kopplat till spridning och ökad

165

Informationssäkerhet i e-förvaltningen

SOU 2007:47

användning sägs ofta vara kostnaden för inköp av standarddoku- ment. En djupare undersökning om hur kostnadsaspekten påverkar hur standarder inom informationssäkerhetsområdet sprids och används bör därför genomföras inom ramen för en framtida sam- ordningsfunktions arbete.

En ökad tillämpning av Common Criteria (CC) som metodstöd vid kravställande kan bidra till säkrare produkter och system, under förutsättning att standardens metodpaket utvecklas på ett sätt som förenklar användningen. Någon form av policymyndighet skulle också kunna peka ut sammanhang där det är rimligt att ställa krav på tillämpning av certifierade produkter, t.ex. inom kritiska områ- den i IT-infrastrukturen med stor betydelse för kommunikations- säkerheten, eller säkerhetsprodukter för användning i verksamheter med höga krav på sekretess. En stegvis upptrappning av kravmeto- derna vid upphandling kan vara en väg mot tillämpning av CC. Det kan vara värdefullt som en inledande ansats att krav ställs på att myndigheter som deltar vid upphandling ska definiera den egna organisationens säkerhetskrav kopplat till det som ska upphandlas. I övrigt är målinriktade informationsinsatser av stort värde. I dag finns ett stort antal CC-evaluerade kravprofiler (protection profile, PP) offentliggjorda. Att öka kunskapen om att och var denna information finns och att den bör tillämpas är en begränsad insats som kan ge stor nytta. Ett slags nationellt bibliotek med informa- tion kopplad till beskrivningar av den offentliga sektorns IT-, och IT-säkerhetsarkitektur kan vara en metod.

Informations- och IT-säkerhet ställer krav på att frågorna hante- ras utifrån gemensamma synsätt och modeller, inte minst för att skapa förtroende mellan myndigheter samt mellan myndigheter och medborgare/företag. Riksrevisionens erfarenheter från dess granskningar visar att det saknas tydlig policy och direktiv från regeringen när det gäller myndigheternas informationssäkerhets- arbete. Vervas uppfattning är att det behövs en föreskrift som pekar ut ISO/IEC 27001 (LIS) respektive ISO/IEC 27002 som grund för myndigheternas arbete med informationssäkerhet, för- slagsvis med KBM:s rekommendationer BITS i en förbättrad form som grund för en basnivå för IT-säkerhet.

Det bör även etableras former för att verifiera att myndigheterna hanterar sin informationssäkerhet på ett adekvat sätt – antingen genom en ökad kontroll eller genom den modell för certifiering mot LIS som är etablerad med olika revisionsföretag som i sin tur är ackrediterade av SWEDAC. En certifiering av myndigheter gäl-

166

SOU 2007:47

Informationssäkerhet i e-förvaltningen

lande informationssäkerhet skulle med all säkerhet vara en mycket förtroendeskapande åtgärd som skulle bidra till ökad säkerhet hos leverantörer på IT-området, eftersom det också skulle medföra bättre underlag för kravställande. En sådan certifiering kunde vara aktuell för de större myndigheterna, medan en mer begränsad till- lämpning av LIS kan vara tillräcklig för myndigheter med lägre krav på informationssäkerhet under förutsättning att det klart framgår och motiveras vilka avsteg som gjorts från LIS.

Ovan har ett antal exempel getts på behov inom området IT- standardisering för ökad informationssäkerhet i e-förvaltningen. Utifrån sin roll för att främja e-förvaltningen är det naturligt att Verva spelar en betydelsefull roll också när det gäller informations- säkerheten.

167

8IT-standarder i offentlig upphandling och deras betydelse för småföretag och innovationer

8.1Hur påverkar IT-standarder aktörerna i upphandlingen?

Verva har fått i uppdrag av utredningen att analysera hur IT-stan- darder påverkar aktörerna i den offentliga upphandlingen.TPF1FPT

Verva har en egen roll vad gäller upphandling genom att man ska:

…svara för samordnad upphandling för offentlig förvaltning inom området informationsteknik, verka för bästa möjliga villkor för anskaffning och användning av informationsteknik inom offentlig för- valtning och tillse att den offentliga förvaltningen använder gemen- samma funktioner och lösningar samt beakta intresset av innovationer och teknikneutrala lösningar.

Huvudaktiviteten för att fylla denna uppgift är upphandlingar för ramavtal, som kan användas av andra statliga myndigheter. IT är det enda av statens ramavtalsområden där även kommuner och landsting kan nyttja ramavtalen. Av den totala IT-anskaffningen i den offentliga sektorn, vilken omfattar ca 24 miljarder kronor, sker ca 30 procent via Vervas ramavtal, med ungefär lika volym för stat- liga myndigheter respektive kommuner och landsting.

1TP PT Detta kapitel bygger på följande rapporter från Verva:

Standarders påverkan på aktörerna i offentlig upphandling (2007–02–23)

Standarder och småföretag i offentlig upphandling (2007–02-27

Standarder och innovation i offentlig upphandling (2007–02–15).

169

IT-standarder i offentlig upphandling och deras betydelse för småföretag och ….

SOU 2007:47

8.1.1Beskrivning av aktörernas syn

Utredningens enkät och intervjuer

Verva redovisar följande från utredningens enkät om IT-standardi- sering när det gäller myndigheternas förhållningssätt till standar-

derTPF2FPT:

•Enligt enkäten spelar standarder en stor roll vid många myndig- heters upphandlingar. Nära hälften svarar att standarder spelar ganska stor roll vid en upphandling och en tredjedel att de spe- lar en mycket stor roll.

•De IT-standarder som nyttjas är praktiskt taget enbart de facto-standarder. De gäller, förutom verksamhetsspecifika standarder, områden som t.ex. den tekniska plattformen (t.ex. operativsystem, databashanterare och utvecklingsmiljö), kom- munikationsprotokoll och W3C:s webbstandarder. Flera myn- digheter använder ITIL. Endast en formell standard nämns av flera myndigheter – ISO/IEC 17799, som avser ledningssystem för informationssäkerhet.

•Hälften av de svarande myndigheterna anger att det finns behov av nya eller kompletterande IT-standarder inom deras område. Däribland nämns särskilt standarder för att kunna utveckla en e-förvaltning med nya e-tjänster till medborgarna. Få myndigheter indikerar att de själva har satt igång ett sådant arbete. En relativt stor andel av myndigheterna, nästan 40 pro- cent, svarar att de inte vet om det finns ett behov av nya stan- darder på deras område.

•Av intervjuerna framgår att det finns ett kommunalt missnöje med att informationen låses in i leverantörsspecifika system, vilka bygger på mer eller mindre proprietära standarder.

•Ett problemområde för kommunerna är att har dålig kännedom och kunskap om de öppna standarder som i praktiken finns inom kommunens IT- och verksamhetsfält. Denna informa- tions- och kunskapsbrist anses vara en viktig orsak till att kommunerna är relativt dåliga på att ställa krav på standarder vid IT-upphandlingar.

2TP PT Se betänkandets Bilaga 3.

170

SOU 2007:47

IT-standarder i offentlig upphandling och deras betydelse för småföretag och ….

•En stor del av kommunernas upphandlingar av mer grund- läggande IT-produkter och tjänster sker via Vervas ramavtal. Lagen om offentlig upphandling (LOU) kräver alldeles för stora insatser för att en liten kommun alltid ska kunna genom- föra bra egna upphandlingar.

Vervas intervjuer

I förstudier inför Vervas upphandlingar av ramavtal skickas vanligt- vis enkäter ut till myndigheter och leverantörer för att följa upp tidigare ramavtalsanvändning och för att fånga in myndigheternas framtida behov. Enkäterna har hittills inte innehållit några frågor som specifikt rört standarder. Däremot berörs standarder i enkät- svaren.

Hösten 2006 genomfördes en förstudie inför ett ramavtal om servrar, lagring och tjänster. En av enkätfrågorna lydde: ”Ange de tekniska krav som Ni anser viktigast att beakta inför investering i server/lagringssystem.”

Ett fåtal svar tog upp krav på standarder, och då i allmänna ordalag:

•”att produkterna följer standard/de facto-standard”

•”kan nyttja förekommande standards på marknaden”

•”standardiserade produkter”

•”stödja öppna standarder”

•”standard x86-teknik”.

En annan fråga lydde ”Ange de organisatoriska krav på leverantö- ren som Ni anser viktigast att beakta inför investering i server/lag- ringssystem”. Endast ett svar tog upp en standardaspekt:

•”säkerhetsklassificering”.

Verva har djupintervjuat sju företrädare för beställarsidan och fyra företrädare för leverantörssidan på IT-området för att få underlag om hur standarder uppstår och hur de kommer in och används i aktörernas verksamhet. Det visade sig bl.a. att standarder oftast, men inte alltid, uppstår i leverantörsledet. Intervjuerna har rört:

•standarders betydelse för beställarens verksamheter och de upphandlingar som görs för att stötta verksamheterna

171

IT-standarder i offentlig upphandling och deras betydelse för småföretag och ….

SOU 2007:47

•standarders betydelse för leverantörerna, dels som grund för de varor och tjänster som marknadsförs, dels för utvecklings- och tillverkningsprocesserna

•vilka faktorer som gör att en leverantör respektive beställare vill använda en standard överhuvudtaget eller avstå från att göra det

– vem initierar att en standard kommer till användning?

•vilka faktorer och egenskaper hos standarden som leverantören respektive beställaren väger in i beslutet att använda en viss standard.

Intervjufrågematerialet inkluderar dessutom ett antal faktorer som har identifierats som tänkbara för att påverka en aktörs användning av en standard. De intervjuade har ombetts att ange vilka av föl- jande egenskaper hos en standard som har betydelse för om de vill använda standarden eller inte:

•Grad av marknadsacceptans. Ju fler produkter som uppfyller en viss specifikation, desto fler kommer att välja att använda den i produktutveckling. Den blir dominerande och blir därmed en de facto-standard i ordets verkliga betydelse.

•Bredd på den krets som står bakom standarden. En standard som har godkänts i det gängse omröstningsförfarandet, och där ett stort antal tillverkningsföretag har deltagit och skapat konsen- sus, har större chans att få genomslag på marknaden än en standard som utarbetats av t.ex. fem eldsjälar utan förankring i industrin.

•Kostnad för att skaffa och tillämpa standarden. Standarder är inte gratis, utom de från ETSI, utan de köps normalt från nationella standardiseringsorgan. I praktiken måste man först köpa en standard för att kunna avgöra om den är intressant. Det kan också visa sig att man behöver köpa ytterligare standarder för att förstå den första standarden. Texten i standarder är dess- utom ofta komplicerad och svårtolkad.

•Möjlighet att verifiera standarden. Om man säger sig uppfylla en standard, ska man också kunna verifiera det. Om en beställare i en offentlig upphandling ställer krav på att en produkt ska uppfylla en viss standard, behöver beställaren eller leverantören ha möjlighet att avgöra och dokumentera om och hur standar- den uppfylls.

172

SOU 2007:47

IT-standarder i offentlig upphandling och deras betydelse för småföretag och ….

Bedömning av överensstämmelse med standarder

Leverantörer föredrar i allmänhet egendeklarationer, och man är ofta motståndare till tredjepartscertifiering (se kapitel 2 om certifi- ering). IT-industrins europeiska branschorganisation EICTA har utvecklat sin ståndpunkt om detta bl.a. i sin kommentar till kom- missionsmeddelandet E-accessibility 2005. Där säger EICTA att egendeklarationer har visat sig stödja överensstämmelser till rikt- linjer och krav, medan certifiering och kvalitetsmärkning knappast har några fördelar utan i stället hindrar innovation, eftersom leve- rantörerna tar sikte på att skaffa certifikat snarare än på att skapa nya och bättre lösningar.

ANEC, den europeiska konsumentorganisationen för standar- diseringsfrågor, har motsatt uppfattning. I sin kommentar till kommissionens arbetsdokument om förändringar i regelverket för teknisk harmonisering säger ANEC att man föredrar tredjeparts- tester i motsats till att förlita sig på att goda produktegenskaper säkerställs genom ett kvalitetssystem baserat på ISO 9001.

8.1.2Användning av standarder

Utredningens syfte är att förbättra samordningen på IT-standardi- seringens område. Upphandlingen kan vara ett redskap i en sådan samordning. Nedan refereras några svar i Vervas intervjuer som har direkt relevans för detta.

Intervjuresultatet visar att kvalitetsstandarder, t.ex. krav på ergonomi, i motsats till produktstandarder oftast initieras av kun- der eller användare. Det ligger närmare till hands för leverantörerna att referera till tekniska interoperabilitetsstandarder än till kvali- tetsstandarder som leder till ökade ”mjuka” värden för kunden, eftersom kvalitet ofta ses som en konkurrensfråga.

Enligt respondenterna drivs kvalitetsstandarder således oftast av kundsidan, genom beställare och i några fall av fackliga organisa- tioner; ett exempel på det sistnämnda är TCO:s bildskärmsstan- dard som fått stort genomslag på marknaden. En av de intervjuade pekade på att det händer att en marknad inte tar ordentlig fart för- rän aktörerna på området har enats om en standard. Ett exempel är standarden för USB-uttag, där leverantörerna enades om en stan- dard för att kunna nå ut till en större marknad. I andra fall saknar aktörerna drivkrafter för att enas om en gemensam standard. Ett

173

IT-standarder i offentlig upphandling och deras betydelse för småföretag och ….

SOU 2007:47

exempel som ges av flera intervjuade är IT-system i vårdmiljö, där det inte har funnits någon nationell standard att följa, vilket i sin tur lett till begränsad interoperabilitet.

Av intervjuerna framgår även att när aktörerna saknar drivkraf- ter att komma överens om en standard, så behövs en enande part som möjliggör standardisering för t.ex. ökad interoperabilitet mel- lan IT-system. Avsaknad av en enande aktör har lett till en spretig terminologi på IT-området. Många enskilda aktörer både på bes- tällar- och leverantörssidan har dessutom gjort det svårt att komma överens om terminologistandarder. Flera leverantörer och bestäl- lare konstaterar också att en gemensam terminologi är av stor vikt exempelvis vid ett upphandlingsförfarande samt vid samordning av olika IT-system.

Av intervjuerna framkommer att ett tillvägagångssätt för att enas om användning av standarder är formaliserad samverkan mel- lan beställare i offentlig sektor, antingen på uppdrag eller på eget initiativ. Ett exempel är rättsväsendets myndigheter som på reger- ingens uppdrag gått samman i det s.k. RIF-samarbetet (rättsväsen- dets informationsförsörjning). Genom informationsutbyte har myn- digheterna enats om att vissa gemensamma standarder ska gälla i deras verksamhet. Ett annat exempel är kommunerna i Norrbot- tens län som vid Internets inträde bildade IT-Norrbotten AB för en standardisering, vilket möjliggjorde ökad elektronisk kommuni- kation kommunerna emellan.

EU-kommissionen kan genom att ge uppdrag (mandat) om standardiseringsarbete fungera som enande aktör på olika områden. Nationellt sett fungerar även ramavtalsupphandling inom offentlig sektor enande, genom den kravspecificering som görs inför upp- handlingen.

Beställaren styr ofta valet av standard

Intervjuresultatet visar att leverantörerna inte aktivt söker efter formella standarder. Väljer leverantören att tillämpa en formell standard, så beror det på att kunderna efterfrågar detta. Vad det gäller tekniska lösningar så är IT-branschen mycket rörlig, vilket innebär att lösningar snabbt blir omoderna och måste förnyas. Men eftersom det är kostsamt att skaffa och tillgodogöra sig standarder kan leverantören välja att producera en egen ”bra nog”-lösning i stället för att följa en standard. En sådan lösning kan levereras till

174

SOU 2007:47

IT-standarder i offentlig upphandling och deras betydelse för småföretag och ….

lägre pris och generera kundnytta under den korta period (ofta bara 1–2 år) lösningen fortfarande är ”modern”.

Om leverantören ställs inför beslutet att tillämpa en viss stan- dard avgörs detta av affärsmässiga skäl. Följande kriterier har iden- tifierats som särskilt relevanta för en leverantörs beslut att anamma en standard:

•Marknadsacceptans. Detta är leverantörens vikigaste kriterium för tillämpning av en standard. Ett intresse från de marknadsle- dande aktörerna gör att även mindre företag vågar satsa på en viss standard.

•Framtidssäkerhet. Leverantören ser till innovationstakten på området och bedömer hur länge standarden kan förväntas vara allmänt accepterad.

•Kostnad för anskaffande och tillämpning. Särskilt mindre leve- rantörer är inte villiga att betala kostnaden för en licens för en formell standard som inte med säkerhet kommer att få genom- slag på marknaden. Leverantören gör en investeringskalkyl för tillämpning av standarden och anpassning av produkt.

Möjlighet till verifiering bedöms av de intervjuade leverantörerna som mindre viktigt vid beslut om tillämpning av en standard. Likaså menar beställarna att det är kostsamt och tidskrävande, och därmed inte lönsamt, att låta en tredjepart värdera om en leverantör verkligen följer en standard (tekniska lösningar). Däremot efterly- ser beställarna en kontrollfunktion av huruvida leverantörer följer vissa kvalitetsstandarder.

Mot bakgrund av att beställarens makt över valet av standard är så stor är det ett bekymmer att frågan om standarder till stor del är en icke-fråga hos beställarna i offentlig upphandling. Den standar- disering som framför allt engagerar myndigheter är intern ensning i system- eller datorparken. Enligt intervjuerna aktualiseras inte frå- gan om standarder i beställarens verksamhet, och det tas sällan ställning till enskilda standarder. Många myndigheter är enligt flera intervjuade dåliga på att formulera krav i upphandling och saknar kunskap om standarder. För att välja och tillämpa en standard på IT-området, formell eller de facto, behövs kompetens som inte alla beställare har. Små myndigheter eller kommuner har dessutom svå- rare att avsätta resurser till orientering i standarder. Det är också så att ett upphandlingsförfarande kräver lika mycket resurser av en

175

IT-standarder i offentlig upphandling och deras betydelse för småföretag och ….

SOU 2007:47

myndighet med få anställda som av en stor myndighet med stora resurser.

Beställare i offentlig sektor förlitar sig i stor utsträckning till de ramavtal som Verva och tidigare Statskontoret tecknat för IT-pro- dukter och IT-tjänster. Beställaren själv kan oftast inte formulera namn på standarder utan förlitar sig på att ramavtalsupphandlaren översätter deras behov till standarder och kravspecifikationer i för- frågningsunderlaget. På så vis förblir standarder en icke-fråga hos många beställare.

8.1.3Kommentarer till regelsystemet

Standarder i Vervas ramavtal

Standarder hör till det som brukar kallas gemensamma funktioner och lösningar. Verva har ingen uttalad policy om hur standarder och liknande specifikationer ska användas i ramavtalsupphandlingarna, men det finns en allmän strävan att använda standarder. Frågan om huruvida referenser till standarder ska göras, och i så fall till vilken eller vilka, kan komma upp såväl i förstudien inför en upphandling som under själva upphandlingen och i arbetet med förfrågningsun- derlaget. Ett förslag till referens till standard kan komma från myndigheterna, från leverantörer, från konsulter eller internt inom upphandlingsenheten. Ofta blir det en kombination, såtillvida att en viss standard uppfattas av alla parter som tillräckligt spridd och implementerad på marknaden för att den ska vara meningsfullt att kräva den i en ramavtalsupphandling.

Avgörande för om en standard ska användas i Vervas förfråg- ningsunderlag är alltså om den har nått marknadsacceptans, samt naturligtvis att den avspeglar myndigheternas behov. Någon verifi- ering av standardens relevans genom att upphandlaren granskar standardens innehåll förekommer knappast. Upphandlarens branschkännedom är tillräcklig för att avgöra om en standard ska refereras till. För expertkunskap om standarders innehåll svarar normalt anlitade konsulter. På vissa sakområden har Verva dess- utom egen sakexpertis, t.ex. vad gäller informationssäkerhet och användbarhet.

Det förekommer att Verva driver på marknaden med hjälp av krav på standarder som visserligen nått acceptans men inte i till- räcklig grad använts av leverantörerna. Ett exempel är kvalitets-

176

SOU 2007:47 IT-standarder i offentlig upphandling och deras betydelse för småföretag och ….

standarden om produktsäkerhet, Common Criteria (ISO/IEC 15408).

Givetvis styrs Vervas kravsättning av LOU, som slår fast hur standarder får åberopas. Formella standarder är huvudalternativet, och i Vervas upphandlingar används begreppet standard i dess strikta mening, dvs. specifikationer fastställda av erkända standar- diseringsorgan. Verva har dock även ställt krav kring icke-formella standarder, men då har dessa ansetts ha en så stor spridning på marknaden att det inte är diskriminerande att åberopa dem. Ett exempel är TCO:s specifikationer om bildskärmsergonomi.

Utvecklingen mot funktionsupphandling

I flera av Vervas förstudier inför ramavtalsupphandlingar uttrycker myndigheterna önskemål om att kunna upphandla funktioner i stället för tekniska lösningar. Ett exempel på funktion kan vara säkerhet. I stället för att myndigheten själv sätter samman flera olika programvarukomponenter för att uppfylla en viss säkerhets- funktion överlåts det till leverantören att tillhandahålla funktionen som en tjänst. Därmed får leverantören använda sin professionella kompetens och kreativitet för att tillgodose vad kunden efterfrågar. Myndigheten kan koncentrera sig på sin kärnverksamhet och får bättre kontroll på kostnaderna genom att det man köper har en periodisk avgift. Vidare behöver man inte lägga ner resurser på att följa den snabba tekniska utvecklingen. Leverantören har bättre möjligheter till det.

Vid upphandling av funktioner krävs väl definierade gränsytor mellan kund och leverantör. Det krävs också tydliga rutiner och villkor för att klara ut frågor om ansvar och skyldigheter. Vid kom- plexa tillämpningar, t.ex. vid köp av affärsprocesser som funktion, blir leverantören en del av verksamheten. Kraven på en strukture- rad och förtroendefull relation blir då stora.

I de flesta fall finns en teknisk gränsyta mot myndigheten där leverantören antingen ska lämna funktionen eller en gränsyta som myndigheten ska tillhandahålla och som är en förutsättning för att funktionen ska fungera. I en funktionsupphandling är det extra viktigt att beskriva sådana förutsättningar för att såväl funktionen, prisbilden som respektive parts förväntningar på den andra parten ska bli rätt.

177

IT-standarder i offentlig upphandling och deras betydelse för småföretag och ….

SOU 2007:47

Beställaren har i och med funktionsupphandlingen avhänt sig intresset och ansvaret för vilka hårdvaror, programvaror och tjäns- ter som levererar den önskade funktionen. Beställaren kan se dessa komponenter som en svart låda som levererar en funktion. Det är därmed leverantören som avgör vilka standarder som de kompo- nenter som tillhandahåller funktionen ska följa. Däremot finns det normalt en gränsyta till andra hårdvaror, programvaror och tjänster i beställarens verksamhet. Här har beställaren ett ansvar för att spe- cificera de interoperabilitetsstandarder som ska uppfyllas, för att en samverkan mellan de egna systemen och de funktionslevererande systemen ska komma till stånd.

Vid upphandling av funktioner krävs väl definierade gränsytor mellan kund och leverantör. Det krävs också tydliga rutiner och villkor för att klara ut frågor om ansvar och skyldigheter. Ett ram- verk som hanterar just denna typ av förhållanden är IT Infrastruc- ture Library, ITIL (ISO/IEC 20000). ITIL och ISO/IEC 20000 är en lämplig bas för att ställa krav på former för samverkan vid upp- handling av funktioner och tjänster samt för att definiera termer och begrepp. ITIL är ett ramverk som beskriver best practice för hur IT skall hanteras och tillhandahållas, och ITIL bidrar dessutom med ett gemensamt synsätt och gemensamma definitioner, vilket skapar förutsättningar för en ökad förståelse mellan beställare och leverantörer. Detta bidrar i sin tur till att skapa korrekta förvänt- ningar parterna emellan och därmed bättre förutsättningar för lyckade affärer.

En annan aspekt är att det är svårare för leverantörerna att sätta samman och leverera en tjänst än en produkt med tillhörande ser- vice. En överenskommen arkitektur för tjänster inom olika verk- samhetsområden skulle kunna vara till hjälp.

EG-direktiven om upphandling

De obligatoriska delarna av EG:s två upphandlingsdirektiv – 2004/17/EG (försörjningsdirektivet) och 2004/18/EG (det klas- siska direktivet) – skulle ha införlivats med svensk lag senast den 31 januari 2006, vilket dock ännu inte har skett. De delar i direktivet som berör tekniska specifikationer är obligatoriska, och en rimlig bedömning är att direktivet åtminstone i vissa delar vid en rättslig tvist med framgång bör kunna hävdas ha direkt effekt, dvs. vara gällande även innan den svenska lagen har ändrats.

178

SOU 2007:47

IT-standarder i offentlig upphandling och deras betydelse för småföretag och ….

Direktivet anger sex olika typer av upphandlingsförfaranden: öppet, selektivt, förhandlat, konkurrenspräglad dialog, dynamiska inköpssystem samt elektronisk auktion. De tre sistnämnda är fri- villiga för medlemsstaterna att införa.

Upphandlingsutredningen har lagt ett delbetänkande, Nya upp- handlingsregler (SOU 2005:22), som nu bereds inom Regerings- kansliet. Ett första lagförslag har lagts fram men lagrådets kritik var omfattande och gällde dels lagförslaget, dels hur det beretts, för- utom just paragrafen om standard. Det går därför inte att säga att det som anges om bestämmelsen om användning av standard är fel och kommer att ändras. Detta kan dock vara bra att veta att det pågår en omarbetning, om inte av hela, så i alla fall av stora delar av det förslag som gavs till lagrådet. Först efter denna omarbetning kan det hela bli en proposition.

Varken direktivet eller lagen antyder att det skulle finnas någon skillnad i hänvisningen till standarder beroende på vilken upphand- lingsform som tillämpas.

Det är svårt att nu säga något om den kommande svenska lagen och vilka förändringar som är att vänta vad gäller standardernas roll i upphandlingen.

8.1.4Diskussion om upphandling

Att hitta, skaffa och förstå en standard

Som potentiell användare av en standard måste man känna till att den finns, kunna hitta den, kunna skaffa den samt kunna läsa och förstå den. Ingenting av detta är lätt – vare sig det gäller formella eller andra standarder.

Frågan ”Här behövs en standard – finns det någon bra och vil- ken är det?” är svår att besvara, om den över huvud taget ställs. Det finns två huvudskäl till svårigheten:

•För det första är de flesta offentliga upphandlande enheter och en mycket stor majoritet företag små organisationer med små resurser. De har varken tid, pengar eller personal för att söka efter de standarder som kan vara relevanta och ge större verk- samhetsnytta.

•För det andra är en sådan sökning mycket svår att genomföra. Det finns ingen central förteckning över standarder som är

179

IT-standarder i offentlig upphandling och deras betydelse för småföretag och ….

SOU 2007:47

organiserad efter användningsområde och som ger en översikt över standardernas syfte och innehåll. Man måste i princip köpa en formell standard för att kunna avgöra om den är relevant för den aktuella verksamheten.

Det är också så att många standarder refererar till andra standarder, vilka man då också måste köpa, och det upptäcker man inte förrän man läser den första standarden.

Dessutom är standarder svårtillgängliga rent språkligt och inne- hållsmässigt sett. Det är experter som utarbetar standarderna, vilket medför att det är experter som i praktiken avgör om en verksamhet ska bygga på en standard – och i så fall på vilken. I en upphand- lingssituation är det en expert, inte upphandlaren, som avgör vilken standard som det ska ställas krav på i ett förfrågningsunderlag. Upphandlaren kan föra in frågan om huruvida standarden uppfyller upphandlingslagens krav på tekniska specifikationer, men det behövs expertkompetens för att avgöra dess relevans för den verk- samhet som upphandlingen avser.

En särskild olägenhet uppstår när en myndighetsföreskrift hän- visar till en standard, som då måste införskaffas av dem som ska följa föreskriften. Det innebär att det kostar pengar att följa en obligatorisk föreskrift.

Kostnadsaspekter

Att införa en standard eller att byta från en standard till en annan är förknippat med kostnader. Det gäller för både beställare och leve- rantörer, men det är mer synligt på leverantörssidan. De intervjuer som genomförts visar att leverantörerna ser rent affärsmässigt på hur deras produkter ska följa standarder och i vilken mån man ska införa standarder i produktionsprocessen. Man vill inte investera i utrustning, tid och kompetens för att börja följa en viss standard om man inte ser säkert att den får genomslag på marknaden.

Syftet med standarder i upphandling är att minska transaktions- kostnaderna, men om svårigheter att söka och tillgodogöra sig standarderna för beställaren ger ökade transaktionskostnader så motverkas fördelarna. Om en kritisk massa av kunder, eller de företag man som underleverantör levererar till, börjar kräva att man ska följa en viss standard, så är det en tydlig drivkraft att investera i den.

180

SOU 2007:47

IT-standarder i offentlig upphandling och deras betydelse för småföretag och ….

För beställaren är införande av standard något som i huvudsak görs av effektivitetsskäl Avsikten är att minska antalet varianter, vilket ger sänkta kostnader.

Att byta standard är på beställarsidan i stort sett synonymt med att byta teknisk plattform, vilket kan medföra stora migrations- kostnader i form av ny utrustning, utbildning etc. I intervjuerna är det dock bara få respondenter som tagit upp kostnader som ett problem med standarder.

De ekonomiska effekterna av standarder har kartlagts i en upp- satsTPF3FPT på Handelshögskolan i Stockholm. Kartläggningen görs ur ett företagsperspektiv, men de bör i viss utsträckning även kunna till- lämpas även ur ett myndighetsperspektiv. Författarna kommer fram till att standardisering allmänt sett ger besparingar, vilket beror på att standardisering innebär effektivisering i form av repe- tition och kvalitetssäkring samt genom samordningseffekter och förbättrad kommunikation. Detta gäller särskilt intern standardise- ring genom en minskning av antalet varianter, men också för metodstandarder och systemstandarder av typ Internetprotokoll.

Standarder för verksamhetsstyrning, t.ex. ISO 9000, anses dock ha begränsade positiva ekonomiska effekter. Det är snarare så att de undanröjer riskerna för minskade intäkter, eftersom kunderna i ökad utsträckning ställer krav på sådana standarder.

En annan fråga, som inte besvaras i uppsatsen, är huruvida en ökad användning av krav på standarder i förfrågningsunderlag är kostnadsdrivande för leverantörerna. Normalt sett ser leverantö- rerna rent affärsmässigt på kundernas krav på standarder. När det gäller offentlig anskaffning av IT ligger dock saken något annor- lunda till. Huvuddelen av sådana produkter och tjänster som finns på ramavtalen anskaffas över dessa. Om Verva – men ingen annan – ställer krav på en standard som är kostnadskrävande att implemen- tera för leverantörerna, så kan detta snedvrida konkurrensen på det marknadssegment som den offentliga sektorn utgör.

3TP PT Anne Haaber–Bernth & Paula Lembke: Är standarder lönsamt för företag? Uppsats vid Executive MBA-programmet med inriktning mot affärsutveckling och IT på Handelshög- skolan i Stockholm, 2004–11-28.

181

IT-standarder i offentlig upphandling och deras betydelse för småföretag och ….

SOU 2007:47

Hänvisning till standard i upphandling

Förslaget till ny lag om offentlig upphandlingTPF4FPT anger i sitt 8 kapitel två sätt att utforma tekniska specifikationer i förfrågningsunderla- get:

•hänvisning till standarder, men då måste hänvisningen åtföljas av orden ”eller likvärdigt”

•funktions- eller prestandakrav som får, men inte måste, hänvisa till standarder.

Regelverket jämställer alltså standarder med funktions- och pre- standakrav. Eftersom det kan upplevas som förknippat med svårig- heter att få tag på och tillgodogöra sig standarder, kan det leda till att de upphandlande myndigheterna hellre anger funktions- och prestandakrav i stället för att hänvisa till standarder, eftersom det troligen är lättare att uttrycka verksamhetens och användarnas krav i funktions- och prestandatermer än att söka rätt på en lämplig standard. Det ökade intresset för funktions- och tjänsteupphand- lingar pekar också mot att man i första hand väljer funktions- och prestandakrav.

Att upprätta en specifikation med hänvisning till standarder medför komplikationer om man vill bygga sin anskaffningsstrategi på standarder i lagens mening. Leverantören ges en möjlighet att uppfylla kraven på standard på ett ”likvärdigt” sätt. Det är visserli- gen upp till anbudsgivaren att visa att sättet är likvärdigt med stan- darden, men det är beställaren som ska bedöma om det sättet är godtagbart. Det ställer höga krav på beställarkompetens och öpp- nar för konflikter som kan sluta i länsrätten. För t.ex. interoperabi- litetsstandarder bör likvärdigheten kunna bedömas med ett prak- tiskt prov, men för kvalitetsstandarder är det rimligtvis svårare.

Det finns dock kvalitetsstandarder där kravställningen och bedömningen av kravuppfyllelsen görs inom ramen för standarden. Man kan säga att den eventuella konflikten flyttar från upphand- lingen in i standarden. Ett exempel är Common Criteria (ISO/IEC IS 15408), som är en standard för IT-säkerhet. CC är ett ramverk för definition av

•användarnas funktionella krav på IT-säkerhet i produkter

•leverantörens deklaration av IT-säkerhet i produkter

4TP PT Nya upphandlingsregler (SOU 2005:22), delbetänkande av Upphandlingsutredningen.

182

SOU 2007:47

IT-standarder i offentlig upphandling och deras betydelse för småföretag och ….

•regler och metoder för oberoende granskning (s.k. certifie- ringsordning).

Genom att kraven är funktionella och relaterade till säkerhetsmål, och genom att bedömningen görs av tredje part, behöver inte upp- handlaren jämföra mellan en standard och ett av anbudsgivaren angivet ”likvärdigt” sätt.

En annan svårighet med hänvisning till standard är att dessa ska väljas i en viss turordning (enligt EU-direktiven). Det innebär att den upphandlande enheten måste börja överst och söka sig ner i hierarkin tills en lämplig standard påträffas. I nuvarande LOU finns ingen turordning angiven.

Effekten av den nya upphandlingslagstiftningen (i den utsträck- ning den kan bedömas i nuläget) på hänvisning till standarder är alltså något oklar. Det kan dock finnas andra skäl än lagstiftningen att hänvisa till standarder. Ett sådant skäl är risken för överpröv- ning.

En stor del av upphandlarens kraft går åt att undanröja risken för att upphandlingen ska bli överprövad, med den kostnad och tidsåtgång detta för med sig, och det finns skäl att tro att ökad referens till standarder kan minska denna risk. Varje enskilt krav i ett förfrågningsunderlag är en potentiell angreppsmöjlighet för en leverantör som anser sig förfördelad. Om man kan referera till en standard i stället för att ange tio olika krav, så minskar antalet krav (på det kravområdet), och därmed antalet angreppsmöjligheter, till ett. Kan man använda standarder med inbyggda certifieringssche- man så minskar risken ytterligare. Att minska antalet krav i ett förfrågningsunderlag minskar också själva arbetsvolymen i upp- handlingen, både för beställaren och för leverantören.

Behovet av rådgivning

Det nya lagförslaget innehåller flera faktorer som gör att det blir svårare att hantera krav på standarder än det gör utifrån den gäl- lande lagstiftningen, men frågan om vilka bestämmelser som har ”direkt effekt” är svårhanterlig eftersom det uppstår tolkningspro- blem om vad ”likvärdigt” innebär. Standarder måste väljas efter en prioritetsordning, och man vill kunna hänvisa till IT-standarder som fastställs av W3C, OASIS, IETF, UN/CEFACT och andra

183

IT-standarder i offentlig upphandling och deras betydelse för småföretag och ….

SOU 2007:47

organ som utarbetar brett accepterade standarder men som inte är erkända i direktivets mening.

För att underlätta för upphandlande myndigheter att hantera sådana frågor bör, enligt Vervas uppfattning, definitionen av tek- niska specifikationer enligt direktivets bilaga VI regleras i en före- skrift, som bör kompletteras med allmänna råd. I delbetänkandet Nya upphandlingsregler (SOU 2005:22) talas både om förordning och föreskrift. En förordning verkar dock mindre lämplig, menar verket, eftersom allmänna råd inte kopplas till förordningar.

8.2Småföretag och standarder

8.2.1Användning av standarder

I Vervas intervjuer med beställare och leverantörer framhöll både intervjuade beställare och leverantörer att officiella standarddoku- ment ofta är otillgängliga och svåra att förstå, särskilt för små myn- digheter och företag. En formell standard hänvisar dessutom ofta till andra standarder, vilket kräver ytterligare resursinsatser. För att klargöra vad som är viktigast i en standard, vad som ska prioriteras och hur den ska tillämpas behövs omfattande kompetens. En myn- dighet anlitade exempelvis en konsult för att hitta och välja stan- dard till ett område, och man behövde sedan ta in ytterligare en konsult för att tolka den.

Att utvecklings- och beslutsprocessen för formella standarder är lång upplevs som negativt av leverantörerna eftersom det är dyrt att anpassa en produkt till standarden om leverantören redan hunnit långt i sin egen produktutveckling. Formella standarder uppfattas därför som otillgängliga och dyra av vissa beställare och leveran- törer.

Betydelsen av standarder i samband med upphandling, och sam- bandet med småföretags deltagande i upphandling, har varit svårare att få klarhet i. Några studier som Verva på utredningens uppdrag letat fram och studerat är följande:

•Offentlig upphandling i EU och USA (ITPS 2004)

•Företagens villkor och verklighet 2005 (Nutek 2005)

•The European Observatory for SME:s Sixth Report (EC 2000)

•The access of SME:s to public procurement contracts (EIM, 2004).

184

SOU 2007:47

IT-standarder i offentlig upphandling och deras betydelse för småföretag och ….

Slutsatsen av dessa rapporter är enligt Verva att användning och samordning av standarder varken bidrar till att undanröja de hinder som småföretag upplever för att delta i offentliga upphandlingar eller underlättar för småföretagare att delta vid offentliga IT-upp- handlingar.

8.2.2Diskussion om småföretagens deltagande i upphandlingen

EU-kommissionen initierade i oktober 2004 en studie om hur små och medelstora företags engagemang i standardiseringsfrågor kunde främjas. En rapportTPF5FPT publicerades i oktober 2006, vilken visade att flera aktörer i EU har vidtagit åtgärder för att få med små och medelstora företag (i fortsättningen benämnda SME) i stan- dardiseringen: nationella myndigheter, nationella standardiserings- organ och småföretagarorganisationer. Åtgärderna varierade från breda och generella kampanjer för att höja medvetenheten om standarder och standardisering till specifika vägledningar i smalare ämnen såsom tekniska standarder för svetsutrustning. De medel som valts innefattade publikationer, workshops och seminarier, utbildning, rabatterat pris på standarder, konsultativ hjälp, resebi- drag för medverkan i kommittéarbete etc.

I rapporten har 23 särskilt bra åtgärder valts ut. En av dessa är Svensk elstandard (SEK), resebidrag till kommittémöten, som utdelas på villkor att mottagaren skriver en rapport från mötet. SEK räknar med en spridningseffekt, eftersom rapporten förväntas bli skriven utifrån ett småföretagarperspektiv och därmed har större utsikter att bli läst och förstådd. SEK svarar för standardise- ringen på el-området i Sverige och samordnar svensk medverkan i internationell och europeisk standardisering.

Även om aktörer både hos de åtgärdsansvariga och hos mål- grupperna menar att åtgärderna svarar mot verkliga behov och ger goda bidrag, så finns det just inga utvärderingar av effekterna av åtgärderna.

Motivet för alla dessa åtgärder är att SME inte ser att standarder och standardisering berör dem, trots att standarder bedöms spela en stor roll för att minska de tekniska handelshindren över grän-

5TP PT SMEs and standardisation in Europé. EIM Business and Policy Research, Zoetermeer, October 2006.

185

IT-standarder i offentlig upphandling och deras betydelse för småföretag och ….

SOU 2007:47

serna och därmed bidra till förverkligandet av den inre marknaden. Enligt rapporten finns flera skäl till småföretagens utanförskap:

•De anser att standarder och standardisering är en fråga för stor- företagen.

•Småföretag har varken personal, pengar eller tid att delta i stan- dardiseringsarbete.

•Standarder är komplicerade och svåra att tillgodogöra sig, såväl språkligt som tekniskt.

•Det är svårt att veta vilka standarder som är relevanta att använda.

•Standarder kostar pengar, och ofta måste man köpa flera stan- darder eftersom de hänvisar till varandra.

Detta bekräftades på en konferens om småföretag och standarder som hölls i Bryssel den 16 oktober 2006. Titeln på konferensen var

European standardisation – a key for the success of SME:s, skilled crafts and trades. Programmet bestod av en presentation av den nämnda rapporten samt anföranden från standardiseringsorganisa- tioner, småföretagarorganisationer och EU-kommissionen. På kon- ferensen framkom bl. a. följande:

•Fler än 99 procent av de ca 23 miljoner företagen i EU är SME:s.

•De sysselsätter 120 miljoner människor, vilket utgör mer än två tredjedelar av den privatanställda arbetskraften i EU.

•Över 90 procent av alla SME är mikroföretag med färre än 10 anställda. En mycket stor del har inga anställda alls.

•Medelantalet anställda i europeiskt företag oavsett storlek är sju, och medelantalet anställda i SME är fyra.

Enligt Verva är det dock inte lämpligt att bunta ihop mikroföretag (< 10 anställda), småföretag (< 50 anställda) och medelstora företag (< 250 anställda), eftersom de har olika karaktäristika och förutsättningar.

Det är heller ingen större mening med att satsa på att förmå småföretagen att öka sitt deltagande i standardiseringsarbetet. Sådant kräver mycket tid, kompetens och pengar, vilket inte alltid finns hos småföretagen. De kan dock delta nationellt, vilket kräver mindre resurser. Småföretagens intressen i standardiseringsproces- sen måste stärkas, men det får ske genom deras organisationer.

186

SOU 2007:47

IT-standarder i offentlig upphandling och deras betydelse för småföretag och ….

Tillgången till standarder måste bli bättre. Företagen vill ha kortversioner som på ett enkelt sätt beskriver en standards syfte och innehåll, vägledningar om vilka viktiga standarder som finns inom ett visst ämnesområde, standarder som finnas tillgängliga på det egna språket, samt inte minst standarder som tillhandahållas kostnadsfritt eller åtminstone till ett rimligt pris.

Den allmänna föreställningen är att nyttan av standarder finns på flera plan, bl.a. följande:

•De möjliggör att produktion kan brytas ned i en värdekedja.

•De skapar tillit till att saker fungerar som man förväntar sig, t.ex. när man kopplar in sin bärbara dator till ett nätverk.

•Konsumenter behöver inte skaffa sig fullständig information om en produkts kvalitet. Det räcker med att en standard indi- kerar att vissa egenskaper är på plats.

•Småföretagen måste övertygas om nyttan av standarder.

Standardiseringsprocessen är dåligt anpassad för småföretagens villkor, och EU-kommissionen vill föra samman standardiserings- organisationerna och småföretagen för att dessa båda parter ska få bättre förståelse för varandras förutsättningar.

På Europanivå finns två organisationer som främjar småföreta- gens intressen i standardisering. Den första är NORMAPNE, vars syfte är att:

•göra SME mer synliga i standardiseringsprocessen

•främja SME:s deras intressen

•påverka så att standarderna är anpassade till SME:s förhållanden

•följa och påverka vissa valda standardiseringsområden.

Den andra är The Euro Info Centre Network, som ger råd till SME:s om tillämpning av EU:s regelverk, där standarder är en del, och som även informerar EU-kommissionen om gemenskapsfrågor som påverkar SME:s.

EU-kommissionen ger stöd till olika aktiviteter i den europeiska standardiseringen. Bland annat kan kommissionen finansiera upp till 50 procent av kostnaderna för översättning av standarder till nationella språk, men återstoden är en nationell finansieringsfråga. Det är alltså, enligt Verva, en fråga för de nationella standardise- ringsorganen att ta fram program för översättning som motsvarar de nationella företagens, speciellt SME:s, behov.

187

IT-standarder i offentlig upphandling och deras betydelse för småföretag och ….

SOU 2007:47

8.3Kan innovationer påverkas av IT-standarder i upphandlingen?

8.3.1Nuteks och Vinnovas rapporter om offentlig upphandling och innovation

Regeringen uppdrog i april 2006 åt Nutek och Vinnova att utreda hur offentlig upphandling kan bidra till ökad innovation och krea- tiv förnyelse. Uppdraget är dock inte begränsat till IT-området. Nutek och Vinnova har i oktober 2006 lämnat varsin rapport med snarlikt innehåll.TPF6FPT I detta avsnitt redogörs för innehållet i rapport- erna, i den utsträckning det bedöms vara relevant för frågeställ- ningen om huruvida en bättre samordning av utveckling av stand- arder kan stimulera till innovation genom offentlig upphandling. Även om rapporterna knappast handlar om IT-standarder belyser de sambandet mellan innovationer och upphandling.

Nuteks och Vinnovas redovisning anger att ett flertal rapporter pekar på att offentliga upphandlingar utgör en i dag i stort oanvänd möjlighet för att främja innovation i det privata näringslivet. Flera studier hävdar att offentlig upphandling kan vara viktigare för att stimulera innovationer än olika former av FoU-stöd. Skälen för det kan vara följande:

•Offentliga verksamheter kan vara en krävande kund.

•Offentliga verksamheter är i vissa sammanhang beredda att betala de högre priser som ofta gäller i början av en innova- tionscykel.

•Offentlig efterfrågan kan snabbt leda till en kritisk massa i efterfrågan, om nya lösningar sprids till flera myndigheter.

•Offentlig efterfrågan kan förmedla starka användarimpulser av demonstrationskaraktär till privata användare.

•Offentlig efterfrågan leder, till skillnad från rena FoU-subven- tioner, direkt till efterfråge- och marknadskopplingar.

6TP PT Källor: Offentlig upphandling som drivkraft för innovation och förnyelse, Vinnova diarie- nummer 2006-01487

Offentlig upphandling som drivkraft för innovation och förnyelse, Nutek R 2006:21 Precommercial Procurement of Innovation, a missing link in the European innovation cycle, (Dahlstensrapporten), mars 2006, utarbetad genom the National IST Research Directors Forum Working Group under ledning av EU-kommissionens DG INFSO.

188

SOU 2007:47

IT-standarder i offentlig upphandling och deras betydelse för småföretag och ….

Nutek identifierar några huvudområden där det finns brister och hinder, vars undanröjande kan stimulera innovation och förnyelse:

•Det saknas en nationell policy för upphandling och en splittrad struktur för stöd till praktisk upphandling.

•Upphandling ses som en förvaltningsuppgift, inte som en stra- tegisk funktion, och drivkraften för risktagande är svag.

•Upphandlingsprocessen är inte tillräckligt effektiv. Regelverket är otydligt och skapar osäkerhet. För mycket kraft läggs på att undvika överprövningar. Den administrativa bördan är stor för både upphandlare och leverantörer.

•Det saknas kompetens om strategisk affärsutveckling.

•Det saknas rutiner för uppföljning och utvärdering för att avgöra om en upphandlad innovation leder till förbättring eller effektivisering av verksamheten.

•Näringslivet har svaga drivkrafter att föreslå eller utveckla innovativa lösningar för offentlig verksamhet, vilket beror mycket på tillämpningen av reglerna för offentlig upphandling.

Vinnova identifierar motsvarande brister och hinder men grupperar dem något annorlunda i form av tre utmaningar:

•att stärka drivkrafterna för innovationsfrämjande offentlig upp- handling och arbeta för strategisk styrning inom området

•att utveckla metoder för att öka effektiviteten i innovations- främjande offentlig upphandling

•att följa upp och utvärdera resultat av innovationsfrämjande offentlig upphandling.

Vinnova pekar på att den decentraliserade upphandlingen i Sverige medför att kommuner och myndigheter är organiserade på olika sätt och har olika tekniska lösningar. Man utformar också egna förfrågningsunderlag med olika krav och utvärderingskriterier. Vinnovas slutsats är att om myndigheter med liknande verksamhet samordnar sina upphandlingar och utformar förfrågningsunderla- gen på ett mer likartat sätt ökar möjligheten för leverantörerna att uppnå den kritiska massa som krävs för att täcka kostnader för utveckling och anpassning.

Nutek menar att samordning i samband med offentlig upp- handling kan bidra till både effektivare och mer innovationsfräm-

189

IT-standarder i offentlig upphandling och deras betydelse för småföretag och ….

SOU 2007:47

jande processer. Den samlade kompetensen och metodkunnandet kring offentlig upphandling kommer då till större nytta, och risk- spridningen bland de upphandlande enheterna ökar.

Både Nutek och Vinnova ser dock risker med samordnade upp- handlingar, genom att kraven kan innebära att små företag har svårt att delta, eftersom företagen inte har eller inte hinner bygga upp kapacitet att leverera de volymer som krävs.

Både Vinnova och Nutek anser också att det vore bra med ett ökat inslag av upphandlingar av funktion och prestanda, även om detta är svårt att genomföra i praktiken. Vinnova och Nutek menar att en orsak till dessa svårigheter kan vara att myndigheternas för- frågningsunderlag ofta bygger på tidigare upphandlingar, vilket i sin tur begränsar utrymmet för innovationer. Därför bör bättre förarbeten göras, där användarnas behov systematiskt kartläggs. Det bör leda till bättre förfrågningsunderlag med utgångspunkt i önskvärda funktioner och prestanda, som stimulerar kreativitet och innovation hos leverantörerna.

Nutek och Vinnova skiljer på innovationsfrämjande upphandling, som stimulerar innovation, dvs. utveckling av varor eller tjänster som vid upphandlingstillfället ännu inte existerar, och innovations- upphandling, som har ett mer uttalat syfte att upphandla innovation och förnyelse.

Nutek redogör ganska utförligt för olika innovationsfrämjande upphandlingsformer:

•förhandlad upphandling, som endast får användas undantagsvis i upphandlingar över tröskelvärdet

•alternativa anbud, som är anbudsgivarens alternativa förslag på hur ett behov kan tillgodoses

•formgivningstävlingar, som vanligen används för arkitekttjäns- ter

•funktionsupphandling, där upphandlaren anger vilken funktion och prestanda som önskas men överlåter på anbudsgivaren att presentera en lösning på hur funktionen ska uppnås

•partnerskapslösningar (Public Private Partnership, PPP) och koncessioner, där en offentlig aktör överlåter ansvaret för en funktion till en privat aktör som får finansiera uppbyggnad och drift av projektet och i gengäld ges rätt att ta ut avgifter

190

SOU 2007:47

IT-standarder i offentlig upphandling och deras betydelse för småföretag och ….

•kombinationsupphandlingar, där många likartade kontrakt ska upphandlas och där anbudsgivaren kan lämna anbud på delar av projekt eller på olika kombinationer av projekt

•uppdelning av komplexa upphandlingar i mindre delar

•teknisk dialog, där den upphandlande myndigheten söker kun- skap om marknadens möjliga lösningar på ett sätt som behand- lar leverantörer likvärdigt, innan ett upphandlingsförfarande inleds; detta är således inte en upphandlingsform

•konkurrenspräglad dialog, som är en ny upphandlingsform enligt det nya upphandlingsdirektivet.

Ett antal former för innovationsupphandlingar beskrivs av både Nutek och Vinnova:

•Förkommersiell upphandling, vars uppgift är att generera nya, innovativa lösningar på områden där befintliga lösningar saknas och där den upphandlande enheten förutsätts vara medveten om sina långsiktiga behov och kunna driva en utvecklings- process som involverar flera möjliga leverantörer.

Förkommersiell upphandling är en viktig del av EU-kom- missionens innovationsstrategi, och metoden bygger på ett tre- stegsförfarande, där det första steget är att göra ett urval bland konkurrerande förslag på nya lösningar, det andra steget är att ge utvalda leverantörer möjlighet att utveckla parallella proto- typer, och det tredje steget – produktionsanpassning – innebär att minst två konkurrerande leverantörer finns kvar för att säkra framtida konkurrens. I EU-dokumentet Pre-commercial Procurement of Innovation (den s.k. Dahlstensrapporten) anges att förfarandet bygger på nyttjande av ett undantag i upphand- lingsdirektivet som rör upphandling med en viss andel forsk- ningsinslag eller upphandling av en forskningstjänst som upp- handlas.

•Teknikupphandlingar syftar till att få fram nya produkter, system eller processer som tillgodoser köparnas krav bättre än de som redan finns på marknaden. Detta är dock inte enbart en fråga om teknikutveckling, utan det fordras också att det ska- pas en rad åtgärder för spridning och användning av produk- terna, systemen eller processerna. Den som driver en teknik- upphandling måste därför ha god marknadskännedom och goda marknadskontakter.

191

IT-standarder i offentlig upphandling och deras betydelse för småföretag och ….

SOU 2007:47

•Demonstrationsinstallation, vilket kan ses som långtidstest av en prototyp med ny teknik. Det som är typiskt för en demonstra- tionsinstallation är att det finns en konventionell utrustning som klarar systemets basbehov och att installationen normalt kräver betydligt fler avbrott och modifieringar i jämförelse med kommersiella produkter. Ett tredje kännetecken är att sådana installationer har ofta högre teknisk eller ekonomisk risk och kortare livslängd än den framtida kommersiella produkten. I Vinnovas och Nuteks rapporter görs troligt att upphandling av demonstrationsinstallationer faller under det undantag i LOU som rör situationer när det finns endast en tänkbar leverantör.

8.3.2Kan användning av standarder öka innovationsgraden i offentlig IT-upphandling?

Varken Nutek eller Vinnova diskuterar specifikt vilken roll stan- darder och standardisering kan ha för att främja innovation i offentlig upphandling. I samband med diskussion om för- och nackdelar med samordning av upphandlingar nämns dock att sam- ordning kan skapa en kritisk massa och ger möjligheter till effekti- vare upphandlingsmetoder, t.ex. genom standardisering av förfråg- ningsunderlag. I en bilaga till Nuteks rapport som behandlar inter- nationella erfarenheter av innovationsfrämjande offentlig upphand- ling refereras ett meddelande från EU-kommissionen – More Research and Innovation. I bilagans referat sägs att:

…myndigheter är stora kunder och har därmed stora möjligheter att stimulera privata investeringar i forskning och innovation. Bäst kan detta åstadkommas genom funktionsupphandlingar i stället för upp- handlingar baserade på tekniska standarder.

I ovannämnda Pre-commercial Procurement of Innovation sägs att det faktum att det nya upphandlingsdirektivet tillåter att upphand- lingskrav uttrycks i funktions- och prestandatermer, och inte bara genom referens till standarder som i det tidigare direktivet, otvivelaktigt är det bästa medlet i direktivet att främja innovation. Resonemanget implicerar att man ser detaljerade krav, inte speci- fikt tekniska standarder, som i huvudsak hämmande för innovation i upphandlingar.

Med innovation avses, enligt Vinnovas rapport, praktiskt nyt- tiggörande av kunskap och kompetens i form av nya affärsmodel-

192

SOU 2007:47

IT-standarder i offentlig upphandling och deras betydelse för småföretag och ….

ler, nya produkter (varor eller tjänster) och nya processer. Rap- porten skiljer mellan å ena sidan radikala innovationer med ett stort inslag av utveckling och även forskning, och därmed med högt nyhetsvärde, och å andra sidan inkrementell innovation som kan röra sig om att förbättra eller effektivisera av en affärsmodell, pro- dukt eller process.

8.3.3Diskussion om innovationer

Som framgår ovan finns inte mycket sagt i de refererade rappor- terna om huruvida, och i så fall hur, standarder kan stimulera till ökade inslag av innovation i offentlig IT-upphandling. Mot bak- grund av de problem och lösningar som rapporterna beskriver är det ändå rimligt att dra följande slutsatser.

När innovationen består av att kombinera och använda befint- liga produkter på ett nytt sätt så är det rimligen en fördel om kom- ponenterna följer standarder och är interoperabla. Det förefaller vidare rimligt att anta att i synnerhet en inkrementell innovation drar nytta av att den modell, produkt eller process, som innovatio- nen tar sin utgångspunkt i, följer accepterade standarder. Därmed behöver inte innovatören ”uppfinna hjulet” för det som innovatio- nen vilar på. Radikala innovationer torde i mindre utsträckning behöva utgå från en standardiserad ”bottenplatta”.

Standardisering åstadkommer ökad förutsägbarhet för såväl den offentliga sektorns aktörer (upphandlande myndigheter) som leve- rantörer (ekonomiska aktörer). Detta leder till minskad risk för aktörerna att investera i ny eller olikartad teknik, vilket i sin tur kan främja innovationer.

Det är samtidigt ett faktum att standardisering är en långsam process, eftersom den måste förankras väl, vilket gör att banbry- tande innovationer sällan kan invänta standardisering. De innova- tioner som således kan främjas genom standardisering är främst innovationer inom befintliga teknikområden.

Standardiserade effektmålskrav kan underlätta innovationer. Om standardisering sker på en övergripande nivå, i stället för på detaljnivå, kan standardisering främja även banbrytande innovatio- ner. Detaljstyrande standardisering hämmar däremot innovations- utrymmet.

193

IT-standarder i offentlig upphandling och deras betydelse för småföretag och ….

SOU 2007:47

En viktig framgångsfaktor är att upphandling sker genom att funktioner, eller ännu hellre effektmål, specificeras. På så vis till- handahålls nödvändiga ramar för utvecklingsinsatserna.

Även inom tjänsteområdet finns större utrymme för innovatio- ner genom standardisering, vilket beror på att standardisering av tjänster normalt sker på en övergripande nivå.

Genom standardisering ökar också såväl den lokala som den internationella konkurrensen, särskilt om den sker på funktions- eller effektnivå. Det ger också en vidgad innovationskraft genom att fler ges möjlighet att bidra med idéer. Förutsägbarheten, genom standardisering på övergripande nivå, kan också ha en gynnsam effekt för SME, genom minskad riskexponering.

För att realisera denna potential krävs en samordnad utveckling av upphandlings- och affärsmodeller, t.ex. funktions- eller effekt- målsupphandlingar respektive offentlig–privata partnerskap, (OPP) eller andra drivkraftsskapande modeller, inom den offentliga upp- handlingen. Likaså är det nödvändigt att innovationer stöds genom att de omfattas av en nationell policy för offentlig upphandling och konkretiseras i en nationell handlingsplan för innovationer genom offentlig upphandling.

Rätt hanterad kan innovationskraften och deltagandet för små och medelstora företag främjas, dvs. tillsammans med en nationell policy för offentlig upphandling samt små och medelstora företag.

För detta ändamål bör det, enligt Vervas uppfattning, inrättas en särskild funktion eller myndighet med ansvar för metodutveckling av offentlig upphandling. Därmed skapas förutsättningar för en nödvändig drivkraft som genom olika initiativ kan främja innova- tioner. Denna funktion eller myndighet skulle också kunna delta i standardiseringsfrågor.

Som en bieffekt av standardisering förebyggs sannolikt även ris- ken för överprövningar av offentliga upphandlingar i vissa fall, eftersom det uppstår en ökad tydlighet.

194

9Elektroniska inköps- och upphandlingsprocesser

9.1Inledning

I tilläggsdirektivet till vår utredning sägs att utredaren särskilt ska uppmärksamma betydelsen av en ökad användning av standarder när det gäller myndigheternas möjligheter att införa elektroniska inköpsprocesser inklusive upphandling – i synnerhet för möjlighe- terna att ta emot elektroniska anbud.

Detta har tydliga beröringspunkter med två regeringsuppdrag till Statskontoret, vilka överfördes till Verva den 1 januari 2006 och som därefter har slutförts. Uppdragen bestod av att arbeta för ökad användning av elektronisk handel samt ökad användning av elek- tronisk upphandling. Uppdragen avrapporterades till regeringen den 22 februari 2007. Bägge berör standardiseringsfrågor.

Detta avsnitt bygger huvudsakligen på en rapportTPF1FPT från Verva som innehåller dels en bearbetning av för IT-standardiseringsut- redningen relevanta delar ur de ovannämnda rapporterna, dels en undersökning av huruvida det finns förutsättningar för att utveckla standarden UBL (Universal Business Language), så att den kan användas för gemensamma specifikationer vid elektronisk upp- handling.

9.2Bakgrund

Elektronisk upphandling och handel har varit aktuella frågor inom förvaltningen sedan mer än ett tiotals år tillbaka. Myndigheter, kommuner och landsting har arbetat för att ta fram elektroniska lösningar, och inom ramen för det s.k. Toppledarforum genomför- des i mitten av 1990-talet en stor satsning på området. Denna ledde

1TP PT Verva. IT-standardiseringsutredningen – elektroniska inköpsprocesser, PM 2007-03-30.

195

Elektroniska inköps- och upphandlingsprocesser

SOU 2007:47

bl.a. till en upphandling av ramavtal för systemlösningar för elek- tronisk handel. Vidare har Svenska Kommunförbundet, numera Sveriges Kommuner och Landsting, tillsammans med Statskontoret (Verva) och andra aktörer arbetat inom ramen för Single Face to Industry (SFTI), med utveckling av standard för elektronisk handel och att i övrigt främja införandet av elektronisk handel. Samverkan har också omfattat näringslivet; såväl varu- och tjänsteleverantörer som systemleverantörer deltar i SFTI, men samverkan har även skett med bl.a. intresseorganisationen Gemenskapen för elektroniska affärer (GEA) och efter denna Nätverket för elektroniska affärer

(NEA).

Arbetet med SFTI var inledningsvis inriktat på de delar av inköpsprocessen som följer efter kontrakttilldelning dvs. prisliste- hantering, avrop, beställning och fakturahantering, och lösningen byggde då på EDI enligt Edifactstandard. En utgångspunkt har hela tiden varit att använda internationella standarder, vilka anpassats efter svenska behov. Senare har arbetet även kommit att omfatta standard baserade på XML.

En orsak till att arbetet inriktades på de delar av anskaffningen som ligger efter kontraktstilldelningen är att avrop volymmässigt är tyngst och omfattar många användare och att en ökad trohet mot ramavtal eftersträvades. Större effektivitet i beställning och faktu- rahantering, liksom ramavtalstroheten, förväntades ge stora bespa- ringar.

Denna del av inköpsprocessen som ligger efter kontraktstilldel- ningen, dvs. avrop t o m mottagande av faktura elektroniskt, brukar benämnas elektronisk handel. SFTI finns i dag huvudsakligen utvecklat för just dessa processer, i olika varianter av affärsproces- ser eller s.k. scenarier. Elektronisk handel bedrivs i dag i många kommuner och landsting och därvid används med något enstaka undantag SFTI-standarden i relation till deras varu- och tjänstele- verantörer.

Inom SFTI finns även standard för en enkel, fristående elektro- nisk faktura, Svefakturan. Önskemål finns i dag att komplettera SFTI med även order och enklare anslutning till leverantörerna samt att skapa förutsättningar för en enhetligare webbhandel med leverantörer som man inte har frekvent handel med. Arbete har därför initierats med att komplettera SFTI i dessa avseenden i enlighet med önskemål från såväl offentliga köpare som varu- och tjänsteleverantörer.

196

SOU 2007:47

Elektroniska inköps- och upphandlingsprocesser

Inom ramen för SFTI har även ett visst arbete skett med upp- handlingsprocessen före kontraktstilldelningen; 2001 publicerades t.ex. en rapport om elektronisk offentlig upphandling som omfat- tade informationsstruktur för förfrågningsunderlag, anbud och av-

tal.TPF2FPT

I Sverige är det redan möjligt att lämna ett anbud elektroniskt genom en ändring i lagen om offentlig upphandling (LOU). I de nya EG-direktiven för offentlig upphandling infördes olika möjlig- heter att använda elektroniska metoder vid upphandling. Det handlar bl.a. om att kunna lämna elektroniska anbud samt att kunna använda sig av auktioner och nya förfaranden som dyna- miska inköpssystem. EU-kommissionen har som stöd tagit fram ett tolkningsmeddelande för att förklara hur de nya elektroniska metoderna kan tillämpas.

Ett av målen i EU:s e-Government action plan (som ingår i 2010-planen) är att all offentlig upphandling ska kunna ske elek- troniskt 2010 och att minst 50 procent av upphandlingarna över tröskelvärdet i praktiken ska genomföras på detta sätt. I januari 2005 publicerade EU-kommissionen en handlingsplan Action plan for the implementation of the legal framework for electronic public procurement i syfte att stödja införande av elektroniska metoder i upphandlingsverksamheten. Handlingsplanen riktar in sig på tre områden:

•att säkerställa att den inre marknaden fungerar väl när offentlig upphandling sker elektroniskt

•att åstadkomma större effektivitet vid upphandling och för- bättra styrformerna

•att arbeta för internationella regler för elektronisk offentlig upphandling (dvs. utanför EU).

Kommissionen föreslog även i planen att medlemsstaterna skulle upprätta liknande nationella handlingsplaner. Statskontoret fick därför ett regeringsuppdrag (Fi2004/3053 och delvis Fi2004/6345) att ta fram underlag för en sådan plan. Underlaget redovisades för regeringen i december 2005.

EU:s upphandlingsdirektiv är ännu inte införda i svensk lag- stiftning (LOU). Utgångspunkt för förslagen i denna redovisning

2TP PT Elektronisk offentlig upphandling, rapport 2, 2001. Av arbetsgruppen för elektronisk offentlig upphandling vid Svenska Kommunförbundet, Statskontoret och Landstingsför- bundet. ISBN91-7289-038X.

197

Elektroniska inköps- och upphandlingsprocesser

SOU 2007:47

är därför innehållet i EU:s upphandlingsdirektiv och det möjliga innehållet i den kommande svenska lagstiftningen.

Regeringen beslutade den 14 december 2006 att elektronisk fakturahantering ska vara införd i staten den 1 juli 2008. Staten för- väntas spara närmare fyra miljarder kronor under en femårsperiod och därefter en miljard kronor per år. Ekonomistyrningsverket har fått i uppdrag att leda och samordna införandet. Verva beslutade den 12 januari 2007 om en föreskrift (VERVAFS 2007:1) med en gemensam standard för fakturor i staten.

9.3Synpunkter från användare och leverantörer

9.3.1Uppdrag

I regeringens uppdrag till Verva om en ökad användning av elek- tronisk upphandling ingick att:

…i den omfattning som är möjlig bedöma och föreslå lämpliga krav för harmoniserade systemlösningar, inklusive gemensamma säker- hetslösningar, för de anbudsgivande företagen om t.ex. dynamiska inköpssystem eller elektroniska auktioner blir aktuella i den svenska lagstiftningen. Särskild hänsyn skulle tas till de mindre företagens be- hov.

Diskussioner har därför förts med representanter för offentlig för- valtning, varu- och tjänsteleverantörer samt leverantörer av system- lösningar. I det följande finns en sammanfattning av dessa diskus- sioner.

9.3.2Behov av harmonisering generellt

Med harmonisering avses här minimering eller eliminering av skill- nader. Harmonisering kan ske i form av att man utarbetar och använder en standard, men den kan ske också på andra sätt.

När det gäller upphandlingsprocessen har vid intervjuer följande framkommit. Harmonisering av förfrågningsunderlag och andra krav underlättar leverantörernas hantering i deras egna interna system, och det är dessutom nödvändigt med sådan harmonisering om man ska använda dynamiska inköpssystem och e-auktioner.

198

SOU 2007:47 Elektroniska inköps- och upphandlingsprocesser

Leverantörer behöver då enkelt kunna kvalitetssäkra sina bud internt.

Man behöver också komma överens om gemensamma funktio- nella krav eller standarder för upphandlingssystem och verktyg. Om man inte gör detta finns det risk för att det uppstår en flora av konkurrerande proprietära lösningar. Därmed kan utvecklingen av elektronisk upphandling fördröjas, eftersom leverantörerna blir osäkra på vilken lösning man ska välja som bas för sin produktut- veckling.

Ett problem är att internationella leverantörer ofta har sin egen standard som det svenska dotterbolaget ska tillämpa. Standarderna bör därför vara öppna för att undvika inlåsningseffekter till en viss leverantör.

Upphandlingsverksamhet bedrivs i många avseenden på samma sätt hos många statliga myndigheter, kommuner och landsting, även om behoven och förutsättningarna är olika. Det finns dock stora skillnader mellan stora och små kommuner, liksom mellan olika statliga myndigheter. Som grund finns det gemensamma regelverket, LOU. Det borde därför finnas effektivitetsvinster, både för den enskilda organisationen och för offentlig förvaltning som helhet, om upphandlingssystem fungerar på ett likartat sätt.

Systemleverantörerna anser att det viktigaste harmoniserings- området är ett samlat arbete om begreppsdefinitioner. En orsak till att branschen själv inte lyckats samla sig om en gemensam termi- nologi är att det finns många enskilda aktörer och att det är svårt att komma samman. Vissa forum har bildats, men de är för svaga. Det kan alltså behövas en enande aktör.

En fråga är vem som ska sätta standarderna. Leverantörernas uppfattning är att arbetet måste börja hos upphandlaren, för det är i upphandlingen problemen börjar. Dessutom behövs köparkrav på vissa format eftersom vissa systemleverantörer vill sy in köpare i sina system. Det är köparna som har ansvaret för att harmonisera. Även systemleverantörer kan harmonisera, men det är ingen nytta med det om inte köparna ställer krav som ansluter till denna har- monisering.

Nästa fråga blir då hur köparna ska kunna harmonisera sina krav mot marknaden.

Små och medelstora företag har brist på tid och teknikkunnande och kan stängas ute om inte hänsyn tas till deras förutsättningar redan på planeringsstadiet. De lösningar som tas fram måste därför utformas på sådant sätt att de inte tar bort konkurrensmöjlighe-

199

Elektroniska inköps- och upphandlingsprocesser

SOU 2007:47

terna och inte heller skapar obalans i förutsättningarna för olika leverantörer. En funktionell portallösning skulle kunna kan vara sättet på vilket man ger mindre företag möjlighet att delta i kon- kurrensen. Det krävs emellertid en betalmodell som inte diskrimi- nerar vare sig små eller stora företag.

Leverantörer handlar med både privat och offentlig sektor, och initiativen får inte skilja sig åt allt för mycket. Principerna är desamma mellan privat och offentlig sektor, men offentlig sektor är mer strikt och specifik i sina initiativ. Leverantörerna vill inte heller ha olika system för privat och offentlig sektor.

Det är en risk att den offentliga sektorn är proaktiv och driver en egen linje. Men det finns inga garantier för hur standarder accepteras på marknaden, och det är farligt att fastna i en struktur där man inte har stöd från andra intressenter i samhället. Lagstift- ningsvägen ger nytta på kort sikt, men man förlorar samhällsnytto- perspektivet.

Å andra sidan finns en förväntan att e-handel ska komma igång av sig själv. Tröskeln för självgåendemekanismen att slå in har varit oväntat hög, eftersom den egna attraktionskraften i e-handel har överskattats. Det kan behövas en igångsättare så att tillräckligt många kommer med så att de kan växa vidare själva. Där har t.ex. Danmark haft hjälp av lagstiftningen.

9.3.3Harmoniserade systemlösningar

I arbetet med att bedöma och föreslå krav för harmoniserade systemlösningar har diskussioner förts med arbetsgruppen, system- leverantörer samt varu- och tjänsteleverantörer till offentlig för- valtning. Kraven kan gälla regelverk, strukturfrågor, semantik och teknik.

Följande är några av de behov som tagits upp:

•Det är i dagsläget inte klart vilka delar av de frivilliga upphand- lingsformerna i upphandlingsdirektivet – ramavtal, dynamiska inköpssystem, elektroniska auktioner eller konkurrenspräglad dialog – som kommer att införas i Sverige. Det finns behov av att specificera t.ex. vad ett dynamiskt inköpssystem är och hur det ska fungera. Det behövs också information om regler för den andra konkurrensutsättningen vid avrop från ramavtal.

200

SOU 2007:47

Elektroniska inköps- och upphandlingsprocesser

Leverantörerna behöver denna information för att kunna anpassa eller utveckla nya system.

•Många aktörer lyfter fram att förfrågningsunderlagen från myndigheter, och då kanske särskilt de från kommuner och landsting, bör uppvisa mer harmoniserade kommersiella villkor och administrativa krav. Det är också viktigt att förfrågnings- underlagen förenklas och att ingen information dubbleras. Strukturen på förfrågningsunderlagen bör kunna samordnas i större utsträckning.

•Systemleverantörerna anser att det viktigaste harmoniserings- området är ett samlat arbete om begreppsdefinitioner. Det grundläggande problemet är att olika företeelser har olika namn hos olika aktörer. Prislistor och artikellistor har t.ex. olika namn beroende på hos vilken aktör de uppträder. Det behövs en terminologistandard.

•Områden där teknisk harmonisering behövs är t.ex. identifie- ringslösningar, kataloger, format och produktklassificering.

•En fråga är hur man ska autentiseraTPF3FPT leverantören vid elektro- niska anbud. Det är ett mindre problem vid vanliga elektroniska anbud, men det blir mer problematiskt när det ska gå fort, som vid en auktion, eller när det ska ske helt elektroniskt, som vid ett dynamiskt inköpssystem. Generellt är det också dyrare för systemleverantörerna om man måste ta hänsyn till olika auten- tiseringslösningar.

Kommunikationen mellan de olika aktörerna – inköpare, leverantö- rer och dem som har ekonomisystemen – fungerar inte bra. Alla fokuserar på sin plats i kedjan, och kedjans länkar hakar inte i var- andra på ett bra sätt. Dessutom agerar upphandlare olika. Det finns alltså ett behov av gemensamma spelregler.

Systemlösningar görs med viss marginal, även om det finns pre- cisa standarder, av skälet att göra lösningen lite mer flexibel, för då fungerar den i många fler fall. Leverantören vill därtill påverka standarden så att den stämmer i relationen med leverantörens egna kunder.

3TP PT Se ITS tekniska rapport 2002:”autentisering innebär kontroll av uppgiven identitet, t.ex. vid inloggning, vid kommunikation mellan två system eller vid utväxling av meddelanden mellan användare” .

201

Elektroniska inköps- och upphandlingsprocesser

SOU 2007:47

9.4Harmoniserings- och standardiseringsbehov för nya upphandlingsformer

De upphandlingsformer som avses här är e-auktion, dynamiska inköpssystem, ramavtal med avrop samt konkurrenspräglad dialog.

9.4.1Allmänt

När det gäller nya upphandlingsformer, t.ex. dynamiska inköpssy- stem som ännu inte finns i bruk, handlar det om att förebygga kommande behov av harmonisering. Detta kan ske genom att man standardiserar genom att utarbeta och komma överens om gene- rella kravspecifikationer för sådana system. Baserat på en generell kravspecifikation kan sedan en statlig myndighet eller kommun genomföra en egen upphandling av ett system. Kravspecifikationen kan även användas för gemensamma ramavtalsupphandlingar.

9.4.2Specifika frågor för elektroniska auktioner

Följande är en lista av funktioner som kan behöva harmoniseras enligt Vervas rapport:

•synkronisering av klocka mot NTP (SP), automatiskt uppdate- rad på anbudsgivarens skärm

•tidsstämpling av varje anbud, även vid försök efter utgången tid

•regler om avbrott i kommunikationen

•autentisering för access till e-auktion en gång per session, inte för varje bud

•lagring av sessioner i databas om en webbserver går ner

•regler om i vilken utsträckning andra leverantörers anbud ska vara synliga – antingen endast det bästa och det egna anbudet, med eller utan värde, eller alla, inklusive värdet

•bekräftelse av eget bud

•validering, t.ex. avvikelsebevakning vid orimlighet, som exem- pelvis vid kommafel; detta gäller även första budet

•bekräftelse av detaljregler och förutsättningar

202

SOU 2007:47

Elektroniska inköps- och upphandlingsprocesser

•klargörande av huruvida det är möjligt enligt regelverket att automatisk förlänga tiden efter ett bästa bud i sista minuten, så att inte alla avvaktar till sista minuten

•analys av vilken tid som ska gälla för e-auktionen

•tolkning av LOU:s rangordningsbegrepp – tillåts inte pristrans- parens, gäller bara placering?

•harmoniserad terminologi (semantik), t.ex. vad gäller förläng- ningstid

•minimikrav på teknisk nivå – rekommendation till anbudsgi- vare.

9.4.3Specifika frågor för avrop och beställningar

Följande harmoniseringsbehov för avrop och beställningar fram- kom vid ovan nämnda intervjuer:

•krav på strukturerad informationsinsamling; tyngdpunkten är behovet av standardiserade varukoder som kan ansluta till leve- rantörens artikelnummer

•standardiserad pris- och artikellista, där varukoderna är så be- skaffade att det är möjligt att jämföra pris mellan leverantörer

•standardiserade krav i upphandlingar dels på att e-order och e- faktura ska kunna hanteras, dels att dessa varukoder ska använ- das, samt krav på att prislistorna ska tillhandahållas i ett ”användbart” format där prislistans form och innehåll bör sty- ras

•standardiserad statistik

•beställarens och leverantörens organisation och process är olika för upphandling och avtal respektive order/leverans/faktura.

Varu- och tjänsteleverantörerna bör dessutom uppmärksammas på att e-handel blir av allt större vikt för att få leverera till offentliga sektorn; en förändrad syn behövs hos stora leverantörer. Systemle- verantörerna har i dag svårt att få gehör från varuleverantörerna för att stödja deras e-handelssystem.

Enligt en undersökning inom ramen för SFTI behövs mer harmonisering av order med enklare anslutningsmöjligheter för

203

Elektroniska inköps- och upphandlingsprocesser

SOU 2007:47

varu- och tjänsteleverantörer, enhetligare användning av webbhandel samt utveckling av katalog även i XML-format.

9.4.4Verifiering

En viktig fråga är hur man ska kunna verifiera att en systemlösning som uppges uppfylla vad som står i specifikationen verkligen gör det (se kapitel 2). Beställare föredrar vanligen tredjepartscertifie- ring av trovärdighetsskäl, medan leverantörer i allmänhet föredrar egendeklarationer och är motståndare till tredjepartscertifiering.

Vid en workshop den 31 januari 2007 uttryckte den arbetsgrupp som Verva inrättade inom ramen för regeringsuppdraget om elek- tronisk upphandling tveksamhet om det lämpliga med certifiering av flera skäl:

•Vem ska utföra den och vem ska ta ansvar för en sådan certifie- ring? Det är ett stort område, och för att kunna göra certifie- ring behövs väldigt specifika standarder. Behov och värde finns i stället i verifiering, men för detta behövs något neutralt verk- tyg som identifierar brister – ett slags validatortjänst, där for- mella fel upptäcks. En verifiering ger inte en stämpel om rätt eller fel; den ger vägledning.

•Säkerhetstekniska lösningar kan kanske certifieras men inte administrativa processer i e-handel. Med certifieras menas här uppfyller exakta krav, men i ITIL certifieras människor, och kunskapsnivån provas. Hur ska man kunna certifiera att en viss människa alltid tar samma beslut? Plats bör därför lämnas åt egendeklaration.

9.5Var behövs standarder?

Innan man definitivt kan säga vilka standarder som behövs för att täcka hela den elektroniska inköpsprocessen behöver det nya upp- handlingsregelverket komma på plats. Inom vissa områden kan man inte räkna med att marknadskrafterna löser behoven av sam- ordning och standardisering. I det följande redovisas vad som skulle behövas för att få fram standarder och driva på utvecklingen.

Enligt förslaget till ny upphandlingslag kan regeringen eller den myndighet som regeringen bestämmer komma att utfärda före-

204

SOU 2007:47

Elektroniska inköps- och upphandlingsprocesser

skrifter för hur de elektroniska metoderna ska utformas. Det finns därför skäl att överväga hur man ska styra t.ex. hur mottagnings- funktionerna för anbud ska utformas. Inledningsvis skulle det kunna ske genom ”mjuka” metoder, t.ex. genom någon form av vägledning eller allmänna råd i anslutning till föreskriften.

Att klarlägga terminologi och informationsstrukturer är viktiga delar för inköpsprocessen. När det gäller de nya upphandlingsför- farandena finns ett särskilt behov att från början få enighet om de begrepp som kan komma att användas. För hela inköpsprocessen gäller att genom att klarlägga informationsstrukturer skapa förut- sättningar för att kunna återanvända information i olika delar av processen.

För vissa delar av inköpsprocessen kan det dessutom vara aktu- ellt att ta fram gemensamma kravspecifikationer med funktionella krav på t.ex. processer, begrepps- och informationsstruktur och format. Det gäller särskilt de nya upphandlingsformerna. Gemensamma kravspecifikationer hänger ihop med arbetet med ramverk och referensarkitektur för förvaltningen. Förvaltnings- specifika kravspecifikationer kan användas för att tillgodose försörjningen av produkter och tjänster inom olika områden – antingen genom en generell ramavtalsupphandling för förvaltningen eller genom att myndigheten eller kommunen gör en egen upp- handling.

När det gäller avrops- t.o.m. fakturaprocessen finns i dag, som nämnts ovan, standarder för denna inom ramen för SFTI. Standar- derna består av begrepps- och informationsstrukturer som sedan mappats i tekniska format. SFTI är huvudsakligen baserad på FN:s UN/CEFACT-standard, och för att möta nya behov och ny teknik finns även specifikationer i XML-format, baserade på OASIS UBL- standard.

Ett europeiskt samarbete bedrivs i dag för att ytterligare utveckla dessa inköpsprocesser, såväl till innehåll som till format. Dessutom bedrivs även ett konvergeringsarbete med UN/CEFACT.

205

10Öppen programvara i offentlig sektor

10.1Definitioner och avgränsningar

Med öppen programvara eller öppna program brukar man mena dataprogram som är utvecklade enligt principerna för öppen käll-

kod.TPF1FPT

I många sammanhang behandlas öppna programvaror och öppna standarder i ett sammanhang, nästan som om de vore synonymer, eller åtminstone tätt kopplade till varandra. Ett tecken på detta är exempelvis att frågan om öppen programvara tas upp inom ramen för utredningen om IT-standardiseringen. Ett sådant logiskt sam- band finns egentligen inte och bör helst undvikas.

Öppen standard och öppen källkod är två skilda företeelser, med olika egenskaper och definitioner, vilka borde diskuteras och bedömas var för sig och på egna meriter. Standarder handlar om specifikationer, medan källkod handlar om programvara.

Det stämmer visserligen att förespråkarna för öppna program vanligtvis också stöder öppna standarder; däremot stämmer knap- past det omvända numera, dvs. att leverantörer av slutna program skulle förespråka slutna standarder. Trenden är att allt fler aktörer i IT-branschen numera främja användningen av öppna standarder. Däremot råder det i dag ingen konsensus om en enhetlig definition

1TP PT Kapitlet bygger i huvudsak på Vervas rapport Öppen programvara (2007–02–27). Det som inte tagits med är en ganska omfattande dokumentation av definitioner av öppen källkod och öppen standard. Till utredningen har också inlämnats Joachim Strömbergson och Stefan Görling: Öppna standarder och dokumentformat inom statsförvaltningen. PM 2007-03-01.

Källor i övrigt:

Rapport från Statskontoret 2003:8, Öppen programvara

Intervjuer med Sveriges Kommuner och Landsting, Skolutvecklingsmyndigheten, före- ningen Sambruk, Rikspolisstyrelsen samt projektet Ny användarmedverkan – nya affärs- modeller.

Internetkällor: Enkät från IT-standardiseringsutredningen, Delrapport e-förvaltnings- utveckling i Sveriges kommuner 2006, Sveriges Kommuner och Landsting.

207

Öppen programvara i offentlig sektor

SOU 2007:47

av öppen standard. (Denna fråga diskuteras utförligare i kapitel 2 i detta betänkande.)

10.2Statskontorets rapporter

Statskontoret gjorde 2003 en studie av öppen programvara. Rap- porten Öppen programvara (2003:8) omfattade en översikt över området ur olika aspekter, och enligt rapporten kännetecknas öppen programvara av att den ger användaren frihet att använda, kopiera, distribuera, undersöka, ändra och förbättra programvaran. Dessa friheter anges i de särskilda användningslicenser som gäller för öppen programvara.

Utgångspunkten för Statskontorets arbete med öppen källkod var att förbättra konkurrensen på programvarumarknaden. En slut- sats i rapporten var att öppen programvara ger en ny konkurrens- situation genom att alternativa lösningar får möjlighet att ta sig in på marknaden.

I rapporten konstaterades att öppen programvara har funnits som begrepp i snart 20 år, varav Linux i ungefär 10 år. Många funk- tioner på Internet är dessutom nästan helt baserade på öppen pro- gramvara, t.ex. förmedling av e-post och översättning av datornamn till IP-adresser, DNS, och den övervägande delen av Internets webbservrar är byggda med öppen programvara.

Slutsatsen i rapporten var att öppna standarder och format samt öppen programvara är viktiga komponenter för ökad konkurrens och bättre interoperabilitet samt lägre kostnader för offentlig för- valtning. Öppna standarder ansågs dock som den viktigaste fak- torn.

I en efterföljande rapport från Statskontoret, Öppen program- vara, erfarenheter av produkter som bygger på öppen källkod inom förvaltningen (2004:21) redovisades den praktiska användningen av öppen programvara och erfarenheter från denna användning med utgångspunkt från tre utvalda områden – kontorsprogram, webb- applikationer och portaler samt operativsystem och databaser.

Rapporten visade att det fanns mycket begränsade erfarenheter av användning av öppen programvara i förvaltningen. I de fall där man använt sig av färdiga produkter baserade på öppen källkod hade det mestadels varit teknisk personal som varit pådrivande, utan nämnvärd delaktighet från organisationens ledning. När det gäller egenutvecklade applikationer har det däremot funnits ett

208

SOU 2007:47

Öppen programvara i offentlig sektor

större stöd från ledningshåll. Genomgående saknades det ekono- miska kalkyler för att motivera ett införande av produkter med öppen källkod. För samtliga områden gäller att man rekommende- rade produkten eller systemet för andra att använda. Själva pro- dukten betygssattes högt, men för många var tröskeln att byta miljö för hög.

10.3För- och nackdelar

I Statskontorets rapport Öppen programvara (2003:8) identifiera- des ett antal för- och nackdelar med öppen programvara vid ett införande i den offentliga förvaltningen i Sverige. Nedanstående redovisning bygger på vad som sägs i den rapporten.

Man kan ställa sig frågan om för- och nackdelar har ändrats sedan 2003. Vervas uppfattning är att de positiva effekterna sam- mantaget ligger på samma nivå som 2003, medan de negativa effekterna till någon grad har förstärkts. Mot bakgrund av dels att Verva har följt utvecklingen sedan 2003, dels svaren i IT-standardi- seringsutredningens enkät till myndigheter, redovisas i den högra kolumnen i tabellen nedan vilka slutsatser som dras beträffande de olika för- och nackdelarna år 2006.

Tabell 10.1 Analys av för och nackdelar 2003 och 2006

2003 2006

Fördelar

Förenklad licenshantering