Begrenser muligheten for kontrakter til utenlandske aktører

Leverandørene får ikke de rette kravene og avtaler som gjelder sikkerhetsrisiko er så allmenne i formen at de er vanskelige å følge opp. Dette er dommen som Säkerhetspolisen i Sverige feller over inngåtte, offentlige kontrakter som bl.a. handler om sensitiv informasjon. Etter IT-skandalen nylig er den svenske regjeringen nå på hugget for å begrense mulighetene for å tildele utenlandske aktører slike kontrakter.

Det er ikke daglig kost at en anskaffelse nær fører til regjeringskrise, slik IT-anskaffelsen til Transportstyrelsen har gjort i Sverige i sommer. Styrelsen gjorde en stor dataanskaffelse i 2015, som førte til at sikkerhetsbelagte opplysninger ble tilgjengelige for fremmede makter. Av svensk presse fremgår det at disse «fremmede maktene» er øst-europeiske, blant annet tsjekkiske. Styrelsens adm. dir. og to statsråder er foreløpig felt av konsekvensene av denne anskaffelsen.

Det dreier seg om opplysninger om alle biler i hele Sverige, til og med politiets og det svenske forsvarets biler. Dessuten gjelder det personopplysninger om alle som har førerkort, inklusive de som har bedt om hemmelighold av slike opplysninger.

Begrensningstiltak

Mens denne skandalen ble rullet opp, arbeidet den sittende svenske regjeringen med tiltak som skulle begrense muligheten til å utkontraktere oppdrag der informasjon med beskyttelsesbehov var innbefattet.

Allerede i mars i år ble det satt i gang en utredning for å kartlegge behovet og foreslå tiltak. For kort tid siden kom så regjeringens forslag. Samtidig forbereder de svenske sentralmyndighetene en omfattende anskaffelse for felles, statlige skytjenester. Statens servicecenter har utredet hvilke myndighetsfunksjoner som bør være med i denne felles tjenesten. Forventningene er besparing, effektivisering, miljøgevinster, men ikke minst et høyere felles sikkerhetsnivå, skriver inkopsradet.se.

IT-skandalen i Sverige har også fått spørsmålet på dagsordenen om hvem som egentlig har kontroll over data og informasjon i myndighetenes IT-systemer.

Økende sikkerhetsrisiko

Regjeringens «veikart» til begrensning av utkontrakteringen kom for kort tid siden. Her heter det bl.a. at Säkerhetspolisen mener at outsourcing/utkontraktering av virksomhet som håndterer beskyttelsesverdig informasjon er en økende sikkerhetsrisiko. Säkerhetspolisens erfaring er at myndighetene ikke stiller de rette kravene til leverandørene og at avtaler som gjelder sikkerhetsvern er så allmenne i formen at de er vanskelige å følge opp. Säkerhetspolisen melder dessuten at de får flere og flere spørsmål fra myndigheter som vurderer å utkontraktere virksomhet utenlands. Det er alvorlig, fastslår regjeringen, og opplyser at den vurderer å begrense mulighetene for å utkontraktere beskyttelsesverdig informasjon.

Begrensningene kommer til å bli skarpe når det gjelder hva som skal kunne utkontrakteres. Likeledes skal det konstrueres en forvaltningsmodell for samfunnskritisk virksomhet som håndterer svært høy risikoklasse. Ambisjonen er å skape en sikker IT-drift i sikre miljøer. Også Transportstyrelsens utkontraktering av IT-driften skal granskes – håndteringen av den sikkerhetsbelagte informasjonen var her gjort på en måte som strider mot svensk lov, heter det fra den svenske regjeringen.