Transportstyrelsens IT-upphandling blev en stor nyhet med start tidigt i juli 2017 och kom att utvecklas till att främst handla om IT-säkerhet och svensk inrikespolitik: Transportstyrelsens bristande hantering av skyddsvärda IT-system och data samt outsourcing av viss offentlig verksamhet i allmänhet Regeringen Löfvens bristande interna och externa kommunikation och i viss mån Alliansens ovilja att vid tiden tillträda regeringsmakten
Media rapporterade den 6 juli att Transportstyrelsens tidigare generaldirektör, Maria Ågren, hade fått ett strafföreläggande och att hon, sedan hon lämnat sitt uppdrag i januari samma år, hade brottsutretts för att ha röjt sekretessbelagda uppgifter som hotade rikets säkerhet. Drygt en vecka senare tilltog medias granskning då det framkom att i stort sett hela Transportstyrelsens IT-miljö, varav väldigt mycket i systemen bedömdes vara skyddsvärt, hade gjorts tillgänglig för icke säkerhetskontrollerad personal.
Oppositionen i Sveriges riksdag avsåg väcka misstroendevotum mot regeringens infrastrukturminister Anna Johansson, inrikesminister Anders Ygeman och försvarsminister Peter Hultqvist. De två förstnämnda avgick den 27 juli i samband med att statsminister Stefan Löfven ombildade sin regering.
Statsminister Stefan Löfven och ytterligare fyra ministrar samt två statssekreterare anmäldes till Konstitutionsutskottet. Tidigare statsministern Fredrik Reinfeldt och regeringen Reinfeldt anmäldes också. Granskningarna blev klara i juni 2018.
Bakgrund Huvuddelen av Transportstyrelsens verksamhet består av Trafikregistret och därtill hörande verksamhet, som har funnits i Örebro sedan år 1973. När Trafikregistret överfördes till Vägverket 1993, inordnades IT-driften i Vägverkets samlade IT-drift. Vägverket, sedermera Trafikverket, fortsatte att hantera IT-driften efter det att Trafikregistret år 2009 fördes över till Transportstyrelsen. Genom en omorganisation i Transportstyrelsen år 2012 fördes ansvaret för IT-driften av Trafikregistret till Transportstyrelsens IT-avdelning. Transportstyrelsen hade 2014 fyra egna datahallar i Örebro. Myndighetens IT-tjänster (drift av IT-infrastruktur och applikationer) hade sedan myndighetens grundande 2009 skötts av Trafikverket.
Redan sedan Transportstyrelsen bildades 2009 hade ett hårt effektiviseringsprogram pågått, något som var en viktig del i verksamheten och var en viktig anledning till att myndigheten outsourcade IT-driften. Staffan Widlert ledde Transportstyrelsen 2009–2015.
I januari 2011 hade Riksrevisionen överlämnat utredningen "IT inom statsförvaltningen" där myndigheten beräknade att statens IT-kostnader uppgick till mellan 20 och 25 miljarder kronor per år, vilket var den största kostnaden i staten efter löner och lokaler. Riksrevisionen ansåg att regeringen borde se till att det togs fram riktlinjer för hur myndigheterna prövade frågan om outsourcing av IT-tjänster.
Regeringen Reinfeldt uppgav i en skrivelse i maj 2011 att den "delar Riksrevisionens bedömning att det är önskvärt att en större del av myndigheternas it-behov tillfredsställs med hjälp av outsourcing" och underströk då att det var av central betydelse att statsförvaltningen hushöll med allmänna medel. Riksrevisionen hade dock inte gjort någon sådan bedömning i sin rapport.
Under alliansregeringens tid vid makten initierades och förbereddes upphandlingen när statsminister Fredrik Reinfelt styrde regeringen och Catharina Elmsäter-Svärd var infrastrukturminister. Dialogen med entreprenörerna hölls och offerförfrågan gjordes 2014.
Regeringen Löfven I hade vintern 2014/2015 inrättat det säkerhetspolitiska rådet på regeringskansliet för att regelbundet kunna diskutera en samordnad hantering av frågor som rör Sveriges säkerhet i bred bemärkelse som ett beredande och koordinerande organ mellan de statsråd som förväntas ha mest inblandning den typen av frågor och för att deltagarna skulle kunna informera sig så att ansvarigt statsråd kunde veta vad de kunde komma att behöva förbereda som regeringsbeslut. Löfven nämnde i mars 2015 IT-säkerhet som ett av fyra exempel.
Sedan den 4 april 2016 har svenska statliga myndigheter genom den obligatoriska IT-incidentrapporteringen en skyldighet att rapportera IT-sårbarheter till Myndigheten för samhällsskydd och beredskap (MSB).
IT-upphandlingen
miniatyr|stående|Maria Ågren tog över ansvaret för Transportstyrelsen efter Staffan Widlert när upphandlingen var i slutfasen. Hon fick en timmes överlämningsmöte med sin företrädare där migreringen och outsourcingen behandlades som en av flera punkter.
Transportstyrelsen påbörjade 2014 under ledning av dåvarande generaldirektören Staffan Widlert en IT-upphandling. När Transportstyrelsen utlyste upphandlingen vägrade den nuvarande leverantören av tjänsterna, Trafikverket, att delta i upphandlingen eftersom juridikavdelningen på den myndigheten satte stopp, men utan att meddela någon tillsynsmyndighet.
På uppdrag av Widlert genomfördes outsourcingen av den dåvarande IT-chefen, som senare i SÄPO:s förundersökning uppgav att han saknade en bild över vad det fanns för skyddsvärda hemliga uppgifter inom Transportstyrelsen som helhet. SÄPO hade inte tillfrågats under upphandlingen, utan först i maj 2015 när IBM ville få säkerhetsgodkännande av utländsk personal. Widlert hann inte slutföra upphandlingen innan han slutade, dels för att upphandlingsarbetet hade fördröjts, dels för att han slutade något före den vanliga pensionsåldern, beroende på hur regeringen förlängde hans förordnande. När hans efterföljare Maria Ågren tillträdde som generaldirektör i januari 2015, var upphandlingen i slutfasen och färdigförhandlad. Ågren fick en timmes överlämningsmöte med Widlert och där migreringen och outsourcingen behandlades som en av flera punkter.
Enligt Ågren fick hon tidigt information att outsourcingen och migreringen var angelägna projekt där det inte fanns utrymme för förseningar, och strax därefter signaler om just risk för förseningar. Hon hade hon ett första möte med Anna Johanssons statssekreterare den 23 mars 2015. Därefter följde flera möten där departementet fick lägesrapporter och information om Säpos tillsyn. Det var först vid ett möte med SÄPO i början av februari 2016 som Ågren fick insikt om vidden av problematiken, och hon insåg att Transportstyrelsen befann sig i en återvändsgränd. Den 12 februari 2016 hade Ågren ett möte med tjänstemän på Infrastrukturdepartementet där hon berättade utförligt om de avsteg som var gjorda samt vilka åtgärder som vidtogs.
Avtalet med IBM Svenska Aktiebolag (IBM Sverige) slöts i april 2015 och planen var att IBM skulle ta över driften redan 1 september samma år. Tidsplanen på cirka 4 månader inklusive semestermånad ansågs i efterhand vara mycket optimistisk, men som baserades på en ursprunglig mer rymlig tidsplan som hade fördröjts, dock med ett fastlagt slutdatum eftersom avtalet med Trafikverket inte hade förlängts.
Upphandlingen, som var i storleksordningen 700-800 miljoner kronor, vanns av IBM Sverige. Hantering av myndighetens sekretessbelagda uppgifter lades ut på länder som Rumänien, Tjeckien och Serbien, för att hanteras av utländsk personal. Dessa måste enligt svensk lag vara säkerhetskontrollerad, men det visade sig vara tidsödande att göra (och i en del fall kanske omöjligt), varför de fick arbeta utan säkerhetsgodkännande.utdrag ur SÄPO:s utredning, Twitter, Emanuel Karlsten Transportstyrelsen hade inte krävt att driften skulle vara placerad i Sverige, och att den skulle komma att placeras utomlands märkte Transportstyrelsen först efter att kontraktet var påskrivet.Tidigare generaldirektören: Alliansregeringen gjorde inget fel
Uppgifterna gjordes därmed tillgängliga för obehöriga. Transportstyrelsen bröt mot såväl sina egna riktlinjer som personuppgiftslagen, offentlighets- och sekretesslagen och säkerhetsskyddslagen. Detta skedde trots att Transportstyrelsen är en av de svenska myndigheter som anses vara speciellt kompetenta inom säkerhetsskydd och som fått ansvar av SÄPO att hantera hemliga uppgifter och även kunna undervisa, ge råd till andra och idka tillsyn. Outsourcingen till IBM skedde trots att Säkerhetspolisen den 25 november 2015 hade varnat för det och rekommenderat Transportstyrelsen att avbryta den. Trafikverket, som skötte den praktiska driften av databaserna före och under outsourcingen till IBM, kunde inte behålla driften, eftersom Transportstyrelsen hade sagt upp överenskommelsen med Trafikverket som leverantör med slutdatum den 31 december 2015. Trafikverket hade därmed påbörjat avvecklingen av sin organisation och många kompetenta personer hade redan bytt arbetsgivare. Transportstyrelsen själv hade inte detaljkunskapen. De mest känsliga delarna av datan ansågs så känsliga att de som kände väl till dem, i första hand inom SÄPO och Trafikverket, inte pratade om dem, varvid Transportstyrelsens chefer inte visste mycket och därför inte heller frågade om dem.
Att IT-driften kunde komma att hanteras av utländsk personal som inte var säkerhetskontrollerad ansågs kunna skada rikets säkerhet. Teknikerna fick full tillgång till databaserna och hade därmed möjlighet att kopiera datafiler och därefter sopa igen spåren i loggarna. I början av 2016, när en betydande del av den utländska personalen fortfarande inte blivit säkerhetsgodkända, avtalades med IBM om att driften ska flyttas till Sverige. Detta gjordes skyndsamt, trots att den svenska personalen säkerhetsgodkändes först i efterhand.
Omfattning Omfattningen jämfördes med Stig Bergling-affären. Åratal av arbete riskerade att raseras. I stort sett hela Transportstyrelsens IT-miljö gjordes tillgängligt, varav väldigt mycket i systemen bedömdes vara skyddsvärt. Inget i databasen var krypterat.
Den sedan våren 2017 nye generaldirektören för myndigheten, Jonas Bjelfvenstam, sade den 21 juli att myndigheten inte förrän hösten 2017 kunde garantera att icke säkerhetsklassade personer i andra länder inte längre hade tillgång till hemlig och känslig information i myndighetens datasystem.
Infrastrukturminister Anna Johansson kommenterade den 29 juli att det inte fanns några indikationer på att uppgifter kommit i orätta händer.
Uppgifter som hanterades var: efterlysta fordon bepansrade fordon Vägtrafikregistret ("Fordonsregistret") som bland annat innehöll: information om personer med skyddad identitet vissa fordon som även fanns i det militära fordonsregistret när och var värdetransportbilar kör Körkortsregistret alla svenska körkortsbilder (vilka sedan 1 juli 2004 varit sekretessbelagda) företagshemligheter loggar över vad handläggarna gör Belastningsregistret Misstankeregistret Swedish Government Secure Intranet (SGSI) (statens krypterade kommunikationssystem mellan 34 myndigheter genom vilket myndigheterna får tillgång till andra myndigheters databaser, kan sända skyddad e-post och hålla skyddade videokonferenser. Swedish Government Secure Intranet är också anslutet till det skyddade EU-nätet Secure Trans European Services for Telematics between Administrations (Stesta).) känslig information om broar, Stockholms tunnelbana, vägar och hamnar (men inga militära hamnar) identiteter (kvalificerad skyddsidentitet) för svenska hemliga agenter som arbetar för polisen, Säpo och Försvarsmaktens hemliga organ Kontoret för särskild inhämtning (KSI). Personerna bedömdes ha utsatts för direkt livsfara. samtliga adresser för civila piloter, vilket omfattar hemadresser, privata bilar och telefoner till svenska stridspiloter med civila flygcertifikat tillstånd för förarbevis som i många fall kräver ett läkarintyg vilka handlar om exempelvis alkohol- eller narkotikamissbruk, medicinering, kontakter med psykvård, brottsregister och om personen har adhd, diabetes eller andra hälsotillstånd samma uppgifter för personal vid någon järnväg i Sverige som är förare, signaltekniker (inkl.inkopplingsansvarige som ska vara registerkontrollerade), spårtekniker och tågklarerare. vilka läkare som är transportläkare