IT-skandalen: Flera ministrar tvingas gå

I juli 2017 kom tiden så ikapp den regering där flera ministrar känt till Transportstyrelsens (TS) lagbrott i ett antal månader. Den 26 juli meddelade Alliansens partiledare att man avser att rikta en misstroendeförklaring mot Anna Johansson(S), Anders Ygeman (S) och försvarsminister Peter Hultqvist (S), ett initiativ som också stöds av Sverigedemokraterna och därmed har majoritet i riksdagen. Vid en presskonferens den 27 juli meddelade statsminister Stefan Löfven att Anna Johansson och Anders Ygeman får lämna regeringen, medan försvarsministern sitter kvar. Han kallade också Alliansens agerande ”omdömeslöst” och menade att avgångskrav mot försvarsministern är ”oseriöst”. Samtidigt tillkännagavs att folkhälso-, sjukvårds- och idrottsminister Gabriel Wikström (S) avgår, men i detta fall uppges det vara ”av hälsoskäl”. Justitieminister Morgan Johansson (S) kommer att ta över även rollen som inrikesminister, medan han lämnar över migrationsområdet till Heléne Fritzon (S), som tidigare var kommunstyrelsens ordförande i Kristianstad. Socialförsäkringsminister Annika Strandhäll (S) blir också socialminister och tar därmed över Wikströms ansvarsområden. Tomas Eneroth (S), som hittills varit partiets gruppledare i riksdagen, lämnar över den rollen till Anders Ygeman och blir själv ny infrastrukturminister.   [caption id="attachment_26604" align="aligncenter" width="585"] FÖRSVARSMINISTER Peter Hultqvist (längst till vänster) sitter än så länge kvar, medan Anna Johansson (andra från vänster) och Anders Ygeman (längst till höger) får lämna sina poster. Anita Johansson (tredje från vänster) är ny ordförande för Transportstyrelsen. Bilder: Riksdagen och regeringen[/caption]   Vad har då skett som har orsakat en av de större politiska skandalerna i modern svensk historia och föranlett en regeringsombildning? På Breakit, en nyhetssajt om techbolag, sammanfattar krönikören Emanuel Karlsten historien: ”Det här är en berättelse om säkerhetsspecialister som behandlas som paranoida kufar. Om stressade IT-chefer, om usla beställningar och en ofattbar brist på kunskap och kompetens kring hur man skyddar Sveriges data.”

IBM tar över driften

I april 2015 stod det klart att det amerikanska teknologiföretaget IBM tog hem Transportstyrelsens upphandling av hanteringen av myndighetens 1 100 servrar, datahallens infrastruktur, applikationsdrift, samt skulle tillhandahålla viss support och konsulttjänster. Denna IT-drift hade tidigare skötts av Trafikverket, vars personal var säkerhetsgranskad, men Transportstyrelsens IT-ansvarige Daniel Karlsson förklarade då för Computer Sweden: – Trafikverket håller på att lägga om sin IT-verksamhet och minska sitt externa kundengagemang och det sammanföll med att vi ville upphandla, så vi har sett till att harmonisera våra tidsplaner. Redan då stack Trafikstyrelsen ut när det gällde att lägga ut IT-verksamhet på externa leverantörer och avtalet med IBM blev, med sina runt 800 miljoner kronor, ett av de största som genomförts av en svensk myndighet. Daniel Karlsson var nöjd: – Vi räknar med att sänka kostnaderna avsevärt, höja kvaliteten i leveranserna och få en ännu stabilare drift, även om den är bra redan i dag. Dessutom kan vi med det här avtalet bli en del i ett större sammanhang och kunna ta del av ett mer standardiserat utbud så att vi snabbare får tillgång till ny teknik och snabbare kan få ut nya tjänster. Det handlar också om att kunna skala upp och ner efter behov. Upphandlingen inleddes under den tidigare generaldirektören Staffan Widlert, och när den väl skedde hade den nya generaldirektören Maria Ågren bara innehaft posten en månad, utan någon egentlig överlämning med företrädaren. Få av myndighetens inblandade verkade känna till vilken information man hade som kunde anses skyddsvärd.

SÄPO får upp ögonen

IBM lade i sin tur ut driften till länder i Östeuropa, vilket innebar att den information om alla fordon och körkortsinnehavare som fanns i Transportstyrelsens databas hanterades av utländska medborgare. Eftersom detta omfattar känsliga personuppgifter, till exempel kring personer med skyddad identitet och militärer, inledde Säpo redan samma år, 2015, ett tillsynsärende i frågan och i januari 2016 inleddes en förundersökning. I denna står bland annat ”att Transportstyrelsen röjt sekretessbelagda uppgifter vars uppenbarande för främmande makt kan medföra men för Sveriges säkerhet”. Redan den 25 november 2015 rekommenderade Säpo ett omedelbart stopp för Transportstyrelsens outsourcing, men trots detta tog IBM i december över driften. När Nya Tider frågar Säpo om de inte hade möjlighet att vidta skarpare åtgärder, svarar presstjänstens Sofia Hellqvist att det är en fråga för Transportstyrelsen och att en sådan möjlighet inte finns enligt säkerhetsskyddslagstiftningen. Den väg man går är att informera uppdragsgivaren, alltså regeringskansliet, kontinuerligt om arbetet. Om nu dessa utländska medborgare inte kontrollerades på förhand, inställer sig en logisk fråga om de har kontrollerats i efterhand. Om de kan säkerhetsprövas enligt svenska regler borde ju allt vara i sin ordning. Om de inte klarar säkerhetsprövningen, ja då är även det i högsta grad intressant att få vetskap om. Hellqvist vill dock inte svara på en direkt fråga om detta, utan hänvisar till Transportstyrelsen. När vi vänder oss till TS med samma fråga svarar man att all administration för lagring av data, nätverk och huvudadministration av servrar sedan sommaren 2016 har hanterats av registerkontrollerad och godkänd personal i Sverige, medan det ska ske för administration av applikationsdrift från hösten 2017. Huruvida de tjeckiska och serbiska administratörerna kontrollerats i efterhand och om de i så fall blivit godkända lämnar man obesvarat. Förundersökningen ger en bild av häpnadsväckande inkompetens. Projektledaren för IBM-avtalet säger i förhör att han ”hade ingen kunskap alls om säkerhetsskydd”, medan Transportstyrelsens generaldirektör Maria Ågren hävdar att hon inte kände till vilken hemlig information som hennes egen myndighet hanterade. Enligt en konsult som anlitades vid affären ska hon inte heller ha förstått hur data var tänkt att flöda. Myndighetens säkerhetschef hade påtalat riskerna för Ågren, men inte fått gehör, eftersom hon i förhör med Säpo förklarat att han hade en personlighet där ”allt han för fram blir jättestort”.

70 000 kronor i böter

I januari i år tvingades Maria Ågren att avgå. Det motiverades då officiellt med att hon inte skulle ha kommit överens med regeringen. Först den 6 juli framkom det att hon i själva verket gjort sig skyldig till brott. Skandalen var ett faktum. Enligt strafföreläggandet, som hon formellt godkände i juni, hade generaldirektören undertecknat beslut ”om att göra avsteg från gällande lagstiftning och TS riktlinjer för åtkomst till system och servrar” – med andra ord medvetet lagbrott. Det var inte mindre än tre lagar Maria Ågren bröt mot: Säkerhetsskyddslagen, Personuppgiftslagen och Offentlighets- och sekretesslagen, och därtill styrelsens egna föreskrifter. Hon dömdes för vårdslöshet med hemlig handling utan uppsåt till 70 000 kronor i böter. Hon fick lämna sin tjänst, men fick en ny sådan på Näringsdepartementet med bibehållen lön, 115 200 kronor i månaden. Enligt de regler som finns kan hon behålla denna lön till år 2021.   [caption id="attachment_26606" align="aligncenter" width="250"] MARIA ÅGREN fick lämna sin post som generaldirektör i januari i år med bibehållen lön. Foto: Wikipedia[/caption]   Den direkt ansvariga ministern, infrastrukturminister Anna Johansson, hävdar att hon inte fick veta att Transportstyrelsen hanterat den känsliga informationen på detta sätt förrän Maria Ågren delgavs misstanke om brott i januari i år. Tjänstemän på hennes departement ska dock ha fått denna information redan i början av 2016, men ministern själv menar att den inte nådde fram till henne vid denna tidpunkt. Däremot ska inrikesminister Anders Ygeman ha känt till Säpos oro när de inledde sin förundersökning. I förhören uppger Ågren att hon kontaktade sina överordnade och berättade att Säpo rekommenderade att hon avbröt projektet då hanteringen strider mot svensk lag, men att hon valt att fortsätta ändå. Reaktionen från regeringen uteblev, så hon fortsatte på den inslagna linjen. Huruvida informationen verkligen nådde samtliga berörda ministrar är svårt för en utomstående att bedöma, men om så inte var fallet, att angelägen information om lagbrott som hotar rikets säkerhet inte förmedlas uppåt, är det i sig mycket allvarligt.

Regeringen under press

Den 17 juli anmälde den kristdemokratiske riksdagsledamoten Mikael Oscarsson statsminister Stefan Löfven (S) till Konstitutionsutskottet, för att denne ”inte informerat något utskott i riksdagen eller till utrikesnämnden om ärendet”. I denna anmälan vill Oscarsson ha klarhet i vilka åtgärder regeringen vidtagit för att om möjligt reparera de skador som uppkommit, vilka åtgärder som har vidtagits för att det inte ska hända igen och varför bara generaldirektören Maria Ågren fick gå den 19 januari och inte Transportstyrelsens ordförande Rolf Annerberg, som vid anmälan fortfarande satt kvar på sin post. Slutligen vill Oscarsson också veta om det kan finnas andra statliga myndigheter som vid outsourcing av IT-tjänster på motsvarande sätt kan ha möjliggjort att utländsk makt fått information som riskerar rikets säkerhet. På en pressträff den 20 juli ville infrastrukturminister Anna Johansson själv tona ned vad som har hänt: – Den mängd uppgifter som kan ha röjts är ändå begränsad. Någon har uttryckt det som att det var nycklarna till kungariket. Det är inte på den nivån. Vid denna sammankomst meddelades också att Anita Johansson blir ny ordförande för Transportstyrelsen, och då ersätter Rolf Annerberg, vars avgång tillkännagivits några dagar tidigare. Motiveringen är att han hade känt till situationen, men inte agerat. Anita Johansson var departementssekreterare i kommunikationsdepartementet och i finansdepartementet redan under slutet av 1980-talet, för att sedan inneha både offentliga och privata chefsroller innan hon etablerade sig som konsult inom förändringsledning och organisationsutveckling i egen firma. Hon utsågs tidigare i år till regeringens utredare av särskilda persontransporter. Regeringen, som alltså haft kännedom om saken sedan åtminstone januari i år, hade heller inte informerat utrikespolitiska nämnden, vilket de är skyldiga att göra när en fråga berör utrikespolitiska förhållanden. Den 24 juli höll Stefan Löfven en presskonferens, tillsammans med överbefälhavare Micael Bydén, Säpochefen Anders Thornberg och Transportstyrelsens generaldirektör Jonas Bjelfvenstam. På frågan om hur det ens är möjligt att han själv inte känt till det som andra ministrar uppenbarligen gjort, hänvisar statsministern till ”traditionell förvaltningskultur” och att han ”gärna hade haft den informationen tidigare”. Två dagar senare kom Alliansens hot om misstroendeförklaringar, följt av regeringsombildningen nästa dag.