Uppdrag att tillhandhålla infrastruktur för säker digital kommunikation

Syftet med säker digital kommunikation (SDK) är att möjliggöra säkert och effektivt digitalt utbyte av bland annat känsliga personuppgifter och sekretessbelagd information inom offentlig sektor inklusive privata aktörer som är helt eller delvis offentligt finansierade. Målet är att ersätta informationsutbyte som idag sker via fax, brev, telefon och andra analoga eller digitala kanaler som uppfattas som ineffektiva samt kan innebära säkerhetsrisker. Verksamhetsområden som identifierats där det finns särskilt stort behov för en säker digital lösning är bland andra socialtjänst och skola, kommunal vård och omsorg, hälsa och sjukvård samt brottsförebyggande verksamhet. SDK bedöms kunna generera samhällsnyttor motsvarande 1 620 miljoner kronor per år.1 Det handlar om kostnadsbesparingar för minskad handläggningstid, ökad säkerhet samt ökad trygghet för personal.

Nuläge SDK

I mars 2024 var 53 kommuner, regioner och myndigheter samt 1 privat aktör anslutna till SDK. Många organisationer arbetar också med förberedelser för att ansluta. Digg har i samarbete med Sveriges Kommuner och Regioner (SKR) och Inera AB främjat och stöttat i anslutningen till SDK. Digg fortsätter nu det arbetet i samverkan med SKR.
Digg har utvecklat de verksamhetsförmågor och it-komponenter som krävs för att tillhandahålla SDK, bland annat SDK-adressbok. Samtliga deltagarorganisationerna är nu överflyttade till Diggs miljöer och kan fortsätta skicka säkra meddelanden via SDK. På Diggs webbplats finns stöd för de organisationer som ska ansluta och de leverantörer som vill erbjuda tjänster inom SDK – information om regelverken för SDK, vägledningar och instruktioner m.m.

Rättslig bedömning

Digg bedömer att myndigheten kan tillhandahålla SDK. Det är försvarbart från allmän synpunkt, eftersom myndigheten har regeringens uppdrag att göra detta samt att behovet av säker kommunikation inte kan tillgodoses på något annat sätt. Digg föreslår att myndigheten i sin instruktion ges ett fortsatt uppdrag att tillhandahålla SDK och att regeringen överväger behovet av att genom författning reglera formerna för tillhandahållandet av SDK.

Digg bedömer även att de målgrupper som i regeringsuppdraget är avsedda att kunna använda SDK ska kunna göra det. Dessa målgrupper omfattar statliga myndigheter, kommuner och regioner, privata utförare av helt eller delvis offentligt finansierad verksamhet och andra organisationer som offentlig verksamhet har ett behov av att kunna kommunicera säkert med. Digg ser framåt behov av en författningsreglering av SDK så att kretsen för användning kan beskrivas.
1 Samhällsekonomisk kostnadsnyttoanalys - Säker Digital Kommunikation (SDK) (digg.se).
3 (38)

Inom SDK finns regelverk med styrande regler för federationsägare (Digg), deltagarorganisationer, leverantörer och accesspunktsoperatörer. Digg bedömer att dessa regelverk ger den gemensamma ram som är nödvändig för att upprätthålla den ömsesidiga tilliten inom SDK-federationen.
I delrapporteringen av regeringsuppdraget lämnade Digg rekommendationer om behovet av att ta hänsyn till de krav som följer av lagstiftning gällande sekretess och dataskydd. Det är fortsatt viktigt att samtliga aktörer som använder SDK, Digg som federationsägare, deltagarorganisationer, leverantörer av meddelandesystem, accesspunktsoperatörer och andra, tar ansvar för personuppgiftsbehandling och säkerställer att sekretess kan upprätthållas.
I delrapporteringen av regeringsuppdraget utreddes upphandlingsrättsliga frågor. Inför slutrapporteringen har det inte funnits behov av att ompröva analysen. Den sammantagna bedömningen är fortsatt att anslutningen till SDK för närvarande inte är upphandlingspliktig för deltagarorganisationerna.

Risk- och säkerhetsanalys

Digg har genomfört ett flertal risk- och säkerhetsanalyser för att identifiera brister och risker för SDK med fokus på att SDK ska möjliggöra ett säkert informationsutbyte mellan deltagarorganisationerna. Utifrån dessa analyser arbetar Digg med åtgärder. Säkerhetsarbetet behöver fortsatt prioriteras högt när SDK är i förvaltning eftersom funktionaliteten och användning förväntas öka.
Digg har genomfört en säkerhetsskyddsanalys för att utreda om SDK träffas av säkerhetsskyddslagen (2018:585). Resultatet visar att SDK har högt skyddsvärde, men att infrastrukturen inte uppnår säkerhetsskyddsklass, och inte heller i nuläget klassas som en samhällsviktig verksamhet. I takt med att antalet användare ökar och fler informationsflöden blir aktuella, bedömer Digg sannolikheten som stor att SDK i framtiden blir samhällsviktig.
Vid anslutning till SDK är det viktigt att deltagarorganisationerna själva genomför ett grundligt utredningsarbete. Varje deltagarorganisation och accesspunktsoperatör måste även bedriva ett systematiskt informationssäkerhetsarbete och genomföra egna risk- och säkerhetsanalyser.

Finansieringsmodell

I delrapporteringen av regeringsuppdraget utreddes frågan om finansieringsmodell för SDK. Diggs bedömning var att en avgiftsfinansiering av SDK inte är lämplig, bland annat då avgifter bedöms som hämmande för anslutning och användning. I Diggs budgetunderlag för 2025–2027 utgår myndigheten ifrån att regeringen beslutar om att sakanslag 2:7 ap.3 fortsatt kan användas till SDK. I annat fall föreslår Digg att kostnaderna istället kan finansieras genom permanent förstärkning av Diggs förvaltningsanslag (2:6 ap.1).

Framtida utveckling av SDK

SDK behöver utvecklas framåt så att infrastrukturen motsvarar deltagarorganisationers och leverantörers behov. Det handlar både om att utveckla de it-komponenter och de ramverk som förvaltas av Digg. All utveckling behöver göras i nära samarbete med aktörerna i SDK-federationen.