De uppdagade händelserna i samband med Transportstyrelsens outsourcing av IT-tjänster har väckt frågan om statliga organ och myndigheter alls ska genomföra outsourcingar.

Genom att blanda samman frågor om informationssäkerhet och outsourcing har det uppstått en onyanserad diskussion som riskerar att leda till att statliga organ bedriver IT-verksamhet på sätt som leder till att Sverige halkar efter i digitaliseringen.

Informationssäkerhet handlar bland annat om att med organisatoriska och tekniska medel se till att information inte sprids till obehöriga och att informationen inte förvanskas eller förstörs.

I vissa verksamheter, till exempel sådana som omfattas av säkerhetsskyddslagen, måste lagregler följas i informationssäkerhetsarbetet.

Att många statliga myndigheter har ett bristfälligt informationssäkerhetsarbete är väl känt. Regeringen har vidtagit ett antal vällovliga åtgärder för att se till att bättring här ska ske, vilket förstås är helt nödvändigt i en digitaliserad värld med ett inte helt avspänt säkerhetsläge.

Under 2018 kommer dessutom strängare lagstiftning – inte minst EU:s dataskyddsförordning – att höja kraven på alla verksamheters informationssäkerhetsarbete. Detta har dock lite med outsourcing att göra.

Outsourcing är en organisationsfråga om hur verksamhet (som till exempel drift av servrar) bäst ska bedrivas: med egen utrustning och personal eller med en extern leverantörs utrustning och personal.

Här måste många faktorer vägas mot varandra. Högre kostnadseffektivitet och kvalitet är ofta vägande skäl för outsourcing. Minskad kontroll över kritiska tillgångar (som till exempel information) är skäl som kan anföras mot outsourcing.

När det gäller statliga och kommunala verksamheter har offentlighets- och sekretesslagen en inte helt okomplex påverkan i frågan om outsourcing. Här skulle regeringen kunna göra en viktig insats genom att ta initiativ till förtydligande lagregler.

Det är rimligen endast i, förvisso mycket viktiga, undantagsfall som förlust av kontroll över känslig information väger så tungt att en outsourcing inte borde genomföras. Då måste man dessutom ha kommit fram till att det interna informationssäkerhetsarbetet är bättre än det som en extern leverantör skulle kunna tillhandahålla, vilket ofta inte kommer att vara fallet.

I de flesta fall kommer informationssäkerhetsfrågan därför inte ha någon avgörande betydelse för outsourcingbeslutet. Om man fattar beslut att outsourca blir det istället viktigt att tydligt reglera och följa upp frågan i outsourcingavtalet och –relationen.

Outsourcing av statliga verksamheters IT kommer i många fall att vara viktigt för att Sverige ska kunna bibehålla global konkurrenskraft i en digitaliserad värld, inte minst av kostnads- och kvalitetsskäl.Dessa skäl väger inte tyngre än rikets säkerhet.

I de flesta fall försämras dock inte rikets säkerhet i en outsourcing och dessutom kan det ibland vara bättre för rikets säkerhet att outsourca än att inte göra det. Det är därför av stor vikt att fortsättningsvis hålla isär frågor om informationssäkerhet och outsourcing.