Delat ansvar är ingens ansvar? En analys av den svenska statsförvaltningens ansvar och styrning vad gäller svenskt informations- och cybersäkerhetsarbete

Sverige, det svenska samhället och svensk förvaltning genomgår enligt många utredningar och analyser en digital transformation. Den påbörjades för ett trettiotal år sedan och accelererar fortfarande. Utvecklingen mot ett digitalt samhälle medför både innovationer och möjligheter likväl sårbarheter och risker. För att bemöta sårbarheterna och riskerna behöver det svenska samhället ett kontinuerligt pågående och väl styrt informations- och cybersäkerhetsarbete och då i synnerhet i statsförvaltningen. Denna rapport utforskar fördelningen av ansvar för och styrning av svenska myndigheters informations- och cybersäkerhetsarbete i det digitala samhället, hur den fördelningen uppstått och om det finns någon problematik relaterat till den fördelning som finns. Rapporten tar sin utgångspunkt i en litteraturgenomgång av forskningslitteratur, utredningar, regleringsbrev, lagtexter och andra offentligrättsliga dokument. Litteraturgenomgången kompletteras med intervjuer med fem centrala aktörer inom svensk cybersäkerhet. Denna studie identifierar tre genomgående tendenser vilka samtliga speglar den svenska statsförvaltningens informations- och cybersäkerhetsarbete. Den första tendensen är otydlig ansvarsfördelning och styrning. Den andra tendensen är oklarheter i diskursens definitioner och den tredje tendensen är bristande återrapportering. Rapportens resultat speglar aktuell samhällsvetenskaplig forskning i sin belysning av de problem kring ansvar för och styrning av cybersäkerhet i statsförvaltningen som studien uppmärksammar. Studien landar i att det finns en problematik med dagens styrning av cybersäkerhetsarbetet inom statsförvaltningen. Studien landar även i en försiktig optimism för kommande EU-harmonisering på området. Rapporten avslutas med en lista med förslag på framtida forskning. Dessa förslag är förankrade i problembilden som denna rapport redogör för.