Statliga konsulter vill blir fler

Försvarets radioanstalt, FRA, har efter terrorattackerna den 11 september 2001 byggt upp en konsultverksamhet inom informationssäkerhet. Konsulterna blir fler och fler. I dagsläget har FRA tolv anställda konsulter och annonserar nu efter en konsultchef.

Verksamheten byggs upp genom uppdrag från andra myndigheter och statliga bolag utan att någon offentlig upphandling genomförs.

– I FRA:s instruktioner finns tanken att FRA ska vara en kompetenspool för myndigheter inom it-säkerhet, och redan där blir det fel. Att FRA har ett internationellt renommé inom kryptering och dekryptering innebär inte att de har någon unik kompetens inom it-säkerhet. 99 procent av utvecklingen inom området sker utanför Sveriges gränser och de globala företagen bakom utvecklingen finns representerade i Sverige, säger Hans Holst, ordförande i branschens Informationssäkerhetsråd.

Som säkerhetsklassad myndighet publicerar FRA endast en kortfattad årsredovisning. Konsultverksamheten betecknas som lyckosam.

”Totalt har drygt 5.200 timmar levererats till externa kunder, vilket är en fördubbling jämfört med tidigare år” står det i verksamhetsberättelsen för 2004.

Stämmer antalet uppgivna timmar drog konsultverksamheten in 6,2 miljoner kronor förra året, (räknat på en timpenning på 1.200 kronor, vilket motsvarar FRA:s timarvode på fakturor till PPM). Det gör en årsintäkt på blygsamma 520.000 kronor per anställd. Trots den låga intäkten per anställd finns planer på att konsultverksamheten ska växa upp till 50 konsulter.

– Den svenska it-säkerhetsbranschen omsätter 3,8 miljarder kronor per år. I det perspektivet är FRA:s konsulter en liten del, men branschen kännetecknas av väldigt många aktörer. Och med FRA:s ambitioner att bli 50 konsulter skulle de bli en av branschens största i Sverige, säger Hans Holst.

Enligt Hans Holst beräkningar så kan konsulter i branschen debitera mellan 1.000 och 1.500 kronor i timmen. Och en konsult bör nå 65 procents beläggning och därmed dra in 1,2–1,5 miljoner kronor per år.

– FRA täcker sina underskott med anslagsmedel. Och jag tror att deras affärsmodell inte är ren. Ibland genomför de uppdrag utan att debitera det, säger Hans Holst.

I årsberättelsen står det en mening om ekonomin: ”FRA:s totala intäkter uppgår till 481.817.000 kronor, varav anslagsmedel är 407.247.000 kronor.” Det gör att FRA hade intäkter utöver anslaget på 74,5 miljoner.

FRA förutspår en expansion av konsultverksamheten och säger att om man haft ett automatiserat kund- och säljstödsystem hade fler konsulttimmar kunnat levererats.

”Ett sådant system är under upphandling och bedöms kunna driftsättas under första kvartalet 2005.”

För 2004 sägs att FRA mot betalning levererat tjänster till 15 myndigheter och statliga företag.

Men då mörkar FRA fyra av uppdragsgivarna. Hemligstämpeln hävdes av kammarrätten i ett pm från FRA förra året. Ett av FRA:s argument för att hemligstämpla det interna dokumentet med listan över alla uppdragsgivare var att man bedriver en konkurrensutsatt verksamhet. På listan finns 19 stycken statliga myndigheter men inga statliga bolag.

Inom den militära sfären finns verk som FMV (Försvarets Materielverk), FM/HK (Försvarsmakten högkvarteret), MUST (Militära underrättelsetjänsten), FM/LOG (Försvarsmaktens Logistikavdelning), ISP (Institutionen för strategiska produkter) samt Säpo.

Övriga uppdragsgivare är AMS, Skatteverket, PPM, Rikspolisstyrelsen, Länsstyrelsen i Västmanland, Migrationsverket, Energimyndigheten, Riksgäldskontoret, PTS, Riksförsäkringsverket, Riksbanken, Banverket och Regeringskansliet.

– Försvarets radioanstalt besitter en unik kompetens inom informationssäkerhetsområdet och har därför en central roll i arbetet med att öka samhällets förmåga att möta it-relaterade hot, sa försvarsminister Leni Björklund i riksdagen den 2 november förra året då hon försvarade FRA:s konsultverksamhet.

Den moderate riksdagsmannen Tobias Billström reagerade förra året när FRA:s generaldirektör Ingvar Åkesson signalerade att han ville se konsultverksamheten växa. FRA vill ha en breddad syn på it-säkerhetsinfrastruktur där FRA skulle kunna få banker, telekomsektorn och SVT som kunder. Den expansiva tanken syns i platsannonsen där FRA nu söker en konsultchef inom it-säkerhet med försäljningsansvar.

– FRA ska ägna sig åt myndighetsutövning och ingenting annat. Det är inte konstigt att FRA utför tjänster inom den militära sfären, men det kan diskuteras om de ska sälja sina tjänster till Ams och Skatteverket, säger Tobias Billström till Realtid.se.

Bör FRA:s konsultverksamhet privatiseras?

– Ja, svarar Tobias Billström.

Men Björn Axelsson på branschorganisationen IT-Företagen, som företräder privata it- säkerhetsföretag som FRA konkurrerar med, vill se en annan lösning.

– FRA:s konsultverksamhet bör avvecklas. Jag kan inte se att den bör knoppas av när den byggts upp genom skattefinansiering, det vore inte konkurrens på lika villkor, säger Björn Axelsson till Realtid.se.

Björn Axelsson ifrågasätter också Leni Björklunds beskrivning av FRA-konsulterna.

– Att FRA har extra hög säkerhet är nys. Flera av de privata företagen är SUA-klassade och bemyndigade att utföra uppdrag åt försvaret. Den kompetens som finns hos FRA:s konsulter finns också hos de privata informationssäkerhetsföretagen.

Björn Axelsson är kritisk till att FRA har en gräddfil till sina uppdrag.

– Reglerna för myndighetssamarbete lämnar något slags legalt utrymme att anlita FRA:s konsulter utan att göra en offentlig upphandling, säger Björn Axelsson.

Men inte ens uppdragen från statliga bolag var FRA med och konkurrerade om förra året. Jag frågar nuvarande konsultchefen Ralf Törzsök om de var med och konkurrerade i några offentliga upphandlingar förra året.

– Vi har inte ens försökt, svarar han på frågan.

Efter att FRA-konsulterna kartlagt sårbarheten i it-systemen så måste myndigheterna i nästa steg göra en upphandling för arbetet med att åtgärda säkerhetsbristerna.

– Alltihop haltar, säger Hans Holst.

På grund av allt arbete inom regeringen som väcktes av tsunamikatastrofen blir den pågående Infosäkutredningen försenad. Den 13 maj kommer ett delbetänkande om bland annat kompetensförsörjning. Men ingenting som berör den känsliga frågan om FRA:s konsultverksamhet finns med nu i maj.

– Alla sådana frågor har vi hänskjutit till slutbetänkandet i september, säger Ulf Johansson, sakkunnig på försvarsdepartementet.