Då vill Skatteverket flytta drift till molnet

Skatteverket pekar på att förutsättningarna har förändrats sedan kriget i Ukraina. It-miljöerna behöver enligt myndigheten byggas så att funktioner kan startas om på en annan plats om det behövs. I svaret till IMY skriver Skatteverket att ”exitstrategier måste gå åt båda hållen”.

I Göteborgs Intraservices anvisning finns en regel för tjänster som måste fungera under höjd beredskap. Går det inte att säkra den driften i avtalet ska förvaltningen som huvudregel sköta den själv. Ett avsteg ska dokumenteras som en hög risk.

IMY räknar med att vägledningen blir klar under vintern.

– Vi tar fram vägledningen i ljuset av regeringens molnpolicy och AI-strategi, men också mot bakgrund av ett föränderligt geopolitiskt läge och den pågående rättsutvecklingen i USA, säger Malin Blixt, avdelningschef på IMY, i myndighetens pressmeddelande.

Kronofogden håller mejlen lokalt

Kronofogden har valt att installera Microsoft 365-programmen lokalt och lagra e-post, filer och dokument i den egna miljön. För digitala möten används Teams, som Skatteverket tillhandahåller inom ramen för myndigheternas it-samverkan. Ett byte kräver därför att båda myndigheterna planerar och fattar beslut tillsammans, skriver Kronofogden.

I september rapporterade Ekot att Skatteverket pausat en planerad flytt av delar av sin mejltrafik till en amerikansk molntjänst. Det skedde efter kritik från bland andra Polisen.

Kronofogden är en av 15 aktörer som uppger att de använder en molnleverantör etablerad utanför EU och EES. Nio av de 16 uppger att de lagrar personuppgifter på servrar utanför området.

Länsstyrelserna i Skåne och Västra Götaland använder en begränsad version av Teams för att kunna möta kommuner och andra myndigheter på samma plattform. Länsstyrelserna bedömer att de behöver använda en annan tjänst för känsliga personuppgifter och sekretessbelagda uppgifter.

Avtalet sätter gränsen för vad kunden kan följa upp

Försäkringskassan uppger att den alltid kräver rätt att kontrollera att leverantören lever upp till kraven. Göteborgs Intraservice skriver att den ofta får hålla sig till de skyddsåtgärder som leverantören erbjuder. Nämnden uppger också att avtalen i de flesta fall saknar utrymme för att följa upp konsekvensbedömningar för dataskydd under avtalstiden.

Region Halland pekar på ett problem redan vid upphandlingen. Leverantören, den tekniska lösningen och underleverantörerna är inte alltid kända från början. Därför kan regionen behöva göra riskbedömningen i etapper under upphandlingen.

I slutet av oktober redovisade Skatteverket en marknadsanalys med svar från 50 molnleverantörer. Ingen av de undersökta lösningarna täckte alla behov, enligt myndigheten, som ska dela rapporten med 28 andra myndigheter.

Få uppger att de övar på ett byte

Trafikverket, Försäkringskassan, Finansinspektionen, Kronofogden, Lunds universitet och Stockholms socialnämnd svarar nej på frågan om en exitstrategi. I Stockholm har socialnämnden redan tagit hem ett par molntjänster. Skälen var säkerhet och funktionalitet, skriver nämnden.

Beredskapen kan också skifta från en tjänst till en annan. Socialstyrelsen har provat Försäkringskassans SAFOS som alternativ till Microsoft 365. I svaret om sina enkätverktyg uppger myndigheten att den saknar en exitstrategi.

Tio av de granskade aktörerna kryssar ja på frågan om en strategi i minst ett formulär. Av dem ger Skatteverket och Region Skåne ett entydigt ja på frågan om de testar eller övar. Skatteverket går igenom och övar planerna för sina väsentliga molntjänster varje år. Region Skåne testar i viss omfattning och arbetar på att få till ett gemensamt arbetssätt.

Stockholms kommunstyrelse kryssar både ja och nej. Den testar där det går och skriver att det ofta är svårt att öva i full skala utan att störa verksamheten.

Skolorna kan få åtta veckor på sig

Om EU:s beslut om dataöverföringar till USA upphör att gälla innan det nuvarande avtalet löper ut den 5 november 2028 ska Skolverket enligt sin åtgärdsplan stänga provplattformen. Sedan sommaren 2026 ligger plattformen i Microsoft Azure. Skolorna använder den för frivilliga digitala bedömningsstöd.

Skolor där elever redan gjort uppgifterna kan få upp till åtta veckor på sig att bedöma dem och hämta resultaten. Tiden räknas från Skolverkets beslut om stängning.

EU-beslutet gäller fortfarande för mottagare som har anslutit sig till dataskyddsramverket mellan EU och USA. I somras slog USA:s högsta domstol fast att presidenten får avsätta ledamöter i tillsynsmyndigheten FTC utan särskild grund. Europeiska dataskyddsstyrelsen har bett EU-kommissionen bedöma om domen påverkar beslutet.

En ny upphandling kan enligt Skolverkets uppskattning ta upp till 15 månader vid ett leverantörsbyte, beroende på vilket system det gäller.

– Det finns inte alltid en alternativ tjänst att gå över till, skriver Skolverket.

En reserv för Teams

Länsstyrelserna i Skåne och Västra Götaland har två tjänster för videomöten. Om Teams blir otillgängligt kan länsstyrelserna använda Pexip, som de driver själva. I formulären svarar båda nej på frågan om de testar eller övar sina exitstrategier.

I svaren lyfter de ett beroende som kan finnas kvar även med egen drift. Om en lokalt installerad tjänst behöver kontrollera sin licens över nätet kan licensen falla trots att myndigheten har kvar alla uppgifter.

I Göteborgs Intraservices anvisning står det vad en utträdesplan ska täcka. Planen ska visa vilka uppgifter verksamheten kan exportera och i vilka format, vilka integrationer bytet påverkar och hur verksamheten ska hålla tjänsten i gång under övergången. Planen ska också visa hur lång övergången kan bli, vad bytet kan kosta och vilka alternativ som finns.

Så gjorde vi: Techtidningen har granskat svar och bilagor från 16 av de 19 verksamheter som IMY tillfrågade (IMY-2026-20500). Länsstyrelserna i Skåne och Västra Götaland svarar om sin gemensamma it-drift och räknas var för sig. Socialstyrelsens sex delformulär räknas ihop.