Inriktningsbeslut för användande av molntjänster

§ 2 Diarienummer 00416/20232.2 Inriktningsbeslut för användande av molntjänster Beslut Anskaffning och användning av molntjänster är tillåtet under följande förutsättningar: 1. Molntjänster som ägs av företag inom EU och EES utan kopplingar till tredjeland (Här avses helägda europeiska företag där alla ingående komponenter i molntjänsten ägs av företag inom Europa). • Behovsanalys, informationsklassning och konsekvensbedömning ska inleda anskaffningsprocessen och ska därefter ligga till grund för verksamhetens beslut om och hur molntjänsten ska anskaffas och användas. • Lämplighetsbedömning måste göras både avseende leverantören och i förhållande till vilken informationstyp som kan anses vara lämplig för molnlagring. I lämpligheten ingår också att följa gällande lagar. • Lagring av sekretessreglerade och sekretessbelagda uppgifter tillåts om det med hänsyn till omständigheterna inte är olämpligt att uppgiften lämnas ut enligt 10 kap 2 a § offentlighets- och sekretesslagen (2009:400). 2. Molntjänster som ägs av företag i tredjeland (Här avses även molntjänster ägda av europeiska företag med kopplingar till tredjeland). • Behovsanalys, informationsklassning och konsekvensbedömning ska inleda anskaffningsprocessen och ska därefter ligga till grund för verksamhetens beslut om och hur molntjänsten ska anskaffas och användas. • Lämplighetsbedömning måste göras både avseende leverantören och i förhållande till vilken informationstyp som kan anses vara lämplig för molnlagring. I lämpligheten ingår också att följa gällande lagar. • Molntjänster får inte användas för lagring av sekretessreglerade och sekretessbelagda uppgifter. Samma gäller för känsliga personuppgifter. Kommunstyrelsen ger stadsledningsförvaltningen i uppdrag att, inom ovan angivna ramar, ta fram en process för anskaffning och användning av molntjänster. Stadsledningsförvaltningen ska också ta fram anvisningar och instruktioner kopplat till molntjänster. Verksamheterna ska oavsett anskaffningsprocess och användning följa anvisningar och instruktioner från stadsledningsförvaltningen gällande molntjänster. Ärendet Förutsättningarna för stadens användande av molntjänster är otydliga. För att stadens verksamheter ska få en tydligare ledning i hur molntjänster får användas behövs det ett inriktningsbeslut från kommunstyrelsen. Det är också en förutsättning för att stadens ska kunna nyttja och ta vara på utvecklingens möjligheter med molntjänster. Ärendet har tidigare behandlats i kommunstyrelsen som den 29 november 2023 § 316 återremitterade ärendet för komplettering och förtydligande avseende förslag till beslut. Ärendets behandling Stadsledningsförvaltningens tjänsteskrivelse daterad 4 januari 2024. Arbetsutskottet har behandlat ärendet den 15 november 2023, § 176. Stadsledningsförvaltningens tjänsteskrivelse daterad 13 oktober 2023. Förslag till beslut Stadsledningsförvaltningens förslag till kommunstyrelsen Anskaffning och användning av molntjänster är tillåtet under följande förutsättningar: 1. Molntjänster som ägs av företag inom EU och EES utan kopplingar till tredjeland (Här avses helägda europeiska företag där alla ingående komponenter i molntjänsten ägs av företag inom Europa) • Behovsanalys, informationsklassning och konsekvensbedömning ska inleda anskaffningsprocessen och ska därefter ligga till grund för verksamhetens beslut om och hur molntjänsten ska anskaffas och användas. • Lämplighetsbedömning måste göras både avseende leverantören och i förhållande till vilken informationstyp som kan anses vara lämplig för molnlagring. I lämpligheten ingår också att följa gällande lagar. • Lagring av sekretessreglerade och sekretessbelagda uppgifter tillåts om det med hänsyn till omständigheterna inte är olämpligt att uppgiften lämnas ut enligt 10 kap 2 a § offentlighets- och sekretesslagen (2009:400). 2. Molntjänster som ägs av företag i tredjeland (Här avses även molntjänster ägda av europeiska företag med kopplingar till tredjeland) • Behovsanalys, informationsklassning och konsekvensbedömning ska inleda anskaffningsprocessen och ska därefter ligga till grund för verksamhetens beslut om och hur molntjänsten ska anskaffas och användas. • Lämplighetsbedömning måste göras både avseende leverantören och i förhållande till vilken informationstyp som kan anses vara lämplig för molnlagring. I lämpligheten ingår också att följa gällande lagar. • Molntjänster får inte användas för lagring av sekretessreglerade och sekretessbelagda uppgifter. Samma gäller för känsliga personuppgifter. Kommunstyrelsen ger stadsledningsförvaltningen i uppdrag att, inom ovan angivna ramar, ta fram en process för anskaffning och användning av molntjänster. Stadsledningsförvaltningen ska också ta fram anvisningar och instruktioner kopplat till molntjänster. Verksamheterna ska oavsett anskaffningsprocess och användning följa anvisningar och instruktioner från stadsledningsförvaltningen gällande molntjänster. Beslutsgång Ordföranden frågar om förslag till beslut kan antas och finner att så sker. Expedieras till Samtliga förvaltningar, stadsdirektör, biträdande stadsdirektör, digitaliserings och IT-chef