IT-konsulten anställdes på IT-bolaget i maj 2022, två månader efter att han dömts för tagande av muta. Under 2022 dömdes elva personer i Linköpings tingsrätt för tagande av muta, och en person för trolöshet mot huvudman. Samtliga arbetade på Region Östergötland när brotten begicks.
Mannen har under en längre tid arbetat som konsult åt Region Jönköpings län, och under 2024 fakturerade IT-bolaget cirka 1,5 miljoner kronor för hans arbete.
Verifiera kontaktade Region Jönköpings län för att ställa frågor om mannens uppdrag. Regionen svarar att de inte kände till mannens tidigare dom och han inte arbetar med säkerhetsklassade uppgifter eller har någon beslutsfattande roll.
Vi ställde följdfrågor till Regionen med anledning av Ekobrottsmyndighetens rapport förra veckan. Ekobrottsmyndigheten ställer upp flera punkter som påvisar riskerna med den organiserade brottsligheten.
Under punkt nummer fyra flaggar Ekobrottsmyndigheten för behovet av kunskap hos de kriminella.
Från att behöva kunskap … … till att sälja kunskap För att kunna genomföra storskalig ekonomisk brottslighet behöver kriminella kunskap om hur systemen ser ut. Här spelar så kallade möjliggörare en viktig roll för brottsligheten och efterfrågan på dem ökar. Möjliggörare kallas de personer som antingen omedvetet delar med sig av sin kunskap eller medvetet säljer sina tjänster för att möjliggöra brott. Det handlar vanligtvis om yrkespersoner med kunskap som är värdefull för brottslig verksamhet, som till exempel advokater, skattejurister, banktjänstemän, fastighetsmäklare, bolags förmedlare eller anställda vid myndigheter.
Möjliggörare är en grupp som till antalet är en gråzon än så länge men en viktig faktor i de brott som begås inom offentligheten. Det är inte bara särskilda branscher eller anställda inom myndigheter som utgör en risk. Det gör även konsulter.
Leverantörer, såsom IT-bolag inom offentlig sektor, har olika typer av access och tillgång till information om kundens IT-system – i detta fall Region Jönköpings län – samt insyn i exempelvis vilka personer som är beslutsfattare. Som konsult har du ofta möten med de interna ägarna av systemen och andra stakeholders (berörda parter). Med det får konsulterna access till känslig information som inte nödvändigtvis är säkerhetsklassad. De får också kännedom om vilka det är som internt tar beslut vilket kan vara intressant information för den organiserade brottsligheten.
I ett ramavtal specificeras vilka områden en leverantör får erbjuda och leverera konsulter till. Det innebär, ur ett utifrånperspektiv, en potentiell tillgång till information.
Ramavtalet
I detta fall har IT-leverantören vunnit ramavtal inom, bland annat, följande kategorier med Region Jönköpings län:
– IT strateg
– Verksamhetsarkitekt
– Enterprise architecht
– System förvaltning
– Systemtekniker inom applikation och server
– Systemtekniker inom kommunikation
– IT Säkerhetsstrateg
– IT säkerhetsanalytiker
– IT säkerhetstekniker
Vad innebär dessa roller i praktiken?
En verksamhetsarkitekt får tillgång till information om IT-verksamheten och dess uppbyggnad.
En enterprise architecht får tillgång till hela kartbilden av kundens IT system.
En systemtekniker får tillgång till inloggningar till de olika systemen.
En IT säkerhetsstrateg får tillgång till alla sårbarheter inom verksamheten.
En IT säkerhetstekniker har access och inloggning till säkerhetssystemen.
Under punkt nr 5 flaggar Ekobrottsmyndigheten för insiders
Från att ha en insider … … till att driva bolaget Att kriminella försöker hitta en insider i branscher där de är i behov av information som kan användas i brottslig verksamhet, är sedan tidigare ett känt och allvarligt problem. Men i dag blir det allt vanligare att kriminella registrerar och driver egna bolag. Det kan till exempel handla om finansbolag, indrivnings bolag eller bolag inom juridisk eller finansiell rådgivning.
En insider är inte begränsad till de branscher som Ekobrottsmyndigheten hänvisar till, IT-branschen kan mycket väl ingå där med accesser till känslig information. Access kan även innebära kunskap var den känsliga informationen finns att tillgå.
I höstas dömdes en kvinnlig åklagare som hjälpte ett kriminellt nätverk med information myndighetens system.
Är det endast säkerhetsklassade uppgifter som är en risk?
Vi ställde följdfrågor till Region Jönköpings län med anledning av svaren vi fick att personen inte är beslutsfattande eller tillgång till säkerhetsklassad information. Det är områdeschefen inom IT Eva Astliden Milton för Region Jönköpings län som svarar:
Anser Region Jönköping att det endast är personer som är i beslutsfattande positioner eller har access till säkerhetsklassade uppgifter som kan utsättas för organiserad brottslighet? Eller påverkan från organiserad brottslighet?
Det är lite oklart vad som här åsyftas med att bli utsatt för organiserad brottslighet men om det avses att bli kontaktad för att begå brott på uppdrag från organiserade kriminella så genomförs alltid en säkerhetsprövning inför att någon ska anställas på en befattning som är säkerhetsklassad. Detta med syfte att minimera riskerna för att skyddade uppgifter ska hamna i orätta händer genom yttre påverkan.
Anser Region Jönköping att en person som är dömd för tagande av muta inte utgör en risk för organiserad brottslighet?
De arbetsuppgifter som utförs av den här konsulten innebär inte hantering av säkerhetsskyddsklassade uppgifter och innebär heller inte beslutsfattande. Något annat har Region Jönköpings län inte anledning att ta ställning till.
Under 2025 har IT-bolaget haft 3 konsulter hos Region Jönköpings län, den dömda mannen är en av dom. Ramavtalet är giltigt till 19 september 2025 med möjlighet till årsvis förlängning.
Verifiera har ställt frågan till IT-bolaget om varför Regionen inte informerades men ännu inte fått något svar.
Christel Prinsén
redaktionschef
