Totalberedskapsmeldingen

Regjeringen la forrige fredag frem en Totalberedskapsmelding, et dokument som handler om hvordan vi skal forberede samfunnet bedre på alvorlig krise og krig. Stortingsmeldingen er en oppfølging av Totalberedskapskommisjonens rapport "Nå er det alvor - Rustet for en usikker framtid", som kom i 2023.

Er dette en god Stortingsmelding, gitt temaets alvorlighetsgrad og store kompleksitet, på tvers av sektorer, forvaltningsnivåer, offentlig-privat-frivillig og landegrenser? Den er i hvert fall langt bedre enn den temmelig slagordpregede og proteksjonistiske stortingsmeldingen om "Nasjonal kontroll og digital motstandskraft for å ivareta nasjonal sikkerhet" (jeg blogget om den her) fra 2022, som åpenbart kom før regjeringen hadde satt seg ordentlig inn i utfordringsbildet, eller avklart egne prioriteringer og strategier.

Den nye Stortingsmeldingen holder et høyere nivå og henviser naturligvis ganske mye til både Forsvarskommisjonen, Totalberedskapskommisjonen, Langtidsplanen for Forsvaret, sikkerhetsmyndighetenes risikovurderinger og NATOs og EUs ulike analyser og strategier. Vi vet at vi på en del områder ikke er så godt rustet for å møte alvorlige kriser, sammensatte trusler og cyberangrep  som vi burde være, og at årsakene til dette skyldes ting som mangelfull koordinering på tvers av sektorer, mellom myndigheter og næringsliv, og uklarheter i roller og ansvar når vi skal beskytte oss mot og respondere på sammensatte trusler. 

Tiltakslister

Det er slike ting denne stortingsmeldingen skal svare på. Det konkrete som skal gjøres er som vanlig i slike dokumenter forulert som korte strekpunkter som begynner med foruleringen "Regjeringen vil...". Nå er det riktignok ikke alle disse punktene som beskriver noe som skal endres, ofte er det noe som skal vurderes eller utredes, eller en prosesss som tar sikte på en endring som skal igangsettes om en stund, men det er i hvert fall her man finner det mest operative i en stortingsmelding. I denne meldingen er det slike tiltak under flere av kapitlene, og mye handler om organisering og lovverk som skal tydeliggjøres. Noen av mest sentrale av disse er at "Regjeringen vil...:

• etablere en felles rådsstruktur for beredskapsplanlegging og tilstandsvurderinger på nasjonalt nivå for å sikre kontinuitet og systematikk i beredskapsarbeidet i sivile sektorer. Næringslivet og frivillige organisasjoner skal integreres i den nye strukturen.
• utarbeide en langtidsplan for sivil beredskap og motstandskraft, herunder politiet.
• foreslå en ny lov som setter krav til grunnsikring for virksomheter og se på tilhørende regelverk som samfunnssikkerhetsinstruksen, sektorlovgivning og sikkerhetsloven. 
• utarbeide en nasjonal sikkerhetsstrategi.
• stille tydelige krav til tverrsektorielt beredskapssamarbeid.
• at det i etatsstyringen skal legges vekt på å gi føringer for arbeidet med sikkerhet og beredskap.
• forsterke involveringen av og samarbeidet med privat næringsliv om sikkerhet og beredskap."

Ikke bare tenke det og ville det, men også gjøre det

Disse punktene virker fornuftige gitt de endringene vi har i utfordrings- og trusslbildet. Men nå er det ikke lenger helt nytt at vi opplever flere sammensatte trusler og behov for mer tverrektorielt samarbeid, og bedre sammarbeid mellom offentlige beredskapsorganisasjone og privat sektor. Det er jo nettopp det både Totalberedskapskommisjonen, Forvarskommisjonen og de ulike overordnede risikovurderingene fra PST, E-tjenesten, NSM, DSB og andre har fortalt oss lenge. 

Når det gjelder en mer helhetlig organisering av beredskapen er det de konkrete handlingene for å møte mer sammensatte trusler vi trenger, ikke enda flere erklæringer om at det skal samarbeides mer og bedre. Nå er det etablering av de strukturene, ansvarsområdene og rollene som beskytter oss bedre som bør være neste skritt. Men dessverre virker det som om denne totalberedskapsmeldingen er noen hakk mindre konkret om hva vil skal gjøre enn det Totalberedskapskommisjonen foreslo, eller rapporten som ble laget av DSB etter ekstremværet "Hans".

Pedagogisk krevende helhet

Mangelen på fremdrift når det gjelder å komme i gang er den viktigste svakheten som denne stortingsmeldingen ikke svarer ut. Min andre store innvending mot den nye meldingen er at den i for liten grad tydeliggjør den ansvarsmessige og lovmessige helheten, hvordan endringne påvirker dagens roller og ansvarsområder, hvordan huller i ansvar løses med nye  strukturer, og hvordan overlapp og dobbeltarbeid unngås.

Til høyre er det en figur fra side 41 i meldingen og som søker å forklare hvordan totalberedskapsarbeidet er organisert "vertikalt" og "horisontalt", fra regjeringen og helt ned til kommuner og innbyggere, på tvers av myndighetsorganer, sektorer og sivilsamfunn på alle nivåer. Dette er et godt forstøk på å lage en pedagogisk beskrivelse av hva begrepet "helhetlig" beredskapsorganisering er snakk om.

Men det blir med denne ene fargerike figuren. Gode visualiseringer og gode fortellermessige beskrivelser og eksemplifiseringer kunne vært benyttet mye mer. Når man lager en stortingsmelding der hele poenget er å forklare hvor komplekst og sammensatt trusselbildet er, og hvor helhetlig og sammensatt organiseringen for planlegge, øve og respondere på dette er, hvorfor bruker man ikke bedre og mer pedagogiske måter å formidle dette på?

Lov- og ansvarskompleksiteter

Dette behovet for bedre forklaringer av og endringer i roller og ansvarsområder er blant annet veldig relevant for innretningen av det lovverket som regulerer virksomheters plikter og ansvar når det gjelder forebyggende sikkerhet. Her sier regjeringen at den planlegger å foreslå en ny lov om krav til grunnsikring i virksomheter som er viktige for at samfunnet fungerer, dels for å oppfylle EØS-forpliktelser, og dels som en anledning til å fylle noen andre hull. Regjeringen skriver:

"Evnen til å opprettholde kontinuitet i kritiske samfunnsfunksjoner, som kraft, helse, elektronisk kommunikasjon og digitale tjenester, er viktig for motstandskraften. Regjeringen vil foreslå en sektorovergripende lov som skal stille felles krav til grunnsikring hos virksomheter som er viktige for at samfunnet fungerer i fred, krise og krig. Sikringen skal blant annet bidra til at virksomhetene kan opprettholde sin aktivitet selv om alvorlige uønskede hendelser og kriser inntreffer."

Disse EØS-forpliktelsene i NIS2-direktivet og CER-direktivet, som omtales i stortingsmeldingen, er EU-direktiver som er med på å begrunne behovet for Norge trenger en ny lov om grunnsikring av virksomheter som ivaretar samfunnskritiske funksjoner. De er et langt stykke på vei overlappende med det som er sikkerehetslovens nedslagsfelt og formål, noe regjeringen også beskriver:

"Direktivene deler samfunnet inn i samfunnsområder. Disse samfunnsområdene overlapper i stor grad med tilsvarende inndelinger i rammeverket for kritiske samfunnsfunksjoner, grunnleggende nasjonale funksjoner etter sikkerhetsloven og NATOs grunnleggende forventninger."

Nå er det ikke helt uvanlig at nedskagsfeltet for lover overlapper, særlig når det gjelder særlig viktige samfunnshensyn som skal ivaretas. Det vil ofte være både generell lovgivning, som alle må følge, og særlig regler for ulike sektorer, som noen aktører er forpliktet av, for eksempel energiaktører eller finansnæringen. Problemet oppstår når flere lovverk og direktiver overlapper hverandre. men sier forskjellige ting om ansvar, plikter og rapportering, eller bruker ulike begreper og definisjoner.

Et nøkkelavsnittt i stortingsmeldingen (underkapittel 3.3) beskriver hvorfor og hvordan Regjeringen vil igangsette et lovarbeid som blant annet skal avklare nedslagsfeltet for en ny lov om grunnsikring, utover det som ligger i EU-direktivene, herunder hvordan ulike deler av offentlig sektor, inkludert kommunene, skal omfattes av forpliktelsene. Og som ikke det var nok varsler regjeringen at den skal gjennomgå samfunnssikkerhetsinstruksen, et annet regelverk som gjelder for departementene, og som griper inn på flere av de samme sikkerhetskritiske områdene:

"Regjeringen vil, som en del av arbeidet med implementering av direktivene, også gjennomgå samfunnssikkerhetsinstruksen. Grensesnittet mellom den nye loven og sikkerhetsloven, samt forholdet til relevant sektorregelverk, vil bli vurdert. En slik vurdering er viktig for å unngå uhensiktsmessig dobbeltregulering, og eventuelle andre uklarheter, mellom den nye sektorovergripende loven og gjeldende sikkerhets- og beredskapslovverk i ulike sektorer. Slike uklarheter kan vanskeliggjøre god og enhetlig implementering og oppfølging av krav til virksomheter som det er kritisk for samfunnet at fungerer. Det utfordrer også et effektivt tilsyn og tilgjengelig veiledning. En helhetlig tilnærming til sikkerhetsog beredskapslovverk vil bidra til forenkling av beredskapsarbeidet i de ulike sektorene"

Bra. En slik helhetlig gjennomgang burde sikkert vært tenkt på for lenge siden, og EU fant ikke på disse direktivene nettopp, men det er helt på sin plass å beskrive og ta tak i problemene uklare og og uvklarte nedslagsfelt, ansvarsområder og roller fører med seg. Men hvorfor ikke ha noen gode pedagogiske beskrivelser, gjerne med visualiseringer og eksempler? I en stortingsmelding om å skape mer sammenheng og innrette et mer helhetlig beredskapsarbeid er det jo akkurat det vi trenger for å legge grunnlaget for en bedre felles virkelighetsoppfatning, på tvers av sektorer og virksomheter. Slik blir det også mye lettere komme videre til en gjennomføringsfase. 

Opplagsverk og kunnskapsgrunnlag

Stortingsmeldingen er fra kapittel 4 (fra side 52) og og utover mer beskrivende når det gjelder dagens mange aktører, organisering og ansvarsområder i norsk beredskap, fra verdensrommet til havbunnen, og veldig mye mellom. Aktørbildet er mangfoldig, og manges ulike virksomheters roller og betydning er beskrevet. Det er både beskrivelser at de sentrale aktørene, og viktige grenseplater mellom dem, som sivil-militært, offentlig-privat, offentlig-frivilling, og på tvers av sektorer og forvaltningsnivåer. 

Det er også omtale av kritiske suksessfaktorer som bedre kompetansetilgang, behov for forskning og innovasjon, frivillighetens bidrag, planlegging og organisering av forsyningssikkerhet, redningsarbeid, støtte til forsvarets behov i en krigssituasjon, og veldig mye annet. Dette fungerer også som et lite oppslagsverk der det er mulig å hente ut kunnskap om hvordan dette økosystemet ser ut, og det er også er et bra kunnskapsgrunnlag  ha med seg når man skal finne ut hvor det er størst behov for å forsterke eller endre innsatsen.

Digitale leverandørkjeder

Skal jeg peke på to områder som hadde fortjent en bedre utfordringsbeskrivelse enn det som ligger i denne stortingsmeldingen er det de digitale sikkerhets og beredskapsutfordringene, og samarbeidet mellom myndigheter og næringsliv. Når de gjelder det digitale er stortingsmeldingen fortsatt på det nokså abstrakte og lett proteksjonistiske nivået som har kjennetegnet tidligere beskrivelser fra regjeringen, og som kanskje tyder på at man ikke er så veldig interesset i å sette seg inn i hvordan komplekse internasjonale leverandørkjeder ser ut eller hva som kan gjøres? Veldig lite av det som er omtalt i regjeringens nye digitaliseringsstrategi om digital sikkerhet har funnet veien inn her, og det er heller ikke veldig mye omtale av arbeidet med områder både Riksrevisjonen og sikkerhetsmyndighetene har pekte på som kritiske sårbarheter tidligere. 

Meldingen har ingen gode forklaringer på hvordan sårbare digitale verdikjeder ser ut, hvordan vi skal utvikle digitale systemer som i større grad kan lagdele tilgangen til ulike typer informasjon, hvordan dette forholder seg til det lovrevisjonsarbeidet som skal foregå, eller hvordan sektorenes og næringslivets egenberedskap mot digitale trusler skal innrettes. Bør vi for eksempel organisere oss slik at vi har cyberresponsmiljøer mot digitale trusler i alle sektorer, eller er vil det være å spre kompetanseressursene for tynt utover? En stortingsmelding som har som formål å beskrive hvordan vi skal møte sammensatte trusler på en bedre måte burde vært langt mer konkret på det digitale trusselbildet.

Næringslivets sikkerhet og beredskap

Omtalen av næringslivets mangesidige roller er også litt mangelfull. Næringslivet er riktignok nevnt veldig mange ganger, og på alle mulige nivåer som bidragsyter i ulike beredskapsfora, fra det veldig nasjonale til det helt lokale. Problemet er at det ikke er sagt noe mer konkret om hvoran dette skal skje, når det skal skje og hvem som har ansvaret for å få det på plass. Hva vil det si at næringslivet skal være representert? Hvem skal ta den rollen og sørge for at det ikke bare foregår i lukkede rom, men tilfører hele næringsivet verdifull informasjon og kunnskap, og mulighet til å påvirke og medvirke? Og hvilke sektorer skal ha egne sektorstrukturer? Hvem skal støtte opp om næringslivets medvirkning i regionene og i kommunene slik at det ikke blir tidstyver, men bidrar til en verdiøkende helhet?

Det er heller ikke veldig konkrete føringer for hvordan informasjonsutvekslig mellom næringsliv og myndighetsaktører skal utvikles videre, verken når det gjelder behovet for å kommunisere bredt om trusselbildet, eller når det gjelder de smalere behovene for å dele den type informasjon som bare noen nøkkelaktører kan ha tilgang til. Det er noe som også må følges opp. 

(Disclaimer: Og når det gjelder dette siste er det viktig å gjøre oppmerksom på at Halogen, meg selv inkludert, på oppdrag fra Næringslivets sikkerhetsråd (NSR) arbeider med å beskrive udekkede behov i grenseflaten mellom myndigheter og næringsliv. Arbeidet tar sikte på å bekrive konkrete og verdiøkende tjenester og støtte til samhandling. Meldingen er ikke veldig konkret på hva myndighetene vil kunne bidra med for å dekke behovet, noe som gjør det ekstra viktig at næringslivet er tydelige på hva de kan bidra med og hva dette krever av myndighetene).