Veivalg for Nasjonal sikkerhetsmyndighet

Hva skal Nasjonal sikkerhetsmyndighets (NSM) ha som sine kjerneoppgaver og hvilke oppgaver kan løses bedre av andre? Og enda mer presist: Skal NSM konsentrere seg om oppgaver som har med nasjonal sikkerhet å gjøre, det vil si oppgaver som er beskrevet i sikkerhetsloven? Eller skal NSMs kjerneoppaver ligge i rollen som et bredere nasjonalt fagmiljø på digital sikkerhet? 

Et utvalg ledet av Svein Gjedrem, med flere andre kompetente medlemmer har fått i oppdrag av regjeringen å gå igjennom NSMs oppgaver og styring, men det er utvalget som har valgt å spissformulere gjennomgangen av oppgaver og styring til å særlig handle om dette veivalget. Noe må bort. Enten må hovedansvaret for nasjonal sikkerhet i henhold til sikkerhetslovens innramming flyttes ut. Eller så må digital sikkerhet, i hverfall den som er definert langt bredere, inkludert samfunnsikkerhet, virksomehetssikkerhet og oppgaver som gjelder individsikkerhet, overlates til noen andre.

Gjedrem-utvalg nummer to

Forhistorien til dette utvalgsarbeidet er litt spesielt i den forstand at det for litt over det år siden var slikt at det ble avslørt at NSM hadde tatt opp et grunnlovsstridig lån for å betale for husleie og ombygging av sine kontorlokaler på Fornebu, et lån de ikke hadde et stort nok driftsbudsjett til å betjene. Da dette ble oppdraget, og Stortinget måtte vedra en ekstraordinær bevilgning,  ble det satt ned et hurtigarbeidende utvalg ledet av Svein Gjedrem som undersøkte sakens ulike realiteter, og kom med noen avbefalinger om hvordan det burde ryddes opp. 

Basert på denne første Gjedrem-rapporten om NSMs leie- og låneforhold, som jeg skrev om på bloggen her, kom det to konkrete oppfølginger. En Riksrevisjonsrapport som undersøkte statlige etaters husleiekontrakter generelt for å avdekke om det er flere forhold i strid med regelverket (svar: ja, det var noen). Og denne ekspertutredningen som ble oppnevnt for å beskrive historikk, analysere om NSM fungerer etter hensikten, og som gir anbefalinger om endringer i NSMs oppgaver og styring. 

Kanskje ville aldri dette utvalget og denne rapporten kommet om ikke NSM hadde gjort feil i håndteringen av sine leiekontrakter og låneavtaler. Sånn sett kan det komme en viktig og nødvendig diskusjon og rolleavklaring ut av noe som startet et helt annet sted.

Historien om stadig flere oppgaver

Utvalget har skrever en svært leseverdig rapport som går igjennom NSMs historie, hvordan oppgaveporteføljen har vokst i omfang og bredde i takt med at omgivelser og teknologi endrer seg, også hvordan det jevnlig har kommet nye oppgaver som "noen" må løse, som det ikke er helt opplagt hvor passer inn i statsforvaltningen, og som derfor har havnet i NSM. Helt uavhengig av hva man måtte mene om konklusjonene i rapporten, tenker jeg at denne gjennomgangen både er nyttig og klargjørende. Det er en studie i hvordan oppgaver og ansvar kan "migrere" inn i stadig nye områder. Og den legger premisser veivalg og prioriteringer som uansett må gjøres.

NSM ble opprettet i 2003 og har en historie som er nært knyttet til sikkerhetsloven. Datidens sikkerheteslov kom i 1998. Før NSM fantes lå ditte ansvaret for statssikkerheten hos Forsvarssjefens sikkerhetsstab ved Forsvarets overkommando, men ble overtatt av det nye direktoratet. Forsvaret beholdt selv en kjerne av direkte forsvarsrelaterte oppgaver, men styringen av NSM ple plasert i Forsvarsdepartementet. Så vedtok Stortinget en ny og modernisert sikkerhetslov i 2018 som utvalget beskriver slik:

"Ny sikkerhetslov skulle legge grunnlag for at «vi har de virkemidlene som er nødvendige for å ivareta nasjonale sikkerhetsinteresser og forebygge mot sikkerhetstruende virksomhet». Lovens virkeområde er å ivareta «nasjonal sikkerhet», som omfatter den tradisjonelle statssikkerheten og den delen av samfunnssikkerhet som er av vesentlig betydning for statens evne til å ivareta nasjonale sikkerhetsinteresser. Loven trådte i kraft 1. januar 2019."

I 2018 var vi blitt mye mer opptatt av å beskytte prosesser og verdikjeder som er avgjørende for at samfunnet skal fungere, og ikke bare sikkerhetskritiske objekter. Det er også en helt annet og mer kompleks samhandling mellom ulike sektorer og mellom offentlig sektor og private virksomheter som bygger og drifter infrastruktur og systemer som har en rolle inn mot statssikkerhet og nasjonal sikkerhet. De teknologiske løsningene er var helt andre i 2018 enn i 2003, og det var også sårbarhetene.

NSM fikk gjennom den nye loven dermed hovedansvaret for å sørge for å påse at ansvarlige departementer og sektormyndighetene sørger for å definere, plassere ansvar og beskytte grunnleggende nasjonale funksjoner som må være på plass for at landet skal fungere i en krigs- eller krisesituasjon. Omtrent på denne tiden ble også styringen av NSM flyttet fra Forsvarsdepartementet til Justis- og beredskapsdepartementet (JD), men med faglige linjer og roller under begge, og naturligvis med et stort tverresktorelt ansvar som inneværer koordinering av alle departementer og sektorer.

Ansvaret for digital sikkerhet

Så kunne man jo se for seg at denne oppgaveporteføljen, supplert med noen tilgrensende anvarsområder, og viktig faglige og koordinerende roller inn mot NATO, ville gitt NSM mer enn nok store oppgaver. Utvlaget fremhever også at Norge i internasjonal sammenheng har et godt styringsmessig utgangspunkt fordi vi er i den heldige situasjonen at vi har en felles sikkerhetslov og en felles nasjonal sikkerhetsmyndighet som er gitt ansvaret for å forvalte loven. I utgangspunktet veldig ryddig, men så kom det noen andre problemer seilende inn fra siden.

NSM skal ifølge sin egen hovedinstruks utføre en rekke andre oppgaver innen digital sikkerhet, herunder "vedlikeholde et særskilt risikobilde for digital sikkerhet som omfatter statssikkerhet, samfunnssikkerhet og individsikkerhet", og "foreslå tiltak, gi anbefalinger og fremme forslag til krav innen digital sikkerhet i samfunnet, samt følge opp med råd og veiledning. Det er ganske andre oppgaver og et annet nedslagsfelt enn det som ligger i sikkerhetsloven. Utvalget beskriver noe av av baktrunnen for at det er slik:

"NSMs rolle som det nasjonale fagmiljøet innen digital sikkerhet utover sikkerhetsloven bygger på oppgaven NSM hadde som sertifiseringsmyndighet for IT-sikkerhet i produkter og systemer, samt de operative oppgavene med å følge opp varslingssystemet for digital infrastruktur (VDI) og oppgaven som nasjonal responsfunksjon (NorCERT). NSM var også i en årrekke sekretariat for Koordineringsutvalget for informasjonssikkerhet (KIS) som nå er nedlagt. Å gi NSM denne oppgaven hadde også sammenheng med at samordningsansvaret for IKT-sikkerhet på sivil side i 2013 ble flyttet fra det daværende Fornyings-, administrasjons- og kirkedepartementet (FAD) til Justis- og beredskapsdepartementet."

Det kan virke som kombinasjonen av å flytte samordningsansvaret for IKT-sikkerhet på sivil side til Justisdepartementet i 2013 og deretter flyttingen av NSM til Justisdepartmentet i 2019, har gitt den uheldige, og kanskje ikke helt tilsiktede bivirkningen, at når det har dukket opp nye digitale sikkerhetsutfordringer og behov, på helt andre områder enn de sikkerhetsloven definerer, så har det også blitt plassert i NSM. Når man har en etat og har et nytt problem, ja da er det jo fristende å legge ansvaret der. .

Statssikkerhet og samfunnssikkerhet

Det er her Gjedrem-utvalget ber om at det tenkes annerledes. Dels fordi den samlede oppgaveportefølgen er blitt for stor og sprikende, og de ulike grenseflatene mot andre er blitt for mange. Noe som i følge utvalget også bør resultere i at NSM setter ut en del oppgaver de ikke behøver å gjøre i egen regi til andre. I sorteringen av hvordan det bør tenkes annerledes sier Gjedrem-utvalget at en i myndighetens sikkerhetsarbeid gjør lurt i å ha skille mellom statssikkerhet og samfunnssikkerhet. 

Figuren til venstre er tatt inn i utvalgets rapport og er hentet fra lovproposisjonen og sikkerhetsloven, der den fungerte som en illustrasjon på hvordan "nasjonal sikkerhet", sikkerhetslovens formål, kan avgrenses. Utvalget skriver at:

"(Figuren) er hentet fra forarbeidene til sikkerhetsloven og skal illustrere at nasjonal sikkerhet omfatter statssikkerhet og deler av samfunnssikkerheten. Figuren skal videre illustrerer hvorvidt utvalgte sentrale nasjonale funksjoner og interesser understøtter statssikkerhet eller samfunnssikkerhet. Det understrekes i proposisjonen at det er krevende å plassere de enkelte funksjonene og at de fleste vil kunne berøre både stats- og samfunnssikkerheten. Figuren er en forenkling, men kan bidra til forståelse dersom den tolkes med varsomhet. Figuren kan trolig raffineres ved for eksempel å inkludere «virksomheters sikkerhet» i tillegg til «individets sikkerhet» som en kategori."

Utvlget sier ikke at statssikkerhet, samfunnssikkerhet og virksomhetssikkerhet er helt separate områder som ikke skal henge sammen styringsmessig. Figuren viser jo nettopp hvordan ulike sektorer og funksjoner i samfunnet går på tvers. Men det de sier at vi trenger noen som har som hovedoppgave å ha det overordnede ansvaret for den nasjonale sikkerheten og de oppgavene sikkerhetsloven beskriver, så er det en rekke andre aktører som kan og bør ha hovedansvaret for andre samfunnssikkerhetsroller.

Men i stedet for å arbeidet i retning av mer rendyrking og tydeliggjøring, har det i følge utvalget blitt lagt til enda flere nye oppgaver i porteføljen til NSM i årenes løp, men uten at det er tatt oppgaver ut. Mange av disse opgavene ligger et godt stykke unna kjeneoppgavene som er definert av sikkerhetsloven. NSMs oppgaveportefølje ble ytterligere utvidet så sent som i 2024, da ansvaret for Norsk senter for informasjonssikring (NorSIS) og oppgaver fra det tidligere interkommunale selskapet Kommune-CSIRT ble overført. Og utvalget skriver videre at:

"Videre er NSM tiltenkt flere nye oppgaver i ny forskrift til digitalsikkerhetsloven som etter planen skal tre i kraft i løpet av 2025.30 NSMs portefølje av oppgaver kan også bli endret i den nye loven om grunnsikring av virksomheter som ble varslet i Totalberedskapsmeldingen regjeringen la fram i januar 2025"

Hovedveivalg med konsekvenser

Gjedrem-utvlaget ber derfor om et hovedveivalg når det gjelder hva som er NSMs kjernevirksomhet. Det kan høres enkelt ut, men problemet er selvfølgelig at de oppgavene som velges bort ikke forsvinner som viktige samfunnsutfordringer av den grunn, men må finne et nytt og minst like bra hjem et annet sted i statsforvaltningen. Hvis NSM skal konsentrere seg mer om kjeneoppgavene i henhold til sikkerhetsloven må noen andre ta på seg å være det ledende fagmiljøet for digital sikkerhet. 

Og hvis man motsatt vil at NSM skal redyrkes som det ledende digitale sikkerhetsmiljøet for samfunnssikkerhet, virksomhetssikkerhet og invividsikkerhet, med roller inn mot statlig forvaltning, komunal forvaltning og tjenesteproduksjon, næringsliv og innbyggere, ja da må statssikkerhetsrollen og mye av det NSM gjør for forsvaret, nasjonalt og internasjonalt, finne et annet og minst like bra hjem. Og for eksempel tilhøre Forsvarsdepartementet igjen. Uansett hovedmodell vil både departementstilkytning og grenseflater mot andre etater og sektorer være krevnede å avklare, for sektorene våre passer ikke alltid like godt sammen med trusselbildet som før.

Utvalget er helt tydelige på hva hovedveivalget bør være. NSM skal konsentrere seg om nasjonal sikkerhet og oppgavene som er definert av sikkerhetsloven. Den forebyggende digitale samfunnsikkerheten bør finne et nytt hjem. De er mindre tydelige på hvordan de øvrige oppgavene og rollene skal håndteres, og hvordan de som skal plukke opp bitene som ikke passer inn i det nye NSM skal gjøres i stand til å ta den rollen på en forsvarlig måte.

Anbefalinger fra utvalget

Rapportens sammendrag i kapittel 1 har en fin opplisting av de konkrete tiltakene og de endringene utvalget mener er nødvendige. Alle tiltakene henger sammen med en helt overordnet anbefaling som er formulert slik:

"NSMs kjerne bør være de oppgavene som følger av sikkerhetsloven. Loven stiller krav til det nasjonale sikkerhetsarbeidet. NSM bør konsentrere seg om disse oppgavene og være i stand til å løse dem med høy kvalitet. Dette er også i tråd med utvalgets mandat som sier at den sikkerhetspolitiske utviklingen og utviklingen i risikobildet for nasjonal sikkerhet skal være førende for vurderingene."

Utvalget er også tydelige på at modellen med én sikkerhetslov og én sikkerhetsmyndighet fungerer godt i Norge og at vi ikke må søke etter mer fragmenterte modeller, slik de har i en del andre land. De gir tvert imot uttrykk for at vi må ble enda mer enhetlige i den forstand at NSMs oppgaver etter sikkerhetsloven bør bli enda klarere. NSM må også ha viktige oppgaver innen digital sikkerhet etter sikkerhetsloven. Hvilke konkrete oppgaver dette er listes opp i rapporten.

Med utgangspunkt i denne hovedretningen har utvaglet en serie andre anbefalinger som henger sammen med denne hovedretningen, men der det helt sikkert er mulig å gjøre noen tilpasninger og varianter, så lenge de ikke ødelegger for hovedretningen. Det er fem ting i dette jeg vil trekke fram:

For det første mener utvalget at begreper som brukes i styringen av NSM må gi en presis beskrivelse av NSMs oppdrag, og skriver at 

"Ord som «overordnet», «sektorovergripende ansvar» og «nasjonal responsfunksjon» kan gi inntrykk av at NSM skal lede, gripe inn og gi alle sikkerhet. Ansvar for sikkerheten ligger hos de enkelte departementene og virksomhetene som er underlagt sikkerhetsloven. NSM skal bistå de ansvarlige blant annet ved å gi råd, veilede og å føre tilsyn. Justis- og beredskapsdepartementet og Forsvarsdepartementet bør presisere i hovedinstruksen hva NSMs oppgaver etter sikkerhetsloven er".

Ansvar tilbake til DFD 

For det andre må omfanget av NSMs oppgaver innen digital sikkerhet utenfor sikkerhetsloven reduseres. Utvalget skriver flere steder om hva slag oppgaver det er:

"NSM betegnes i hovedinstruksen som «det nasjonale fagmiljøet for digital sikkerhet». Med et slikt utgangspunkt har det trolig vært lett å legge nye oppgaver på dette området til NSM. Men instruksen overvurderer direktoratets rolle; NSM er ett blant flere digitale fagmiljøer. Direktoratets oppgaver er nå for mange, og de favner for bredt. Det svekker NSMs kapasitet til å fylle funksjonen som sikkerhetsmyndighet etter sikkerhetsloven. Oppgaver innen digital sikkerhet utenfor sikkerhetsloven bør overføres til andre. (...) NSM bør for eksempel ikke ha som oppgave å gi informasjon, råd og veiledning til statlig og kommunal sektor, private virksomheter og enkeltpersoner utenfor sikkerhetslovens virkeområde, drifte Norsk senter for informasjonssikring (NorSIS) eller vedlikeholde grunnprinsipper for IKT-sikkerhet. NSM bør heller ikke ha et hovedansvar for å koordinere aktiviteter som faller utenfor sikkerhetsloven."

For det tredje mener utvalget at det nye Digitaliserings- og forvaltningsdepartementet (DFD) bør få ansvaret for digital sikkerhet utenfor sikkerhetsloven. De går ikke i dybden på hvordan det skal plasseres helt konkret, men slår fast at en reversering av flyttingen av ansvaret for digital sikkherhet i 2013 er naturlig nå når vi har et eget digitaliseringsdepartement. Og sier også at:

"DFD skal bidra til å styrke statens og samfunnets evne til å bruke potensialet og håndtere utfordringene som digital teknologi skaper. Departementet skal være en pådriver og samordne regjeringens politikk, også innen kunstig intelligens. Oppgaven DFD har med å vurdere hvilke muligheter digitalisering kan gi, bør ikke være løsrevet fra oppgaven med å vurdere hvilke konsekvenser disse mulighetene kan ha for den digitale sikkerheten. Det vil derfor etter utvalgets syn være riktig at dette departementet får som oppgave å samordne regjeringens arbeid med digital sikkerhet utenfor sikkerhetsloven. De oppgavene som utvalget foreslår tatt ut av NSM, bør legges til en eller flere etater under dette departementet."

Roller og grenseflater mot andre 

For det fjerde mener utvalget at NSM bør sette ut flere operative oppgaver til andre. Sikkerhetsloven og forskrifter åpner for at flere av oppgavene som NSM selv utfører, kan settes ut. Dette gjelder blant annet oppgaven med å gjennomføre tekniske sikkerhetsundersøkelser, og hvis NSM gjør det selv må de kunne ta betalt for kostnadene. Et beslektet tema utvlaget tar opp er at flere tilsyn bør kunne gjennmføre tilsyn etter sikkerhetsloven. De skriver at:

"Flere tilsynsmyndigheter bør føre tilsyn etter sikkerhetsloven. NSM fører tilsyn med at sikkerhetsloven blir fulgt opp, både med departementene, etater, lokale myndigheter og virksomheter. I fem sektorer hittil har ansvarlig departement gitt oppgaven med å føre tilsyn etter sikkerhetsloven til myndigheten som fører tilsyn i sektoren. Dette er en god ordning som bør brukes i flere sektorer."

Og for det femte så bør grensesnittet mot Direktoratet for samfunnssikkerhet og beredskap (DSB) bli klarere. DSB bistår Justis- og beredskapsdepartementet med å koordinere arbeidet med samfunnssikkerhet og beredskap og har ledet arbeidet med å identifisere kritiske samfunnsfunksjoner på et bredere område enn det som er sikkerhetslovens nedslagsfelt. Utvalget ønsker ikke å slå sammen de ulike rammeverkene for å definere samfunnssikkerhet, men mener det er behov for mer samarbeid og samordning, og skriver at:

"(Rammeverkene) har både ulike formål og virkeområder, der arbeidet med kritiske samfunnsfunksjoner favner vesentlig videre enn sikkerhetsloven. Utvalget mener sikkerhetslovens formål og virkeområde i dag er hensiktsmessig og fungerer etter intensjonen. Det er likevel behov for at formål og virkeområde og grensesnitt mellom rammeverkene gjøres klarere og formidles på en pedagogisk måte. Videre må oppgavefordeling og grensesnitt generelt mellom DSB og NSM avklares og gjøres tydelig i direktoratenes hovedinstrukser."

Jeg synes alt i alt at utvlagets anbefalinger er både klargjørende og gode. Og at de bør følges opp med på politisk nivå. Tidspunktet virker også riktig sett i lys av Totaberedskapsmeldingen og Langtidsplanen for forsvaret. Så får vi se om noen tar tak i dette, eller om det blir for vanskelig akkurat nå.

Grundig og brutalt fra Riksrevisjonen

Noen ganger kommer det riksrevisjonsrapporter som er en sann åpenbaring å lese fordi de gir innsikt og oversikt som ikke finnes noe annet sted. Om sammenhenger og om systemutfordringer. De gir innsikt i hvorfor problemer ikke blir løst, hvorfor mål ikke blir nådd, konsekvensene av at ansvar ikke er plassert og at roller ikke er forstått. Og de nøster i hvordan og hvorfor de tiltakene og det samarbeidet som er nødvendig for å løse et stort problem likevel ikke skjer.

Riksrevisjonens forvaltningsrevisjon om Myndighetenes samordning av arbeidet med digital sikkerhet i sivil sektor (pdf-versjon her) er en slik rapport. Er grundig dokument som gir nettopp innsikt og oversikt. Ved å zoome ut og se på helheten, og ved å zoome inn og se på hva som skjer i praksis i konkrete situasjoner der samarbeid er avgjørende for å håndtere hendelser eller få løst samfunnskritiske floker.

Nedsiden med virkelig gode riksrevisjonsrapporter er selvfølgelig at noen henges grundig ut for å ikke ha gjort jobben sin. I dette tilfellet gjelder det flere aktører på samfunnssikkerhetsområdet, men i særdeleshet Justis og beredskapsdepartementet (JD) som både har styringsansvaret for de sentrale etatene som håndterer den digitale sikkerheten og for den tverrsektorielle samordningen når det gjelder nasjonal sikkerhet og samfunnssikkerhet, også på det digitale området. Og JD har naturligvis også ansvaret når ulike tiltak som er varslet i deres stortingsmeldinger og strategier ikke er gjennomført.

Riksrevisjonens forvaltningsrevisjon er på over 180 sider i alt. Den består av en hovedrapport, et brev fra Justisminister Emilie Enger Mehl som prøver å forklare at JD er på ballen og gjør noe, men uten å egentlig svare på kritikken, og innledningsvis er det et sammendrag av hovedpunktene i kritikken. Man får et bra overblikk av å lese de første ca 25 sidene med hovedpunkter og statsrådens svar. Men for de som er særlig interessert i den eksplosive kombinasjonen av utilstrekkelig og til dels dysfunksjonell tverrsektoriell koordinering og styring på den ene siden, og på den andre siden samfunnskritiske sikkerhetsutfordringer som krever nettopp tverrsektoriell koordinering og styring, er det mye viktig informasjon som bare finnes i selve hovedrapporten. Det kan anbefales å lese den.

Undersøkelsens poeng er å se på hvordan Justis- og beredskapsdepartementet samordner arbeidet med digital sikkerhet i sivil sektor i fredstid. Riksrevisjonen omtaler jobben slik: 

"Undersøkelsen er rettet mot Justis- og beredskapsdepartementets samordnings- og pådriveransvar. Vi har belyst ulike temaer og tiltak på det digitale sikkerhetsområdet, herunder tilsynsvirksomhet, gjennomføring av nasjonale øvelser og arbeidet i samordningsarenaer på området. Vi har også undersøkt i hvilken grad målet om samordnet veiledning og hendelseshåndtering er oppnådd. (...) Vi har forsøkt å belyse de mulige konsekvensene av en eventuell svak samordning på de enkelte områdene. I denne undersøkelsen defineres begrepet digital sikkerhet på samme måte som det defineres i Nasjonal strategi for digital sikkerhet. Der går det fram at digital sikkerhet er beskyttelse av alt som er sårbart fordi det er koblet til eller på annen måte avhengig av informasjons- og kommunikasjonsteknologi. Vi bruker digital sikkerhet synonymt med begreper som IKT-sikkerhet og cybersikkerhet."

Riksrevisjonen har tatt utgangspunkt i tre ganske enkle og overordnede problemstillinger formulert som spørsmål. De er: 1) Bidrar myndighetenes samordning av roller, ansvar og krav til å ivareta den digitale sikkerheten? 2) Har Justis- og beredskapsdepartementet en helhetlig oversikt over den nasjonale digitale sikkerhetstilstanden?, og 3) Ivaretar Justis- og beredskapsdepartementet samordningsrollen for den digitale sikkerheten på samfunnssikkerhetsområdet på en god nok måte? Og det korte oppsummerende svaret Riksrevisjonen gir er at:

"Undersøkelsen viser at det er flere utfordringer med samordningen av arbeidet med digital sikkerhet som ikke har blitt håndtert. Justis- og beredskapsdepartementet har ikke sørget for at samordningen av roller, ansvar og krav er god nok når det gjelder dette arbeidet. Vi finner også at Justis- og beredskapsdepartementet ikke har tilstrekkelig oversikt over den nasjonale digitale sikkerhetstilstanden, særlig fordi departementenes arbeid med å kartlegge virksomheter som understøtter grunnleggende nasjonale funksjoner, går for sakte. Justis- og beredskapsdepartementet følger i liten grad opp hvilken effekt tiltakene i nasjonale strategier på det digitale sikkerhetsområdet har, og siden 2016 har de ikke sørget for at det på nasjonalt nivå har blitt øvd godt nok på å håndtere alvorlige digitale angrep som treffer flere sektorer. Det er Riksrevisjonens vurdering at Justis- og beredskapsdepartementet med underliggende etater ikke ivaretar pådriver- og samordningsansvaret godt nok til å møte utfordringene på det digitale sikkerhetsområdet. Dette medfører risiko for at funksjoner som er kritiske for både stats- og samfunnssikkerheten, ikke er godt nok beskyttet mot digitale angrep, og at alvorlige digitale angrep ikke håndteres effektivt."

Dette er en veldig overordnet kritikk som favner mange ulike ting. Noe skyldes mangelfull rydding og sortering av ansvar, roller som til dels går langt tilbake i tid. Andre forhold handler om ting som er varslet som viktige tiltak i nyere tid, blant annet i en stortingsmelding og i strategien for digital sikkerhet fra 2019. Og noen nye utfordringer har kommet i forbindelse med nytt lov og regelverk, som ny sikkerhetslov og ny samfunnssikkerhetsinstruks. Riksrevisjonen har sortert sin kritikk i fire hovedkategorier, og jeg vil kommentere noen av de viktigste funnene under hver av disse overskriftene Riksrevisjonen bruker:

"1. Svak samordning av roller, ansvar og krav gjør arbeidet med digital sikkerhet krevende for virksomhetene."

Jeg kan begynne med lov og regelverket som gjelder for samfunnssikkerhetsområdet. Riksrevisjonen har gått igjennom det lovverket som er relevant for digital sikkerhet og hvordan overlapp mellom ulike lover og forskrifter skaper utfordringer for virksomhetene som skal finne ut hva de skal gjøre i sitt forebyggende sikkerhetsarbeid. 

Vi kan begynne med det som gjelder departementene og de statlige virksomhetene selv. Her skaper det åpenbart en del forvirring av man må forholde seg til to sett med regelverk som er delvis overlappende, men har litt ulike formål: Sikkerhetsloven som trådte i kraft i 2019 og som fastsetter en prosess for å definere grunnleggende nasjonale funksjoner som må beskyttes, og deres avhengigheter. Den gjelder staten, fylkene og kommunene, men også noen private aktører som har ansvar for viktige funksjoner og infrastruktur. Og så har vi Samfunnssikkehetsinstruksen kom i 2017 og stiller krav til departementenes arbeid med samfunnssikkerhet, herunder at man avklarer og beskriver roller og ansvarsområder innenfor samfunnssikkerhet i sin sektor, gjør systematiske risiko- og sårbarhetsanalyser av hendelser som kan true sektorens funksjonsevne, iverksetter nødvendige kompenserende tiltak og utarbeider mål for samfunnssikkerhetsarbeidet. Dessuten har departementet ansvar for håndtering av kriser, noe som betyr at det må være et planverk og det må jevnlig gjennomføres øvelser, også på det digitale samfunnssikkerhetsområdet.

Hvorfor må departementene forholde seg til, planlegge for og rapportere innenfor to ulike, men delvis overlappende sett med lov- og regelverk? Her overlater jeg til Riksrevisjonen å svare:

"Myndighetene har ulike rammeverk for å identifisere grunnleggende nasjonale funksjoner og tilhørende avhengigheter og for å identifisere samfunnets kritiske funksjoner og understøttende virksomheter. Direktoratet for samfunnssikkerhet og beredskap utgav Veileder for samfunnets kritiske funksjoner i 2016, mens Nasjonal sikkerhetsmyndighet utgav Veileder i departementenes identifisering av grunnleggende nasjonale funksjoner i 2020. Veilederne redegjør for sentrale begreper og metoder i prosessen med å identifisere og vurdere de nevnte funksjonene og tilhørende avhengigheter / understøttende virksomheter. 

Grunnen til at det er etablert to rammeverk, er at rammeverket for samfunnets kritiske funksjoner gjelder samfunnssikkerhet, mens rammeverket for grunnleggende nasjonale funksjoner gjelder nasjonal sikkerhet. Nasjonal sikkerhet er definert som statssikkerhet og en avgrenset del av samfunnssikkerhetsområdet som er av vesentlig betydning for statens evne til å ivareta nasjonale sikkerhetsinteresser. (...) Som følge av at disse områdene overlapper, er det også deler av samfunnets kritiske funksjoner som overlapper med grunnleggende nasjonale funksjoner. Nasjonal sikkerhetsmyndighet oppfordrer derfor departementene om å benytte Direktoratet for samfunnssikkerhet og beredskaps rammeverk for samfunnets kritiske funksjoner i arbeidet med å identifisere og vurdere grunnleggende nasjonale funksjoner. Direktoratet for samfunnssikkerhet og beredskap viser også til at rammeverkene har ulike formål, og at det er ulik grad av forpliktelse knyttet til rammeverkene..."

Det står noe mer om forskjellene mellom de to rammeverkene også, uten at det nødvendigvis blir krystallklart av den grunn, og Riksrevisjonen peker også på at det i følge DSB er en del forvirring i departementene fordi de må forholdes seg til to ulike rammeverk som dekker omtrent samme temaer, men er delt opp på litt ulike måter og krever litt ulik oppfølging. 

Hva så med virksomheter ellers i samfunnet, offentlige og private, som ikke er underlagt sikkerhetsloven, men som har en rekke digitale samfunnssikkerhetsutfordringer de må forholde seg til? Og som lurer på hvilke krav som gjelder for dem og hva de skal gjøre. I Riksrevisjonens rapport kan vi lese at de har identifisert og gått igjennom 6 generelle og 15 sektorspesifikke lover som berører virksomheters arbeid med digital sikkerhet. Riksrevisjonen skriver:

"Som nevnt finnes det en rekke regelverk som direkte omhandler eller som berører virksomheters arbeid med digital sikkerhet. Overordnet kan regelverkene deles inn i generelle lover, for eksempel sikkerhetsloven og personopplysningsloven, og sektorspesifikke lover, for eksempel energiloven og helseregisterloven. Vi har identifisert og gjennomgått seks generelle og 15 sektorspesifikke lover med tilhørende forskrifter"

10 av disse 15 sektorspesifikke lovene inneholder i følge Riksrevisjonen krav om digitale sikkerhetstiltak. Og for å komplettere oversikten ytterligere har de gått igjennom 36 veiledere knyttet til det generelle lovverket og 16 veiledere knyttet til det sektorspesifikke lovverket for å se om disse henger sammen. Konklusjonen er at de verken er samordnet eller brukervennlige. Og det pekes på at det til tross for mange og overlappende lover, forskifter og veiledere ikke er så lett å finne konkrete råd om hva man skal gjøre fordi lovverket i stor grad er funksjonsorientert og prosessorientert (hvordan man skal arbeide for å ha tilstrekkelig oversikt over risiko og tilfredsstillende sikkerhet, men ikke hva dette er eller hva man konkret skal gjøre), 

Mange digitale sikkerhetsutfordringer må løses på tvers av virksomheter og sektorer. Derfor må flere departementer, etater og andre virksomheter må være involvert. Og de må være involvert på en måte der de ikke bare går på noen møter og får informasjon, men faktisk planlegger og organiserer seg for å løse problemer sammen. Digital teknologi bidrar nok også til at mange utfordringer blir enda mer sektorovergripende enn før. Riksrevisjonen viser at den norske modellen har vært å opprette "samordningsareaner" mellom virksomheter, med litt ulike lederskap og med delvis overlappende deltagerkretser, for å finne ut av disse utfordringene. Og Riksrevisjonen har funnet hele 19 ulike samordningsarenaer for myndighetenes arbeid med digital sikkerhet. 

Der er det er ikke bare mye overlapp i deltagerkretsen, men også i hvilke oppgaver de skal løse. I noen tilfeller her samme oppgave flere samordningsarenaer med ulikt lederskap. Noen steder kan det være hull. Men felles for de fleste av disse arenaene (ikke alle) er at de har et lavt aktivitetsnivå, lave strategiske ambisjoner og nøyer seg med å være steder der man deler informasjon. Av disse 19 samordningsarenaene er 16  rettet mot myndighetenes forebyggende arbeid med digital sikkerhet. De tre siste er rettet mot hendelseshåndtering: Kriserådet, Felles cyberkoordineringssenter og Nasjonalt cybersikkerhetssenter.

Rapporten gjør et dypdykk ned i noen av disse 19 samordningsarenaene for å finne ut om det der skjer noen faktisk samordning av betydning, for eksempel i form av felles planer og tiltak. Resultatet er temmelig nedslående. Rapporten ser også på hvordan de sektorvise responsmiljøene som skal håndtere digitale sikkerhetshendelser er satt opp og fungerer. Og om det er områder som ikke er ivaretatt. Også her er noe som fungerer bra, for eksempel finanssektoren og eksrektoren har kommet langt, mens andre har kommet veldig kort.

Denne delen av Riksrevisjonens rapport inneholder også en vurdering av det digitale sikkerhetsarbeidet i kommunesektoren (Her kan det virke som KDD og JD ikke engang er helt enige om hvilket av departementene som har det faglige lederansvaret), de har sett på digital sikkerhet som tema i etatsstyringen av underliggende virksomheter og på samordning av de ulike tilsynsorganene på det digitale sikkerhetsområdet.

"2. Justis- og beredskapsdepartementet har ikke sørget for god nok informasjon om den nasjonale digitale sikkerhetstilstanden."

Det kan kanskje høre ut som en litt underlig problemstilling at man må undersøke om det ansvarlige departementet sørger for god nok informasjon til seg selv og andre, men dette er faktisk en stor problemstilling. Riksrevisjonen peker på at departementene nå særlig nevner innføring av ny sikkerhetslov som et informasjonsproblem. I forbindelse med implementeringen av ny sikkerhetslov er det slik at departementene skal identifisere "grunnleggende nasjonale funksjoner" som er sentrale for nasjonal sikkerhet. I den forbindelse må det også kartlegges ulike avhengigheter grunnleggende nasjonale funksjonene har i egen sektor og på tvers av sektorene. For eksempel hvilke funksjoner (strøm, tele, vann, transport?) man er avhengige av fra andre sektorer for å fungere. Dette arbeidet er forsinket og er noe av det som må være avklart for at informasjonsflyten om tilstanden på sikkerheten skal fungere. 

Riksrevisjonen peker også på at det noen ganger settes i gang prosesser og utredninger for nettopp for å nøste i komplekse digitale sikkerhetsutfordringer. De blir kanskje publisert, men ting stopper opp før det blir noen oppfølging. Et interessant eksempel på dette omtales i rapporten:

"Høsten 2019 leverte Direktoratet for samfunnssikkerhet og beredskap rapporten Risikostyring i digitale verdikjeder til Justis- og beredskapsdepartementet. Rapporten ble utgitt i januar 2020. Et sentralt funn i rapporten er at myndighetene i begrenset grad kan styre sikkerheten i de digitale verdikjedene direkte. De fleste digitale verdikjedene strekker seg utenfor Norges grenser og opereres i stor grad av private leverandører og underleverandører. Direktoratet for samfunnssikkerhet og beredskap forteller at de ikke har mottatt noen konkret oppfølging av rapporten fra Justis- og beredskapsdepartementet, men at de ba om å få legge den ut på nettsidene sine. Utover dette har ikke Direktoratet for samfunnssikkerhet og beredskap fått flere oppdrag knyttet til rapporten. Det er heller ikke planlagt noen konkret oppfølging eller implementering av rammeverket."

Et annet nokså pussig forhold Riksrevisjonen omtaler er at i  henhold til samfunnssikkerhetsinstruksen skal departementene som et ledd i arbeidet med samfunnssikkerhet utarbeide og vedlikeholde systematiske risiko- og sårbarhetsanalyser. Det er en lengre omtale i Riksrevisjonens rapport om hvordan dette arbeidet foregår og hva informasjonskildene er. Men så skriver de at Justisdepartementet ikke bruker noen av disse analysene fra departementene i sitt arbeid med å holde oversikt over sikkerhets- og sårbarhetstilstanden:

"Justis- og beredskapsdepartementet forteller i intervju at de ikke bruker departementenes risiko- og sårbarhetsanalyser som kilde for å holde oversikt over den digitale sikkerhetstilstanden. Selv om departementene vurderer sårbarheter i egne sektorer i disse analysene, er Justis- og beredskapsdepartementet usikker på om de dekker den digitale sikkerheten godt nok til å gi innsikt i den digitale sikkerhetstilstanden. Siden departementene utfører risiko- og sårbarhetsanalysene på ulike måter, antar Justis- og beredskapsdepartementet at arbeidet med å sammenstille analysene ville ha vært for ressurskrevende og utfordrende sammenlignet med det utbyttet de hadde fått igjen for det."

Så kan man jo lure på hva vitsen er med å legge masse arbeid i å produsere en analyse for hvert departement som ikke brukes av de som er satt til å ha det overordnede ansvaret for å skaffe og analysere informasjon om sikkerhetstilstanden.

"3. Justis- og beredskapsdepartementet har ikke sørget for god nok oppfølging av Nasjonal strategi for digital sikkerhet."

Samfunnssikkherhetsområdet er ganske rikt på utredninger og strategier, og det kom også en egen stortingsmelding om digital sikkerhet i 2017 som ble fulgt opp av en Nasjonal strategi for digital sikkerhet i 2019. Dette er gode dokumenter, og Riksrevisjonen peker på at noen av tiltakene her også gjentar tiltak som er presentert i tidligere strategier og meldinger, Problemet er at de av ulike grunner ikke blir fulgt opp slik de burde. Selv om ansvar er plassert og frister er satt, avdekket en statusgjennomgang gjort av JD i 2021 at av de 63 tiltakene i tiltaksoversikten fra Nasjonal strategi for digital sikkerhet var mye ikke gjennomført og noe var ikke igangsett i det hele tatt. Pandemien forsinket nok enkelte ting, men Riksrevisjonen skriver også at:

"I tiltaksoversikten står det at tiltakene skal understøtte målene i strategien, men det går ikke fram i hvilken grad tiltakene er tilstrekkelige til å nå målene i strategien, eller om det er deler av strategien hvor det ikke er planlagt eller iverksatt tilstrekkelige tiltak. Etter vår vurdering burde det ha vært gjort en vurdering av hvordan tiltakene understøtter målene i strategien. Det burde også ha gått klart fram om det er områder i strategien hvor det mangler tiltak. Justis- og beredskapsdepartementet har ikke oppdatert tiltaksoversikten med nye tiltak eller endringer i pågående tiltak. Dette ville gitt myndighetsaktørene en bedre samlet oversikt over sentrale tiltak som er iverksatt for å ivareta og styrke den nasjonale digitale sikkerheten."

"4. Justis- og beredskapsdepartementet har ikke lagt godt nok til rette for tverssektoriell hendelseshåndtering."

Som en del av samordningsrollen på samfunnssikkerhetsområdet har Justis- og beredskapsdepartementet også ansvar for å gjennomføre nasjonale øvelser og sørge for at problemstillinger på tvers av flere sektorer blir håndtert rent operativt, også når hendelser inntreffer. Dette handler også om å ha et felles rammeverk for digital hendelseshåndtering, tekniske systemer for varsling av uønsket aktivitet og kommunikasjon mellom beredskapsaktører. I denne delen av rapporten får Nasjonalt Cybersikkerhetssenter ros av flere, men mye annet i etatene, i de tekniske systemene for varsling, øvelser og i selve håndteringen av konkrete hendelser får kritikk. Riksrevisjonen oppsummerer denne delen av ut utfordringen slik:

"En annen del av Justis- og beredskapsdepartementets samordningsrolle på samfunnssikkerhetsområdet går ut på å gjennomføre nasjonale øvelser og Dokument 3:7 (2022–2023) 22 sørge for at utfordringer på tvers av flere sektorer blir håndtert. Sentrale tiltak omfatter blant annet å få på plass et felles rammeverk for digital hendelseshåndtering og tekniske systemer for varsling av uønsket aktivitet og kommunikasjon mellom beredskapsaktører. Undersøkelsen viser at gjennomføringen av flere av disse tiltakene er forsinket og at viktige elementer av tverrsektoriell hendelseshåndtering ikke har blitt øvet som planlagt."

Så langt beskrivelsene fra Riksrevisjonen. Deres jobb er å avdekke og beskrive problemene og fortelle Stortinget og allmennheten dersom noe som er blitt lovet ikke er gjennomført. Riksrevisjonen har ikke nødvendigvis svarene på hva som skal gjøres og i hvilken rekkefølge, men de peker på hvem som har ansvaret for å finne disse svarene. I dette tilfellet handler det om Justis og beredskapsdepartementet, men også om de sentrale sikkerhets- og beredskapsetatene og de øvrige departementene.

Hva skal myndighetene så gjøre for å få sortert ut og få løst våre digitale sikkerhetsutfordringene inne i all denne kompleksiteten? Med alle lovverkene og alle samordningsarenaene. Det kan virke umulig å få en god nok oversikt til å vite hvor man skal begynne og hva som har effekt. Ikke minst hvor det er hindringer og motkrefter som står i veien for et mer operativt tverrgående samarbeid som my ryddes av veien. For politikere som blir satt inn for å lede alt dette, og har ansvar for å gjøre noe, kan man lett bli temmelig overveldet når man langt fra er noen ekspert på verken sikkerhet, digitale trusler eller forvaltningens prosesser på tvers. En ting er å ha oversikt over etater, ansvarsområder, lover og budsjetter i egen sektor, men her krever Riksrevisjonen, og helt sikkert også Stortinget, at de ansvarlige lederne skal løse utfordringer på tvers av flere statsråders ansvarsområder. Hvordan går man egentlig løs på en slik oppgave?

Her har Riksrevisjonen levert en bra begynnelse på den jobben. Man kan til og med se på dette som et første trinn i en stor systemdesignprosess der de har kartlagt og beskrevet nåsituasjonen. De har tatt utgangspunkt i  overordnede samfunnsmål, kartlagt aktørbildet, sett på hvilke lover, forskrifter og veiledere som er relevante, gjennomgått tiltakene som er lovet i meldinger og strategier, undersøkt samordningsarenaer som er satt opp for å løse tverrsektorielle problemer, men ikke fungerer, og laget oversikter over hva som er gjort og ikke gjort. Her er det enormt mye kunnskap om prosesser og avhengigheter som ikke er vist frem på denne måten før. 

Helst burde dette også bli visualisert i et eller flere store systemkart for å gjøre det lettere å få oversikt over hvordan alt dette henger sammen. En bedre helhetsoversikt skaper et bedre diskusjonsgrunnlag når man skal skape en felles forståelse av utfordringen og hvor de kritiske koblingene i systemer er. Den er også til hjelp når man skal  finne punktene der man bør sette inn innsatsen. Og jeg tror en slik systemorientert designtilnærming er en god metode også i fortsettelsen av dette arbeidet, når de ansvarlige skal involvere, sortere, prioritere og organisere dette økosystemet av aktører som nå må finne bedre måte å samarbeide om å løse problemer. En redesign av systemet. Roller og ansvar må tydeliggjøres og lovverk og prosesser bør strømlinjeformes og forenkles. Kanskje det da hadde vært nyttig med en form for veikart for den videre prosessen også, med hva som skal gjennomføres og i hvilken rekkefølge. For om tre år kommer Riksrevisjonen tilbake for å undersøke om det har skjedd noe med problemene de påpekte sist.

Jeg tenker også at mange av aktørene i dette komplekse samspillet av etater og organer nå har en egeninteresse i få opp noen slike systemkart som beskriver sammenhenger og kompleksiteter i dagens system, gjerne supplert med et målbilde som viser hvordan ting kan og bør være skrudd sammen i fremtiden, og som kan fungere som et rammeverk for en bedre diskusjon. Det er også lurt hvis vi ønsker virksomheter som ikke gjør hver sine ting hver for seg, men faktisk lager felles strategier og planer. Riksrevisjonens del av jobben er ferdig. Nå er det de myndighetene som blir kritisert som må vise at de kan levere. De som eier beskrivelsen av dagens virkelighet, beskrivelsen av hvordan en bedre fremtid kan se ut og veikartet som viser hvordan vi kan komme dit, legger premissene hvor hva som skal skje videre. Det blir spennende å se om DSB, NSM eller Justis- og beredskapsdepartementet vil ta den lederrollen.