Totalberedskapsmeldingen

Regjeringen la forrige fredag frem en Totalberedskapsmelding, et dokument som handler om hvordan vi skal forberede samfunnet bedre på alvorlig krise og krig. Stortingsmeldingen er en oppfølging av Totalberedskapskommisjonens rapport "Nå er det alvor - Rustet for en usikker framtid", som kom i 2023.

Er dette en god Stortingsmelding, gitt temaets alvorlighetsgrad og store kompleksitet, på tvers av sektorer, forvaltningsnivåer, offentlig-privat-frivillig og landegrenser? Den er i hvert fall langt bedre enn den temmelig slagordpregede og proteksjonistiske stortingsmeldingen om "Nasjonal kontroll og digital motstandskraft for å ivareta nasjonal sikkerhet" (jeg blogget om den her) fra 2022, som åpenbart kom før regjeringen hadde satt seg ordentlig inn i utfordringsbildet, eller avklart egne prioriteringer og strategier.

Den nye Stortingsmeldingen holder et høyere nivå og henviser naturligvis ganske mye til både Forsvarskommisjonen, Totalberedskapskommisjonen, Langtidsplanen for Forsvaret, sikkerhetsmyndighetenes risikovurderinger og NATOs og EUs ulike analyser og strategier. Vi vet at vi på en del områder ikke er så godt rustet for å møte alvorlige kriser, sammensatte trusler og cyberangrep  som vi burde være, og at årsakene til dette skyldes ting som mangelfull koordinering på tvers av sektorer, mellom myndigheter og næringsliv, og uklarheter i roller og ansvar når vi skal beskytte oss mot og respondere på sammensatte trusler. 

Tiltakslister

Det er slike ting denne stortingsmeldingen skal svare på. Det konkrete som skal gjøres er som vanlig i slike dokumenter forulert som korte strekpunkter som begynner med foruleringen "Regjeringen vil...". Nå er det riktignok ikke alle disse punktene som beskriver noe som skal endres, ofte er det noe som skal vurderes eller utredes, eller en prosesss som tar sikte på en endring som skal igangsettes om en stund, men det er i hvert fall her man finner det mest operative i en stortingsmelding. I denne meldingen er det slike tiltak under flere av kapitlene, og mye handler om organisering og lovverk som skal tydeliggjøres. Noen av mest sentrale av disse er at "Regjeringen vil...:

• etablere en felles rådsstruktur for beredskapsplanlegging og tilstandsvurderinger på nasjonalt nivå for å sikre kontinuitet og systematikk i beredskapsarbeidet i sivile sektorer. Næringslivet og frivillige organisasjoner skal integreres i den nye strukturen.
• utarbeide en langtidsplan for sivil beredskap og motstandskraft, herunder politiet.
• foreslå en ny lov som setter krav til grunnsikring for virksomheter og se på tilhørende regelverk som samfunnssikkerhetsinstruksen, sektorlovgivning og sikkerhetsloven. 
• utarbeide en nasjonal sikkerhetsstrategi.
• stille tydelige krav til tverrsektorielt beredskapssamarbeid.
• at det i etatsstyringen skal legges vekt på å gi føringer for arbeidet med sikkerhet og beredskap.
• forsterke involveringen av og samarbeidet med privat næringsliv om sikkerhet og beredskap."

Ikke bare tenke det og ville det, men også gjøre det

Disse punktene virker fornuftige gitt de endringene vi har i utfordrings- og trusslbildet. Men nå er det ikke lenger helt nytt at vi opplever flere sammensatte trusler og behov for mer tverrektorielt samarbeid, og bedre sammarbeid mellom offentlige beredskapsorganisasjone og privat sektor. Det er jo nettopp det både Totalberedskapskommisjonen, Forvarskommisjonen og de ulike overordnede risikovurderingene fra PST, E-tjenesten, NSM, DSB og andre har fortalt oss lenge. 

Når det gjelder en mer helhetlig organisering av beredskapen er det de konkrete handlingene for å møte mer sammensatte trusler vi trenger, ikke enda flere erklæringer om at det skal samarbeides mer og bedre. Nå er det etablering av de strukturene, ansvarsområdene og rollene som beskytter oss bedre som bør være neste skritt. Men dessverre virker det som om denne totalberedskapsmeldingen er noen hakk mindre konkret om hva vil skal gjøre enn det Totalberedskapskommisjonen foreslo, eller rapporten som ble laget av DSB etter ekstremværet "Hans".

Pedagogisk krevende helhet

Mangelen på fremdrift når det gjelder å komme i gang er den viktigste svakheten som denne stortingsmeldingen ikke svarer ut. Min andre store innvending mot den nye meldingen er at den i for liten grad tydeliggjør den ansvarsmessige og lovmessige helheten, hvordan endringne påvirker dagens roller og ansvarsområder, hvordan huller i ansvar løses med nye  strukturer, og hvordan overlapp og dobbeltarbeid unngås.

Til høyre er det en figur fra side 41 i meldingen og som søker å forklare hvordan totalberedskapsarbeidet er organisert "vertikalt" og "horisontalt", fra regjeringen og helt ned til kommuner og innbyggere, på tvers av myndighetsorganer, sektorer og sivilsamfunn på alle nivåer. Dette er et godt forstøk på å lage en pedagogisk beskrivelse av hva begrepet "helhetlig" beredskapsorganisering er snakk om.

Men det blir med denne ene fargerike figuren. Gode visualiseringer og gode fortellermessige beskrivelser og eksemplifiseringer kunne vært benyttet mye mer. Når man lager en stortingsmelding der hele poenget er å forklare hvor komplekst og sammensatt trusselbildet er, og hvor helhetlig og sammensatt organiseringen for planlegge, øve og respondere på dette er, hvorfor bruker man ikke bedre og mer pedagogiske måter å formidle dette på?

Lov- og ansvarskompleksiteter

Dette behovet for bedre forklaringer av og endringer i roller og ansvarsområder er blant annet veldig relevant for innretningen av det lovverket som regulerer virksomheters plikter og ansvar når det gjelder forebyggende sikkerhet. Her sier regjeringen at den planlegger å foreslå en ny lov om krav til grunnsikring i virksomheter som er viktige for at samfunnet fungerer, dels for å oppfylle EØS-forpliktelser, og dels som en anledning til å fylle noen andre hull. Regjeringen skriver:

"Evnen til å opprettholde kontinuitet i kritiske samfunnsfunksjoner, som kraft, helse, elektronisk kommunikasjon og digitale tjenester, er viktig for motstandskraften. Regjeringen vil foreslå en sektorovergripende lov som skal stille felles krav til grunnsikring hos virksomheter som er viktige for at samfunnet fungerer i fred, krise og krig. Sikringen skal blant annet bidra til at virksomhetene kan opprettholde sin aktivitet selv om alvorlige uønskede hendelser og kriser inntreffer."

Disse EØS-forpliktelsene i NIS2-direktivet og CER-direktivet, som omtales i stortingsmeldingen, er EU-direktiver som er med på å begrunne behovet for Norge trenger en ny lov om grunnsikring av virksomheter som ivaretar samfunnskritiske funksjoner. De er et langt stykke på vei overlappende med det som er sikkerehetslovens nedslagsfelt og formål, noe regjeringen også beskriver:

"Direktivene deler samfunnet inn i samfunnsområder. Disse samfunnsområdene overlapper i stor grad med tilsvarende inndelinger i rammeverket for kritiske samfunnsfunksjoner, grunnleggende nasjonale funksjoner etter sikkerhetsloven og NATOs grunnleggende forventninger."

Nå er det ikke helt uvanlig at nedskagsfeltet for lover overlapper, særlig når det gjelder særlig viktige samfunnshensyn som skal ivaretas. Det vil ofte være både generell lovgivning, som alle må følge, og særlig regler for ulike sektorer, som noen aktører er forpliktet av, for eksempel energiaktører eller finansnæringen. Problemet oppstår når flere lovverk og direktiver overlapper hverandre. men sier forskjellige ting om ansvar, plikter og rapportering, eller bruker ulike begreper og definisjoner.

Et nøkkelavsnittt i stortingsmeldingen (underkapittel 3.3) beskriver hvorfor og hvordan Regjeringen vil igangsette et lovarbeid som blant annet skal avklare nedslagsfeltet for en ny lov om grunnsikring, utover det som ligger i EU-direktivene, herunder hvordan ulike deler av offentlig sektor, inkludert kommunene, skal omfattes av forpliktelsene. Og som ikke det var nok varsler regjeringen at den skal gjennomgå samfunnssikkerhetsinstruksen, et annet regelverk som gjelder for departementene, og som griper inn på flere av de samme sikkerhetskritiske områdene:

"Regjeringen vil, som en del av arbeidet med implementering av direktivene, også gjennomgå samfunnssikkerhetsinstruksen. Grensesnittet mellom den nye loven og sikkerhetsloven, samt forholdet til relevant sektorregelverk, vil bli vurdert. En slik vurdering er viktig for å unngå uhensiktsmessig dobbeltregulering, og eventuelle andre uklarheter, mellom den nye sektorovergripende loven og gjeldende sikkerhets- og beredskapslovverk i ulike sektorer. Slike uklarheter kan vanskeliggjøre god og enhetlig implementering og oppfølging av krav til virksomheter som det er kritisk for samfunnet at fungerer. Det utfordrer også et effektivt tilsyn og tilgjengelig veiledning. En helhetlig tilnærming til sikkerhetsog beredskapslovverk vil bidra til forenkling av beredskapsarbeidet i de ulike sektorene"

Bra. En slik helhetlig gjennomgang burde sikkert vært tenkt på for lenge siden, og EU fant ikke på disse direktivene nettopp, men det er helt på sin plass å beskrive og ta tak i problemene uklare og og uvklarte nedslagsfelt, ansvarsområder og roller fører med seg. Men hvorfor ikke ha noen gode pedagogiske beskrivelser, gjerne med visualiseringer og eksempler? I en stortingsmelding om å skape mer sammenheng og innrette et mer helhetlig beredskapsarbeid er det jo akkurat det vi trenger for å legge grunnlaget for en bedre felles virkelighetsoppfatning, på tvers av sektorer og virksomheter. Slik blir det også mye lettere komme videre til en gjennomføringsfase. 

Opplagsverk og kunnskapsgrunnlag

Stortingsmeldingen er fra kapittel 4 (fra side 52) og og utover mer beskrivende når det gjelder dagens mange aktører, organisering og ansvarsområder i norsk beredskap, fra verdensrommet til havbunnen, og veldig mye mellom. Aktørbildet er mangfoldig, og manges ulike virksomheters roller og betydning er beskrevet. Det er både beskrivelser at de sentrale aktørene, og viktige grenseplater mellom dem, som sivil-militært, offentlig-privat, offentlig-frivilling, og på tvers av sektorer og forvaltningsnivåer. 

Det er også omtale av kritiske suksessfaktorer som bedre kompetansetilgang, behov for forskning og innovasjon, frivillighetens bidrag, planlegging og organisering av forsyningssikkerhet, redningsarbeid, støtte til forsvarets behov i en krigssituasjon, og veldig mye annet. Dette fungerer også som et lite oppslagsverk der det er mulig å hente ut kunnskap om hvordan dette økosystemet ser ut, og det er også er et bra kunnskapsgrunnlag  ha med seg når man skal finne ut hvor det er størst behov for å forsterke eller endre innsatsen.

Digitale leverandørkjeder

Skal jeg peke på to områder som hadde fortjent en bedre utfordringsbeskrivelse enn det som ligger i denne stortingsmeldingen er det de digitale sikkerhets og beredskapsutfordringene, og samarbeidet mellom myndigheter og næringsliv. Når de gjelder det digitale er stortingsmeldingen fortsatt på det nokså abstrakte og lett proteksjonistiske nivået som har kjennetegnet tidligere beskrivelser fra regjeringen, og som kanskje tyder på at man ikke er så veldig interesset i å sette seg inn i hvordan komplekse internasjonale leverandørkjeder ser ut eller hva som kan gjøres? Veldig lite av det som er omtalt i regjeringens nye digitaliseringsstrategi om digital sikkerhet har funnet veien inn her, og det er heller ikke veldig mye omtale av arbeidet med områder både Riksrevisjonen og sikkerhetsmyndighetene har pekte på som kritiske sårbarheter tidligere. 

Meldingen har ingen gode forklaringer på hvordan sårbare digitale verdikjeder ser ut, hvordan vi skal utvikle digitale systemer som i større grad kan lagdele tilgangen til ulike typer informasjon, hvordan dette forholder seg til det lovrevisjonsarbeidet som skal foregå, eller hvordan sektorenes og næringslivets egenberedskap mot digitale trusler skal innrettes. Bør vi for eksempel organisere oss slik at vi har cyberresponsmiljøer mot digitale trusler i alle sektorer, eller er vil det være å spre kompetanseressursene for tynt utover? En stortingsmelding som har som formål å beskrive hvordan vi skal møte sammensatte trusler på en bedre måte burde vært langt mer konkret på det digitale trusselbildet.

Næringslivets sikkerhet og beredskap

Omtalen av næringslivets mangesidige roller er også litt mangelfull. Næringslivet er riktignok nevnt veldig mange ganger, og på alle mulige nivåer som bidragsyter i ulike beredskapsfora, fra det veldig nasjonale til det helt lokale. Problemet er at det ikke er sagt noe mer konkret om hvoran dette skal skje, når det skal skje og hvem som har ansvaret for å få det på plass. Hva vil det si at næringslivet skal være representert? Hvem skal ta den rollen og sørge for at det ikke bare foregår i lukkede rom, men tilfører hele næringsivet verdifull informasjon og kunnskap, og mulighet til å påvirke og medvirke? Og hvilke sektorer skal ha egne sektorstrukturer? Hvem skal støtte opp om næringslivets medvirkning i regionene og i kommunene slik at det ikke blir tidstyver, men bidrar til en verdiøkende helhet?

Det er heller ikke veldig konkrete føringer for hvordan informasjonsutvekslig mellom næringsliv og myndighetsaktører skal utvikles videre, verken når det gjelder behovet for å kommunisere bredt om trusselbildet, eller når det gjelder de smalere behovene for å dele den type informasjon som bare noen nøkkelaktører kan ha tilgang til. Det er noe som også må følges opp. 

(Disclaimer: Og når det gjelder dette siste er det viktig å gjøre oppmerksom på at Halogen, meg selv inkludert, på oppdrag fra Næringslivets sikkerhetsråd (NSR) arbeider med å beskrive udekkede behov i grenseflaten mellom myndigheter og næringsliv. Arbeidet tar sikte på å bekrive konkrete og verdiøkende tjenester og støtte til samhandling. Meldingen er ikke veldig konkret på hva myndighetene vil kunne bidra med for å dekke behovet, noe som gjør det ekstra viktig at næringslivet er tydelige på hva de kan bidra med og hva dette krever av myndighetene).

Samfunnssikkerhet i havet og under vann

I forrige uke, på Kongsberg Agenda, ledet jeg en spennende og viktig paneldiskusjon om ansvaret for å  beskytte kritisk infrastruktur i havet og under vann. En diskusjon som avdekket at mye gjenstår før vi kan være fornøyde, og derfor en diskusjon som må fortsette. Der der noen krevende rolle- og ansvarsoppganger som må gjøres.

På bildet er jeg lengt til venstre, som møteleder, så har jeg med meg Geir Håøy, konsernsjef i Kongsberggruppen, BjørnTore Markussen, ny direktør for teknologi og ikt i forsvaret, Liv Dingsør i Digital Norway, Elisabeth Haugsbø, president i Tekna, Johnny Welle, direktør i Kartverket og Ola Borten Moe, stortingsrepresentant og medlem av Utenriks- og forsvarskomiteen.

Norges sårbarheter

Tanken om at noen burde arrangere akkurat denne debatten slo ned hos meg da jeg leste en veldig tankevekkende kronikk i Dagens Næringsliv i fjor høst med tittelen: "Kritisk infrastruktur til havs må beskyttes bedre - det haster". Utgangspunktet er Norges enorme havområder der det finnes en rekke faste og flytende installasjoner offshore, men også tusenvis av kilometer med gassrør, kraftkabler og fiberkabler som frakter energi og data. I kronikken skrev Geir Håøy, konsernsjef i Kongsberggruppen og Alexandre Bech Gjørv, konsernsjef i Sintef, en svært kritisk gjennomgang der de peker på at vi i Norges både er svært sårbare for angrep på samfunnskritisk infrastruktur, vi er alt for dårlig samordnet når det gjelder hvem som har ansvaret for hva, både mellom statlige sikkerhets- og bedreskapsaktører, og mellom offentlige og private. Vi kan også gå glipp av industrielle muligheter fordi vi er ledende på teknologiene og beredskaps- og sikkerhetstjenestene både vi og mange andre land kan komme til å trenge mer av fremover.

Dette er en alt for viktig problemstilling til at vi skriver en kronikk en gang i blant, og skyver problemet foran oss, tenkte jeg, og spurte Liv Digsør, leder i Digital Norway og leder av hovedkomiteen for Kongsberg Agenda, om ikke dette er akkurat den type debatt som er veldig vanskelig å få til, og som derfor egner seg for Kongsberg Agena? Det er jo der de viktigste spørsmålene skal utforskes? Jo, svarte Liv, den debatten må vi få til, og vi satte i gang å spørre de vi helst ville ha med. Geir Håøy i Kongsgergruppen sa ja, Bjørn Tore Markussen, nytilsatt i en spennende ny rolle for leder for teknoligi og ikt i Forsvaret, sa ja, Elisabet Haugsbø, president i Tekna, sa ja, Johnny Welle, direktør i Kartverket sa ja. Liv ville være med selv, jeg foreslo meg selv som ordstyrer og utspørrer, og så sa plutselig Ola Borten Moe ogå ja til å komme. Og vi hadde panelet vi ønsket oss til en så viktig tema, der man kan snakke sammen og ikke bare til hverandre.

Hva skal man si om debatten ellers, sånn bortsett fra at den ble veldig interessant og god? Vi var innom flere temaer underveis. Jeg skal ikke gjøre noe forsøk på å oppsummere hva hver enkelt mener om hvert tema eller beskrive meningsforskeller, som det var flere av, eller enigheter, som det også var mange av, men heller prøve meg på min egen oppsummering av det jeg fikk ut av diskusjonen:

• Vi er sårbare for angrep på samfunnskritisk infrastruktur under vann og konsekvensene av slike angrep er svært alvorlige, spesielt hvis gassforsyningen fra Norge til Europa rammes. Norge har erstattet Russland som den store leverandøren av gass til Europa og konsekvensene er enorme om forsyningen rammes hardt. Også norske inntekter vil bli hardt rammet. Nå prøvde riktignok Ola Borten Moe problematisere dettte, og mente det er det større problem for de som tar imot gass enn for oss som selger gass, noe som bidro til god temperatur i diskusjonen. Men det er neppe noen tvil om at vi både er svært sårbare og konsekvensene av en norsk variant av Northstream er dramatiske, også for Norge.
• 
  På spørsmålet om vi er godt nok organisert og samordnet til å beskytte oss mot angrep, både for å forebygge hendelser, reagere raskt mot angrep, identifisere de ansvarlige og reparere skade, viste debatten at det finnes huller og mangler. Geir Håøy fortalte om hvordan noe av hensikten med kronikken i DN, med den skarpe kritikken, var at næringslivet blir invitert til bordet til samtaler med myndighetene om hva som bør gjøre, noe han opplevde at ikke hadde skjedd i tilstrekkelig grad. Noen samtaler har det blitt i etterkant, men med et viktig unntak: Justisdepartementet som, i følge Håøy, ikke responderer. Og strengt tatt er det vel Justisdeparementet og deres etater som har den viktigste samordningsrollen av alle når det gjelder sikkerhet, beredskap og totalforsvar i havrommet, men de har så langt ikke svart på utfordringene som kom fra Geir Håøy, Aleksandra Bech Gjørv og andre som som mener vi ikke jobber godt nok. Problemstillingene er ikke ukjente. De er nevnt av Forvarskommisjonen, Totalberedskapskommisjonen og årlige trusselvurderinger fra sikkerhetsetatene. Jeg tror alle nevner sikkerhetskritisk infrastruktur i havet som en særlig krevende utfordring, men det hjelper ikke å si at noe er et problem hvis det ikke gjøres noe.

Sektoransvar og geodata

• En tredje problemstilling som ble sentral i diskusjonen er om dagens sektoransvar fungerer tilstrekkelig godt og om det er tydelig nok hvile roller ogs ansvar som gjelder når ting må løses på tvers av sektorer. På land er det slik at sektorkoordinering og offentlig-privat samhandling foregår gjennom beredskapsorganiseringen i kommunene og under statsforvalternes beredskapsrolle som koordinerer på tvers både i normale tider og under store hendelser. I havet er det verken kommuner eller statsforvaltere og behovet for samhandling må ivaretas på andre måter. Hver for seg fungerer mye bra i sektorene, og Bjørn Tore Markussen sa mye positivt om  erfaringer og lærdommer som er gjort etter Northstream-hendelsene, ikke minst i forsvarssamarbeidet med våre allierte, men spørsmålet er om vi er best på skippertak når ting skjer, men ikke like gode på å finne ut hvem som har ansvaret for det som faller ned i hullene mellom sektorene. Her fikk vi også en god og spisset meningsutveksling mellom Elisabeth Haugsbø, som argumenterte for at vi henger så hardt fast i sektorroller at det er farlig, og Ola Borten Moe som sa at han synes sektoransvaret stort sett fungerer veldig greit.
• Bedre tilgang til geodata var et fjerde område som ble adressert, særlig av Johnny Welle i Kartverket. Han ga uttrykk for at han er bekymret for at de ikke har ressursene og datatilfanget som trengs for å gjøre jobben for å få bedre kart- og datagrunnlag. Det vil si: jobben handler både om å sørge for at de aktørene som trenger bedre informasjon om den sikkerhetskritiske infrastrukturen, fordi de jobber med å beskytte den, får den informasjonen de trenger, mens de som absolutt ikke skal ha tilgang til samme informasjon heller ikke må få tilgang. Dette krever mer og bedre innsamling av data og bedre systemer for å forvalte og dele data med de som trenger den. Jonny Welle ga vel uttrykk for at det er mange som mener at Kartverket er svært nødvendig når de skal ha tak i data, men ikke når noen må betale for at Kartverket skal settes i stand til å gjøre den jobben som kreves. Her har vi en typisk digitaliseringsutfordring der gevinsten kommer et annet sted enn hos de som må betale, og som vi ikke klarer å løse innenfor sektorene alene.
• Et femte og siste tema i en diskusjon på en teknologifestival var naturligvis teknologi. Har vi teknologien som trengs for å beskytte oss bedre mot ulike trusler over og under vann? Kongsberggruppen har både ulike verdensledende produkter som brukes til denne type sikkerhet, men de har også muligheten til å sette de sammen i sikkerhetstjenestepakker som er relevante for å beskytte norsk samfunnskritisk infrastruktur, men også for å gjøre tilsvarende ting i andre land. Både for statlige kunder og for private kunder. En norsk eksportsuksess bygget på verdens behov for å beskytte seg mot både naturhendelser, ulykker og ondsinnede angrep høres ut som en god ide. 

Og her ligger det naturligvis noen viktige behov for anklaringer på tvers av disse teamene. Hvem er regissør nå vi skal avgjøre hvor mye mer sikkerhet vi trenger, og hvem skal betale for den? Er dette en offentlig oppgave, slik forsvaret er det, eller noe private infrastruktureiere må ordne selv. Eller er det som mye annet, noe som må løses i et komplekst samspill mellom flere ulike offentlige og private aktører? Og fordi det haster å få ting på plass er det lurt å ha flere samtaler enn den som foregikk på Kongsberg.

Justisdepartementet går til angrep (på Justisdepartementet)

Jeg tror ikke jeg kan huske en rapport om en sentral og samfunnskritisk del av statsforvaltningen som har vært så gjennomført kritisk som rapporten "Kort og spisset områdegjennomgang av økonomistyringen og budsjettsituasjonen i politiet". Og det er ikke akkurat småtterier som blir kritisert, men selve styringen, budsjettprosessen, langsiktigheten og de strategiske prioriteringene.

Og, jada, det har kommet kritiske rapporter før også. Riksrevisjonen skriver mange gode og svært kritiske rapporter når ting ikke er i orden, som rapporten om alvorlige sikkerhetskritiske mangler i Forsvarets informasjonssystemer. Eller det uavhengige utvalget som evaluerte Nasjonal Sikkerhetsmyndighets (NSM) ulovlige lån for å betale leie av nye lokaler, som brøt både grunnlov og statens regelverk for økonomistyring. Den blogget jeg om her.

Men denne nye områdegjennomgangen om styringen og budsjettsituasjonen i Politiet handler ikke først og fremst om feil i en underliggende statlig etat, men rapporten retter skarp kritikk mot et departement, selveste Justis- og beredskapsdepartementet (JD). Og det som virkelig er uvanlig her er at de som kommer med den saftige kritikken er ikke et uavhengig utvalg som har som jobb å finne feil, eller den alltid kritiske Riksrevisjonen, men et utvalg satt sammen av folk på innsiden, med medlemmer fra Finansdepartementet og Politidirektoratet, og ledet av Justisdepartementet selv.

Hva er det så denne uvanlige, men svært tydelige, rapporten handler om? Og hvorfor komme med en slik rapport nå når det allerede har vært skrevet flere rapporter om Politiet og om Politidirektoratet (POD), og det også pågår er et arbeid med styrke POD ved å gjøre direktoratsrollen tydeligere og mer strategisk i både ledelse, virkemåte og  måten de gir anbefalinger til samfunnet og regjeringen? Kanskje er det fordi det har vokst frem en erkjennelse at det i relasjonen mellom departement og direktorat er slik at det er departementets "satsinger", "tiltak" og omfattende detaljstyring, og fraværet av langsiktighet, konsistens og gjennomføringskraft, som er hovedproblemet og som det må gjøres noe med. Det er i hvert fall det denne rapporten sier.

Manglende langsiktig styring

Rapporten er også tydelig på at det ikke hjelper å bare kaste mer penger etter problemer, det tradisjonelle politikersvaret. Mer penger til "satsinger" drar gjerne med seg behov for enda mer penger i påfølgende år, og et forhold mellom bevilgninger og kostnader som ikke er bærekraftig over tid. Det som trengs er tydeligere prioriteringer, at mindre viktige oppgaver velges bort og at det investeres i digitalisering som støtter mer effektive arbeidsprosesser, i følge rapporten.

Hovedkritikken er veldig tydelig formulert allerede i sammendraget på tre sider innledningsvis i rapporten. Under overskriften "Mangel på langsiktig og overordnet styring av og i politiet" skriver arbeidsgruppen at:

"Som nevnt vil ikke økte bevilgninger alene løse utfordringene knyttet til budsjettsituasjonen i politiet på lengre sikt. Det må også tas grep knyttet til styringen av og i politiet. Manglende helhetlig, overordnet og langsiktig styring reduserer politiets mulighet til å utnytte ressursene slik at samfunnsoppdraget løses best mulig. Gjennomgangen har blant annet avdekket høy grad av detaljstyring med for stor vekt på innsatsfaktorer som bemanning og tjenestesteder."

Under overskriften "Manglende helhetlige beslutningsgrunnlag knyttet til politibudsjettet" er kritikken av Justisdepartementets styring enda mer direkte, og rettet blant annet mot unnlatelsessynder i departementets statsbudsjettprosess:

"Budsjettinnspillene som JD fremmer til regjeringen er i for liten grad begrunnet i helhetlige og langsiktige behov. De er i for stor grad rettet mot enkeltformål som går på bekostning av helhetsperspektivet. JD bør, i samråd med POD, vurdere hvordan dette kan endres slik at helhetsbildet i større grad kommer frem i beslutningsgrunnlaget, herunder kompetansehevende tiltak i JD og POD. En annen utfordring som har kommet frem er at politisk ledelse involveres sent i statsbudsjettprosessen i JD før budsjettinnspillene sendes fra departementet til FIN. En konsekvens er da at man bruker mye tid på å utrede forslag som ikke blir prioritert, og forslag som prioriteres blir ikke nødvendigvis godt nok utredet."

Rapporten har en grundig gjennomgang, og også et vedlegg på slutten, som går igjennom hvilke enkeltformål det er snakk som i sum går på bekostning av helheten. Blant annet fordi man ikke har tatt høyde for flerårsvirkningene av "satsinger" som gir fine medieoppslag der og da, men som over tid går på bekostning av noe annet, uten noen egentlig prioriteringsprosess. Så kan man lure på om ikke denne kritikken i stor grad også rammer politisk ledelses måte å styre på. Det er i hvert fall slik at styring med mål om å ikke røre antall tjenestesteder, og vedtak om å ha et fast passkontor i Skibotn med maksimalt 50 besøkende i året. i stedet for et mobilt passkontortilbud, har fått sin velfortjente plass i rapporten.

Ina blir økonomisjef

Man kanskje vel så viktig som å prøve å forstå prosesser og prioriteringer i departementet, er det å forstå hvilke konsekvenser mangelen på strategisk styring har for de ansvarlige lederne ute i virksomheten, som prøver å lage realistiske budsjetter  og rekruttere de riktige folkene. Her har rapporten et kapittel 3 som heter "Ina blir ny økonomisjef" som handler om en slik leder, i et fiktivt politidistrikt, som de siste årene har prøvd å navigere i dette landskapet, fra 2019 og frem til i dag. 

Fortellingen om Ina er basert på intervjuer som er gjort med mange forskjellige ledere og medarbeidere, og som får godt frem hvordan men er nødt til å lage tilpasningsstrategier for å håndtere umulige målkonflikter. Ina forteller blant annet om hvordan hun navigerte for å oppfylle måltall for antall ansatte, ved tellingstidspunktet:

"Utgangspunktet var klart: 82 prosent av budsjettet vårt gikk til lønn og sosiale utgifter, ni prosent til eiendom, syv prosent til materiell og to prosent til øvrige utgifter. Første utfordring i 2019 var å innfri et politisk krav om å sikre to tjenestepersoner per 1000 innbyggere innen 2020. Klar beskjed i styringsdialogen med POD: Målet skulle nås. I en krevende budsjettsituasjon valgte jeg å holde stillinger ledige med sikte på å ansette det nødvendige antallet personer mot slutten av året. Politifaglig sett ville en jevn bemanning med riktig kompetanse i løpet av året vært å foretrekke. Jeg hadde likevel ikke annet valg enn å foreta en strategisk oppbemanning i slutten av året. Med høy nok turnover påfølgende år ville vi styre mot budsjettbalanse. 2019 endte med et lite merforbruk i distriktet mitt, men politiet som helhet hadde et mindreforbruk."

En annen interessant problemstilling som kommer frem både i  fortellingen om Ina, men også har en sentral plass ellers i rapporten er hvordan ekstraordinære pandemipenger tilførte friske penger i 2020 og 2021, men fordi pandemien førte til redusert aktivitet og et mindreforbruk på andre områder, ble det plutselig penger til overs. Penger som i følge denne rapporten kunne, og burde, blitt brukt på investeringer i for eksempel nødvendige nye it-systemer ble brukt til drift. For å opprettholde antall tjenestesteder og et måltall for bemanning. I stedet for å investere i å effektivisere og frigjøre ressurser, ble det lagt til rette for et ikke-bærekraftig kostnadsnivå. 

Anbefalinger

Jeg har kritisert noen stortingsmeldinger og strategier her på bloggen i det siste for å være tynne på konkrete tiltak, men ha lange lister med påtenkte vurderinger, utredninger og evalueringer. Slik er det ikke her. Denne rapporten er prisverdig klar på hva som kan gjøres og på at det bør skje ganske raskt for å komme ut av en situasjon der bevilgninger og kostander ikke henger sammen. Problemet er kanskje at tiltakene er for konkrete for politikerne som må vedta dem.

Rapporten foreslår at Justisdepartementet skriver tildelingsbrev til Politiet der de flerårige konsekvensene av tiltak i statsbudsjettet synliggjøres, slik at man får et mer realistisk forhold til hva ting koster. De foreslår også at det gjøres en gjennomgang av JDs budsjettprosess slik at utredningsinstruksen følges og man har et kunnskapsgrunnlag og en prioriteringsprosess som gjør det mulig å gjøre reelle prioriteringer mellom ulike alternativer. Denne mer helhetlige og langsiktige måten å tenke på må også prege den løpende etatsstyringen av politiet, foreslår utvalget. Alt dette er det mulig å følge opp raskt.

To andre forslag er nok mer kontroversielle, men desto viktigere å få diskutert og avklart. Det ene rapporten foreslår er å gjøre et arbeid med å finne ut om det i den veldig brede porteføljen av oppgaver politiet har ansvaret for, er noe som kan utgå fordi det ikke er viktig nok, eller som bedre kan løses av andre offentlige virksomheter enn Politiet. Utvalget skriver:

"Utføre en analyse av hvilke tjenester politiet skal levere som er nødvendig for å løse samfunnsoppdraget. Tjenester og oppgaver som ikke har tilstrekkelig verdi for brukerne eller samfunnet bør utgå i sin helhet. Dersom analysen identifiserer oppgaver som er nødvendige for samfunnet, men som ligger utenfor politiets samfunnsoppdrag, bør det vurderes hvorvidt oppgaven/tjenesten bør og kan overføres til andre."

Det andre utvalget anbefaler, men som er minst like krevende å få til politisk, er å bli mer opptatt av resultater og mindre opptatt av innsatsfaktorer som antall kontorer, eller antall personer på hvert kontor. Mindre detaljstyring, rett og slett. Man kunne til og med kalle dette en tillitsreform. Spørsmålet er om det politiske miljøet er klare for dette. Men når omkring 86 prosent av kostnadene handler om personer og bygninger, som man ikke får lov til å gjøre noe med, og man får beskjed om å kutte kostnader, så er det ikke så lett å få det til.

Jeg synes arbeidsgruppen som har skrevet rapporten fortjener en stor takk for å ha laget en tydelig, pedagogisk og veldig lesbar rapport om hva som ikke virker som det skal, og hva som kan gjøres for å komme på riktig kurs. Jeg tror detter er første gang noen har laget en "kort og spisset områdegjennomgang". Det burde kanskje flere gjøre.

Grundig og brutalt fra Riksrevisjonen

Noen ganger kommer det riksrevisjonsrapporter som er en sann åpenbaring å lese fordi de gir innsikt og oversikt som ikke finnes noe annet sted. Om sammenhenger og om systemutfordringer. De gir innsikt i hvorfor problemer ikke blir løst, hvorfor mål ikke blir nådd, konsekvensene av at ansvar ikke er plassert og at roller ikke er forstått. Og de nøster i hvordan og hvorfor de tiltakene og det samarbeidet som er nødvendig for å løse et stort problem likevel ikke skjer.

Riksrevisjonens forvaltningsrevisjon om Myndighetenes samordning av arbeidet med digital sikkerhet i sivil sektor (pdf-versjon her) er en slik rapport. Er grundig dokument som gir nettopp innsikt og oversikt. Ved å zoome ut og se på helheten, og ved å zoome inn og se på hva som skjer i praksis i konkrete situasjoner der samarbeid er avgjørende for å håndtere hendelser eller få løst samfunnskritiske floker.

Nedsiden med virkelig gode riksrevisjonsrapporter er selvfølgelig at noen henges grundig ut for å ikke ha gjort jobben sin. I dette tilfellet gjelder det flere aktører på samfunnssikkerhetsområdet, men i særdeleshet Justis og beredskapsdepartementet (JD) som både har styringsansvaret for de sentrale etatene som håndterer den digitale sikkerheten og for den tverrsektorielle samordningen når det gjelder nasjonal sikkerhet og samfunnssikkerhet, også på det digitale området. Og JD har naturligvis også ansvaret når ulike tiltak som er varslet i deres stortingsmeldinger og strategier ikke er gjennomført.

Riksrevisjonens forvaltningsrevisjon er på over 180 sider i alt. Den består av en hovedrapport, et brev fra Justisminister Emilie Enger Mehl som prøver å forklare at JD er på ballen og gjør noe, men uten å egentlig svare på kritikken, og innledningsvis er det et sammendrag av hovedpunktene i kritikken. Man får et bra overblikk av å lese de første ca 25 sidene med hovedpunkter og statsrådens svar. Men for de som er særlig interessert i den eksplosive kombinasjonen av utilstrekkelig og til dels dysfunksjonell tverrsektoriell koordinering og styring på den ene siden, og på den andre siden samfunnskritiske sikkerhetsutfordringer som krever nettopp tverrsektoriell koordinering og styring, er det mye viktig informasjon som bare finnes i selve hovedrapporten. Det kan anbefales å lese den.

Undersøkelsens poeng er å se på hvordan Justis- og beredskapsdepartementet samordner arbeidet med digital sikkerhet i sivil sektor i fredstid. Riksrevisjonen omtaler jobben slik: 

"Undersøkelsen er rettet mot Justis- og beredskapsdepartementets samordnings- og pådriveransvar. Vi har belyst ulike temaer og tiltak på det digitale sikkerhetsområdet, herunder tilsynsvirksomhet, gjennomføring av nasjonale øvelser og arbeidet i samordningsarenaer på området. Vi har også undersøkt i hvilken grad målet om samordnet veiledning og hendelseshåndtering er oppnådd. (...) Vi har forsøkt å belyse de mulige konsekvensene av en eventuell svak samordning på de enkelte områdene. I denne undersøkelsen defineres begrepet digital sikkerhet på samme måte som det defineres i Nasjonal strategi for digital sikkerhet. Der går det fram at digital sikkerhet er beskyttelse av alt som er sårbart fordi det er koblet til eller på annen måte avhengig av informasjons- og kommunikasjonsteknologi. Vi bruker digital sikkerhet synonymt med begreper som IKT-sikkerhet og cybersikkerhet."

Riksrevisjonen har tatt utgangspunkt i tre ganske enkle og overordnede problemstillinger formulert som spørsmål. De er: 1) Bidrar myndighetenes samordning av roller, ansvar og krav til å ivareta den digitale sikkerheten? 2) Har Justis- og beredskapsdepartementet en helhetlig oversikt over den nasjonale digitale sikkerhetstilstanden?, og 3) Ivaretar Justis- og beredskapsdepartementet samordningsrollen for den digitale sikkerheten på samfunnssikkerhetsområdet på en god nok måte? Og det korte oppsummerende svaret Riksrevisjonen gir er at:

"Undersøkelsen viser at det er flere utfordringer med samordningen av arbeidet med digital sikkerhet som ikke har blitt håndtert. Justis- og beredskapsdepartementet har ikke sørget for at samordningen av roller, ansvar og krav er god nok når det gjelder dette arbeidet. Vi finner også at Justis- og beredskapsdepartementet ikke har tilstrekkelig oversikt over den nasjonale digitale sikkerhetstilstanden, særlig fordi departementenes arbeid med å kartlegge virksomheter som understøtter grunnleggende nasjonale funksjoner, går for sakte. Justis- og beredskapsdepartementet følger i liten grad opp hvilken effekt tiltakene i nasjonale strategier på det digitale sikkerhetsområdet har, og siden 2016 har de ikke sørget for at det på nasjonalt nivå har blitt øvd godt nok på å håndtere alvorlige digitale angrep som treffer flere sektorer. Det er Riksrevisjonens vurdering at Justis- og beredskapsdepartementet med underliggende etater ikke ivaretar pådriver- og samordningsansvaret godt nok til å møte utfordringene på det digitale sikkerhetsområdet. Dette medfører risiko for at funksjoner som er kritiske for både stats- og samfunnssikkerheten, ikke er godt nok beskyttet mot digitale angrep, og at alvorlige digitale angrep ikke håndteres effektivt."

Dette er en veldig overordnet kritikk som favner mange ulike ting. Noe skyldes mangelfull rydding og sortering av ansvar, roller som til dels går langt tilbake i tid. Andre forhold handler om ting som er varslet som viktige tiltak i nyere tid, blant annet i en stortingsmelding og i strategien for digital sikkerhet fra 2019. Og noen nye utfordringer har kommet i forbindelse med nytt lov og regelverk, som ny sikkerhetslov og ny samfunnssikkerhetsinstruks. Riksrevisjonen har sortert sin kritikk i fire hovedkategorier, og jeg vil kommentere noen av de viktigste funnene under hver av disse overskriftene Riksrevisjonen bruker:

"1. Svak samordning av roller, ansvar og krav gjør arbeidet med digital sikkerhet krevende for virksomhetene."

Jeg kan begynne med lov og regelverket som gjelder for samfunnssikkerhetsområdet. Riksrevisjonen har gått igjennom det lovverket som er relevant for digital sikkerhet og hvordan overlapp mellom ulike lover og forskrifter skaper utfordringer for virksomhetene som skal finne ut hva de skal gjøre i sitt forebyggende sikkerhetsarbeid. 

Vi kan begynne med det som gjelder departementene og de statlige virksomhetene selv. Her skaper det åpenbart en del forvirring av man må forholde seg til to sett med regelverk som er delvis overlappende, men har litt ulike formål: Sikkerhetsloven som trådte i kraft i 2019 og som fastsetter en prosess for å definere grunnleggende nasjonale funksjoner som må beskyttes, og deres avhengigheter. Den gjelder staten, fylkene og kommunene, men også noen private aktører som har ansvar for viktige funksjoner og infrastruktur. Og så har vi Samfunnssikkehetsinstruksen kom i 2017 og stiller krav til departementenes arbeid med samfunnssikkerhet, herunder at man avklarer og beskriver roller og ansvarsområder innenfor samfunnssikkerhet i sin sektor, gjør systematiske risiko- og sårbarhetsanalyser av hendelser som kan true sektorens funksjonsevne, iverksetter nødvendige kompenserende tiltak og utarbeider mål for samfunnssikkerhetsarbeidet. Dessuten har departementet ansvar for håndtering av kriser, noe som betyr at det må være et planverk og det må jevnlig gjennomføres øvelser, også på det digitale samfunnssikkerhetsområdet.

Hvorfor må departementene forholde seg til, planlegge for og rapportere innenfor to ulike, men delvis overlappende sett med lov- og regelverk? Her overlater jeg til Riksrevisjonen å svare:

"Myndighetene har ulike rammeverk for å identifisere grunnleggende nasjonale funksjoner og tilhørende avhengigheter og for å identifisere samfunnets kritiske funksjoner og understøttende virksomheter. Direktoratet for samfunnssikkerhet og beredskap utgav Veileder for samfunnets kritiske funksjoner i 2016, mens Nasjonal sikkerhetsmyndighet utgav Veileder i departementenes identifisering av grunnleggende nasjonale funksjoner i 2020. Veilederne redegjør for sentrale begreper og metoder i prosessen med å identifisere og vurdere de nevnte funksjonene og tilhørende avhengigheter / understøttende virksomheter. 

Grunnen til at det er etablert to rammeverk, er at rammeverket for samfunnets kritiske funksjoner gjelder samfunnssikkerhet, mens rammeverket for grunnleggende nasjonale funksjoner gjelder nasjonal sikkerhet. Nasjonal sikkerhet er definert som statssikkerhet og en avgrenset del av samfunnssikkerhetsområdet som er av vesentlig betydning for statens evne til å ivareta nasjonale sikkerhetsinteresser. (...) Som følge av at disse områdene overlapper, er det også deler av samfunnets kritiske funksjoner som overlapper med grunnleggende nasjonale funksjoner. Nasjonal sikkerhetsmyndighet oppfordrer derfor departementene om å benytte Direktoratet for samfunnssikkerhet og beredskaps rammeverk for samfunnets kritiske funksjoner i arbeidet med å identifisere og vurdere grunnleggende nasjonale funksjoner. Direktoratet for samfunnssikkerhet og beredskap viser også til at rammeverkene har ulike formål, og at det er ulik grad av forpliktelse knyttet til rammeverkene..."

Det står noe mer om forskjellene mellom de to rammeverkene også, uten at det nødvendigvis blir krystallklart av den grunn, og Riksrevisjonen peker også på at det i følge DSB er en del forvirring i departementene fordi de må forholdes seg til to ulike rammeverk som dekker omtrent samme temaer, men er delt opp på litt ulike måter og krever litt ulik oppfølging. 

Hva så med virksomheter ellers i samfunnet, offentlige og private, som ikke er underlagt sikkerhetsloven, men som har en rekke digitale samfunnssikkerhetsutfordringer de må forholde seg til? Og som lurer på hvilke krav som gjelder for dem og hva de skal gjøre. I Riksrevisjonens rapport kan vi lese at de har identifisert og gått igjennom 6 generelle og 15 sektorspesifikke lover som berører virksomheters arbeid med digital sikkerhet. Riksrevisjonen skriver:

"Som nevnt finnes det en rekke regelverk som direkte omhandler eller som berører virksomheters arbeid med digital sikkerhet. Overordnet kan regelverkene deles inn i generelle lover, for eksempel sikkerhetsloven og personopplysningsloven, og sektorspesifikke lover, for eksempel energiloven og helseregisterloven. Vi har identifisert og gjennomgått seks generelle og 15 sektorspesifikke lover med tilhørende forskrifter"

10 av disse 15 sektorspesifikke lovene inneholder i følge Riksrevisjonen krav om digitale sikkerhetstiltak. Og for å komplettere oversikten ytterligere har de gått igjennom 36 veiledere knyttet til det generelle lovverket og 16 veiledere knyttet til det sektorspesifikke lovverket for å se om disse henger sammen. Konklusjonen er at de verken er samordnet eller brukervennlige. Og det pekes på at det til tross for mange og overlappende lover, forskifter og veiledere ikke er så lett å finne konkrete råd om hva man skal gjøre fordi lovverket i stor grad er funksjonsorientert og prosessorientert (hvordan man skal arbeide for å ha tilstrekkelig oversikt over risiko og tilfredsstillende sikkerhet, men ikke hva dette er eller hva man konkret skal gjøre), 

Mange digitale sikkerhetsutfordringer må løses på tvers av virksomheter og sektorer. Derfor må flere departementer, etater og andre virksomheter må være involvert. Og de må være involvert på en måte der de ikke bare går på noen møter og får informasjon, men faktisk planlegger og organiserer seg for å løse problemer sammen. Digital teknologi bidrar nok også til at mange utfordringer blir enda mer sektorovergripende enn før. Riksrevisjonen viser at den norske modellen har vært å opprette "samordningsareaner" mellom virksomheter, med litt ulike lederskap og med delvis overlappende deltagerkretser, for å finne ut av disse utfordringene. Og Riksrevisjonen har funnet hele 19 ulike samordningsarenaer for myndighetenes arbeid med digital sikkerhet. 

Der er det er ikke bare mye overlapp i deltagerkretsen, men også i hvilke oppgaver de skal løse. I noen tilfeller her samme oppgave flere samordningsarenaer med ulikt lederskap. Noen steder kan det være hull. Men felles for de fleste av disse arenaene (ikke alle) er at de har et lavt aktivitetsnivå, lave strategiske ambisjoner og nøyer seg med å være steder der man deler informasjon. Av disse 19 samordningsarenaene er 16  rettet mot myndighetenes forebyggende arbeid med digital sikkerhet. De tre siste er rettet mot hendelseshåndtering: Kriserådet, Felles cyberkoordineringssenter og Nasjonalt cybersikkerhetssenter.

Rapporten gjør et dypdykk ned i noen av disse 19 samordningsarenaene for å finne ut om det der skjer noen faktisk samordning av betydning, for eksempel i form av felles planer og tiltak. Resultatet er temmelig nedslående. Rapporten ser også på hvordan de sektorvise responsmiljøene som skal håndtere digitale sikkerhetshendelser er satt opp og fungerer. Og om det er områder som ikke er ivaretatt. Også her er noe som fungerer bra, for eksempel finanssektoren og eksrektoren har kommet langt, mens andre har kommet veldig kort.

Denne delen av Riksrevisjonens rapport inneholder også en vurdering av det digitale sikkerhetsarbeidet i kommunesektoren (Her kan det virke som KDD og JD ikke engang er helt enige om hvilket av departementene som har det faglige lederansvaret), de har sett på digital sikkerhet som tema i etatsstyringen av underliggende virksomheter og på samordning av de ulike tilsynsorganene på det digitale sikkerhetsområdet.

"2. Justis- og beredskapsdepartementet har ikke sørget for god nok informasjon om den nasjonale digitale sikkerhetstilstanden."

Det kan kanskje høre ut som en litt underlig problemstilling at man må undersøke om det ansvarlige departementet sørger for god nok informasjon til seg selv og andre, men dette er faktisk en stor problemstilling. Riksrevisjonen peker på at departementene nå særlig nevner innføring av ny sikkerhetslov som et informasjonsproblem. I forbindelse med implementeringen av ny sikkerhetslov er det slik at departementene skal identifisere "grunnleggende nasjonale funksjoner" som er sentrale for nasjonal sikkerhet. I den forbindelse må det også kartlegges ulike avhengigheter grunnleggende nasjonale funksjonene har i egen sektor og på tvers av sektorene. For eksempel hvilke funksjoner (strøm, tele, vann, transport?) man er avhengige av fra andre sektorer for å fungere. Dette arbeidet er forsinket og er noe av det som må være avklart for at informasjonsflyten om tilstanden på sikkerheten skal fungere. 

Riksrevisjonen peker også på at det noen ganger settes i gang prosesser og utredninger for nettopp for å nøste i komplekse digitale sikkerhetsutfordringer. De blir kanskje publisert, men ting stopper opp før det blir noen oppfølging. Et interessant eksempel på dette omtales i rapporten:

"Høsten 2019 leverte Direktoratet for samfunnssikkerhet og beredskap rapporten Risikostyring i digitale verdikjeder til Justis- og beredskapsdepartementet. Rapporten ble utgitt i januar 2020. Et sentralt funn i rapporten er at myndighetene i begrenset grad kan styre sikkerheten i de digitale verdikjedene direkte. De fleste digitale verdikjedene strekker seg utenfor Norges grenser og opereres i stor grad av private leverandører og underleverandører. Direktoratet for samfunnssikkerhet og beredskap forteller at de ikke har mottatt noen konkret oppfølging av rapporten fra Justis- og beredskapsdepartementet, men at de ba om å få legge den ut på nettsidene sine. Utover dette har ikke Direktoratet for samfunnssikkerhet og beredskap fått flere oppdrag knyttet til rapporten. Det er heller ikke planlagt noen konkret oppfølging eller implementering av rammeverket."

Et annet nokså pussig forhold Riksrevisjonen omtaler er at i  henhold til samfunnssikkerhetsinstruksen skal departementene som et ledd i arbeidet med samfunnssikkerhet utarbeide og vedlikeholde systematiske risiko- og sårbarhetsanalyser. Det er en lengre omtale i Riksrevisjonens rapport om hvordan dette arbeidet foregår og hva informasjonskildene er. Men så skriver de at Justisdepartementet ikke bruker noen av disse analysene fra departementene i sitt arbeid med å holde oversikt over sikkerhets- og sårbarhetstilstanden:

"Justis- og beredskapsdepartementet forteller i intervju at de ikke bruker departementenes risiko- og sårbarhetsanalyser som kilde for å holde oversikt over den digitale sikkerhetstilstanden. Selv om departementene vurderer sårbarheter i egne sektorer i disse analysene, er Justis- og beredskapsdepartementet usikker på om de dekker den digitale sikkerheten godt nok til å gi innsikt i den digitale sikkerhetstilstanden. Siden departementene utfører risiko- og sårbarhetsanalysene på ulike måter, antar Justis- og beredskapsdepartementet at arbeidet med å sammenstille analysene ville ha vært for ressurskrevende og utfordrende sammenlignet med det utbyttet de hadde fått igjen for det."

Så kan man jo lure på hva vitsen er med å legge masse arbeid i å produsere en analyse for hvert departement som ikke brukes av de som er satt til å ha det overordnede ansvaret for å skaffe og analysere informasjon om sikkerhetstilstanden.

"3. Justis- og beredskapsdepartementet har ikke sørget for god nok oppfølging av Nasjonal strategi for digital sikkerhet."

Samfunnssikkherhetsområdet er ganske rikt på utredninger og strategier, og det kom også en egen stortingsmelding om digital sikkerhet i 2017 som ble fulgt opp av en Nasjonal strategi for digital sikkerhet i 2019. Dette er gode dokumenter, og Riksrevisjonen peker på at noen av tiltakene her også gjentar tiltak som er presentert i tidligere strategier og meldinger, Problemet er at de av ulike grunner ikke blir fulgt opp slik de burde. Selv om ansvar er plassert og frister er satt, avdekket en statusgjennomgang gjort av JD i 2021 at av de 63 tiltakene i tiltaksoversikten fra Nasjonal strategi for digital sikkerhet var mye ikke gjennomført og noe var ikke igangsett i det hele tatt. Pandemien forsinket nok enkelte ting, men Riksrevisjonen skriver også at:

"I tiltaksoversikten står det at tiltakene skal understøtte målene i strategien, men det går ikke fram i hvilken grad tiltakene er tilstrekkelige til å nå målene i strategien, eller om det er deler av strategien hvor det ikke er planlagt eller iverksatt tilstrekkelige tiltak. Etter vår vurdering burde det ha vært gjort en vurdering av hvordan tiltakene understøtter målene i strategien. Det burde også ha gått klart fram om det er områder i strategien hvor det mangler tiltak. Justis- og beredskapsdepartementet har ikke oppdatert tiltaksoversikten med nye tiltak eller endringer i pågående tiltak. Dette ville gitt myndighetsaktørene en bedre samlet oversikt over sentrale tiltak som er iverksatt for å ivareta og styrke den nasjonale digitale sikkerheten."

"4. Justis- og beredskapsdepartementet har ikke lagt godt nok til rette for tverssektoriell hendelseshåndtering."

Som en del av samordningsrollen på samfunnssikkerhetsområdet har Justis- og beredskapsdepartementet også ansvar for å gjennomføre nasjonale øvelser og sørge for at problemstillinger på tvers av flere sektorer blir håndtert rent operativt, også når hendelser inntreffer. Dette handler også om å ha et felles rammeverk for digital hendelseshåndtering, tekniske systemer for varsling av uønsket aktivitet og kommunikasjon mellom beredskapsaktører. I denne delen av rapporten får Nasjonalt Cybersikkerhetssenter ros av flere, men mye annet i etatene, i de tekniske systemene for varsling, øvelser og i selve håndteringen av konkrete hendelser får kritikk. Riksrevisjonen oppsummerer denne delen av ut utfordringen slik:

"En annen del av Justis- og beredskapsdepartementets samordningsrolle på samfunnssikkerhetsområdet går ut på å gjennomføre nasjonale øvelser og Dokument 3:7 (2022–2023) 22 sørge for at utfordringer på tvers av flere sektorer blir håndtert. Sentrale tiltak omfatter blant annet å få på plass et felles rammeverk for digital hendelseshåndtering og tekniske systemer for varsling av uønsket aktivitet og kommunikasjon mellom beredskapsaktører. Undersøkelsen viser at gjennomføringen av flere av disse tiltakene er forsinket og at viktige elementer av tverrsektoriell hendelseshåndtering ikke har blitt øvet som planlagt."

Så langt beskrivelsene fra Riksrevisjonen. Deres jobb er å avdekke og beskrive problemene og fortelle Stortinget og allmennheten dersom noe som er blitt lovet ikke er gjennomført. Riksrevisjonen har ikke nødvendigvis svarene på hva som skal gjøres og i hvilken rekkefølge, men de peker på hvem som har ansvaret for å finne disse svarene. I dette tilfellet handler det om Justis og beredskapsdepartementet, men også om de sentrale sikkerhets- og beredskapsetatene og de øvrige departementene.

Hva skal myndighetene så gjøre for å få sortert ut og få løst våre digitale sikkerhetsutfordringene inne i all denne kompleksiteten? Med alle lovverkene og alle samordningsarenaene. Det kan virke umulig å få en god nok oversikt til å vite hvor man skal begynne og hva som har effekt. Ikke minst hvor det er hindringer og motkrefter som står i veien for et mer operativt tverrgående samarbeid som my ryddes av veien. For politikere som blir satt inn for å lede alt dette, og har ansvar for å gjøre noe, kan man lett bli temmelig overveldet når man langt fra er noen ekspert på verken sikkerhet, digitale trusler eller forvaltningens prosesser på tvers. En ting er å ha oversikt over etater, ansvarsområder, lover og budsjetter i egen sektor, men her krever Riksrevisjonen, og helt sikkert også Stortinget, at de ansvarlige lederne skal løse utfordringer på tvers av flere statsråders ansvarsområder. Hvordan går man egentlig løs på en slik oppgave?

Her har Riksrevisjonen levert en bra begynnelse på den jobben. Man kan til og med se på dette som et første trinn i en stor systemdesignprosess der de har kartlagt og beskrevet nåsituasjonen. De har tatt utgangspunkt i  overordnede samfunnsmål, kartlagt aktørbildet, sett på hvilke lover, forskrifter og veiledere som er relevante, gjennomgått tiltakene som er lovet i meldinger og strategier, undersøkt samordningsarenaer som er satt opp for å løse tverrsektorielle problemer, men ikke fungerer, og laget oversikter over hva som er gjort og ikke gjort. Her er det enormt mye kunnskap om prosesser og avhengigheter som ikke er vist frem på denne måten før. 

Helst burde dette også bli visualisert i et eller flere store systemkart for å gjøre det lettere å få oversikt over hvordan alt dette henger sammen. En bedre helhetsoversikt skaper et bedre diskusjonsgrunnlag når man skal skape en felles forståelse av utfordringen og hvor de kritiske koblingene i systemer er. Den er også til hjelp når man skal  finne punktene der man bør sette inn innsatsen. Og jeg tror en slik systemorientert designtilnærming er en god metode også i fortsettelsen av dette arbeidet, når de ansvarlige skal involvere, sortere, prioritere og organisere dette økosystemet av aktører som nå må finne bedre måte å samarbeide om å løse problemer. En redesign av systemet. Roller og ansvar må tydeliggjøres og lovverk og prosesser bør strømlinjeformes og forenkles. Kanskje det da hadde vært nyttig med en form for veikart for den videre prosessen også, med hva som skal gjennomføres og i hvilken rekkefølge. For om tre år kommer Riksrevisjonen tilbake for å undersøke om det har skjedd noe med problemene de påpekte sist.

Jeg tenker også at mange av aktørene i dette komplekse samspillet av etater og organer nå har en egeninteresse i få opp noen slike systemkart som beskriver sammenhenger og kompleksiteter i dagens system, gjerne supplert med et målbilde som viser hvordan ting kan og bør være skrudd sammen i fremtiden, og som kan fungere som et rammeverk for en bedre diskusjon. Det er også lurt hvis vi ønsker virksomheter som ikke gjør hver sine ting hver for seg, men faktisk lager felles strategier og planer. Riksrevisjonens del av jobben er ferdig. Nå er det de myndighetene som blir kritisert som må vise at de kan levere. De som eier beskrivelsen av dagens virkelighet, beskrivelsen av hvordan en bedre fremtid kan se ut og veikartet som viser hvordan vi kan komme dit, legger premissene hvor hva som skal skje videre. Det blir spennende å se om DSB, NSM eller Justis- og beredskapsdepartementet vil ta den lederrollen.