Nye trussel- og risikovurderinger fra myndighetene

Tre statlige sikkerhetsmyndigheter har kommet med nye og oppdaterte trussel- og risikovurderinger. Det er nok slik at de blir bedre av å være dagsaktuelle, og med dagens krevende omgivelser og trusselbide er det i hvert fall ikke vanskelig å være konkret og aktuell om hva som truer Norge.

Forsvarsminister Tore O. Sandvik (Ap) og justis- og beredskapsminister Astri Aas-Hansen (Ap) innledet på pressekonferansen 5. februar, dagen etter at begge var utnevnt til nye statsråder. På en nyhetssak hos Regjeringen.no kan man lese både innleggende deres og om de tre rapportene som ble presentert. Det er lenker der til alle tre rapporter, som er fra Etteretningstjenesten, Politiets sikkerhetstjeneste (PST) og Nasjonal Sikkerhetsmyndighet (NSM).

Kanskje kunne de tre rapportene vært gitt ut som en felles rapport. Selv om de tre etatene har tre litt ulike ansvarsområder og roller, er det i stor grad de samme ytre begivenhetene og endringer i risikobildet de omtaler. Når de i senere år de har kommet så langt at de presenterer rapportene sammen, på samme pressearrangement, er det ikke mye som skal til for å gjøre de tre rapportene til en felles. Men det får komme når det kommer, det viktige er at det er sammenheng og konsistens på tvers.

Etteretningstjenesten og PSTs rapporter

Det er uansett grunn til å minne om hva de tre statlige etatene som presenterer trussel- og risikovurderingene har ansvar for. Etteretningstjenesten er en etat underlagt Forsvarsjefen og Forsvaret. E-tjenestens hovedoppgaver er å varsle om ytre trusler mot Norge og prioriterte norske interesser, støtte Forsvaret og forsvarsallianser Norge deltar i, og understøtte politiske beslutningsprosesser med informasjon av spesiell interesse for norsk utenriks-, sikkerhets- og forsvarspolitikk. Deres ugraderte rapport heter "Fokus 2025".

Politiets sikkerhetstjeneste (PST) er Norges innenlands etterretnings- og sikkerhetstjeneste, underlagt justis- og beredskapsministeren. PST har som oppgave å forebygge og etterforske alvorlig kriminalitet mot nasjonens sikkerhet. Som ledd i dette skal tjenesten identifisere og vurdere trusler knyttet til etterretning, sabotasje, spredning av masseødeleggelsesvåpen, terror og ekstremisme. Vurderingene skal bidra i utformingen av politikk og støtte politiske beslutningsprosesser. Deres ugraderte rapport heter Nasjonal trusselvurdering 2025.

Disse rapportene er blitt langt mer tydelige om hvor de største truslene mot sikkerhet og trygghet i Norge kommer fra enn de var for noen år siden. I Etteretningstjenestens rapport handler det mest om utviklingen i Russland, i Kina, og forholdet mellom Russland og Kina. Det er interessante analyser av hvordan krigen i Russland tærer på Russlands økonomi over tid og hvor mye viktigere Kina er for Russland, økonomisk og militært, enn Russland er for Kina. Mens Russland er under press ressursmessig, økonomisk og militært, er Kina blitt ledende på noen fremvoksende teknologiområder.

Rapporten beskriver også hvordan sankjoner og eksportkontrollregelverk blir omgått ved hjelp av tredjeland. Det er en omtale av hvordan utfordringsbildet når det gjelder beskyttelse av samfunnskritisk infrastruktur under vann ser ut, riktignok ikke spesielt konkret når det gjelder ansvar og roller. På slutten er det analyser av oppbygging av ny kjernevåpenkapasitet etter hvert som gamle nedrusningsavtaler faller bort, og det er en analyse av hvordan pågående konflikter i Midt Østen og Afrika bygger opp under økt polariering og er i ferd med å legge til rette for voksende terrorisme.

PSTs nasjonale trusselvurdering er også mest opptatt av Russland og Kina, men her er oppmerksomheten særlig rettet mot hva det betyr for statlig etterretningsvirksomhet, påvirkning og sabotasje i Norge. Her er det en gjennomgang av trusselutsatte teknologiområder og av ulike metoder fremmede staters etteretningstjenestesr bruker mot mål i Norge. Rapporten beskriver statlige cyberoperasjoner, gjerne gjennomført ved bruk av andre aktører, rekruttering av menneskelige informanter, etteretning ved bruk av sivile fartøyer, påvirkningsoperasjoner, sikkerhetstruende økonomiske virkemidler og transnasjonal undertrykkelse, det vil si trusler fra andre stater mot enkeltpersoner i Norge. Rapporten har også en oppdatert gjennomgang av terrortrusselen mot Norge fra ulike ekstreme ideologiske bevegelser.

NSMs Risko 2025

Den tredje rapporten er fra Nasjonal sikkerhetsmyndighet (NSM) Deres rolle er å være Norges direktorat for forebyggende sikkerhet med ansvar for å bedre Norges evne til å beskytte seg mot spionasje, sabotasje, terror og sammensatte trusler. Gjennom rådgivning, tilsyn, testing, forskning og utvikling bidrar NSM til at virksomheter sikrer sivil og militær informasjon, systemer, objekter og infrastruktur med betydning for nasjonal sikkerhet. I Risiko 2025, NSMs årlige risikovurdering, er målet å gi norske virksomheter bedre forutsetninger for å se eget sikkerhetsarbeid i en større sammenheng. Rapporten beskriver sårbarheter trusselaktørene forsøker å utnytte og tiltak for å redusere risikoen for at de lykkes

Selv om alle tre rappoerter har hevet seg og blitt stadig mer interessante, og dessverre stadig mer dagsaktuelle, de siste årene, tror jeg Nasjonal sikkerhetsmyndighets (NSM) har hevet seg aller mest. Det er mulig jeg overdriver litt, men jeg synes å huske at deres rapport tidligere var en litt sytete rapport som klaget over at andre ikke gjorde jobben sin, særlig når det gjaldt digital sikkerhet, og at de ikke hadde nok ressurser til å gjøre jobben, men at de egentlig ikke hadde så mye å komme med av konkrete analyser, innsikt eller råd. Den var rett og slett ikke på høyde med de to andre trusselvurderingene. Det har heldigvis endret seg de siste årene. 

I årets Risko 2025 har NSM valgt å presenterer en viktig og interessant meny av trussel- og risikovurderinger som også får frem bredden og kompleksiteten i utfordringene vi møter, og som NSM må forholde seg til. Rapporten er innom:

• Påvirkning og desinformasjon i forbindelse med valg.
• Tiltak for å redusere risikoen for sabotasje.
• Sikring mot insidevirksomhet i samfunnsviktige virksomehter.
• Sikring mot misbruk av nettverkstilkoblede elektroniske sensorer, blant annet innvendige og utvendige kameraer og mikrofoner i kjøretøy.
• Avhengigheter av satelittbaserte tjenester og hvordan disrupsjon av signaler kan gjøre skade.
• Sikkehet i forbindelse med forsvarets anskaffelsesprosesser
• Utenlandske investeringer i lokalsamfunn og infrastruktur, der Kirkenes havn er nevnt spesielt.

Digitale leverandørkjeder

Siste del av NSMs trussel- og risikovurderinger handler om digital sikkerhet og sårbarhet, det området jeg tror de fleste forbinder med NSM. Her synes jeg at deler av det NSM presenterer er litt mindre treffsikkert når det gjelder innsikt og anvendbarhet enn jeg skulle ønske. Det er fint at NSM beskriver ulike typer digitale angrep vi kan bli utsatt for, som løsepengevirus, nulldagssårbarheter og angriper-i-midten, der angriper kommer seg mellom offer og en tjeneste, og på den måten får lurt til seg informasjon. Det står noen linjer om hvordan kunstig intelligens er en økende  trussel, at mobiltelefoner og mobile enheter utgjør en viktig sårbarhet. Nyttige påminnelser alt sammen.

NSM minner oss om at det er kommet en ny digitalsikkerhetslov som implementerer NIS-1 direktivet fra EU i norsk lov. Når det gjelder behovet for et oppdatert lovverk som kan bidra til å bekjempe digitale trusler og angep er dette litt flokete landskapet med overlappende lovverk også tema i Totalberedskapsmeldingen, Det hadde ikke gjort noe om NSM kom med noen klarere meldninger om at det er blitt et stort problem at Norge henger langt etter EU når det gjelder oppdatert lovverk og gjerne også noen råd om hvordan vi innretter en ryddeprosess når det gjelder forholdet mellom disse lovverkene og anbefalinger om rydding i roller og anvar når det gjelder digital sikkerhet. Eller er det noen andre som skal komme med disse anbefalingene?

En gammel kjepphest jeg har er behovet for å beskrive hvordan et digitalt økosystem, digitale leverandørkjeder og digitale avhengigheter ser ut konkret. Jeg tror NSM kan gjøre mer enn å skrive at virksomheter skal: 

• "Kartlegg egne avhengigheter. Skaff oversikt over hvilke leverandørkjeder virksomheten er en del av, enten som kunde eller leverandør." 
• "Gjennomfør risikoreduserende tiltak for å redusere sikkerhetsrisikoen knyttet til leverandørkjeder."

Det er ingenting galt i dette, eller andre tiltak de anbefaler, tvert imot. Men hvordan ser en digital leverandørkjede egentlig ut? Her kunne det kanskje være en ide å beskrive det visuelt? Hva med å lage noen veiledere og eksempler på hvordan man kan gå frem når man skal lage en slik kartlegging, og hva kan bidra til at den blir forståelig for flere enn teknologene? For eksempel politikere og ledere? Er det flyten av dataene mellom ulike aktører og systemer som er viktig å få frem? Er det eierskapet til selskapene som står bak? Eller er det oversikten over komponenter i systemetne som kan utgjøre kritiske sårbarheter det er viktig å avdekke i en slik overikt? Eller kanskje alt på en gang? 

Jeg tror det blir stadig viktigere å få denne type informasjonen frem i en form som selv styrer og ledelser som ikke er digitale sikkerhetsspesialister kan forstå og handle på bakgrunn av. NSM kan gå foran og vise oss hvordan det kan gjøres.

Rapporten om NSMs leie- og låneforhold

Det var 8. desember i fjor nyheten sprakk om at NSM hadde inngått en ulovlig leie- og låneavtale  i forbindelse med flytting til nye lokaler på Fornebu. Da kom det også frem at en hel del annen vesentlig informasjon om NSMs reelle økonomiske situasjon ikke var formidlet til Justisdepartementet, NSMs eierdepartement. Det førte til to umiddelbare konsekvenser: Direktøren i NSM gikk av og Stortinget måtte i all hast og rett før jul bevilge 200 millioner kroner for å innfri dette grunnlovsstridige lånet.

Men hva i all verden var det egentlig som skjedde her? Og kan vi være sikre på at det ikke er mer som ikke er i orden når statens sentrale sikkerhetsmyndighet bryter bevilgningsreglement og grunnlov, og lar være å fortelle sitt eierdepartement hva de holder på med? 

Her synes jeg regjeringen gjorde et svært klokt grep ved å raskt utnevne et uavhengig utvalg for å svare på dette. Et særdeles erfarent og kompetent utvalg ledet av Svein Gjedrem og med Karen Kvalevåg og Tor-Aksel Busch som medlemmer. Utvalget har jobbet raskt og deres rapport "NSMs leie av Snarøyveien 36" ble lagt frem 1. mars. Den er på omkring 80 sider og er ryddig og pedagogisk i formen. Utvalget er tydelige på hva de svarer på og hva de ikke svarer på. De beskriver og gir anbefalinger om ting de har hatt mulighet for å finne ut av, og som ligger innenfor mandatet, men gir også noen betraktninger om undersøkelser og tiltak som må skje i andre spor. Jeg synes særlig det er tre ting som er verdifullt med denne rapporten:

Regelverk og handlingsrom

For det første gir den en god oversikt og innramming av hva som gjelder for statlige direktorater. Hva slags regler som finnes og hva handlingsrommet er generelt, i saker med økonomiske konsekvenser og for det statlige bygge- og leieområdet spesielt. Nå er jeg kanskje litt nerdete som er opptatt av fullmakter, budsjettprosesser, utredningsinstrukser og slike ting, men jeg synes faktisk det er viktig med denne kunnskapen om hva som gjelder for statlige virksomheter, deres ledere og departementene som styrer dem. Og utvalget virker som de har samme grunnsyn når de skriver at:

"Ved ansettelse av ny leder i NSM ble det lagt vekt på evne til å utvikle de faglige leveransene fra organisasjonen og gjøre virksomheten og de samfunnshensynene den skal ivareta, synlige. JD kunne ha forsikret seg om – eventuelt ved egnet opplæring – at ny leder var rustet til å styre virksomheten løpende, herunder kontrollere NSMs økonomi."

Her bidrar utvalget også til folkeopplysningen. Hvis noen fortsatt påstår at det er vanskelig å få oversikt over alle budsjettregelverk, forskrifter, instrukser og rundskriv,  så fungerer ikke det ikke like godt lenger. Kapittel 3 i rapporten går igjennom det hele: statens regelverk for budsjett- og økonomistyring, regelverket for bygge- og leiesaker, krav til årsregnskap i statlige forvaltningsorganer, forholdet til  merverdiavgift, regelverket for offentlige anskaffelser, personalregelverk og lederansvar slik det fremgår av statsansattloven, statens lederplakat og hovedavtalen, og utredningsinstruksen. Det er en nyttig sjekkliste å ha.

Tidslinjen

For det andre, og det er jo hovedformålet med rapporten, så går den gjennom den konkrete saken for å belyse hva som har skjedd og ikke skjedd, og peke på hvem som har ansvaret. Det gjør den ved først, i kapittel 4, å presentere en tidslinje som begynner med overføringen av etatsansvaret for NSM fra Forsvarsdepartementet til Justisdepartementet i mai 2019, og helt frem til tilleggsbevilgningen som måtte vedtas i Stortinget for å innfri lånet i desember 2023.

Det er en ganske merkelig fortelling som kommer frem i rapporten om en etat som enten ikke kan styringssystemet og regelverket i staten, eller kanskje har vært vant til at noen andre har ordnet slike ting for dem, men da Forvarsdepartementet ble byttet ut med Justisdepartementet var det plutselig ikke slik lenger. Det virker også som det har vært en underlig underliggende optimisme knyttet til at den sikkerhetspolitiske situasjonen er blitt slik at det helt sikkert kommer mer penger snart, så da er det ikke så farlig å ha flere ansatte og større husleiekostnader enn man har penger til. Tapte satsingsforslag i regjeringens budsjettkonferanse har blitt igangsatt likevel, uten penger  i budsjettet. Holdningen har vært at dette kommer til å ordne seg.

Rapporten er full av eksempler på denne optimismen. Utvalget skriver om hvordan NSM ba om flere folk, ba om å utvidet leiearealet med en ny etasje og arbeidet for nye satsinger, uten å fortelle sitt eierdepartementet at tiltak de allerede hadde satt i gang var betydelig underfinansiert. Så kan det se ut som det våren 2023 var kommet så langt at det var umulig å gjemme bort problemene:

"24. mai oversendte NSM «Virksomhets- og regnskapsrapport 1 2023» til JD og FD. I rapporten, som er for første tertial, anslås det en prognose på merforbruk på driftsposten på 26 mill. kroner i 2023. 26. mai sendte JD e-post til NSM og ba om mer utfyllende informasjon til rapporteringen, herunder at det redegjøres nærmere for årsakene til den økonomiske situasjonen. NSM svarer på bestillingen 30. mai. NSM peker i svaret på at «organisasjonen har helt fram til siste del av 2022 hatt begrenset administrativ kapasitet, høy turnover og har dermed ikke hatt nødvendig kapasitet til å forvalte, utvikle og effektivisere seg på en planmessig måte». NSM viser videre til at «våren og sommeren 2022 fikk NSM tydelige styringssignaler om å øke kapasiteten så raskt som mulig. Det ble gitt signaler om at opptrappingen til NSM ville fortsette å øke. […] Tildelingene til NSM har ikke økt som tidligere signalisert.» NSM estimerer at de i 2023 har fått tildelt 11 mill. kroner mindre enn forventet og henholdsvis 26 og 33 mill. kroner for 2024 og 2025. NSM viser i tillegg til at de har fått flere nye oppgaver uten at disse er blitt tilstrekkelig finansiert."

Når døren for å bruke mer penger enn man faktisk har blir effektivt lukket, finner NSM plutselig ut at de vil lansere en ny virksomhetsmodell der de skal skaffe nye inntekter gjennom rådgivningsvirksomhet til eksterne kunder. Akkurat hvordan en etat med ansvar for rikets sikkerhet skal differensiere sine råd ut fram hvem som er villig til å betale, er uklart, og også denne døren blir effektivt lukket. Men de økte husleiekostnadene ble fortsatt ikke nevnt:

"28. juni ble det avholdt et oppfølgingsmøte, hvor NSM blant annet redegjorde for internkontrollen i NSM, for iverksatte tiltak for å holde budsjettet og for generelle forbedringstiltak på økonomiområdet. Direktoratet pekte i tillegg på et arbeid med å utvikle en «forretningsmodell innen råd og veiledning». JD understreket at NSM er en ordinær, bruttobudsjettert virksomhet med bevilgning over statsbudsjettet. En ev. inntektsgivende rådgivningsvirksomhet vil derfor måtte rammes inn av bevilgningsreglementet og statsstøttereglementet. Departementet åpnet for videre dialog «for å klargjøre aktuelle rammebetingelser for inntektsgivende virksomhet, men ser ikke på dette som en aktuell løsning for NSMs økonomiske utfordringer verken nå eller på sikt.» Det er ikke spor i rapporter eller referater om at NSM har orientert om framtidige konsekvenser av at husleiekostnadene vil være vesentlig høyere enn opprinnelig forutsatt."

En mer konsentrert oppsummering av hva utvalget mener er gjort feil i denne saken finnes i kapittel 6, Her er det 14 forhold som gjelder NSM og 5 forhold som gjelder Justis- og beredskapsdepartementet (JD). Disse sidene anbefales for å få en kompakt gjennomgang av hva som er gjort galt, og hva av dette som er særlig alvorlig.

Forslag til tiltak

Det tredje som er verdifullt i en slik rapport er naturligvis forslagene til både umiddelbare og mer langsiktige tiltak. Her er det forsalg om at NSMs ansvar bør beskrives i selve sikkerhetsloven og at budsjettprosessen i NSM med tilhørende ønskelister bør skje en gang i året, og ikke flere. Mer generelt for statlige virksomheter er det forslag om en tydeliggjøring av fullmakten til å inngå leieavtaler utover budsjettåret, forslag om endringer i statens bygge og leiestrategi for å sikre at formålsbygg og ikke leiebygg er hovedregelen når det må gjøres store og dyre sikkerhetsmessige tilpasninger. Og utvalget ønsker også en tydeliggjøring av Statsbyggs rolle som en obligatorisk faglig rådgiver i slike saker, slik at ikke hver etat og hvert departement skal ha hvert sitt sett med eksperter. Det virker fornuftig alt sammen.

I tillegg er det noen tiltak som bærer preg av at det heldigvis er høyst uvanlig at statlige etater har så dårlig oversikt over de økonomiske konsekvensene av beslutninger de har tatt før, som bruker penger på tiltak det ikke er bevilget penger til eller holder tilbake informasjon om sin reelle økonomiske situasjon. Men siden NSM er i den situasjonen de er i, og når det åpenbart bør undersøkes om det er flere ting som ikke er i orden, ber utvalget om at det også gjøres en mer fullstendig ekstern gjennomgang av NSM. De skriver at:

"Det er ikke opp til utvalget å vurdere NSMs generelle oppgaveløsning. NSM har et viktig samfunnsoppdrag, ikke minst i den sikkerhetspolitiske situasjon vårt land nå befinner seg i. I forbindelse med vårt arbeid er det – naturlig nok – ikke til å unngå at det til utvalget tilflyter atskillig informasjon som sier noe om hvordan enheten løser sine oppgaver. Dette faller utenfor vårt mandat å bedømme og kommenteres ikke nærmere. Men det gis like fullt en anbefaling fra utvalget om at det bør nedsettes en bredt sammensatt gruppe som får i oppgave å gjennomgå NSMs oppgaver, organisering, grensesnitt mot andre aktører innenfor den sikkerhetspolitiske arena, bemanning og selve oppgaveløsningen. NSM ble opprettet i 2003 og kunne med fordel vært gjenstand for en slik gjennomgang tidligere"

Det høres også ut som en god anbefaling. 

Et nytt Lysne-utvalg

Alltinget om Lysne-utvalget 3.0

Regjeringen har satt ned et nytt utvalg ledet av Olav Lysne som skal se på sikkerhet, beredskap og eierskapskontroll med digital infrastruktur. En god og erfaren utvalgsleder, mandatet er godt og utvalget er bra sammensatt. Men denne oppnevningen har også noen litt overraskende politiske og forvaltningsmessige sider både når det gjelder mandatformuleringen og hvem som er oppdragsgiver i regjeringen.

For å ta det i tur og orden: Utvalget skal ledes av Olav Lysne, professor ved OsloMet og direktør ved SimulaMet. Han er god både som forsker og formidler, ja faktisk så god at han under forrige regjering ledet to utvalg på beslektede temaer: NOUen om Digital sårbarhet og sikkerhet, et utvalg oppnevnt av Justisdepartementet, og det såkalte Lysne 2-utvalget oppnevnt av Forsvarsdeparetmentet, et ekspertutvalg som utredet det som dengang ble kalt "Digitalt grenseforsvar" og kom i 2016. Nå får vi det tredje Lysne-utvalget med sikkerhet og beredskap som tema.

Også denne gangen handler det om et ekspertutvalg som skal komme med råd om hvordan vi håndterer digital sikkerhet og beredskap, særlig knyttet til kommunikasjonsinfrastruktur. Utvalget er sammensatt av folk med teknologisk kompetanse, noen er i sentrale sikkerhets- og beredskapsroller, flere har forvaltningskunnskap og det er noen med erfaring fra norsk næringsliv som jobber i internasjonale leverandørkjeder. Trusselbildet er i rask endring på det digitale området, dels fordi den sikkerhetspolitiske situasjonen er forverret og fordi teknologien er endring, men kanskje aller mest fordi vår avhengighet av digital infrastruktur og kritiske samfunnsfunksjoners avhengighet av digitale systemer og infrastruktur har økt veldig de siste årene. 

Mandatet sier at utvalget skal lage en oversikt over kritisk digital kommunikasjonsinfrastruktur av regional eller nasjonal betydning som er viktig for statssikkerheten, for samfunnssikkerheten og er bærer av tjenester av høy betydning for kritiske samfunnsfunksjoner. Og helt konkret skal utvalgets oversikt: 

"...inkludere en vurdering av følgende typer infrastruktur (både hardware og software):

• mobil- og bredbåndsnett
• transportnett
• undersjøiske fiberkabler
• datasentre
• satellittkommunikasjonssystemer
• særlig viktige anlegg som er viktig for hele krisespennet, blant annet fortifikatoriske anlegg/fjellanlegg"

Dette er et viktig og nødvendig arbeid og ikke minst viktig fordi Norge ligger kraftig på etterskudd med implementeringen av EUs direktiver på it-sikkerhetsområdet. Vi har ennå ikke implementert forrige versjon, mens EU nylig har vedtatt en oppdatert utgave i form av NIS 2 direktivet. 

Men det et er også noen pussigheter i dette, som på ingen måte er utvalgets feil, men som ligger i langsomme og lite forutsigbare politiske prosesser, der det ikke alltid er lett å forstå sammenhengen mellom den politiske retorikken som brukes når et arbeid settes i gang, og det som faktisk skjer etterpå. La meg nevne to ting:

Noen vil kanskje huske at tilbake i desember 2022 ble laget en stortingsmelding om "Nasjonal kontroll og digital motstandskraft for å ivareta nasjonal sikkerhet", med mye slagordpreget retorikk om nasjonalt eierskap, men som var fragmentert, anekdotisk og ganske tynn på konkrete tiltak. Jeg skrev om den på bloggen her. Så skulle man kanskje håpe at det i året som har gått ville komme en viss fremdrift i dette arbeidet med å utvikle og konkretisere tiltakene og å sørge for at Norge kommer på linje med våre europeiske samarbeidspartnere når det gjelder lov- og regelverk som ivaretar sikkerheten. Men i stedet har regjeringen tatt et skritt tilbake og utnevner et ekspertutvalg. Retorikken fra 2022 var kanskje ikke så lett å implementere i konkrete tiltak likevel.

Det andre jeg må nevne er en interessant utvikling når det gjelder ansvarsplassering. Mens den nevnte stortingsmeldingen i 2022 kom fra Justisdepartementet og det også er JD som i følge en kongelig resolusjon fra våren 2013 er gitt samordningsansvaret for den forebyggende it-sikkerheten i samfunnet, er det Digitaliserings- og forvaltningdepartementet som nå har utnevnt ekspertutvalget som skal behandle temaer og tiltak som er midt i kjernen av den digitale samfunnssikkerheten. Er det fordi JD sliter med å levere på dette oppdraget? Er det fordi samordningsansvaret for ikt-sikkerhet og beredskap skal flyttes vekk fra Justisdepartemenetet og tilbake til det som i 2013 het Fornyingsdepartementet og nå heter Digitaliserings- og forvaltningsdepartementet? Eller er begrunnelsen rett og slett at sektoransvaret for elektronisk kommunikasjon, det vil si mobil, bredbånd og datasentre ligger hos digitalisering- og forvaltningsministeren, og det er i egenskap av å være sektordepartement på ekom de har tatt ballen og løpt av gårde? Jeg vet ikke svaret, og heller ikke om det har vært noen kamp mellom departementene om å ha hovedrollen, men litt interessant er det jo.

Jeg tror vi også ser noen tydelige tegn til at flyttingen av ansvar har påvirket mandatet. Ja, formuleringer om "nasjonal kontroll" er fortsatt der, men nå stilles det gode og ganske åpne spørsmål om hva det egentlig betyr i praksis og hvordan ulike eierformer kan utfordre viktige sikkerhets- og beredskapshensyn. Noe premiss om statlige eide datasentre og skytjenester eller statlig eierskap til nettinfrastruktur er ikke der, slik det var tidligere. Dessuten er det tatt inn gode formuleringer om at det i internasjonale digitale verdikjeder er flere ulike hensyn som må tas hensyn til for å ivareta sikkerheten. I mandatet står det at:

"Digitale kommunikasjonsnett bygger på internasjonale standarder og et sterkt globalt økosystem med raskt teknologisk utvikling. Innovasjon i bransjen er viktig, og Norge ligger langt fremme med digitalisering og utbygging av slik infrastruktur, med høy grad av dekning og kapasitet i mobil- og bredbåndsnettene. Utvalget skal vurdere hvilken effekt virkemidlene for nasjonal kontroll kan ha for videre utvikling og innovasjon. Forslagene fra utvalget skal ta hensyn til behovet for videre utvikling og innovasjon, og skal i størst mulig grad legge til rette for dette. Utvalget skal også ta hensyn til sikkerhetssidene ved lange, komplekse og internasjonale digitale verdikjeder. Utvalget skal beskrive hvordan reguleringsregimer eller andre hensyn til nasjonal kontroll er ivaretatt i nordiske land."

Det er godt disse erkjennelsene synker inn. Sannsynligvis burde dette tredje Lysne-utvalget blitt satt ned langt tidligere, men det er bedre at det kommer nå enn at det ikke kommer i det hele tatt. Jeg ser også at utvalget utstyres med et sekretariat med fagekspertise fra Nasjonal kommunikasjonsmyndighet (Nkom). De har lang erfaring med å både være opptatt av sikkerhet og beredskap, inkludert virksomheter underlagt sikkerhetsloven, og samtidig har de ansvar for reguleringer og rammeverk for noen svært innovative og teknologiintensive virksomheter i konkurranseutsatte markeder. Og god greie på forvalting av EU-reguleringer. Når både Pål Wien Espen, direktør i Nkom og NSMs Bente Hoff er med i utvalget tenker jeg det bidrar til at arbeidet gir oss den oversikten og de virkemiddelforslagene vi trenger for å redusere den digitale sårbarheten.

Det digitale risikobildet 2023

Nasjonal Sikkerhetsmyndighet (NSM) har kommet med en ny rapport, "Nasjonalt digitalt risikobilde 2023", en rapport om våre nåværende og fremtidige sårbarheter det er vel verdt å lese. 

Her er det flere kjente temaer, men med gode oppdaterte beskrivelser, og noen nyere problemstillinger det er veldig interessant å lese om, spesielt  i kapitlet om Digitale trender og utviklingstrekk. Det tar opp hvordan kunstig intelligens påvirker sikkerhet og sårbarhet, og også at kraftige kvantedatamaskiner om noen år kommer at dagens krypterte data blir langt mindre sikre. De som vil bryte seg inn hos andre får langt bedre verktøy. I begge tilfeller gjelder det å være forberedt og designe it-systemer man skal bygge nå langt mer motstandsdyktige mot endringer som kommer.

Rapportens tidsriktige forside har et bilde generert av Midjourney, en tjeneste som bruker kunstig intelligens til å lage bilder. NSM-rapporten begynner med en svært nyttig innledende gjennomgang av ulike cybersikkerhetstrusler, og har også tall som beskriver hvilke sektorer som er mest utsatt. Det mest utsatte er "tverrsektoriell forvaltning og modernisering", deretter følger "høyteknologi og næring", "forskning og utvikling" og forsvar. Men alle sektorer er med, og ingen er unntatt fra disse utfordringene. 

Tilnærmingen til kunstig intelligens i det digitale risikobildet er interessant ved at den er fremoverlent og allerede i overskriften slår fast at "Vi trenger kunstig intelligens for økt cybersikkerhet" men slår samtidig fast og vi også "trenger cybersikkerhet for kunstig intelligens". Her omtales både faren for at det er kryptografiske bakdører det er umulige å oppdage og "forgiftede" treningsdata. Men samtidig løftes kunstig intelligens frem som en viktig del av verktøykassen for å oppdage og bekjempe angrep og sikkerhetstrusler.

Siste del av rapporten beskriver ting vi sannsynligvis må bruke enda mer ressurser på fremover, som angrep på kritisk infrastruktur som olje-, gass- og kraftinfrastruktur ved å angripe styring- og kontrollsystemene. og rapporten er inne på hvordan selve omleggingen til stadig mer elektrifisering, blant annet på sokkelen og på landanleggene, og utbygging av flere vindparker på land og i havet, også gir nye digitale sårbarheter. 

Digitale leverandørkjeders sårbarhet er et tema jeg har kommentert før når jeg har skrevet om NSMs rapporter. Det er et området der vi åpenbart ikke har god nok oversikt og kontroll, og årets rapport trekker frem at avhengigheter mellom systemer som bruker åpen kildekode programvare og økt bruk av kunstig intelligens i ulike komponenter, bidrar til å øke kompleksiteten og uoversiktligheten.

På et område sliter jeg litt med å følge NSMs analyse, og hva de egentlig mener. Det gjelder det de sier er anbefalinger om hvordan vi skal innrette oss når det gjelder bruk av sikre skyløsninger. Det er en slags advarsel mot å bruke skyløsninger levert av de (få) store internasjonale leverandørene, og de peker på noe de kaller "nasjonal skytjeneste", men det er høyst uklart hva dette er, hvem som skal levere det, eller hva det vil koste. Et sted skriver NSM at:'

"Ved innføringen av en nasjonal skytjeneste vil enkelte hevde at konsentrasjonsrisikoen for samfunnskritiske IKT-tjenester øker. NSM erfarer samtidig at statlige virksomheters overgang til moderne skytjenester er preget av et fåtall leverandører. Man kan derfor stille spørsmål om man allerede i dag har en konsentrasjon av data og tjenester. Denne har i så fall oppstått ukontrollert eller ubevisst, samtidig som skytjenestene i liten grad er underlagt nasjonale kontrollmuligheter og påvirkning."

Akkurat her synes jeg tåken har senket seg litt ned over formuleringene i en ellers godt skrevet rapport. Saken er vel at det ikke er lett å sannsynliggjøre hvordan et helt nytt nasjonalt leverandørmarked skal oppstå og erstatte dagens dominerende skyløsninger. Så kan man si at dette ikke så viktig, for uklare strategier og anbefalinger blir det neppe noe av likevel. Og anbefalingene ellers i rapporten er stort sett klare og gode. selv om det naturligvis er slik at mye av det som omtales i rapporten har karakter av problembeskrivelser mer enn ferdige løsninger, og må jobbes videre med i tiden som kommer. 

Hvordan kartlegger man for eksempel sårbarhetene i store digitale økosystemer og leverandørkjeder som leverer til offentlig sektors kritiske samfunnsfunksjoner? Skal NSM ta initiativet til en områdegjennomgang? Eller er det hver enkelt sektor eller virksomhet som må ta ansvaret for å gjøre det selv? Hvor kommer den bestillingen fra? Eller kanskje det ikke skjer noe før Riksrevisjonen begynner å interessere seg for saken etter at det er sagt mange nok ganger at målet er å få bedre oversikt over digitale leverandørkjeder og Riksrevisjonen skal finne ut hva som er gjort.

Rapporten er ikke bare interessant når det gjelder det store fremtidsbildet, men har også noen gode beskrivelser og tips når det gjelder de sikkerhetsutfordringene virksomheter har i det daglige. Et av kapitlene er en gjennomgang av hvilke sårbarheter NSM oftest finner når de gjennomfører inntrengningstester i norske virksomheters informasjonssystemer. Den viser at de største og viktigste problemene i volum ikke nødvendigvis er så teknologisk avanserte. Man kan komme langt hvis man skaper en grunnleggende forståelse rundt digital sikkerhet og har noen gode rutiner på plass. De tre områdene de nevner er for det første dårlige passord. For det andre slurv med tilganger, for eksempel at eldre administrasjonskontoer ikke er deaktivert. Og for det tredje eldre versjoner av operativsystemer og programmer som har feil og hull, og burde vært byttet ut. Ting det heldigvis er ganske lett å gjøre noe med.

Svært solide sikkerhetsråd fra NSM

I dag ble Nasjonal sikkerhetsmyndighets (NSM) Sikkerhetsfaglige  råd lagt frem for Regjeringen. Den gjør en svært solid jobb med å beskrive norske sikkerhetsutfordringer i bred forstand og svakheter i apparatet skal forebygge og hindre at det skjer skade, og kan trygt anbefales som et pensum for oss som trenger en slik bred beskrivelse av hvordan vi er satt opp for å møte disse truslene. Den kommer i en overkommelig versjon på ca 80 sider.

Tidligere har jeg noen ganger vært litt kritisk til at NSM er litt distansert, ja til og med litt sytete overfor andre myndigheter de mener ikke gjør jobben sin, mens de selv bare trenger mer ressurser. Der er ikke NSM nå. De tar et lederskap i å beskrive problemer og anbefale løsninger og fremgangsmåter for å finne løsninger på områder med komplekse sammensatte sikkerhetstrusler. Der det gjerne kreves et samarbeid på tvers av sektorer og nivåer for å finne gode svar. Og da kommer man ikke unna at både Regjeringen og sektordepartementene og sikkerhetsmyndighetene har en stor jobb å gjøre. 

Det er en ganske ambisiøst dokument NSM har skrevet, med mange ulike og til dels forskjelligartede utfordringer samlet i et felles dokument, og der det er flere gode beskrivelser av jobben som må igangsettes for å gjøre noe med svakhetene. Jeg kommer tilbake til noen av disse om et øyeblikk. 

I den grad Justisministeren og Forsvarsministeren hadde håpet at diagnosen fra NSM ville gi dem en slags støtte i at de er godt i gang med å løse problemene var det absolutt ingen slik støtte å hente. Tvert imot fikk de klar beskjed om at det er en enorm avstand mellom handlingene som er nødvendige og det som gjøres. Det er grunnleggende svakheter i måten særlige den tverrsektorielle beredskapen er satt opp og hvordan informasjon håndteres og deles med de som trenger den. Kritikken er til tider svært krass.

Riktignok ble det understreket at konteksten nå er at den sikkerhetspolitiske situasjon er blitt dramatisk annerledes og vanskeligere, noe som er godt beskrevet i trusselvurderingene som kom tidligere i år fra NSM, PST og Forsvaret. Men strengt tatt er det vel ingen av svakhetene i beredskapen og den for svake tverrsektorielle organiseringen som har oppstått på grunn av ytre forhold nå. Poenget er at  konsekvensene av problemer som allerede var der kan blir så mye mer negative nå.

Men, litt mer konkrete om innholdet, og noen sitater for å understreke hovedpoengene i denne analysen. Dokumentet går først igjennom den overordnede sikkerhetstenkingen og hvordan vi skiller mellom statsssikkerhet, samfunnssikkerhet, virksomhetssikkherhet og vår individuelle sikkherhet. Det beskrives også hvordan lovverket og organiseringen av sikkerhetsarbeidet er dimensjonert for å håndtere ulike nivåer av sikkerhetstrusler og -hendelser. 

I rapportens del 2, hoveddelen fra side 20, er det en ambisiøs tematisk gjennomgang av 12 kritiske områder. Alle er viktige, men jeg skal nøye meg med å nevne tre av de mest tverrgående og komplekse, som får sterk kritikk og som det vil være mest krevende å løse: 

Fra temaet "situasjonsforståelse og responsevne" har NSM flere lite beroligende analyser av situasjonen. La meg nevne disse:

"Både departementer og virksomheter har mangelfull oversikt over og forståelse av risikobildet. Som følge av dette har ikke myndighetene de nødvendige forutsetningene for å bygge et rettidig situasjonsbilde. Samlet sett betyr det at forebyggende sikkerhetsarbeid på alle nivå blir utilstrekkelig, og at myndighetenes responsevne risikerer å være reaktiv og fragmentert. Norge oppnår dermed ikke et forsvarlig nasjonalt sikkerhetsnivå. Rapportering om sikkerhetsstatus på skjermingsverdige verdier og kritiske samfunnsfunksjoner skjer i flere forskjellige løp og er ikke tilstrekkelig dekkende i alle sektorer."

og

"Flere virksomheter og sektorer etterlyser mer spesifikk informasjon fra myndighetene om trussel -og risikobildet for egen sektor. Det finnes en rekke bransjespesifikke fora og samordningskanaler for å dele informasjon til ulike virksomheter og sektorer. Mange av disse er imidlertid ad-hoc-preget og mangler systematikk og kontinuitet. Det er også flere virksomheter, både offentlige etater og private bedrifter, som ikke er tilknyttet slik informasjonsdeling."

Om temaet tverrsektoriell styring har NSM mye å si. Man trenger ikke lese mellom linjene for å skjønne at arbeidet med å innføre ny sikkerhetslov ikke akkurat er i rute, og at det særlig er arbeidet med å identifisere de grunnleggende nasjonale funksjonene (GNF) i henhold til sikkerhetsloven som er vanskelig. Og ekstra vanskelig er det når det er avhengigheter på tvers av sektorer som kan få kritisk betydning:

"Verdier som understøtter grunnleggende nasjonale funksjoner mangler sikring Identifiseringen av grunnleggende nasjonale funksjoner er en forutsetning for at departementene skal kunne vurdere hvilke virksomheter innenfor eget ansvarsområde som forvalter verdier av betydning for nasjonale sikkerhetsinteresser. Noen grunnleggende nasjonale funksjoner er tverrsektorielle, og ansvaret for disse er delt mellom flere departementer. I andre tilfeller forvalter virksomheter i én sektor verdier av betydning for grunnleggende nasjonale funksjoner i en annen. Manglende kartlegging av verdier får konsekvenser gjennom hele verdikjeden. Det medfører risiko for at verdier som blir forvaltet på tvers av sektorer ikke blir identifisert, eller at det oppleves som uklart hvem som har ansvaret."

En anne interessant påpeking er at Norge ikke har en overordnet samfunnssikkerhetsstrategi, men mange, Og det at det finnes sektorvise strategier er ikke så merkelig, men hva er det som gjelder på toppen av sektorenes prioriteringer. Hvordan finner man ut hva som gjelder for Norge? Det mener NSM ikke er så enkelt:

"Norge mangler omforente og enhetlige nasjonale sikkerhetsmål Ulikt mange av våre allierte har ikke Norge en overordnet nasjonal sikkerhetsstrategi. Myndighetenes føringer må fortolkes gjennom en rekke strategier og policydokumenter fra regjeringen og ulike departementer. Disse dokumentene, som langtidsplanen for forsvarssektoren og stortingsmeldinger fra Justis- og beredskapsdepartementet og Utenriksdepartementet, kommer til ulik tid og har skiftende sektorvise prioriteringer. Fraværet av en overordnet sikkerhetsstrategi gjør det krevende å nå overordnede nasjonale målsettinger gjennom felles innsats. Det blir blant annet vanskelig å planlegge og styre større sikkerhetsinvesteringer over tid og på tvers av sektorer."

Jeg nevner også temaet cybersikkerhet, som naturligvis også er en sånn litt brysom størrelse som går på tvers av departementene og sektorene i staten, og også på tvers av statlig og kommunalt forvaltningsnivå og på tvers av offentlig og privat sektor. NSM skriver at:

"Statlig IT-utvikling ivaretar verken koordinering eller behov for samvirke i tilstrekkelig grad Teknologier som virtuell virkelighet, skytjenester, lokale datasentre (edge computing) og nye 5G-relaterte tjenester gir muligheter for økt robusthet og lokal autonomi, økt mobilitet, større gjenbruk av applikasjoner og tjenester, og bedre samvirke mellom etater. Totalforsvaret har behov for moderne IT-plattformer med digitale tjenester som fungerer godt i hele krisespekteret. Sammen skal plattformene bidra til at Norge har nødvendig datakraft for grunnleggende nasjonale funksjoner og andre viktige samfunnsfunksjoner når krisen inntreffer. IT-utviklingen i de ulike etatene og sektorene er ikke i tilstrekkelig grad styrt etter felles prinsipper. Dette fører til at etater som har behov for digitalt samvirke og kommunikasjon, bygger egne løsninger som i for liten grad snakker sammen og ivaretar samvirkebehov."

Det er altså ikke teknologien eller den digitale samhandlingen på nye teknologiske plattformer som i følge NSM er årsak til utfordringene. De skyldes heller ikke bruk av skyløsninger, datasentre eller 5G, tvert imot. Utfordringene skyldes at man ikke har satset mer på å ta i bruk moderne og sikre it-plattformer, og at de nye løsningene det blir investert i satses på stykkevis og delt i hver sektor, men ikke som del av en mer samlet strategi.

Er det så noen lyspunkter i dette? Ja, jeg mener det er et lyspunkt at NSM er så tydelige i sine analyser av hva som ikke er på plass og hvor alvorlig dette er for norsk sikkerhet. Men det er også mye bra i tiltakene som er foreslått. Nå er tiltakene nødvendigvis litt mer fragmenterte enn problembeskrivelsene, og en viktig grunn til det er at det å løse komplekse og tverrsektorielle utfordringer krever mer enn noen enkle tiltak. Til dels må man rett og slett jobbe seg gjennom en materie som i liten grad er kartlagt godt nok tidligere. Problemet når man ikke har full oversikt over problemet er at man må skaffe seg bedre oversikt over problemet først. Flere av tiltakene handler derfor om dette. Og la meg trekke frem et tiltak om et målbildearbeid jeg er særlig begeistret for under cybersikkerhetstemaet:

"Et overordnet digitalt målbilde er avgjørende for en sikker digital transformasjon i hele samfunnet. Målbildet bør realiseres gjennom en langtidsplan for digital infrastruktur. Langsiktig og forutsigbar finansiering er en forutsetning for å realisere et slikt målbilde. Digital transformasjon er nødvendig for å heve det norske samfunnets digitale motstandskraft til et langt høyere nivå frem mot 2030."

Her tenker jeg at dette bør foregå i tre trinn som må sees i sammenheng, og der en langtidsplan må lages til slutt. Først må man få bedre oversikt over nåsituasjonen i form av langt bedre oversikt over helheten i de offentlige it-systemene. både det som er driftet i egen regi og det som er satt ut til ulike leverandører. Og hva slags komponenter og programvare som inngår. Jeg tror mange etater sliter med å ha full oversikt over egne systemer og jeg tror ikke det finnes noen som har oversikt over komplekse verdikjeder i bredden, på tvers av virksomheter, eller i dybden bakover leverandørkjedene. Det gjør oss sårbare. Med en slik kunnskap kan det lages et digitalt målbilde der en viktig del av jobben nødvendigvis må være å avdekke  og rydde opp i disse sårbarhetene. Og så vil målbildet være et utgangspunkt for mye annet, både planer, investeringer, organisatoriske grep og ryddig i ansvar og roller.

Et lite poeng til slutt. En del av regjeringens retorikk allerede da de var i opposisjon har fått det til å høres ut som statlig it-drift, en statlig skyløsning og statlig eierskap til alt mulig giør oss sikrere og mindre sårbare. Den fellen har ikke NSM gått i. Distribuerte løsninger drevet av kompetente og profesjonelle partnere er i mange tilfeller bedre for samfunnssikkerheten enn å gjennopprette statens datasentral. NSM skriver for eksempel at:

"Sensitive data i offentlig sektor må beskyttes Datasentre og skytjenester for sensitiv informasjon, funksjoner og infrastruktur av betydning for nasjonale sikkerhetsinteresser bør etableres i Norge. Datakraft må sikres gjennom distribuerte skytjenester i regionale og lokale datasentre i Norge og beredskapsavtaler med nære allierte i tilfelle krise."

Det blir spennende å se om hvordan regjeringen tar den utfordringen de nå har fått fra NSM.

Trusselvurdering 2023

Denne uken har Etterretningstjenesten, Politiets sikkerhetstjeneste (PST) og Nasjonal sikkerhetsmyndighet (NSM) lagt frem sine årlige trussel- og risikovurderinger. Rapportene ble lagt frem samtidig og beskriver de viktigste truslene mot Norge, innenfor de tre sikkerhetsmyndighetens ansvarsområder.

Her er det derfor ikke snakk om naturhendelser, helsefare, forurensning, klimaendringer eller trafikksikkerhet, men om angrep og trusler fra personer og grupper som bevisst ønsker å skade Norge, norske virksomheter eller norske borgere. Noen som vil oss vondt eller som vil oppnå noe i strid med norske interesser. 

Og i motsetning til innholdet i stortingsmeldinger, strategier eller riksrevisjonsrapporter om sikkerhet, sårbarhet og beredskap, som først og fremst beskriver hva vi må beskytte og hvordan vi skal beskytte oss bedre, handler de årlige trusselvurderingene først og fremst om hvem som truer oss og hvor stor og sannsynlig denne trusselen er akkurat nå.

Etterretningstjenestens rapport heter Fokus 2023 og handler om ytre trusler mot Norge, og da konsentrert om tre ting: Russland, Kina og internasjonal terrorisme. Og aller mest handler det naturligvis om Russland som trussel, både på kort og lang sikt. E-tjenestesjefen Nils Stensønes skriver i sitt oppsummerende forord at:

"Russlands invasjon av Ukraina markerer et varig brudd med Vesten. Invasjonen har tydeliggjort trusselen Russland utgjør mot nabostater og NATO. Selv om Russland akkurat nå er svekket konvensjonelt, er de ikke mindre farlige. Russland vil gjenoppbygge sin militære evne. Kreml har få andre virkemidler enn militærmakten for å forfølge sine stormaktsambisjoner. Krigen i Ukraina rokker også ved ideen om at tettere økonomisk samhandling reduserer faren for konflikt mellom stater. Samhandling skaper også sårbarhet. Avhengigheter i forsyningskjeder blottstilles og åpner for utpressing. Ved å strupe gasstilførselen til Europa søker Russland å så splid i Vesten og svekke vestlig støtte til Ukraina. De økonomiske konsekvensene av krigen treffer nå hele Europa."

PSTs rapport heter "Nasjonal trusselvurdering 2023" (de har ikke en like kort og fyndig tittel som de to andre) og handler om indre trusler, det vil si personer og grupper som driver med aktivitet i Norge som truer eller skader Norge. Og da særlig to ting: For det første andre staters etterretningsvirksomhet rettet mot Norge og norske virksomheter. Også her er Russland trukket frem, men også Kina, Iran og Pakistan er nevnt som land som er opptatt av å urettmessig tilegne seg avansert teknologi og forskningsbasert kunnskap. Hva slag teknologi som er særlig interessant og hvordan det jobbes for å få tilgang til den, vies en del plass i rapporten. For det andre handler det om faren for politisk motivert vold og terrorhandlinger, der ekstreme islamister og høyreekstreme blir pekt på som de som mest sannsynlig vil stå bak. Sannsynligheten for alvorlige voldshandlinger rettet mot myndighetspersoner vurderes som mindre i dagens situasjon.

Den tredje rapporten er NSMs "Risiko 2023". Mens de to andre rapportene skiller mellom indre og ytre trusler, og i stor grad også er opptatt av om det er statlige og ikke-statlige aktører som står bak, er dette langt mindre klart i det digitale sikkerhetsdomenet som NSM har ansvaret for. Derfor har denne rapporten en litt annen karakter enn de to andre og legger mer vekt på å fortelle hvordan vi er truet enn å fortelle om hvem som står bak. Rapporten bærer kanskje litt preg av at dette både er et nyere og mer sammensatt område å skrive trusselvurderinger om, og verken begrepsbruk, avgrensningen av nedslagsfeltet eller rollebeskrivelser har satt seg helt. 

Men selv om NSM virker som de er litt på leting etter en innramming på disse områdene, har jeg sans for at de trekker opp noen komplekse sikkerhetsutfordringer som åpenbart vil bli stadig viktigere og der vi i dag ikke har gode nok svar. Jeg vil nevne to: For det første bruker de begreper som "komplekst risikobilde" og "sammensatte trusler", som eksemplifiseres gjennom å beskrive hvordan en trussel kan handle om en kombinasjon av flere og veldig ulike virkemidler samtidig:

"Sammensatte trusler kan omfatte virkemidler som spredning av desinformasjon og cyberangrep, strategiske oppkjøp av norske virksomheter og kartlegging av kritisk infrastruktur. Det kan derfor være vanskelig å se hendelsene i sammenheng. Saker som i seg selv virker små, kan i en større helhet utgjøre en stor risiko."

Og når trusselen er sammensatt må også myndighetens og samfunnets mottiltak være sammensatte og adressere den større helheten. Vi må samarbeide på tvers av departementer, sikkerhetsmyndigheter og sektorer og på tvers av offentlig og privat, noe Riksrevisjonen nettopp har pekt på at myndighetene ikke er så flinke til som ønskelig.

Det andre jeg synes NSM skal ha ros for er å beskrive utfordringene med lange teknologiske leverandørkjeder. Der det er leverandører, underleverandører, komponentleverandører, programvareleverandører, utviklingsleverandører, driftsleverandører osv. i veldig lange og komplekse kjeder der man ofte ikke har oversikt over alle bidragsyterne og sammenhengene. Og heller ikke har klarlagt og pekt ut noen som skal ha ansvar for den type oversikt og kunnskap. NSM omtaler dette som at "vi er sårbare på flankene", og skriver at:

"Viktige samfunnsfunksjoner er avhengige av leverandører og underleverandører. Disse kan ha potensielt ukjente og alvorlige sårbarheter. Vi er ikke sikrere enn det svakeste ledd. Dette krever at vi evner å oppdage og avverge sikkerhetstruende virksomhet også i leverandørkjedene vi er avhengige av. Virksomheter som er av avgjørende betydning for grunnleggende nasjonale funksjoner må ta hensyn til den tilspissede sikkerhetspolitiske situasjonen i sine oppdaterte risikovurderinger."

Så mens Riksrevisjonens rapport om digitale sikkerhets- og beredskapsutfordinger handlet om dårlig oversikt og mangelfullt samarbeid på tvers av etater og sektorer - i bredden - handler mye av NSMs beskrivelser om kompleksiteter og mangelfull oversikt i lange leverandørkjeder - i dybden. Og begge deler er åpenbart riktig samtidig. Og begge deler fortjener en mer konkret oppfølgning enn det som ligger i disse rapportene, i form av at de fortjener en kartlegging av sammenhenger og avhengigheter. Kanskje en form for en systemkartlegging, kanskje i form av områdegjennomganger, av avhengigheter, sammenhenger og sårbarheter, som går både i bredden og i dybden.

Grundig og brutalt fra Riksrevisjonen

Noen ganger kommer det riksrevisjonsrapporter som er en sann åpenbaring å lese fordi de gir innsikt og oversikt som ikke finnes noe annet sted. Om sammenhenger og om systemutfordringer. De gir innsikt i hvorfor problemer ikke blir løst, hvorfor mål ikke blir nådd, konsekvensene av at ansvar ikke er plassert og at roller ikke er forstått. Og de nøster i hvordan og hvorfor de tiltakene og det samarbeidet som er nødvendig for å løse et stort problem likevel ikke skjer.

Riksrevisjonens forvaltningsrevisjon om Myndighetenes samordning av arbeidet med digital sikkerhet i sivil sektor (pdf-versjon her) er en slik rapport. Er grundig dokument som gir nettopp innsikt og oversikt. Ved å zoome ut og se på helheten, og ved å zoome inn og se på hva som skjer i praksis i konkrete situasjoner der samarbeid er avgjørende for å håndtere hendelser eller få løst samfunnskritiske floker.

Nedsiden med virkelig gode riksrevisjonsrapporter er selvfølgelig at noen henges grundig ut for å ikke ha gjort jobben sin. I dette tilfellet gjelder det flere aktører på samfunnssikkerhetsområdet, men i særdeleshet Justis og beredskapsdepartementet (JD) som både har styringsansvaret for de sentrale etatene som håndterer den digitale sikkerheten og for den tverrsektorielle samordningen når det gjelder nasjonal sikkerhet og samfunnssikkerhet, også på det digitale området. Og JD har naturligvis også ansvaret når ulike tiltak som er varslet i deres stortingsmeldinger og strategier ikke er gjennomført.

Riksrevisjonens forvaltningsrevisjon er på over 180 sider i alt. Den består av en hovedrapport, et brev fra Justisminister Emilie Enger Mehl som prøver å forklare at JD er på ballen og gjør noe, men uten å egentlig svare på kritikken, og innledningsvis er det et sammendrag av hovedpunktene i kritikken. Man får et bra overblikk av å lese de første ca 25 sidene med hovedpunkter og statsrådens svar. Men for de som er særlig interessert i den eksplosive kombinasjonen av utilstrekkelig og til dels dysfunksjonell tverrsektoriell koordinering og styring på den ene siden, og på den andre siden samfunnskritiske sikkerhetsutfordringer som krever nettopp tverrsektoriell koordinering og styring, er det mye viktig informasjon som bare finnes i selve hovedrapporten. Det kan anbefales å lese den.

Undersøkelsens poeng er å se på hvordan Justis- og beredskapsdepartementet samordner arbeidet med digital sikkerhet i sivil sektor i fredstid. Riksrevisjonen omtaler jobben slik: 

"Undersøkelsen er rettet mot Justis- og beredskapsdepartementets samordnings- og pådriveransvar. Vi har belyst ulike temaer og tiltak på det digitale sikkerhetsområdet, herunder tilsynsvirksomhet, gjennomføring av nasjonale øvelser og arbeidet i samordningsarenaer på området. Vi har også undersøkt i hvilken grad målet om samordnet veiledning og hendelseshåndtering er oppnådd. (...) Vi har forsøkt å belyse de mulige konsekvensene av en eventuell svak samordning på de enkelte områdene. I denne undersøkelsen defineres begrepet digital sikkerhet på samme måte som det defineres i Nasjonal strategi for digital sikkerhet. Der går det fram at digital sikkerhet er beskyttelse av alt som er sårbart fordi det er koblet til eller på annen måte avhengig av informasjons- og kommunikasjonsteknologi. Vi bruker digital sikkerhet synonymt med begreper som IKT-sikkerhet og cybersikkerhet."

Riksrevisjonen har tatt utgangspunkt i tre ganske enkle og overordnede problemstillinger formulert som spørsmål. De er: 1) Bidrar myndighetenes samordning av roller, ansvar og krav til å ivareta den digitale sikkerheten? 2) Har Justis- og beredskapsdepartementet en helhetlig oversikt over den nasjonale digitale sikkerhetstilstanden?, og 3) Ivaretar Justis- og beredskapsdepartementet samordningsrollen for den digitale sikkerheten på samfunnssikkerhetsområdet på en god nok måte? Og det korte oppsummerende svaret Riksrevisjonen gir er at:

"Undersøkelsen viser at det er flere utfordringer med samordningen av arbeidet med digital sikkerhet som ikke har blitt håndtert. Justis- og beredskapsdepartementet har ikke sørget for at samordningen av roller, ansvar og krav er god nok når det gjelder dette arbeidet. Vi finner også at Justis- og beredskapsdepartementet ikke har tilstrekkelig oversikt over den nasjonale digitale sikkerhetstilstanden, særlig fordi departementenes arbeid med å kartlegge virksomheter som understøtter grunnleggende nasjonale funksjoner, går for sakte. Justis- og beredskapsdepartementet følger i liten grad opp hvilken effekt tiltakene i nasjonale strategier på det digitale sikkerhetsområdet har, og siden 2016 har de ikke sørget for at det på nasjonalt nivå har blitt øvd godt nok på å håndtere alvorlige digitale angrep som treffer flere sektorer. Det er Riksrevisjonens vurdering at Justis- og beredskapsdepartementet med underliggende etater ikke ivaretar pådriver- og samordningsansvaret godt nok til å møte utfordringene på det digitale sikkerhetsområdet. Dette medfører risiko for at funksjoner som er kritiske for både stats- og samfunnssikkerheten, ikke er godt nok beskyttet mot digitale angrep, og at alvorlige digitale angrep ikke håndteres effektivt."

Dette er en veldig overordnet kritikk som favner mange ulike ting. Noe skyldes mangelfull rydding og sortering av ansvar, roller som til dels går langt tilbake i tid. Andre forhold handler om ting som er varslet som viktige tiltak i nyere tid, blant annet i en stortingsmelding og i strategien for digital sikkerhet fra 2019. Og noen nye utfordringer har kommet i forbindelse med nytt lov og regelverk, som ny sikkerhetslov og ny samfunnssikkerhetsinstruks. Riksrevisjonen har sortert sin kritikk i fire hovedkategorier, og jeg vil kommentere noen av de viktigste funnene under hver av disse overskriftene Riksrevisjonen bruker:

"1. Svak samordning av roller, ansvar og krav gjør arbeidet med digital sikkerhet krevende for virksomhetene."

Jeg kan begynne med lov og regelverket som gjelder for samfunnssikkerhetsområdet. Riksrevisjonen har gått igjennom det lovverket som er relevant for digital sikkerhet og hvordan overlapp mellom ulike lover og forskrifter skaper utfordringer for virksomhetene som skal finne ut hva de skal gjøre i sitt forebyggende sikkerhetsarbeid. 

Vi kan begynne med det som gjelder departementene og de statlige virksomhetene selv. Her skaper det åpenbart en del forvirring av man må forholde seg til to sett med regelverk som er delvis overlappende, men har litt ulike formål: Sikkerhetsloven som trådte i kraft i 2019 og som fastsetter en prosess for å definere grunnleggende nasjonale funksjoner som må beskyttes, og deres avhengigheter. Den gjelder staten, fylkene og kommunene, men også noen private aktører som har ansvar for viktige funksjoner og infrastruktur. Og så har vi Samfunnssikkehetsinstruksen kom i 2017 og stiller krav til departementenes arbeid med samfunnssikkerhet, herunder at man avklarer og beskriver roller og ansvarsområder innenfor samfunnssikkerhet i sin sektor, gjør systematiske risiko- og sårbarhetsanalyser av hendelser som kan true sektorens funksjonsevne, iverksetter nødvendige kompenserende tiltak og utarbeider mål for samfunnssikkerhetsarbeidet. Dessuten har departementet ansvar for håndtering av kriser, noe som betyr at det må være et planverk og det må jevnlig gjennomføres øvelser, også på det digitale samfunnssikkerhetsområdet.

Hvorfor må departementene forholde seg til, planlegge for og rapportere innenfor to ulike, men delvis overlappende sett med lov- og regelverk? Her overlater jeg til Riksrevisjonen å svare:

"Myndighetene har ulike rammeverk for å identifisere grunnleggende nasjonale funksjoner og tilhørende avhengigheter og for å identifisere samfunnets kritiske funksjoner og understøttende virksomheter. Direktoratet for samfunnssikkerhet og beredskap utgav Veileder for samfunnets kritiske funksjoner i 2016, mens Nasjonal sikkerhetsmyndighet utgav Veileder i departementenes identifisering av grunnleggende nasjonale funksjoner i 2020. Veilederne redegjør for sentrale begreper og metoder i prosessen med å identifisere og vurdere de nevnte funksjonene og tilhørende avhengigheter / understøttende virksomheter. 

Grunnen til at det er etablert to rammeverk, er at rammeverket for samfunnets kritiske funksjoner gjelder samfunnssikkerhet, mens rammeverket for grunnleggende nasjonale funksjoner gjelder nasjonal sikkerhet. Nasjonal sikkerhet er definert som statssikkerhet og en avgrenset del av samfunnssikkerhetsområdet som er av vesentlig betydning for statens evne til å ivareta nasjonale sikkerhetsinteresser. (...) Som følge av at disse områdene overlapper, er det også deler av samfunnets kritiske funksjoner som overlapper med grunnleggende nasjonale funksjoner. Nasjonal sikkerhetsmyndighet oppfordrer derfor departementene om å benytte Direktoratet for samfunnssikkerhet og beredskaps rammeverk for samfunnets kritiske funksjoner i arbeidet med å identifisere og vurdere grunnleggende nasjonale funksjoner. Direktoratet for samfunnssikkerhet og beredskap viser også til at rammeverkene har ulike formål, og at det er ulik grad av forpliktelse knyttet til rammeverkene..."

Det står noe mer om forskjellene mellom de to rammeverkene også, uten at det nødvendigvis blir krystallklart av den grunn, og Riksrevisjonen peker også på at det i følge DSB er en del forvirring i departementene fordi de må forholdes seg til to ulike rammeverk som dekker omtrent samme temaer, men er delt opp på litt ulike måter og krever litt ulik oppfølging. 

Hva så med virksomheter ellers i samfunnet, offentlige og private, som ikke er underlagt sikkerhetsloven, men som har en rekke digitale samfunnssikkerhetsutfordringer de må forholde seg til? Og som lurer på hvilke krav som gjelder for dem og hva de skal gjøre. I Riksrevisjonens rapport kan vi lese at de har identifisert og gått igjennom 6 generelle og 15 sektorspesifikke lover som berører virksomheters arbeid med digital sikkerhet. Riksrevisjonen skriver:

"Som nevnt finnes det en rekke regelverk som direkte omhandler eller som berører virksomheters arbeid med digital sikkerhet. Overordnet kan regelverkene deles inn i generelle lover, for eksempel sikkerhetsloven og personopplysningsloven, og sektorspesifikke lover, for eksempel energiloven og helseregisterloven. Vi har identifisert og gjennomgått seks generelle og 15 sektorspesifikke lover med tilhørende forskrifter"

10 av disse 15 sektorspesifikke lovene inneholder i følge Riksrevisjonen krav om digitale sikkerhetstiltak. Og for å komplettere oversikten ytterligere har de gått igjennom 36 veiledere knyttet til det generelle lovverket og 16 veiledere knyttet til det sektorspesifikke lovverket for å se om disse henger sammen. Konklusjonen er at de verken er samordnet eller brukervennlige. Og det pekes på at det til tross for mange og overlappende lover, forskifter og veiledere ikke er så lett å finne konkrete råd om hva man skal gjøre fordi lovverket i stor grad er funksjonsorientert og prosessorientert (hvordan man skal arbeide for å ha tilstrekkelig oversikt over risiko og tilfredsstillende sikkerhet, men ikke hva dette er eller hva man konkret skal gjøre), 

Mange digitale sikkerhetsutfordringer må løses på tvers av virksomheter og sektorer. Derfor må flere departementer, etater og andre virksomheter må være involvert. Og de må være involvert på en måte der de ikke bare går på noen møter og får informasjon, men faktisk planlegger og organiserer seg for å løse problemer sammen. Digital teknologi bidrar nok også til at mange utfordringer blir enda mer sektorovergripende enn før. Riksrevisjonen viser at den norske modellen har vært å opprette "samordningsareaner" mellom virksomheter, med litt ulike lederskap og med delvis overlappende deltagerkretser, for å finne ut av disse utfordringene. Og Riksrevisjonen har funnet hele 19 ulike samordningsarenaer for myndighetenes arbeid med digital sikkerhet. 

Der er det er ikke bare mye overlapp i deltagerkretsen, men også i hvilke oppgaver de skal løse. I noen tilfeller her samme oppgave flere samordningsarenaer med ulikt lederskap. Noen steder kan det være hull. Men felles for de fleste av disse arenaene (ikke alle) er at de har et lavt aktivitetsnivå, lave strategiske ambisjoner og nøyer seg med å være steder der man deler informasjon. Av disse 19 samordningsarenaene er 16  rettet mot myndighetenes forebyggende arbeid med digital sikkerhet. De tre siste er rettet mot hendelseshåndtering: Kriserådet, Felles cyberkoordineringssenter og Nasjonalt cybersikkerhetssenter.

Rapporten gjør et dypdykk ned i noen av disse 19 samordningsarenaene for å finne ut om det der skjer noen faktisk samordning av betydning, for eksempel i form av felles planer og tiltak. Resultatet er temmelig nedslående. Rapporten ser også på hvordan de sektorvise responsmiljøene som skal håndtere digitale sikkerhetshendelser er satt opp og fungerer. Og om det er områder som ikke er ivaretatt. Også her er noe som fungerer bra, for eksempel finanssektoren og eksrektoren har kommet langt, mens andre har kommet veldig kort.

Denne delen av Riksrevisjonens rapport inneholder også en vurdering av det digitale sikkerhetsarbeidet i kommunesektoren (Her kan det virke som KDD og JD ikke engang er helt enige om hvilket av departementene som har det faglige lederansvaret), de har sett på digital sikkerhet som tema i etatsstyringen av underliggende virksomheter og på samordning av de ulike tilsynsorganene på det digitale sikkerhetsområdet.

"2. Justis- og beredskapsdepartementet har ikke sørget for god nok informasjon om den nasjonale digitale sikkerhetstilstanden."

Det kan kanskje høre ut som en litt underlig problemstilling at man må undersøke om det ansvarlige departementet sørger for god nok informasjon til seg selv og andre, men dette er faktisk en stor problemstilling. Riksrevisjonen peker på at departementene nå særlig nevner innføring av ny sikkerhetslov som et informasjonsproblem. I forbindelse med implementeringen av ny sikkerhetslov er det slik at departementene skal identifisere "grunnleggende nasjonale funksjoner" som er sentrale for nasjonal sikkerhet. I den forbindelse må det også kartlegges ulike avhengigheter grunnleggende nasjonale funksjonene har i egen sektor og på tvers av sektorene. For eksempel hvilke funksjoner (strøm, tele, vann, transport?) man er avhengige av fra andre sektorer for å fungere. Dette arbeidet er forsinket og er noe av det som må være avklart for at informasjonsflyten om tilstanden på sikkerheten skal fungere. 

Riksrevisjonen peker også på at det noen ganger settes i gang prosesser og utredninger for nettopp for å nøste i komplekse digitale sikkerhetsutfordringer. De blir kanskje publisert, men ting stopper opp før det blir noen oppfølging. Et interessant eksempel på dette omtales i rapporten:

"Høsten 2019 leverte Direktoratet for samfunnssikkerhet og beredskap rapporten Risikostyring i digitale verdikjeder til Justis- og beredskapsdepartementet. Rapporten ble utgitt i januar 2020. Et sentralt funn i rapporten er at myndighetene i begrenset grad kan styre sikkerheten i de digitale verdikjedene direkte. De fleste digitale verdikjedene strekker seg utenfor Norges grenser og opereres i stor grad av private leverandører og underleverandører. Direktoratet for samfunnssikkerhet og beredskap forteller at de ikke har mottatt noen konkret oppfølging av rapporten fra Justis- og beredskapsdepartementet, men at de ba om å få legge den ut på nettsidene sine. Utover dette har ikke Direktoratet for samfunnssikkerhet og beredskap fått flere oppdrag knyttet til rapporten. Det er heller ikke planlagt noen konkret oppfølging eller implementering av rammeverket."

Et annet nokså pussig forhold Riksrevisjonen omtaler er at i  henhold til samfunnssikkerhetsinstruksen skal departementene som et ledd i arbeidet med samfunnssikkerhet utarbeide og vedlikeholde systematiske risiko- og sårbarhetsanalyser. Det er en lengre omtale i Riksrevisjonens rapport om hvordan dette arbeidet foregår og hva informasjonskildene er. Men så skriver de at Justisdepartementet ikke bruker noen av disse analysene fra departementene i sitt arbeid med å holde oversikt over sikkerhets- og sårbarhetstilstanden:

"Justis- og beredskapsdepartementet forteller i intervju at de ikke bruker departementenes risiko- og sårbarhetsanalyser som kilde for å holde oversikt over den digitale sikkerhetstilstanden. Selv om departementene vurderer sårbarheter i egne sektorer i disse analysene, er Justis- og beredskapsdepartementet usikker på om de dekker den digitale sikkerheten godt nok til å gi innsikt i den digitale sikkerhetstilstanden. Siden departementene utfører risiko- og sårbarhetsanalysene på ulike måter, antar Justis- og beredskapsdepartementet at arbeidet med å sammenstille analysene ville ha vært for ressurskrevende og utfordrende sammenlignet med det utbyttet de hadde fått igjen for det."

Så kan man jo lure på hva vitsen er med å legge masse arbeid i å produsere en analyse for hvert departement som ikke brukes av de som er satt til å ha det overordnede ansvaret for å skaffe og analysere informasjon om sikkerhetstilstanden.

"3. Justis- og beredskapsdepartementet har ikke sørget for god nok oppfølging av Nasjonal strategi for digital sikkerhet."

Samfunnssikkherhetsområdet er ganske rikt på utredninger og strategier, og det kom også en egen stortingsmelding om digital sikkerhet i 2017 som ble fulgt opp av en Nasjonal strategi for digital sikkerhet i 2019. Dette er gode dokumenter, og Riksrevisjonen peker på at noen av tiltakene her også gjentar tiltak som er presentert i tidligere strategier og meldinger, Problemet er at de av ulike grunner ikke blir fulgt opp slik de burde. Selv om ansvar er plassert og frister er satt, avdekket en statusgjennomgang gjort av JD i 2021 at av de 63 tiltakene i tiltaksoversikten fra Nasjonal strategi for digital sikkerhet var mye ikke gjennomført og noe var ikke igangsett i det hele tatt. Pandemien forsinket nok enkelte ting, men Riksrevisjonen skriver også at:

"I tiltaksoversikten står det at tiltakene skal understøtte målene i strategien, men det går ikke fram i hvilken grad tiltakene er tilstrekkelige til å nå målene i strategien, eller om det er deler av strategien hvor det ikke er planlagt eller iverksatt tilstrekkelige tiltak. Etter vår vurdering burde det ha vært gjort en vurdering av hvordan tiltakene understøtter målene i strategien. Det burde også ha gått klart fram om det er områder i strategien hvor det mangler tiltak. Justis- og beredskapsdepartementet har ikke oppdatert tiltaksoversikten med nye tiltak eller endringer i pågående tiltak. Dette ville gitt myndighetsaktørene en bedre samlet oversikt over sentrale tiltak som er iverksatt for å ivareta og styrke den nasjonale digitale sikkerheten."

"4. Justis- og beredskapsdepartementet har ikke lagt godt nok til rette for tverssektoriell hendelseshåndtering."

Som en del av samordningsrollen på samfunnssikkerhetsområdet har Justis- og beredskapsdepartementet også ansvar for å gjennomføre nasjonale øvelser og sørge for at problemstillinger på tvers av flere sektorer blir håndtert rent operativt, også når hendelser inntreffer. Dette handler også om å ha et felles rammeverk for digital hendelseshåndtering, tekniske systemer for varsling av uønsket aktivitet og kommunikasjon mellom beredskapsaktører. I denne delen av rapporten får Nasjonalt Cybersikkerhetssenter ros av flere, men mye annet i etatene, i de tekniske systemene for varsling, øvelser og i selve håndteringen av konkrete hendelser får kritikk. Riksrevisjonen oppsummerer denne delen av ut utfordringen slik:

"En annen del av Justis- og beredskapsdepartementets samordningsrolle på samfunnssikkerhetsområdet går ut på å gjennomføre nasjonale øvelser og Dokument 3:7 (2022–2023) 22 sørge for at utfordringer på tvers av flere sektorer blir håndtert. Sentrale tiltak omfatter blant annet å få på plass et felles rammeverk for digital hendelseshåndtering og tekniske systemer for varsling av uønsket aktivitet og kommunikasjon mellom beredskapsaktører. Undersøkelsen viser at gjennomføringen av flere av disse tiltakene er forsinket og at viktige elementer av tverrsektoriell hendelseshåndtering ikke har blitt øvet som planlagt."

Så langt beskrivelsene fra Riksrevisjonen. Deres jobb er å avdekke og beskrive problemene og fortelle Stortinget og allmennheten dersom noe som er blitt lovet ikke er gjennomført. Riksrevisjonen har ikke nødvendigvis svarene på hva som skal gjøres og i hvilken rekkefølge, men de peker på hvem som har ansvaret for å finne disse svarene. I dette tilfellet handler det om Justis og beredskapsdepartementet, men også om de sentrale sikkerhets- og beredskapsetatene og de øvrige departementene.

Hva skal myndighetene så gjøre for å få sortert ut og få løst våre digitale sikkerhetsutfordringene inne i all denne kompleksiteten? Med alle lovverkene og alle samordningsarenaene. Det kan virke umulig å få en god nok oversikt til å vite hvor man skal begynne og hva som har effekt. Ikke minst hvor det er hindringer og motkrefter som står i veien for et mer operativt tverrgående samarbeid som my ryddes av veien. For politikere som blir satt inn for å lede alt dette, og har ansvar for å gjøre noe, kan man lett bli temmelig overveldet når man langt fra er noen ekspert på verken sikkerhet, digitale trusler eller forvaltningens prosesser på tvers. En ting er å ha oversikt over etater, ansvarsområder, lover og budsjetter i egen sektor, men her krever Riksrevisjonen, og helt sikkert også Stortinget, at de ansvarlige lederne skal løse utfordringer på tvers av flere statsråders ansvarsområder. Hvordan går man egentlig løs på en slik oppgave?

Her har Riksrevisjonen levert en bra begynnelse på den jobben. Man kan til og med se på dette som et første trinn i en stor systemdesignprosess der de har kartlagt og beskrevet nåsituasjonen. De har tatt utgangspunkt i  overordnede samfunnsmål, kartlagt aktørbildet, sett på hvilke lover, forskrifter og veiledere som er relevante, gjennomgått tiltakene som er lovet i meldinger og strategier, undersøkt samordningsarenaer som er satt opp for å løse tverrsektorielle problemer, men ikke fungerer, og laget oversikter over hva som er gjort og ikke gjort. Her er det enormt mye kunnskap om prosesser og avhengigheter som ikke er vist frem på denne måten før. 

Helst burde dette også bli visualisert i et eller flere store systemkart for å gjøre det lettere å få oversikt over hvordan alt dette henger sammen. En bedre helhetsoversikt skaper et bedre diskusjonsgrunnlag når man skal skape en felles forståelse av utfordringen og hvor de kritiske koblingene i systemer er. Den er også til hjelp når man skal  finne punktene der man bør sette inn innsatsen. Og jeg tror en slik systemorientert designtilnærming er en god metode også i fortsettelsen av dette arbeidet, når de ansvarlige skal involvere, sortere, prioritere og organisere dette økosystemet av aktører som nå må finne bedre måte å samarbeide om å løse problemer. En redesign av systemet. Roller og ansvar må tydeliggjøres og lovverk og prosesser bør strømlinjeformes og forenkles. Kanskje det da hadde vært nyttig med en form for veikart for den videre prosessen også, med hva som skal gjennomføres og i hvilken rekkefølge. For om tre år kommer Riksrevisjonen tilbake for å undersøke om det har skjedd noe med problemene de påpekte sist.

Jeg tenker også at mange av aktørene i dette komplekse samspillet av etater og organer nå har en egeninteresse i få opp noen slike systemkart som beskriver sammenhenger og kompleksiteter i dagens system, gjerne supplert med et målbilde som viser hvordan ting kan og bør være skrudd sammen i fremtiden, og som kan fungere som et rammeverk for en bedre diskusjon. Det er også lurt hvis vi ønsker virksomheter som ikke gjør hver sine ting hver for seg, men faktisk lager felles strategier og planer. Riksrevisjonens del av jobben er ferdig. Nå er det de myndighetene som blir kritisert som må vise at de kan levere. De som eier beskrivelsen av dagens virkelighet, beskrivelsen av hvordan en bedre fremtid kan se ut og veikartet som viser hvordan vi kan komme dit, legger premissene hvor hva som skal skje videre. Det blir spennende å se om DSB, NSM eller Justis- og beredskapsdepartementet vil ta den lederrollen.