Et nytt cybersikkerhetssenter for næringslivet

Den blide gjengen på bildet til venstre er administrasjonen i Næringslivs sikkerhetsråd (NSR), med direktør Odin Johannessen, lengst til venstre på på bildet, i spissen. Grunnen til at de er så blide er at de har fått beskjed av Nærings- og fiskeridepartementet om at det er inngått et pernerskap der NSR er pekt ut til å være et sektorvist responsmiljø for digital sikkerhet for de i næringslivet som ikke er en dekket av slike ordninger fra før.

Totalberedskapsmeldingen slo fast at det å inkludere næringslivet i sikkerhets- og beredskapsarbeidet nasjonalt, regionalt og i kommunene er avgjørende for både forsvarsevnen og den sivile beredskapen. Nærings- og fiskredepartementet har utstyrt NSR med prosjeketmidler for å komme i gang med etableringen av et cybersikkehretssenter, og skriver blant annet dette i en pressemelding:

"Regjeringen varslet i Totalberedskapsmeldingen at inkludering av næringslivet i sikkerhet- og beredskapsarbeid fremover vil være avgjørende for Norges forsvarsevne. Nærings- og fiskeridepartementet har derfor utpekt Næringslivets Sikkerhetsråd (NSR) som et sektorvis responsmiljø (SRM) for de deler av næringslivet som faller inn under departementets ansvarsområde, og ikke er en del av SRM-ordninger fra før av."

Næringslivets sikkerhetsråds egen nyhetssak om det nye cybersikkerhetssenteret er her. Flere bedrifter og bransjer i Norge er allerede del av sektorvist eller eget responsmiljø. Det gjelder for eksempel energi, rederi, olje og gass, telekom og finans. De vil fortsette som nå. Men ikke alle bedrifter er omfattet av eksisterende ordninger. Det er disse som vil være ivaretatt av det nye senteret, et arbeid som allerede er startet opp og har varslet flere hundre bedrifter om at de er blitt hacket. NSR nevner spesielt reiseliv, mat- og drikkeproduksjon, bygg og anlegg, varehandel, sjømat, konsulentvirksomhet og industri utenom olje og gass som bransjer som vil omfattes av det nye responssenteret..

Og for de som lurer på hvem som står bak Næringslivets sikkerhetsråd så er det bare å forsikre om at det er solide saker. NSR er stiftet av de store hoveorganisasjonene i næringslivet: NHO, Virke, Spekter, Finans Norge og Rederiforbundet. Det er også disse som sitter i styret. I tillegg er det mulig å være direktemedlem i NSR, noe mange bedrifter er for å nyte godt av NSRs ulike medlemstjenester, nettverk og sikkerhetsinformasjon til medlemsbedriftene. Med etableringen av et cybersikkerhetssenter vil NSR ytterligere styrke tjenestetilbudet.

----

Disclaimer 1: Halogen har i løpet av det siste året jobbet tett sammen med NSR., og gjennomført flere verksteder sammen med næringsliv og beredskapsmyndihetene, for å beskrive tjenestetilbudet innenfor et Næringslivets beredskaps- og sikkerhetssenter (NBSS). Aktuelle tjenester i et slikt senter, i tillegg til det digitale responsmiljøet, er ressursmobilisering fra næringlivet i en krisesituasjon, kanaler for kommunikasjon mellom myndigheter og næringsliv for å få viktig informasjon til de som trenger den, samarbeid mellom profesjonelle sikkerhetsmiljøer på tvers av bransjer i næringslivet, og støtte til næringslivsrepresentasjon i myndigehtsorganer på ulike nivåer som oppfølging av Totalberedskapsmeldingen.

Disclaimer 2: Da jeg var leder i Abelia var jeg styremedlem og i flere år styreleder i Næringslivets sikkerhetsråd (frem til 2013). Det er noen år siden nå, men jeg er veldig opptatt av det viktige arbeidet de gjør, og glad for at de er blitt en større organisasjon. Nå som myndighetene øker sin støtte til den operative delen av arbeidet i NSR er det viktig at også næringslivsorganisasjonene stiller opp for å styrke og videreutvikle beredskapsrollen til NSR

Draghi på norsk - Veien til vekst

NHO har tatt mål av seg til å lage den norske utgaven av EUs Draghi-rapport (som jeg skrev om og lenket til her på bloggen). NHO-rapporten heter "Norsk konkurransekraft - Veien til Vekst" og bli lansert tidlig i august.

Navnet på rapporten forteller at dette er ment å være både en analyse av norsk konkurranseevne sammenlignet med andre land, og noen anbefalte tiltak som skal ivareta "veien til vekst" hvis de blir gjennomført. Den første delen av oppgaven er godt løst. Analyse- og dokumentasjonsdelen er omfattende og gir solide beskrivelser av Norges produktivitetsutvikling, utviklingen i ulike bransjer, og sammenligninger med andre land.

Bransjen som mangler

Fordi Norge er Norge, er rapporten naturligvis farget av at norsk økonomi og næringsliv fremdeles er sterkt preget av en kapitalintensiv olje- og gassnæring. Den næringen vil imidlertid ta mye mindre plass i norsk økonomi fremover, både fordi det gjøres langt færre store oljefunn, og fordi vi skal oppfylle noen ambisiøse nasjonale og europeiske klimamål.

Men så er det også slik at NHO-rapporten i likehet med Draghi-rapporten vier stor plass til "bransjen vi mangler". Bedrifter i den mest forsknings- og teknologintensive delen av næringslivet som driver med KI, robotisering, automatisering, livsvitenskap, kvantedatamaskiner eller nye forskningsintensive energiteknologier. Nå er det ikke slik at dette er bransjer og bedrifter som mangler helt i Norge, men de utgjør en veldig mye mindre del av økonomien enn i både USA og i resten av Norden. NHOs rapport slår fast at:

"Høyteknologiske næringer har vært en viktig driver for veksten i mange av verdens rikeste land, og det er i teknologifronten veksten og lønnsomheten er størst. I tillegg ventes 70 prosent av fremtidig økonomisk vekst å være knyttet til digitalisering. Norge er et av verdens mest digitaliserte samfunn, og norske bedrifter har høy grad av digitalisering og automatisering. Fremtidig vekst i Norge er likevel hemmet av at den høyteknologiske næringen er liten. Dette slår blant annet ut i et svært lavt antall patentsøknader, særlig innenfor avanserte teknologier. Norske bedrifter henger også etter i å ta bruk den nyeste teknologien. Andre nordiske land ligger foran i bruk av kunstig intelligens."

Tre avgjørende innsatsområder

Rapporten er godt utstyrt med gode tall og figurer som viser hvordan gapet mellom USA og Kina, på den ene siden, og EU på den andre siden, øker, og hvordan det er slik at selv om Norden ellers gjør det bedre enn EU, så er Norge mer som et vanlig EU-land, med en lav- eller middels teknologi- og forskningsintensitet i næringslivet. Rapporten dokumenterer hvordan Norge i økende grad henger etter på viktige områder, og står i fare for å tape ytterligere terreng. Dette slår også ut i at verdien av norske selskaper ikke holder følge med verdiutviklingen i våre naboland:

"Veksten i norsk økonomi har bremset opp, og Norge har hatt en svakere økonomisk utvikling enn mange sammenlignbare land de siste årene. Vår gjennomgang viser også at de største norske selskapene gjør det svakere enn de største selskapene i andre nordiske land. Av de 50 største selskapene i Norden, er den relative markedsverdien til de norske selskapene mer enn halvert siden 2005. Det er indikasjoner på at det kan være mer krevende for de norske selskapene å vokse videre. Norske vekstselskaper virker også å være mindre verdt enn vekstselskapene i de andre nordiske landene."

NHO har i denne rapporten vært flinke til å ikke spre seg på alt fra samferdselsprosjekter til boligpolitikk, men i stedet spisse oppmerksomheten mot de samme tre temaene som Draghi-rapporten løfter frem:

• Styrking av forsknings- og innovasjonsinnsatsen i næringslivet og samfunnet.
• Behovet for en energiomstilling for å bygge grønn konkurransekraft. 
• Økt motstandsdyktighet i en mer urolig og utrygg verden. 

Det at Draghi-rapportens prioriteringer har disiplinert et NHO som ellers gjerne føler behov for å mene litt om alt, og etterlyse statlige penger til mye, er en god ting. Så er det ikke sikkert denne tematiske konsentrasjonen overlever når statsbudsjettet legges frem. Men kanskje leder arbeidet med denne rapporten til en viss konsistens i krav og posisjoner, der det som har mest betydning for konkurransekraft, produktivitetsnivå og bærekraftig velferd er høyere prioritert enn ting som er mindre viktige.

Forskning og innovasjon

Det første og største av de tre hovedtemaene i rapporten handler om grunnlaget for innovasjon og produktivitetsutvikling, ganske bredt definert. Selv om både næringsliv og innbyggere i Norge ofte er tidlig ute med å ta i bruk ny teknologi, og vi er et av de mest digitaliserte landene i verden, er det i mindre grad slik at verdensledende digitale bedrifter blir født og vokser seg store i Norge.

I dette hovedkapitlet er det egne delkapitler om svakheter i forsknings og innovasjonssystemet, om problemer med tilgang på risikokapital, om mangelfull kompetansetilgang til næringslivet på viktige områder og om svakheter i samspillet mellom offentlig forvaltning og næringsliv. Om forskning og innovasjon sår det for eksempel at:

"For å hevde seg i den internasjonale konkurransen og bygge nye, produktive næringer, er sterke forskningsmiljøer og et tett samarbeid mellom forskningsmiljøer og næringslivet avgjørende. Internasjonalt øker næringslivets investeringer i FoU. Eksempelvis har USA økt FoU-andelen av BNP med rundt 50 prosent på få år, mens Norge ligger på et stabilt, lavt nivå. Norge har samtidig en svært spredt universitets- og høgskolesektor, med få elitemiljøer. Flere indikatorer tyder også på at samarbeidet mellom akademia og næringslivet er mindre utviklet i Norge enn i andre land."

Og om mangelfull tilgang til risikokapital:

"Venturekapital som andel av BNP er svært lavt i Norge, på tross av offentlig innsats for å øke kapitaltilgangen i denne fasen. Eierskapet i Norge er i stor grad preget av offentlig og utenlandsk eierskap, med en forholdsvis liten aksjebeholdning blant norske husholdninger. Høy eierbeskatning og sterke insentiver for investering i egen bolig fremfor aksjer har bidratt til at det norske eiermiljøene ikke har nok dybde og løfteevne."

Når det private norske eierskapet i næringslivet er så lite sammenlignet med land rundt oss, er det i hvert fall temmelig dumt å ha bedre rammevilkår for utenlandske eiere enn for norske eiere, slik vi har gjort med formuesskatten. 

Det grønne skiftet 

Andre hovedtema i rapporten er energi og miljø. Når det gjelder ambisjonsnivået for klimainvesteringer er rapporten opptatt av at markedet for klimavennlige varer og tjenester både virker og ikke virker, og at denne markedsumodenheten bremser på en del områder:

"Kunder etterspør i økende grad varer og tjenester med lavere klimaavtrykk, og økt karbonprising gjør utslippskutt mer lønnsomt for flere virksomheter. Samtidig er det en felles utfordring for både Norge og Europa at mange klimainvesteringer er bedriftsøkonomisk ulønnsomme og har høy risiko, både økonomisk og politisk. Markedene er umodne, innsatsfaktorene er begrenset, infrastrukturen lite utviklet, teknologien ofte mer kostbar, og betalingsviljen mangler."

Dette avsnittet kan jo høres ut som en selvmotsigelse, for hvordan kan det være økt etterspørsel fra kunder etter noe det ikke er betalingsvilje for? Men her er poenget at det på samme måte som med forskningsbaserte innovasjoner og teknologiutvikling kan være en markedssvikt i tidlig fase i overgangen til noe nytt, og at myndighetene kan spille en rolle i å skape insentiver for innovasjon og mer forutsigbarhet 

Det andre underpunktet handler om behovet for mer kraft når Norge går fra kraftoverskudd til kraftunderskudd:

"De siste årene har det tilkommet lite ny kraftproduksjon og lønnsom ny kraftproduksjon har blitt mer omdiskutert. Basert på reserverasjoner i nettet for nytt kraftforbruk- og kraftproduksjon vil vi gå fra et betydelig kraftoverskudd til -underskudd rundt 2030. I tillegg er nettkapasiteten sprengt i store deler av landet."

Akkurat hvor stort dette kraftunderskuddet kommer til å bli i årene som kommer, og hvor mange nye batterifabrikker og hydrogenproduksjonsanlegg det vil bli i årene som kommer, er det ikke helt enkelt å fastslå. Ulike rapporter sier ulike ting, men den diskusjonen får jeg heller komme tilbake til senere her på bloggen. NHO-rapportens syn er at det må bygges mye og raskt når det gjelder både produksjon og nett.

Næringslivets rolle i totalberedskapen

Det tredje tematiske hovedkapitlet i rapporten handler om behovet for redusere sårbarheter og styrke beredskapen i en mer usikker verden. Det er delt i to. Den første delen er om handelskonflikter og opptrapping av toll som rammer en åpen og eksportorientert økonomi som den norske særlig hardt. Noe som også gjør at Norges avhengighet av EU blir langt sterkere enn før, og paradoksalt nok gjør det norske utenforskapet oss ekstra sårbare, og avhengige av EU:

"Mer enn tre firedeler av vår eksport går til Europa, det meste til EU. Det betyr at EUs utvikling og initiativer påvirker norsk næringsliv både direkte og indirekte. Samtidig går integrasjonsprosessene i Europa raskere enn det vi greier å holde tritt med, og i økende grad også på utsiden av EØS-avtalen. Det betyr at norske bedrifter ikke alltid har det samme regelverket som europeiske bedrifter, og i enkelte tilfeller må også norske bedrifter vente lenger på at det nye rammeverket kommer på plass enn mange andre europeiske land."

Den andre delen av dette hovedkapitlet om sårbarheter og sikkerhet handler om nasjonal sikkerhet og berededskap. Det er et viktig kapittel i rapporten, der det slås tydelig fast at næringslivet vil få en stadig viktigere rolle når det gjelder nasjonal sikkerhet, og også er inntilt på å ta denne rollen. 

"Bedriftene må og vil ha en langt mer betydningsfull rolle enn tidligere, der det legges til rette for en sterkere samhandling med Forsvaret og beredskapsmyndighetene. Dette ble også tydelig fremhevet av Totalberedskapskommisjonen, som pekte på at private aktører eier betydelige andeler av kritisk infrastruktur i Norge. Dette inkluderer sektorer som energi, transport, telekommunikasjon, finans og vannforsyning."

Rapporten er konkret på at næringslivet må gjøre mer i samarbeidet med sikkerhetsmyndigehtene, og at det bør skje gjennom samarbeidet i Næringslivets sikkerhetsråd (NSR), som omfatter hele det organiserte næringslivet, med NHO som den største eieren. Ambisjonen er å videreutvikle dette til noe mer enn en faglig møteplass og en informasjons og påvirksningskanal mot myndigehtene, men også ha en mer operativ rolle:

NHO er en av stifterne av Næringslivets Sikkerhetsråd (NSR). Det gir råd til næringslivet innenfor aktuelle sikkerhetsspørsmål. Med dagens komplekse trusselbilde, kreves forebygging av sikkerhetstrusler gjennom informasjonsdeling, samarbeid, kompetanseheving og nettverk. NSR har som ambisjon å etablere Næringslivets Sikkerhets- og beredskapssenter (NBSS), for å styrke arbeidet med felles situasjonsforståelse i næringslivet og være et responssenter og bindeledd mellom bedrifter og myndigheter.

Staten kan ikke løse alt

Jeg har vært inne på at "Veien til vekst" er sterk på analyser og dokumentasjon av ulike årsaker til at Norge taper konkurransekraft. Samtidig er den ganske blodfattig når det gjelder tiltak for å snu den negative utviklingen den beskriver. Mens det når det gjelder sikkerhet og beredskap er slik at NHO beskriver hva næringslivet skal gjøre mer av, sammen, er det få tilsvarende aksjonspunkter når det gjelder for eksemåpel forsknings og innovasjon. Nesten alle tiltak handler om at staten skal gjøre ting og bruke mer penger på ting.

Hvert delkapittel i rapporten avsluttes med en side med tiltak. Alle de fem tiltakene om forskning og innovasjon (side 42) peker på hva staten skal gjøre, særlig for næringslivet. Alle de seks tiltakene om kapitaltilgang handler om ting myndighetene skal gjøre, men her handler i hvert fall flere av tiltaken om at skatter og reguleringer som skal reduseres eller fjernes for å gi et større handlingsrom for næringsliv og privatpersoner. 

Jeg tror også alle de syv punktene om digitaliseringer og teknologi handler om ting staten skal gjøre, men fordi rapporten bruker bregrepene "Norge" og "vi" ganske raust, kan det hende noe er tenkt som fellessatsninger, men det virker som det er mest stat også her. Og interessant nok sier et av punktene at det er veldig viktig at offenltige data må deles med næringslivet for å få til verdiskaping, men ikke et ord om hvordan private data kan bidra til verdiskaping, heller ikke når data oppstår i virksomheter som jobber for det offentlige eller har konsesjoner fra en myndighet. 

Alle seks tiltak under kunnskap og kompetansebehov er tiltak NHO vil at myndighetene skal gjennomføre. Kanskje litt rart med tanke på den sentrale rollen næringlivet har i fagopplæring og som arena for livslang læring. Under delkapitlet Arbeidslinjen er det seks tiltak. Alle er ting myndighetene bør gjøre bortett fra tiltak for å få folk til å stå lenger i jobb, der også arbeidsgivere arbeidstakere skal bidra. Av hele ni tiltak for å forbedre samspillet mellom myndigheter og næringliv er alle ni ting myndighetene skal gjøre, stort sett ønsker om mindre regulering, men på et lite konkret nivå.

Næringslivets rolle som pådriver og partner

Under det grønne skiftet lanserer NHO fem tiltak (side 101) der man kanskje kan tolke det slik at et av punktene, om sirkulære verdikjeder, handler om noe næringslivet må bidra til selv, mens resten handler om statlige mål, ambisjoner og planer. Alle syv tiltak under energipolitikk handler om hva staten bør gjøre og alle fire tiltak under klimapolitikk handler om ting staten skal gjøre. Og av de 8 tiltakspunktene under handels- og geopolitikk (side 140) er også først og fremst staten som skal gjøre noe. Ja, selv der tiltaket handler om dialog mellom myndigheter og næringsliv mener NHO mest om hva staten skal bidra med i dialogen:

"Styrke dialogen mellom myndigheter og næringsliv om handelspolitikk og tiltak for risikoredusering. Bedriftene trenger tydelige avklaringer, klare rammer og størst mulig forutsigbarhet når nasjonal politikk utvikles i skjæringspunktet mellom handel og nasjonal sikkerhet.

Og for å gjenta det: Rapporten har gode og treffende analyser av hvordan norsk konkurransekraft er svekket. Det er gode grafer og tall som dokumenterer dette på en rekke områder, som kompetansebehov, FoU-investeringer, produktivitetesutvikling, forsknings- og kunnskaskapsintensitet, energiforsyning, grønn omstilling og sikkerhet og beredsskap. Men rapporten hadde fortjent en oppfølger som ikke bare lister opp gode ønsker om hva staten kan gjøre, selv om det også er viktig, men som formulerer hva næringslivets egne bidrag må være.  NHO og deres underskog av landsforeninger og bransjeforeninger og medlemsbedrifter må bidra med mye i omstillingen. Staten og kommunene blir også bedre i stand til å gjøre sin del av jobben når næringslivet bidrar med mer enn ønskelister, og heslt tar en hovedrolle i omstillingen.

Totalberedskapsmeldingen

Regjeringen la forrige fredag frem en Totalberedskapsmelding, et dokument som handler om hvordan vi skal forberede samfunnet bedre på alvorlig krise og krig. Stortingsmeldingen er en oppfølging av Totalberedskapskommisjonens rapport "Nå er det alvor - Rustet for en usikker framtid", som kom i 2023.

Er dette en god Stortingsmelding, gitt temaets alvorlighetsgrad og store kompleksitet, på tvers av sektorer, forvaltningsnivåer, offentlig-privat-frivillig og landegrenser? Den er i hvert fall langt bedre enn den temmelig slagordpregede og proteksjonistiske stortingsmeldingen om "Nasjonal kontroll og digital motstandskraft for å ivareta nasjonal sikkerhet" (jeg blogget om den her) fra 2022, som åpenbart kom før regjeringen hadde satt seg ordentlig inn i utfordringsbildet, eller avklart egne prioriteringer og strategier.

Den nye Stortingsmeldingen holder et høyere nivå og henviser naturligvis ganske mye til både Forsvarskommisjonen, Totalberedskapskommisjonen, Langtidsplanen for Forsvaret, sikkerhetsmyndighetenes risikovurderinger og NATOs og EUs ulike analyser og strategier. Vi vet at vi på en del områder ikke er så godt rustet for å møte alvorlige kriser, sammensatte trusler og cyberangrep  som vi burde være, og at årsakene til dette skyldes ting som mangelfull koordinering på tvers av sektorer, mellom myndigheter og næringsliv, og uklarheter i roller og ansvar når vi skal beskytte oss mot og respondere på sammensatte trusler. 

Tiltakslister

Det er slike ting denne stortingsmeldingen skal svare på. Det konkrete som skal gjøres er som vanlig i slike dokumenter forulert som korte strekpunkter som begynner med foruleringen "Regjeringen vil...". Nå er det riktignok ikke alle disse punktene som beskriver noe som skal endres, ofte er det noe som skal vurderes eller utredes, eller en prosesss som tar sikte på en endring som skal igangsettes om en stund, men det er i hvert fall her man finner det mest operative i en stortingsmelding. I denne meldingen er det slike tiltak under flere av kapitlene, og mye handler om organisering og lovverk som skal tydeliggjøres. Noen av mest sentrale av disse er at "Regjeringen vil...:

• etablere en felles rådsstruktur for beredskapsplanlegging og tilstandsvurderinger på nasjonalt nivå for å sikre kontinuitet og systematikk i beredskapsarbeidet i sivile sektorer. Næringslivet og frivillige organisasjoner skal integreres i den nye strukturen.
• utarbeide en langtidsplan for sivil beredskap og motstandskraft, herunder politiet.
• foreslå en ny lov som setter krav til grunnsikring for virksomheter og se på tilhørende regelverk som samfunnssikkerhetsinstruksen, sektorlovgivning og sikkerhetsloven. 
• utarbeide en nasjonal sikkerhetsstrategi.
• stille tydelige krav til tverrsektorielt beredskapssamarbeid.
• at det i etatsstyringen skal legges vekt på å gi føringer for arbeidet med sikkerhet og beredskap.
• forsterke involveringen av og samarbeidet med privat næringsliv om sikkerhet og beredskap."

Ikke bare tenke det og ville det, men også gjøre det

Disse punktene virker fornuftige gitt de endringene vi har i utfordrings- og trusslbildet. Men nå er det ikke lenger helt nytt at vi opplever flere sammensatte trusler og behov for mer tverrektorielt samarbeid, og bedre sammarbeid mellom offentlige beredskapsorganisasjone og privat sektor. Det er jo nettopp det både Totalberedskapskommisjonen, Forvarskommisjonen og de ulike overordnede risikovurderingene fra PST, E-tjenesten, NSM, DSB og andre har fortalt oss lenge. 

Når det gjelder en mer helhetlig organisering av beredskapen er det de konkrete handlingene for å møte mer sammensatte trusler vi trenger, ikke enda flere erklæringer om at det skal samarbeides mer og bedre. Nå er det etablering av de strukturene, ansvarsområdene og rollene som beskytter oss bedre som bør være neste skritt. Men dessverre virker det som om denne totalberedskapsmeldingen er noen hakk mindre konkret om hva vil skal gjøre enn det Totalberedskapskommisjonen foreslo, eller rapporten som ble laget av DSB etter ekstremværet "Hans".

Pedagogisk krevende helhet

Mangelen på fremdrift når det gjelder å komme i gang er den viktigste svakheten som denne stortingsmeldingen ikke svarer ut. Min andre store innvending mot den nye meldingen er at den i for liten grad tydeliggjør den ansvarsmessige og lovmessige helheten, hvordan endringne påvirker dagens roller og ansvarsområder, hvordan huller i ansvar løses med nye  strukturer, og hvordan overlapp og dobbeltarbeid unngås.

Til høyre er det en figur fra side 41 i meldingen og som søker å forklare hvordan totalberedskapsarbeidet er organisert "vertikalt" og "horisontalt", fra regjeringen og helt ned til kommuner og innbyggere, på tvers av myndighetsorganer, sektorer og sivilsamfunn på alle nivåer. Dette er et godt forstøk på å lage en pedagogisk beskrivelse av hva begrepet "helhetlig" beredskapsorganisering er snakk om.

Men det blir med denne ene fargerike figuren. Gode visualiseringer og gode fortellermessige beskrivelser og eksemplifiseringer kunne vært benyttet mye mer. Når man lager en stortingsmelding der hele poenget er å forklare hvor komplekst og sammensatt trusselbildet er, og hvor helhetlig og sammensatt organiseringen for planlegge, øve og respondere på dette er, hvorfor bruker man ikke bedre og mer pedagogiske måter å formidle dette på?

Lov- og ansvarskompleksiteter

Dette behovet for bedre forklaringer av og endringer i roller og ansvarsområder er blant annet veldig relevant for innretningen av det lovverket som regulerer virksomheters plikter og ansvar når det gjelder forebyggende sikkerhet. Her sier regjeringen at den planlegger å foreslå en ny lov om krav til grunnsikring i virksomheter som er viktige for at samfunnet fungerer, dels for å oppfylle EØS-forpliktelser, og dels som en anledning til å fylle noen andre hull. Regjeringen skriver:

"Evnen til å opprettholde kontinuitet i kritiske samfunnsfunksjoner, som kraft, helse, elektronisk kommunikasjon og digitale tjenester, er viktig for motstandskraften. Regjeringen vil foreslå en sektorovergripende lov som skal stille felles krav til grunnsikring hos virksomheter som er viktige for at samfunnet fungerer i fred, krise og krig. Sikringen skal blant annet bidra til at virksomhetene kan opprettholde sin aktivitet selv om alvorlige uønskede hendelser og kriser inntreffer."

Disse EØS-forpliktelsene i NIS2-direktivet og CER-direktivet, som omtales i stortingsmeldingen, er EU-direktiver som er med på å begrunne behovet for Norge trenger en ny lov om grunnsikring av virksomheter som ivaretar samfunnskritiske funksjoner. De er et langt stykke på vei overlappende med det som er sikkerehetslovens nedslagsfelt og formål, noe regjeringen også beskriver:

"Direktivene deler samfunnet inn i samfunnsområder. Disse samfunnsområdene overlapper i stor grad med tilsvarende inndelinger i rammeverket for kritiske samfunnsfunksjoner, grunnleggende nasjonale funksjoner etter sikkerhetsloven og NATOs grunnleggende forventninger."

Nå er det ikke helt uvanlig at nedskagsfeltet for lover overlapper, særlig når det gjelder særlig viktige samfunnshensyn som skal ivaretas. Det vil ofte være både generell lovgivning, som alle må følge, og særlig regler for ulike sektorer, som noen aktører er forpliktet av, for eksempel energiaktører eller finansnæringen. Problemet oppstår når flere lovverk og direktiver overlapper hverandre. men sier forskjellige ting om ansvar, plikter og rapportering, eller bruker ulike begreper og definisjoner.

Et nøkkelavsnittt i stortingsmeldingen (underkapittel 3.3) beskriver hvorfor og hvordan Regjeringen vil igangsette et lovarbeid som blant annet skal avklare nedslagsfeltet for en ny lov om grunnsikring, utover det som ligger i EU-direktivene, herunder hvordan ulike deler av offentlig sektor, inkludert kommunene, skal omfattes av forpliktelsene. Og som ikke det var nok varsler regjeringen at den skal gjennomgå samfunnssikkerhetsinstruksen, et annet regelverk som gjelder for departementene, og som griper inn på flere av de samme sikkerhetskritiske områdene:

"Regjeringen vil, som en del av arbeidet med implementering av direktivene, også gjennomgå samfunnssikkerhetsinstruksen. Grensesnittet mellom den nye loven og sikkerhetsloven, samt forholdet til relevant sektorregelverk, vil bli vurdert. En slik vurdering er viktig for å unngå uhensiktsmessig dobbeltregulering, og eventuelle andre uklarheter, mellom den nye sektorovergripende loven og gjeldende sikkerhets- og beredskapslovverk i ulike sektorer. Slike uklarheter kan vanskeliggjøre god og enhetlig implementering og oppfølging av krav til virksomheter som det er kritisk for samfunnet at fungerer. Det utfordrer også et effektivt tilsyn og tilgjengelig veiledning. En helhetlig tilnærming til sikkerhetsog beredskapslovverk vil bidra til forenkling av beredskapsarbeidet i de ulike sektorene"

Bra. En slik helhetlig gjennomgang burde sikkert vært tenkt på for lenge siden, og EU fant ikke på disse direktivene nettopp, men det er helt på sin plass å beskrive og ta tak i problemene uklare og og uvklarte nedslagsfelt, ansvarsområder og roller fører med seg. Men hvorfor ikke ha noen gode pedagogiske beskrivelser, gjerne med visualiseringer og eksempler? I en stortingsmelding om å skape mer sammenheng og innrette et mer helhetlig beredskapsarbeid er det jo akkurat det vi trenger for å legge grunnlaget for en bedre felles virkelighetsoppfatning, på tvers av sektorer og virksomheter. Slik blir det også mye lettere komme videre til en gjennomføringsfase. 

Opplagsverk og kunnskapsgrunnlag

Stortingsmeldingen er fra kapittel 4 (fra side 52) og og utover mer beskrivende når det gjelder dagens mange aktører, organisering og ansvarsområder i norsk beredskap, fra verdensrommet til havbunnen, og veldig mye mellom. Aktørbildet er mangfoldig, og manges ulike virksomheters roller og betydning er beskrevet. Det er både beskrivelser at de sentrale aktørene, og viktige grenseplater mellom dem, som sivil-militært, offentlig-privat, offentlig-frivilling, og på tvers av sektorer og forvaltningsnivåer. 

Det er også omtale av kritiske suksessfaktorer som bedre kompetansetilgang, behov for forskning og innovasjon, frivillighetens bidrag, planlegging og organisering av forsyningssikkerhet, redningsarbeid, støtte til forsvarets behov i en krigssituasjon, og veldig mye annet. Dette fungerer også som et lite oppslagsverk der det er mulig å hente ut kunnskap om hvordan dette økosystemet ser ut, og det er også er et bra kunnskapsgrunnlag  ha med seg når man skal finne ut hvor det er størst behov for å forsterke eller endre innsatsen.

Digitale leverandørkjeder

Skal jeg peke på to områder som hadde fortjent en bedre utfordringsbeskrivelse enn det som ligger i denne stortingsmeldingen er det de digitale sikkerhets og beredskapsutfordringene, og samarbeidet mellom myndigheter og næringsliv. Når de gjelder det digitale er stortingsmeldingen fortsatt på det nokså abstrakte og lett proteksjonistiske nivået som har kjennetegnet tidligere beskrivelser fra regjeringen, og som kanskje tyder på at man ikke er så veldig interesset i å sette seg inn i hvordan komplekse internasjonale leverandørkjeder ser ut eller hva som kan gjøres? Veldig lite av det som er omtalt i regjeringens nye digitaliseringsstrategi om digital sikkerhet har funnet veien inn her, og det er heller ikke veldig mye omtale av arbeidet med områder både Riksrevisjonen og sikkerhetsmyndighetene har pekte på som kritiske sårbarheter tidligere. 

Meldingen har ingen gode forklaringer på hvordan sårbare digitale verdikjeder ser ut, hvordan vi skal utvikle digitale systemer som i større grad kan lagdele tilgangen til ulike typer informasjon, hvordan dette forholder seg til det lovrevisjonsarbeidet som skal foregå, eller hvordan sektorenes og næringslivets egenberedskap mot digitale trusler skal innrettes. Bør vi for eksempel organisere oss slik at vi har cyberresponsmiljøer mot digitale trusler i alle sektorer, eller er vil det være å spre kompetanseressursene for tynt utover? En stortingsmelding som har som formål å beskrive hvordan vi skal møte sammensatte trusler på en bedre måte burde vært langt mer konkret på det digitale trusselbildet.

Næringslivets sikkerhet og beredskap

Omtalen av næringslivets mangesidige roller er også litt mangelfull. Næringslivet er riktignok nevnt veldig mange ganger, og på alle mulige nivåer som bidragsyter i ulike beredskapsfora, fra det veldig nasjonale til det helt lokale. Problemet er at det ikke er sagt noe mer konkret om hvoran dette skal skje, når det skal skje og hvem som har ansvaret for å få det på plass. Hva vil det si at næringslivet skal være representert? Hvem skal ta den rollen og sørge for at det ikke bare foregår i lukkede rom, men tilfører hele næringsivet verdifull informasjon og kunnskap, og mulighet til å påvirke og medvirke? Og hvilke sektorer skal ha egne sektorstrukturer? Hvem skal støtte opp om næringslivets medvirkning i regionene og i kommunene slik at det ikke blir tidstyver, men bidrar til en verdiøkende helhet?

Det er heller ikke veldig konkrete føringer for hvordan informasjonsutvekslig mellom næringsliv og myndighetsaktører skal utvikles videre, verken når det gjelder behovet for å kommunisere bredt om trusselbildet, eller når det gjelder de smalere behovene for å dele den type informasjon som bare noen nøkkelaktører kan ha tilgang til. Det er noe som også må følges opp. 

(Disclaimer: Og når det gjelder dette siste er det viktig å gjøre oppmerksom på at Halogen, meg selv inkludert, på oppdrag fra Næringslivets sikkerhetsråd (NSR) arbeider med å beskrive udekkede behov i grenseflaten mellom myndigheter og næringsliv. Arbeidet tar sikte på å bekrive konkrete og verdiøkende tjenester og støtte til samhandling. Meldingen er ikke veldig konkret på hva myndighetene vil kunne bidra med for å dekke behovet, noe som gjør det ekstra viktig at næringslivet er tydelige på hva de kan bidra med og hva dette krever av myndighetene).