Scenarioer om KI: Krig og forsvar

Hvordan vil kunstig intelligens endre måten krig blir  planlagt og gjennomført og hvordan langtidsplaner og organisering av forsvaret innrettes? KI forandrer våpen, våpensystemer og samhandlingen mellom disse. Hva betyr det for innovasjonssytemet, allianser og alliansepartnere forsvaret og forvarsindustrien for må ha for å bygge og opprettholde den motstandskraften som kreves?

Verdien av forestillinger om fremtiden

I et annet innlegg her på bloggen tidligere i sommer skrev jeg om viktigheten av å utforske hvordan fremtiden med kunstig intelligens kan bli. Om  å fortestille seg svar på spørsmål vi ikke vet svaret på, og som det er stor usikkerhet knyttet til, men må forberede oss på likvel. Hvilke alternative utviklingsbaner er det? Hvor raskt vil teknologiutviklingen gå, og hvordan skal vi sikre at mennesker beslutter og kontrollerer?

I innlegget Forestillinger og fortellinger om kunstig intelligens skrev jeg om en del generelle scenariorapporter, prediksjoner, målbilder og modeller som kan hjelpe oss forstå ulike sider av fremtiden med KI, og alternative utviklingsbaner. Men ikke alle samfunnsområder, yrker og arbeidsoppgaver vil påvirkes likt av KI, eller like raskt. Ambisjonen min er å gå dypere inn i noen særlig viktige og spennende temaer, og rett og slett utforske hva som er laget av mer spissede og avgrensede scenariorapporter som kan være nyttige for folk som ønsker bedre metoder og verktøy når de skal jobbe med målbilder, strategier og planer, eller revurdere virksomhetsmodeller og produktporteføljer på stt område.

Jeg begynner der KI kan få størst eksistensielle konsekvenser, i krig, militær teknologi og forsvars- og sikkerhetspolitikk, og trekker frem scenariorapporter derfra. I dette innlegget er jeg litt strengere med avgrensningen av hvilke type fremtidsfortelling som når opp. Her er det bare scenarioarbeider som inneholder flere navngitte, alternative fremtidsbaner som er med. En prognose som står alene, et målbilde eller et veikart, en handlingsplan eller en risikoliste er noe annet, og når ikke opp her. Det er likevel 11 interessante scenariorapporter med i oversikten under, 

KI i krig og forsvar

Scenariorapportene jeg har sett på har jeg delt i tre kategorier, og rekkefølgen min er nedenfra og opp: fra KI i teknologien som skal anskaffes, via KI som kan påvirke og endre regionale og globale maktforhold, til de bredere forsvarspolitiske fremtidsscenarioene der KI inngår som er én driver blant flere. 

Fem av rapportene handler om KI i forsvarsteknologien, der KI er en kapabilitet som skal integreres i våpensystemer, utstyr og i en militær organisasjon. Det reiser problemstillinger rundt doktrine, tillit, anskaffelser, opplæring og industrielle avhengigheter til andre. Horisonten i disse rapportene er typisk 2030–2040. 

Tre av rapportene handler om KI som noe som kan endre maktforhold mellom stater eller mellom statlige og private aktører, og her er "superintelligens, eller kunstig generell intelligens, noe det kan være avgjørende å ha tilgang til og kontrollere. Som kan avgjøre om et land forblir selvstendig eller ikke. I disse rapportene er horisonten interessant nok kortere, til omkring 2030. Hvordan rigger man egentlig mål- og strategiprosesser hvis de store eksistensielle spørsmålene har en kortere tidshorisont enn teknologimplemeneringen og organisasjonsutviklingen legger opp til? 

Siste kategori er generell forsvars-foresight der KI er en faktor, men ikke en egen variabel. Jeg har sett på tre store framtidsanalyser fra forsvarssektoren der scenarioene bygges på geopolitikk, ikke på teknologi. KI er grundig omtalt som en driver av endring, men det er ikke KI som skiller mellom utviklingsbanene, og derfor ikke hovedpoenget.

1. KI som variabel i våpen- og forsvarsteknologi

Disse fire rapportene har det felles at de beskriver hvordan et forsvar anskskaffer seg, stoler på og bruker KI, uten å miste kontrollen, eller ikke får det til. Motstanderen er Russland og Kina, ikke maskiner som løper løpsk.

Rapporten fra Atlantic Council, How NATO Can Integrate AI to Prevail in Future Algorithmic Warfare, kan være et bra sted å begynne. Den kom i mars i år og er skrivet av Dominika Kunertova i samarbeid med NATOs Office of the Chief Scientist. Tidshorisonten er omkring 10 år. Rapporten er ryddig strukturert, med gjennomgang av ulike sikre og mer usikre endringsdrivere. Den ligger på nettsiden på den anerkjente ikke-statlige vestlige sikkerhets- og samarbeidsorganisasjonen Atlantic Council som har eksistert siden 1960-tallet, og fortsatt klarer å være relevante og oppdaterte.

Rapporen introduserer et aksekors der den ene aksen er KIens transformative potensiale og mulighet til å gi noen et strategisk overtak. På den andre aksen er det motstanderens trusselpersepsjon som er variablen, det vil si om det blir en rask og farlig eskaling. Og ut av dette litt særegne aksekorset kommer det fire scenarioer som kan være både transformative og destabiliserende, verken transformative eller destabiliserende, men også destabiliserende uten å være transformative og transformative uten å være destabiliserende. De heter, i den rekkefølgen, "Brave New World", en ustabil og farlig verden, AI fatigue, et slags nullalternativ som ikke er skrevet ut, Guarded opportunism, som vurderes som mest sannsynlig, og Minority report, der hypen om KI blir et større problem enn KI.

CIGI Papers No. 316: Artificial Intelligence and National Defence: A Strategic Foresight Analysis er neste bidrag, skrevet at Alex Wilner og Ryan Atkinson for Centre for International Governance Innovation i mars 2026. CIGI står for Centre for International Governance Innovation og er en uavhengig canadisk tenketank.

Rapporten begynner med å beskrive fremsynsmetodikk som metode bruk inn i forvars og sikkerhetsfeltet i Canada, mellom allierte land og i noen enkeltland, som USA, UK, Australia og Nederland. Rapporten har ikke akser og aksjekors i en 2x2-matrise, men er basert på en såkalt horisontscanning, der sterke trender og svakere signaler kartlegges og analyseres. 

Scenariodelen av rapporen har tre ganske ulike fremtidsfortellinger lagt til 2040: Muddling through, der KI-maskinene aldri ble noe det skarpe enden av forsvaret kunne stole helt på  KI brukes, men holdes unna de mest kritiske områdene. Worst case, med undertittelen "The unbearable weight of massive AI", er et algoritmisk våpenkappløp som går veldig galt, og Transformative, med undertittelen "AI Diplomatique" har en insteressant vri der KI hjelper stater å finne balanserte politiske løsninger på konflikter, i stedet for suksessiv opptrapping, og krig. Her er det til og med etablert en egen fredspris for KI. 

Rapporten: Navigating the Future: Scenario-Based Analysis of AI Integration in Military Applications er en rumensk scenarioraport skrevet av Nicolae Bălcescu ved Land Forces Academy. Det er et kort notat med to akser i et aksekors, og en tidshorisont på omkring ti år. Aksene er høy og lav KI-utberedelse vertikalt og sterk og svak KI-styring horisontalt. Kanskje litt i overkant enkelt, og de fire scenarioene er rett og slett Optimistic Adoption, Risky Innovation (høy adopsjon, svak styring, og et uregulert KI-kappløp), Controlled Progress og Technological Stagnation. Det som er bra med modellen er at den er lett å forstå og enkelt kan tegnes opp på en tavle for diskusjon.

Situation and trends in the use of artificial intelligence in the defence sector er en spansk rapport om KI i forsvarssektoren, fra Foro de Empresas Innovadoras, et forum for innovasjon i næringslivet, sammen med forsvarsselskapet AMPER. Den kom i september 2025, med et blikk mot 2035. Den finnes i engelsk utgave.

Scenarioene handler egentlig ikke om ulike utfall knyttet til utviklingen av teknologi og våpensystemer i seg selv, men om graden av europeisk suverenitet og handlingsrom. Perspektivet er ikke rent militært, men trekker inn industrielle muligeheter og hindringer for Europa og europeisk autonomi.

Langs den ene aksen er det pekt på tre mulige utfall: Et optimistisk scenario der EU blir en global KI-militærmakt som hevder seg mot Kina og USA. Det forutsetter europeiske industrielle lederroller og et reelt felles forsvarsmarked i EU. Et pessimistisk utfall der dagens situasjon med sterk avhengighet av USAs teknologi og ledelse videreføres. Ingen store europeiske KI-forsvarsselskaper vokser frem. Og i midten det som omtales som et realistisk scenario, der Europa tar ledelsen i enkelte kritiske nisjer, mens avhengigheten fortsetter på andre områder.

Jeg må også nevne BAKS tyskspråklige rapport om: Zwei Szenarien für das Jahr 2035 – Künstliche Intelligenz in der Sicherheitspolitik fra slutten av 2025, selv om disse scenarioene er så korte, enkle og overordnede, at de kanksje ikke tilfører mye vi ikke allerede vet. Men BAKS, som står for Bundesakademie für Sicherheitspolitikk, på engelsk Federal Akademy for Security Policy, er et interessant fremsynsmiljø knyttet til forsvaret i Tyskland som har mye interessant å komme med, også når det gjelder utviling av metoder og opplæring i bruk av fremsynsmetodikk.

2. KI som variabel i global sikkerhetspolitikk

I denne andre hovedkategorien har jeg funnet tre scenariorapporter, Her flyttes hovedspørsmålet fra bruk av KI i militære våpensystemer, til å være en ytre driver som kan flytte global og regional makt. Tidshorisonten i disse rapportene er kortere, gjerne 4-5 år, fordi teknologiutviklingen går så raskt, og det er stor usikkerhet om hvor grunnleggene endringer vi kan opplve.

Første bidrag er fra forskningsmiljøet og tenketanken RAND, og heter How Artificial General Intelligence Could Affect the Rise and Fall of Nations (RR-A3034-2). Den kom ut i juli 2025. Undertittelen er "Visions for Potential AGI-futures", og det er forestillinger om disse fremtidene rapporten belyser gjennom å presentere 8 ulike scenarioer i en interessant scenariorapport på omkring 30 sider.

Valget av akser er litt spesielt her, og gir ikke et vanlig 2x2 aksekors, men en 2x4 matrise med 8 ulike utfall. Den ene aksen handler om evnen til å utvikle lendende KI. Enten hos en dominerende aktør, eller desenralisert slik at mange miljøer har denne evnen. Den andre aksen handler om det geopolitiske utfallet av KI-utviklingen, der det fire posisjoner: a) at særlig USA tjener på den, b) at USAs motstandere vinner mest, c) at både USA og USAs motstandere taper, og d) at KI-utviklingen bremser opp og derfor ikke har så stor betydning. 

Dette gir åtte ulike scenarioer, og et veldig mangfoldig spekter av ulike fremtide. Det er to måter USA kan vinne, to måter USA kan tape og to måter både USA og Kina taper. Og i de de siste to stopper utviklingen, enten på grunn av fryktelig hendelse som gjør at man bestemmer seg for en usikker våpenhvile ("The corked bottle"), eller krig mellom USA og Kina ("The Mushroom Cloud") Alle 8 scenarionene har sin egen indre oppdrappingslogikk. 

Jeg var innom canadiske CIGI i forrige kategori. De har også et interessant bidrag i denne kategorien: CIGI og Privy Council Office har sammen laget rapporten AI National Security Scenarios på omkring 60 sider. Her er det også et litt komplekst batteri av variable, som til sammen gir ganske mange ulike mulige utfall, men så gjør rapporten en forenkling, og gjennomfører et lite dypdykk i fem av dem.

Disse scenaroene har tre variable: KIs kapabilitetvekst med fem alternative baner: Stall, plateau, fast, accelerating og ekponential. Andre akse er KI-kontrollerbarheten, om menneskers kontroll er høy eller lav. Og siste akse er antall aktører ved teknologifronten, der alternativene er a) én vinner, b) en bipolar rivalisering, eller c) en mangedimansjonal konkurranse. Med alle disse variablene blir det et komplekst terreng med hele 30 ulike celler som kan fylles med hver sine fortellinger, men rapporten nøyer seg med 5 hovedbaner, med noen varisjoner i par av dem.

Vi får presentert et stagnasjonsscenario som heter "AI Stall", der det likvel er en utstrakt KI-bruk i samfunnet, men det er mange aktører og god kontrollerbarhet. Scenario 2 er "Precarious Prepicice", en bipolar rivalisering og en rask KI-utvikling, men i stort sett kontrollerbare former. 

Scenario 3a er "Hypercompetition", der det er eksponentiell vekst og rivalisering mellom selskaper, eller stater (som i et kontrollert atomkappløp) I Scenario 3b, "Hyperpower", er det også eksponentiell vekst, men bare en dominerende aktør, som har kontroll. Scenario 4, "Rogue Superintelligence" er der alt kontrollen glipper: Eksponentiell vekst i utviklingen av en superintelligens i en ikke-kontrollert kontekst. At kontrollerbarhet er en egen akse er interessant.

Siste rapport i denne kategorien er Centre for Emerging Technology and Security (CETaS) ved Alan Turing Institute som har skrevet rapporten "AI Cooperation Trajectories: Adversaries and Geostrategic Competitors". Det er en overkommelig rapport på omkring 40 sider, og igjen er det den store maktpolitikken i møte med KI som er tema.

Men denne rapporten skiller seg veldig ut ved at det ikke er USA, NATO eller Europa som er gjenstand for hovedanalysen, men de såkalte CRINK-landene, som er Kina, Russland, Iran og Nord-Korea, og i hvilken grad disse samarbeider om KI både i militære våpensystemer og maktpollitisk.

Arbeidsprosessen gruppen har brukt er å utvikle 50 scenarioer gjennom to heldags «serious games» med en spesialbygget kortstokk. Den har drivere som inkluderer KI-modenhet, hybridkrigføring, inntekte fra kriminalitet, verdien av kampdata osv. Og den beskriver tematiske funn fra spillene snarere enn selve scenarioene. At interessant paradoks: Rapporten advarer mot å overdrive dybden i samarbeidet mellom disse landene på strategisk nivå. Men den advarer også mot å tro at eksportkontroll har den tiltenkte effekten.

3. Generell forsvars-foresight der KI er en faktor, men ikke en variabel

Disse tre siste rapportene er store, godt ressurssatte fremtidsanalyser fra aktører i forsvarssektoren, som har en lang tradisjon for å lage scenariorapporter som en del av forsvarsplanleggingen. Alle omtaler kunstig intelligens som en helt sentral driver for utviklingen, men i disse rapportene er KI en faktor og en driver, men ekke en variabel i seg selv, slik det er i de andre rapportene.

NATOs Allied Command Transformation: Strategic Foresight Analysis 2023 er en scenariorapport fra 2023, med en tidshorisont frem til 2043. Den har identifisert syv endringsdrivere: climate change, resource scarcity, disruptive technology development, securitization of economics, human networks empowered, the exploitation of the global commons and an international order in transition.

Basert på driverne som er identifisert er det utviklet en aksemodell der de to variablene er høy og lav grad av disrupsjon forårsaket av disse driverne, og høy og lav grad av samarabeid mellom land for å løse problemene. Dette har gitt fire scenarioer i aksekorset: Fragmenting world , Pervasive competition,  Global cooperation og Better angels of our nature. De to siste ble i praksis forkastet fordi de er urealistisk positive, slik verden nå utvikler seg.

 KI har plass i rapporten som en del av driveren disruptiv teknologiutvikling og rapporten peker på at KI vil gi et stort fortrinn til land som er ledende i KI-utviklikngen og gir KI plass i sine forsvarsssystemer.

Rapporten Air Force Global Futures Report fra ledelsen i det amerikanskje luftforsvaret er en strategisk fremsynsrapport som ser frem til 2040. Den presenterer fire alternative scenarioer der ingen av banene er ment å være bare gode eller bare dårlige. 

Scenarioene er Continued growth, der globaliseringen og stormaktskonkurransen fortsetter, Transformational, der der det er store teknologiske gjennombrudd i genredigering og romkapasiteter, muliggjort av autonomi, KI/ML, kvanteberegning mm, Constrained, der kinesisk-russisk samordning gir dem fordeler mens vestens økonomier svekkes, og Collapse der natur- og menneskeskapte kriser driver frem proteksjonisme og nasjonalisme som gjør verden fattigere.

KI har en sentral plass som driver i fortellingene her også, og der er KI i stort sett alle cellene i rapporten, i hvert fall i tre av de fire scenarioene, men den differensierer ikke. Denne rapporten er også interessant fordi den går mer detajert til verks når det gjelder hva scenarioene betyr for det militærteknologiske.

Det britiske forsvarsdepartmentets scenarioer for fremtiden finner vi i rapporten: Development, Concepts and Doctrine Centre: Global Strategic Trends. Et monster av en rapport som kom høsten 2024. Tidshorisonten er helt frem til 2055. Den finnes i en stor 456-siders versjon, med full pakke av fargelagte sider og fargerike fortellinger. Og så har de en "bite size" 46-siders sammendragsversjon. Det kan være lurt å begynne der.

Rapporten har seks endringsdrivere: Globabal maktkamp, klimaendringer, økt ulikehet, demografiske endringer, teknologiske fremskritt og økonomi og energitranformasjon. Den trekker så frem fem motsetningsfylte områder: fragmentering vs konnektivitet, samarbeid vs konfrontasjon, innovasjon vs stagnasjon, krav om transparens vs autoritære utviklingstrekk og statlig avmakt vs statlig fornyelse

I et 2x2 aksekors der den ene aksjen er sterke stater vs spredning av makt og den andre aksen er sterkere samarbeid vs sterkere konkurranse mellom stater, er det fire scenarioer: Multilateralisme, Multipolaritet (som vil si at stormaktene leder blokker som samarbeider innad og konkurrerer utad), Nettverk av aktører (som innebærer et mer mangfoldig aktørbilde med megabyer, sterke selskaper, stater og globale organisasjoner) og Fragmentering (et scenario der konkurransen er mer destruktiv og farlig, og samarbeid undergraves). Rapporten erkjenner at ingen av de fire verdnene laget av aksekorset vil vokse frem i rendyrket form, og velger i stedet å beskrive fem tenkte utviklingsbaner i en flokete og turbulent virkelighet.

Det cyberkriminelle økosystemet

Digitale verktøy og digitale kommunikasjonskanaler er en del av det vi gjør på stort sett alle områder i samfunnet. Både i dagliglivet og på jobben. I offentlige tjenester, i private virksomheter, i frivilligheten og i livene våre slik de leves og tjenestene vi er avhengige av. Og naturligivis også i det kriminelle organisasjoner og nettverk gjør. 

Ja, det er sannsynligvis blitt slik at mange kriminelle aktører er blant de mest avansere brukerne av digitale verktøy og digital kommunikasjon, og benytter sin digitale spisskompetanse på en rekke ulike områder for å berike seg selv, eller for å skade enkeltpersoner,  virksomheter og samfunnet.

Cyberkriminalitet 2026

Kripos er en etat i Politiet som har som mandat å fortstå, forebygge og bekjempe alvorlig, organisert og samfunnsskapdelig kriminalitet. De har nettopp utgitt rapporten Cyberkriminalitet 2026, som gir en helhetlig, analytisk  og oppdatert beskrivelse av cyberkriminalitetens karakter, omfang og forventede utvikling i Norge, basert på politiets kunnskap. 

Det er interessant at rapporten så tydelig bruker begrepet "økosystem" om den organiserte digitale kriminaliteten, på samme måte som vi bruker begrepet digitale økosystemer om data, digitale tjenester og aktører som virker sammen for å skape verdi for samfunnet, og som oppleves som helhetlige og sammenhengene for de som bruker dem. 

I denne rapporten er det de hvordan cyberkriminelle som har utviklet sammenghengede tjenester og digitale forretningsmodeller for kjøp, salg og samarbeid som er hovedsaken. Kripos skriver:

"Rapporten redegjør for det cyberkriminelle økosystemet slik politiet ser det, og introduserer nye analytiske rammeverk for bedre å forstå aktørenes dynamikker og handlemåter. Kriminalitet forstås ikke som isolerte handlinger, men som et samspill mellom aktører, tjenester, teknologi, markedsplasser og strukturelle sårbarheter. Kommersialisering og arbeidsdeling har ført til framvekst av et marked der kriminelle tjenester tilbys i ulike former, noe som senker terskelen for deltakelse og øker både volum og tempo i kriminaliteten. Økosystem-perspektivet bidrar til å forklare hvorfor tiltak rettet mot enkeltaktører ofte har begrenset effekt dersom underliggende strukturer og muliggjørere består."

Begrepsbruk og forretningsmodeller

Rapporten er analytisk ambisiøs når det gjelder å beskrive kriminalitetens organisering og verktøykasse, og introduserer begreper som kan virke litt fremmede og berskriver av forretningsmodeller som er skremmende i sin modenhet, men som raskt er blitt helt normale dele av kriminalitetsutfordringen. I fjor kom Kripos med et notat om "Vold som handelsvare" (som jeg blogget om her), en skremmende beskrivelse av hvordan digitale kanaler og sosiale medier brukes til å rekruttere barn til kriminelle voldshandlinger. Cyberkriminalitet 2026 er også innom vold som handelsvare, og de digitale plattformene som brukes, men har en langt bredere vifte av både målsettinger og forretningsmodeller for alvorlig kriminalitet, muliggjort og støttet av digitale verktøy. 

Det er ikke akkurat kampen for å beholde de små lennsmannskontorene eller politi i gatene man først tenker på som viktige mottrekk når man leser denne rapporten. Dette krever avansert spisskompetanse og det er også mye som ikke kan bekjelpes på nasjonalt nivå alene. De mest avanserte aktørene har globale virksomehetsmodeller, for eksempel når det gjelder digitalt direkteoverførte bestillingsovergrep (DOBO):

"DOBO eksisterte ikke før det digitale rom oppstod, og teknologien har medført at barn i risikoland nå blir solgt og utsatt for overgrep både fysisk og digitalt. DOBO-selgere er oftest filippinske kvinner med egne, mindreårige barn. De kan være både tilretteleggere som organiserer og formidler direkteoverførte fysiske overgrep mot egne og andres barn, og de kan være utøvere av overgrepet – ofte er kombinasjonen av tilrettelegger og overgriper tilfelle"

Kategorier av cyberkriminalitet

Det er ikke veldig lenge siden cyberkriminalitet ble betraktet som en slags nisje litt på siden av den vanlige kriminaliteten, der hovedtyngden var ting som tyverier, innbrudd og ordensforstyrrelser. Datakriminalitet måtte man ha noen egne ekspertmiljøer for å håndtere, litt uavhengig av det andre. Vi er ikke lenger der. I skriver Kripos i innledningen til rapporten at det ikke gir noen mening i å lage et skarpt skille skarpt mellom det fysiske og det digitale. Det glir over i hverandre:

"Et grunnleggende premiss er at digital teknologi i dag er en integrert og ofte nødvendig del av moderne kriminalitet. Rapporten skiller derfor ikke skarpt mellom cyberkriminalitet og tradisjonell kriminalitet, men beskriver kriminalitet langs et spekter basert på grad av teknologisk avhengighet. Cyberkriminalitet forstås som kriminalitet der teknologi enten er et mål eller en sentral muliggjører. Denne tilnærmingen synliggjør hvordan digitale byggeklosser inngår i de fleste alvorlige kriminalitetsformer, og hvordan grensene mellom fysiske og digitale domener i økende grad viskes ut."

I stedet introduserer rapporten en sortering i ulike kategorier ut fra om kriminaliteten er rettet mot datasystemer, om dataverktøy er en sentral muliggjører for kriminaliteten, eller om dataverktøy har en mer supplerende rolle. Rapporten beskriver:

• Kriminalitet mot datasystemer, som skiller seg fra annen cyberkriminalitet ved at den retter seg direkte mot et datasystem, framfor mennesker som bruker datasystemer eller informasjon som er lagret på datasystemer. Eksempler inkluderer datainnbrudd og digitalt skadeverk.
• Kriminalitet utført i datasystemer, som er kriminalitet som retter seg mot menneskene som tar i bruk datasystemer eller informasjon som er lagret på datasystemer. Eksempler er generering av syntetisk overgrepsmateriale og kryptosvindel. Dette er kriminalitet som ikke angriper datasystemer direkte, men som ikke kan begås utenfor det digitale rom.
• Kriminalitet begått med datasystemer er kriminalitet som begås i det digitale rom, men som like gjerne kan begås utenfor. Eksempler på dette kan være kjærlighetsbedragerier, salg av narkotika, seksuell utpressing og hatefulle ytringer i sosiale medier. 
• Kriminalitet supplert av datasystemer er tradisjonell kriminalitet som begås i det fysiske domenet, men som benytter datasystemer som en støtte. Dette er former for kriminalitet som primært faller utenfor cyberkriminalitetsbegrepet, men her kan det være glidende overganger.

Allianser av cyberkriminelle nettverk

Et interessant utviklingstrekk som også omtales i rapporten er hvordan noen grensekryssende organiserte cyberkriminelle nettverk allierer seg med andre organiserte cyberkriminelle nettverk, og blir enda farligere. Det kan for eksemel være for å få enda høyere treffsikkerhet når det gjelder såkalte "løsepengevirus" (Ransomware as a service, RaaS):

"I 2025 er det observert at internasjonalt etablerte cyberkriminelle nettverk har gått sammen om å danne større koalisjoner av løsepengevirus-som-handelsvare-operasjoner. (LSH-operasjoner). Flere av løsepengevirusvariantene som nå inngår i de nydannede koalisjonene er blitt brukt i angrep på norske virksomheter i løpet av 2025. (...) For en av koalisjonene som er dannet i 2025 og som nå omtaler seg som Scattered Lapsus$ Hunters, rapporteres det blant annet om større bredde i trusselaktørens teknikker for å skaffe seg aksess til virksomheters systemer. Hva dette innebærer til det fulle er noe uklart, men det rapporteres om at grupperingen benytter voice-phishing mot ansatte i virksomheter, for derigjennom å skaffe seg aksess til systemer og data"

Kunstig intelligens er også omtalt i rapporten som en teknologi i rask utvikling som kan utvide mulighetene for organiserte kriminelle kraftig. Rapporten slår fast at det på samme måte som KI automatiserert prosesser og oppgaver for virksomheter, har KI også automatisert en rekke kriminelle oppgaver: 

"...som omgåelse av sikkerhetsfiltre, sammenstilling av store mengder data, skalering, forfalskning, oversettelse og tilpasning av tekst og tale, koding, pentesting og målutvelgelse. KI benyttes til å gjøre de kriminelle handlingene vanskeligere å oppdage, både gjennom å finpusse på programkode og prosesser, men også ved å innføre større variasjon i angrepene, slik at man i mindre grad kan lene seg på gjenkjennbare mønstre i forsvar mot kriminaliteten. I tillegg har den sosiale manipulasjonen i det siste blitt langt mer overbevisende både innen lyd, bilde og video."

Dette er fjerde gangen Kripos gir ut en slik årlig rapport om digital kriminalitet. Det er et viktig kunnskapsbidrag til forståelsen vår av situasjonsbildet når det gjelder trusler mot innbyggere, virksomeheter og materielle verdier. Og det er et viktig bidrag til en diskusjon om hvor Politiet skal prioritere innsatsen på kort og lang sikt.

Norsk suksess i EUs forsvarsfond

Det europeiske forsvarsfondet EDF får en stadig viktigere rolle i forskning og innovasjon for forsvarsformål. Vekst i forsvarsbudsjerttene, en rask teknologiutvikling med droner, autonomi og KI, og et ønske om flere europeiske fellesprosjekter, gjør at EDFs strategiske betydning er blitt større. Det har også mulightene for forsvarsindustri, anvendte forskningsinstitutter og næringsliv som har relevante bidrag innenfor EUs prioriteringer.

Forsvarets forskningsinstitutt (FFI) har en gladsak på nettsidene sine om hvordan norske bedrifter gjør det svært godt i tildelingene fra EDF. Selv om Norge ikke medlem i EU, er vi med i EDF på samme måte vi også er med i EUs generelle forskningsprogram Horisont Europa, og digitalprogrammet DIGITAL. I den siste tildelingen av 12 milliarder kroner fordelt på 57 prosjekter, er det Norske aktører med i 16 av disse prosjektene. FFI skriver at:

"Totalt deltar 19 norske aktører i 16 ulike prosjekter i denne runden. Dette inkluderer alt fra store lokomotiv som Kongsberg Defence & Aerospace, som er med i hele sju prosjekter, sentrale forskningsmiljøer som Sintef og Norsk Regnesentral, og mindre teknologibedrifter. Denne bredden er viktig for Norge og for FFI. At flere viktige aktører fra industri og forskning lykkes i EDF, styrker det norske «forsvarstriangelet» – bestående av myndigheter, industri og forskning – slik at Norge får maksimalt utbytte av de milliardene som nå investeres i europeisk sikkerhet."

Anerkjennelse av norske spissmiljøer 

Det å nå opp med mange deltakere og i mange prosjekter i slike internasjonale tildelinger er en viktig anerkjenelser av at norske forskningsmiljøer og bedrifter. Våre kompetansemiljøer innenfor forsvarsindustri er helt i front når det gjelder utvikling av fremtidens militære kapasiteter, også når det gjelder cyberforsvar, droner, robotikk og KI. Forsvarets forskningsinstitutt (FFI) er med på to prosjekter selv. Sintef Ocean, Norsk Regnesentral og NTNU er andre forskningsmiljøer som er tildelt prosjekter.

Store forsvarsleverandører som Kongsberg Defence & Aerospace (KDA), Kongsberg Maritime, NFM og Teleplan Globe er blant de som er inne i prosjekter som har nådd opp, men også noen mindre norske spissmiljøer er med. Og jeg synes naturligvis at det er særlig gledelig at Halogen er blant de mindre leverandørerne som har nått opp i konkurransen, med et samarbeidsprosjekt som heter MIDAS, om anvendelse av kunstig intelligens på en sikker måte. FFI skriver at:

"Innenfor kunstig intelligens og fremtidens teknologi skal Norsk Regnesentral utvikle sikre språkmodeller for forsvaret i LLM Secret, mens Halogen skal jobbe med MIDAS-prosjektet for å lage smarte og trygge grensesnitt for AI-dialog."

Inneværende programperiode i EFD går mot slutten, og jeg antar at neste periode fra 2028 vil øke de felleseuropeiske satningene på å styrke Europas forvarsevne gjennom forskning, innovasjon og teknologiutvikling ytterligere. I alt brukes det rundt 90 milliarder kroner for perioden 2021–2027, med et klart om å redusere fragmenteringen av det europeiske markedet og gjøre europeisk industri mer konkurransedyktig gjennom samarbeid. 

Mye har skjedd siden dagens EDF-periode ble besluttet, og den sikkerhetspoliktiske situasjonen er blitt langt mer krevende, både på grunn av Russland og USA. Noe som gjør at EDF, eller en etterfølger av EDF, vil ha enda større strategisk betydning, både for europeisk forvarssamarbied og som en del av EUs felles industri- og konkurranseevnepolitikk. Her er en artikkel som sier litt om denne prosessen og arbeidet som må gjøres for å få på plass en nytt flerårig EU-budsjett.

Tre videohøydepunkter fra NHOs årskonferanse 2026

Torbjørn Røe Isaksen kalte det en gang "konferanseutsatt sektor". De som tilhører sektoren som er særlig utsatt for mange konferanseinvitasjoner har sin travleste uke denne uken. Selv var jeg på BI på tirsdag og hørte nobelprisvinner James Robinson forelese for akademikere, forvaltning og næringsliv om "Why Nations fail". Bra foredrag og fin møteplass.

Mange andre brukte tirsdagen til å delte på "Nord i Sør", "Næring i Nordvest" og andre markeringer av regionale fortrinnn der poenget er å besøke Oslo og få fram sin egen regions betydning, særlig utfordringer og kanskje også behov for virkemidler og infrastruktur. Også Trøndelag, Sørlandet og Vestland kan man oppsøke i ulike konferanshoteller i Oslo. Ja, til og med de som ikke er tilreisende, men er er fra før, har sitt lokale arrangement, NHO Viken og Oslos regionale årskonferanse. En drøm for alle som er glade i konferanser, og dessuten fint for hotellnæringen.

Men det store høydepunktet denne første hele uken i januar hvert eneste år er naturligvis NHOs årskonferanse. En konferanse som blir stadig større, og nå er blitt så stor at den for flere år siden flyttet fra Operaen til Oslo Spektrum, og nå har flyttet ut av byden og til det store messeområdet på Lillestrøm.

Selv var jeg ikke der i år. Man kan jo ikke være fysisk til stede på andres konferanser hver dag heller. når man har kunder og prosjekter. Men det fine med NHOs årskonferanse er at den kan oppleves uten å være der. Den strømmes live ,men man kan også se på høydepunktene i etterkant på YouTube. Det er både en egen nyhetsside om innleggene, og en egen side på Youtube med video av de ulike innslagene. Det er en effektiv måte å få med seg det viktigste, og også en fin måte å se innslagene på nytt for de som var så opptatta av mingling at de ikke fikk med seg alt som skjedde på scenen. 

Mine tre på topp

Kvaliteten på innlegg og innledere er særdeles høy på en årskonferanse i NHO, og det er flere spesielt inviterte som ikke er de vanlige innlederne og politkerne som man kan høre på mange andre konferanser. NHO prioriter en herlig blanding av internasjonale ledere og eksperter, og noen norske gründere og ledere man ikke ser på en scene så ofte, som forteller sine unike historier om hva de driver med og hvordan det er å drive bedrift i Norge. 

Jeg skal løfte frem tre jeg la spesielt merke til. Den først er Havguard-grunder Emilie Åsberg som har tatt doktorgrad på NTNU, og var på vei mot en akademisk forskerkarriere, men i stedet har blitt gründer i Lofoten. En teknologiutvikling som skulle beskytte østersproduksjon i havbruksnæringen ble videreutviklet til en en undervanns kommunikasjonsteknologi som kan finne ubåter under isen i Arktis. Nå er bedriften med i et NATO-program som videreutviklikler dennne undervannteknnologien. Hør den fascinerende fortellingen her:

 

Andre høydepunkt for meg var gründeren Avtar Jasser som blir intervjuet av Anne Lindmo. Han kom til Norge fra India som 18 åring og lærte norsk samtidig som han studerte til å bli sivilingeniør på NTNU. Han var i noen år i Hammerfest, men ble etterhver leder i gründerselskapet CatalystOne, som holdet på å gå med i dragsuget etter dot.com-tiden, men som i dat er et HR-teknologiselskap med 250 ansatte i fire land. Han er veldig opptatt å understreke av vi har det veldig bra i Norge, og ikke klage, men kommer med noen klare advarsler om at vi ikke er så attraktive for næringsliv og gründere som vi burde være.

 

Norge i Europa, og Europa i verden

Det tredje videoklippet jeg vil trekke frem løfter blikket til det nordiske og europeiske nivået, er opptatt av hvordan vi skal hevde oss bedre i konkurransen med USA og Kina. Vi må gjøre mer sammen, sier Digital Europes leder Cecilia Bonefeld-Dahl, som kommer fra Danmark, men leder en interesseorganisasjon for 45 000 europeiske bedrifter. Hun er både tydelig og ærlig om Europas utfordringer, og fremhever at digital suverenitet i møte med amerikanske plattformselskaper og kinesisk og russiske trusler, handler om å gjøre mer sammen i Europa, og ikke mer hver for oss. Vi kan ikke vinne på alenegang og vi kan ikke slutte å handle med USA heller, men lykkes ved å være like gode eller bedre enn de vi samarbeider og samhandler med.

 

Så kunne det vært et viktig videoklipp til her. Foredraget til James Robinson om hva som kjennetegner land som lykke, og de som ikke lykkes, og hvordan sammenhengen mellom inkluderende politikk og demokrati, og et inkluderende økonomisk system, var verdt å få med seg live. Inkludert hans analyser av Taiwan-modellen, der man i stedet for å prøve å utkonkurrere alle andre, velger å samarbeidet med alle andre og har fabrikker som setter sammen de avanserte produktene andre designer, og på den måten får en posisjon som den alle andre blir avhengige av.

Jeg antar at når James Robinsons innlegg ikke er på Youtube så er det fordi han har sine egne kanaler som NHO må respektere, og ikke kan legge ut video. Da får jeg i stedet anbefale hans utmerkede bok "Why Nations Fail", som han skrev sammen med Darron Acemoglu for litt over 10 år siden. De ga ut oppfølgeren "The Narrow Corrdor - States, Societies, and the Fate of Liberty" i 2019, og vant Nobels minnepris i økonomi sammen i 2024. Jeg tenker at de bøkene er enda mer aktuelle i dag enn de var da de kom ut.

Et nytt cybersikkerhetssenter for næringslivet

Den blide gjengen på bildet til venstre er administrasjonen i Næringslivs sikkerhetsråd (NSR), med direktør Odin Johannessen, lengst til venstre på på bildet, i spissen. Grunnen til at de er så blide er at de har fått beskjed av Nærings- og fiskeridepartementet om at det er inngått et pernerskap der NSR er pekt ut til å være et sektorvist responsmiljø for digital sikkerhet for de i næringslivet som ikke er en dekket av slike ordninger fra før.

Totalberedskapsmeldingen slo fast at det å inkludere næringslivet i sikkerhets- og beredskapsarbeidet nasjonalt, regionalt og i kommunene er avgjørende for både forsvarsevnen og den sivile beredskapen. Nærings- og fiskredepartementet har utstyrt NSR med prosjeketmidler for å komme i gang med etableringen av et cybersikkehretssenter, og skriver blant annet dette i en pressemelding:

"Regjeringen varslet i Totalberedskapsmeldingen at inkludering av næringslivet i sikkerhet- og beredskapsarbeid fremover vil være avgjørende for Norges forsvarsevne. Nærings- og fiskeridepartementet har derfor utpekt Næringslivets Sikkerhetsråd (NSR) som et sektorvis responsmiljø (SRM) for de deler av næringslivet som faller inn under departementets ansvarsområde, og ikke er en del av SRM-ordninger fra før av."

Næringslivets sikkerhetsråds egen nyhetssak om det nye cybersikkerhetssenteret er her. Flere bedrifter og bransjer i Norge er allerede del av sektorvist eller eget responsmiljø. Det gjelder for eksempel energi, rederi, olje og gass, telekom og finans. De vil fortsette som nå. Men ikke alle bedrifter er omfattet av eksisterende ordninger. Det er disse som vil være ivaretatt av det nye senteret, et arbeid som allerede er startet opp og har varslet flere hundre bedrifter om at de er blitt hacket. NSR nevner spesielt reiseliv, mat- og drikkeproduksjon, bygg og anlegg, varehandel, sjømat, konsulentvirksomhet og industri utenom olje og gass som bransjer som vil omfattes av det nye responssenteret..

Og for de som lurer på hvem som står bak Næringslivets sikkerhetsråd så er det bare å forsikre om at det er solide saker. NSR er stiftet av de store hoveorganisasjonene i næringslivet: NHO, Virke, Spekter, Finans Norge og Rederiforbundet. Det er også disse som sitter i styret. I tillegg er det mulig å være direktemedlem i NSR, noe mange bedrifter er for å nyte godt av NSRs ulike medlemstjenester, nettverk og sikkerhetsinformasjon til medlemsbedriftene. Med etableringen av et cybersikkerhetssenter vil NSR ytterligere styrke tjenestetilbudet.

----

Disclaimer 1: Halogen har i løpet av det siste året jobbet tett sammen med NSR., og gjennomført flere verksteder sammen med næringsliv og beredskapsmyndihetene, for å beskrive tjenestetilbudet innenfor et Næringslivets beredskaps- og sikkerhetssenter (NBSS). Aktuelle tjenester i et slikt senter, i tillegg til det digitale responsmiljøet, er ressursmobilisering fra næringlivet i en krisesituasjon, kanaler for kommunikasjon mellom myndigheter og næringsliv for å få viktig informasjon til de som trenger den, samarbeid mellom profesjonelle sikkerhetsmiljøer på tvers av bransjer i næringslivet, og støtte til næringslivsrepresentasjon i myndigehtsorganer på ulike nivåer som oppfølging av Totalberedskapsmeldingen.

Disclaimer 2: Da jeg var leder i Abelia var jeg styremedlem og i flere år styreleder i Næringslivets sikkerhetsråd (frem til 2013). Det er noen år siden nå, men jeg er veldig opptatt av det viktige arbeidet de gjør, og glad for at de er blitt en større organisasjon. Nå som myndighetene øker sin støtte til den operative delen av arbeidet i NSR er det viktig at også næringslivsorganisasjonene stiller opp for å styrke og videreutvikle beredskapsrollen til NSR

Veivalg for Nasjonal sikkerhetsmyndighet

Hva skal Nasjonal sikkerhetsmyndighets (NSM) ha som sine kjerneoppgaver og hvilke oppgaver kan løses bedre av andre? Og enda mer presist: Skal NSM konsentrere seg om oppgaver som har med nasjonal sikkerhet å gjøre, det vil si oppgaver som er beskrevet i sikkerhetsloven? Eller skal NSMs kjerneoppaver ligge i rollen som et bredere nasjonalt fagmiljø på digital sikkerhet? 

Et utvalg ledet av Svein Gjedrem, med flere andre kompetente medlemmer har fått i oppdrag av regjeringen å gå igjennom NSMs oppgaver og styring, men det er utvalget som har valgt å spissformulere gjennomgangen av oppgaver og styring til å særlig handle om dette veivalget. Noe må bort. Enten må hovedansvaret for nasjonal sikkerhet i henhold til sikkerhetslovens innramming flyttes ut. Eller så må digital sikkerhet, i hverfall den som er definert langt bredere, inkludert samfunnsikkerhet, virksomehetssikkerhet og oppgaver som gjelder individsikkerhet, overlates til noen andre.

Gjedrem-utvalg nummer to

Forhistorien til dette utvalgsarbeidet er litt spesielt i den forstand at det for litt over det år siden var slikt at det ble avslørt at NSM hadde tatt opp et grunnlovsstridig lån for å betale for husleie og ombygging av sine kontorlokaler på Fornebu, et lån de ikke hadde et stort nok driftsbudsjett til å betjene. Da dette ble oppdraget, og Stortinget måtte vedra en ekstraordinær bevilgning,  ble det satt ned et hurtigarbeidende utvalg ledet av Svein Gjedrem som undersøkte sakens ulike realiteter, og kom med noen avbefalinger om hvordan det burde ryddes opp. 

Basert på denne første Gjedrem-rapporten om NSMs leie- og låneforhold, som jeg skrev om på bloggen her, kom det to konkrete oppfølginger. En Riksrevisjonsrapport som undersøkte statlige etaters husleiekontrakter generelt for å avdekke om det er flere forhold i strid med regelverket (svar: ja, det var noen). Og denne ekspertutredningen som ble oppnevnt for å beskrive historikk, analysere om NSM fungerer etter hensikten, og som gir anbefalinger om endringer i NSMs oppgaver og styring. 

Kanskje ville aldri dette utvalget og denne rapporten kommet om ikke NSM hadde gjort feil i håndteringen av sine leiekontrakter og låneavtaler. Sånn sett kan det komme en viktig og nødvendig diskusjon og rolleavklaring ut av noe som startet et helt annet sted.

Historien om stadig flere oppgaver

Utvalget har skrever en svært leseverdig rapport som går igjennom NSMs historie, hvordan oppgaveporteføljen har vokst i omfang og bredde i takt med at omgivelser og teknologi endrer seg, også hvordan det jevnlig har kommet nye oppgaver som "noen" må løse, som det ikke er helt opplagt hvor passer inn i statsforvaltningen, og som derfor har havnet i NSM. Helt uavhengig av hva man måtte mene om konklusjonene i rapporten, tenker jeg at denne gjennomgangen både er nyttig og klargjørende. Det er en studie i hvordan oppgaver og ansvar kan "migrere" inn i stadig nye områder. Og den legger premisser veivalg og prioriteringer som uansett må gjøres.

NSM ble opprettet i 2003 og har en historie som er nært knyttet til sikkerhetsloven. Datidens sikkerheteslov kom i 1998. Før NSM fantes lå ditte ansvaret for statssikkerheten hos Forsvarssjefens sikkerhetsstab ved Forsvarets overkommando, men ble overtatt av det nye direktoratet. Forsvaret beholdt selv en kjerne av direkte forsvarsrelaterte oppgaver, men styringen av NSM ple plasert i Forsvarsdepartementet. Så vedtok Stortinget en ny og modernisert sikkerhetslov i 2018 som utvalget beskriver slik:

"Ny sikkerhetslov skulle legge grunnlag for at «vi har de virkemidlene som er nødvendige for å ivareta nasjonale sikkerhetsinteresser og forebygge mot sikkerhetstruende virksomhet». Lovens virkeområde er å ivareta «nasjonal sikkerhet», som omfatter den tradisjonelle statssikkerheten og den delen av samfunnssikkerhet som er av vesentlig betydning for statens evne til å ivareta nasjonale sikkerhetsinteresser. Loven trådte i kraft 1. januar 2019."

I 2018 var vi blitt mye mer opptatt av å beskytte prosesser og verdikjeder som er avgjørende for at samfunnet skal fungere, og ikke bare sikkerhetskritiske objekter. Det er også en helt annet og mer kompleks samhandling mellom ulike sektorer og mellom offentlig sektor og private virksomheter som bygger og drifter infrastruktur og systemer som har en rolle inn mot statssikkerhet og nasjonal sikkerhet. De teknologiske løsningene er var helt andre i 2018 enn i 2003, og det var også sårbarhetene.

NSM fikk gjennom den nye loven dermed hovedansvaret for å sørge for å påse at ansvarlige departementer og sektormyndighetene sørger for å definere, plassere ansvar og beskytte grunnleggende nasjonale funksjoner som må være på plass for at landet skal fungere i en krigs- eller krisesituasjon. Omtrent på denne tiden ble også styringen av NSM flyttet fra Forsvarsdepartementet til Justis- og beredskapsdepartementet (JD), men med faglige linjer og roller under begge, og naturligvis med et stort tverresktorelt ansvar som inneværer koordinering av alle departementer og sektorer.

Ansvaret for digital sikkerhet

Så kunne man jo se for seg at denne oppgaveporteføljen, supplert med noen tilgrensende anvarsområder, og viktig faglige og koordinerende roller inn mot NATO, ville gitt NSM mer enn nok store oppgaver. Utvlaget fremhever også at Norge i internasjonal sammenheng har et godt styringsmessig utgangspunkt fordi vi er i den heldige situasjonen at vi har en felles sikkerhetslov og en felles nasjonal sikkerhetsmyndighet som er gitt ansvaret for å forvalte loven. I utgangspunktet veldig ryddig, men så kom det noen andre problemer seilende inn fra siden.

NSM skal ifølge sin egen hovedinstruks utføre en rekke andre oppgaver innen digital sikkerhet, herunder "vedlikeholde et særskilt risikobilde for digital sikkerhet som omfatter statssikkerhet, samfunnssikkerhet og individsikkerhet", og "foreslå tiltak, gi anbefalinger og fremme forslag til krav innen digital sikkerhet i samfunnet, samt følge opp med råd og veiledning. Det er ganske andre oppgaver og et annet nedslagsfelt enn det som ligger i sikkerhetsloven. Utvalget beskriver noe av av baktrunnen for at det er slik:

"NSMs rolle som det nasjonale fagmiljøet innen digital sikkerhet utover sikkerhetsloven bygger på oppgaven NSM hadde som sertifiseringsmyndighet for IT-sikkerhet i produkter og systemer, samt de operative oppgavene med å følge opp varslingssystemet for digital infrastruktur (VDI) og oppgaven som nasjonal responsfunksjon (NorCERT). NSM var også i en årrekke sekretariat for Koordineringsutvalget for informasjonssikkerhet (KIS) som nå er nedlagt. Å gi NSM denne oppgaven hadde også sammenheng med at samordningsansvaret for IKT-sikkerhet på sivil side i 2013 ble flyttet fra det daværende Fornyings-, administrasjons- og kirkedepartementet (FAD) til Justis- og beredskapsdepartementet."

Det kan virke som kombinasjonen av å flytte samordningsansvaret for IKT-sikkerhet på sivil side til Justisdepartementet i 2013 og deretter flyttingen av NSM til Justisdepartmentet i 2019, har gitt den uheldige, og kanskje ikke helt tilsiktede bivirkningen, at når det har dukket opp nye digitale sikkerhetsutfordringer og behov, på helt andre områder enn de sikkerhetsloven definerer, så har det også blitt plassert i NSM. Når man har en etat og har et nytt problem, ja da er det jo fristende å legge ansvaret der. .

Statssikkerhet og samfunnssikkerhet

Det er her Gjedrem-utvalget ber om at det tenkes annerledes. Dels fordi den samlede oppgaveportefølgen er blitt for stor og sprikende, og de ulike grenseflatene mot andre er blitt for mange. Noe som i følge utvalget også bør resultere i at NSM setter ut en del oppgaver de ikke behøver å gjøre i egen regi til andre. I sorteringen av hvordan det bør tenkes annerledes sier Gjedrem-utvalget at en i myndighetens sikkerhetsarbeid gjør lurt i å ha skille mellom statssikkerhet og samfunnssikkerhet. 

Figuren til venstre er tatt inn i utvalgets rapport og er hentet fra lovproposisjonen og sikkerhetsloven, der den fungerte som en illustrasjon på hvordan "nasjonal sikkerhet", sikkerhetslovens formål, kan avgrenses. Utvalget skriver at:

"(Figuren) er hentet fra forarbeidene til sikkerhetsloven og skal illustrere at nasjonal sikkerhet omfatter statssikkerhet og deler av samfunnssikkerheten. Figuren skal videre illustrerer hvorvidt utvalgte sentrale nasjonale funksjoner og interesser understøtter statssikkerhet eller samfunnssikkerhet. Det understrekes i proposisjonen at det er krevende å plassere de enkelte funksjonene og at de fleste vil kunne berøre både stats- og samfunnssikkerheten. Figuren er en forenkling, men kan bidra til forståelse dersom den tolkes med varsomhet. Figuren kan trolig raffineres ved for eksempel å inkludere «virksomheters sikkerhet» i tillegg til «individets sikkerhet» som en kategori."

Utvlget sier ikke at statssikkerhet, samfunnssikkerhet og virksomhetssikkerhet er helt separate områder som ikke skal henge sammen styringsmessig. Figuren viser jo nettopp hvordan ulike sektorer og funksjoner i samfunnet går på tvers. Men det de sier at vi trenger noen som har som hovedoppgave å ha det overordnede ansvaret for den nasjonale sikkerheten og de oppgavene sikkerhetsloven beskriver, så er det en rekke andre aktører som kan og bør ha hovedansvaret for andre samfunnssikkerhetsroller.

Men i stedet for å arbeidet i retning av mer rendyrking og tydeliggjøring, har det i følge utvalget blitt lagt til enda flere nye oppgaver i porteføljen til NSM i årenes løp, men uten at det er tatt oppgaver ut. Mange av disse opgavene ligger et godt stykke unna kjeneoppgavene som er definert av sikkerhetsloven. NSMs oppgaveportefølje ble ytterligere utvidet så sent som i 2024, da ansvaret for Norsk senter for informasjonssikring (NorSIS) og oppgaver fra det tidligere interkommunale selskapet Kommune-CSIRT ble overført. Og utvalget skriver videre at:

"Videre er NSM tiltenkt flere nye oppgaver i ny forskrift til digitalsikkerhetsloven som etter planen skal tre i kraft i løpet av 2025.30 NSMs portefølje av oppgaver kan også bli endret i den nye loven om grunnsikring av virksomheter som ble varslet i Totalberedskapsmeldingen regjeringen la fram i januar 2025"

Hovedveivalg med konsekvenser

Gjedrem-utvlaget ber derfor om et hovedveivalg når det gjelder hva som er NSMs kjernevirksomhet. Det kan høres enkelt ut, men problemet er selvfølgelig at de oppgavene som velges bort ikke forsvinner som viktige samfunnsutfordringer av den grunn, men må finne et nytt og minst like bra hjem et annet sted i statsforvaltningen. Hvis NSM skal konsentrere seg mer om kjeneoppgavene i henhold til sikkerhetsloven må noen andre ta på seg å være det ledende fagmiljøet for digital sikkerhet. 

Og hvis man motsatt vil at NSM skal redyrkes som det ledende digitale sikkerhetsmiljøet for samfunnssikkerhet, virksomhetssikkerhet og invividsikkerhet, med roller inn mot statlig forvaltning, komunal forvaltning og tjenesteproduksjon, næringsliv og innbyggere, ja da må statssikkerhetsrollen og mye av det NSM gjør for forsvaret, nasjonalt og internasjonalt, finne et annet og minst like bra hjem. Og for eksempel tilhøre Forsvarsdepartementet igjen. Uansett hovedmodell vil både departementstilkytning og grenseflater mot andre etater og sektorer være krevnede å avklare, for sektorene våre passer ikke alltid like godt sammen med trusselbildet som før.

Utvalget er helt tydelige på hva hovedveivalget bør være. NSM skal konsentrere seg om nasjonal sikkerhet og oppgavene som er definert av sikkerhetsloven. Den forebyggende digitale samfunnsikkerheten bør finne et nytt hjem. De er mindre tydelige på hvordan de øvrige oppgavene og rollene skal håndteres, og hvordan de som skal plukke opp bitene som ikke passer inn i det nye NSM skal gjøres i stand til å ta den rollen på en forsvarlig måte.

Anbefalinger fra utvalget

Rapportens sammendrag i kapittel 1 har en fin opplisting av de konkrete tiltakene og de endringene utvalget mener er nødvendige. Alle tiltakene henger sammen med en helt overordnet anbefaling som er formulert slik:

"NSMs kjerne bør være de oppgavene som følger av sikkerhetsloven. Loven stiller krav til det nasjonale sikkerhetsarbeidet. NSM bør konsentrere seg om disse oppgavene og være i stand til å løse dem med høy kvalitet. Dette er også i tråd med utvalgets mandat som sier at den sikkerhetspolitiske utviklingen og utviklingen i risikobildet for nasjonal sikkerhet skal være førende for vurderingene."

Utvalget er også tydelige på at modellen med én sikkerhetslov og én sikkerhetsmyndighet fungerer godt i Norge og at vi ikke må søke etter mer fragmenterte modeller, slik de har i en del andre land. De gir tvert imot uttrykk for at vi må ble enda mer enhetlige i den forstand at NSMs oppgaver etter sikkerhetsloven bør bli enda klarere. NSM må også ha viktige oppgaver innen digital sikkerhet etter sikkerhetsloven. Hvilke konkrete oppgaver dette er listes opp i rapporten.

Med utgangspunkt i denne hovedretningen har utvaglet en serie andre anbefalinger som henger sammen med denne hovedretningen, men der det helt sikkert er mulig å gjøre noen tilpasninger og varianter, så lenge de ikke ødelegger for hovedretningen. Det er fem ting i dette jeg vil trekke fram:

For det første mener utvalget at begreper som brukes i styringen av NSM må gi en presis beskrivelse av NSMs oppdrag, og skriver at 

"Ord som «overordnet», «sektorovergripende ansvar» og «nasjonal responsfunksjon» kan gi inntrykk av at NSM skal lede, gripe inn og gi alle sikkerhet. Ansvar for sikkerheten ligger hos de enkelte departementene og virksomhetene som er underlagt sikkerhetsloven. NSM skal bistå de ansvarlige blant annet ved å gi råd, veilede og å føre tilsyn. Justis- og beredskapsdepartementet og Forsvarsdepartementet bør presisere i hovedinstruksen hva NSMs oppgaver etter sikkerhetsloven er".

Ansvar tilbake til DFD 

For det andre må omfanget av NSMs oppgaver innen digital sikkerhet utenfor sikkerhetsloven reduseres. Utvalget skriver flere steder om hva slag oppgaver det er:

"NSM betegnes i hovedinstruksen som «det nasjonale fagmiljøet for digital sikkerhet». Med et slikt utgangspunkt har det trolig vært lett å legge nye oppgaver på dette området til NSM. Men instruksen overvurderer direktoratets rolle; NSM er ett blant flere digitale fagmiljøer. Direktoratets oppgaver er nå for mange, og de favner for bredt. Det svekker NSMs kapasitet til å fylle funksjonen som sikkerhetsmyndighet etter sikkerhetsloven. Oppgaver innen digital sikkerhet utenfor sikkerhetsloven bør overføres til andre. (...) NSM bør for eksempel ikke ha som oppgave å gi informasjon, råd og veiledning til statlig og kommunal sektor, private virksomheter og enkeltpersoner utenfor sikkerhetslovens virkeområde, drifte Norsk senter for informasjonssikring (NorSIS) eller vedlikeholde grunnprinsipper for IKT-sikkerhet. NSM bør heller ikke ha et hovedansvar for å koordinere aktiviteter som faller utenfor sikkerhetsloven."

For det tredje mener utvalget at det nye Digitaliserings- og forvaltningsdepartementet (DFD) bør få ansvaret for digital sikkerhet utenfor sikkerhetsloven. De går ikke i dybden på hvordan det skal plasseres helt konkret, men slår fast at en reversering av flyttingen av ansvaret for digital sikkherhet i 2013 er naturlig nå når vi har et eget digitaliseringsdepartement. Og sier også at:

"DFD skal bidra til å styrke statens og samfunnets evne til å bruke potensialet og håndtere utfordringene som digital teknologi skaper. Departementet skal være en pådriver og samordne regjeringens politikk, også innen kunstig intelligens. Oppgaven DFD har med å vurdere hvilke muligheter digitalisering kan gi, bør ikke være løsrevet fra oppgaven med å vurdere hvilke konsekvenser disse mulighetene kan ha for den digitale sikkerheten. Det vil derfor etter utvalgets syn være riktig at dette departementet får som oppgave å samordne regjeringens arbeid med digital sikkerhet utenfor sikkerhetsloven. De oppgavene som utvalget foreslår tatt ut av NSM, bør legges til en eller flere etater under dette departementet."

Roller og grenseflater mot andre 

For det fjerde mener utvalget at NSM bør sette ut flere operative oppgaver til andre. Sikkerhetsloven og forskrifter åpner for at flere av oppgavene som NSM selv utfører, kan settes ut. Dette gjelder blant annet oppgaven med å gjennomføre tekniske sikkerhetsundersøkelser, og hvis NSM gjør det selv må de kunne ta betalt for kostnadene. Et beslektet tema utvlaget tar opp er at flere tilsyn bør kunne gjennmføre tilsyn etter sikkerhetsloven. De skriver at:

"Flere tilsynsmyndigheter bør føre tilsyn etter sikkerhetsloven. NSM fører tilsyn med at sikkerhetsloven blir fulgt opp, både med departementene, etater, lokale myndigheter og virksomheter. I fem sektorer hittil har ansvarlig departement gitt oppgaven med å føre tilsyn etter sikkerhetsloven til myndigheten som fører tilsyn i sektoren. Dette er en god ordning som bør brukes i flere sektorer."

Og for det femte så bør grensesnittet mot Direktoratet for samfunnssikkerhet og beredskap (DSB) bli klarere. DSB bistår Justis- og beredskapsdepartementet med å koordinere arbeidet med samfunnssikkerhet og beredskap og har ledet arbeidet med å identifisere kritiske samfunnsfunksjoner på et bredere område enn det som er sikkerhetslovens nedslagsfelt. Utvalget ønsker ikke å slå sammen de ulike rammeverkene for å definere samfunnssikkerhet, men mener det er behov for mer samarbeid og samordning, og skriver at:

"(Rammeverkene) har både ulike formål og virkeområder, der arbeidet med kritiske samfunnsfunksjoner favner vesentlig videre enn sikkerhetsloven. Utvalget mener sikkerhetslovens formål og virkeområde i dag er hensiktsmessig og fungerer etter intensjonen. Det er likevel behov for at formål og virkeområde og grensesnitt mellom rammeverkene gjøres klarere og formidles på en pedagogisk måte. Videre må oppgavefordeling og grensesnitt generelt mellom DSB og NSM avklares og gjøres tydelig i direktoratenes hovedinstrukser."

Jeg synes alt i alt at utvlagets anbefalinger er både klargjørende og gode. Og at de bør følges opp med på politisk nivå. Tidspunktet virker også riktig sett i lys av Totaberedskapsmeldingen og Langtidsplanen for forsvaret. Så får vi se om noen tar tak i dette, eller om det blir for vanskelig akkurat nå.

En stortingsmelding om forskningssystemet

Hva er egentlig en stortingsmelding om "forskningssystemet"? Eller "systemmeldingen" som den kalles blant de mest innvidde i sektoren, virkemiddelapparatet og interesseorganisasjonene. Navnet høres jo spennende ut for oss om er opptatt av sammheng og systemer, ogs særlig når målet er mer kunnskap, innovasjon og omstilling. 

Etter å ha lest stortingsmeldingen som kom for en uke siden om "Sikker kunnskap i en usikker verden" er jeg fortsatt ikke helt sikker på hva en systemmelding er. Uinteressant er den slett ikke, men jeg tror det kunne vært gjort enda mer for å få frem forskningsystemets betydning for resten av samfunnet, hvorfor dette blir stadig viktigere og hva som må gjøres fremover for å at forskningen skal få rammebetingelsene som trengs for å få det til.

Stortingsmeldingen evner ikke helt å beskrive hvordan forskningssystemet skal utvikles og forbedres. Det er synd, for utfordringene vi står i når det gjelder miljø og klima, mangelfull produktivitetsvekst og lav innovasjonstakt i næringslivet, en ny og mer truende sikkerhetspolitisk situasjon, og rask utvikling av nye muliggjørende teknologier, gjør det helt nødvendig å tenke igjennom om både systemet og virkemidlene for forskning og kunnskapsproduksjon er gode nok.

Forkningens utførere og betalere

En ting som er bra i denne meldingen er beskrivselsene av tall og fakta og forskning, slik det alltid er med forskningsfeltet. Det finnes både god statistikk om forskning og god forskning på forskning, som stadig oppdateres. Kapittel 2 som er en slags "fakta om forskningssystemet" åpner slik:

"I Norge jobber om lag 97 000 mennesker med forskning og utviklingsarbeid, fordelt på i hovedsak fire forskningsutførende sektorer: universitets- og høyskolesektoren, instituttsektoren, næringslivet og helseforetakene.1 Disse sektorene har vokst frem og utviklet seg over lang tid i et gjensidig vekselforhold med hverandre, med politiske myndigheter og med skiftende samfunnsbehov og i samspill med internasjonale partnere og globale trender."

Det vi blir minnet om er at Norge ligger relativt lavt når det gjelder forskningsinnsats som andel av BNP sammenlignet med våre nordiske og nord-europeiske naboer, mens vi ligger en del høyere når det gjelder forskningsinnsats pr innbygger. Mens offentlig sektors forskningsinnsats ligger omkring samme nivå som i andre sammenlignbare land, så er næringslivets forskningsinnsats lavere enn i landene rundt oss. Det kan henge sammen med at næringsstrukturen vår er mye mer kapitalintensiv og råvarebasert enn nabolandene våre, mens når man sammenligner bransje for bransje, er norsk næringsliv som andre.

Så kan man slå seg til ro med at forskningsinnsatse er så stor som den skal være, eller man kan se på forsknings og innovasjonssystemet som et redskap for å utvikle en mer forsknings- og kunnskpasintensiv næringsstruktur, enten ved å omstille dagens dominerende næringer, eller ved å bruke forskning og innovasjonssatsinger til å vri næringslivet i mer kunnskapsintensiv retning, spesielt ved å skape bedre rammebetinselser for kunnskaps- og forskningsinstensive tjenestenæringer. Men i hvor stor grad vi i Norge skal ha slike ambisjoner, sier denne stortingsmeldingen lite om.

Et mer innovativt og produktivt næringsliv

Et eksempel på at et problem blir erkjent, men der det ikke beskrives noen ny retning, er utviklingen av den anvendte forskningsinstituttsektoren, og spesielt den næringslivsrettede delen. I underkant av 20 prosent av forskningen i Norge utføres av instituttsektoren. Det har de siste årene vært en synkende trend når det gjelder oppdrag fra næringslivet, mens næringslivets egen forskning øker. Historisk har den norske anvendte instituttsektoren spilt en viktig rolle for mange næringer, og vært langt tettere koblet på næringslivet enn universitetene har vært. Instituttene har også lykkes godt med søknar om og mobilisering til EU-forskningsprosjekter. Men særlig nedgangen i olje- og gassnæringens forskning slår ut negativt, mens en del andre industrinæringer som forsker mye i andre land, er små i Norge:

"At de samlede kostnadene til innkjøpt FoU fra forskningsinstituttene har hatt en nedgang skyldes derfor først og fremst endringer i FoUaktiviteten i næringene som er tilknyttet utvinning av olje og gass. Næringslivet ellers kjøper omtrent like mye FoU fra instituttsektoren i 2022 som i 2013. Instituttene har med andre ord ikke klart å hente inn tapte inntekter fra petroleumsnæringer."

Næringslivet utførte selv forskning og utviklingsarbeid (FoU) for omkring 47 mrd. kroner i 2023, noe som utgjør omkring halvparten av Norges samlede FoU-innsatsf. Dette betyr at næringslivet er den største FoU-sektoren i Norge, og på høyde med universitetene, instituttene og helseforetakene til sammen. Men dette nivået som andel av BNP er som sagt lavere enn det som er vanlig i landene rundt oss. Hvorfor ikke bruke denne systemmeldingen som en slags Draghi-rapport som roper opp om at kvalitet og kapasitet innenfor forskning og innovasjon er helt sentralt for den fremtidige konkurransekraften? En rapport som foreslår konkrete systemforbedrende tiltak, og en oppskrift på hvordan Norge skal klare seg i et Europa som skal hevde seg bedre i konkurranse med USA og Kina? Det har vi dessverre ikke fått

Det kanskje aller viktigeste spørsmålet som burde besvares i en stortingsmelding som dette er hva vi skal gjøre for at det skal bli mer lønnsomt for næringslivet for å forske mer? Hva gjør vi for å mobilisere til økt deltagelse i EUs forsknings og innovasjonsprogrammer? Hva gjør vi for å få flere norske bedrifter til å ta ledende roller i EU-forskning og bli bedre ved å samarbeide med de beste? Hva gjør vi for å mobilisere flere bedrifter og flere bransjer til å forske mer? Hva gjør vi for å øke forskningen i kommunesektoren og for å mobilisere kommunenes til å samarbeide tettere med det kunnskaps- og teknologiintensive næringslivet? Her er det nokså stille når det gjelder tiltak i stortingsmeldingen.

Ikke langtidsplan, men systemforbedring

Det finnes en norsk langtidsplan for forskning og høyere utdanning som sier noe om forskningens samfunnsmessige mål og om forskningstemaer som skal prioriteres i årene som kommer. Ulike programmer og prosjekter, både næringsrettede og offentlig-sekorrettede omtales også i andre domumenter og strategier. Det er sånn sett andre ting en systemmelding må handle om, for eksempel systemegenskaper og forbedringsmuligheter i det norske forsknings- og innovasjonssystemet, og hvordan det henger sammen med tilgrensende virkemidler og med de norske omstillings- og innovasjonsbehovene i stort.

Men i denne stortingsmeldingen er det dessverre lite beskrivelser av sammenhengen mellom forskningssystemet og andre næringsrettede innovasjonsvirkemidler, av sammenhengen mellom forskningssystemet og kommunesektorens store utfordringer, med eldreomsorgstjenester eller med å å ta tak i utfordringer knyttet til ungt utenforskap. Det er heller ingen analyse eller drøfting av om viktige sider ved dagens forskningssystem er innrettet for å løse fremtidens utfordringer bedre. Ikke noe om strukturen, innretningen av virkemidlene eller antall aktører i det offentlig finansierte forskningssysemet er riktig. Noen steder blir det riktignok pekt på konkrete utfordringer det må jobbes med, for eksempel hvordan den nevnte anvendte forskningssektoren skal innrettes, hvordan det skal gjøre mer attraktivt å bruke private penger på forskning, eller hvordan næringsrettede forskningsvirkemidler skal innrettes for å oppnå mer, men det er ingen konkrete tiltak på disse områdene.

Forskningens digitalsering

I stedet for å gå dypere i å beskrive forskningssystemets rolle i å løse store samfunnsutfordringer, som helse og omsorg, klima og miljø eller vedvarende utenforskap, har meldingen i stedet to kapitler som løfter frem noen andre temaer som ikke tidligere er blitt tatt inn i brede dokumenter om forskningsstrategier. Det er to viktige temaer som er blitt stadig mer sentrale i det siste, som riktignok ikke helt har funnet sin kobling til systemperspektivene ellers i stortingsmeldingen, men som i hvert fall beskrives og drøftes i hvert sitt kapittel. Så må de rett og slett jobbes videre med når det gjelder konkretisering.

Det ene temaet er digitalisering. Kapittel 3 heter "Et forskningssystem rustet for det digitale skiftet", og er blitt en slags sekkepost for en del ulike ting som har med forskning og digitalising å gjøre. Det handler om forskning kyttet til kunstig intelligens og kvanteteknologi, områder der det er viktig at Norge ikke blir hengende etter. Men det handler også om forskningsmiljøenes tilgang til teknologisk infrastruktur i form av datakraft og prosesseringskapasitet. Og det handler om intrastruktur for tilgang til dataene man trenger for å forske mer og bedre. En del av forskningsinfrastrukturen er også å ha et lovverk som sikrer personvern, sikkerhet og et godt etisk rammeverk, noe som i hvert fall drøftes, i hvertfall i forbindelse med kunstig intelligens.

Sikkerhet og forskning

Det andre temaet som løftes frem, i kapittel 4 i meldingen, er statssikkerhe og samfunnssikkerhet, og hvordan forskningssystemet er en del av et trusselbilde som ser ganske annerledes ut enn for noen år siden. Også i dette kapitlet er det flere temaer som drøftes samtidig, blant annet teknologisk infrastruktur for å skjerme ting som ikke kan deles, håndtering av hvilke forskere som kan og ikke kan ha tilgang til ulike ting, men det er også drøftinger av viktigheten av å hindre at forskningens åpne, demokratiske og kunnskapssøkende metoder, prinsipper og verdier blir satt under press. 

Kapitlet går ganske grunnleggende til verks når det gjelder å beskrive roller, organisering og lovverk når det gjelder sikkerhet i stort. Et slags grunnkurs i samfunnsikkerhet og beredskap, og hvordan dette slår inn hos forskningsaktørene, som det er erkjennes er ganske er ganske umodne når det gjelder ting som sikkerhetslov, samfunnssikkerhetsinstruks, grunnleggende nasjonale funksjoner, eksportkontrollregelverk og håndtering av gradert informasjon. En viktig faktor som bidrar til at utfordringen vil øke er at det er et ønske om at det mobiliseres bredere innenfor forsningsmiljøene når det gjelder forsvarsrelatert forskning. Meldingen sier:

"Regjeringens langtidsplan for forsvarssektoren slår videre fast at flere FoU-midler skal lyses ut på konkurransebaserte arenaer. I dag finnes det ingen etablerte ordninger for konkurranseutsetting av midler til forskning som er skjermet eller gradert. Regjeringen vil utrede hvordan Forskningsrådets virkemidler kan utvikles for å kunne omfatte også utlysning av midler til skjermet og gradert FoU."

Og:

"Flere forskningsinstitutter er imidlertid ikke underlagt sikkerhetsloven. Blant disse er det flere sterke fagmiljøer som er relevante for forsvar, sikkerhet og beredskap, og som har uttrykt ønske om å delta i skjermet og gradert forskning. Det ansvarlige departementet kan fatte vedtak om at disse underlegges sikkerhetsloven. (...) Et annet alternativ for virksomheter som ikke er underlagt sikkerhetsloven, er å benytte systemet for sikkerhetsgraderte anskaffelser, med sikkerhetsavtaler og eventuell leverandørklarering. Samtlige alternativer stiller strenge krav om et forsvarlig sikkerhetsnivå. 

For virksomhetene som ønsker å ta del i gradert forskning kan det være krevende å vite hvordan man skal gå frem. Dette gjelder enten virksomhetene er underlagt sikkerhetsloven eller ikke. Regjeringen ønsker å gjøre det lettere for sivile virksomheter å delta i skjermet og gradert FoU, og vil se nærmere på mulige mekanismer som kan bistå med dette, inkludert utrede om det behov for å utvikle egne verktøy for rådgivning."

Dette er bare noe av alt det som trekkes frem som ganske utfordrendde for å få til et godt samspill mellom FoU-miljøene og forsvaret. Sikkre kommunikasjonskanaler og sikre måter å håndtere data er et annet. Og naturligvis hvordan man håndterer rekruttering og hvem som skal ha tilgang til hva, i ganske internasjonale forskningsmiljøer, i en ny sikkerhetespolitisk situasjon. Også her har stortingsmeldingen langt flere problemer enn svar, men det er bra temaet blir løftet i en stortingsmelding..

Nye trussel- og risikovurderinger fra myndighetene

Tre statlige sikkerhetsmyndigheter har kommet med nye og oppdaterte trussel- og risikovurderinger. Det er nok slik at de blir bedre av å være dagsaktuelle, og med dagens krevende omgivelser og trusselbide er det i hvert fall ikke vanskelig å være konkret og aktuell om hva som truer Norge.

Forsvarsminister Tore O. Sandvik (Ap) og justis- og beredskapsminister Astri Aas-Hansen (Ap) innledet på pressekonferansen 5. februar, dagen etter at begge var utnevnt til nye statsråder. På en nyhetssak hos Regjeringen.no kan man lese både innleggende deres og om de tre rapportene som ble presentert. Det er lenker der til alle tre rapporter, som er fra Etteretningstjenesten, Politiets sikkerhetstjeneste (PST) og Nasjonal Sikkerhetsmyndighet (NSM).

Kanskje kunne de tre rapportene vært gitt ut som en felles rapport. Selv om de tre etatene har tre litt ulike ansvarsområder og roller, er det i stor grad de samme ytre begivenhetene og endringer i risikobildet de omtaler. Når de i senere år de har kommet så langt at de presenterer rapportene sammen, på samme pressearrangement, er det ikke mye som skal til for å gjøre de tre rapportene til en felles. Men det får komme når det kommer, det viktige er at det er sammenheng og konsistens på tvers.

Etteretningstjenesten og PSTs rapporter

Det er uansett grunn til å minne om hva de tre statlige etatene som presenterer trussel- og risikovurderingene har ansvar for. Etteretningstjenesten er en etat underlagt Forsvarsjefen og Forsvaret. E-tjenestens hovedoppgaver er å varsle om ytre trusler mot Norge og prioriterte norske interesser, støtte Forsvaret og forsvarsallianser Norge deltar i, og understøtte politiske beslutningsprosesser med informasjon av spesiell interesse for norsk utenriks-, sikkerhets- og forsvarspolitikk. Deres ugraderte rapport heter "Fokus 2025".

Politiets sikkerhetstjeneste (PST) er Norges innenlands etterretnings- og sikkerhetstjeneste, underlagt justis- og beredskapsministeren. PST har som oppgave å forebygge og etterforske alvorlig kriminalitet mot nasjonens sikkerhet. Som ledd i dette skal tjenesten identifisere og vurdere trusler knyttet til etterretning, sabotasje, spredning av masseødeleggelsesvåpen, terror og ekstremisme. Vurderingene skal bidra i utformingen av politikk og støtte politiske beslutningsprosesser. Deres ugraderte rapport heter Nasjonal trusselvurdering 2025.

Disse rapportene er blitt langt mer tydelige om hvor de største truslene mot sikkerhet og trygghet i Norge kommer fra enn de var for noen år siden. I Etteretningstjenestens rapport handler det mest om utviklingen i Russland, i Kina, og forholdet mellom Russland og Kina. Det er interessante analyser av hvordan krigen i Russland tærer på Russlands økonomi over tid og hvor mye viktigere Kina er for Russland, økonomisk og militært, enn Russland er for Kina. Mens Russland er under press ressursmessig, økonomisk og militært, er Kina blitt ledende på noen fremvoksende teknologiområder.

Rapporten beskriver også hvordan sankjoner og eksportkontrollregelverk blir omgått ved hjelp av tredjeland. Det er en omtale av hvordan utfordringsbildet når det gjelder beskyttelse av samfunnskritisk infrastruktur under vann ser ut, riktignok ikke spesielt konkret når det gjelder ansvar og roller. På slutten er det analyser av oppbygging av ny kjernevåpenkapasitet etter hvert som gamle nedrusningsavtaler faller bort, og det er en analyse av hvordan pågående konflikter i Midt Østen og Afrika bygger opp under økt polariering og er i ferd med å legge til rette for voksende terrorisme.

PSTs nasjonale trusselvurdering er også mest opptatt av Russland og Kina, men her er oppmerksomheten særlig rettet mot hva det betyr for statlig etterretningsvirksomhet, påvirkning og sabotasje i Norge. Her er det en gjennomgang av trusselutsatte teknologiområder og av ulike metoder fremmede staters etteretningstjenestesr bruker mot mål i Norge. Rapporten beskriver statlige cyberoperasjoner, gjerne gjennomført ved bruk av andre aktører, rekruttering av menneskelige informanter, etteretning ved bruk av sivile fartøyer, påvirkningsoperasjoner, sikkerhetstruende økonomiske virkemidler og transnasjonal undertrykkelse, det vil si trusler fra andre stater mot enkeltpersoner i Norge. Rapporten har også en oppdatert gjennomgang av terrortrusselen mot Norge fra ulike ekstreme ideologiske bevegelser.

NSMs Risko 2025

Den tredje rapporten er fra Nasjonal sikkerhetsmyndighet (NSM) Deres rolle er å være Norges direktorat for forebyggende sikkerhet med ansvar for å bedre Norges evne til å beskytte seg mot spionasje, sabotasje, terror og sammensatte trusler. Gjennom rådgivning, tilsyn, testing, forskning og utvikling bidrar NSM til at virksomheter sikrer sivil og militær informasjon, systemer, objekter og infrastruktur med betydning for nasjonal sikkerhet. I Risiko 2025, NSMs årlige risikovurdering, er målet å gi norske virksomheter bedre forutsetninger for å se eget sikkerhetsarbeid i en større sammenheng. Rapporten beskriver sårbarheter trusselaktørene forsøker å utnytte og tiltak for å redusere risikoen for at de lykkes

Selv om alle tre rappoerter har hevet seg og blitt stadig mer interessante, og dessverre stadig mer dagsaktuelle, de siste årene, tror jeg Nasjonal sikkerhetsmyndighets (NSM) har hevet seg aller mest. Det er mulig jeg overdriver litt, men jeg synes å huske at deres rapport tidligere var en litt sytete rapport som klaget over at andre ikke gjorde jobben sin, særlig når det gjaldt digital sikkerhet, og at de ikke hadde nok ressurser til å gjøre jobben, men at de egentlig ikke hadde så mye å komme med av konkrete analyser, innsikt eller råd. Den var rett og slett ikke på høyde med de to andre trusselvurderingene. Det har heldigvis endret seg de siste årene. 

I årets Risko 2025 har NSM valgt å presenterer en viktig og interessant meny av trussel- og risikovurderinger som også får frem bredden og kompleksiteten i utfordringene vi møter, og som NSM må forholde seg til. Rapporten er innom:

• Påvirkning og desinformasjon i forbindelse med valg.
• Tiltak for å redusere risikoen for sabotasje.
• Sikring mot insidevirksomhet i samfunnsviktige virksomehter.
• Sikring mot misbruk av nettverkstilkoblede elektroniske sensorer, blant annet innvendige og utvendige kameraer og mikrofoner i kjøretøy.
• Avhengigheter av satelittbaserte tjenester og hvordan disrupsjon av signaler kan gjøre skade.
• Sikkehet i forbindelse med forsvarets anskaffelsesprosesser
• Utenlandske investeringer i lokalsamfunn og infrastruktur, der Kirkenes havn er nevnt spesielt.

Digitale leverandørkjeder

Siste del av NSMs trussel- og risikovurderinger handler om digital sikkerhet og sårbarhet, det området jeg tror de fleste forbinder med NSM. Her synes jeg at deler av det NSM presenterer er litt mindre treffsikkert når det gjelder innsikt og anvendbarhet enn jeg skulle ønske. Det er fint at NSM beskriver ulike typer digitale angrep vi kan bli utsatt for, som løsepengevirus, nulldagssårbarheter og angriper-i-midten, der angriper kommer seg mellom offer og en tjeneste, og på den måten får lurt til seg informasjon. Det står noen linjer om hvordan kunstig intelligens er en økende  trussel, at mobiltelefoner og mobile enheter utgjør en viktig sårbarhet. Nyttige påminnelser alt sammen.

NSM minner oss om at det er kommet en ny digitalsikkerhetslov som implementerer NIS-1 direktivet fra EU i norsk lov. Når det gjelder behovet for et oppdatert lovverk som kan bidra til å bekjempe digitale trusler og angep er dette litt flokete landskapet med overlappende lovverk også tema i Totalberedskapsmeldingen, Det hadde ikke gjort noe om NSM kom med noen klarere meldninger om at det er blitt et stort problem at Norge henger langt etter EU når det gjelder oppdatert lovverk og gjerne også noen råd om hvordan vi innretter en ryddeprosess når det gjelder forholdet mellom disse lovverkene og anbefalinger om rydding i roller og anvar når det gjelder digital sikkerhet. Eller er det noen andre som skal komme med disse anbefalingene?

En gammel kjepphest jeg har er behovet for å beskrive hvordan et digitalt økosystem, digitale leverandørkjeder og digitale avhengigheter ser ut konkret. Jeg tror NSM kan gjøre mer enn å skrive at virksomheter skal: 

• "Kartlegg egne avhengigheter. Skaff oversikt over hvilke leverandørkjeder virksomheten er en del av, enten som kunde eller leverandør." 
• "Gjennomfør risikoreduserende tiltak for å redusere sikkerhetsrisikoen knyttet til leverandørkjeder."

Det er ingenting galt i dette, eller andre tiltak de anbefaler, tvert imot. Men hvordan ser en digital leverandørkjede egentlig ut? Her kunne det kanskje være en ide å beskrive det visuelt? Hva med å lage noen veiledere og eksempler på hvordan man kan gå frem når man skal lage en slik kartlegging, og hva kan bidra til at den blir forståelig for flere enn teknologene? For eksempel politikere og ledere? Er det flyten av dataene mellom ulike aktører og systemer som er viktig å få frem? Er det eierskapet til selskapene som står bak? Eller er det oversikten over komponenter i systemetne som kan utgjøre kritiske sårbarheter det er viktig å avdekke i en slik overikt? Eller kanskje alt på en gang? 

Jeg tror det blir stadig viktigere å få denne type informasjonen frem i en form som selv styrer og ledelser som ikke er digitale sikkerhetsspesialister kan forstå og handle på bakgrunn av. NSM kan gå foran og vise oss hvordan det kan gjøres.