Det cyberkriminelle økosystemet

Digitale verktøy og digitale kommunikasjonskanaler er en del av det vi gjør på stort sett alle områder i samfunnet. Både i dagliglivet og på jobben. I offentlige tjenester, i private virksomheter, i frivilligheten og i livene våre slik de leves og tjenestene vi er avhengige av. Og naturligivis også i det kriminelle organisasjoner og nettverk gjør. 

Ja, det er sannsynligvis blitt slik at mange kriminelle aktører er blant de mest avansere brukerne av digitale verktøy og digital kommunikasjon, og benytter sin digitale spisskompetanse på en rekke ulike områder for å berike seg selv, eller for å skade enkeltpersoner,  virksomheter og samfunnet.

Cyberkriminalitet 2026

Kripos er en etat i Politiet som har som mandat å fortstå, forebygge og bekjempe alvorlig, organisert og samfunnsskapdelig kriminalitet. De har nettopp utgitt rapporten Cyberkriminalitet 2026, som gir en helhetlig, analytisk  og oppdatert beskrivelse av cyberkriminalitetens karakter, omfang og forventede utvikling i Norge, basert på politiets kunnskap. 

Det er interessant at rapporten så tydelig bruker begrepet "økosystem" om den organiserte digitale kriminaliteten, på samme måte som vi bruker begrepet digitale økosystemer om data, digitale tjenester og aktører som virker sammen for å skape verdi for samfunnet, og som oppleves som helhetlige og sammenhengene for de som bruker dem. 

I denne rapporten er det de hvordan cyberkriminelle som har utviklet sammenghengede tjenester og digitale forretningsmodeller for kjøp, salg og samarbeid som er hovedsaken. Kripos skriver:

"Rapporten redegjør for det cyberkriminelle økosystemet slik politiet ser det, og introduserer nye analytiske rammeverk for bedre å forstå aktørenes dynamikker og handlemåter. Kriminalitet forstås ikke som isolerte handlinger, men som et samspill mellom aktører, tjenester, teknologi, markedsplasser og strukturelle sårbarheter. Kommersialisering og arbeidsdeling har ført til framvekst av et marked der kriminelle tjenester tilbys i ulike former, noe som senker terskelen for deltakelse og øker både volum og tempo i kriminaliteten. Økosystem-perspektivet bidrar til å forklare hvorfor tiltak rettet mot enkeltaktører ofte har begrenset effekt dersom underliggende strukturer og muliggjørere består."

Begrepsbruk og forretningsmodeller

Rapporten er analytisk ambisiøs når det gjelder å beskrive kriminalitetens organisering og verktøykasse, og introduserer begreper som kan virke litt fremmede og berskriver av forretningsmodeller som er skremmende i sin modenhet, men som raskt er blitt helt normale dele av kriminalitetsutfordringen. I fjor kom Kripos med et notat om "Vold som handelsvare" (som jeg blogget om her), en skremmende beskrivelse av hvordan digitale kanaler og sosiale medier brukes til å rekruttere barn til kriminelle voldshandlinger. Cyberkriminalitet 2026 er også innom vold som handelsvare, og de digitale plattformene som brukes, men har en langt bredere vifte av både målsettinger og forretningsmodeller for alvorlig kriminalitet, muliggjort og støttet av digitale verktøy. 

Det er ikke akkurat kampen for å beholde de små lennsmannskontorene eller politi i gatene man først tenker på som viktige mottrekk når man leser denne rapporten. Dette krever avansert spisskompetanse og det er også mye som ikke kan bekjelpes på nasjonalt nivå alene. De mest avanserte aktørene har globale virksomehetsmodeller, for eksempel når det gjelder digitalt direkteoverførte bestillingsovergrep (DOBO):

"DOBO eksisterte ikke før det digitale rom oppstod, og teknologien har medført at barn i risikoland nå blir solgt og utsatt for overgrep både fysisk og digitalt. DOBO-selgere er oftest filippinske kvinner med egne, mindreårige barn. De kan være både tilretteleggere som organiserer og formidler direkteoverførte fysiske overgrep mot egne og andres barn, og de kan være utøvere av overgrepet – ofte er kombinasjonen av tilrettelegger og overgriper tilfelle"

Kategorier av cyberkriminalitet

Det er ikke veldig lenge siden cyberkriminalitet ble betraktet som en slags nisje litt på siden av den vanlige kriminaliteten, der hovedtyngden var ting som tyverier, innbrudd og ordensforstyrrelser. Datakriminalitet måtte man ha noen egne ekspertmiljøer for å håndtere, litt uavhengig av det andre. Vi er ikke lenger der. I skriver Kripos i innledningen til rapporten at det ikke gir noen mening i å lage et skarpt skille skarpt mellom det fysiske og det digitale. Det glir over i hverandre:

"Et grunnleggende premiss er at digital teknologi i dag er en integrert og ofte nødvendig del av moderne kriminalitet. Rapporten skiller derfor ikke skarpt mellom cyberkriminalitet og tradisjonell kriminalitet, men beskriver kriminalitet langs et spekter basert på grad av teknologisk avhengighet. Cyberkriminalitet forstås som kriminalitet der teknologi enten er et mål eller en sentral muliggjører. Denne tilnærmingen synliggjør hvordan digitale byggeklosser inngår i de fleste alvorlige kriminalitetsformer, og hvordan grensene mellom fysiske og digitale domener i økende grad viskes ut."

I stedet introduserer rapporten en sortering i ulike kategorier ut fra om kriminaliteten er rettet mot datasystemer, om dataverktøy er en sentral muliggjører for kriminaliteten, eller om dataverktøy har en mer supplerende rolle. Rapporten beskriver:

• Kriminalitet mot datasystemer, som skiller seg fra annen cyberkriminalitet ved at den retter seg direkte mot et datasystem, framfor mennesker som bruker datasystemer eller informasjon som er lagret på datasystemer. Eksempler inkluderer datainnbrudd og digitalt skadeverk.
• Kriminalitet utført i datasystemer, som er kriminalitet som retter seg mot menneskene som tar i bruk datasystemer eller informasjon som er lagret på datasystemer. Eksempler er generering av syntetisk overgrepsmateriale og kryptosvindel. Dette er kriminalitet som ikke angriper datasystemer direkte, men som ikke kan begås utenfor det digitale rom.
• Kriminalitet begått med datasystemer er kriminalitet som begås i det digitale rom, men som like gjerne kan begås utenfor. Eksempler på dette kan være kjærlighetsbedragerier, salg av narkotika, seksuell utpressing og hatefulle ytringer i sosiale medier. 
• Kriminalitet supplert av datasystemer er tradisjonell kriminalitet som begås i det fysiske domenet, men som benytter datasystemer som en støtte. Dette er former for kriminalitet som primært faller utenfor cyberkriminalitetsbegrepet, men her kan det være glidende overganger.

Allianser av cyberkriminelle nettverk

Et interessant utviklingstrekk som også omtales i rapporten er hvordan noen grensekryssende organiserte cyberkriminelle nettverk allierer seg med andre organiserte cyberkriminelle nettverk, og blir enda farligere. Det kan for eksemel være for å få enda høyere treffsikkerhet når det gjelder såkalte "løsepengevirus" (Ransomware as a service, RaaS):

"I 2025 er det observert at internasjonalt etablerte cyberkriminelle nettverk har gått sammen om å danne større koalisjoner av løsepengevirus-som-handelsvare-operasjoner. (LSH-operasjoner). Flere av løsepengevirusvariantene som nå inngår i de nydannede koalisjonene er blitt brukt i angrep på norske virksomheter i løpet av 2025. (...) For en av koalisjonene som er dannet i 2025 og som nå omtaler seg som Scattered Lapsus$ Hunters, rapporteres det blant annet om større bredde i trusselaktørens teknikker for å skaffe seg aksess til virksomheters systemer. Hva dette innebærer til det fulle er noe uklart, men det rapporteres om at grupperingen benytter voice-phishing mot ansatte i virksomheter, for derigjennom å skaffe seg aksess til systemer og data"

Kunstig intelligens er også omtalt i rapporten som en teknologi i rask utvikling som kan utvide mulighetene for organiserte kriminelle kraftig. Rapporten slår fast at det på samme måte som KI automatiserert prosesser og oppgaver for virksomheter, har KI også automatisert en rekke kriminelle oppgaver: 

"...som omgåelse av sikkerhetsfiltre, sammenstilling av store mengder data, skalering, forfalskning, oversettelse og tilpasning av tekst og tale, koding, pentesting og målutvelgelse. KI benyttes til å gjøre de kriminelle handlingene vanskeligere å oppdage, både gjennom å finpusse på programkode og prosesser, men også ved å innføre større variasjon i angrepene, slik at man i mindre grad kan lene seg på gjenkjennbare mønstre i forsvar mot kriminaliteten. I tillegg har den sosiale manipulasjonen i det siste blitt langt mer overbevisende både innen lyd, bilde og video."

Dette er fjerde gangen Kripos gir ut en slik årlig rapport om digital kriminalitet. Det er et viktig kunnskapsbidrag til forståelsen vår av situasjonsbildet når det gjelder trusler mot innbyggere, virksomeheter og materielle verdier. Og det er et viktig bidrag til en diskusjon om hvor Politiet skal prioritere innsatsen på kort og lang sikt.

Norsk suksess i EUs forsvarsfond

Det europeiske forsvarsfondet EDF får en stadig viktigere rolle i forskning og innovasjon for forsvarsformål. Vekst i forsvarsbudsjerttene, en rask teknologiutvikling med droner, autonomi og KI, og et ønske om flere europeiske fellesprosjekter, gjør at EDFs strategiske betydning er blitt større. Det har også mulightene for forsvarsindustri, anvendte forskningsinstitutter og næringsliv som har relevante bidrag innenfor EUs prioriteringer.

Forsvarets forskningsinstitutt (FFI) har en gladsak på nettsidene sine om hvordan norske bedrifter gjør det svært godt i tildelingene fra EDF. Selv om Norge ikke medlem i EU, er vi med i EDF på samme måte vi også er med i EUs generelle forskningsprogram Horisont Europa, og digitalprogrammet DIGITAL. I den siste tildelingen av 12 milliarder kroner fordelt på 57 prosjekter, er det Norske aktører med i 16 av disse prosjektene. FFI skriver at:

"Totalt deltar 19 norske aktører i 16 ulike prosjekter i denne runden. Dette inkluderer alt fra store lokomotiv som Kongsberg Defence & Aerospace, som er med i hele sju prosjekter, sentrale forskningsmiljøer som Sintef og Norsk Regnesentral, og mindre teknologibedrifter. Denne bredden er viktig for Norge og for FFI. At flere viktige aktører fra industri og forskning lykkes i EDF, styrker det norske «forsvarstriangelet» – bestående av myndigheter, industri og forskning – slik at Norge får maksimalt utbytte av de milliardene som nå investeres i europeisk sikkerhet."

Anerkjennelse av norske spissmiljøer 

Det å nå opp med mange deltakere og i mange prosjekter i slike internasjonale tildelinger er en viktig anerkjenelser av at norske forskningsmiljøer og bedrifter. Våre kompetansemiljøer innenfor forsvarsindustri er helt i front når det gjelder utvikling av fremtidens militære kapasiteter, også når det gjelder cyberforsvar, droner, robotikk og KI. Forsvarets forskningsinstitutt (FFI) er med på to prosjekter selv. Sintef Ocean, Norsk Regnesentral og NTNU er andre forskningsmiljøer som er tildelt prosjekter.

Store forsvarsleverandører som Kongsberg Defence & Aerospace (KDA), Kongsberg Maritime, NFM og Teleplan Globe er blant de som er inne i prosjekter som har nådd opp, men også noen mindre norske spissmiljøer er med. Og jeg synes naturligvis at det er særlig gledelig at Halogen er blant de mindre leverandørerne som har nått opp i konkurransen, med et samarbeidsprosjekt som heter MIDAS, om anvendelse av kunstig intelligens på en sikker måte. FFI skriver at:

"Innenfor kunstig intelligens og fremtidens teknologi skal Norsk Regnesentral utvikle sikre språkmodeller for forsvaret i LLM Secret, mens Halogen skal jobbe med MIDAS-prosjektet for å lage smarte og trygge grensesnitt for AI-dialog."

Inneværende programperiode i EFD går mot slutten, og jeg antar at neste periode fra 2028 vil øke de felleseuropeiske satningene på å styrke Europas forvarsevne gjennom forskning, innovasjon og teknologiutvikling ytterligere. I alt brukes det rundt 90 milliarder kroner for perioden 2021–2027, med et klart om å redusere fragmenteringen av det europeiske markedet og gjøre europeisk industri mer konkurransedyktig gjennom samarbeid. 

Mye har skjedd siden dagens EDF-periode ble besluttet, og den sikkerhetspoliktiske situasjonen er blitt langt mer krevende, både på grunn av Russland og USA. Noe som gjør at EDF, eller en etterfølger av EDF, vil ha enda større strategisk betydning, både for europeisk forvarssamarbied og som en del av EUs felles industri- og konkurranseevnepolitikk. Her er en artikkel som sier litt om denne prosessen og arbeidet som må gjøres for å få på plass en nytt flerårig EU-budsjett.

Tre videohøydepunkter fra NHOs årskonferanse 2026

Torbjørn Røe Isaksen kalte det en gang "konferanseutsatt sektor". De som tilhører sektoren som er særlig utsatt for mange konferanseinvitasjoner har sin travleste uke denne uken. Selv var jeg på BI på tirsdag og hørte nobelprisvinner James Robinson forelese for akademikere, forvaltning og næringsliv om "Why Nations fail". Bra foredrag og fin møteplass.

Mange andre brukte tirsdagen til å delte på "Nord i Sør", "Næring i Nordvest" og andre markeringer av regionale fortrinnn der poenget er å besøke Oslo og få fram sin egen regions betydning, særlig utfordringer og kanskje også behov for virkemidler og infrastruktur. Også Trøndelag, Sørlandet og Vestland kan man oppsøke i ulike konferanshoteller i Oslo. Ja, til og med de som ikke er tilreisende, men er er fra før, har sitt lokale arrangement, NHO Viken og Oslos regionale årskonferanse. En drøm for alle som er glade i konferanser, og dessuten fint for hotellnæringen.

Men det store høydepunktet denne første hele uken i januar hvert eneste år er naturligvis NHOs årskonferanse. En konferanse som blir stadig større, og nå er blitt så stor at den for flere år siden flyttet fra Operaen til Oslo Spektrum, og nå har flyttet ut av byden og til det store messeområdet på Lillestrøm.

Selv var jeg ikke der i år. Man kan jo ikke være fysisk til stede på andres konferanser hver dag heller. når man har kunder og prosjekter. Men det fine med NHOs årskonferanse er at den kan oppleves uten å være der. Den strømmes live ,men man kan også se på høydepunktene i etterkant på YouTube. Det er både en egen nyhetsside om innleggene, og en egen side på Youtube med video av de ulike innslagene. Det er en effektiv måte å få med seg det viktigste, og også en fin måte å se innslagene på nytt for de som var så opptatta av mingling at de ikke fikk med seg alt som skjedde på scenen. 

Mine tre på topp

Kvaliteten på innlegg og innledere er særdeles høy på en årskonferanse i NHO, og det er flere spesielt inviterte som ikke er de vanlige innlederne og politkerne som man kan høre på mange andre konferanser. NHO prioriter en herlig blanding av internasjonale ledere og eksperter, og noen norske gründere og ledere man ikke ser på en scene så ofte, som forteller sine unike historier om hva de driver med og hvordan det er å drive bedrift i Norge. 

Jeg skal løfte frem tre jeg la spesielt merke til. Den først er Havguard-grunder Emilie Åsberg som har tatt doktorgrad på NTNU, og var på vei mot en akademisk forskerkarriere, men i stedet har blitt gründer i Lofoten. En teknologiutvikling som skulle beskytte østersproduksjon i havbruksnæringen ble videreutviklet til en en undervanns kommunikasjonsteknologi som kan finne ubåter under isen i Arktis. Nå er bedriften med i et NATO-program som videreutviklikler dennne undervannteknnologien. Hør den fascinerende fortellingen her:

 

Andre høydepunkt for meg var gründeren Avtar Jasser som blir intervjuet av Anne Lindmo. Han kom til Norge fra India som 18 åring og lærte norsk samtidig som han studerte til å bli sivilingeniør på NTNU. Han var i noen år i Hammerfest, men ble etterhver leder i gründerselskapet CatalystOne, som holdet på å gå med i dragsuget etter dot.com-tiden, men som i dat er et HR-teknologiselskap med 250 ansatte i fire land. Han er veldig opptatt å understreke av vi har det veldig bra i Norge, og ikke klage, men kommer med noen klare advarsler om at vi ikke er så attraktive for næringsliv og gründere som vi burde være.

 

Norge i Europa, og Europa i verden

Det tredje videoklippet jeg vil trekke frem løfter blikket til det nordiske og europeiske nivået, er opptatt av hvordan vi skal hevde oss bedre i konkurransen med USA og Kina. Vi må gjøre mer sammen, sier Digital Europes leder Cecilia Bonefeld-Dahl, som kommer fra Danmark, men leder en interesseorganisasjon for 45 000 europeiske bedrifter. Hun er både tydelig og ærlig om Europas utfordringer, og fremhever at digital suverenitet i møte med amerikanske plattformselskaper og kinesisk og russiske trusler, handler om å gjøre mer sammen i Europa, og ikke mer hver for oss. Vi kan ikke vinne på alenegang og vi kan ikke slutte å handle med USA heller, men lykkes ved å være like gode eller bedre enn de vi samarbeider og samhandler med.

 

Så kunne det vært et viktig videoklipp til her. Foredraget til James Robinson om hva som kjennetegner land som lykke, og de som ikke lykkes, og hvordan sammenhengen mellom inkluderende politikk og demokrati, og et inkluderende økonomisk system, var verdt å få med seg live. Inkludert hans analyser av Taiwan-modellen, der man i stedet for å prøve å utkonkurrere alle andre, velger å samarbeidet med alle andre og har fabrikker som setter sammen de avanserte produktene andre designer, og på den måten får en posisjon som den alle andre blir avhengige av.

Jeg antar at når James Robinsons innlegg ikke er på Youtube så er det fordi han har sine egne kanaler som NHO må respektere, og ikke kan legge ut video. Da får jeg i stedet anbefale hans utmerkede bok "Why Nations Fail", som han skrev sammen med Darron Acemoglu for litt over 10 år siden. De ga ut oppfølgeren "The Narrow Corrdor - States, Societies, and the Fate of Liberty" i 2019, og vant Nobels minnepris i økonomi sammen i 2024. Jeg tenker at de bøkene er enda mer aktuelle i dag enn de var da de kom ut.

Et nytt cybersikkerhetssenter for næringslivet

Den blide gjengen på bildet til venstre er administrasjonen i Næringslivs sikkerhetsråd (NSR), med direktør Odin Johannessen, lengst til venstre på på bildet, i spissen. Grunnen til at de er så blide er at de har fått beskjed av Nærings- og fiskeridepartementet om at det er inngått et pernerskap der NSR er pekt ut til å være et sektorvist responsmiljø for digital sikkerhet for de i næringslivet som ikke er en dekket av slike ordninger fra før.

Totalberedskapsmeldingen slo fast at det å inkludere næringslivet i sikkerhets- og beredskapsarbeidet nasjonalt, regionalt og i kommunene er avgjørende for både forsvarsevnen og den sivile beredskapen. Nærings- og fiskredepartementet har utstyrt NSR med prosjeketmidler for å komme i gang med etableringen av et cybersikkehretssenter, og skriver blant annet dette i en pressemelding:

"Regjeringen varslet i Totalberedskapsmeldingen at inkludering av næringslivet i sikkerhet- og beredskapsarbeid fremover vil være avgjørende for Norges forsvarsevne. Nærings- og fiskeridepartementet har derfor utpekt Næringslivets Sikkerhetsråd (NSR) som et sektorvis responsmiljø (SRM) for de deler av næringslivet som faller inn under departementets ansvarsområde, og ikke er en del av SRM-ordninger fra før av."

Næringslivets sikkerhetsråds egen nyhetssak om det nye cybersikkerhetssenteret er her. Flere bedrifter og bransjer i Norge er allerede del av sektorvist eller eget responsmiljø. Det gjelder for eksempel energi, rederi, olje og gass, telekom og finans. De vil fortsette som nå. Men ikke alle bedrifter er omfattet av eksisterende ordninger. Det er disse som vil være ivaretatt av det nye senteret, et arbeid som allerede er startet opp og har varslet flere hundre bedrifter om at de er blitt hacket. NSR nevner spesielt reiseliv, mat- og drikkeproduksjon, bygg og anlegg, varehandel, sjømat, konsulentvirksomhet og industri utenom olje og gass som bransjer som vil omfattes av det nye responssenteret..

Og for de som lurer på hvem som står bak Næringslivets sikkerhetsråd så er det bare å forsikre om at det er solide saker. NSR er stiftet av de store hoveorganisasjonene i næringslivet: NHO, Virke, Spekter, Finans Norge og Rederiforbundet. Det er også disse som sitter i styret. I tillegg er det mulig å være direktemedlem i NSR, noe mange bedrifter er for å nyte godt av NSRs ulike medlemstjenester, nettverk og sikkerhetsinformasjon til medlemsbedriftene. Med etableringen av et cybersikkerhetssenter vil NSR ytterligere styrke tjenestetilbudet.

----

Disclaimer 1: Halogen har i løpet av det siste året jobbet tett sammen med NSR., og gjennomført flere verksteder sammen med næringsliv og beredskapsmyndihetene, for å beskrive tjenestetilbudet innenfor et Næringslivets beredskaps- og sikkerhetssenter (NBSS). Aktuelle tjenester i et slikt senter, i tillegg til det digitale responsmiljøet, er ressursmobilisering fra næringlivet i en krisesituasjon, kanaler for kommunikasjon mellom myndigheter og næringsliv for å få viktig informasjon til de som trenger den, samarbeid mellom profesjonelle sikkerhetsmiljøer på tvers av bransjer i næringslivet, og støtte til næringslivsrepresentasjon i myndigehtsorganer på ulike nivåer som oppfølging av Totalberedskapsmeldingen.

Disclaimer 2: Da jeg var leder i Abelia var jeg styremedlem og i flere år styreleder i Næringslivets sikkerhetsråd (frem til 2013). Det er noen år siden nå, men jeg er veldig opptatt av det viktige arbeidet de gjør, og glad for at de er blitt en større organisasjon. Nå som myndighetene øker sin støtte til den operative delen av arbeidet i NSR er det viktig at også næringslivsorganisasjonene stiller opp for å styrke og videreutvikle beredskapsrollen til NSR

Veivalg for Nasjonal sikkerhetsmyndighet

Hva skal Nasjonal sikkerhetsmyndighets (NSM) ha som sine kjerneoppgaver og hvilke oppgaver kan løses bedre av andre? Og enda mer presist: Skal NSM konsentrere seg om oppgaver som har med nasjonal sikkerhet å gjøre, det vil si oppgaver som er beskrevet i sikkerhetsloven? Eller skal NSMs kjerneoppaver ligge i rollen som et bredere nasjonalt fagmiljø på digital sikkerhet? 

Et utvalg ledet av Svein Gjedrem, med flere andre kompetente medlemmer har fått i oppdrag av regjeringen å gå igjennom NSMs oppgaver og styring, men det er utvalget som har valgt å spissformulere gjennomgangen av oppgaver og styring til å særlig handle om dette veivalget. Noe må bort. Enten må hovedansvaret for nasjonal sikkerhet i henhold til sikkerhetslovens innramming flyttes ut. Eller så må digital sikkerhet, i hverfall den som er definert langt bredere, inkludert samfunnsikkerhet, virksomehetssikkerhet og oppgaver som gjelder individsikkerhet, overlates til noen andre.

Gjedrem-utvalg nummer to

Forhistorien til dette utvalgsarbeidet er litt spesielt i den forstand at det for litt over det år siden var slikt at det ble avslørt at NSM hadde tatt opp et grunnlovsstridig lån for å betale for husleie og ombygging av sine kontorlokaler på Fornebu, et lån de ikke hadde et stort nok driftsbudsjett til å betjene. Da dette ble oppdraget, og Stortinget måtte vedra en ekstraordinær bevilgning,  ble det satt ned et hurtigarbeidende utvalg ledet av Svein Gjedrem som undersøkte sakens ulike realiteter, og kom med noen avbefalinger om hvordan det burde ryddes opp. 

Basert på denne første Gjedrem-rapporten om NSMs leie- og låneforhold, som jeg skrev om på bloggen her, kom det to konkrete oppfølginger. En Riksrevisjonsrapport som undersøkte statlige etaters husleiekontrakter generelt for å avdekke om det er flere forhold i strid med regelverket (svar: ja, det var noen). Og denne ekspertutredningen som ble oppnevnt for å beskrive historikk, analysere om NSM fungerer etter hensikten, og som gir anbefalinger om endringer i NSMs oppgaver og styring. 

Kanskje ville aldri dette utvalget og denne rapporten kommet om ikke NSM hadde gjort feil i håndteringen av sine leiekontrakter og låneavtaler. Sånn sett kan det komme en viktig og nødvendig diskusjon og rolleavklaring ut av noe som startet et helt annet sted.

Historien om stadig flere oppgaver

Utvalget har skrever en svært leseverdig rapport som går igjennom NSMs historie, hvordan oppgaveporteføljen har vokst i omfang og bredde i takt med at omgivelser og teknologi endrer seg, også hvordan det jevnlig har kommet nye oppgaver som "noen" må løse, som det ikke er helt opplagt hvor passer inn i statsforvaltningen, og som derfor har havnet i NSM. Helt uavhengig av hva man måtte mene om konklusjonene i rapporten, tenker jeg at denne gjennomgangen både er nyttig og klargjørende. Det er en studie i hvordan oppgaver og ansvar kan "migrere" inn i stadig nye områder. Og den legger premisser veivalg og prioriteringer som uansett må gjøres.

NSM ble opprettet i 2003 og har en historie som er nært knyttet til sikkerhetsloven. Datidens sikkerheteslov kom i 1998. Før NSM fantes lå ditte ansvaret for statssikkerheten hos Forsvarssjefens sikkerhetsstab ved Forsvarets overkommando, men ble overtatt av det nye direktoratet. Forsvaret beholdt selv en kjerne av direkte forsvarsrelaterte oppgaver, men styringen av NSM ple plasert i Forsvarsdepartementet. Så vedtok Stortinget en ny og modernisert sikkerhetslov i 2018 som utvalget beskriver slik:

"Ny sikkerhetslov skulle legge grunnlag for at «vi har de virkemidlene som er nødvendige for å ivareta nasjonale sikkerhetsinteresser og forebygge mot sikkerhetstruende virksomhet». Lovens virkeområde er å ivareta «nasjonal sikkerhet», som omfatter den tradisjonelle statssikkerheten og den delen av samfunnssikkerhet som er av vesentlig betydning for statens evne til å ivareta nasjonale sikkerhetsinteresser. Loven trådte i kraft 1. januar 2019."

I 2018 var vi blitt mye mer opptatt av å beskytte prosesser og verdikjeder som er avgjørende for at samfunnet skal fungere, og ikke bare sikkerhetskritiske objekter. Det er også en helt annet og mer kompleks samhandling mellom ulike sektorer og mellom offentlig sektor og private virksomheter som bygger og drifter infrastruktur og systemer som har en rolle inn mot statssikkerhet og nasjonal sikkerhet. De teknologiske løsningene er var helt andre i 2018 enn i 2003, og det var også sårbarhetene.

NSM fikk gjennom den nye loven dermed hovedansvaret for å sørge for å påse at ansvarlige departementer og sektormyndighetene sørger for å definere, plassere ansvar og beskytte grunnleggende nasjonale funksjoner som må være på plass for at landet skal fungere i en krigs- eller krisesituasjon. Omtrent på denne tiden ble også styringen av NSM flyttet fra Forsvarsdepartementet til Justis- og beredskapsdepartementet (JD), men med faglige linjer og roller under begge, og naturligvis med et stort tverresktorelt ansvar som inneværer koordinering av alle departementer og sektorer.

Ansvaret for digital sikkerhet

Så kunne man jo se for seg at denne oppgaveporteføljen, supplert med noen tilgrensende anvarsområder, og viktig faglige og koordinerende roller inn mot NATO, ville gitt NSM mer enn nok store oppgaver. Utvlaget fremhever også at Norge i internasjonal sammenheng har et godt styringsmessig utgangspunkt fordi vi er i den heldige situasjonen at vi har en felles sikkerhetslov og en felles nasjonal sikkerhetsmyndighet som er gitt ansvaret for å forvalte loven. I utgangspunktet veldig ryddig, men så kom det noen andre problemer seilende inn fra siden.

NSM skal ifølge sin egen hovedinstruks utføre en rekke andre oppgaver innen digital sikkerhet, herunder "vedlikeholde et særskilt risikobilde for digital sikkerhet som omfatter statssikkerhet, samfunnssikkerhet og individsikkerhet", og "foreslå tiltak, gi anbefalinger og fremme forslag til krav innen digital sikkerhet i samfunnet, samt følge opp med råd og veiledning. Det er ganske andre oppgaver og et annet nedslagsfelt enn det som ligger i sikkerhetsloven. Utvalget beskriver noe av av baktrunnen for at det er slik:

"NSMs rolle som det nasjonale fagmiljøet innen digital sikkerhet utover sikkerhetsloven bygger på oppgaven NSM hadde som sertifiseringsmyndighet for IT-sikkerhet i produkter og systemer, samt de operative oppgavene med å følge opp varslingssystemet for digital infrastruktur (VDI) og oppgaven som nasjonal responsfunksjon (NorCERT). NSM var også i en årrekke sekretariat for Koordineringsutvalget for informasjonssikkerhet (KIS) som nå er nedlagt. Å gi NSM denne oppgaven hadde også sammenheng med at samordningsansvaret for IKT-sikkerhet på sivil side i 2013 ble flyttet fra det daværende Fornyings-, administrasjons- og kirkedepartementet (FAD) til Justis- og beredskapsdepartementet."

Det kan virke som kombinasjonen av å flytte samordningsansvaret for IKT-sikkerhet på sivil side til Justisdepartementet i 2013 og deretter flyttingen av NSM til Justisdepartmentet i 2019, har gitt den uheldige, og kanskje ikke helt tilsiktede bivirkningen, at når det har dukket opp nye digitale sikkerhetsutfordringer og behov, på helt andre områder enn de sikkerhetsloven definerer, så har det også blitt plassert i NSM. Når man har en etat og har et nytt problem, ja da er det jo fristende å legge ansvaret der. .

Statssikkerhet og samfunnssikkerhet

Det er her Gjedrem-utvalget ber om at det tenkes annerledes. Dels fordi den samlede oppgaveportefølgen er blitt for stor og sprikende, og de ulike grenseflatene mot andre er blitt for mange. Noe som i følge utvalget også bør resultere i at NSM setter ut en del oppgaver de ikke behøver å gjøre i egen regi til andre. I sorteringen av hvordan det bør tenkes annerledes sier Gjedrem-utvalget at en i myndighetens sikkerhetsarbeid gjør lurt i å ha skille mellom statssikkerhet og samfunnssikkerhet. 

Figuren til venstre er tatt inn i utvalgets rapport og er hentet fra lovproposisjonen og sikkerhetsloven, der den fungerte som en illustrasjon på hvordan "nasjonal sikkerhet", sikkerhetslovens formål, kan avgrenses. Utvalget skriver at:

"(Figuren) er hentet fra forarbeidene til sikkerhetsloven og skal illustrere at nasjonal sikkerhet omfatter statssikkerhet og deler av samfunnssikkerheten. Figuren skal videre illustrerer hvorvidt utvalgte sentrale nasjonale funksjoner og interesser understøtter statssikkerhet eller samfunnssikkerhet. Det understrekes i proposisjonen at det er krevende å plassere de enkelte funksjonene og at de fleste vil kunne berøre både stats- og samfunnssikkerheten. Figuren er en forenkling, men kan bidra til forståelse dersom den tolkes med varsomhet. Figuren kan trolig raffineres ved for eksempel å inkludere «virksomheters sikkerhet» i tillegg til «individets sikkerhet» som en kategori."

Utvlget sier ikke at statssikkerhet, samfunnssikkerhet og virksomhetssikkerhet er helt separate områder som ikke skal henge sammen styringsmessig. Figuren viser jo nettopp hvordan ulike sektorer og funksjoner i samfunnet går på tvers. Men det de sier at vi trenger noen som har som hovedoppgave å ha det overordnede ansvaret for den nasjonale sikkerheten og de oppgavene sikkerhetsloven beskriver, så er det en rekke andre aktører som kan og bør ha hovedansvaret for andre samfunnssikkerhetsroller.

Men i stedet for å arbeidet i retning av mer rendyrking og tydeliggjøring, har det i følge utvalget blitt lagt til enda flere nye oppgaver i porteføljen til NSM i årenes løp, men uten at det er tatt oppgaver ut. Mange av disse opgavene ligger et godt stykke unna kjeneoppgavene som er definert av sikkerhetsloven. NSMs oppgaveportefølje ble ytterligere utvidet så sent som i 2024, da ansvaret for Norsk senter for informasjonssikring (NorSIS) og oppgaver fra det tidligere interkommunale selskapet Kommune-CSIRT ble overført. Og utvalget skriver videre at:

"Videre er NSM tiltenkt flere nye oppgaver i ny forskrift til digitalsikkerhetsloven som etter planen skal tre i kraft i løpet av 2025.30 NSMs portefølje av oppgaver kan også bli endret i den nye loven om grunnsikring av virksomheter som ble varslet i Totalberedskapsmeldingen regjeringen la fram i januar 2025"

Hovedveivalg med konsekvenser

Gjedrem-utvlaget ber derfor om et hovedveivalg når det gjelder hva som er NSMs kjernevirksomhet. Det kan høres enkelt ut, men problemet er selvfølgelig at de oppgavene som velges bort ikke forsvinner som viktige samfunnsutfordringer av den grunn, men må finne et nytt og minst like bra hjem et annet sted i statsforvaltningen. Hvis NSM skal konsentrere seg mer om kjeneoppgavene i henhold til sikkerhetsloven må noen andre ta på seg å være det ledende fagmiljøet for digital sikkerhet. 

Og hvis man motsatt vil at NSM skal redyrkes som det ledende digitale sikkerhetsmiljøet for samfunnssikkerhet, virksomhetssikkerhet og invividsikkerhet, med roller inn mot statlig forvaltning, komunal forvaltning og tjenesteproduksjon, næringsliv og innbyggere, ja da må statssikkerhetsrollen og mye av det NSM gjør for forsvaret, nasjonalt og internasjonalt, finne et annet og minst like bra hjem. Og for eksempel tilhøre Forsvarsdepartementet igjen. Uansett hovedmodell vil både departementstilkytning og grenseflater mot andre etater og sektorer være krevnede å avklare, for sektorene våre passer ikke alltid like godt sammen med trusselbildet som før.

Utvalget er helt tydelige på hva hovedveivalget bør være. NSM skal konsentrere seg om nasjonal sikkerhet og oppgavene som er definert av sikkerhetsloven. Den forebyggende digitale samfunnsikkerheten bør finne et nytt hjem. De er mindre tydelige på hvordan de øvrige oppgavene og rollene skal håndteres, og hvordan de som skal plukke opp bitene som ikke passer inn i det nye NSM skal gjøres i stand til å ta den rollen på en forsvarlig måte.

Anbefalinger fra utvalget

Rapportens sammendrag i kapittel 1 har en fin opplisting av de konkrete tiltakene og de endringene utvalget mener er nødvendige. Alle tiltakene henger sammen med en helt overordnet anbefaling som er formulert slik:

"NSMs kjerne bør være de oppgavene som følger av sikkerhetsloven. Loven stiller krav til det nasjonale sikkerhetsarbeidet. NSM bør konsentrere seg om disse oppgavene og være i stand til å løse dem med høy kvalitet. Dette er også i tråd med utvalgets mandat som sier at den sikkerhetspolitiske utviklingen og utviklingen i risikobildet for nasjonal sikkerhet skal være førende for vurderingene."

Utvalget er også tydelige på at modellen med én sikkerhetslov og én sikkerhetsmyndighet fungerer godt i Norge og at vi ikke må søke etter mer fragmenterte modeller, slik de har i en del andre land. De gir tvert imot uttrykk for at vi må ble enda mer enhetlige i den forstand at NSMs oppgaver etter sikkerhetsloven bør bli enda klarere. NSM må også ha viktige oppgaver innen digital sikkerhet etter sikkerhetsloven. Hvilke konkrete oppgaver dette er listes opp i rapporten.

Med utgangspunkt i denne hovedretningen har utvaglet en serie andre anbefalinger som henger sammen med denne hovedretningen, men der det helt sikkert er mulig å gjøre noen tilpasninger og varianter, så lenge de ikke ødelegger for hovedretningen. Det er fem ting i dette jeg vil trekke fram:

For det første mener utvalget at begreper som brukes i styringen av NSM må gi en presis beskrivelse av NSMs oppdrag, og skriver at 

"Ord som «overordnet», «sektorovergripende ansvar» og «nasjonal responsfunksjon» kan gi inntrykk av at NSM skal lede, gripe inn og gi alle sikkerhet. Ansvar for sikkerheten ligger hos de enkelte departementene og virksomhetene som er underlagt sikkerhetsloven. NSM skal bistå de ansvarlige blant annet ved å gi råd, veilede og å føre tilsyn. Justis- og beredskapsdepartementet og Forsvarsdepartementet bør presisere i hovedinstruksen hva NSMs oppgaver etter sikkerhetsloven er".

Ansvar tilbake til DFD 

For det andre må omfanget av NSMs oppgaver innen digital sikkerhet utenfor sikkerhetsloven reduseres. Utvalget skriver flere steder om hva slag oppgaver det er:

"NSM betegnes i hovedinstruksen som «det nasjonale fagmiljøet for digital sikkerhet». Med et slikt utgangspunkt har det trolig vært lett å legge nye oppgaver på dette området til NSM. Men instruksen overvurderer direktoratets rolle; NSM er ett blant flere digitale fagmiljøer. Direktoratets oppgaver er nå for mange, og de favner for bredt. Det svekker NSMs kapasitet til å fylle funksjonen som sikkerhetsmyndighet etter sikkerhetsloven. Oppgaver innen digital sikkerhet utenfor sikkerhetsloven bør overføres til andre. (...) NSM bør for eksempel ikke ha som oppgave å gi informasjon, råd og veiledning til statlig og kommunal sektor, private virksomheter og enkeltpersoner utenfor sikkerhetslovens virkeområde, drifte Norsk senter for informasjonssikring (NorSIS) eller vedlikeholde grunnprinsipper for IKT-sikkerhet. NSM bør heller ikke ha et hovedansvar for å koordinere aktiviteter som faller utenfor sikkerhetsloven."

For det tredje mener utvalget at det nye Digitaliserings- og forvaltningsdepartementet (DFD) bør få ansvaret for digital sikkerhet utenfor sikkerhetsloven. De går ikke i dybden på hvordan det skal plasseres helt konkret, men slår fast at en reversering av flyttingen av ansvaret for digital sikkherhet i 2013 er naturlig nå når vi har et eget digitaliseringsdepartement. Og sier også at:

"DFD skal bidra til å styrke statens og samfunnets evne til å bruke potensialet og håndtere utfordringene som digital teknologi skaper. Departementet skal være en pådriver og samordne regjeringens politikk, også innen kunstig intelligens. Oppgaven DFD har med å vurdere hvilke muligheter digitalisering kan gi, bør ikke være løsrevet fra oppgaven med å vurdere hvilke konsekvenser disse mulighetene kan ha for den digitale sikkerheten. Det vil derfor etter utvalgets syn være riktig at dette departementet får som oppgave å samordne regjeringens arbeid med digital sikkerhet utenfor sikkerhetsloven. De oppgavene som utvalget foreslår tatt ut av NSM, bør legges til en eller flere etater under dette departementet."

Roller og grenseflater mot andre 

For det fjerde mener utvalget at NSM bør sette ut flere operative oppgaver til andre. Sikkerhetsloven og forskrifter åpner for at flere av oppgavene som NSM selv utfører, kan settes ut. Dette gjelder blant annet oppgaven med å gjennomføre tekniske sikkerhetsundersøkelser, og hvis NSM gjør det selv må de kunne ta betalt for kostnadene. Et beslektet tema utvlaget tar opp er at flere tilsyn bør kunne gjennmføre tilsyn etter sikkerhetsloven. De skriver at:

"Flere tilsynsmyndigheter bør føre tilsyn etter sikkerhetsloven. NSM fører tilsyn med at sikkerhetsloven blir fulgt opp, både med departementene, etater, lokale myndigheter og virksomheter. I fem sektorer hittil har ansvarlig departement gitt oppgaven med å føre tilsyn etter sikkerhetsloven til myndigheten som fører tilsyn i sektoren. Dette er en god ordning som bør brukes i flere sektorer."

Og for det femte så bør grensesnittet mot Direktoratet for samfunnssikkerhet og beredskap (DSB) bli klarere. DSB bistår Justis- og beredskapsdepartementet med å koordinere arbeidet med samfunnssikkerhet og beredskap og har ledet arbeidet med å identifisere kritiske samfunnsfunksjoner på et bredere område enn det som er sikkerhetslovens nedslagsfelt. Utvalget ønsker ikke å slå sammen de ulike rammeverkene for å definere samfunnssikkerhet, men mener det er behov for mer samarbeid og samordning, og skriver at:

"(Rammeverkene) har både ulike formål og virkeområder, der arbeidet med kritiske samfunnsfunksjoner favner vesentlig videre enn sikkerhetsloven. Utvalget mener sikkerhetslovens formål og virkeområde i dag er hensiktsmessig og fungerer etter intensjonen. Det er likevel behov for at formål og virkeområde og grensesnitt mellom rammeverkene gjøres klarere og formidles på en pedagogisk måte. Videre må oppgavefordeling og grensesnitt generelt mellom DSB og NSM avklares og gjøres tydelig i direktoratenes hovedinstrukser."

Jeg synes alt i alt at utvlagets anbefalinger er både klargjørende og gode. Og at de bør følges opp med på politisk nivå. Tidspunktet virker også riktig sett i lys av Totaberedskapsmeldingen og Langtidsplanen for forsvaret. Så får vi se om noen tar tak i dette, eller om det blir for vanskelig akkurat nå.

En stortingsmelding om forskningssystemet

Hva er egentlig en stortingsmelding om "forskningssystemet"? Eller "systemmeldingen" som den kalles blant de mest innvidde i sektoren, virkemiddelapparatet og interesseorganisasjonene. Navnet høres jo spennende ut for oss om er opptatt av sammheng og systemer, ogs særlig når målet er mer kunnskap, innovasjon og omstilling. 

Etter å ha lest stortingsmeldingen som kom for en uke siden om "Sikker kunnskap i en usikker verden" er jeg fortsatt ikke helt sikker på hva en systemmelding er. Uinteressant er den slett ikke, men jeg tror det kunne vært gjort enda mer for å få frem forskningsystemets betydning for resten av samfunnet, hvorfor dette blir stadig viktigere og hva som må gjøres fremover for å at forskningen skal få rammebetingelsene som trengs for å få det til.

Stortingsmeldingen evner ikke helt å beskrive hvordan forskningssystemet skal utvikles og forbedres. Det er synd, for utfordringene vi står i når det gjelder miljø og klima, mangelfull produktivitetsvekst og lav innovasjonstakt i næringslivet, en ny og mer truende sikkerhetspolitisk situasjon, og rask utvikling av nye muliggjørende teknologier, gjør det helt nødvendig å tenke igjennom om både systemet og virkemidlene for forskning og kunnskapsproduksjon er gode nok.

Forkningens utførere og betalere

En ting som er bra i denne meldingen er beskrivselsene av tall og fakta og forskning, slik det alltid er med forskningsfeltet. Det finnes både god statistikk om forskning og god forskning på forskning, som stadig oppdateres. Kapittel 2 som er en slags "fakta om forskningssystemet" åpner slik:

"I Norge jobber om lag 97 000 mennesker med forskning og utviklingsarbeid, fordelt på i hovedsak fire forskningsutførende sektorer: universitets- og høyskolesektoren, instituttsektoren, næringslivet og helseforetakene.1 Disse sektorene har vokst frem og utviklet seg over lang tid i et gjensidig vekselforhold med hverandre, med politiske myndigheter og med skiftende samfunnsbehov og i samspill med internasjonale partnere og globale trender."

Det vi blir minnet om er at Norge ligger relativt lavt når det gjelder forskningsinnsats som andel av BNP sammenlignet med våre nordiske og nord-europeiske naboer, mens vi ligger en del høyere når det gjelder forskningsinnsats pr innbygger. Mens offentlig sektors forskningsinnsats ligger omkring samme nivå som i andre sammenlignbare land, så er næringslivets forskningsinnsats lavere enn i landene rundt oss. Det kan henge sammen med at næringsstrukturen vår er mye mer kapitalintensiv og råvarebasert enn nabolandene våre, mens når man sammenligner bransje for bransje, er norsk næringsliv som andre.

Så kan man slå seg til ro med at forskningsinnsatse er så stor som den skal være, eller man kan se på forsknings og innovasjonssystemet som et redskap for å utvikle en mer forsknings- og kunnskpasintensiv næringsstruktur, enten ved å omstille dagens dominerende næringer, eller ved å bruke forskning og innovasjonssatsinger til å vri næringslivet i mer kunnskapsintensiv retning, spesielt ved å skape bedre rammebetinselser for kunnskaps- og forskningsinstensive tjenestenæringer. Men i hvor stor grad vi i Norge skal ha slike ambisjoner, sier denne stortingsmeldingen lite om.

Et mer innovativt og produktivt næringsliv

Et eksempel på at et problem blir erkjent, men der det ikke beskrives noen ny retning, er utviklingen av den anvendte forskningsinstituttsektoren, og spesielt den næringslivsrettede delen. I underkant av 20 prosent av forskningen i Norge utføres av instituttsektoren. Det har de siste årene vært en synkende trend når det gjelder oppdrag fra næringslivet, mens næringslivets egen forskning øker. Historisk har den norske anvendte instituttsektoren spilt en viktig rolle for mange næringer, og vært langt tettere koblet på næringslivet enn universitetene har vært. Instituttene har også lykkes godt med søknar om og mobilisering til EU-forskningsprosjekter. Men særlig nedgangen i olje- og gassnæringens forskning slår ut negativt, mens en del andre industrinæringer som forsker mye i andre land, er små i Norge:

"At de samlede kostnadene til innkjøpt FoU fra forskningsinstituttene har hatt en nedgang skyldes derfor først og fremst endringer i FoUaktiviteten i næringene som er tilknyttet utvinning av olje og gass. Næringslivet ellers kjøper omtrent like mye FoU fra instituttsektoren i 2022 som i 2013. Instituttene har med andre ord ikke klart å hente inn tapte inntekter fra petroleumsnæringer."

Næringslivet utførte selv forskning og utviklingsarbeid (FoU) for omkring 47 mrd. kroner i 2023, noe som utgjør omkring halvparten av Norges samlede FoU-innsatsf. Dette betyr at næringslivet er den største FoU-sektoren i Norge, og på høyde med universitetene, instituttene og helseforetakene til sammen. Men dette nivået som andel av BNP er som sagt lavere enn det som er vanlig i landene rundt oss. Hvorfor ikke bruke denne systemmeldingen som en slags Draghi-rapport som roper opp om at kvalitet og kapasitet innenfor forskning og innovasjon er helt sentralt for den fremtidige konkurransekraften? En rapport som foreslår konkrete systemforbedrende tiltak, og en oppskrift på hvordan Norge skal klare seg i et Europa som skal hevde seg bedre i konkurranse med USA og Kina? Det har vi dessverre ikke fått

Det kanskje aller viktigeste spørsmålet som burde besvares i en stortingsmelding som dette er hva vi skal gjøre for at det skal bli mer lønnsomt for næringslivet for å forske mer? Hva gjør vi for å mobilisere til økt deltagelse i EUs forsknings og innovasjonsprogrammer? Hva gjør vi for å få flere norske bedrifter til å ta ledende roller i EU-forskning og bli bedre ved å samarbeide med de beste? Hva gjør vi for å mobilisere flere bedrifter og flere bransjer til å forske mer? Hva gjør vi for å øke forskningen i kommunesektoren og for å mobilisere kommunenes til å samarbeide tettere med det kunnskaps- og teknologiintensive næringslivet? Her er det nokså stille når det gjelder tiltak i stortingsmeldingen.

Ikke langtidsplan, men systemforbedring

Det finnes en norsk langtidsplan for forskning og høyere utdanning som sier noe om forskningens samfunnsmessige mål og om forskningstemaer som skal prioriteres i årene som kommer. Ulike programmer og prosjekter, både næringsrettede og offentlig-sekorrettede omtales også i andre domumenter og strategier. Det er sånn sett andre ting en systemmelding må handle om, for eksempel systemegenskaper og forbedringsmuligheter i det norske forsknings- og innovasjonssystemet, og hvordan det henger sammen med tilgrensende virkemidler og med de norske omstillings- og innovasjonsbehovene i stort.

Men i denne stortingsmeldingen er det dessverre lite beskrivelser av sammenhengen mellom forskningssystemet og andre næringsrettede innovasjonsvirkemidler, av sammenhengen mellom forskningssystemet og kommunesektorens store utfordringer, med eldreomsorgstjenester eller med å å ta tak i utfordringer knyttet til ungt utenforskap. Det er heller ingen analyse eller drøfting av om viktige sider ved dagens forskningssystem er innrettet for å løse fremtidens utfordringer bedre. Ikke noe om strukturen, innretningen av virkemidlene eller antall aktører i det offentlig finansierte forskningssysemet er riktig. Noen steder blir det riktignok pekt på konkrete utfordringer det må jobbes med, for eksempel hvordan den nevnte anvendte forskningssektoren skal innrettes, hvordan det skal gjøre mer attraktivt å bruke private penger på forskning, eller hvordan næringsrettede forskningsvirkemidler skal innrettes for å oppnå mer, men det er ingen konkrete tiltak på disse områdene.

Forskningens digitalsering

I stedet for å gå dypere i å beskrive forskningssystemets rolle i å løse store samfunnsutfordringer, som helse og omsorg, klima og miljø eller vedvarende utenforskap, har meldingen i stedet to kapitler som løfter frem noen andre temaer som ikke tidligere er blitt tatt inn i brede dokumenter om forskningsstrategier. Det er to viktige temaer som er blitt stadig mer sentrale i det siste, som riktignok ikke helt har funnet sin kobling til systemperspektivene ellers i stortingsmeldingen, men som i hvert fall beskrives og drøftes i hvert sitt kapittel. Så må de rett og slett jobbes videre med når det gjelder konkretisering.

Det ene temaet er digitalisering. Kapittel 3 heter "Et forskningssystem rustet for det digitale skiftet", og er blitt en slags sekkepost for en del ulike ting som har med forskning og digitalising å gjøre. Det handler om forskning kyttet til kunstig intelligens og kvanteteknologi, områder der det er viktig at Norge ikke blir hengende etter. Men det handler også om forskningsmiljøenes tilgang til teknologisk infrastruktur i form av datakraft og prosesseringskapasitet. Og det handler om intrastruktur for tilgang til dataene man trenger for å forske mer og bedre. En del av forskningsinfrastrukturen er også å ha et lovverk som sikrer personvern, sikkerhet og et godt etisk rammeverk, noe som i hvert fall drøftes, i hvertfall i forbindelse med kunstig intelligens.

Sikkerhet og forskning

Det andre temaet som løftes frem, i kapittel 4 i meldingen, er statssikkerhe og samfunnssikkerhet, og hvordan forskningssystemet er en del av et trusselbilde som ser ganske annerledes ut enn for noen år siden. Også i dette kapitlet er det flere temaer som drøftes samtidig, blant annet teknologisk infrastruktur for å skjerme ting som ikke kan deles, håndtering av hvilke forskere som kan og ikke kan ha tilgang til ulike ting, men det er også drøftinger av viktigheten av å hindre at forskningens åpne, demokratiske og kunnskapssøkende metoder, prinsipper og verdier blir satt under press. 

Kapitlet går ganske grunnleggende til verks når det gjelder å beskrive roller, organisering og lovverk når det gjelder sikkerhet i stort. Et slags grunnkurs i samfunnsikkerhet og beredskap, og hvordan dette slår inn hos forskningsaktørene, som det er erkjennes er ganske er ganske umodne når det gjelder ting som sikkerhetslov, samfunnssikkerhetsinstruks, grunnleggende nasjonale funksjoner, eksportkontrollregelverk og håndtering av gradert informasjon. En viktig faktor som bidrar til at utfordringen vil øke er at det er et ønske om at det mobiliseres bredere innenfor forsningsmiljøene når det gjelder forsvarsrelatert forskning. Meldingen sier:

"Regjeringens langtidsplan for forsvarssektoren slår videre fast at flere FoU-midler skal lyses ut på konkurransebaserte arenaer. I dag finnes det ingen etablerte ordninger for konkurranseutsetting av midler til forskning som er skjermet eller gradert. Regjeringen vil utrede hvordan Forskningsrådets virkemidler kan utvikles for å kunne omfatte også utlysning av midler til skjermet og gradert FoU."

Og:

"Flere forskningsinstitutter er imidlertid ikke underlagt sikkerhetsloven. Blant disse er det flere sterke fagmiljøer som er relevante for forsvar, sikkerhet og beredskap, og som har uttrykt ønske om å delta i skjermet og gradert forskning. Det ansvarlige departementet kan fatte vedtak om at disse underlegges sikkerhetsloven. (...) Et annet alternativ for virksomheter som ikke er underlagt sikkerhetsloven, er å benytte systemet for sikkerhetsgraderte anskaffelser, med sikkerhetsavtaler og eventuell leverandørklarering. Samtlige alternativer stiller strenge krav om et forsvarlig sikkerhetsnivå. 

For virksomhetene som ønsker å ta del i gradert forskning kan det være krevende å vite hvordan man skal gå frem. Dette gjelder enten virksomhetene er underlagt sikkerhetsloven eller ikke. Regjeringen ønsker å gjøre det lettere for sivile virksomheter å delta i skjermet og gradert FoU, og vil se nærmere på mulige mekanismer som kan bistå med dette, inkludert utrede om det behov for å utvikle egne verktøy for rådgivning."

Dette er bare noe av alt det som trekkes frem som ganske utfordrendde for å få til et godt samspill mellom FoU-miljøene og forsvaret. Sikkre kommunikasjonskanaler og sikre måter å håndtere data er et annet. Og naturligvis hvordan man håndterer rekruttering og hvem som skal ha tilgang til hva, i ganske internasjonale forskningsmiljøer, i en ny sikkerhetespolitisk situasjon. Også her har stortingsmeldingen langt flere problemer enn svar, men det er bra temaet blir løftet i en stortingsmelding..

Nye trussel- og risikovurderinger fra myndighetene

Tre statlige sikkerhetsmyndigheter har kommet med nye og oppdaterte trussel- og risikovurderinger. Det er nok slik at de blir bedre av å være dagsaktuelle, og med dagens krevende omgivelser og trusselbide er det i hvert fall ikke vanskelig å være konkret og aktuell om hva som truer Norge.

Forsvarsminister Tore O. Sandvik (Ap) og justis- og beredskapsminister Astri Aas-Hansen (Ap) innledet på pressekonferansen 5. februar, dagen etter at begge var utnevnt til nye statsråder. På en nyhetssak hos Regjeringen.no kan man lese både innleggende deres og om de tre rapportene som ble presentert. Det er lenker der til alle tre rapporter, som er fra Etteretningstjenesten, Politiets sikkerhetstjeneste (PST) og Nasjonal Sikkerhetsmyndighet (NSM).

Kanskje kunne de tre rapportene vært gitt ut som en felles rapport. Selv om de tre etatene har tre litt ulike ansvarsområder og roller, er det i stor grad de samme ytre begivenhetene og endringer i risikobildet de omtaler. Når de i senere år de har kommet så langt at de presenterer rapportene sammen, på samme pressearrangement, er det ikke mye som skal til for å gjøre de tre rapportene til en felles. Men det får komme når det kommer, det viktige er at det er sammenheng og konsistens på tvers.

Etteretningstjenesten og PSTs rapporter

Det er uansett grunn til å minne om hva de tre statlige etatene som presenterer trussel- og risikovurderingene har ansvar for. Etteretningstjenesten er en etat underlagt Forsvarsjefen og Forsvaret. E-tjenestens hovedoppgaver er å varsle om ytre trusler mot Norge og prioriterte norske interesser, støtte Forsvaret og forsvarsallianser Norge deltar i, og understøtte politiske beslutningsprosesser med informasjon av spesiell interesse for norsk utenriks-, sikkerhets- og forsvarspolitikk. Deres ugraderte rapport heter "Fokus 2025".

Politiets sikkerhetstjeneste (PST) er Norges innenlands etterretnings- og sikkerhetstjeneste, underlagt justis- og beredskapsministeren. PST har som oppgave å forebygge og etterforske alvorlig kriminalitet mot nasjonens sikkerhet. Som ledd i dette skal tjenesten identifisere og vurdere trusler knyttet til etterretning, sabotasje, spredning av masseødeleggelsesvåpen, terror og ekstremisme. Vurderingene skal bidra i utformingen av politikk og støtte politiske beslutningsprosesser. Deres ugraderte rapport heter Nasjonal trusselvurdering 2025.

Disse rapportene er blitt langt mer tydelige om hvor de største truslene mot sikkerhet og trygghet i Norge kommer fra enn de var for noen år siden. I Etteretningstjenestens rapport handler det mest om utviklingen i Russland, i Kina, og forholdet mellom Russland og Kina. Det er interessante analyser av hvordan krigen i Russland tærer på Russlands økonomi over tid og hvor mye viktigere Kina er for Russland, økonomisk og militært, enn Russland er for Kina. Mens Russland er under press ressursmessig, økonomisk og militært, er Kina blitt ledende på noen fremvoksende teknologiområder.

Rapporten beskriver også hvordan sankjoner og eksportkontrollregelverk blir omgått ved hjelp av tredjeland. Det er en omtale av hvordan utfordringsbildet når det gjelder beskyttelse av samfunnskritisk infrastruktur under vann ser ut, riktignok ikke spesielt konkret når det gjelder ansvar og roller. På slutten er det analyser av oppbygging av ny kjernevåpenkapasitet etter hvert som gamle nedrusningsavtaler faller bort, og det er en analyse av hvordan pågående konflikter i Midt Østen og Afrika bygger opp under økt polariering og er i ferd med å legge til rette for voksende terrorisme.

PSTs nasjonale trusselvurdering er også mest opptatt av Russland og Kina, men her er oppmerksomheten særlig rettet mot hva det betyr for statlig etterretningsvirksomhet, påvirkning og sabotasje i Norge. Her er det en gjennomgang av trusselutsatte teknologiområder og av ulike metoder fremmede staters etteretningstjenestesr bruker mot mål i Norge. Rapporten beskriver statlige cyberoperasjoner, gjerne gjennomført ved bruk av andre aktører, rekruttering av menneskelige informanter, etteretning ved bruk av sivile fartøyer, påvirkningsoperasjoner, sikkerhetstruende økonomiske virkemidler og transnasjonal undertrykkelse, det vil si trusler fra andre stater mot enkeltpersoner i Norge. Rapporten har også en oppdatert gjennomgang av terrortrusselen mot Norge fra ulike ekstreme ideologiske bevegelser.

NSMs Risko 2025

Den tredje rapporten er fra Nasjonal sikkerhetsmyndighet (NSM) Deres rolle er å være Norges direktorat for forebyggende sikkerhet med ansvar for å bedre Norges evne til å beskytte seg mot spionasje, sabotasje, terror og sammensatte trusler. Gjennom rådgivning, tilsyn, testing, forskning og utvikling bidrar NSM til at virksomheter sikrer sivil og militær informasjon, systemer, objekter og infrastruktur med betydning for nasjonal sikkerhet. I Risiko 2025, NSMs årlige risikovurdering, er målet å gi norske virksomheter bedre forutsetninger for å se eget sikkerhetsarbeid i en større sammenheng. Rapporten beskriver sårbarheter trusselaktørene forsøker å utnytte og tiltak for å redusere risikoen for at de lykkes

Selv om alle tre rappoerter har hevet seg og blitt stadig mer interessante, og dessverre stadig mer dagsaktuelle, de siste årene, tror jeg Nasjonal sikkerhetsmyndighets (NSM) har hevet seg aller mest. Det er mulig jeg overdriver litt, men jeg synes å huske at deres rapport tidligere var en litt sytete rapport som klaget over at andre ikke gjorde jobben sin, særlig når det gjaldt digital sikkerhet, og at de ikke hadde nok ressurser til å gjøre jobben, men at de egentlig ikke hadde så mye å komme med av konkrete analyser, innsikt eller råd. Den var rett og slett ikke på høyde med de to andre trusselvurderingene. Det har heldigvis endret seg de siste årene. 

I årets Risko 2025 har NSM valgt å presenterer en viktig og interessant meny av trussel- og risikovurderinger som også får frem bredden og kompleksiteten i utfordringene vi møter, og som NSM må forholde seg til. Rapporten er innom:

• Påvirkning og desinformasjon i forbindelse med valg.
• Tiltak for å redusere risikoen for sabotasje.
• Sikring mot insidevirksomhet i samfunnsviktige virksomehter.
• Sikring mot misbruk av nettverkstilkoblede elektroniske sensorer, blant annet innvendige og utvendige kameraer og mikrofoner i kjøretøy.
• Avhengigheter av satelittbaserte tjenester og hvordan disrupsjon av signaler kan gjøre skade.
• Sikkehet i forbindelse med forsvarets anskaffelsesprosesser
• Utenlandske investeringer i lokalsamfunn og infrastruktur, der Kirkenes havn er nevnt spesielt.

Digitale leverandørkjeder

Siste del av NSMs trussel- og risikovurderinger handler om digital sikkerhet og sårbarhet, det området jeg tror de fleste forbinder med NSM. Her synes jeg at deler av det NSM presenterer er litt mindre treffsikkert når det gjelder innsikt og anvendbarhet enn jeg skulle ønske. Det er fint at NSM beskriver ulike typer digitale angrep vi kan bli utsatt for, som løsepengevirus, nulldagssårbarheter og angriper-i-midten, der angriper kommer seg mellom offer og en tjeneste, og på den måten får lurt til seg informasjon. Det står noen linjer om hvordan kunstig intelligens er en økende  trussel, at mobiltelefoner og mobile enheter utgjør en viktig sårbarhet. Nyttige påminnelser alt sammen.

NSM minner oss om at det er kommet en ny digitalsikkerhetslov som implementerer NIS-1 direktivet fra EU i norsk lov. Når det gjelder behovet for et oppdatert lovverk som kan bidra til å bekjempe digitale trusler og angep er dette litt flokete landskapet med overlappende lovverk også tema i Totalberedskapsmeldingen, Det hadde ikke gjort noe om NSM kom med noen klarere meldninger om at det er blitt et stort problem at Norge henger langt etter EU når det gjelder oppdatert lovverk og gjerne også noen råd om hvordan vi innretter en ryddeprosess når det gjelder forholdet mellom disse lovverkene og anbefalinger om rydding i roller og anvar når det gjelder digital sikkerhet. Eller er det noen andre som skal komme med disse anbefalingene?

En gammel kjepphest jeg har er behovet for å beskrive hvordan et digitalt økosystem, digitale leverandørkjeder og digitale avhengigheter ser ut konkret. Jeg tror NSM kan gjøre mer enn å skrive at virksomheter skal: 

• "Kartlegg egne avhengigheter. Skaff oversikt over hvilke leverandørkjeder virksomheten er en del av, enten som kunde eller leverandør." 
• "Gjennomfør risikoreduserende tiltak for å redusere sikkerhetsrisikoen knyttet til leverandørkjeder."

Det er ingenting galt i dette, eller andre tiltak de anbefaler, tvert imot. Men hvordan ser en digital leverandørkjede egentlig ut? Her kunne det kanskje være en ide å beskrive det visuelt? Hva med å lage noen veiledere og eksempler på hvordan man kan gå frem når man skal lage en slik kartlegging, og hva kan bidra til at den blir forståelig for flere enn teknologene? For eksempel politikere og ledere? Er det flyten av dataene mellom ulike aktører og systemer som er viktig å få frem? Er det eierskapet til selskapene som står bak? Eller er det oversikten over komponenter i systemetne som kan utgjøre kritiske sårbarheter det er viktig å avdekke i en slik overikt? Eller kanskje alt på en gang? 

Jeg tror det blir stadig viktigere å få denne type informasjonen frem i en form som selv styrer og ledelser som ikke er digitale sikkerhetsspesialister kan forstå og handle på bakgrunn av. NSM kan gå foran og vise oss hvordan det kan gjøres.

Totalberedskapsmeldingen

Regjeringen la forrige fredag frem en Totalberedskapsmelding, et dokument som handler om hvordan vi skal forberede samfunnet bedre på alvorlig krise og krig. Stortingsmeldingen er en oppfølging av Totalberedskapskommisjonens rapport "Nå er det alvor - Rustet for en usikker framtid", som kom i 2023.

Er dette en god Stortingsmelding, gitt temaets alvorlighetsgrad og store kompleksitet, på tvers av sektorer, forvaltningsnivåer, offentlig-privat-frivillig og landegrenser? Den er i hvert fall langt bedre enn den temmelig slagordpregede og proteksjonistiske stortingsmeldingen om "Nasjonal kontroll og digital motstandskraft for å ivareta nasjonal sikkerhet" (jeg blogget om den her) fra 2022, som åpenbart kom før regjeringen hadde satt seg ordentlig inn i utfordringsbildet, eller avklart egne prioriteringer og strategier.

Den nye Stortingsmeldingen holder et høyere nivå og henviser naturligvis ganske mye til både Forsvarskommisjonen, Totalberedskapskommisjonen, Langtidsplanen for Forsvaret, sikkerhetsmyndighetenes risikovurderinger og NATOs og EUs ulike analyser og strategier. Vi vet at vi på en del områder ikke er så godt rustet for å møte alvorlige kriser, sammensatte trusler og cyberangrep  som vi burde være, og at årsakene til dette skyldes ting som mangelfull koordinering på tvers av sektorer, mellom myndigheter og næringsliv, og uklarheter i roller og ansvar når vi skal beskytte oss mot og respondere på sammensatte trusler. 

Tiltakslister

Det er slike ting denne stortingsmeldingen skal svare på. Det konkrete som skal gjøres er som vanlig i slike dokumenter forulert som korte strekpunkter som begynner med foruleringen "Regjeringen vil...". Nå er det riktignok ikke alle disse punktene som beskriver noe som skal endres, ofte er det noe som skal vurderes eller utredes, eller en prosesss som tar sikte på en endring som skal igangsettes om en stund, men det er i hvert fall her man finner det mest operative i en stortingsmelding. I denne meldingen er det slike tiltak under flere av kapitlene, og mye handler om organisering og lovverk som skal tydeliggjøres. Noen av mest sentrale av disse er at "Regjeringen vil...:

• etablere en felles rådsstruktur for beredskapsplanlegging og tilstandsvurderinger på nasjonalt nivå for å sikre kontinuitet og systematikk i beredskapsarbeidet i sivile sektorer. Næringslivet og frivillige organisasjoner skal integreres i den nye strukturen.
• utarbeide en langtidsplan for sivil beredskap og motstandskraft, herunder politiet.
• foreslå en ny lov som setter krav til grunnsikring for virksomheter og se på tilhørende regelverk som samfunnssikkerhetsinstruksen, sektorlovgivning og sikkerhetsloven. 
• utarbeide en nasjonal sikkerhetsstrategi.
• stille tydelige krav til tverrsektorielt beredskapssamarbeid.
• at det i etatsstyringen skal legges vekt på å gi føringer for arbeidet med sikkerhet og beredskap.
• forsterke involveringen av og samarbeidet med privat næringsliv om sikkerhet og beredskap."

Ikke bare tenke det og ville det, men også gjøre det

Disse punktene virker fornuftige gitt de endringene vi har i utfordrings- og trusslbildet. Men nå er det ikke lenger helt nytt at vi opplever flere sammensatte trusler og behov for mer tverrektorielt samarbeid, og bedre sammarbeid mellom offentlige beredskapsorganisasjone og privat sektor. Det er jo nettopp det både Totalberedskapskommisjonen, Forvarskommisjonen og de ulike overordnede risikovurderingene fra PST, E-tjenesten, NSM, DSB og andre har fortalt oss lenge. 

Når det gjelder en mer helhetlig organisering av beredskapen er det de konkrete handlingene for å møte mer sammensatte trusler vi trenger, ikke enda flere erklæringer om at det skal samarbeides mer og bedre. Nå er det etablering av de strukturene, ansvarsområdene og rollene som beskytter oss bedre som bør være neste skritt. Men dessverre virker det som om denne totalberedskapsmeldingen er noen hakk mindre konkret om hva vil skal gjøre enn det Totalberedskapskommisjonen foreslo, eller rapporten som ble laget av DSB etter ekstremværet "Hans".

Pedagogisk krevende helhet

Mangelen på fremdrift når det gjelder å komme i gang er den viktigste svakheten som denne stortingsmeldingen ikke svarer ut. Min andre store innvending mot den nye meldingen er at den i for liten grad tydeliggjør den ansvarsmessige og lovmessige helheten, hvordan endringne påvirker dagens roller og ansvarsområder, hvordan huller i ansvar løses med nye  strukturer, og hvordan overlapp og dobbeltarbeid unngås.

Til høyre er det en figur fra side 41 i meldingen og som søker å forklare hvordan totalberedskapsarbeidet er organisert "vertikalt" og "horisontalt", fra regjeringen og helt ned til kommuner og innbyggere, på tvers av myndighetsorganer, sektorer og sivilsamfunn på alle nivåer. Dette er et godt forstøk på å lage en pedagogisk beskrivelse av hva begrepet "helhetlig" beredskapsorganisering er snakk om.

Men det blir med denne ene fargerike figuren. Gode visualiseringer og gode fortellermessige beskrivelser og eksemplifiseringer kunne vært benyttet mye mer. Når man lager en stortingsmelding der hele poenget er å forklare hvor komplekst og sammensatt trusselbildet er, og hvor helhetlig og sammensatt organiseringen for planlegge, øve og respondere på dette er, hvorfor bruker man ikke bedre og mer pedagogiske måter å formidle dette på?

Lov- og ansvarskompleksiteter

Dette behovet for bedre forklaringer av og endringer i roller og ansvarsområder er blant annet veldig relevant for innretningen av det lovverket som regulerer virksomheters plikter og ansvar når det gjelder forebyggende sikkerhet. Her sier regjeringen at den planlegger å foreslå en ny lov om krav til grunnsikring i virksomheter som er viktige for at samfunnet fungerer, dels for å oppfylle EØS-forpliktelser, og dels som en anledning til å fylle noen andre hull. Regjeringen skriver:

"Evnen til å opprettholde kontinuitet i kritiske samfunnsfunksjoner, som kraft, helse, elektronisk kommunikasjon og digitale tjenester, er viktig for motstandskraften. Regjeringen vil foreslå en sektorovergripende lov som skal stille felles krav til grunnsikring hos virksomheter som er viktige for at samfunnet fungerer i fred, krise og krig. Sikringen skal blant annet bidra til at virksomhetene kan opprettholde sin aktivitet selv om alvorlige uønskede hendelser og kriser inntreffer."

Disse EØS-forpliktelsene i NIS2-direktivet og CER-direktivet, som omtales i stortingsmeldingen, er EU-direktiver som er med på å begrunne behovet for Norge trenger en ny lov om grunnsikring av virksomheter som ivaretar samfunnskritiske funksjoner. De er et langt stykke på vei overlappende med det som er sikkerehetslovens nedslagsfelt og formål, noe regjeringen også beskriver:

"Direktivene deler samfunnet inn i samfunnsområder. Disse samfunnsområdene overlapper i stor grad med tilsvarende inndelinger i rammeverket for kritiske samfunnsfunksjoner, grunnleggende nasjonale funksjoner etter sikkerhetsloven og NATOs grunnleggende forventninger."

Nå er det ikke helt uvanlig at nedskagsfeltet for lover overlapper, særlig når det gjelder særlig viktige samfunnshensyn som skal ivaretas. Det vil ofte være både generell lovgivning, som alle må følge, og særlig regler for ulike sektorer, som noen aktører er forpliktet av, for eksempel energiaktører eller finansnæringen. Problemet oppstår når flere lovverk og direktiver overlapper hverandre. men sier forskjellige ting om ansvar, plikter og rapportering, eller bruker ulike begreper og definisjoner.

Et nøkkelavsnittt i stortingsmeldingen (underkapittel 3.3) beskriver hvorfor og hvordan Regjeringen vil igangsette et lovarbeid som blant annet skal avklare nedslagsfeltet for en ny lov om grunnsikring, utover det som ligger i EU-direktivene, herunder hvordan ulike deler av offentlig sektor, inkludert kommunene, skal omfattes av forpliktelsene. Og som ikke det var nok varsler regjeringen at den skal gjennomgå samfunnssikkerhetsinstruksen, et annet regelverk som gjelder for departementene, og som griper inn på flere av de samme sikkerhetskritiske områdene:

"Regjeringen vil, som en del av arbeidet med implementering av direktivene, også gjennomgå samfunnssikkerhetsinstruksen. Grensesnittet mellom den nye loven og sikkerhetsloven, samt forholdet til relevant sektorregelverk, vil bli vurdert. En slik vurdering er viktig for å unngå uhensiktsmessig dobbeltregulering, og eventuelle andre uklarheter, mellom den nye sektorovergripende loven og gjeldende sikkerhets- og beredskapslovverk i ulike sektorer. Slike uklarheter kan vanskeliggjøre god og enhetlig implementering og oppfølging av krav til virksomheter som det er kritisk for samfunnet at fungerer. Det utfordrer også et effektivt tilsyn og tilgjengelig veiledning. En helhetlig tilnærming til sikkerhetsog beredskapslovverk vil bidra til forenkling av beredskapsarbeidet i de ulike sektorene"

Bra. En slik helhetlig gjennomgang burde sikkert vært tenkt på for lenge siden, og EU fant ikke på disse direktivene nettopp, men det er helt på sin plass å beskrive og ta tak i problemene uklare og og uvklarte nedslagsfelt, ansvarsområder og roller fører med seg. Men hvorfor ikke ha noen gode pedagogiske beskrivelser, gjerne med visualiseringer og eksempler? I en stortingsmelding om å skape mer sammenheng og innrette et mer helhetlig beredskapsarbeid er det jo akkurat det vi trenger for å legge grunnlaget for en bedre felles virkelighetsoppfatning, på tvers av sektorer og virksomheter. Slik blir det også mye lettere komme videre til en gjennomføringsfase. 

Opplagsverk og kunnskapsgrunnlag

Stortingsmeldingen er fra kapittel 4 (fra side 52) og og utover mer beskrivende når det gjelder dagens mange aktører, organisering og ansvarsområder i norsk beredskap, fra verdensrommet til havbunnen, og veldig mye mellom. Aktørbildet er mangfoldig, og manges ulike virksomheters roller og betydning er beskrevet. Det er både beskrivelser at de sentrale aktørene, og viktige grenseplater mellom dem, som sivil-militært, offentlig-privat, offentlig-frivilling, og på tvers av sektorer og forvaltningsnivåer. 

Det er også omtale av kritiske suksessfaktorer som bedre kompetansetilgang, behov for forskning og innovasjon, frivillighetens bidrag, planlegging og organisering av forsyningssikkerhet, redningsarbeid, støtte til forsvarets behov i en krigssituasjon, og veldig mye annet. Dette fungerer også som et lite oppslagsverk der det er mulig å hente ut kunnskap om hvordan dette økosystemet ser ut, og det er også er et bra kunnskapsgrunnlag  ha med seg når man skal finne ut hvor det er størst behov for å forsterke eller endre innsatsen.

Digitale leverandørkjeder

Skal jeg peke på to områder som hadde fortjent en bedre utfordringsbeskrivelse enn det som ligger i denne stortingsmeldingen er det de digitale sikkerhets og beredskapsutfordringene, og samarbeidet mellom myndigheter og næringsliv. Når de gjelder det digitale er stortingsmeldingen fortsatt på det nokså abstrakte og lett proteksjonistiske nivået som har kjennetegnet tidligere beskrivelser fra regjeringen, og som kanskje tyder på at man ikke er så veldig interesset i å sette seg inn i hvordan komplekse internasjonale leverandørkjeder ser ut eller hva som kan gjøres? Veldig lite av det som er omtalt i regjeringens nye digitaliseringsstrategi om digital sikkerhet har funnet veien inn her, og det er heller ikke veldig mye omtale av arbeidet med områder både Riksrevisjonen og sikkerhetsmyndighetene har pekte på som kritiske sårbarheter tidligere. 

Meldingen har ingen gode forklaringer på hvordan sårbare digitale verdikjeder ser ut, hvordan vi skal utvikle digitale systemer som i større grad kan lagdele tilgangen til ulike typer informasjon, hvordan dette forholder seg til det lovrevisjonsarbeidet som skal foregå, eller hvordan sektorenes og næringslivets egenberedskap mot digitale trusler skal innrettes. Bør vi for eksempel organisere oss slik at vi har cyberresponsmiljøer mot digitale trusler i alle sektorer, eller er vil det være å spre kompetanseressursene for tynt utover? En stortingsmelding som har som formål å beskrive hvordan vi skal møte sammensatte trusler på en bedre måte burde vært langt mer konkret på det digitale trusselbildet.

Næringslivets sikkerhet og beredskap

Omtalen av næringslivets mangesidige roller er også litt mangelfull. Næringslivet er riktignok nevnt veldig mange ganger, og på alle mulige nivåer som bidragsyter i ulike beredskapsfora, fra det veldig nasjonale til det helt lokale. Problemet er at det ikke er sagt noe mer konkret om hvoran dette skal skje, når det skal skje og hvem som har ansvaret for å få det på plass. Hva vil det si at næringslivet skal være representert? Hvem skal ta den rollen og sørge for at det ikke bare foregår i lukkede rom, men tilfører hele næringsivet verdifull informasjon og kunnskap, og mulighet til å påvirke og medvirke? Og hvilke sektorer skal ha egne sektorstrukturer? Hvem skal støtte opp om næringslivets medvirkning i regionene og i kommunene slik at det ikke blir tidstyver, men bidrar til en verdiøkende helhet?

Det er heller ikke veldig konkrete føringer for hvordan informasjonsutvekslig mellom næringsliv og myndighetsaktører skal utvikles videre, verken når det gjelder behovet for å kommunisere bredt om trusselbildet, eller når det gjelder de smalere behovene for å dele den type informasjon som bare noen nøkkelaktører kan ha tilgang til. Det er noe som også må følges opp. 

(Disclaimer: Og når det gjelder dette siste er det viktig å gjøre oppmerksom på at Halogen, meg selv inkludert, på oppdrag fra Næringslivets sikkerhetsråd (NSR) arbeider med å beskrive udekkede behov i grenseflaten mellom myndigheter og næringsliv. Arbeidet tar sikte på å bekrive konkrete og verdiøkende tjenester og støtte til samhandling. Meldingen er ikke veldig konkret på hva myndighetene vil kunne bidra med for å dekke behovet, noe som gjør det ekstra viktig at næringslivet er tydelige på hva de kan bidra med og hva dette krever av myndighetene).

Fremtidens digitale Norge - Nasjonal digitaliseringsstrategi 2024 - 2030

Regjeringens la frem en ny digitaliseringsstrategi, "Fremtidens digitale Norge - Nasjonal digitaliseringsstrategi 2024-2030", for litt over to uker siden. Det er et dokument som er ganske kort, på under 100 sider, med ganske stor skrift og mye illustrasjoner. På denne nokså begrensede plassen har regjeringens oppgave vært å redegjøre for sine strategier for digitialisering i sin fulle bredde. Det er en krevende oppgave.

Jeg har bevisst ventet med å skrive om den nye digitaliseringsstrategien til etter at statsbudsjettet ble lagt frem, for å kunne skrive mer presist om sammenhengen mellom mål og virkemidler i digitaliseringspolitikken. Hvis en regjering vil satse på noe i offentlig regi, i form av nye virkemidler for næringslivet eller i form av nye tiltak på tvers av sektorer og etater, så koster det noe. Og selv om målet er å sørge for effektivisering og gevinster på sikt, så koster det noe først. Da kommer man ikke utenom at strategi og et statsbudsjett må henge sammen.

Et interessant grep regjeringen har gjort er å ta for seg hele bredden i digitaliseringspolitikken, digital kompetanse, næringsrettet digitalisering, sammenhengende digitale tjenester, økt digital deltagelse, mobil og bredbånd, kunstig intelligens, og alt det andre, i form av en regjeringsstrategi og ikke i form av et dokument som diskuteres og forankres i Stortinget, gjerne en Stortingsmelding. Fordelen med en bredere politisk debatt og behandling og forankring i Stortinget er åpenbar, spesielt for den langsiktige levetiden til mål og et veikart av denne typen. Men regjeringen har et slags svar på hvorfor det denne gangen kan holde med en strategi,  som jeg kommer til om et lite øyeblikk.

Det gode, det uklare, det som mangler - og statsbudsjettet

Noen ord om struktur og kapitellrekkefølge først. Innledningsvis er det et kort og ganske godt forord signert av statsministeren og digitaliseringsministren som forteller at digitalisering ikke er noe mål i seg selv. Det er andre mål i for samfunnet som er viktigere, og aller viktigst er menneskene. Men, gjort på riktig måte, kan digitale tjenester gjøre oss bedre til å oppnå andre og viktigere samfunnsmål. Deretter kommer hoveddelen av dokumentet, som merkelig nok hopper rett inn i et mål om at Norge skal bli verdens mest digitaliserte land i 2030, uten nevneverdig andre forklaringer enn at vi er nummer 4 i verden i dag. Dette hovedmålet er utstyrt med 14 delmål for 2030 som skal bidra til dette.

Utover i dokumentet beskrives det hvordan alt regjeringen skal fikse finnes innenfor ti tematiske områder  Fem av disse beskrives som "å styrke forutsetningene for digitaliseringen",  og handler om ting som kompetanse, fysisk infrastrtruktur, styring og samordning, og sikkerhet og beredkap, mens de fem andre kalles "å øke innsatsen for prioriterte områder" og dreier seg om temaer som datadrevet innovasjon, grønn omstilling og kunstig ingelligens. Akkurat hvordan noe er blitt en forutsening og noe annet er blitt en prioritering, er nok litt tilfeldig. 

Også dissse kapitlene er utstyrt med noen mål, som er litt andre enn de 14 målene for 2030. Det er litt forvirrende. Og så dukker det også opp minst minst 100 kulepunter som omtales som tiltak, og som i varierende grad er egentlige tiltak, men i stedet for å gå gjennom dette litt forvirrende mål-og tiltakshierarkiet, eller ta en kronologik gjennomgang av de ti kapitlene om forutsetninger og prioriteringer, vil jeg heller skrive om to ting jeg synes er virkelig bra med denne strategien, noen ting som er ganske mangelfulle, og i beste fall uklare, og til slutt noen ord om sammenhengen mellom digitaliseringsstrategi og statsbudsjett.

Det gode

Det er to virkelig positive ting ved denne digitaliseringsstrategien. Det ene er den ekstremt tydelige plassen EU-prosesser, EU-regelverk og EU-virkemidler for omstilling og innovasjon har blitt tildelt i norsk digitaliseringspolitikk. Jeg tror aldri jeg har sett et så EU-positivt norsk regjeringsdokument noen gang. Dokumentet er gjennomsyret av beskrivelser av at det er EU-lover og -reguleringer som er og må være avgjørende for Norge, og som gir oss både beskyttelse og mulighetsrom. Allerede under den første av forutsetningene for digitalisering, i et kapittel som heter "Forsterke styring og samordning i offentlig sektor", omtales EUs avgjørende betydning for norsk digitaliseringspolitikk over flere sider, der det blant annet står at 

"Svært mye av EUs politikk på digitaliseringsfeltet påvirker Norge. Det meste av regelverket blir norsk rett gjennom EØS-avtalen, og Norge deltar i flere EU-programmer. DIGITAL-programmet representerer et fellesløft for å øke europeiske bedrifters konkurransekraft, sikre bedre og mer effektive løsninger for offentlig sektor, danne grunnlag for en grønn omstilling og styrke Europas digitale sikkerhet og suverenitet."

Den lange omtalen av EUs betydnig for Norge er også fulgt opp av tre strekpunkter som er prisverdig konkrete på at Norge både skal bli bedre til å innføre EU-lovgivning raskt, skal delta aktivit i utformingen av EUs programmer på digitalisesringsområdet og at vi skal foreta en helhetlig vurdering av norsk deltagelse i EUs kommende programmer. Åpenbart for å ta en mer strategisk rolle, og  prøve å påvirke mer. Også i de andre kapitlene i stategien har omtalen av EU fått en helt sentral plass, enten det gjelder næringsretet forskning og innovasjon, den grønne og digitale transformasjonen, EUs Open data spaces for deling av data, kunstig intelligens og AI Act, eID og digital lommebok, digital sikkerhet og beredskap, personvern og innsats for å regulere de store plattformselskapene i Digital services Act. EU er over alt i den norske digitalsieringsstregien, og det er bra.

Kontinuitet og forankring

Det andre som er veldig bra, og som er ekstra viktig når dette dokumentet ikke blir forankret i Stortinget, er at det er gode henvisninger til forrige regjerings mange stortingsmeldinger og strategier om digitalisering. Det understrekes sterkt mange steder at regjeringen ikke har lagt ut på noen helt ny kurs, men bygger på en kurs som er pekt ut tidligere, og som det nå skal bygges videre på.

Digitaliseringsstrategien peker på begytningen av arbeidet som er gjort med livshendelser og sammenhengende tjenester, som er forankret i den forrige digitaliseringsstrategien for offentlig sektor. Det løftes frem gode virkemidler som Stimulab for bruk tjenestedesgn og systemdesign i tverrgående omstillingsprosesser, og medfinansieringsordningen for offentlige digitaliseringsprosesser. Det blir også vist til stortingsmeldingen om datadravet økonomi og innovasjon (Meld. St. 22 (2020–2021) Data som ressurs – Datadrevet økonomi og innovasjon,) og til prinsipper som ble fastsatt i den nasjonale strategien for kunstig intelligens fra 2020. 

I og med at det har gått litt langsommere i digitaliseringspolitikken i det siste, er det bra at denne kontinuiteten vektlegges, og at ikke alt som er beskrevet før behøver å gjentas i den nye strategien. Det viktigste er å gjøre tingene. Og på noen områder har det gått fremover. Det vil bli fremmet nye lover om datadeling, basert på EU-regelverk, det skal behandles en ny lov og elektronisk kommunikasjon, som bygger på en Stortingsmelding om den digitale grunnmuren fra forrige periode, og både cybersikkerhetsutfordringer og kriminalitetesbekjempelse har fått en mer sentral plass i den overordnede digitaliseringspolitikken nå. Det er bra og det er nødvendig.

Det uklare

Så er det dessverre mye som ikke er så klart i digitaliseringsstrategien. Målene, i form av 14 mål for 2030 og et sett med ytterligere mål som innleder de ti kapitlene, er nokså fragmenterte og til dels også overraskende detaljorienterte med tanke på at mye kan skje når det gjelder teknologiutvikling før 2030. Det beskrives godt at ting skal være tverrektorielle, på tvers av offentlige-privat, på tvers av stat-kommune og på tvers av sektorer, men hvor er egentlig virkemidlene og insentivene for å få det til? Det er til ogs med uklart om dagens satsinger på "livshendelser" fortsatt gjelder. Selv om noen av disse er nevnt som noe positivt som det er arbeidet med før, er det ikke sagt noe om det finnes eksisterende eller nye "livshendelser" skal jobbes med fremover. 

Til tider virker strategien som en slags kommentar fra utsiden til ting som foregår i samfumfunnet, men der fofatterne har glemt at de styrer landet, og må ta ledelen og sette igang nye ting selv. Hvor er for eksempel oppfølgingen av utredningene om ny arkivlov og ny forvaltningslov? Hvor er formuleringene om hvordan insentivene for mer og bedre datadeling skal jobbes med, slik at etater ikke taper på å gjøre ting for andre? Og hvor er sorteringen i den norske tilsynsstukturen som skal gjøre oss bedre harmonisert med det EU-regelverket som er så viktig for norsk digitaliseringspolitikk?

Og her er det kanskje den største pussigheten i denne strategien ligger. På områder som staten og regjeringen selv har ansvar for og kontroll på, og kan beslutte hvordan det skal satses og organiseres, er det unødvendidg å nøye seg med abstrakte og luftige mål. Man kan beskrive hva man skal gjøre, helt konkret. Rikrevisjonen har skrevet mange rapporter om hvordan ting som burde henge sammen, ikke henger sammen. Så det burde ikke være så veldig vanskelig å forelle mer om hva som skal til for å løse problemene, enten det handler om deling av tilsynsdata, modernisering av forsvarets ikt-systemer, oversikt over hvem som eier hva i Norge eller om det skal være utskiftning av eller lapping av huller i politiets digitale systemer. Det er rart at en digitaliseringsstrategi fra en regjering som har ansvaret for disse områdene er så uklar på hva som skal skje på akkurat de områdene de har ansvaret for.

Jeg må også nevne tiltakene i dokumentet, eller det som omtales som tiltak, og som det er over 100 av, Det varierer hvor handlingsorienterte disse tiltakene er. Seks av dem inneholdet ordet "utrede", hvis jeg ha talt riktig, og fem av dem har med ordet "vurdere". Når det i tillegg er ganske mye bruk av ord som "styrke" og "videreutvikle" om ting som ikke akkurat fremtår som veldig sterkt eller utviklet i utgangspunktet, så tar jeg meg i å ønske meg noe mer konkret. 

Noe viktig mangler

Vi lever i en tid der mye er blitt vanskeligere enn før. Europa faller bak USA og Kina når det gjelder å være i forsknings- og innovasjonsfronten. Klima- og naturutfordringer gjør at vi ikke bare kan forlenge dagens trender, vi må omstille. Produktiviteten vokser mindre enn før. Mange har fått dårligere råd. Og vi sliter med å effektivisere i offentlg sektor og å løse komplekse tverrsektorielle utfordringer. Når forordet i denne digitaliseringsstrategien slår fast at digitalisering ikke er et mål i seg selv, er det synd at den ikke bruker mer plass på det som er de store problemene som ikke blir løst godt nok, og som digitaliseringen kan bidra til å løse. En slik kobling burde vært sterkere på områder som:

• Næringslivsvekst, omstilling og verdiskaping. I en situsjon der olje og gassinntektene går ned og  demografiske endringer gjør at offentlige utgifter stiger, og Europa ikke hanger med i den teknologiske konkurransen med USA og Kina, der det opplagt at rammevilkår for næringslivet burde ha en helt sentral plass. Jeg leser for tiden i EUs rapport om fremtidens konkurransesituasjon, skrevet av et utvalg ledet av Mario Draghi, og skal blogge om den ganske snart. Det er en enorm forskjell på toneleiet i Draghis rapport og i den norske digitaliseringsstrategien.
• Tverrsektorielle og tverrgående utfordringer. Vi trenger mer konkrete oppskrifter på hvordan datadeling og digitalisering, og gjerne med kunstig intelligens på toppen, kan bidra til å løse utfordringer på tvers. Stategier for at hvordan digitaliseringen skal bidra bedre til det grønne skiftet, til et styrket totalforsvar, til å bekjempe ungt utenforskap, til en mer brukervennlig mobilitetssektor osv. Og hvor ble det av livshendelsene og de sammenhengende tjenestene? Hvor ble det av målet fra forrige digitaliseringsstrategi for offentlgi sektor om å ha en personlig digital assistent som ser deg som innbygger, og dine behov, og ikke bare håndterer etatenes tjenester hver for seg?
• Styring og ledelse: Hvordan ser "beslutningsarkitekturen" ut i et land som er det mest digitale i verden i 2030? Det kan vel umulig være helt identisk med måten vi styrer sektorer og forvatlningsnivåer i dag, med ettårige budsjetter og en ganske mangelfull verktøykasse for å å utforske, rigge og organisere tverrgående invitiativer og tjenester, og å avklare økonomiske, juridiske, miljømessige og sosiale hensyn? Hvordan designer man verdens beste beslutningssystem og gjennomføringssystem på disse områdene? 

Et stort hull

Tilbake til statsbudsjetet igjen, som jeg ventet på før jeg skrev noe. Det er et stort gap, i hvert fall på kort sikt, mellom digitaliseringsstrategiens ambisjoner og statsbudsjettet som kom uken etter. Mange har kommentert det (blant annet Arild Haraldsen som skriver om "Der de store visjonene møtes for å dø"). Nå sier digitaliseringsstrategien riktignok i det korte avslutningskapitlet om "Økonomiske og administrative konsekvenser", at vi burde gjort det annerledes:

"Stadig mer av digitaliseringen i offentlig sektor skjer på tvers av sektorer og forvaltningsnivåer og i samarbeid med næringslivet. Strategien tar derfor særlig for seg tverrgående problemstillinger. Skal vi lykkes med strategien, må alle departementer ta en aktiv rolle og ta ansvar for å realisere ambisjonene i strategien."

Men de som trodde at dette betyr at statsbudsjettet uken etter ville følge opp denne kloke, lille analysen av å gjøre ting i sambarbeid med næringslivet, og på tvers av sekorer og forvaltningsnivåer, må ha glemt å lese hele siden med tekst. For der står det også at:

"Utgangspunktet er at tiltakene som kan få økonomiske konsekvenser for statlig sektor, skal kunne dekkes innenfor de til enhver tid gjeldende budsjettrammene til de berørte departementene. Tiltakene som krever utredning, skal utredes i henhold til utredningsinstruksen og rundskriv R-109/21168 om samfunnsøkonomiske analyser. De økonomiske konsekvensene av målene og tiltakene i strategien må håndteres innenfor de ordinære budsjettprosessene."

Dette er ikke noe nytt, eller spesielt overraskende, det er bare slik systemet er. Tiltak skal dekkes innenfor rammen til det berørte departementet. Og om tiltakete ikke har noen åpenbar eier er det ingen som vil kjempe for det, og ingen ramme å ta pengene fra. Det ble veldig tydeliggjort da statsbudsjettet kom i forrige uke, for det er ikke spesielt mye av det som står i digitaliseringsstrategien som blir fulgt opp. Og det skyldes ikke at det brukes lite penger i statsbudsjettet, tvert imot. Aldri har et statsbudsjett hatt så høye utgifter, eller brukt så mye oljepenger. Ja, det er jo blant annet derfor vi trenger mer satsing på digitalisering: for å øke produktiviteten og effekten av den offenetlige pengebruken.

Å bli best i 2030 kommer ikke av seg selv

Det betyr ikke at det ikke er digitalseringsprosjekter i statsbudsjettet. Både nye AltInn og Fremtidens innkreving skal få mer penger, Politiet har fått penger til å lappe på sine utdaterte it-løsninger og bekjempe kriminalitet og hvitvasking. Forsvaret har mye penger, og mye de skal gjøre. Det er også en rekke andre tiltak begrunnet i sikkerhet i ulike offetlige registre. 

Men hva med satningene på tverrgående og mer fremoverlente tiltak begrunnet i at vi ikke kan fortsette som nå når det gjelder klima og miljø, sikkerhet og beredskap, materalsirkularitet eller fremtidens mobilitetsløsinger? Hvis vi skal være verdens mest digitaliserte land i 2030 må vi vel gjøre mye mer der de største uløste problemene finnes? Noe som innebærer at vi må rigge styring, ledelse, samhandling og digitale fellesløsningen slik at de svarer bedre på denne type utfordringer? 

For eksempel investere i geodataforvaltning og -gjenbruk av data som gjør det mulig å utvikle digitale tvillinger. Investere i fremtidens automatiserte saksbehandlingsløsninger der innbyggeren er i sentrum? Og i fremtidens systemer for datadeling og innrapportering fra bedrifter som er fleksible, med datene i sentrum, og kan håndtere stadig nye krav til miljø- og bærekraftsrapportering. Jeg har vanskelig for å tro at verdens mest digitaliserte land i 2030 kan bli det uten å bli betydelig flinkere på å koble teknologiens muligheter sammen med endringer i måten vi styrer, beslutter og gjennmfører.