Det cyberkriminelle økosystemet

Digitale verktøy og digitale kommunikasjonskanaler er en del av det vi gjør på stort sett alle områder i samfunnet. Både i dagliglivet og på jobben. I offentlige tjenester, i private virksomheter, i frivilligheten og i livene våre slik de leves og tjenestene vi er avhengige av. Og naturligivis også i det kriminelle organisasjoner og nettverk gjør. 

Ja, det er sannsynligvis blitt slik at mange kriminelle aktører er blant de mest avansere brukerne av digitale verktøy og digital kommunikasjon, og benytter sin digitale spisskompetanse på en rekke ulike områder for å berike seg selv, eller for å skade enkeltpersoner,  virksomheter og samfunnet.

Cyberkriminalitet 2026

Kripos er en etat i Politiet som har som mandat å fortstå, forebygge og bekjempe alvorlig, organisert og samfunnsskapdelig kriminalitet. De har nettopp utgitt rapporten Cyberkriminalitet 2026, som gir en helhetlig, analytisk  og oppdatert beskrivelse av cyberkriminalitetens karakter, omfang og forventede utvikling i Norge, basert på politiets kunnskap. 

Det er interessant at rapporten så tydelig bruker begrepet "økosystem" om den organiserte digitale kriminaliteten, på samme måte som vi bruker begrepet digitale økosystemer om data, digitale tjenester og aktører som virker sammen for å skape verdi for samfunnet, og som oppleves som helhetlige og sammenhengene for de som bruker dem. 

I denne rapporten er det de hvordan cyberkriminelle som har utviklet sammenghengede tjenester og digitale forretningsmodeller for kjøp, salg og samarbeid som er hovedsaken. Kripos skriver:

"Rapporten redegjør for det cyberkriminelle økosystemet slik politiet ser det, og introduserer nye analytiske rammeverk for bedre å forstå aktørenes dynamikker og handlemåter. Kriminalitet forstås ikke som isolerte handlinger, men som et samspill mellom aktører, tjenester, teknologi, markedsplasser og strukturelle sårbarheter. Kommersialisering og arbeidsdeling har ført til framvekst av et marked der kriminelle tjenester tilbys i ulike former, noe som senker terskelen for deltakelse og øker både volum og tempo i kriminaliteten. Økosystem-perspektivet bidrar til å forklare hvorfor tiltak rettet mot enkeltaktører ofte har begrenset effekt dersom underliggende strukturer og muliggjørere består."

Begrepsbruk og forretningsmodeller

Rapporten er analytisk ambisiøs når det gjelder å beskrive kriminalitetens organisering og verktøykasse, og introduserer begreper som kan virke litt fremmede og berskriver av forretningsmodeller som er skremmende i sin modenhet, men som raskt er blitt helt normale dele av kriminalitetsutfordringen. I fjor kom Kripos med et notat om "Vold som handelsvare" (som jeg blogget om her), en skremmende beskrivelse av hvordan digitale kanaler og sosiale medier brukes til å rekruttere barn til kriminelle voldshandlinger. Cyberkriminalitet 2026 er også innom vold som handelsvare, og de digitale plattformene som brukes, men har en langt bredere vifte av både målsettinger og forretningsmodeller for alvorlig kriminalitet, muliggjort og støttet av digitale verktøy. 

Det er ikke akkurat kampen for å beholde de små lennsmannskontorene eller politi i gatene man først tenker på som viktige mottrekk når man leser denne rapporten. Dette krever avansert spisskompetanse og det er også mye som ikke kan bekjelpes på nasjonalt nivå alene. De mest avanserte aktørene har globale virksomehetsmodeller, for eksempel når det gjelder digitalt direkteoverførte bestillingsovergrep (DOBO):

"DOBO eksisterte ikke før det digitale rom oppstod, og teknologien har medført at barn i risikoland nå blir solgt og utsatt for overgrep både fysisk og digitalt. DOBO-selgere er oftest filippinske kvinner med egne, mindreårige barn. De kan være både tilretteleggere som organiserer og formidler direkteoverførte fysiske overgrep mot egne og andres barn, og de kan være utøvere av overgrepet – ofte er kombinasjonen av tilrettelegger og overgriper tilfelle"

Kategorier av cyberkriminalitet

Det er ikke veldig lenge siden cyberkriminalitet ble betraktet som en slags nisje litt på siden av den vanlige kriminaliteten, der hovedtyngden var ting som tyverier, innbrudd og ordensforstyrrelser. Datakriminalitet måtte man ha noen egne ekspertmiljøer for å håndtere, litt uavhengig av det andre. Vi er ikke lenger der. I skriver Kripos i innledningen til rapporten at det ikke gir noen mening i å lage et skarpt skille skarpt mellom det fysiske og det digitale. Det glir over i hverandre:

"Et grunnleggende premiss er at digital teknologi i dag er en integrert og ofte nødvendig del av moderne kriminalitet. Rapporten skiller derfor ikke skarpt mellom cyberkriminalitet og tradisjonell kriminalitet, men beskriver kriminalitet langs et spekter basert på grad av teknologisk avhengighet. Cyberkriminalitet forstås som kriminalitet der teknologi enten er et mål eller en sentral muliggjører. Denne tilnærmingen synliggjør hvordan digitale byggeklosser inngår i de fleste alvorlige kriminalitetsformer, og hvordan grensene mellom fysiske og digitale domener i økende grad viskes ut."

I stedet introduserer rapporten en sortering i ulike kategorier ut fra om kriminaliteten er rettet mot datasystemer, om dataverktøy er en sentral muliggjører for kriminaliteten, eller om dataverktøy har en mer supplerende rolle. Rapporten beskriver:

• Kriminalitet mot datasystemer, som skiller seg fra annen cyberkriminalitet ved at den retter seg direkte mot et datasystem, framfor mennesker som bruker datasystemer eller informasjon som er lagret på datasystemer. Eksempler inkluderer datainnbrudd og digitalt skadeverk.
• Kriminalitet utført i datasystemer, som er kriminalitet som retter seg mot menneskene som tar i bruk datasystemer eller informasjon som er lagret på datasystemer. Eksempler er generering av syntetisk overgrepsmateriale og kryptosvindel. Dette er kriminalitet som ikke angriper datasystemer direkte, men som ikke kan begås utenfor det digitale rom.
• Kriminalitet begått med datasystemer er kriminalitet som begås i det digitale rom, men som like gjerne kan begås utenfor. Eksempler på dette kan være kjærlighetsbedragerier, salg av narkotika, seksuell utpressing og hatefulle ytringer i sosiale medier. 
• Kriminalitet supplert av datasystemer er tradisjonell kriminalitet som begås i det fysiske domenet, men som benytter datasystemer som en støtte. Dette er former for kriminalitet som primært faller utenfor cyberkriminalitetsbegrepet, men her kan det være glidende overganger.

Allianser av cyberkriminelle nettverk

Et interessant utviklingstrekk som også omtales i rapporten er hvordan noen grensekryssende organiserte cyberkriminelle nettverk allierer seg med andre organiserte cyberkriminelle nettverk, og blir enda farligere. Det kan for eksemel være for å få enda høyere treffsikkerhet når det gjelder såkalte "løsepengevirus" (Ransomware as a service, RaaS):

"I 2025 er det observert at internasjonalt etablerte cyberkriminelle nettverk har gått sammen om å danne større koalisjoner av løsepengevirus-som-handelsvare-operasjoner. (LSH-operasjoner). Flere av løsepengevirusvariantene som nå inngår i de nydannede koalisjonene er blitt brukt i angrep på norske virksomheter i løpet av 2025. (...) For en av koalisjonene som er dannet i 2025 og som nå omtaler seg som Scattered Lapsus$ Hunters, rapporteres det blant annet om større bredde i trusselaktørens teknikker for å skaffe seg aksess til virksomheters systemer. Hva dette innebærer til det fulle er noe uklart, men det rapporteres om at grupperingen benytter voice-phishing mot ansatte i virksomheter, for derigjennom å skaffe seg aksess til systemer og data"

Kunstig intelligens er også omtalt i rapporten som en teknologi i rask utvikling som kan utvide mulighetene for organiserte kriminelle kraftig. Rapporten slår fast at det på samme måte som KI automatiserert prosesser og oppgaver for virksomheter, har KI også automatisert en rekke kriminelle oppgaver: 

"...som omgåelse av sikkerhetsfiltre, sammenstilling av store mengder data, skalering, forfalskning, oversettelse og tilpasning av tekst og tale, koding, pentesting og målutvelgelse. KI benyttes til å gjøre de kriminelle handlingene vanskeligere å oppdage, både gjennom å finpusse på programkode og prosesser, men også ved å innføre større variasjon i angrepene, slik at man i mindre grad kan lene seg på gjenkjennbare mønstre i forsvar mot kriminaliteten. I tillegg har den sosiale manipulasjonen i det siste blitt langt mer overbevisende både innen lyd, bilde og video."

Dette er fjerde gangen Kripos gir ut en slik årlig rapport om digital kriminalitet. Det er et viktig kunnskapsbidrag til forståelsen vår av situasjonsbildet når det gjelder trusler mot innbyggere, virksomeheter og materielle verdier. Og det er et viktig bidrag til en diskusjon om hvor Politiet skal prioritere innsatsen på kort og lang sikt.

Norsk suksess i EUs forsvarsfond

Det europeiske forsvarsfondet EDF får en stadig viktigere rolle i forskning og innovasjon for forsvarsformål. Vekst i forsvarsbudsjerttene, en rask teknologiutvikling med droner, autonomi og KI, og et ønske om flere europeiske fellesprosjekter, gjør at EDFs strategiske betydning er blitt større. Det har også mulightene for forsvarsindustri, anvendte forskningsinstitutter og næringsliv som har relevante bidrag innenfor EUs prioriteringer.

Forsvarets forskningsinstitutt (FFI) har en gladsak på nettsidene sine om hvordan norske bedrifter gjør det svært godt i tildelingene fra EDF. Selv om Norge ikke medlem i EU, er vi med i EDF på samme måte vi også er med i EUs generelle forskningsprogram Horisont Europa, og digitalprogrammet DIGITAL. I den siste tildelingen av 12 milliarder kroner fordelt på 57 prosjekter, er det Norske aktører med i 16 av disse prosjektene. FFI skriver at:

"Totalt deltar 19 norske aktører i 16 ulike prosjekter i denne runden. Dette inkluderer alt fra store lokomotiv som Kongsberg Defence & Aerospace, som er med i hele sju prosjekter, sentrale forskningsmiljøer som Sintef og Norsk Regnesentral, og mindre teknologibedrifter. Denne bredden er viktig for Norge og for FFI. At flere viktige aktører fra industri og forskning lykkes i EDF, styrker det norske «forsvarstriangelet» – bestående av myndigheter, industri og forskning – slik at Norge får maksimalt utbytte av de milliardene som nå investeres i europeisk sikkerhet."

Anerkjennelse av norske spissmiljøer 

Det å nå opp med mange deltakere og i mange prosjekter i slike internasjonale tildelinger er en viktig anerkjenelser av at norske forskningsmiljøer og bedrifter. Våre kompetansemiljøer innenfor forsvarsindustri er helt i front når det gjelder utvikling av fremtidens militære kapasiteter, også når det gjelder cyberforsvar, droner, robotikk og KI. Forsvarets forskningsinstitutt (FFI) er med på to prosjekter selv. Sintef Ocean, Norsk Regnesentral og NTNU er andre forskningsmiljøer som er tildelt prosjekter.

Store forsvarsleverandører som Kongsberg Defence & Aerospace (KDA), Kongsberg Maritime, NFM og Teleplan Globe er blant de som er inne i prosjekter som har nådd opp, men også noen mindre norske spissmiljøer er med. Og jeg synes naturligvis at det er særlig gledelig at Halogen er blant de mindre leverandørerne som har nått opp i konkurransen, med et samarbeidsprosjekt som heter MIDAS, om anvendelse av kunstig intelligens på en sikker måte. FFI skriver at:

"Innenfor kunstig intelligens og fremtidens teknologi skal Norsk Regnesentral utvikle sikre språkmodeller for forsvaret i LLM Secret, mens Halogen skal jobbe med MIDAS-prosjektet for å lage smarte og trygge grensesnitt for AI-dialog."

Inneværende programperiode i EFD går mot slutten, og jeg antar at neste periode fra 2028 vil øke de felleseuropeiske satningene på å styrke Europas forvarsevne gjennom forskning, innovasjon og teknologiutvikling ytterligere. I alt brukes det rundt 90 milliarder kroner for perioden 2021–2027, med et klart om å redusere fragmenteringen av det europeiske markedet og gjøre europeisk industri mer konkurransedyktig gjennom samarbeid. 

Mye har skjedd siden dagens EDF-periode ble besluttet, og den sikkerhetspoliktiske situasjonen er blitt langt mer krevende, både på grunn av Russland og USA. Noe som gjør at EDF, eller en etterfølger av EDF, vil ha enda større strategisk betydning, både for europeisk forvarssamarbied og som en del av EUs felles industri- og konkurranseevnepolitikk. Her er en artikkel som sier litt om denne prosessen og arbeidet som må gjøres for å få på plass en nytt flerårig EU-budsjett.

Donald Trump, Europa og Grønland

Helgens The Economist oppsummerer forrige ukens meningsutvekslinger i Davos, og hva de kan bety for den videre utviklingen i forholdet mellom USA og Europa. Denne gangen truet Europa med mottiltak mot amerikansk toll og maktbruk. Det fikk børskursene til å falle, og Trump rygget tilbake. 

Det er ikke sikkert det blir like enkelt neste gang. Lederartikkelen i The Economist, med overskriften "The true danger posed by Donald Trump", oppsummerer det slik:

"The moral is that, to get America’s president to retreat, you have to convince him that you will impose a price on him. In most of their dealings with Mr Trump, European leaders have treated him with sycophancy truffled by the odd, muted objection. This time, they were more assertive and it worked.

That is where the good news ends. At Davos Mr Trump talked about owning Greenland—which means that he could yet seek leverage by reviving tariffs or even the threat to use force. Even if he doesn’t and America and Denmark successfully negotiate a revised treaty that remains short of sovereignty, Europeans should heed the language in his speech. It betrayed an ominous contempt for Europe and for the value to America of the transatlantic alliance as it works today."

Grønland eller Europa?

Er hovdproblemet at Donald Trump vil ha Grønland eller er han først og fremst så misfornøyd med Europa at han vil gjøre hva som helst for å plage og skade EU og europeiske land? Grønland var ikke viktig nok til å bli nevnt i den nye sikkerhetsstrategien USA har produsert, med den såkalte "Donroe-doktrinen", og det meste USA antyder at de ønsker å gjøre mer av på Grønland (blant annet militærbaser og mineraler), er fullt mulig å få til uten noen militær eller økonomisk konflikt med verken Danmark eller Europa, skriver The Economist. 

Så det handler nok mest om Europa, men for å helgardere har The Economist skrevet lange artikler både om Grønlands rolle og betydning når det gjelder militær aktivitet (veldig liten) og utvinning av mineraler (veldig liten), og en artikkel om hva det vil bety for sikkerheten om USA og Europa sklir fra hverandre og ikke stole på hverandre eller samarbeide med hverandre om infrastruktur, teknologi eller militære anskaffelser.

For å ta det siste først: Den allerede nevnte lederartikkelen analyserer og spekulere i hva det kommer til å koste, og hva det vil bety for sikkerheten globalt, i USA og i Europa, og vi sklir lengre fra hverandre. Det er ikke bare Europa som vil tape på det. I motsetning til det Donald Trump ser ut til å tro, er det først og fremst Kina og Russland som tjener på et mer konfliktfult mellom USA og Europa, og en situasjon der USAs adminsitrasjon arbeider for å sette europeiske land opp mot hvandre. For USA vil det kunne være svært skadelig å føre en politikk der de ikke kan stole på sine allierte.

Europa som irritasjonsmoment for Trump

I en litt lengre breifing med tittelen "Donald Trump’s expansionist itch has undermined global security" (bak betalingsmur), går The Economist videre når det gjelder å beskrive hvordan EUs mottiltak er innrettet når det er snakk om økonomiske motreaksjoner fra USA eller andre land. Det ble ikke nødvendig denne gangen, men det er jo ikke akkurat slik at uenigheten mellom Europa og USA er over. Brått blir det en ny situasjon som kan utløse kraftige virkemidler på  begge sider. The Economist skriver at:

"Some European leaders wanted to go much further. France’s president, Emmanuel Macron, suggested that the EU invoke its most powerful economic weapon, the anti-coercion instrument (ACI). This mechanism, which has never been used, would have allowed the EU not simply to adopt matching tariffs in response to America’s, but to resort to completely different forms of retaliation, from cancelling banking licences to restricting exports of the machines used to make advanced computer chips (a business in which ASML of the Netherlands has a monopoly)."

Denne artikkelen trekker også frem hvordan USA i dag er avhengige av tilgang til andre lands baser, blant annet tyske og britiske, for å utøve sin militære makt i ulike deler av verden, enten det er i Venezuela eller i Midt-Østen. Å erstatte disse avtalene med andre måter å håndtere tilgang til forsyninger og infrasturktur vil være både vanskelig og dyrt, og det vil ta lang tid å få disse alternativene på plass. 

Grønland

En egen lengre artikkel gjør et dypdykk i hva Grønland betyr for USA, og hvor totalt ulogisk Donald Trumps politikk er. Artikkelen heter "Donald Trump’s grab for Greenland makes no sense" og går blant annet gjennom hvor mye drift av Grønland koster, med Danmarks generøse velferdsordninger, hvor mye drift av flere militærbaser vil kunne koste, og hvor dyrt og krevende mineralutvinning er i Arktis generelt, og på Grønland spesielt. Det er jo stort sett slik at både baser og gruver har stengt ned de siste årene og ikke åpnet opp. Selv den siste tidens apetitt på sjeldne jordmetaller har gitt beskjedne resultater på Grønland. The Economist skriver:

"Yet the odds of a mining bonanza are low. Glaciers cover about 80% of the island, making exploration and development of mines costly and difficult. Greenland’s transport infrastructure is meagre: no two towns are connected by road, limiting mining to coastal areas accessible by ship. During the 20th century no fewer than 18 mines shut down, often because of high costs or logistical problems. Today the island has just two working mines. Nalunaq is a gold mine that was shut in 2014 and reopened in 2024 because of a surge in the bullion price. The other, White Mountain, produces anorthosite, an input for fibreglass and paint. It has faced all manner of challenges."

Og:

"Perhaps the closest comparable construction project to building a new Arctic base is the Mary River mine, for which the transport infrastructure alone cost $1.25bn. One American official reckons it would cost $20bn-30bn to build and maintain five bases in Greenland. Add to that the roughly $10bn in present-value terms it would cost to continue Denmark’s generous payments to the population over the next 30 years, taking ownership of Greenland looks like a decidedly poor financial deal. These costs, although unnecessary, would be affordable for an economy as big as America’s, but the harm a takeover would do to America’s security and standing in the world would be incalculable. The closer you look at what Mr Trump no doubt views as the property deal of the century, the more it seems like many of his hotel and casino projects in the 1990s and 2000s: flashy at first glance, but so laden with debt and hidden costs that they soon became fiascos"

I følge The Economist er det slik at det er ganske stor russisk og kinesisk aktivitet i luften og på sjøen i Arktis, men at dette i all hovedsak foregår rundt Alaska og i veldig liten grad rundt Grønland. På lang sikt kan klimaendringene åpne muligheter for nye sjøruter for varetransport i Arktis, og kanskje også økt aktivitet på land. Kanskje er dt også slik at knapphet på mineraler vil gjøre Grønland mer attraktivt for investeringer, men det er mange steder i verden som fremstår som betydelig enklere når det gjelder vær, natur og logistikk. Den lave og nedadgående aktiviteten der i dag kan tyde på at det ikke er noen store satsinger rett rund hjørnet.

Mark Carneys tale i Davos

Canadas statsminister Mark Carney holdt en helt glimrende tale i Davos denne uken, den beste jeg har hørt på vedlig lenge. Men hva er det som gjør denne talen så god?

 

Mark Carney tale er blitt hyllet av mange, på begge sider av Atlanteren fordi den setter ord på hva det er som er det problematiske i den nye geopolitiske verdensordenen. Han nevner ikke Trump ved navn, og knapt nok USA, men beskriver systemegenskaper ved gode og dårlige internasjonale økonomiske, politiske og sikkerhetsfremmende systemer.

Flere mener at denne talen vil bli stående som en tidsmarkør, både for i form av erkjennelsen av at den gamle ordenen ikke kommer tilbake. Men forhåpentligvis også oppstarten på en ny fase der det ikke er alengang og isolasjon, og heller ikke underdanighet under noen få stormakter som gjelder, men en tidsmarkør for når en del likesinnende land startet det vanskelige arbeidet med å finne veien nye måter å ivareta liberale, demokratiske og frihandelsvennlige verdier. Ikke en nostalgisk lengten etter det som var, men en langsiktig byggeprosess for å bygge noe nytt og enda bedre.

Innholdet i talen treffer så utrolig presist når det gjelder hva den vestlige verdens mellomstore og små land har blitt viklet inn i av problemer, og hvordan veien til å vikle seg ut av disse problemene må se ut. Talen beskriver, veldig overordnet naturligvis, prinsippene for en farbar vei til en ny og bedre verdensorden. Jeg tenker at det i hvert fall er fire ting i dette det er viktig å løfte frem:

1. Vaclav Havel og keiserens nye klær

Det første og mest opplagte er Mark Carneys elegante måte å bruke Vaclav Havel til å trekke en parallell til et stort og dysfunksjonelt regime som levde i selvfornektelse, den kommunistiske østblokken. Ingen der ville ta beslastningen det var å si høyt  det alle visste, at keiseren ikke hadde  klær. Det er fryktelig ubehagelig å være den som foreteller sannheten når man er den eneste som gjør det. Men når noen andre gjør det først så det lettere, og ikke lenger mulig å late som ting er i orden.

Nå tror jeg kanskje ikke at Donald Trump har lest eller forstått verken Vaclav Havels politikk eller hans forfatterskap, men det har selvfølgelig Mark Carney gjort, og mange andre som besøker Davos i januar hvert åt. Det å bruke kommunismens ganske plutselige og fredelige kollaps, fordi ingen lenger trodde på det den hevdet var sant, er jo ikke så dumt for en canadier som besøker Europa:

"In 1978, the Czech dissident Václav Havel, later president, wrote an essay called The Power of the Powerless, and in it, he asked a simple question: how did the communist system sustain itself? And his answer began with a greengrocer.

Every morning, this shopkeeper places a sign in his window: ‘Workers of the world unite’. He doesn't believe it, no-one does, but he places a sign anyway to avoid trouble, to signal compliance, to get along. And because every shopkeeper on every street does the same, the system persist – not through violence alone, but through the participation of ordinary people in rituals they privately know to be false.

Havel called this “living within a lie”. The system's power comes not from its truth, but from everyone's willingness to perform as if it were true, and its fragility comes from the same source. When even one person stops performing, when the greengrocer removes his sign, the illusion begins to crack. Friends, it is time for companies and countries to take their signs down."

Toppmøtet i Davos ble et slikt øyeblikk der flere meldte seg på innsatsen for å ta ned disse plakatene og si hva de egentlig mener om tingenes tilstand. De nordiske statsministrene og utenriksministrene bidro sterkt til dette, både når det gjelder Grønland og fredsprisen, mens britenes finansminister Rachel Reeves var i en paneldiskusjon med Trumps handelsminister Howard Lutcnick der hun forklarer han at internasjonal handel og arbeidsdeling faktisk skaper verdi, både for de som kjøper og for de som selger varer og tjenester.

2. Det gamle regelbaserte systemets har brutt sammen

Det andre Carney formulerer så elegant er hvordan det å ha et regelbasert internasjonalt bygget på samarbeid er mye lurere enn å ikke ha et slikt system, selv om det ofte kunne oppleves som asymmetrisk, og selv om det noen ganger har vært slik at de store hadde mer makt enn de små. Men prinsippet om at alle skulle behandles likt, og at det har vært insitusjoner og organisasjoner som skulle passe på dette, har gitt de små muligheter og handlingsrom de ikke har i det gangsterlignende regimet som har tatt over:

"This bargain no longer works. Let me be direct. We are in the midst of a rupture, not a transition. Over the past two decades, a series of crises in finance, health, energy and geopolitics have laid bare the risks of extreme global integration. But more recently, great powers have begun using economic integration as weapons, tariffs as leverage, financial infrastructure as coercion, supply chains as vulnerabilities to be exploited."

"You cannot live within the lie of mutual benefit through integration, when integration becomes the source of your subordination. The multilateral institutions on which the middle powers have relied – the WTO, the UN, the COP – the architecture, the very architecture of collective problem solving are under threat. And as a result, many countries are drawing the same conclusions that they must develop greater strategic autonomy, in energy, food, critical minerals, in finance and supply chains. And this impulse is understandable. A country that can't feed itself, fuel itself or defend itself, has few options. When the rules no longer protect you, you must protect yourself."

 3. Det er ikke lurt å skade sine venner

Det tredje Mark Carney beskriver på en presis måte er hvorfor det ikke lønner seg i lengden å skade og plage sine beste venner, selv om de er mindre og svakere og man kan vinne små seire underveis. Den transaksjonelle måten å forholde seg til andre kan kanskje virke fristende når man er sterk og ikke spesielt opptatt av juridiske eller moralske grenser, eller av historiske bånd, men det som gjør det mulig å hente ut transaksjonelle gevinster forvitrer over tid. Transaksjonene blir mindre og mindre verdt. Gevinsten avtar fordi landene som alltid taper på transaksjonene vil måtte finne andre og bedre strategier, og andre venner. 

Ikke alt har vært perfekt med det internasjonale regelbaserte systemet. Det har vært vært lettere å være stor og sterk enn liten og svak. Men det har fungert såpass godt å samarbeide med sterkeste innenfor et internasjonalt system av verdier, rettigheter og regler, med tilhørende samarbeidsorganisasjoner og allianser, at fordelene har vært langt større enn ulempene. Når ting blir snu opp ned, og det er fare for at det nettopp er disse avhengigheten som medfører skade, kan de ikke overleve over tid. De må byttes ut med noe bedre.

"But let's be clear eyed about where this leads. A world of fortresses will be poorer, more fragile and less sustainable. And there is another truth. If great powers abandon even the pretense of rules and values for the unhindered pursuit of their power and interests, the gains from transactionalism will become harder to replicate. Hegemons cannot continually monetize their relationships.

"Allies will diversify to hedge against uncertainty. They'll buy insurance, increase options in order to rebuild sovereignty – sovereignty that was once grounded in rules, but will increasingly be anchored in the ability to withstand pressure. (...) Collective investments in resilience are cheaper than everyone building their own fortresses. Shared standards reduce fragmentations. Complementarities are positive sum. And the question for middle powers like Canada is not whether to adapt to the new reality – we must. The question is whether we adapt by simply building higher walls, or whether we can do something more ambitious.

Det er flere eksempler på at dette har begynt å skje praksis. På handelsavtaleområdet, som Carney trekker frem i talen, velger mange land å diversifisere hvem man handler med. Når det gjelder forsvarssamarbeid, og strategier for innkjøp av forsvarsmateriell, er det et forsterket samarbeid mellom europeiske land, et samarbeid Canada ønsker å koble seg tettere på. Og vi ser naturligvis dette skjer på det digitale området, der avhengighet av noen få plattformselskaper, og man i realiteten må velge mellom USA og Kina, framstår som veldig mye mer risikabelt enn tidligere. Da er det naturligvis slik at man må finne sammen for å utforske alternative strategier, for økt resiliens og redusert risko.

4. De mellomstore demokratiene må vise vei

En verden med nye festninger og nye handelshindringer vil være fattigere, mer usikker og mindre bærekraftig, i følge Carney, og han lover at Canada vil ta et medansvar for å verden gjør det som er nødvendig for å bygge noe sammen som beskytter mot de nye truslene og usikkerhetene. Det bør ikke være høyere murer og mer nasjonal alenegang, men være en felles investering i å beskytte oss sammen. Hvis vi ikke setter oss sammen rundt bordet, og selv tar ansvar for å gjøre noe, er det noen andre som sitter ved bordet, og vi blir deres måltid, sa Mark Carney:

"Argue, the middle powers must act together, because if we're not at the table, we're on the menu. But I'd also say that great powers, great powers can afford for now to go it alone. They have the market size, the military capacity and the leverage to dictate terms. Middle powers do not. But when we only negotiate bilaterally with a hegemon, we negotiate from weakness. We accept what's offered. We compete with each other to be the most accommodating.

 This is not sovereignty. It's the performance of sovereignty while accepting subordination. In a world of great power rivalry, the countries in between have a choice – compete with each other for favour, or to combine to create a third path with impact. We shouldn't allow the rise of hard power to blind us to the fact that the power of legitimacy, integrity and rules will remain strong, if we choose to wield them together."

Og avslutningsvis sa han noe viktig om å erkjenne at den gamle måten å gjøre ting på ikke kommer tilbake. Når veien videre ikke er veien tilbake, må ambisjonen være å skape noe enda bedre:

"We know the old order is not coming back. We shouldn’t mourn it. Nostalgia is not a strategy, but we believe that from the fracture we can build something bigger, better, stronger, more just. This is the task of the middle powers, the countries that have the most to lose from a world of fortresses and the most to gain from genuine co-operation. The powerful have their power. But we have something too: the capacity to stop pretending, to name realities, to build our strength at home and to act together."

Canadas statsminister er konkret på mye av det Canada selv er i gang med jobben med reposisjonere seg når det gjelder handel og sikkerhtssamarbeid, for å redusere risko. Han var også konkret på elementer i dette: samarbeid med Norden om sikkerhet og ressurser i Arktis, med blant annet Europa, India og Sør-Amerika om nye handelsavtaler, og med EU om innkjøp av forsvarsmateriell. Det han foreløpig ikke kan være like konkret på er hvordan den institusjonelle delen av et slikt revitalisert samarbeid skal se ut, og hvilke land som skal være med på hva, og hvordan. Nettopp fordi dette er noe mange land få finne ut av sammen, og som ikke kan dikteres av et enkelt land, eller i bilaterale avtaler mellom supermakter. 

Et nytt cybersikkerhetssenter for næringslivet

Den blide gjengen på bildet til venstre er administrasjonen i Næringslivs sikkerhetsråd (NSR), med direktør Odin Johannessen, lengst til venstre på på bildet, i spissen. Grunnen til at de er så blide er at de har fått beskjed av Nærings- og fiskeridepartementet om at det er inngått et pernerskap der NSR er pekt ut til å være et sektorvist responsmiljø for digital sikkerhet for de i næringslivet som ikke er en dekket av slike ordninger fra før.

Totalberedskapsmeldingen slo fast at det å inkludere næringslivet i sikkerhets- og beredskapsarbeidet nasjonalt, regionalt og i kommunene er avgjørende for både forsvarsevnen og den sivile beredskapen. Nærings- og fiskredepartementet har utstyrt NSR med prosjeketmidler for å komme i gang med etableringen av et cybersikkehretssenter, og skriver blant annet dette i en pressemelding:

"Regjeringen varslet i Totalberedskapsmeldingen at inkludering av næringslivet i sikkerhet- og beredskapsarbeid fremover vil være avgjørende for Norges forsvarsevne. Nærings- og fiskeridepartementet har derfor utpekt Næringslivets Sikkerhetsråd (NSR) som et sektorvis responsmiljø (SRM) for de deler av næringslivet som faller inn under departementets ansvarsområde, og ikke er en del av SRM-ordninger fra før av."

Næringslivets sikkerhetsråds egen nyhetssak om det nye cybersikkerhetssenteret er her. Flere bedrifter og bransjer i Norge er allerede del av sektorvist eller eget responsmiljø. Det gjelder for eksempel energi, rederi, olje og gass, telekom og finans. De vil fortsette som nå. Men ikke alle bedrifter er omfattet av eksisterende ordninger. Det er disse som vil være ivaretatt av det nye senteret, et arbeid som allerede er startet opp og har varslet flere hundre bedrifter om at de er blitt hacket. NSR nevner spesielt reiseliv, mat- og drikkeproduksjon, bygg og anlegg, varehandel, sjømat, konsulentvirksomhet og industri utenom olje og gass som bransjer som vil omfattes av det nye responssenteret..

Og for de som lurer på hvem som står bak Næringslivets sikkerhetsråd så er det bare å forsikre om at det er solide saker. NSR er stiftet av de store hoveorganisasjonene i næringslivet: NHO, Virke, Spekter, Finans Norge og Rederiforbundet. Det er også disse som sitter i styret. I tillegg er det mulig å være direktemedlem i NSR, noe mange bedrifter er for å nyte godt av NSRs ulike medlemstjenester, nettverk og sikkerhetsinformasjon til medlemsbedriftene. Med etableringen av et cybersikkerhetssenter vil NSR ytterligere styrke tjenestetilbudet.

----

Disclaimer 1: Halogen har i løpet av det siste året jobbet tett sammen med NSR., og gjennomført flere verksteder sammen med næringsliv og beredskapsmyndihetene, for å beskrive tjenestetilbudet innenfor et Næringslivets beredskaps- og sikkerhetssenter (NBSS). Aktuelle tjenester i et slikt senter, i tillegg til det digitale responsmiljøet, er ressursmobilisering fra næringlivet i en krisesituasjon, kanaler for kommunikasjon mellom myndigheter og næringsliv for å få viktig informasjon til de som trenger den, samarbeid mellom profesjonelle sikkerhetsmiljøer på tvers av bransjer i næringslivet, og støtte til næringslivsrepresentasjon i myndigehtsorganer på ulike nivåer som oppfølging av Totalberedskapsmeldingen.

Disclaimer 2: Da jeg var leder i Abelia var jeg styremedlem og i flere år styreleder i Næringslivets sikkerhetsråd (frem til 2013). Det er noen år siden nå, men jeg er veldig opptatt av det viktige arbeidet de gjør, og glad for at de er blitt en større organisasjon. Nå som myndighetene øker sin støtte til den operative delen av arbeidet i NSR er det viktig at også næringslivsorganisasjonene stiller opp for å styrke og videreutvikle beredskapsrollen til NSR

Draghi på norsk - Veien til vekst

NHO har tatt mål av seg til å lage den norske utgaven av EUs Draghi-rapport (som jeg skrev om og lenket til her på bloggen). NHO-rapporten heter "Norsk konkurransekraft - Veien til Vekst" og bli lansert tidlig i august.

Navnet på rapporten forteller at dette er ment å være både en analyse av norsk konkurranseevne sammenlignet med andre land, og noen anbefalte tiltak som skal ivareta "veien til vekst" hvis de blir gjennomført. Den første delen av oppgaven er godt løst. Analyse- og dokumentasjonsdelen er omfattende og gir solide beskrivelser av Norges produktivitetsutvikling, utviklingen i ulike bransjer, og sammenligninger med andre land.

Bransjen som mangler

Fordi Norge er Norge, er rapporten naturligvis farget av at norsk økonomi og næringsliv fremdeles er sterkt preget av en kapitalintensiv olje- og gassnæring. Den næringen vil imidlertid ta mye mindre plass i norsk økonomi fremover, både fordi det gjøres langt færre store oljefunn, og fordi vi skal oppfylle noen ambisiøse nasjonale og europeiske klimamål.

Men så er det også slik at NHO-rapporten i likehet med Draghi-rapporten vier stor plass til "bransjen vi mangler". Bedrifter i den mest forsknings- og teknologintensive delen av næringslivet som driver med KI, robotisering, automatisering, livsvitenskap, kvantedatamaskiner eller nye forskningsintensive energiteknologier. Nå er det ikke slik at dette er bransjer og bedrifter som mangler helt i Norge, men de utgjør en veldig mye mindre del av økonomien enn i både USA og i resten av Norden. NHOs rapport slår fast at:

"Høyteknologiske næringer har vært en viktig driver for veksten i mange av verdens rikeste land, og det er i teknologifronten veksten og lønnsomheten er størst. I tillegg ventes 70 prosent av fremtidig økonomisk vekst å være knyttet til digitalisering. Norge er et av verdens mest digitaliserte samfunn, og norske bedrifter har høy grad av digitalisering og automatisering. Fremtidig vekst i Norge er likevel hemmet av at den høyteknologiske næringen er liten. Dette slår blant annet ut i et svært lavt antall patentsøknader, særlig innenfor avanserte teknologier. Norske bedrifter henger også etter i å ta bruk den nyeste teknologien. Andre nordiske land ligger foran i bruk av kunstig intelligens."

Tre avgjørende innsatsområder

Rapporten er godt utstyrt med gode tall og figurer som viser hvordan gapet mellom USA og Kina, på den ene siden, og EU på den andre siden, øker, og hvordan det er slik at selv om Norden ellers gjør det bedre enn EU, så er Norge mer som et vanlig EU-land, med en lav- eller middels teknologi- og forskningsintensitet i næringslivet. Rapporten dokumenterer hvordan Norge i økende grad henger etter på viktige områder, og står i fare for å tape ytterligere terreng. Dette slår også ut i at verdien av norske selskaper ikke holder følge med verdiutviklingen i våre naboland:

"Veksten i norsk økonomi har bremset opp, og Norge har hatt en svakere økonomisk utvikling enn mange sammenlignbare land de siste årene. Vår gjennomgang viser også at de største norske selskapene gjør det svakere enn de største selskapene i andre nordiske land. Av de 50 største selskapene i Norden, er den relative markedsverdien til de norske selskapene mer enn halvert siden 2005. Det er indikasjoner på at det kan være mer krevende for de norske selskapene å vokse videre. Norske vekstselskaper virker også å være mindre verdt enn vekstselskapene i de andre nordiske landene."

NHO har i denne rapporten vært flinke til å ikke spre seg på alt fra samferdselsprosjekter til boligpolitikk, men i stedet spisse oppmerksomheten mot de samme tre temaene som Draghi-rapporten løfter frem:

• Styrking av forsknings- og innovasjonsinnsatsen i næringslivet og samfunnet.
• Behovet for en energiomstilling for å bygge grønn konkurransekraft. 
• Økt motstandsdyktighet i en mer urolig og utrygg verden. 

Det at Draghi-rapportens prioriteringer har disiplinert et NHO som ellers gjerne føler behov for å mene litt om alt, og etterlyse statlige penger til mye, er en god ting. Så er det ikke sikkert denne tematiske konsentrasjonen overlever når statsbudsjettet legges frem. Men kanskje leder arbeidet med denne rapporten til en viss konsistens i krav og posisjoner, der det som har mest betydning for konkurransekraft, produktivitetsnivå og bærekraftig velferd er høyere prioritert enn ting som er mindre viktige.

Forskning og innovasjon

Det første og største av de tre hovedtemaene i rapporten handler om grunnlaget for innovasjon og produktivitetsutvikling, ganske bredt definert. Selv om både næringsliv og innbyggere i Norge ofte er tidlig ute med å ta i bruk ny teknologi, og vi er et av de mest digitaliserte landene i verden, er det i mindre grad slik at verdensledende digitale bedrifter blir født og vokser seg store i Norge.

I dette hovedkapitlet er det egne delkapitler om svakheter i forsknings og innovasjonssystemet, om problemer med tilgang på risikokapital, om mangelfull kompetansetilgang til næringslivet på viktige områder og om svakheter i samspillet mellom offentlig forvaltning og næringsliv. Om forskning og innovasjon sår det for eksempel at:

"For å hevde seg i den internasjonale konkurransen og bygge nye, produktive næringer, er sterke forskningsmiljøer og et tett samarbeid mellom forskningsmiljøer og næringslivet avgjørende. Internasjonalt øker næringslivets investeringer i FoU. Eksempelvis har USA økt FoU-andelen av BNP med rundt 50 prosent på få år, mens Norge ligger på et stabilt, lavt nivå. Norge har samtidig en svært spredt universitets- og høgskolesektor, med få elitemiljøer. Flere indikatorer tyder også på at samarbeidet mellom akademia og næringslivet er mindre utviklet i Norge enn i andre land."

Og om mangelfull tilgang til risikokapital:

"Venturekapital som andel av BNP er svært lavt i Norge, på tross av offentlig innsats for å øke kapitaltilgangen i denne fasen. Eierskapet i Norge er i stor grad preget av offentlig og utenlandsk eierskap, med en forholdsvis liten aksjebeholdning blant norske husholdninger. Høy eierbeskatning og sterke insentiver for investering i egen bolig fremfor aksjer har bidratt til at det norske eiermiljøene ikke har nok dybde og løfteevne."

Når det private norske eierskapet i næringslivet er så lite sammenlignet med land rundt oss, er det i hvert fall temmelig dumt å ha bedre rammevilkår for utenlandske eiere enn for norske eiere, slik vi har gjort med formuesskatten. 

Det grønne skiftet 

Andre hovedtema i rapporten er energi og miljø. Når det gjelder ambisjonsnivået for klimainvesteringer er rapporten opptatt av at markedet for klimavennlige varer og tjenester både virker og ikke virker, og at denne markedsumodenheten bremser på en del områder:

"Kunder etterspør i økende grad varer og tjenester med lavere klimaavtrykk, og økt karbonprising gjør utslippskutt mer lønnsomt for flere virksomheter. Samtidig er det en felles utfordring for både Norge og Europa at mange klimainvesteringer er bedriftsøkonomisk ulønnsomme og har høy risiko, både økonomisk og politisk. Markedene er umodne, innsatsfaktorene er begrenset, infrastrukturen lite utviklet, teknologien ofte mer kostbar, og betalingsviljen mangler."

Dette avsnittet kan jo høres ut som en selvmotsigelse, for hvordan kan det være økt etterspørsel fra kunder etter noe det ikke er betalingsvilje for? Men her er poenget at det på samme måte som med forskningsbaserte innovasjoner og teknologiutvikling kan være en markedssvikt i tidlig fase i overgangen til noe nytt, og at myndighetene kan spille en rolle i å skape insentiver for innovasjon og mer forutsigbarhet 

Det andre underpunktet handler om behovet for mer kraft når Norge går fra kraftoverskudd til kraftunderskudd:

"De siste årene har det tilkommet lite ny kraftproduksjon og lønnsom ny kraftproduksjon har blitt mer omdiskutert. Basert på reserverasjoner i nettet for nytt kraftforbruk- og kraftproduksjon vil vi gå fra et betydelig kraftoverskudd til -underskudd rundt 2030. I tillegg er nettkapasiteten sprengt i store deler av landet."

Akkurat hvor stort dette kraftunderskuddet kommer til å bli i årene som kommer, og hvor mange nye batterifabrikker og hydrogenproduksjonsanlegg det vil bli i årene som kommer, er det ikke helt enkelt å fastslå. Ulike rapporter sier ulike ting, men den diskusjonen får jeg heller komme tilbake til senere her på bloggen. NHO-rapportens syn er at det må bygges mye og raskt når det gjelder både produksjon og nett.

Næringslivets rolle i totalberedskapen

Det tredje tematiske hovedkapitlet i rapporten handler om behovet for redusere sårbarheter og styrke beredskapen i en mer usikker verden. Det er delt i to. Den første delen er om handelskonflikter og opptrapping av toll som rammer en åpen og eksportorientert økonomi som den norske særlig hardt. Noe som også gjør at Norges avhengighet av EU blir langt sterkere enn før, og paradoksalt nok gjør det norske utenforskapet oss ekstra sårbare, og avhengige av EU:

"Mer enn tre firedeler av vår eksport går til Europa, det meste til EU. Det betyr at EUs utvikling og initiativer påvirker norsk næringsliv både direkte og indirekte. Samtidig går integrasjonsprosessene i Europa raskere enn det vi greier å holde tritt med, og i økende grad også på utsiden av EØS-avtalen. Det betyr at norske bedrifter ikke alltid har det samme regelverket som europeiske bedrifter, og i enkelte tilfeller må også norske bedrifter vente lenger på at det nye rammeverket kommer på plass enn mange andre europeiske land."

Den andre delen av dette hovedkapitlet om sårbarheter og sikkerhet handler om nasjonal sikkerhet og berededskap. Det er et viktig kapittel i rapporten, der det slås tydelig fast at næringslivet vil få en stadig viktigere rolle når det gjelder nasjonal sikkerhet, og også er inntilt på å ta denne rollen. 

"Bedriftene må og vil ha en langt mer betydningsfull rolle enn tidligere, der det legges til rette for en sterkere samhandling med Forsvaret og beredskapsmyndighetene. Dette ble også tydelig fremhevet av Totalberedskapskommisjonen, som pekte på at private aktører eier betydelige andeler av kritisk infrastruktur i Norge. Dette inkluderer sektorer som energi, transport, telekommunikasjon, finans og vannforsyning."

Rapporten er konkret på at næringslivet må gjøre mer i samarbeidet med sikkerhetsmyndigehtene, og at det bør skje gjennom samarbeidet i Næringslivets sikkerhetsråd (NSR), som omfatter hele det organiserte næringslivet, med NHO som den største eieren. Ambisjonen er å videreutvikle dette til noe mer enn en faglig møteplass og en informasjons og påvirksningskanal mot myndigehtene, men også ha en mer operativ rolle:

NHO er en av stifterne av Næringslivets Sikkerhetsråd (NSR). Det gir råd til næringslivet innenfor aktuelle sikkerhetsspørsmål. Med dagens komplekse trusselbilde, kreves forebygging av sikkerhetstrusler gjennom informasjonsdeling, samarbeid, kompetanseheving og nettverk. NSR har som ambisjon å etablere Næringslivets Sikkerhets- og beredskapssenter (NBSS), for å styrke arbeidet med felles situasjonsforståelse i næringslivet og være et responssenter og bindeledd mellom bedrifter og myndigheter.

Staten kan ikke løse alt

Jeg har vært inne på at "Veien til vekst" er sterk på analyser og dokumentasjon av ulike årsaker til at Norge taper konkurransekraft. Samtidig er den ganske blodfattig når det gjelder tiltak for å snu den negative utviklingen den beskriver. Mens det når det gjelder sikkerhet og beredskap er slik at NHO beskriver hva næringslivet skal gjøre mer av, sammen, er det få tilsvarende aksjonspunkter når det gjelder for eksemåpel forsknings og innovasjon. Nesten alle tiltak handler om at staten skal gjøre ting og bruke mer penger på ting.

Hvert delkapittel i rapporten avsluttes med en side med tiltak. Alle de fem tiltakene om forskning og innovasjon (side 42) peker på hva staten skal gjøre, særlig for næringslivet. Alle de seks tiltakene om kapitaltilgang handler om ting myndighetene skal gjøre, men her handler i hvert fall flere av tiltaken om at skatter og reguleringer som skal reduseres eller fjernes for å gi et større handlingsrom for næringsliv og privatpersoner. 

Jeg tror også alle de syv punktene om digitaliseringer og teknologi handler om ting staten skal gjøre, men fordi rapporten bruker bregrepene "Norge" og "vi" ganske raust, kan det hende noe er tenkt som fellessatsninger, men det virker som det er mest stat også her. Og interessant nok sier et av punktene at det er veldig viktig at offenltige data må deles med næringslivet for å få til verdiskaping, men ikke et ord om hvordan private data kan bidra til verdiskaping, heller ikke når data oppstår i virksomheter som jobber for det offentlige eller har konsesjoner fra en myndighet. 

Alle seks tiltak under kunnskap og kompetansebehov er tiltak NHO vil at myndighetene skal gjennomføre. Kanskje litt rart med tanke på den sentrale rollen næringlivet har i fagopplæring og som arena for livslang læring. Under delkapitlet Arbeidslinjen er det seks tiltak. Alle er ting myndighetene bør gjøre bortett fra tiltak for å få folk til å stå lenger i jobb, der også arbeidsgivere arbeidstakere skal bidra. Av hele ni tiltak for å forbedre samspillet mellom myndigheter og næringliv er alle ni ting myndighetene skal gjøre, stort sett ønsker om mindre regulering, men på et lite konkret nivå.

Næringslivets rolle som pådriver og partner

Under det grønne skiftet lanserer NHO fem tiltak (side 101) der man kanskje kan tolke det slik at et av punktene, om sirkulære verdikjeder, handler om noe næringslivet må bidra til selv, mens resten handler om statlige mål, ambisjoner og planer. Alle syv tiltak under energipolitikk handler om hva staten bør gjøre og alle fire tiltak under klimapolitikk handler om ting staten skal gjøre. Og av de 8 tiltakspunktene under handels- og geopolitikk (side 140) er også først og fremst staten som skal gjøre noe. Ja, selv der tiltaket handler om dialog mellom myndigheter og næringsliv mener NHO mest om hva staten skal bidra med i dialogen:

"Styrke dialogen mellom myndigheter og næringsliv om handelspolitikk og tiltak for risikoredusering. Bedriftene trenger tydelige avklaringer, klare rammer og størst mulig forutsigbarhet når nasjonal politikk utvikles i skjæringspunktet mellom handel og nasjonal sikkerhet.

Og for å gjenta det: Rapporten har gode og treffende analyser av hvordan norsk konkurransekraft er svekket. Det er gode grafer og tall som dokumenterer dette på en rekke områder, som kompetansebehov, FoU-investeringer, produktivitetesutvikling, forsknings- og kunnskaskapsintensitet, energiforsyning, grønn omstilling og sikkerhet og beredsskap. Men rapporten hadde fortjent en oppfølger som ikke bare lister opp gode ønsker om hva staten kan gjøre, selv om det også er viktig, men som formulerer hva næringslivets egne bidrag må være.  NHO og deres underskog av landsforeninger og bransjeforeninger og medlemsbedrifter må bidra med mye i omstillingen. Staten og kommunene blir også bedre i stand til å gjøre sin del av jobben når næringslivet bidrar med mer enn ønskelister, og heslt tar en hovedrolle i omstillingen.

Veivalg for Nasjonal sikkerhetsmyndighet

Hva skal Nasjonal sikkerhetsmyndighets (NSM) ha som sine kjerneoppgaver og hvilke oppgaver kan løses bedre av andre? Og enda mer presist: Skal NSM konsentrere seg om oppgaver som har med nasjonal sikkerhet å gjøre, det vil si oppgaver som er beskrevet i sikkerhetsloven? Eller skal NSMs kjerneoppaver ligge i rollen som et bredere nasjonalt fagmiljø på digital sikkerhet? 

Et utvalg ledet av Svein Gjedrem, med flere andre kompetente medlemmer har fått i oppdrag av regjeringen å gå igjennom NSMs oppgaver og styring, men det er utvalget som har valgt å spissformulere gjennomgangen av oppgaver og styring til å særlig handle om dette veivalget. Noe må bort. Enten må hovedansvaret for nasjonal sikkerhet i henhold til sikkerhetslovens innramming flyttes ut. Eller så må digital sikkerhet, i hverfall den som er definert langt bredere, inkludert samfunnsikkerhet, virksomehetssikkerhet og oppgaver som gjelder individsikkerhet, overlates til noen andre.

Gjedrem-utvalg nummer to

Forhistorien til dette utvalgsarbeidet er litt spesielt i den forstand at det for litt over det år siden var slikt at det ble avslørt at NSM hadde tatt opp et grunnlovsstridig lån for å betale for husleie og ombygging av sine kontorlokaler på Fornebu, et lån de ikke hadde et stort nok driftsbudsjett til å betjene. Da dette ble oppdraget, og Stortinget måtte vedra en ekstraordinær bevilgning,  ble det satt ned et hurtigarbeidende utvalg ledet av Svein Gjedrem som undersøkte sakens ulike realiteter, og kom med noen avbefalinger om hvordan det burde ryddes opp. 

Basert på denne første Gjedrem-rapporten om NSMs leie- og låneforhold, som jeg skrev om på bloggen her, kom det to konkrete oppfølginger. En Riksrevisjonsrapport som undersøkte statlige etaters husleiekontrakter generelt for å avdekke om det er flere forhold i strid med regelverket (svar: ja, det var noen). Og denne ekspertutredningen som ble oppnevnt for å beskrive historikk, analysere om NSM fungerer etter hensikten, og som gir anbefalinger om endringer i NSMs oppgaver og styring. 

Kanskje ville aldri dette utvalget og denne rapporten kommet om ikke NSM hadde gjort feil i håndteringen av sine leiekontrakter og låneavtaler. Sånn sett kan det komme en viktig og nødvendig diskusjon og rolleavklaring ut av noe som startet et helt annet sted.

Historien om stadig flere oppgaver

Utvalget har skrever en svært leseverdig rapport som går igjennom NSMs historie, hvordan oppgaveporteføljen har vokst i omfang og bredde i takt med at omgivelser og teknologi endrer seg, også hvordan det jevnlig har kommet nye oppgaver som "noen" må løse, som det ikke er helt opplagt hvor passer inn i statsforvaltningen, og som derfor har havnet i NSM. Helt uavhengig av hva man måtte mene om konklusjonene i rapporten, tenker jeg at denne gjennomgangen både er nyttig og klargjørende. Det er en studie i hvordan oppgaver og ansvar kan "migrere" inn i stadig nye områder. Og den legger premisser veivalg og prioriteringer som uansett må gjøres.

NSM ble opprettet i 2003 og har en historie som er nært knyttet til sikkerhetsloven. Datidens sikkerheteslov kom i 1998. Før NSM fantes lå ditte ansvaret for statssikkerheten hos Forsvarssjefens sikkerhetsstab ved Forsvarets overkommando, men ble overtatt av det nye direktoratet. Forsvaret beholdt selv en kjerne av direkte forsvarsrelaterte oppgaver, men styringen av NSM ple plasert i Forsvarsdepartementet. Så vedtok Stortinget en ny og modernisert sikkerhetslov i 2018 som utvalget beskriver slik:

"Ny sikkerhetslov skulle legge grunnlag for at «vi har de virkemidlene som er nødvendige for å ivareta nasjonale sikkerhetsinteresser og forebygge mot sikkerhetstruende virksomhet». Lovens virkeområde er å ivareta «nasjonal sikkerhet», som omfatter den tradisjonelle statssikkerheten og den delen av samfunnssikkerhet som er av vesentlig betydning for statens evne til å ivareta nasjonale sikkerhetsinteresser. Loven trådte i kraft 1. januar 2019."

I 2018 var vi blitt mye mer opptatt av å beskytte prosesser og verdikjeder som er avgjørende for at samfunnet skal fungere, og ikke bare sikkerhetskritiske objekter. Det er også en helt annet og mer kompleks samhandling mellom ulike sektorer og mellom offentlig sektor og private virksomheter som bygger og drifter infrastruktur og systemer som har en rolle inn mot statssikkerhet og nasjonal sikkerhet. De teknologiske løsningene er var helt andre i 2018 enn i 2003, og det var også sårbarhetene.

NSM fikk gjennom den nye loven dermed hovedansvaret for å sørge for å påse at ansvarlige departementer og sektormyndighetene sørger for å definere, plassere ansvar og beskytte grunnleggende nasjonale funksjoner som må være på plass for at landet skal fungere i en krigs- eller krisesituasjon. Omtrent på denne tiden ble også styringen av NSM flyttet fra Forsvarsdepartementet til Justis- og beredskapsdepartementet (JD), men med faglige linjer og roller under begge, og naturligvis med et stort tverresktorelt ansvar som inneværer koordinering av alle departementer og sektorer.

Ansvaret for digital sikkerhet

Så kunne man jo se for seg at denne oppgaveporteføljen, supplert med noen tilgrensende anvarsområder, og viktig faglige og koordinerende roller inn mot NATO, ville gitt NSM mer enn nok store oppgaver. Utvlaget fremhever også at Norge i internasjonal sammenheng har et godt styringsmessig utgangspunkt fordi vi er i den heldige situasjonen at vi har en felles sikkerhetslov og en felles nasjonal sikkerhetsmyndighet som er gitt ansvaret for å forvalte loven. I utgangspunktet veldig ryddig, men så kom det noen andre problemer seilende inn fra siden.

NSM skal ifølge sin egen hovedinstruks utføre en rekke andre oppgaver innen digital sikkerhet, herunder "vedlikeholde et særskilt risikobilde for digital sikkerhet som omfatter statssikkerhet, samfunnssikkerhet og individsikkerhet", og "foreslå tiltak, gi anbefalinger og fremme forslag til krav innen digital sikkerhet i samfunnet, samt følge opp med råd og veiledning. Det er ganske andre oppgaver og et annet nedslagsfelt enn det som ligger i sikkerhetsloven. Utvalget beskriver noe av av baktrunnen for at det er slik:

"NSMs rolle som det nasjonale fagmiljøet innen digital sikkerhet utover sikkerhetsloven bygger på oppgaven NSM hadde som sertifiseringsmyndighet for IT-sikkerhet i produkter og systemer, samt de operative oppgavene med å følge opp varslingssystemet for digital infrastruktur (VDI) og oppgaven som nasjonal responsfunksjon (NorCERT). NSM var også i en årrekke sekretariat for Koordineringsutvalget for informasjonssikkerhet (KIS) som nå er nedlagt. Å gi NSM denne oppgaven hadde også sammenheng med at samordningsansvaret for IKT-sikkerhet på sivil side i 2013 ble flyttet fra det daværende Fornyings-, administrasjons- og kirkedepartementet (FAD) til Justis- og beredskapsdepartementet."

Det kan virke som kombinasjonen av å flytte samordningsansvaret for IKT-sikkerhet på sivil side til Justisdepartementet i 2013 og deretter flyttingen av NSM til Justisdepartmentet i 2019, har gitt den uheldige, og kanskje ikke helt tilsiktede bivirkningen, at når det har dukket opp nye digitale sikkerhetsutfordringer og behov, på helt andre områder enn de sikkerhetsloven definerer, så har det også blitt plassert i NSM. Når man har en etat og har et nytt problem, ja da er det jo fristende å legge ansvaret der. .

Statssikkerhet og samfunnssikkerhet

Det er her Gjedrem-utvalget ber om at det tenkes annerledes. Dels fordi den samlede oppgaveportefølgen er blitt for stor og sprikende, og de ulike grenseflatene mot andre er blitt for mange. Noe som i følge utvalget også bør resultere i at NSM setter ut en del oppgaver de ikke behøver å gjøre i egen regi til andre. I sorteringen av hvordan det bør tenkes annerledes sier Gjedrem-utvalget at en i myndighetens sikkerhetsarbeid gjør lurt i å ha skille mellom statssikkerhet og samfunnssikkerhet. 

Figuren til venstre er tatt inn i utvalgets rapport og er hentet fra lovproposisjonen og sikkerhetsloven, der den fungerte som en illustrasjon på hvordan "nasjonal sikkerhet", sikkerhetslovens formål, kan avgrenses. Utvalget skriver at:

"(Figuren) er hentet fra forarbeidene til sikkerhetsloven og skal illustrere at nasjonal sikkerhet omfatter statssikkerhet og deler av samfunnssikkerheten. Figuren skal videre illustrerer hvorvidt utvalgte sentrale nasjonale funksjoner og interesser understøtter statssikkerhet eller samfunnssikkerhet. Det understrekes i proposisjonen at det er krevende å plassere de enkelte funksjonene og at de fleste vil kunne berøre både stats- og samfunnssikkerheten. Figuren er en forenkling, men kan bidra til forståelse dersom den tolkes med varsomhet. Figuren kan trolig raffineres ved for eksempel å inkludere «virksomheters sikkerhet» i tillegg til «individets sikkerhet» som en kategori."

Utvlget sier ikke at statssikkerhet, samfunnssikkerhet og virksomhetssikkerhet er helt separate områder som ikke skal henge sammen styringsmessig. Figuren viser jo nettopp hvordan ulike sektorer og funksjoner i samfunnet går på tvers. Men det de sier at vi trenger noen som har som hovedoppgave å ha det overordnede ansvaret for den nasjonale sikkerheten og de oppgavene sikkerhetsloven beskriver, så er det en rekke andre aktører som kan og bør ha hovedansvaret for andre samfunnssikkerhetsroller.

Men i stedet for å arbeidet i retning av mer rendyrking og tydeliggjøring, har det i følge utvalget blitt lagt til enda flere nye oppgaver i porteføljen til NSM i årenes løp, men uten at det er tatt oppgaver ut. Mange av disse opgavene ligger et godt stykke unna kjeneoppgavene som er definert av sikkerhetsloven. NSMs oppgaveportefølje ble ytterligere utvidet så sent som i 2024, da ansvaret for Norsk senter for informasjonssikring (NorSIS) og oppgaver fra det tidligere interkommunale selskapet Kommune-CSIRT ble overført. Og utvalget skriver videre at:

"Videre er NSM tiltenkt flere nye oppgaver i ny forskrift til digitalsikkerhetsloven som etter planen skal tre i kraft i løpet av 2025.30 NSMs portefølje av oppgaver kan også bli endret i den nye loven om grunnsikring av virksomheter som ble varslet i Totalberedskapsmeldingen regjeringen la fram i januar 2025"

Hovedveivalg med konsekvenser

Gjedrem-utvlaget ber derfor om et hovedveivalg når det gjelder hva som er NSMs kjernevirksomhet. Det kan høres enkelt ut, men problemet er selvfølgelig at de oppgavene som velges bort ikke forsvinner som viktige samfunnsutfordringer av den grunn, men må finne et nytt og minst like bra hjem et annet sted i statsforvaltningen. Hvis NSM skal konsentrere seg mer om kjeneoppgavene i henhold til sikkerhetsloven må noen andre ta på seg å være det ledende fagmiljøet for digital sikkerhet. 

Og hvis man motsatt vil at NSM skal redyrkes som det ledende digitale sikkerhetsmiljøet for samfunnssikkerhet, virksomhetssikkerhet og invividsikkerhet, med roller inn mot statlig forvaltning, komunal forvaltning og tjenesteproduksjon, næringsliv og innbyggere, ja da må statssikkerhetsrollen og mye av det NSM gjør for forsvaret, nasjonalt og internasjonalt, finne et annet og minst like bra hjem. Og for eksempel tilhøre Forsvarsdepartementet igjen. Uansett hovedmodell vil både departementstilkytning og grenseflater mot andre etater og sektorer være krevnede å avklare, for sektorene våre passer ikke alltid like godt sammen med trusselbildet som før.

Utvalget er helt tydelige på hva hovedveivalget bør være. NSM skal konsentrere seg om nasjonal sikkerhet og oppgavene som er definert av sikkerhetsloven. Den forebyggende digitale samfunnsikkerheten bør finne et nytt hjem. De er mindre tydelige på hvordan de øvrige oppgavene og rollene skal håndteres, og hvordan de som skal plukke opp bitene som ikke passer inn i det nye NSM skal gjøres i stand til å ta den rollen på en forsvarlig måte.

Anbefalinger fra utvalget

Rapportens sammendrag i kapittel 1 har en fin opplisting av de konkrete tiltakene og de endringene utvalget mener er nødvendige. Alle tiltakene henger sammen med en helt overordnet anbefaling som er formulert slik:

"NSMs kjerne bør være de oppgavene som følger av sikkerhetsloven. Loven stiller krav til det nasjonale sikkerhetsarbeidet. NSM bør konsentrere seg om disse oppgavene og være i stand til å løse dem med høy kvalitet. Dette er også i tråd med utvalgets mandat som sier at den sikkerhetspolitiske utviklingen og utviklingen i risikobildet for nasjonal sikkerhet skal være førende for vurderingene."

Utvalget er også tydelige på at modellen med én sikkerhetslov og én sikkerhetsmyndighet fungerer godt i Norge og at vi ikke må søke etter mer fragmenterte modeller, slik de har i en del andre land. De gir tvert imot uttrykk for at vi må ble enda mer enhetlige i den forstand at NSMs oppgaver etter sikkerhetsloven bør bli enda klarere. NSM må også ha viktige oppgaver innen digital sikkerhet etter sikkerhetsloven. Hvilke konkrete oppgaver dette er listes opp i rapporten.

Med utgangspunkt i denne hovedretningen har utvaglet en serie andre anbefalinger som henger sammen med denne hovedretningen, men der det helt sikkert er mulig å gjøre noen tilpasninger og varianter, så lenge de ikke ødelegger for hovedretningen. Det er fem ting i dette jeg vil trekke fram:

For det første mener utvalget at begreper som brukes i styringen av NSM må gi en presis beskrivelse av NSMs oppdrag, og skriver at 

"Ord som «overordnet», «sektorovergripende ansvar» og «nasjonal responsfunksjon» kan gi inntrykk av at NSM skal lede, gripe inn og gi alle sikkerhet. Ansvar for sikkerheten ligger hos de enkelte departementene og virksomhetene som er underlagt sikkerhetsloven. NSM skal bistå de ansvarlige blant annet ved å gi råd, veilede og å føre tilsyn. Justis- og beredskapsdepartementet og Forsvarsdepartementet bør presisere i hovedinstruksen hva NSMs oppgaver etter sikkerhetsloven er".

Ansvar tilbake til DFD 

For det andre må omfanget av NSMs oppgaver innen digital sikkerhet utenfor sikkerhetsloven reduseres. Utvalget skriver flere steder om hva slag oppgaver det er:

"NSM betegnes i hovedinstruksen som «det nasjonale fagmiljøet for digital sikkerhet». Med et slikt utgangspunkt har det trolig vært lett å legge nye oppgaver på dette området til NSM. Men instruksen overvurderer direktoratets rolle; NSM er ett blant flere digitale fagmiljøer. Direktoratets oppgaver er nå for mange, og de favner for bredt. Det svekker NSMs kapasitet til å fylle funksjonen som sikkerhetsmyndighet etter sikkerhetsloven. Oppgaver innen digital sikkerhet utenfor sikkerhetsloven bør overføres til andre. (...) NSM bør for eksempel ikke ha som oppgave å gi informasjon, råd og veiledning til statlig og kommunal sektor, private virksomheter og enkeltpersoner utenfor sikkerhetslovens virkeområde, drifte Norsk senter for informasjonssikring (NorSIS) eller vedlikeholde grunnprinsipper for IKT-sikkerhet. NSM bør heller ikke ha et hovedansvar for å koordinere aktiviteter som faller utenfor sikkerhetsloven."

For det tredje mener utvalget at det nye Digitaliserings- og forvaltningsdepartementet (DFD) bør få ansvaret for digital sikkerhet utenfor sikkerhetsloven. De går ikke i dybden på hvordan det skal plasseres helt konkret, men slår fast at en reversering av flyttingen av ansvaret for digital sikkherhet i 2013 er naturlig nå når vi har et eget digitaliseringsdepartement. Og sier også at:

"DFD skal bidra til å styrke statens og samfunnets evne til å bruke potensialet og håndtere utfordringene som digital teknologi skaper. Departementet skal være en pådriver og samordne regjeringens politikk, også innen kunstig intelligens. Oppgaven DFD har med å vurdere hvilke muligheter digitalisering kan gi, bør ikke være løsrevet fra oppgaven med å vurdere hvilke konsekvenser disse mulighetene kan ha for den digitale sikkerheten. Det vil derfor etter utvalgets syn være riktig at dette departementet får som oppgave å samordne regjeringens arbeid med digital sikkerhet utenfor sikkerhetsloven. De oppgavene som utvalget foreslår tatt ut av NSM, bør legges til en eller flere etater under dette departementet."

Roller og grenseflater mot andre 

For det fjerde mener utvalget at NSM bør sette ut flere operative oppgaver til andre. Sikkerhetsloven og forskrifter åpner for at flere av oppgavene som NSM selv utfører, kan settes ut. Dette gjelder blant annet oppgaven med å gjennomføre tekniske sikkerhetsundersøkelser, og hvis NSM gjør det selv må de kunne ta betalt for kostnadene. Et beslektet tema utvlaget tar opp er at flere tilsyn bør kunne gjennmføre tilsyn etter sikkerhetsloven. De skriver at:

"Flere tilsynsmyndigheter bør føre tilsyn etter sikkerhetsloven. NSM fører tilsyn med at sikkerhetsloven blir fulgt opp, både med departementene, etater, lokale myndigheter og virksomheter. I fem sektorer hittil har ansvarlig departement gitt oppgaven med å føre tilsyn etter sikkerhetsloven til myndigheten som fører tilsyn i sektoren. Dette er en god ordning som bør brukes i flere sektorer."

Og for det femte så bør grensesnittet mot Direktoratet for samfunnssikkerhet og beredskap (DSB) bli klarere. DSB bistår Justis- og beredskapsdepartementet med å koordinere arbeidet med samfunnssikkerhet og beredskap og har ledet arbeidet med å identifisere kritiske samfunnsfunksjoner på et bredere område enn det som er sikkerhetslovens nedslagsfelt. Utvalget ønsker ikke å slå sammen de ulike rammeverkene for å definere samfunnssikkerhet, men mener det er behov for mer samarbeid og samordning, og skriver at:

"(Rammeverkene) har både ulike formål og virkeområder, der arbeidet med kritiske samfunnsfunksjoner favner vesentlig videre enn sikkerhetsloven. Utvalget mener sikkerhetslovens formål og virkeområde i dag er hensiktsmessig og fungerer etter intensjonen. Det er likevel behov for at formål og virkeområde og grensesnitt mellom rammeverkene gjøres klarere og formidles på en pedagogisk måte. Videre må oppgavefordeling og grensesnitt generelt mellom DSB og NSM avklares og gjøres tydelig i direktoratenes hovedinstrukser."

Jeg synes alt i alt at utvlagets anbefalinger er både klargjørende og gode. Og at de bør følges opp med på politisk nivå. Tidspunktet virker også riktig sett i lys av Totaberedskapsmeldingen og Langtidsplanen for forsvaret. Så får vi se om noen tar tak i dette, eller om det blir for vanskelig akkurat nå.

Nye trussel- og risikovurderinger fra myndighetene

Tre statlige sikkerhetsmyndigheter har kommet med nye og oppdaterte trussel- og risikovurderinger. Det er nok slik at de blir bedre av å være dagsaktuelle, og med dagens krevende omgivelser og trusselbide er det i hvert fall ikke vanskelig å være konkret og aktuell om hva som truer Norge.

Forsvarsminister Tore O. Sandvik (Ap) og justis- og beredskapsminister Astri Aas-Hansen (Ap) innledet på pressekonferansen 5. februar, dagen etter at begge var utnevnt til nye statsråder. På en nyhetssak hos Regjeringen.no kan man lese både innleggende deres og om de tre rapportene som ble presentert. Det er lenker der til alle tre rapporter, som er fra Etteretningstjenesten, Politiets sikkerhetstjeneste (PST) og Nasjonal Sikkerhetsmyndighet (NSM).

Kanskje kunne de tre rapportene vært gitt ut som en felles rapport. Selv om de tre etatene har tre litt ulike ansvarsområder og roller, er det i stor grad de samme ytre begivenhetene og endringer i risikobildet de omtaler. Når de i senere år de har kommet så langt at de presenterer rapportene sammen, på samme pressearrangement, er det ikke mye som skal til for å gjøre de tre rapportene til en felles. Men det får komme når det kommer, det viktige er at det er sammenheng og konsistens på tvers.

Etteretningstjenesten og PSTs rapporter

Det er uansett grunn til å minne om hva de tre statlige etatene som presenterer trussel- og risikovurderingene har ansvar for. Etteretningstjenesten er en etat underlagt Forsvarsjefen og Forsvaret. E-tjenestens hovedoppgaver er å varsle om ytre trusler mot Norge og prioriterte norske interesser, støtte Forsvaret og forsvarsallianser Norge deltar i, og understøtte politiske beslutningsprosesser med informasjon av spesiell interesse for norsk utenriks-, sikkerhets- og forsvarspolitikk. Deres ugraderte rapport heter "Fokus 2025".

Politiets sikkerhetstjeneste (PST) er Norges innenlands etterretnings- og sikkerhetstjeneste, underlagt justis- og beredskapsministeren. PST har som oppgave å forebygge og etterforske alvorlig kriminalitet mot nasjonens sikkerhet. Som ledd i dette skal tjenesten identifisere og vurdere trusler knyttet til etterretning, sabotasje, spredning av masseødeleggelsesvåpen, terror og ekstremisme. Vurderingene skal bidra i utformingen av politikk og støtte politiske beslutningsprosesser. Deres ugraderte rapport heter Nasjonal trusselvurdering 2025.

Disse rapportene er blitt langt mer tydelige om hvor de største truslene mot sikkerhet og trygghet i Norge kommer fra enn de var for noen år siden. I Etteretningstjenestens rapport handler det mest om utviklingen i Russland, i Kina, og forholdet mellom Russland og Kina. Det er interessante analyser av hvordan krigen i Russland tærer på Russlands økonomi over tid og hvor mye viktigere Kina er for Russland, økonomisk og militært, enn Russland er for Kina. Mens Russland er under press ressursmessig, økonomisk og militært, er Kina blitt ledende på noen fremvoksende teknologiområder.

Rapporten beskriver også hvordan sankjoner og eksportkontrollregelverk blir omgått ved hjelp av tredjeland. Det er en omtale av hvordan utfordringsbildet når det gjelder beskyttelse av samfunnskritisk infrastruktur under vann ser ut, riktignok ikke spesielt konkret når det gjelder ansvar og roller. På slutten er det analyser av oppbygging av ny kjernevåpenkapasitet etter hvert som gamle nedrusningsavtaler faller bort, og det er en analyse av hvordan pågående konflikter i Midt Østen og Afrika bygger opp under økt polariering og er i ferd med å legge til rette for voksende terrorisme.

PSTs nasjonale trusselvurdering er også mest opptatt av Russland og Kina, men her er oppmerksomheten særlig rettet mot hva det betyr for statlig etterretningsvirksomhet, påvirkning og sabotasje i Norge. Her er det en gjennomgang av trusselutsatte teknologiområder og av ulike metoder fremmede staters etteretningstjenestesr bruker mot mål i Norge. Rapporten beskriver statlige cyberoperasjoner, gjerne gjennomført ved bruk av andre aktører, rekruttering av menneskelige informanter, etteretning ved bruk av sivile fartøyer, påvirkningsoperasjoner, sikkerhetstruende økonomiske virkemidler og transnasjonal undertrykkelse, det vil si trusler fra andre stater mot enkeltpersoner i Norge. Rapporten har også en oppdatert gjennomgang av terrortrusselen mot Norge fra ulike ekstreme ideologiske bevegelser.

NSMs Risko 2025

Den tredje rapporten er fra Nasjonal sikkerhetsmyndighet (NSM) Deres rolle er å være Norges direktorat for forebyggende sikkerhet med ansvar for å bedre Norges evne til å beskytte seg mot spionasje, sabotasje, terror og sammensatte trusler. Gjennom rådgivning, tilsyn, testing, forskning og utvikling bidrar NSM til at virksomheter sikrer sivil og militær informasjon, systemer, objekter og infrastruktur med betydning for nasjonal sikkerhet. I Risiko 2025, NSMs årlige risikovurdering, er målet å gi norske virksomheter bedre forutsetninger for å se eget sikkerhetsarbeid i en større sammenheng. Rapporten beskriver sårbarheter trusselaktørene forsøker å utnytte og tiltak for å redusere risikoen for at de lykkes

Selv om alle tre rappoerter har hevet seg og blitt stadig mer interessante, og dessverre stadig mer dagsaktuelle, de siste årene, tror jeg Nasjonal sikkerhetsmyndighets (NSM) har hevet seg aller mest. Det er mulig jeg overdriver litt, men jeg synes å huske at deres rapport tidligere var en litt sytete rapport som klaget over at andre ikke gjorde jobben sin, særlig når det gjaldt digital sikkerhet, og at de ikke hadde nok ressurser til å gjøre jobben, men at de egentlig ikke hadde så mye å komme med av konkrete analyser, innsikt eller råd. Den var rett og slett ikke på høyde med de to andre trusselvurderingene. Det har heldigvis endret seg de siste årene. 

I årets Risko 2025 har NSM valgt å presenterer en viktig og interessant meny av trussel- og risikovurderinger som også får frem bredden og kompleksiteten i utfordringene vi møter, og som NSM må forholde seg til. Rapporten er innom:

• Påvirkning og desinformasjon i forbindelse med valg.
• Tiltak for å redusere risikoen for sabotasje.
• Sikring mot insidevirksomhet i samfunnsviktige virksomehter.
• Sikring mot misbruk av nettverkstilkoblede elektroniske sensorer, blant annet innvendige og utvendige kameraer og mikrofoner i kjøretøy.
• Avhengigheter av satelittbaserte tjenester og hvordan disrupsjon av signaler kan gjøre skade.
• Sikkehet i forbindelse med forsvarets anskaffelsesprosesser
• Utenlandske investeringer i lokalsamfunn og infrastruktur, der Kirkenes havn er nevnt spesielt.

Digitale leverandørkjeder

Siste del av NSMs trussel- og risikovurderinger handler om digital sikkerhet og sårbarhet, det området jeg tror de fleste forbinder med NSM. Her synes jeg at deler av det NSM presenterer er litt mindre treffsikkert når det gjelder innsikt og anvendbarhet enn jeg skulle ønske. Det er fint at NSM beskriver ulike typer digitale angrep vi kan bli utsatt for, som løsepengevirus, nulldagssårbarheter og angriper-i-midten, der angriper kommer seg mellom offer og en tjeneste, og på den måten får lurt til seg informasjon. Det står noen linjer om hvordan kunstig intelligens er en økende  trussel, at mobiltelefoner og mobile enheter utgjør en viktig sårbarhet. Nyttige påminnelser alt sammen.

NSM minner oss om at det er kommet en ny digitalsikkerhetslov som implementerer NIS-1 direktivet fra EU i norsk lov. Når det gjelder behovet for et oppdatert lovverk som kan bidra til å bekjempe digitale trusler og angep er dette litt flokete landskapet med overlappende lovverk også tema i Totalberedskapsmeldingen, Det hadde ikke gjort noe om NSM kom med noen klarere meldninger om at det er blitt et stort problem at Norge henger langt etter EU når det gjelder oppdatert lovverk og gjerne også noen råd om hvordan vi innretter en ryddeprosess når det gjelder forholdet mellom disse lovverkene og anbefalinger om rydding i roller og anvar når det gjelder digital sikkerhet. Eller er det noen andre som skal komme med disse anbefalingene?

En gammel kjepphest jeg har er behovet for å beskrive hvordan et digitalt økosystem, digitale leverandørkjeder og digitale avhengigheter ser ut konkret. Jeg tror NSM kan gjøre mer enn å skrive at virksomheter skal: 

• "Kartlegg egne avhengigheter. Skaff oversikt over hvilke leverandørkjeder virksomheten er en del av, enten som kunde eller leverandør." 
• "Gjennomfør risikoreduserende tiltak for å redusere sikkerhetsrisikoen knyttet til leverandørkjeder."

Det er ingenting galt i dette, eller andre tiltak de anbefaler, tvert imot. Men hvordan ser en digital leverandørkjede egentlig ut? Her kunne det kanskje være en ide å beskrive det visuelt? Hva med å lage noen veiledere og eksempler på hvordan man kan gå frem når man skal lage en slik kartlegging, og hva kan bidra til at den blir forståelig for flere enn teknologene? For eksempel politikere og ledere? Er det flyten av dataene mellom ulike aktører og systemer som er viktig å få frem? Er det eierskapet til selskapene som står bak? Eller er det oversikten over komponenter i systemetne som kan utgjøre kritiske sårbarheter det er viktig å avdekke i en slik overikt? Eller kanskje alt på en gang? 

Jeg tror det blir stadig viktigere å få denne type informasjonen frem i en form som selv styrer og ledelser som ikke er digitale sikkerhetsspesialister kan forstå og handle på bakgrunn av. NSM kan gå foran og vise oss hvordan det kan gjøres.

Tysk politikk, europeisk sikkerhet - og Berlinseminaret 2024

Søylediagrammet til høye viser valgresultatet i delstaten Thüringen i det østlige Tysland på søndag. De tre regjeringspartiene SPD, Grüne og FDP fikk til sammen fikk 10,4 prosent av stemmene. Bare SPD klarte sperregrensen på fem prosent.  Det store sentrum-høyre partiet CDU gjorde det litt bedre, og fikk 23,6 prosent av stemmene. Det meste av resten, langt over 60 prosent av stemmene gikk til en nokså dyster kombinasjon av høyreekstreme og venstreekstreme populistpartier. 

Det høyrepopulistiske AfD er så ekstreme at de sliter med å finne samarbeidspartnere i både Tyskland og i EU-parlamentet. Men i sin innvandringsmotstand og Russland-sympatier, har de noen sammenfallende synspunkter med den vestrepopulistiske nyskapingen BSW, den parlametariske kommunistveteran Sahra Wagenknechts nye partiprosjekt. Hun er gift med Oskar Lafontaine, som noen vil huske var SPD-leder og tapte det første all-tyske forbundsdagsvalget siden 1930-tallet i 1990, og senere meldte overgang til Linke, i et forsøk på å modernisere venstresosialismen. Han har blitt 80 år, men hans kone Sahra har blitt valgvinner ved å kombinere venstresosialisme med anti-woke, anti-innvandring and anti-Ukraina.

Valgresultatene i Thüringen og Sachsen

Valgene på søndag foregikk i Thüringen, med 2,1 millioner innbyggere, og i Sachsen, med omtrent dobbelt så mange innbyggere. Begge ligger i det gamle DDR. I Brandenburg, litt lenger nord, er det delstatsvalg i slutten av september. Der har SPD en sterkere posisjon, men det er grunn til å tro at valgresultatet vil likne. Valget i Thüringen var mest ekstremt. AfD ble klart største parti, med 32,8 prosent, en fremgang på 9,4 prosentpoeng. Den andre store endringen var at BSW, venstresiden som er negativ til innvandring, fikk 15,8 prosent, mens Linke, den gamle venstresiden, som var klar valgvinner i Thüringen forrige gang, gikk tilbake 17,9 prosent. Både Grüne og FDP falt under sprerregrensen. CDU fikk litt fram, til 23,6 prosent, og SPD litt tilbake, men endringene for de etablerte nasjonale partiene var egentlig ganske små denne gangen.

I Sachsen, delstaten der Leipzig og Dresden ligger, er CDU fortsatt det største partiet etter valget med 31.9 prosent oppslutning, mens AfD fikk 30,6 prosent,  en fremgang på 3,1 prosentpoeng. Velgerovergangen mellom Linke og BSW er litt mer moderate her. BSW som stilte for første gang fikk 11,8 prosent.  Linke fikk 4,5 prosent, og gikk tilbake 5,9 prosentpoeng. Egentlig under sperregrensen, men de reddet seg på å vinne noen direktemandater. SPD fikk 7,3 prosent, mens Grüne såvidt klarte sperregrensen. 

Hvem skal egentlig styre disse to delstatene når AfD har fått over 30 prosent oppslutning i begge, men ingen andre vil samarbeide med dem? Må CDU og BSW, politiske motpoler langs stort sett alle dimensjoner, samarbeide fordi de er de eneste andre partiene men noen velgeroppslutning av betydning? Det blir en temmelig bisarr koalisjon.

Dra til Berlin for å lære mer om det nye Europa

Denne politiske situasjonen i Tyskland er en viktig del av bakteppet når vi skal forstå den nye situasjonen Europa, og det som vil påvirke norsk sikkerhespolitikk, handelspolitikk og energi- og miljøpolitikk i årene som kommer. Til neste år er det et nasjonalt valg i Tyskland som vil bli svært viktig for EUs videre utvikling som pådriver for det grønne skiftet, for EU som sikkerhetspolitisk fellesskap og mye annet. Og minst like viktig for Europa er presidentvalget i USA i november i år, som kan bli avgjørende for både det økonomiske og forsvarspolitiske samarbeidet, i en kritisk tid. 

Det er mye som står på spill nå, både når det gjelder klimamålene og energiomstillingen, oppslutningen om liberale og demokratiske verdier, støtten til en åpen og regelstyrt handel, og viljen og evnen til å støtte Ukrainas forsvarskamp, Stadig flere av premissene for hvordan dette kan gå legges i Tyskland, og i Berlin. I Norge har vi historisk vært mer opptatt av USA og Washington, og vi har en imponerende tetthet av USA-eksperter. I årene som kommer må vi øke Tysklands-kompetansen i hos politikere, i offentlig forvaltning og i næringslivet fordi vi er så avhengige av at det går bra i Tyskland og i EU.

Berlinseminaret 2024

Berlinseminaret foregår 17-20. september, og er en fantastisk anledning til å få oppgradert kunnskapen om europeisk sikkerhetspolitikk, energi- og miljøpolitikk, transatlantisk samarbeid, Norges forhold til Tyskland og Tysklands partipolitiske  landskap og aktører. Deltakerne er en veldig  bra gruppe folk fra næringsliv og organisasjonsliv i Norge. Arrangører er Halogen og Retoringdal som har satt sammen et veldig bra program. Og det er fortstatt mulig å melde seg på hvis man er rask.  

Her er noen av høydepunktene:

• Tirsdag: Program på den norske ambassaden. De mest sentrale problemstillingene i forholdet mellolm Norge og Tyskland. Besøk på Il Kino i Neukölln. Program der med Lotta Lundberg, Torgrim Eggen og tidligere ambassadør Dr Axel Berg
• Onsdag: Forsighting som verktøy for å være bedre forberedt på mer usikre tider i Europa. Scenarier for sikkerhetspolitikk og bærekraftig offentlige forvaltning. Den nye geopolitikken. Hvordan blir fremtiden for det transatlantiske samarbeidet?
• Torsdag: Tysk politikk og forbundsdagsvalget i 2025. Hva kjennetegner de populistiske fløypartiene til høyre og til venstre, og hva blir deres rolle fremover? EU og det grønne skiftet. Den nye energipolitikken og Norges utfordringer. På kvelden blir det omvisning og konsert på Berlinfilharmonien.
• Fredag: Europeisk sikkerhetspolitkk. Tyskland, USA og Norge, og det nye trusselbildet. 

Lenke til programmet ligger her.