KOMMENTAR | Hans-Petter N.-Hansen
Sårbar digital infrastruktur trenger også en tolvårsplan
Digitaliseringsdirektoratet og OsloMet stengte onsdag 21. oktober nettsider som et forebyggende tiltak etter at to kritiske sårbarheter ble avdekket i PHP. Det er bare ett av en rekke hendelser i Totalforsvarsåret 2026 som viser hvor sårbar den digitale infrastrukturen vi baserer hele samfunnet vårt er.
Publisert
Hans-Petter Nygård-Hansen
Hans-Petter Nygård-Hansen er teknologihumanist, forfatter og foredragsholder med fokus på teknologiens påvirkning på mennesker, samfunn og arbeidsliv. Han er fast kommentator i CW.
Onsdag 21. oktober møtte besøkende på Digitaliseringsdirektoratets nettsider en beskjed om at sidene var tatt ned. OsloMet stengte også flere nettsteder, mens Feide-innloggingen ble midlertidig utilgjengelig. Årsaken var to kritiske sårbarheter i programmeringsspråket PHP, som brukes på millioner av nettsteder, inkludert HansPetter.info. Som følge av at angrepene startet lenge før sikkerhetsoppdateringene var klare, anbefalte NSM om å isolere berørte systemer fra nettet frem til de kunne oppdateres.
I sommer ble ID-porten utsatt for tre tjenestenektangrep på ni uker. Angrepet 3. august skapte problemer for innlogging til blant annet Helsenorge og rammet også HelseID, Kjernejournal og Reseptformidleren, med konsekvenser for apotekene. Det største angrepet startet 24. august og pågikk i nesten 64 timer. Digitaliseringsdirektoratet opplyste at ID-porten og de andre fellesløsningene stort sett var tilgjengelige under angrepet, selv om flere tjenester hadde periodiske driftsavbrudd.
Torsdag 8. oktober førte tekniske feil i og mellom mobiloperatørenes nett til at noen nødanrop ikke kom gjennom, og all togtrafikk i Norge ble stanset. Nødnettet, som nødetatene selv bruker, fungerte derimot. De siste ukene har vi også fått vite at Forsvaret leide kinesiskproduserte biler til Øvelse Hovedstad i september uten en særskilt risikovurdering av bilene. Det ble gjennomført en generell trusselvurdering for øvelsen, men soldater oppdaget at bilene hadde lagret videoopptak som blant annet viste adgangskoder til militære områder.
Alvoret ble meldt for over tre år siden
Ved inngangen til 2026 skrev jeg at «Det er alvor nå, Jonas», etter at statsministeren fortalte publikum under NHOs årskonferanse hva Danmarks statsminister Mette Frederiksen hadde sagt til ham. Formuleringen var på ingen måte ny i norsk beredskapspolitikk. I juni 2023 la Totalberedskapskommisjonen frem NOU 2023:17 med tittelen «Nå er det alvor». En av anbefalingene var en langtidsplan for Norges digitale infrastrukturer med et perspektiv på 10 til 20 år. Nasjonal sikkerhetsmyndighet hadde gitt det samme rådet i sitt sikkerhetsfaglige råd måneden før.
Venstre tok anbefalingene inn i Stortinget våren 2024 og foreslo en langtidsplan for den digitale infrastrukturen etter modell fra samferdsel, forsvar og forskning. Daværende digitaliseringsminister Karianne Tung svarte i et brev 18. mars 2024 at det er markedsaktørene som investerer og bygger ut. Hun skrev også at hun var usikker på om vi hadde fått en bedre, sikrere eller mer fremtidsrettet digital grunnmur med en slik langtidsplan. Da Stortinget stemte 14. mai 2024, ble forslaget avvist med 81 mot 16 stemmer. Arbeiderpartiet, Høyre, Senterpartiet, FrP og KrF stemte mot, mens Venstre og SV fikk støtte fra Rødt og MDG.
Samferdselen får 12 år, den digitale grunnmuren ikke
Sammenligningen med samferdsel sier noe om hvordan vi prioriterer over tid. Nasjonal transportplan 2025–2036 har en samlet økonomisk ramme på 1.308 milliarder kroner, hvorav 1.208 milliarder er statlige midler. Det tilsvarer rundt 100 milliarder statlige kroner i året. Rammen gir Stortinget en langsiktig prioritering å ta stilling til.
I regjeringens budsjettforslag for 2027 ligger 451 millioner kroner til telesikkerhet og -beredskap. Det er én av flere poster til digital infrastruktur, og må ikke forveksles med totalen. Regjeringen foreslår også om lag 2,2 milliarder kroner til nye digitaliseringstiltak, 178,9 millioner kroner til å styrke NSM og 30 millioner kroner til evaluering av KI-modeller i KI Norge. I fjor høst la den dessuten frem en nasjonal sikkerhetsplan for digital infrastruktur med 37 tiltak for perioden 2026–2030.
Regjeringen fører altså en politikk på feltet. Problemet er at den samlede digitale grunnmuren mangler en tilsvarende langsiktig, sektorovergripende plan. Sikkerhetsplanen for 2026-2030 gjelder i hovedsak elektronisk kommunikasjon, mens Totalberedskapskommisjonen etterlyste et perspektiv på 10 til 20.
PHP-sårbarhetene og angrepene mot ID-porten illustrerer hvor viktig også andre lag av grunnmuren er. SV pekte på at en langtidsplan bør omfatte all digital infrastruktur, inkludert programvare og datalagring, da forslaget ble behandlet i 2024.
Det beste argumentet mot en langtidsplan
Tilbake til daværende digitaliseringsminister, så hadde Tung et poeng som er verdt å nevne. I brevet viste hun til en konsulentrapport fra 2012 som konkluderte med at bredbånd på 4 Mbit/s ville være nok for de fleste. Staten er med andre ord ikke alltid god til å predikere teknologi, og det var markedet som bygget nettene vi i dag omtaler som en digital grunnmur i verdensklasse.
Årets hendelser har likevel lite med kapasitet å gjøre. Hendelsene peker på sårbarheter knyttet til robusthet, sikkerhet og avhengigheter på tvers av sektorer, områder der markedets egne insentiver ikke alltid er sterke nok til å finansiere beredskapen samfunnet trenger.
Tung pekte selv på dette i brevet da hun forklarte at bevilgningen til telesikkerhet går til tiltak som de kommersielle aktørene verken planlegger eller finner lønnsomt å gjennomføre.
Tung pekte selv på dette i brevet da hun forklarte at bevilgningen til telesikkerhet går til tiltak som de kommersielle aktørene verken planlegger eller finner lønnsomt å gjennomføre. I oktober ba Telenor dessuten om forutsigbar statlig medfinansiering av samfunnskritisk beredskap. Når en så sentral markedsaktør ber staten om en tydeligere rolle, blir det vanskelig å hevde at markedet alene skal løse hele beredskapsbehovet.
En langtidsplan trenger heller ikke å velge teknologi på vegne av markedet. Den kan stille krav til robusthet og reservekanaler, fordele ansvaret mellom staten og leverandørene og gi beredskapen mer forutsigbare økonomiske rammer, selv om de konkrete bevilgningene fortsatt vedtas årlig.
Advarslene kommer før hendelsene
Jeg har skrevet om denne typen sårbarheter i flere år, og flere av hendelsene har aktualisert risikoer jeg tidligere har advart mot. I desember i fjor argumenterte jeg for at vi burde si nei til kinesiske biler før det er for sent, og at NSM burde få mandat til å vurdere biler på samme måte som leverandører av IT-utstyr og 5G-nett. I september leide Forsvaret kinesiskproduserte biler uten å gjøre en særskilt risikovurdering av bilene, og forsvarsminister Tore O. Sandvik uttalte at han foreløpig ikke ser noen grunn til et generelt forbud mot dem på militære områder.
I mars skrev jeg at alle snakker om beredskap, mens nesten ingen bygger den. I august skrev jeg at cyberangrepene mot kommune-Norge bare er oppvarmingen, og 18 dager senere startet det kraftigste av sommerens tre angrep mot Digitaliseringsdirektoratet.
Det er dette mønsteret som opptar meg. Fagmiljøene har pekt på svakhetene lenge. Hendelsene beviser ikke at en langtidsplan ville forhindret hvert enkelt utfall, men de viser behovet for en struktur som gjør advarslene om til prioriteringer før neste hendelse inntreffer.
Regjeringen får en ny sjanse før vi legger 2026 bak oss
Regjeringen har varslet at langtidsplanen for sivil beredskap legges frem i løpet av året, og en stortingsmelding om digital suverenitet og verdiskaping skal også være på vei. Det gir statsminister Jonas Gahr Støre og digitaliserings- og forvaltningsminister Torgeir Micaelsen anledning til å gjøre det flertallet avviste i 2024. Jeg mener den digitale grunnmuren må få en egen langtidsplan, eller et eget og forpliktende kapittel i planen for sivil beredskap, med det samme perspektivet på 10 til 20 år som Totalberedskapskommisjonen anbefalte og med økonomiske rammer Stortinget tar stilling til.
Planen må omfatte mer enn nett og kabler. Fellesløsninger som ID-porten, datasentrene og programvaren offentlige tjenester bygger på, hører hjemme der.
Planen må omfatte mer enn nett og kabler. Fellesløsninger som ID-porten, datasentrene og programvaren offentlige tjenester bygger på, hører hjemme der. Det samme gjør åpen kildekode som deler av forvaltningen er avhengig av, og som i noen tilfeller vedlikeholdes av små fagmiljøer.
To krav bør gjelde allerede nå, uavhengig av planen:
Staten må stille krav om dokumenterte risiko- og sikkerhetsvurderinger når nettilkoblet teknologi skal brukes i samfunnskritiske funksjoner, enten det gjelder innloggingstjenester, kjøretøy i beredskapen eller leiebiler under en militærøvelse.
Og reservekanalene må testes i praksis, slik at et nødanrop kommer frem også den dagen den ordinære forbindelsen svikter.
Totalberedskapskommisjonen ba om en plan som strekker seg 10 til 20 år frem i tid. Tre år etter at rådet ble gitt, synes jeg vi har fått tilstrekkelig med påminnelser om risikoen ved å vente.
