Når kuler og krutt erstattes av bits og bytes

Jens Middborg er CEO i Vivicta Norge.

SYNSPUNKT. Natt til 24. august ble ID-porten rammet av et av de største tjenestenektangrepene Norge har opplevd. Millioner av mennesker fikk problemer med å bruke offentlige tjenester. Angrepet er anmeldt til Kripos og etterforskes fortsatt.

Selskapet jeg leder drifter kritisk infrastruktur for Digitaliseringsdirektoratet, og vi sto midt i håndteringen av hendelsen. Sammen håndterte vi det effektivt, og beskyttelsen er i dag betydelig styrket. Men det er ikke angrepet i seg selv som bekymrer meg mest.

Jeg er urolig for hvor lite som skal til. På få timer ble det tydelig hvor avhengige vi har blitt av digitale tjenester, og hvor store konsekvenser selv relativt enkle angrep kan få. Hvor godt rustet er Norge for enda mer alvorlige digitale angrep?

Krigen er allerede i gang

PST venter flere russiske cyberoperasjoner mot Norge i 2026, og advarer om at noen vil lykkes. De åpner også for sabotasje mot norske mål. Dette er ikke lenger en teoretisk trussel.

I fjor fikk uvedkommende kontroll over en ventil ved Risevatnet i Bremanger og åpnet den for fullt. Det oppsto ingen alvorlig skade, men hendelsen ble filmet og publisert på Telegram. Budskapet var tydelig: Vi kan nå inn.

Norge er særlig sårbart fordi nesten alt er digitalt. Betalinger, resepter, offentlige tjenester og næringslivets drift er avhengige av systemer som alltid skal virke. Plan B har gradvis forsvunnet fordi plan A hittil har fungert.

Styrerommene stiller feil spørsmål
De fleste ledere jeg møter, tar cybersikkerhet på alvor. Likevel spør de først hva sikkerheten koster. De burde heller spørre: Hvor lenge tåler vi å være nede? Hva må fortsatt fungere? Hvordan driver vi uten de vanlige systemene? Hvem tar beslutningene? Dette handler mindre om teknologi enn om valg som må tas før krisen oppstår.

Et angrep koster ofte langt mindre enn forsvaret mot det. Kampen kan derfor ikke vinnes med penger alene. Den avgjøres av tid. Hvor raskt oppdager vi angrepet, tar beslutninger og kommer tilbake i drift?

Da Nortura ble angrepet før jul i 2021, stengte de IT-systemene og fortsatte med papir og telefon. De hadde nylig øvd på et lignende scenario. Da systemene forsvant, visste folk hva de skulle gjøre.

Likevel øver bare én av fire norske IT-ledere regelmessig på beredskapsplanen, ifølge en undersøkelse fra Atea. En plan som aldri er testet, er bare en hypotese.

Ansvaret kan ikke settes ut

Mange virksomheter setter ut IT-driften til selskaper som vårt. Det kan gi bedre sikkerhet, men ansvaret for at virksomheten fungerer når systemene svikter, kan ikke settes ut. Kundene må stille krav til leverandørene, også oss.

Hva skjer når en kritisk tjeneste forsvinner? Hvilke alternativer finnes? Hvem gjør hva? Plan B må lages og øves på sammen.

Norge bruker store summer på luftvern og fregatter. Det er nødvendig. Men fregatter hjelper lite for apoteket når innloggingen er borte, eller for industribedriften når produksjonen stopper.

Den digitale delen av totalforsvaret må bygges i hvert enkelt styrerom. Vi må regne med at noen en dag kommer gjennom. Når det skjer, er det for sent å begynne å lage planen.

Derfor kommer jeg til å bruke høsten på å stille norske ledere og styrer ett spørsmål: Hva skal fortsatt fungere den dagen systemene ikke gjør det? Jeg håper flere stiller det spørsmålet nå.