– La oss begynne å jobbe seriøst med dette og ikke sette ned et utvalg hvert tiende år, som begynner på nytt og skal se på hvordan verden ser ut nå, uttalte direktør Olav Lysne i Simula Met til Digi.
Han har ledet ekspertutvalget som konkluderer med at Norge mangler løsninger for å gjøre oss mindre avhengig av amerikanske selskaper for sikring av kritisk digital infrastruktur.
Ekomsikkerhetsutvalget leverte 25. februar en rapport på 400 sider om skjermingsverdige norske digitale systemer. Utvalget har vurdert hvordan ulike virkemidler, som regulering og statlig eierskap, kan bidra til bedre nasjonal kontroll over kritisk infrastruktur, som mobil- og bredbåndsnett.
I dag er det ingen systematisk kartlegging av hvilke digitale kommunikasjonssystemer som bør underlegges nasjonal kontroll.
– Vi står på hæla og vifter med armene og skjønner ikke helt hva vi står overfor. Jeg vil anbefale norske myndigheter å tenke ordentlig nøye gjennom hvorvidt vi vet nok om vår avhengighet til land utenfor Norge, er Lysnes klare anbefaling til digitaliserings- og forvaltningsminister Karianne Tung (Ap).
Valgte bort statlig sky
Lysne legger ikke skjul på at utvalget ville vært tydeligere i sine anbefalinger om de hadde avsluttet sitt arbeid etter presidentvalget i USA.
Den geopolitiske situasjonen har endret seg fundamentalt siden november 2023, da regjeringen avviste en løsning med en statlig drevet nasjonal sky, slik Nasjonal sikkerhetsmyndighet (NSM) foreslo i sin konseptvalgutredning.
Regjeringen ba i stedet NSM utrede et forprosjekt med en kommersiell løsning.
I mer enn 20 år har vi gjort oss nærmest ukritisk avhengige av systemene til Microsoft, Google, Amazon Web Services, Oracle og Apple. De fleste norske bedrifter og offentlige virksomheter bruker applikasjoner og skylagring fra disse selskapene.
Trump har i praksis lagt ned tilsynsorganet , som skulle sikre at amerikansk etterretning ikke fikk innsyn i persondata som overføres mellom kontinentene når EU- og EØS-virksomheter bruker amerikanske IT-leverandører.
Det har oppstått en reell frykt for at også norske selskaper og forskningsmiljøer kan miste tilgang til data fra samarbeid og virksomhet i USA.
Datalagring i Norge
Dette er bakgrunnen for at norske private og offentlige virksomheter nå vurderer om de skal flytte sine data til norske skyløsninger. Digitaliseringsministeren sier at private bedrifter og offentlige virksomheter bør ha en «exit-strategi».
Og selskaper som Eidsiva, som eies av 30 norske kommuner og hevder å ha Norges sikreste skyløsning inne i en fjellhall, sier at de kan tilby en nasjonal skytjeneste i løpet av kort tid.
Men så enkelt er det ikke. I NSMs konseptvalgutredning fra januar 2023 ble det oppgitt at mer enn 80 prosent av beskyttelsesverdige data og systemer vil ligge i skybaserte løsninger innen ti år. Og dermed utenfor norsk kontroll.
– Dette gir økt risiko for forringelse eller bortfall av sentrale offentlige tjenester, som kan få store konsekvenser for samfunnet både i fred, krise og i en væpnet konflikt, ifølge NSM.
Departementet gikk imot NSM
Utredningen anbefalte et kombinasjonskonsept der staten eier og drifter en skyløsning på norsk jord, men at man i tillegg etablerer avtaler med en eller et fåtall kommersielle aktører som eier, leverer og drifter skyløsningene. Slik kan man oppnå et høyt nivå for nasjonal kontroll av spesielt skjermingsverdige data.
Forslaget møtte ingen applaus da det ble lagt fram. Topplederne Nav, Skatteetaten, Digitaliseringsdirektoratet og Politidirektoratet var skeptiske på grunn av mangel på teknisk kompetanse og kostnader.
Også Oslo Economics, Atkins og Promis, som ble hyret inn for å kvalitetssikre KVU-en, var skeptiske. De mente at alternativet der en statlig virksomhet får ansvaret for å drifte og levere en lukket kommersiell sky, kan gi like god sikkerhet til en mye bedre pris.
Digi har tidligere skrevet at prisforskjellen mellom alternativene var på 6,5 milliarder.
I november 2023 ble det kjent at regjeringen ikke ville prioritere NSMs forslag. I stedet ble NSM bedt om etablere en lukket kommersiell skytjeneste i samarbeid med én eller noen få aktører. Planen var å lage et forprosjekt, men dette er aldri blitt etablert.
Politikerne må engasjere seg
Justis- og beredskapsdepartementet har svart at det pågår en pilot der NSM samarbeider med Program Felles IKT – et prosjekt for å utvikle en felles plattform for alle departementene. Prosjektet er basert på innleide konsulenter og markedsbaserte løsninger og har allerede kostet halvannen milliard.
Men fungerende kommunikasjonsdirektør Anniken Beyer Fjeld i NSM sier til Digi at denne saken nå ligger hos departementet.
Debatten har eskalert, og vi minner om Olav Lysnes formulering om at vi «ikke helt skjønner hva vi står overfor». Dette handler om totalforsvar og nasjonal sikkerhet. Oppgaven med å beskytte kritisk digital infrastruktur må prioriteres av regjeringen og Stortinget.
Kommersielle datasenter-aktører er ikke underlagt sikkerhetsloven. De kan derfor heller ikke lagre skjermingsverdige data fra systemer som krever sikkerhetsklarering.
Som lederen for sikkerhet i Telenor Norge, Christer Eneroth, påpeker:
«Antall ressurser med dyp sky- og sikkerhetskompetanse i Norge kan telles på noen få hender, og prislappen for å bygge en helt ny plattform med forsvarlig sikkerhet er astronomisk.»
Han mener at kompetansen som finnes hos etablerte norske aktører, bør inviteres inn i prosessen med å finne fram til gode løsninger for nasjonal lagring.
Norsk eller nordisk sky
Et spørsmål som ikke har vært særlig framme i debatten: Kan man tenke seg en nordisk skyløsning for å sikre data? Når kostnadene er «astronomiske» og kompetansen til å bygge sky-sikre løsninger er så liten, burde det være klokt å sjekke ut om det kan etableres et eller flere nordiske alternativer.
Integrasjonen mellom forsvarsgrenene på tvers av landegrensene vil bli forsert nå som Sverige og Finland er medlemmer av Nato. Det medfører også en integrasjon av skjermingsverdige data fra kommunikasjonssystemer.
Siden ansvaret for å sikre kritisk digital infrastruktur ligger i Justis- og beredskapsdepartementet, er det underlig at den nye statsråden Astri Aas-Hansen (Ap) ikke kommer på banen med sine ambisjoner for å lagre data på norsk jord. Både underlig og kritikkverdig.
Datasentrene må registrere seg før sommeren
