Dette bekymrer NSM-sjefen. Men han har ikke mulighet til å stoppe det.

NSM-sjefen frykter at for mye kinesisk teknologi gjør oss sårbare. Men det mangler verktøy for å bremse utviklingen.

Sjefen for Nasjonal sikkerhetsmyndighet, Arne Christian Haugstøyl, er ikke fornøyd med norske virksomheters innsats for å verne egne og samfunnets verdier. Foto: Gunnar Johnsen

Det står for dårlig til med datasikkerheten i næringslivet og offentlige virksomheter. Det viser ferske undersøkelser, hyppigere innbrudd i datasystemer og gjentatte advarsler fra bl.a. Nasjonal sikkerhetsmyndighet (NSM – se fakta).

Arne Christian Haugstøyl har ledet NSM i ett år. I januar sa han at det bare er et spørsmål om tid før Norge blir rammet av russiske sabotasjeaksjoner.

Politiets sikkerhetstjeneste pekte samtidig på at sannsynlige sabotasjemål er viktig infrastruktur som strømnett, internettkabler, rørledninger og betalingssystemer.

NSM skal gjøre norske virksomheter flinkere til å sikre sine verdier og tette sine digitale sårbarheter. Men fortsatt er mye kritisk viktig infrastruktur i Norge altfor dårlig beskyttet, mener NSM.

Samme sårbarhet, to hovedfiender

Dette åpner døren for to hovedtyper av trusler, fra to typer aktører:

• Kriminelle som driver med bedrageri, svindel og utpressing på nettet.
• Aktører som ønsker strategisk og militær kontroll som kan undergrave Norges sivile og militære motstandskraft i krise eller krig.

De siste er ofte statlige eller tett knyttet til en fremmed makt. Russland og Kina er av de hemmelige tjenestene gjentatte ganger utpekt som hovedtrusler. Det er kanskje her de største og vanskeligste problemene ligger.

Den første gruppen er oftest i nyhetsbildet. Og den er i ferd med å bli svært mektig.

Verdens tredje største økonomi

Hvis digital kriminalitet var et land, ville det vært verdens tredje største økonomi, ifølge eksperter.

Årlig «omsetning» ligger omkring svimlende 10.000 milliarder dollar. Det er hva ofrene må ut med som følge av svindel, utpressing og tyverier. Bedrifter må stanse produksjonen, systemer må gjenopprettes, jurister betales og tap av tillit og omdømme har en pris.

Samtidig er løsepengevirus blitt mer utbredt. I 2023 ble det betalt over 1 milliard dollar i løsepenger etter såkalte løsepengevirus-angrep.

Tror ikke det vil ramme dem

Norske bedrifter og offentlige virksomheter er ikke immune for utviklingen. Men problemet er at altfor mange ikke tror det vil ramme dem. Det brukes altfor lite penger og arbeidskraft på å sikre systemene som holder liv i virksomheten. Det gjør mange unødvendig sårbare.

Det viser en omfattende sikkerhetsrapport laget for det nordiske IT-selskapet Atea. IT-beredskapen i 500 norske virksomheter er kartlagt (se fakta).

– Gjør noe med sårbarhetene!

Haugstøyl er ikke overrasket. Han sier at mange virksomheter er for opptatt av trusler. Men det er politiets og forsvarets oppgave.

I stedet ber han virksomhetene om å verne sine egne verdier.

– Vi er opptatt av risiko og vurderinger av sårbarhet. Virksomhetene må definere hvilke av deres verdier trusselaktører er interessert i, og sørge
for å beskytte disse. Bare slik kan man redusere egen og nasjonal sårbarhet knyttet til dem. Det er det virksomhetene kan gjøre noe med.

Det betyr bedre planer, jevnlige øvelser og tydelig plassering av ansvar. De må kunne komme raskt i drift etter en sabotasje. Da trengs reserveløsninger, utstyr og bemanningsplaner for å komme på bena igjen.

Ikke kontroll på underleverandører

Store selskaper har ofte den beste IT-sikkerheten, med egen sikkerhetsorganisasjon. Angripere går derfor ofte via leverandørkjeder, som er dårligere sikret. Dermed kan man hoppe over gjerdet der det er lavest.

I dag er det dårlig kontroll med eierskap og sikkerhetsnivå hos underleverandører. Det gjør hele systemet sårbart.

– Vi ser en manglende bevissthet blant underleverandørene. Det kan være en sikkerhetsrisiko. Det finnes i dag viktige store prosjekter hvor det ikke er god nok kontroll på underleverandørenes sikkerhetsnivå. Det er åpenbart.

Haugstøyl er minst like bekymret for Kina og det han kaller konsentrasjonsrisikoen for det norske samfunnet.

Rullende datamaskiner fyller veiene

Frykten for overvåking ved bruk av moderne biler og busser er utbredt. Haugstøyl mener det er lurt å ta vanlige forholdsregler.

– De har mange sensorer og mye teknologi. Uansett hvor de kommer fra. Egentlig er de rullende datamaskiner. I dag har du ikke lov til å ha med deg mobiltelefoner, uansett merke, inn i rom der man skal snakke om graderte ting.

Den samme bevisstheten må gjelde i en bil eller en buss, mener han.

Han ser likevel ikke dette som den viktigste utfordringen.

Det er noe annet som virkelig kan true nasjonal sikkerhet, mener han.

Kinesiske biler klar for utskipning fra en havn i Shanghai i mai i år. Kina eksporterte 5,86 millioner biler i 2024. Foto: AP/NTB

Sårbare av for mye teknologi fra ett land

– Den store faren for nasjonal sikkerhet er at man kan bli veldig avhengig av teknologi fra ett bestemt land. Det er uheldig uansett hvilket det dreier seg om. Men spesielt land vi ikke har noe sikkerhetssamarbeid med, sier Haugstøyl.

Han nevner ikke bare biler, men også ny grønn teknologi som vindmøller og solcellepaneler. Her er Kina markedsledende og gunstig på pris. Det gjør at man raskt kan ende opp med en svært høy konsentrasjon av teknologi derfra.

Haugstøyl peker på debatten rundt offentlige innkjøp av kinesiske busser, som var store temaer i vår.

Den enkelte anskaffelsen er ikke et problem i seg selv, men volumet og mengden.

– Men mengden er jo summen av mange enkeltanskaffelser?

– Ja, men utfordringen er at en enkelt anskaffelse, som ikke er sikkerhetsgradert, ikke kan stanses ved bruk av sikkerhetsloven. For eksempel der en fylkeskommune skal anskaffe busser. Likevel vil dette kunne bli en nasjonal sikkerhetsrisiko dersom konsentrasjonen av kinesiske busser nasjonalt blir for høy.

En lignende bekymring gjelder kinesiske privatbiler. I 2019 var ca. 2 prosent av importerte biler fra Kina. I 2025 er andelen passert 20 prosent.

– Andelen er tidoblet på fem år. Hvor mange kinesiske biler skal til før dette blir en risiko av nasjonal betydning, spør NSM-sjefen.