Nasjonal sikkerhet krever god situasjonsforståelse

9. mai i år leverte NSM sikkerhetsfaglig råd til både justis- og beredskapsministeren og forsvarsministeren. Rådet tar for seg de viktigste sikkerhetsutfordringene frem mot 2030 og hvordan Norge kan stå best mulig rustet til å møte disse. Rådet beskriver sikkerhetstrender for de neste årene, utdyper sikkerhetsutfordringene Norge står overfor og deler NSMs anbefalinger for å oppnå et forsvarlig sikkerhetsnivå. Situasjonsforståelse utgjør et sentralt element i sikkerhetsfaglig råd og anses som helt avgjørende for at norske beslutningstagere med ansvar for nasjonal sikkerhet kan ta gode og rettidige beslutninger. Her er det avdekket store gap mellom den nåværende status og den evnen innen situasjonsforståelse som Norge bør ha i 2030. Et strategisk sikkerhetsmål for Norge bør være at norske myndigheter har en omforent situasjonsforståelse av trussel- og risikobildet. Dette er et av tolv strategiske sikkerhetsmål utpekt i sikkerhetsdaglig råd som samlet gir en tydelig retning på arbeidet for nasjonal sikkerhet mot 2030.Situasjonsforståelse er ikke et teoretisk begrep, men en grunnleggende forutsetning for utøvelse av sikkerhetsarbeidet på alle nivåer i offentlige og private virksomheter. Dette gjelder i fred, krise og krig. Gode, rettidige beslutninger om tiltak som responderer på sikkerhetstruende hendelser med betydning for flere sektorer, kan vanskelig fattes uten en omforent situasjonsforståelse på tvers av sektorene. Det er derfor en klar sammenheng mellom situasjonsforståelse og responsevne.

Situasjonsforståelse i kontekst av nasjonal sikkerhet. Å etablere en felles forståelse i hele myndighetsapparatet for alle aspekter ved nasjonal sikkerhet er en krevende, om ikke umulig, oppgave. Det bør likevel være et mål at statlige, regionale og kommunale myndigheter har en omforent situasjonsforståelse av det helhetlige risikobildet. Det er vanskelig å utvikle en helhetlig og behovsstyrt politikk eller forvaltning av sikkerhetsarbeidet for nasjonale verdier og kritiske samfunnsfunksjoner uten denne.I en nasjonal sikkerhetskontekst betyr situasjonsforståelse først og fremst at myndighetene1) har tilstrekkelig kunnskap om det gjeldende trusselbildet mot Norge,2) vet hvilke nasjonale verdier som må beskyttes 3) og hvilke sårbarheter som kan utnyttes av trusselaktører. Videre betinger det inngående kjennskap til styrker og svakheter i departements- og etatsstrukturen, inkludert tverrsektorielle avhengigheter og samordningsutfordringer.

I det etterfølgende utdypes hva disse elementene betyr og hvordan både myndigheter og virksomheters evne til situasjonsforståelse kan forbedres. Et trusselbilde i stadig endring Den sikkerhetspolitiske situasjonen er i kraftig endring og utfordrer på mange vis den rotfestede situasjonsforståelse etter mange år i dyp fred. Russlands brudd med Vesten er det tydeligste eksempel på at trusselbildet har endret seg vesentlig. Kinas langsiktige geopolitiske ambisjoner et annet. På mange måter er det en verdikamp som utspiller seg. Demokratier er under press. De er utsatt for dynamiske og sammensatte trusler som ligger under terskelen for væpnet konflikt, men som likevel utfordrer oss. Styrkeforholdet mellom stater vil defineres vel så mye av forsprang innen teknologi, strategiske oppkjøp, eierskap, forsyningslinjer, forskning og utvikling. Stater som leder an i teknologikappløpet får et forsprang. Hvor Norge og andre demokratiske land og allierte ligger i denne utviklingen, kan få langsiktige konsekvenser for Norges nasjonale sikkerhet.

Fremmede staters og trusselaktørers bruk av digital informasjonsteknologi kan komme til å utvikle seg raskere enn åpne demokratiers evne til å beskytte seg. Autoritære regimer vil kunne utnytte informasjonsteknologi på måter som rammer demokratier med åpne informasjonsmiljøer hardest.Fornyet situasjonsforståelse krever at vi i Norge forholder oss til omverdenen på en ny måte, inkludert samholdet med Norges allierte og samarbeidet mellom landene. Det er behov for en felles og mer trusselbasert «føre var»-tilnærming for å hindre at uønskede aktører får fotfeste i Norge. Det er derfor behov for å utfylle og videreutvikle det nasjonale sikkerhetsarbeidet med en modell for et defensivt sikkerhetskonsept. Konseptet tar utgangspunkt i at all sikkerhetstruende aktivitet utøves gjennom et eller flere domener, enten cyber, personell, fysisk, økonomisk, kognitiv eller domenet for romvirksomhet. For å forhindre at sikkerhetstruende aktivitet påfører verdier skade, må det etableres sikkerhetstiltak i de aktuelle domenene som håndterer truslene. Det defensive sikkerhetskonseptet legger vekt på å forstå truslene og ha en helhetlig tilnærming til hvilke tiltak som bør iverksettes gjennom eller på tvers av de ulike domenene. Sikringstiltak må speile truslene for å være effektive. Verdier kan være omfattende sikret, men dersom sikkerhetstiltakene ikke er målrettet og tilpasset de aktuelle truslene, kan tiltakene være utilstrekkelige.

Trusselaktørene retter ikke nødvendigvis aktivitetene direkte mot verdiene de ønsker å ramme. Sikkerhetstiltak må derfor vurderes fortløpende og ses samlet på tvers av domener for å møte sammensatt virkemiddelbruk.Verdier med betydning for nasjonal sikkerhetGod situasjonsforståelse forutsetter at en vet hvilke nasjonale verdier som må beskyttes. Nasjonal sikkerhet blir i henhold til sikkerhetsloven understøttet av grunnleggende nasjonale funksjoner. Dette er tjenester, produksjon og andre former for virksomhet som er av en slik betydning at et helt eller delvis bortfall av funksjonene vil få konsekvenser for statens evne til å ivareta nasjonale sikkerhetsinteresser. Departementene har ansvaret for å identifisere grunnleggende nasjonale funksjoner og utpeke underliggende verdier som skjermingsverdige. Arbeidet har ikke gått så raskt som forventet etter innføringen av ny sikkerhetslov i 2019 og NSM har i risikorapporter fra de siste årene beskrevet manglende verdikartlegging som en sikkerhetsutfordring.

I slike sammenhenger er det snakk om manglende kartlegging av skjermingsverdige verdier, som skal beskyttes etter sikkerhetslovens krav. Det vil alltid finnes verdier i samfunnet som bør kategoriseres som skjermingsverdige, men som ennå ikke er identifisert. Utover dette finnes det også verdier som reelt sett kan ha betydning for nasjonal sikkerhet – ofte på lang sikt – men som verken bør eller skal kategoriseres som skjermingsverdige etter sikkerhetsloven. Eksempler på slike verdier kan være pressefrihet, mediemangfold og kulturarv.Trusselaktører kan være interessert i å ramme eller utnytte slike verdier for å skade nasjonale sikkerhetsinteresser, direkte eller indirekte. Disse verdiene bør beskyttes på andre måter enn gjennom sikkerhetsloven. God situasjonsforståelse og sikkerhetsbevissthet i befolkning, virksomheter og hos myndigheter er også nødvendig for at disse verdiene er tilstrekkelig beskyttet.Både verdier som etter sikkerhetsloven er skjermingsverdige og andre verdier med betydning for nasjonal sikkerhet må inngå i oversikten til sentrale myndigheter.

Disse må ses i sammenheng med ukjente skjermingsverdige verdier som ennå ikke er identifisert eller utpekt. Mellom disse kategoriene kan det også være uidentifiserte verdikjeder. Dersom disse ikke blir tatt hensyn til har myndighetene en ufullstendig situasjonsforståelse som kan føre til at skjermingsverdige verdier ikke er tilstrekkelig beskyttet.Sårbarheter og sikkerhetsutfordringer som følge av mangelfull situasjonsforståelseManglende struktur, kompetanse og systemer for å oppnå tilstrekkelig situasjonsforståelse hos aktører med ansvar for nasjonal sikkerhet er i seg selv en sårbarhet og medfører sikkerhetsutfordringer. I sikkerhetsfaglig råd pekes det spesielt på at • Myndighetene har mangelfull situasjonsforståelseRapportering om sikkerhetsstatus på skjermingsverdige verdier og kritiske samfunnsfunksjoner er én av flere kilder i et helhetlig situasjonsbilde for nasjonal sikkerhet og skjer i flere forskjellige løp, men er ikke tilstrekkelig dekkende i alle sektorer. Fragmentert rapportering fører til et mangelfullt nasjonalt situasjonsbilde. Samlet sett betyr det at forebyggende sikkerhetsarbeid på alle nivå blir utilstrekkelig, og at myndighetenes responsevne risikerer å være reaktiv og fragmentert. En ufullstendig situasjonsforståelse kan også forhindre myndighetene fra å formidle et dekkende trussel- og risikobilde til befolkningen. Det kan svekke årvåkenhet og motstandskraft.• Virksomheter har ikke tilstrekkelig tilgang til trussel- og sikkerhetsinformasjon.

Det er et uutnyttet potensial i deling av datagrunnlag og sikkerhetsinformasjon mellom virksomheter og myndigheter. Mange bransjespesifikke fora og samordningskanaler for å dele informasjon til ulike virksomheter og sektorer er ad-hoc-preget og mangler systematikk og kontinuitet. Det er også flere virksomheter, både offentlige etater og private bedrifter, som ikke er tilknyttet slik informasjonsdeling. En virksomhet som ikke forstår trusselbildet eller at de er et mål for en trusselaktør, har heller ingen insentiv til å avsette tilstrekkelige ressurser til å beskytte verdier og redusere sårbarhetene. Dermed har virksomheten ikke mulighet til å speile trusselen med effektive mottiltak. Tilgang til relevant trussel- og sikkerhetsinformasjon er avgjørende for virksomheters sikkerhetsarbeid og regelmessig oppdatering av risikovurderinger.Flere sektorer og virksomheter mangler både kompetanse og ressurser som er nødvendig for å kunne oversette trusselinformasjonen slik at den blir forstått og brukt i risikovurderinger.• Lav innrapportering av hendelser bidrar til mangelfullt situasjonsbildeUndersøkelser viser at det er betydelig underrapportering av sikkerhetstruende hendelser som virksomhetene utsettes for.

Årsaker til manglende rapportering kan være at hendelser kun blir varslet internt, at de ikke blir ansett som varslingsverdige, av omdømmehensyn eller at hendelsene ikke blir avdekket i det hele tatt. Når enkelthendelser ikke blir rapportert, får verken NSM eller andre myndigheter informasjon til å danne et helhetlig situasjonsbilde.Tverrsektorielle utfordringer begrenser situasjonsforståelsen og responsevnenDet farligste form for beslutningstaking er den som skjer på sviktende grunnlag når relevante faktorer for nasjonal sikkerhet ikke er innhentet eller vurdert, eller når beslutningstageren feilaktig tror en har oversikt over et krevende sakskompleks. Det siste kan fort bli tilfelle gjennom utøvelse av sektorprinsippet som er en sentral del av norsk forvaltningspraksis. Prinsippet bidrar til at sektorene har den nødvendige friheten til å utføre oppgavene sine, og plasserer konstitusjonelt ansvar hos den enkelte statsråd. Noen områder krever imidlertid tverrsektoriell styring – felles innsats og samhandling på tvers av sektorer. Det stiller store krav til situasjonsforståelse på tvers av sektorer.

I sikkerhetsfaglig råd beskrives tverrsektorielle utfordringer som en sentral årsak til manglende sikring av verdier som understøtter grunnleggende nasjonale funksjoner. Noen grunnleggende nasjonale funksjoner er tverrsektorielle, og ansvaret for disse er delt mellom flere departementer. I andre tilfeller forvalter virksomheter i én sektor verdier av betydning for grunnleggende nasjonale funksjoner i en annen. Manglende situasjonsforståelse og kartlegging av verdier får konsekvenser gjennom hele verdikjeden. Det medfører risiko for at verdier som blir forvaltet på tvers av sektorer ikke blir identifisert, eller at det oppleves som uklart hvem som har ansvaret. NSMs anbefalinger for styrket situasjonsforståelseSikkerhetsfaglig råd har et helhetlig perspektiv og det er et mål at rapporten som helhet skal bidra til økt oppmerksomhet og situasjonsforståelse for både myndigheter, virksomheter og befolkningen. Rådet er skrevet for en krevende sikkerhetspolitisk tid som sannsynligvis vil vedvare, og hvor Norge daglig treffes av sammensatte virkemidler gjennom ett eller flere domener. NSMs anbefalinger i sikkerhetsfaglig råd dekker flere sikkerhetsområder og er viktige for en helhetlig situasjonsforståelse av den nasjonale sikkerhetstilstanden. Enkelte anbefalinger vil imidlertid kunne styrke evnen tilsituasjonsforståelsen direkte, også på kort sikt.