26.10.2018

Kritisk infrastruktur som vores energiforsyning og hospitalsvæsen binder vores verden sammen og skal bare fungere. Det gør den dog langtfra altid, og vi er ikke gode nok til at beskytte den. Men hvilke konsekvenser kan angreb på kritisk infrastruktur have? Og hvorfor er det så væsentligt at prioritere forsvaret af den i en geopolitisk sammenhæng?

Analyse af Lars Bangert Struwe

Kritisk infrastruktur er det, der binder samfundet sammen og sikrer, at det fungerer effektivt. Begrebet dækker over de samfundsvigtige aktører og strukturer, som er så afgørende for landet, at det vil true den nationale sikkerhed, hvis de bliver ødelagt eller hæmmet. Denne sommer har budt på flere eksempler på, at dansk kritisk infrastruktur har været sat ud af funktion i kortere tid. Storebæltsbroen blev for nylig lukket i flere timer af en lastbilbrand. Og i august var forårsagede et brud på en højspændingsledning en strømafbrydelse på Bornholm, der lukkede øen ned i flere timer. Eksemplerne viser, hvor lidt der skal til for at stoppe samfundet, og hvor lidt vi i det daglige gør for at sikre den kritiske infrastruktur.

Skal vi være mere konkrete i identifikationen af den kritiske infrastruktur, bliver det sværere. Hospitaler må anses for at være en del af den, men når vi skærer ind til benet, er en genoptræningsenhed på et hospital ikke en del af den kritiske infrastruktur på kort sigt. Det er et traumecenter derimod. Dog vil det være sådan, at under forskellige forhold vil forskellige dele af et hospital skulle prioriteres først. Sker der et stort togsammenstød, vil man prioritere funktionen af modtagelse på et traumecenter og kirurgi højt, hvorimod kirurgien vil være nedprioriteret, hvis der udbryder en epidemi. Den kritiske infrastruktur kan således både være afhængig af en tidsfaktor – hvor lang tid den skal kunne fungere – og hvilke omstændigheder den skal fungere under.

Over de seneste 30 år er der sket en parallel udvikling, hvor effektiviseringen af den danske stat og udliciteringen af offentlige opgaver er sket sideløbende med en digitalisering af infrastrukturen. Derfor er det danske samfund i dag i en langt mere udsat position end for 30 år siden. I dag kan vi alle med et enkelt klik finde vores patientjournal på nettet – men når vi selv kan, kan andre også. Hackerangreb udgør en markant trussel for den kritiske infrastruktur og dermed os alle. Digitaliseringen af det danske samfund betyder, at trusselsbilledet har ændret sig til, at hvad der før kun kunne true individet, kan i dag true hele samfundet.

 

Digitaliseringen af det danske samfund betyder, at trusselsbilledet har ændret sig til, at hvad der før kun kunne true individet, kan i dag true hele samfundet
_______

 

Hvem truer den kritiske infrastruktur i Danmark?
Truslen imod den kritiske infrastruktur spænder fra banale uheld over naturkatastrofer til skader forvoldt med vilje af ondsindede aktører. Aktørerne kan være kriminelle, der stjæler kabler fra jernbanerne eller laver afpresning, terrorister, der vil skade samfundet, eller andre stater, der vil destabilisere eller lamme os. Mest bekymret bør vi være for, hvordan Kina og Rusland agerer over for vores kritiske infrastruktur. Fx har vi eksempler på, at Rusland bruger energi som et våben ved at lukke for strøm eller gas. Samtidig er der en dyb bekymring i USA og Storbritannien over brug af kinesisk teknologi i kritisk infrastruktur. Det har medført advarsler og forbud mod brug af de store kinesiske firmaer Huawei og ZTE, som anses for at være en trussel mod den nationale sikkerhed.

Samtidig kommer truslen mod den kritiske infrastruktur også fra naturen, der kan skabe hedebølger, naturbrande, oversvømmelser og storme, som vælter træer eller skader telemaster. Listen over katastrofer, som kan ske i menneskets møde med naturen, er uendelig, hvilket også er vigtigt at huske, når man skal beskytte den kritiske infrastruktur.

Gennem de seneste 30 år har vi gennemgået en voldsom teknologisk udvikling, der med skiftende regeringers satsning på Danmark som et digitaliseret samfund nærmest er eksploderet i det sidste årti. Vores samfund baserer sig ikke blot på teknologi, men også på digitale løsninger, der via internettet er forbundet til resten af verden. Der er indbygget et dilemma mellem digitaliseringstanken og beskyttelsen af kritisk infrastruktur, fordi samfundet bliver sårbart på grund af funktionernes afhængighed af hinanden.

Med andre ord: Jo mere vi digitaliserer og gør det nemt for borgerne at agere via nettet, jo større vokser truslen fra cyberangreb. Denne trussel har i dag udviklet sig til en af de største trusler mod den kritiske infrastruktur og det danske samfund. Erkendelsen af den hurtigt voksende trussel har man været ret lang tid om at erkende, men i fx det netop indgåede forsvarsforlig afsættes der betragtelige midler til at modstå cybertruslen. Men hovedparten af vore nuværende systemer og strukturer er opbygget uden de store overvejelser om cybertrusler eller de ændringer, der sker i vores natur og vejrforhold. Derfor er der behov for et konstant beredskab, der både kan beskytte og genoprette den kritiske infrastruktur til enhver tid.

 

Hovedparten af vore nuværende systemer og strukturer er opbygget uden de store overvejelser om cybertrusler eller de ændringer, der sker i vores natur og vejrforhold
_______

 

Hvem har ansvaret for den kritiske infrastruktur?
I Danmark kunne man forledes til at tro, at Beredskabsstyrelsen har det overordne ansvar for den kritiske infrastruktur. Men sagen er, at man i dag benytter sektoransvarsprincippet. Det betyder, at de enkelte sektorer skal stå for sikringen af deres egen kritiske infrastruktur. Ansvaret ligger hos de enkelte ministerier, der skal sørge for, at de underliggende myndigheder eller offentlige virksomheder inden for deres ressortområde har et forsvarligt beredskab.

Principielt skal myndighederne lave en beredskabsplan, hvor de løbende laver en risikostyringsproces, så de kan forebygge større ulykker og katastrofer. Hvor det er muligt, skal de håndtere dem, og når det er nødvendigt genoprette samfundets funktioner så hurtigt som muligt. Her må man ganske enkelt være bekymret i dag, for bliver beredskabsplanerne rent faktisk udfærdiget, og laver man risikovurderinger for situationer, hvor alt går galt, som det ofte gør ved ulykker eller angreb? Fx øver de færreste hospitaler i dag store kriser, hvor de må evakuere eller overflytte mange patienter. Endelig skal myndighederne sammen med Forsvaret fastlægge behovet for civil støtte til forsvaret. Lige nu kan man i høj grad få indtrykket af, at det omvendte sker – nemlig at Forsvaret støtter det civile. Det sker på mange niveauer fra sikring imod terror, til støtte under hårdt vejr og bygge en midlertidig ved Hvide Sande. Det er basalt set udmærket, men Forsvaret har begrænsede ressourcer, og det civile samfund må indstille sig på i langt højere grad at indtænke beskyttelse af den kritiske infrastruktur. Samtidig er det problematisk, at ministerierne ikke får bevilliget midler til i højere grad at sikre den kritiske infrastruktur.

Helt centralt i diskussionen om ansvaret for den kritiske infrastruktur er de mange private aktørers opgaver i den kritiske infrastruktur. Er de klar til at løse deres opgaver, og har de forstået deres rolle? Er det overhovedet i orden, at ansvaret er på private hænder? Virksomhederne kan pålægges krav om at beskytte deres strukturer, men de vil naturligvis blot sende regningen videre til forbrugerne eller staten.

For såvel det private som det offentlige er det en udfordring, at beskyttelse af den kritiske infrastruktur og beredskab til genoprettelse koster mange penge. I regnskaber eller konsulentrapporter ser dette ikke godt ud, for det er ressourcer, der ikke bruges, men som bare står klar, hvis der skulle ske noget. De kommunale beredskaber er i årevis blevet trimmet og udliciteret. Her er der ikke længere et overskud i mandskab eller materiel, hvilket gør, at man ikke har nok volumen til at klare store opgaver, og man trækker i dag langt mere på Beredskabsstyrelsen til den nationale indsats end for få år siden.

En udfordring for beskyttelsen af kritisk infrastruktur er at prioritere, hvilke områder der er vigtigst at beskytte, og som vurderes mest sårbare; en såkaldt sårbarhedsudredning. Det må være en fremtidig opgave for regeringen, og vi må forvente, at Beredskabsstyrelsen påtager sig et større ansvar. Dette kunne bygge på en videreudvikling af ”Nationalt Risikobillede”, som er udarbejdet af Beredskabsstyrelsen. Heri har man analyseret hændelsestyper og tendenser, hvorved man kan se nærmere på, hvilken udvikling man skal forholde sig til. Dette kan med fordel udvikles. Lige nu er der tilsyneladende en udredning i gang af, hvordan de enkelte sektorer er forberedt. Arbejdet er endnu ikke afsluttet.

Forsvarsforliget har givet en meget stor ressourceforøgelse til FE’s Center for Cybersikkerhed. I deres trusselsvurdering ”Cybertruslen mod Danmark” kan man få et indtryk af truslen mod dansk kritisk infrastruktur. I fremtiden skal det nyoprettede overvågningscenter under Center for Cybersikkerhed overvåge angreb på dansk cyberstruktur døgnet rundt.

 

Adgang til strøm og telekommunikation er også af afgørende betydning i fremtiden. Derfor bør man overveje muligheden for at indsætte mindre transportable kraftværker, hvis eksisterende kraftværker ikke kan levere
_______

 

Adgang til strøm og telekommunikation er også af afgørende betydning i fremtiden. Derfor bør man overveje muligheden for at indsætte mindre transportable kraftværker, hvis eksisterende kraftværker ikke kan levere. Det kunne være på tog, lastbiler eller ombord på skibe. Derved kan kraftkilden transporteres frem til behovsstedet og dække behovet inden for 24 timer. Et sådant beredskab koster imidlertid dyrt og passer ikke ind i den effektive moderne konkurrencestat. Imidlertid bryder denne stat sammen, hvis den ikke kan beskytte sig. Og fremtidige fjender – statslige og ikke-statslige – er klar over dette. Vi kan heller ikke forudsige, hvornår vi bliver ramt af naturkatastrofer, der sætter kraftværker ud af funktion. Scenariet er ikke særlig sandsynligt, men vi må forberede os på det.

Generelt skal vi i Danmark indrette os på, at vi lever i en meget usikker verden, hvor ikke alle vil os det godt, hvor vi ser større udsving i naturen, og hvor vi gør os mere og mere afhængige af telekommunikation. Det gør os sårbare på hidtil ukendte måder.

Dagligt dukker der historier op om kampen om den kritiske infrastruktur. Kinesere har forsynet amerikanske motherboards med mikrochips, der gav en hemmelig bagdør til kinesere ind i amerikansk teknologi, der kunne bruges i forsvarsindustrien. I Danmark fik TDC i 2013 lov til at overlade driften af mobilnettet til kinesiske Huawei. De er siden blevet udelukket fra at kunne levere til det amerikanske forsvar og ikke kun af handelspolitiske årsager. Man er bekymret over, om kineserne fx indbygger overvågning, installerer spionudstyr, kan sabotere i tilfælde af kriser etc. Dette og mange andre eksempler gør, at de europæiske regeringer stærkt må overveje, om man selv skal til at overtage dele af den kritiske infrastruktur, så den kommer på nationale – eller som et minimum allierede – hænder.

Det anspændte forhold imellem USA, Kina og Rusland har med andre ord klare implikationer for Danmarks kritiske infrastruktur. Vi er en del af en international konkurrence, hvor efterretningstjenester løbende og militær i tilfælde af kriser truer den kritiske infrastruktur.

Vi må således overveje, hvem der fx må eje vores el-net eller vores mobilnet. Ligeledes må det overvejes, om sektoransvarsprincippet er stærkt nok. Skal der ske en yderligere hierarkisering på området – og vil dette have positive eller negative konsekvenser? Endelig kan det overvejes, om vi i langt højere grad kan involvere private aktører i sikringen af den kritiske infrastruktur i Danmark. Kan man fx etablere stærkere samarbejder med private virksomheder eller opbygge netværk af it-kyndige, der kan fungere som en slags reserve eller IT-hjemmeværn, der kan hjælpe til, hvis Danmark angribes af et større hacker-angreb?

Det har både forsvarspolitiske og geopolitiske konsekvenser at se på og handle i forhold til sikring af vores kritiske infrastruktur. Men det er helt fundamentalt nødvendigt, at vi gør det. ■

 

Det har både forsvarspolitiske og geopolitiske konsekvenser at se på og handle i forhold til sikring af vores kritiske infrastruktur. Men det er helt fundamentalt nødvendigt, at vi gør det
_______

Apropos denne artikel:

Rasmus Emborg: Vi må se i øjnene, at Ruslands gamle imperiedrømme er ved at blive til virkelighed

Jens Ladefoged Mortensen: Trumps toldkrig viser, at tyngdepunktet har flyttet sig væk fra Vesten – hvis det overhovedet findes længere

Vil Silicon Valley redde eller smadre Vesten? Mikkel Vedby med Anders Theis Bolman i Lille Land, Hvorhen

Pâkzâd og Lindstad: Trump indleder en global toldkrig – Norden viser en bedre vej

Interview med Helen Thompson: Her er rationalet bag Trumps tariffer

Tao Bjørn & T. N. Sørensen i RÆSON SØNDAG: Trump tager fejl, hvis han tror, at Kina ikke kan gengælde handelskrigen. Beijing er klar og forberedt til tænderne