Rusland vil udsætte Danmark for cyberangreb: Forsvaret er nødt til at tænke nyt
Krigen mellem Ukraine og Rusland har allerede sat markante spor i Danmarks sikkerheds- og forsvarspolitiske situation.
Vi oplever nu et styrket, europæisk ansvar for kontinentets sikkerhed og oprustningsgarantier, og vi ser konturerne af et Europa, der fremover vil opbygge yderligere militær styrke for at kunne forsvare NATO-allierede mod russisk aggression.
I Danmark har regeringen, Venstre, Konservative, Radikale Venstre og SF ligeledes vedtaget en oprustningsaftale. På kort sigt sikrer aftalen 3,5 milliarder kroner årligt til Forsvaret i 2022 og 2023. Ifølge aftalen skal pengene gå til »aktuelle økonomiske ubalancer i Forsvaret, forhøjet beredskab, afledte indsatser, styrket diplomati, humanitær indsats mv.«. Desuden er aftaleparterne enige om, at det er en bunden opgave i det kommende forsvarsforlig at løfte Danmarks udgifter til forsvar og sikkerhed til to procent af BNP inden udgangen af 2033.
Danmarks cybersikkerhed og cyberforsvar bør være en prioritet, når de tilførte midler skal indfries, men politikerne og Forsvaret bør ikke stirre sig blinde på cyberkrig.
Cybertruslen er en af de mest dynamiske sikkerhedstrusler, Danmark står overfor. Den uforudsigelighed og usikkerhed, der er forbundet med den fortsatte udbredelse af anvendelse af digitale teknologier samt den private sektors betydelige rolle gør traditionel sikkerhedspolitisk styring, organisering og lovgivning vanskelig.
Cybertruslen udfordrer dermed statens historiske måde at bedrive sikkerheds- og forsvarspolitik. Den forplumrer det klassiske skel mellem national sikkerhedshåndtering og kriminalitetsbekæmpelse, mellem intrastatslige politiopgaver og interstatslige forsvarsopgaver og mellem offentlig- og privat sikkerhedsansvar. Det er derfor centralt, at politikerne og Forsvaret styrker Danmarks cybersikkerhed og cyberforsvar gennem en bredt funderet indsats, der rækker ud over et snævert fokus på traditionelt forsvar og krig.
Danmarks cybersikkerhedsudfordringer
Krigen mellem Ukraine og Rusland har særligt understreget to ting på cyberområdet. Virakken om cyberkrig, som et selvstændigt fænomen, hvor den kritiske infrastruktur kollapser, og nationer paralyseres, har været præget af hyperbolske dommedagsscenarier.
Ukraine-krisen har også understreget udfordringerne ved integrationen mellem konventionelle militære operationer og cyberoperationer. Selv hvis man tager et stort forbehold for den specifikke kontekst, er der ikke meget, der tyder på, at cyberkrig er den primære cybersikkerhedsudfordring, Danmark står overfor.
Det er langt mere sandsynligt, at Danmark i fremtiden vil fortsætte med at være mål for hyppige cyberangreb, der ikke lever op til definitionen af krig og væbnet konflikt. Rusland, Kina, Nordkorea og Iran har længe udført cyberspionage og støttet eller set gennem fingre med cyberkriminelle, der underminerer dansk økonomi og konkurrencedygtighed. Og de har forsøgt at svække tilliden til vores demokrati og offentlige debat gennem systematiske misinformationskampagner og datalæk.
Hvad end udfaldet af krigen mellem Rusland og Ukraine bliver, er det forventeligt, at Rusland – i en situation, hvor landet vil være voldsomt presset af langvarige vestlige sanktioner – vil bruge cyberaktiviteter, der placerer sig mellem krig og fred, til at signalere en opposition og en utilfredshed med Vesten på en måde, der undgår at eskalere situationen til konventionel krig mellem NATO og Rusland.
Det er svært for Danmark og vores allierede at forebygge og imødegå cyberaktiviteter, der falder mellem krig og fred. Det er vanskeligt at anvende velkendte strategiske, diplomatiske og juridiske begreber samt definitioner og rammer. Der er desuden stor usikkerhed forbundet med grænsedragningen mellem forskellige typer af cyberaktiviteter, afsenders identitet og intention samt cyberhændelsernes fulde effekt. Den situation gør det nødvendigt med et øget fokus på, hvordan Danmark og vores allierede styrker forebyggelsen af disse cyberoperationer.
I løbet af de seneste ti år har politikerne tilført milliarder til opbygning af Danmarks cyberforsvar. Særligt Forsvarets Efterretningstjeneste er blevet begunstiget, da tjenesten huser både Danmarks centrale spionage-, angrebs- og forsvarskapacitet på cyberområdet. Især det defensivt orienterede Center for Cybersikkerhed er blevet polstret år for år. Og med rette. Cybertruslen er vokset i omfang og kompleksitet. Til trods for centerets placering under Forsvarsministeriets ressort, vejleder og støtter det ikke bare Forsvaret, men også statslige myndigheder og virksomheder i forsøget på at højne cybersikkerheden nationalt.
Men centeret er hæmmet af, at det danske sektoransvarsprincip gør hvert ministerium ansvarlig for it-systemerne på deres respektive ressortområde. Samtidig er hvert ministerområde i stigende grad afhængig af private underleverandører, hvis it-sikkerhed sjældent bliver nærmere undersøgt. De seks samfundskritiske sektorer, der i 2018 blev udpeget af regeringen, blev beordret til at udarbejde selvstændige cybersikkerhedsstrategier. Men finansieringen var minimal. Det vil et milliardbeløb til det danske cyberforsvar ikke umiddelbart kunne ændre på.
Hvad bør pengene bruges til?
En bred investering i den nationale cybersikkerhed – og ikke kun i cybersikkerhed i Forsvaret – vil langt om længe medføre, at den kritiske infrastruktur, inklusiv i den private sektor, vil kunne kortlægges og tilføres nødvendige ressourcer.
En sådan kortlægning vil være en politisk ubehagelig opgave, da betegnelsen 'kritisk infrastruktur' naturligt lægger op til yderligere restriktive krav til it-sikkerheden. Det koster penge, det er en fortløbende opgave, og det kan gå ud over konkurrenceevnen for danske virksomheder. Men med yderligere finansiering vil partierne i den nye forsvarsaftale både kunne kompensere kritiske infrastrukturer for den ekstra omkostning, som staten pålægger dem, og højne det beredskab, der sikrer at minimere effekterne fra de cyberangreb, som uundgåeligt vil ramme Danmark.
Partierne bør også vende blikket mod cyberkriminalitet. Center for Cybersikkerhed vurderede i juni 2021, at »truslen fra cyberkriminalitet er MEGET HØJ. Alle danske myndigheder, virksomheder og borgere er udsat for en vedvarende og aktiv trussel fra cyberkriminelle«. Det gør cyberkriminalitet til den mest udbredte cybertrussel mod Danmark. Det kræver en bred funderet indsats at imødegå den tiltagende cyberkriminalitet. En indsats, der både inkluderer det offentlige – herunder efterretningstjenester, politi og relevante ministerier – og de private virksomheder og erhvervssammenslutninger.
I forlængelse heraf er en opgradering af cyberforsvaret en kærkommen mulighed for at genbesøge balancen mellem hensynet til national sikkerhed og den enkeltes borgeres grundlæggende frihedsrettigheder. Et ekstra ressourceløft vil kunne fastholde og videreudvikle en demokratisk cybersikkerhedspolitisk organiserings- og beslutningsform, og herunder styrke de tilsynsmyndigheder, der holder den politiske ledelse, efterretningstjenesterne og infrastrukturudbyderne ansvarlige og gør dem til genstand for politik, diskussion og kritik.
