8 Forebyggende nasjonal sikkerhet i andre land

Utvalget er i mandatet bedt om å «s e hen til andre sammenlignbare lands organisering av arbeidet med forebyggende nasjonal sikkerhet» . Vi har valgt å se på hvordan arbeidet med forebyggende sikkerhet er organisert i seks andre land.

Danmark, Sverige, Finland og Nederland er valgt fordi de vurderes å være nokså sammenlignbare med Norge, også med hensyn til utfordringer og muligheter i arbeidet med forebyggede sikkerhet. I tillegg beskrives systemene i USA og Storbritannia fordi de har stor betydning for Norges sikkerhet generelt og for det forebyggende sikkerhetsarbeidet spesielt.

Informasjonen om systemene i andre land er i hovedsak hentet fra regelverk og forarbeider til regelverk i landene og fra publikasjoner og pressemeldinger fra landenes myndigheter. Hensikten med fremstillingen er å redegjøre for noen hovedtrekk, og ikke å gi et fullstendig bilde av arbeidet med forebyggende sikkerhet i de ulike landene. Dette er gjerne nokså komplekse systemer med mange regelverk og aktører, og detaljer om oppgaveløsning er ikke alltid åpent tilgjengelig. Det tas derfor forbehold om at det kan være elementer som ikke er fanget opp.

Et hovedinntrykk fra gjennomgangen er at organiseringen av arbeidet med forebyggende sikkerhet varierer mye fra land til land. Disse forskjellene må ses i lys av at det er nokså store forskjeller generelt hvordan land organiserer sin egen forvaltning. De ulike systemene har gjerne lange historiske røtter og må passe inn i landenes rettstradisjoner.

Arbeidet med forebyggende sikkerhet i de landene vi har sett på, synes gjennomgående å være mer fragmentert og oppdelt enn i Norge. Her er det selvsagt snakk om grader, også i Norge er det en rekke lover og annet regelverk som omhandler forebyggende sikkerhet og mange aktører som følger dette regelverket opp. Vi har likevel ikke identifisert en tilsvarende myndighet med et sektorovergripende ansvar i de andre landene slik Norge har gjennom NSM. Tilsvarende synes regelverket å være mer oppdelt enn det vi har gjennom sikkerhetsloven. Også skillet mellom sivil og militær sektor er mer markant i enkelte andre land, men ikke alle. I Norge favner sikkerhetsloven og NSM over begge sektorene. Et trekk ved organiseringen i flere andre land er videre at en del etater med ansvar for forebyggende sikkerhet også har ansvar for etterretningsfunksjoner, slik systemet var i Norge fram til 1965. Dette gjelder gjennomgående for de landene som vi har sett på i dette kapittelet.

Det er også likhetstrekk mellom Norge og andre land. Innen digital sikkerhet har flere av landene tilsvarende sentre som NSM har i Nasjonalt cybersikkerhetssenter (NCSC) hvor man samler funksjoner og tjenester og hvor samarbeidspartnere møtes for å dra nytte av hverandres arbeid.

Danmark har et klarere skille enn Norge mellom sivil og militær sektor i å ivareta av nasjonal forebyggende sikkerhet, selv om skillet er blitt noe mindre tydelig ved opprettelsen av Ministerium for Samfundssikkerhed og Beredskab i 2024 og overføringen av oppgaver blant annet fra både det danske Justisdepartementet og Forsvarsdepartementet. I tillegg synes arbeidet med sikkerhet å ha blitt mer samlet med opprettelsen av det nye departementet.

I Sverige er det utbredt samarbeid mellom de ulike myndighetene med ansvar for forebyggende sikkerhet. I likhet med Norge skjer dette samarbeidet innenfor rammen av en samlende sikkerhetslov. Sverige har likevel ikke én virksomhet med det samme brede, tverrsektorielle mandatet som det NSM i Norge har.

Finland har flere forskjellige aktører med ansvar for å ivareta nasjonal sikkerhet. Det er ikke én enhetlig nasjonal sikkerhetslov som regulerer forebyggende sikkerhet i landet. Nederland har en sentral etat som har oppgaver som dekker betydelige deler av NSMs virksomhet, men ingen sentral lov som den norske sikkerhetsloven.

Forebyggende sikkerhet i USA omfatter en rekke mekanismer både på føderalt og delstatsnivå. USA har ikke én samlet sikkerhetslov, men en rekke sikkerhetslover for forebyggende sikkerhet innen ulike samfunnsområder. Systemet er komplekst med mange institusjoner der ingen synes å direkte kunne sammenliknes med NSM. I USA er det videre et tydeligere skille mellom militær og sivil sektor enn i Norge.

Heller ikke i Storbritannia er det en sentral etat med et sektorovergripende ansvar for forebyggende sikkerhet. Ansvaret er mer desentralisert der ulike myndigheter og organisasjoner har spesifikke ansvarsområder. De senere årene har likevel Cabinet Office fått en mer sentral og sektorovergripende myndighet for å ivareta forebyggende sikkerhet, og i arbeidet med cybersikkerhet er det etablert samordningsorganer som har likhetstrekk med Nasjonalt cybersikkerhetssenter i Norge. Storbritannia har videre flere lover for beskyttelse av den nasjonale sikkerheten.

8.1 Danmark

Danmark har ikke noen virksomhet som kan sammenlignes med NSM. Danmark har heller ikke en sektorovergripende lov om forebyggende sikkerhet. 114 Som i Norge, står sektoransvarsprinsippet generelt sterkt i Danmark.

Den danske regjeringen opprettet i august 2024 et nytt Ministerium for Samfundssikkerhed og Beredskab . Det nye departementet fikk ansvar for å forebygge, motstå og håndtere hendelser som utfordrer samfunnets grunnleggende funksjoner. 115

Ministerium for Samfundssikkerhed og Beredskab har blant annet fått ansvar for beredskap innen cybersikkerhet og digital informasjonssikkerhet og et koordinerende ansvar for krisehåndtering og forsyningssikkerhet. Flere av oppgavene ble overført fra Forsvarsministeriet, som ansvaret for beredskap og Beredskapsstyrelsen (BRS), cybersikkerhet og digital informasjonssikkerhet, deler av Center for Cybersikkerhed (CFCS), rollen som nasjonal IT-sikkerhetsmyndighet, akkreditering av IT-systemer til behandling av klassifiserte opplysninger og ansvaret for gjennomføring og tilsyn og koordinering av NIS2-direktivet. Fra Justisdepartementet ble blant annet Styrelsen for Forsyningssikkerhed (SFOS) og oppgaven med å koordinere nasjonal krisehåndtering overført. 116 I tillegg ble det nye ministeriet tilført flere oppgaver fra seks andre ministerier, blant annet innen cybersikkerhet. 117

Med opprettelsen av Ministerium for Samfundssikkerhed og Beredskab er det nå ett departement med ansvar for en rekke av virksomhetene som bidrar i arbeidet med forebyggende sikkerhet i Danmark, men ikke alle. I januar 2025 ble det annonsert at det nye ministeriets fagområder samles i to styrelser (etater). 118 Digital sikkerhet, forsyningssikkerhet og informasjonssikkerhet samt den Nationale Operative Stab (NOST) ble samlet i Styrelsen for Samfundssikkerhed (SAMSIK). I og med at sikker kommunikasjon og systemer for behandling av graderte opplysninger, fysisk informasjonssikkerhet og internasjonalt samarbeid med blant annet EU, NATO og Norden er blant SAMSIKS hovedoppgaver, vil denne styrelsen trolig bli en viktig samarbeidspartner for NSM.

Den andre styrelsen, Beredskapsstyrelsen (BRS) , fikk tilført nye oppgaver slik som havmiljøberedskap og kystredningstjeneste. BRS har et bredt ansvar innen forebygging, håndtering og respons på ulike typer kriser i Danmark. BRS skal utvikle samfunnets evne til å forebygge og motstå ulykker, kriser og katastrofer og bistå andre myndigheter ved behov for ekstra personell og utstyr. BRS har mange likhetstrekk med både Direktoratet for samfunnssikkerhet og beredskap (DSB) og Sivilforsvaret i Norge. 119 Viktige oppgaver for BRS er håndtering av den statlige beredskapen, strategisk beredskapsplanlegging og å gjennomføre, føre tilsyn med og koordinere oppfølgingen av CER-direktivet. BRS er også involvert i å trygge Danmarks kritiske infrastruktur mot både naturlige og menneskeskapte trusler.

Andre hovedsamarbeidspartnere for NSM i Danmark er landets to etterretningstjenester, Politiets Efterretningstjeneste (PET) og Forsvarets Efterretningstjeneste (FE) som sammen ivaretar rollen som nasjonal sikkerhetsmyndighet (NSA) for henholdsvis sivil sektor og forsvarssektoren.

PETs oppgave er å forebygge, undersøke og motvirke trusler mot frihet, demokrati og sikkerhet i Danmark. PET ligger under det danske justisdepartementet og reguleres av lov om Politiets Efterretningstjeneste. Av loven fremgår det at PET skal « være national sikkerhedsmyndighed og rådgive og bistå offentlige myndigheder og private i sikkerhedsspørgsmål , herunder at bistå ved personsikkerhedsundersøgelser ». 120 Som etterretningstjeneste samler, analyserer og formidler PET informasjon om trusler mot Danmark og danske interesser.

Som sikkerhetstjeneste skal PET også motvirke de truslene etterretningsinnsatsen identifiserer. 121 En av seks hovedoppgaver for PET er å gi råd om sikkerhet. Enhver offentlig myndighet i Danmark er klareringsmyndighet for eget personell og for ansatte i private selskaper som arbeider for den offentlige myndigheten. PET gjennomfører personkontroll som grunnlag for myndighetenes sikkerhetsklareringer.

FE er i all hovedsak direkte underlagt Forsvarsministeriet. FE har fire hovedoppgaver: 1) utenriks- og militæretterretningstjeneste 2) militær sikkerhetstjeneste, blant annet militære sikkerhetsklareringer) 3) nettsikkerhetstjenester og 4) defensive og offensive cybereffekter til det danske Forsvaret. 122

FE har et særskilt ansvar for industrisikkerhet innen både militær og sivil sektor. FE utøver også rollen som National Communication Security Authority (NCSA), mens ansvaret for kryptodistribusjon ivaretas av Forsvarsministeriets Materiel - og Inkøbsstyrelse .

Som nevnt ble Center for Cybersikkerhed (CFCS) overført fra Forsvarsministeriet til M inisterium for Samfundssikkerhed og Beredskab , men ikke hele senteret. Netsikkerhedstjenesten og øvrige deler av senteret som ivaretar den operative defensive cyberinnsatsen samt oppgaver vedrørende Forsvaret, ble ikke overført.

CFSC kan sammenliknes med Nasjonalt cybersikkerhetssenter (NCSC) i Norge, men har også andre oppgaver. CFCS er regulert av en egen lov. 123 CFCSs hovedoppgave er å bidra til høy sikkerhet for infrastrukturen for informasjon og kommunikasjon som samfunnsviktige funksjoner er avhengige av. CFCF skal oppdage, analysere og bidra til å motvirke avanserte cyberangrep mot myndigheter og virksomheter som er engasjert i samfunnsviktige funksjoner.

Nettsikkerhedtstjenesten ble etablert i 2014 som en sammenslåing av de to varslingstjenestene GovCERT og MILCERT. Nettsikkerhetstjenesten har som oppgave å avdekke, analysere og bidra til å motvirke sikkerhetshendelser i Forsvaret og de virksomhetene og statlige myndighetene som er tilknyttet tjenestens såkalte sensornettverk. Regioner, kommuner og private virksomheter som utfører samfunnsviktige funksjoner, kan på forespørsel kobles til tjenesten. Sensornettverket kan sammenliknes med Varslingssystem for digital infrastruktur (VDI) i Norge som driftes og organiseres av NSM ved NCSC.

I National strategi for cyber- og informationssikkerhed 2022–2024 som ble lansert av den danske regjeringen i 2021, slås det fast at cyber- og informasjonssikkerhet i Danmark er basert på sektoransvarsprinsippet. 124 Det innebærer at de enhetene som har ansvaret for en oppgave til daglig, også har ansvaret når det oppstår en cyberhendelse. Enhetene skal selv sørge for at den får bistand fra driftsleverandør dersom det er inngått avtale om dette, eller fra «de sentrale cybersikkerhedsenheter» hvis det er behov for det. Berørt enhet er dessuten selv ansvarlig for å aktivere slik støtte, stå for den innledende håndtering og, avhengig av hendelsens omfang, anmelde til politiet samt informere kompetente myndigheter. Det er likeledes den ansvarlige enheten som i utgangspunktet skal informere utad om hendelsen dersom det er behov for det. Ved større cyberhendelser som påvirker flere sektorer, kan National Operativ Stab (NOST), som var forankret i Rigspolitiet og nå er del av SAMSIK underlagt det nye Ministerium for Samfundssikkerhed og Beredskab, aktiveres.

Medio januar 2025 ble det annonsert en ny politisk avtale om beredskapsområdet mellom den danske regjeringen og seks partier i Folketinget. Et element i avtalen er at det skal utarbeides en ny nasjonal strategi for cyber- og informasjonssikkerhet i 2025. 125

8.2 Sverige

Arbeidet med å ivareta nasjonal forebyggende sikkerhet i Sverige er delt mellom ulike statlige aktører. Sverige har i likhet med Norge en egen lov om beskyttelse av nasjonal sikkerhet; Säkerhetsskyddslagen . Säkerhetsskyddslagen ble revidert i 2018 (SFS 2018:585) da både cybersikkerhet og beskyttelse av informasjon og infrastruktur mot moderne trusler ble tillagt mer vekt enn tidligere. 126 Revisjonen sammenfalt i tid med revisjonen av den norske sikkerhetsloven.

Säkerhetsskyddslagen ble betydelig revidert igjen i 2021 (SFS 2021:952) da virkeområdet ble ytterligere utvidet, kravene til private aktører som arbeider med kritisk infrastruktur eller som har tilgang til sensitiv informasjon ble strammet til, og det ble strengere krav til tilsyn og oppfølging fra myndighetene. Det er etter loven opp til virksomhetene selv å vurdere om virksomheten er av betydning for Sveriges nasjonale sikkerhet. Virksomhetene har i så fall en plikt til å melde fra om dette til relevant tilsynsmyndighet. Brudd på meldeplikten kan medføre sanksjoner.

Säkerhetsskyddsförordning fra 2021 (SFS 2021:955) presiserer enkelte bestemmelser i Säkerhetsskyddslagen, blant annet kravene til hvordan virksomheter skal håndtere informasjonssikkerhet, fysisk sikkerhet, personellsikkerhet og organisatorisk sikkerhet. Det angis også hvem som er tilsynsmyndighet for ulike myndigheter og virksomheter. 127 Både Forsvarsmakten og Säkerhetspolisen er sentrale tilsynsmyndigheter i tillegg til andre myndigheter med ansvar for egne sektorer, som Finansinspektionen og Försvarets materielverk. Länsstyrelsene i fire av Sveriges 21 län (tilnærmet norske fylker) fører tilsyn med kommuner, regioner, statlige myndigheter og andre virksomheter.

Samtidig som Sverige har én lov som overbygg, fremstår utøvelsen av forebyggende sikkerhet mer delt opp i Sverige enn i Norge. Ulike statlige myndigheter har spesifikke ansvarsområder som dekker ulike sider av nasjonal sikkerhet. En sektorovergripende funksjon ligger dog i Utenriksdepartementet, som er National Security Authority (NSA) i forhold til NATO og andre land.

Det svenske forsvaret, Försvarsmakten, har viktige oppgaver i arbeidet med nasjonal sikkerhet. Militära underrättelse- och säkerhetstjänsten (MUST) følger den sikkerhetspolitiske og militære utviklingen i Sveriges nærområde og andre deler av verden som er av betydning for svensk utenriks-, sikkerhets- og forsvarspolitikk. Arbeidet består i å innhente, bearbeide, analysere og dele informasjon og vurderinger om ulike aktørers intensjoner og evner. MUST er sikkerhetsmyndighet i Försvarsmakten og ivaretar hovedsakelig forebyggende sikkerhet i egen sektor gjennom rådgivning og kontroll. MUST har også ansvaret for klarering av personell. MUST skal også beskytte hele det svenske totalforsvarets kommunikasjons- og it-system fra inntrengning ved hjelp av både signalbeskyttelse og kryptografiske metoder.

Försvarets radioanstalt (FRA) arbeider med signaletterretning og utgjør en del av Sveriges etterretningstjeneste. FRA er en sivil myndighet under Forsvarsdepartementet. FRA skal også ivareta cyber- og informasjonssikkerhet og har lenge bidratt i beskyttelsen mot avanserte cyberangrep. Fra og med 1. november 2024 tok FRA over ansvaret for Sveriges nasjonale cybersikkerhetssenter, Nationellt cybersäkerhetscenter (NCSC).

NCSC ble opprettet i 2020 som del av Myndigheten för samhällsskydd och beredskap (MSB). Med overtakelsen av NCSC fikk FRA ansvaret for å utvikle et støtteapparat til både offentlige og private virksomheters cybersikkerhet. Arbeidet i NCSC gjennomføres og finansieres i samarbeid med Försvarsmakten, MSB, Säkerhetspolisen, Försvarets materielverk (FMV), Polismyndigheten og Post- och telestyrelsen (PTS). 128

Försvarets materielverk (FMV) er ansvarlig for å anskaffe, utvikle og vedlikeholde materiell og utstyr for Sveriges forsvar og har også oppgaver innen forbyggende sikkerhet blant annet med å se til at kritisk infrastruktur, som kommunikasjonssystemer og forsvarsteknologi, er beskyttet mot cybertrusler og angrep. Sentralt i dette arbeidet er Sveriges Certifieringsorgan för IT-säkerhet (CSEC) som er en uavhengig del av FMV. CSEC er Sveriges nasjonale sertifiseringsorgan for it-sikkerhet i produkter og systemer. FMV er også nasjonal industrisikkerhetsmyndighet og har i denne rollen ansvar for å behandle søknader om leverandørklareringer.

I justissektoren har særlig Säkerhetspolisen (SÄPO), Myndigheten för samhällsskydd och beredskap (MSB) og Myndigheten för psykologiskt försvar (MPF) sentrale roller i det svenske apparatet for ivaretagelse av forebyggende sikkerhet.

SÄPO arbeider med å forbygge og avsløre forbrytelser mot Sveriges sikkerhet, bekjempe terrorisme og beskytte den sentrale statsledelsen. SÄPO er videre en sentral aktør i arbeidet med å identifisere, vurdere og forebygge ulike typer trusler som kan påvirke Sveriges nasjonale sikkerhet. SÄPO samarbeider med FRA med å overvåke og analysere trusler fra både innenlandske og utenlandske aktører. SÄPO har et primært ansvar for sikkerheten innenlands mot blant annet terrorisme, mens FRA har ansvar for signaletterretning og cybersikkerhet. SÄPO utøver også rådgiving og kontroll av sivile etater og private foretak som er underlagt sikkerhetslovgivningen, inkludert informasjonssikkerhet, personkontroll for sikkerhetsklarering og sikkerhetsopplæring.

Myndigheten för samhällsskydd och beredskap (MSB) skal styrke samfunnets evne til å forebygge og håndtere ulykker, kriser og konsekvenser av krig. MSB samarbeider med en rekke andre aktører, koordinerer nasjonale beredskapsplaner og arbeider med å forebygge og håndtere kriser, inkludert de som kan oppstå som følge av cybertrusler. CERT-SE, som er Sveriges nasjonale Computer Security Incident Response Team (CSIRT) med oppgave å støtte samfunnet i arbeide med å håndtere og forebygge it-hendelser, er en del av MSB, men det vurderes om CERT-Se skal overføres til NCSC underlagt Försvarets radioanstalt (FRA). 129 ^. MSB gir støtte og råd til både offentlige og private aktører for å bidra til at sikkerhetstiltakene er på plass for å beskytte kritisk infrastruktur. MSB har også et ansvar for å koordinere innsatsen mellom ulike myndigheters samfunnsvern og beredskap.

En nokså ny institusjon i det svenske arbeid med forebyggede sikkerhet er Myndigheten för psykologiskt försvar (MPF). MPF ble opprettet i 2022 og er en sivil forsvarsmyndighet underlagt det svenske justisdepartementet. 130 MPF arbeider med å styrke samfunnets felles evne med å identifisere og stå imot utilbørlig informasjonspåvirkning fra fremmede makter. For å løse sitt oppdrag informerer og støtter MPF befolkning og myndigheter, kommuner, regioner, næringsliv, sivilsamfunnet og andre organisasjoner. MPF skal blant annet identifisere, analysere og møte utilbørlig informasjonspåvirkning og annen villedende informasjon som rettes mot Sverige eller svenske interesser og støtte medieforetak med å identifisere, analysere og møte utilbørlig informasjonspåvirkning i den utstrekning slik støtte etterspørres.

8.3 Finland

Flere forskjellige aktører har ansvar for å ivareta nasjonal sikkerhet i Finland. Det er ikke én enhetlig nasjonal sikkerhetslov som regulerer forebyggende sikkerhet i landet, men flere lover som regulerer ulike områder.

Utenriksministeriet er Finlands nasjonale sikkerhetsmyndighet ( National Security Authority , NSA ). NSA-funksjonen er organisert som en frittstående enhet i departementet. NSA skal etter lov om internasjonal informasjonssikkerhet 131 veilede og føre tilsyn med hvordan sikkerhetsgradert informasjon håndteres, representere Finland i internasjonale møter, forhandle om internasjonale avtaler om utveksling og beskyttelse av sikkerhetsgradert informasjon og utstede sikkerhetsklareringer ved internasjonalt samarbeid. Forsvarsdepartementet, Forsvarets Huvudstab, sikkerhetspolitiet og Transport- og kommunikasjonsverket er utpekt som sikkerhetsmyndigheter på avgrensede områder. Utenriksministeriet koordinerer departementene og de utpekte sikkerhetsmyndighetenes arbeid for å legge til rette for en helhetlig sikkerhetsstyring på tvers av ulike sektorer.

Forsvarsministeriet leder arbeidet med sikkerhetsstyring innenfor eget forvaltningsområde. Forsvarsministeriet forvalter og kontrollerer også forsvarsforvaltningens tekniske sikkerhet. Huvudstaben leder arbeidet i Forsvaret. Huvudstaben har en avdeling for militær etterretning som også tar seg av stabens oppgaver som avgrenset sikkerhetsmyndighet, herunder personellklarering og leverandørklareringer inn mot Forsvaret.

Også det finske Inrikesministeriet er sentral i arbeidet med nasjonal sikkerhet. 132 Det finske sikkerhetspolitiet, Skyddspolisen (Skypo), er underlagt dette departementet. Skypo skal forebygge og bekjempe de mest alvorlige truslene mot nasjonal sikkerhet og drive etterretning for statens øverste ledelse og andre sikkerhetsmyndigheter. I tillegg leverer Skypo tjenester til andre myndigheter, virksomheter, organisasjoner og offentligheten. Sikkerhetsklarering av finske borgere utføres av Skypo, med unntak av klareringer for forsvarsmakten, som gjøres av Forsvarets Huvudstab. Skypo bidrar til NSAs internasjonale klareringer.

Transport- och kommunikationsverket (Traficom) er utpekt som sikkerhetsmyndighet for teknisk informasjonssikkerhet og kommunikasjonssikkerhet ( National Communications Security Authority ( NCSA)). 133 Traficom er underlagt det finske Kommunikasjonsministeriet . I Traficom ligger også det finske cybersikkerhetssentret (NCSC-FI). Det nasjonale cybersikkerhetssenteret skal utvikle tilliten og sikkerheten til kommunikasjonsnettverk og tjenester og hjelpe til med å undersøke brudd på informasjonssikkerheten. Cybersäkerhetscentret CERT ( Computer Emergency Response Team ) har som oppgave å forbygge sikkerhetsbrudd og informere om spørsmål som gjelder informasjonssikkerhet. Beredskap og håndtering av cyberhendelser gjennomføres i et samarbeid mellom flere aktører for å utveksle informasjon og koordinere felles tiltak. Det finnes flere nasjonale nettverk for informasjonsutveksling på frivillig basis. Traficom ivaretar også oppgaven som sertifiseringsmyndighet for IT-løsninger. Sektormyndigheter fører tilsyn i egen sektor i Finland.

Den finske regjeringen la i oktober 2024 frem en oppdatert strategi for cybersikkerhet for perioden 2024–2035. 134 En ny cybersikkerhetslov som blant annet gjennomfører NIS2-direktivet i finsk lov, ble sluttbehandlet i riksdagen 11. mars 2025. 135

8.4 Nederland

Det forebyggende sikkerhetsarbeidet i Nederland er fordelt mellom flere institusjoner på ulike nivåer, og det er flere lover som regulerer de ulike områdene i arbeidet med nasjonal sikkerhet.

Funksjonen som National Security Authority (NSA) i forholdet til NATO ivaretas i Nederland av Innenriksdepartementet og Forsvarsdepartementet med støtte fra henholdsvis den sivile etterretningstjenesten (AIVD) og den militære etterretningstjenesten (MIVD).

Det er likevel én virksomhet som er en særlig sentral nasjonal koordinator for terrorbekjempelse og sikkerhet, Nationaal Coördinator Terrorismebestrijding (NCTV). NCTV er ansvarlig for å bekjempe terror, cybersikkerhet, nasjonal sikkerhet, krisehåndtering og statlige trusler. NCTV ligger under det nederlandske justis- og sikkerhetsdepartementet, Ministerie van Justitie en Veiligheid . Nederland har en nasjonal sikkerhetsstrategi fra 2023. 136

NCTV arbeider sammen med andre myndigheter i sikkerhetssektoren, forskningsmiljøer og med privat sektor for å forhindre og minimere samfunnsforstyrrelser. Sentrale oppgaver for NCTV er å analysere og redusere trusler som er identifisert, tilby overvåking og beskytte personer, eiendom, tjenester og arrangementer. For viktige sektorer skal NCTV utvide og styrke cybersikkerheten og bidra til å gjøre eiendom, personer, infrastruktur og nettverk mer motstandsdyktig mot trusler. NCTV skal også bidra til effektiv krisehåndtering og krisekommunikasjon.

Departementene er ansvarlige for å vurdere motstandskraften til kritisk infrastruktur i egen sektor og fastsette rammeverk for sikkerhetsarbeidet. Justis- og sikkerhetsdepartementet skal koordinere departementene og regelmessig vurdere metodikken og om det er behov for nye tiltak. NCTV skal bidra til å klarlegge betydningen av ulike tiltak. 137

Det nasjonale cybersikkerhetssenteret, The National Cyber Security Centre (NCSC), er ansvarlig for digital sikkerhet i Nederland. NCSC faller inn under myndigheten til NCTV og er det sentrale informasjonsknutepunktet for digital sikkerhet. NCSC overvåker internettet. Når senteret identifiserer en trussel, varsles offentlige myndigheter og virksomheter. NCSC gir også råd om hvordan de kan beskytte seg mot trusler på nettet, følger utviklingen innen digital teknologi og oppdaterer sikkerhetssystemene. NCSC gir råd til offentligheten og virksomheter om hvordan nettkriminalitet kan motvirkes og har informasjonskampanjer for å belyse risikoene.

Lov om sikkerhet for nettverks- og informasjonssystemer (Wet beveiliging netwerk- en informatiesystemen (Wbni)) fra 2018 har som formål å styrke den digitale motstandsdyktigheten, begrense konsekvensene av cyberhendelser for samfunnet. Loven pålegger tilbydere av essensielle tjenester og digitale tjenesteytere å iverksette tiltak for å sikre sine IKT-systemer mot hendelser. For alvorlige hendelser er det meldeplikt.

I desember 2022 fikk NCSC hjemmel til å dele informasjon med andre organisasjoner, for eksempel informasjon om sårbarheter eller angrep. Såkalte organisasjoner for kritiske sektorer og oppgaver ( Organisaties voor Kritieke Takken en Taken (OKTT-er)) kan dele trusselinformasjon fra NCSC med bedrifter eller organisasjoner i eget nettverk. Det nederlandske økonomidepartementet, Ministerie van Economische Zaken , etablerte i 2018 også et digitalt senter, Digital Trust Center , som advarer også bedrifter som ikke vurderes som kritiske om alvorlige trusler.

Algemene Inlichtingen - en Veiligheidsdienst (AIVD) er Nederlands sivile etterretningstjeneste og ligger under innenriksdepartementet, Ministerie van Binnenlandse Zaken en Koninkrijksrelaties . AIVD undersøker organisasjoner og personer ved alvorlig mistanke om at de utgjør en fare for den demokratiske rettsordenen, statens sikkerhet eller andre viktige statlige interesser. AVID er videre ansvarlig for sikkerhets- og adgangsklarering av personell i sivil sektor. AVID skal også fremme sikkerhetstiltak, inkludert tiltak for å beskytte de delene av offentlig sektor og næringslivet som er av avgjørende betydning for opprettholdelsen av samfunnslivet. AVID utarbeider trussel- og risikoanalyser.

Det nasjonale byrået for beskyttelse av kommunikasjon, Nationaal Bureau Verbindingsbeveiliging (NBV), er en del av enheten for motstandsdyktighet i AVID. NBV veileder myndigheter om beskyttelse av kritisk informasjon. NBV utfører også oppgaver blant annet innen informasjonssystemsikkerhet og registrering og distribusjon av kryptografisk utstyr. Sertifiseringsordningen tilsvarende SERTIT i Norge, er i Nederland ivaretatt av det kommersielle sertifiseringsorganet TrustCB B.V.

Den militære motparten til AVID er Militaire Inlichtingen - en Veiligheidsdienst (MIVD) som er Nederlands militære etterretnings- og sikkerhetstjeneste. MIVD er en egen organisasjon under forsvarsdepartementet, Ministerie van Defensie . MIVD har blant annet ansvar for sikkerhets- og adgangsklarering av personell i forsvaret og leverandører til forsvaret. MVID har også som oppgave å iverksette tiltak for å beskytte forsvarets sikkerhet og beredskap, herunder sikkerheten til gradert militær informasjon. MIVD utarbeider trusselsanalyser av personer, saker og steder av militær betydning.

AIVD og MIVD arbeider tett sammen og har også slått seg sammen i en felles signaletterretning og Cyber-enhet ( Joint Sigint Cyber Unit (JSCU)). JSCU avlytter kommunikasjon og støtter etterforskning av trusler mot Nederland og de væpnede styrkene. I rammeverket til den nasjonale cybersikkerhetsstrategien skal JSCU-spesialister også beskytte internett. 138

Oppgavene og fullmaktene til MIVD og AIVD er nedfelt i en felles lov om etterretning og sikkerhetstjenester, Wet op de inlichtingen - en veiligheidsdiensten 2017 (Wiv 2017) og i lov om sikkerhetsundersøkelser, Wet veiligheidsonderzoeken 2002 . I juli 2024 trådte en midlertidig lov om cyberoperasjoner i kraft. Bakgrunnen for den midlertidige loven var at Wiv 2017 ikke var tilstrekkelig i lys av den raske utviklingen i cyberverdenen og utfordringene med å spore trusler 139 .

8.5 USA

Forebyggende sikkerhet i USA omfatter en rekke mekanismer som er utformet for å hindre trusler før de oppstår, beskytte nasjonens sikkerhet og stabilitet og sikre kritisk infrastruktur, offentlige tjenester og økonomien. USA har ikke én samlet sikkerhetslov, men en rekke nasjonale sikkerhetslover for forebyggende sikkerhet innen ulike samfunnsområder. Det er heller ikke én institusjon med et tilsvarende ansvar som vårt NSM.

National Security Council (NSC) spiller en sentral rolle i koordineringen av blant annet forebyggende sikkerhet i USA. NSC er en rådgivende enhet for presidenten og har som hovedmål å legge til rette for at USA er forberedt på å håndtere og forebygge nasjonale sikkerhetstrusler, både interne og eksterne. NSC skal koordinere sikkerhetsarbeidet mellom føderale etater og byråer.

Det amerikanske sikkerhetsdepartementet, Department of Homeland Security (DHS) , er ansvarlig for nasjonal sikkerhet og samfunnssikkerhet. DHS ble opprettet i 2002 etter terrorangrepet 11. september 2001. Departementets oppdrag omfatter blant annet kontraterror og håndtering av trusler mot nasjonal sikkerhet, grensesikkerhet, cybersikkerhet og kritisk infrastruktur, økonomisk sikkerhet og beredskap og motstandsdyktighet i samfunnet. DHS gir retningslinjer og støtte til private selskaper for å forbedre deres sikkerhetstiltak og hindre angrep som kan ramme nasjonens kritiske infrastruktur. Cybersecurity and Infrastructure Security Agency (CISA) ligger under DHS og ble etablert i 2018 for å lede arbeidet med føderal cybersikkerhet og koordinerer det nasjonale arbeidet med sikkerhet rundt kritisk infrastruktur.

Det amerikanske justisdepartementet, Department of Justice (DoJ) er også sentralt for ivaretagelse av nasjonal sikkerhet. Under DOJ er bl.a. det føderale etterretningsbyrået Federal Bureau of Investigation (FBI). FBI har blant annet ansvaret for å beskytte USA fra terrorangrep, utenlandsk etterretning, spionasje og cyberoperasjoner og cyberkriminalitet. FBI har en rekke rettslige hjemler for å kunne etterforske føderale forbrytelser og trusler mot nasjonal sikkerhet. FBI kan også innhente etterretning og assistanse fra andre virksomheter.

Det amerikanske forsvarsdepartementet, Department of Defense (DoD) ivaretar oppgaven som National Security Authority (NSA) i forhold til NATO. Under DoD har National Security Agency (NSA) blant annet ansvar for signaletterretning og cybersikkerhet. Under betegnelsen Central Security Service (CSS) har NSA en utvidet rolle knyttet til kryptologi. NSA samarbeider med andre byråer som CISA og FBI for å forhindre cyberangrep og fiendtlige aktører i å infiltrere amerikanske systemer, og har et sentralt ansvar for hendelseshåndtering i forsvarssektoren. Ansvaret for personsikkerhet og bakgrunnssjekk i saker om klarering av personell er lagt til etaten Defense Counterintelligence and Security Agency (DCSA). DCSA sjekker bakgrunnen til personell for mer enn hundre byråer på føderalt nivå og i forsvaret. DCSA har også en viktig oppgave knyttet til sikkerhetsgraderte anskaffelser i forsvarssektoren. Videre er Department of Defense Cyber Crime Center (DC3) et føderalt cybersenter som blant annet har ansvar for å støtte cybersikkerheten til forsvarsindustrien. United States Cyber Command (USCYBERCOM) under DoD er blant annet ansvarlig for å forsvare militære nettverk og hindre cyberangrep mot USA. Sjef NSA har rollen som Cyber Commander .

Office of the Director of National Intelligence (ODNI) ble opprettet i 2004 140 og er et uavhengig kontor direkte underlagt presidenten. Hovedoppdraget til ODNI er å lede det amerikanske etterretningsfellesskapet ( Intelligence Community (IC)) som inkluderer byråer som NSA, CIA, FBI med mål om å levere best mulig etterretning. Central Intelligence Agency (CIA), et uavhengig føderalt byrå, rapporterer direkte til presidenten gjennom ODNI. CIA samarbeider med andre etterretningsbyråer for å avdekke terrorplaner, spionasjeoperasjoner og andre trusler mot nasjonal sikkerhet.

ODNI har opprettet nasjonale sentre som koordinerer aktivitetene til hele IC og i noen tilfeller den amerikanske regjeringen innenfor IC’s hovedoppdragsområder. Ett av disse sentrene er National Counterterrorism Center (NCTC) som leder den nasjonale innsatsen for å beskytte USA mot terrorisme, og National Counterintelligence and Security Center (NCSC) som støtter USAs regjering med kontraetterretning. NCSCs ansvar omfatter blant annet cybersikkerhet, fysisk sikkerhet og personellsikkerhet. Et annet senter er Cyber Threat Intelligence Integration Center (CTIIC) som skal styrke samarbeidet mellom relevante institusjoner for å beskytte USA mot cybertrusler. USAs nasjonale cybersikkerhetsstrategi (National Cybersecurity Strategy ) ble oppdatert i mars 2023. Et tredje senter under ODNI som kan nevnes her er The Foreign Malign Influence Center (FMIC) som er USAs primære organisasjon for å integrere etterretning for bekjempelse av utenlandsk påvirkning. I tillegg huser FMIC Election Threat Executive (ETE) som skal bidra til valgsikkerhet. 141

Information Security Oversight Office (ISOO) er underlagt USAs riksarkiv og ble etablert ved presidentordre i 1978. Kontoret skal påse at føderale myndigheter beskytter gradert informasjon og gir tilgang til informasjon når det legale grunnlaget er til stede. Kontorets fokus er på å standardisere og vurdere prosessene knyttet til håndtering av gradert og «controlled unclassified information» gjennom tilsyn, utvikling av policy, veiledning, kompetanseheving og rapportering.

Ovenstående er ikke en uttømmende oversikt over de mange ulike samarbeids- og koordineringsmekanismene i arbeidet med forebyggende sikkerhet i USA.

8.6 Storbritannia

Ansvars- og oppgavefordelingen mellom statlige myndigheter for å ivareta forebyggende sikkerhet i Storbritannia er kompleks og involverer flere organer på tvers av ulike sektorer.

Den britiske regjeringen har det øverste politiske ansvaret for nasjonal sikkerhet. Som i Norge har de ulike departementene ansvaret for forebyggende sikkerhet innenfor sin sektor. Storbritannia har ingen sektorovergripende fagetat med et ansvar som vi har ved NSM. Tre av departementene har et særlig ansvar for forebyggende sikkerhet: Statsministerens kontor ( Cabinet Office) , innenriksdepartementet ( Home Office) og utenriksdepartementet ( Foreign, Commonwealth and Development Office) . Men også andre, som forsvarsdepartementet ( Ministry of Defence ), ivaretar viktige funksjoner.

Cabinet Office koordinerer arbeidet med nasjonal sikkerhet, beredskap og krisehåndtering på tvers av ulike departementer og myndigheter, spesielt i krisetider. Cabinet Office ivaretar rollen som National Security Authority (NSA) i forhold til NATO. Cabinet Office har langt flere ansatte enn Statsministerens kontor i Norge og om lag 30 virksomheter og offentlige organer under seg.

National Security Council (NSC) ligger under Cabinet Office og har som hovedoppgave å koordinere den britiske regjeringens respons på nasjonale og internasjonale sikkerhetstrusler. Det inkluderer både å legge langsiktige planer og å lede arbeidet med å håndtere krisesituasjoner. NSC ledes av den nasjonale sikkerhetsrådgiveren National Security Advisor (NSA) og består ellers av sentrale medlemmer av regjeringen.

National Security Advisor (NSA) gir råd til statsministeren og andre ministre om nasjonal sikkerhet. NSA koordinerer arbeidet mellom de ulike departementene og etatene som er involvert i nasjonal sikkerhet. NSA bidrar også til at de britiske etterretningstjenestene og politimyndighetene deler informasjon og oppdaterte trusselvurderinger effektivt. Andre enheter som bidrar med å koordinere og rådgi regjeringen i etterretningsarbeidet, er Joint Intelligence Committee (JIC) og Joint Intelligence Organisation (JOC).

Government Security Group er underlagt Cabinet Office og utarbeider retningslinjer for forebyggende sikkerhet for offentlig forvaltning, det vil si departementene, etatene og partnere som håndterer myndighetsinformasjon. Arbeidet understøttes av informasjon fra National Cyber Security Centre (NCSC) og National Protective Security Authority (NPSA), som er underlagt henholdsvis etterretningsetatene Government Communications Headquarters og MI5.

Cabinet Office ivaretar også cybersikkerhet i offentlig sektor gjennom Government Cyber Coordination Centre (GCCC (GC3)). GC3 samordner og koordinerer cybersikkerhet på tvers av departementer og etater og er et fellesforetak mellom ovennevnte Government Security Group og NCSC samt Central Digital and Data Office. 142 GC3 bidrar til å koordinere responsen på cyberhendelser som kan påvirke både offentlig sektor og private aktører. I 2023 overtok Cabinet Office også ansvaret for å følge opp The National Security and Investment Act 2021 (NSI Act) 143 fra departementet for næringsliv og handel ( Department for Business and Trade ).

Ytterligere et sentralt organ som bidrar til å ivareta forebyggende sikkerhet under Cabinet Office er United Kingdom Security Vetting (UKSV). UKVS sjekker bakgrunn og klarerer personer som skal ha tilgang til sensitiv informasjon eller som arbeider i sikkerhetsrelaterte stillinger på oppdrag fra den britiske regjeringen, herunder private kontraktører. Tidligere ble sikkerhetsvurderingene utført av forskjellige departementer og organisasjoner, men UKSV ble opprettet for å konsolidere denne prosessen på tvers av offentlig og privat sektor. UKSV ble etablert i 2017 og lå opprinnelig under MoD, men har siden 2020 vært i Cabinet Office hvor det er del av Government Security Group.

Cabinet Office har dermed ansvar for alle deler av prosessen med å klarere personell. Som EOS-tjenesten i Norge, foretar de britiske etterretningstjenestene sikkerhetsklarering og kontroll av eget personell, men i nær kontakt med UKSV.

Det britiske innenriksdepartementet Home Office er ansvarlig for politiet, immigrasjon og grensekontroll, kontraterrorisme og rikets sikkerhet. Den britiske sikkerhetstjenesten Security Service , kjent som MI5 , er Storbritannias innenlandske etterretningstjeneste og underlagt Home Office. MI5 skal beskytte Storbritannia mot trusler som kan skade nasjonal sikkerhet, som terrorisme, spionasje og andre former for intern og ekstern destabilisering. I denne sammenhengen er forebyggende sikkerhet en viktig del av MI5s arbeid, spesielt å hindre at trusler materialiserer seg i alvorlige hendelser. National Protective Security Authority (NPSA) er del av MI5 og er Storbritannias nasjonale tekniske myndighet for fysisk sikkerhet og personellsikkerhet. NIPSA skal gjøre Storbritannia mindre sårbart og mer motstandsdyktig mot nasjonale sikkerhetstrusler. NPSA utvikler veiledninger innen forebyggende sikkerhet for britiske myndigheter og industri og skal gi råd til private og offentlige organisasjoner og virksomheter, som teknologiske oppstartsbedrifter, arrangementer og universiteter.

Flere viktige organer for forebyggende sikkerhet er dessuten underlagt Foreign, Commonwealth & Development Office (FCDO), det britiske utenriksdepartementet. MI6, eller Secret Intelligence Service (SIS), er Storbritannias utenlandsetterretningstjeneste og skal beskytte nasjonale interesser gjennom etterretning og operasjoner i utlandet.

Government Communication Headquarters (GCHQ) er også underlagt FCDO og er Storbritannias etat for signaletterretning. GCHQ har også utviklingsoppgaver innen digital sikkerhet, herunder kryptoutvikling og distribusjon. National Cyber Security Centre (NCSC) er en underliggende avdeling i GCHQ. NCSC bistår som nevnt ovenfor med å beskytte kritiske tjenester mot cyberangrep, håndtere store hendelser og forbedre generell internettsikkerhet. NCSC gir blant annet råd til borgere og organisasjoner. NCSC er også sertifiseringsmyndighet med et ansvar tilsvarende SERTIT i NSM i Norge. Her ligger også den nasjonale responsfunksjonen. NCSC ble etablert i 2016 og anses som en av de første organisasjonene i verden som hadde et slikt spesialisert mandat for å beskytte et lands cybersikkerhet på et nasjonalt nivå og i et integrert samvirke med andre aktører. NCSC samarbeider som nevnt med Government Security Group med å koordinere cybersikkerhet via Government Cyber Coordination Centre (GC3). National Authority for Counter Eavesdropping (UK NACE), den britiske tjenesten for bekjempelse av avlytting, skal forhindre at fiendtlige aktører skal få tilgang til eller manipulere sensitiv informasjon og teknologi. Dette skjer bl.a. gjennom tekniske sikkerhetsundersøkelser.

Storbritannias forsvarsdepartement, Ministry of Defence (MOD), arbeider med forebyggende sikkerhet først og fremst rettet mot spesifikke områder i forsvarssektoren og for beskyttelse av nasjonens interesser. MOD er involvert i beskyttelse av kritisk infrastruktur, som inkluderer militære baser, forsvarsanlegg, kommunikasjonssystemer og andre vitale nasjonale sikkerhetselementer. MOD samarbeider med andre myndigheter og bidrar til å vurdere trusler og risikoer for landets sikkerhet i bredt. MOD bidrar blant annet til å lære opp sikkerhetspersonell og i Storbritannias nasjonale cyberforsvar. MOD har en sentral rolle innen sikkerhetsgraderte anskaffelser, og representerer dette fagfeltet i internasjonal sammenheng. Gjennom Defence Cyber Operations (DCO) bidrar MOD til å beskytte både militære og nasjonale cyberinfrastrukturer mot angrep og samarbeider i dette arbeidet med blant annet National Cyber Security Centre (NCSC).

The National Security Act 2023 er en av de nyeste lovene for å styrke nasjonal sikkerhet i Storbritannia og gi myndighetene flere verktøy for å håndtere nye trusler i en mer kompleks geopolitisk og teknologisk verden.