Vi har planer, organisasjonskart og avansert teknologi. Men hvem skal holde samfunnet i gang på dag ti, når skjermene er svarte og nøkkelpersonene er utslitte?
Den 27. oktober tok Nasjonal sikkerhetsmyndighet (NSM) et uvanlig steg: De offentliggjorde det nasjonale cyberrisikonivået åpent og ugradert, og hevet det samtidig til HØYT – det nest høyeste nivået på skalaen. Bakgrunnen var dramatisk: NSM hadde registrert en tredobling av vellykkede cyberoperasjoner mot norske virksomheter det siste halvåret.
To dager senere fulgte en like uvanlig oppfordring fra NSM og Direktoratet for samfunnssikkerhet og beredskap (DSB): Befolkningen og virksomheter må forberede seg på at cyberangrep mot kritisk infrastruktur kan føre til bortfall av strøm, mobilnett eller internett. DSB minner samtidig om anbefalingen om at husstandene skal kunne klare seg selv i eget hjem i én uke dersom de vanlige forsyningene blir borte.
Beskjedene er alvorlige, men de reiser et spørsmål som strekker seg langt forbi brannmurer og skyløsninger: Hvem skal egentlig sørge for at samfunnet fungerer når de vante systemene ikke lenger gjør det?
Beredskap på papiret
Norge mangler ikke strukturer. Vi har kriseplaner, risiko- og sårbarhetsanalyser (ROS), beredskapsråd og detaljerte instrukser for hvem som skal gjøre hva når krisen rammer. Men det er fort gjort å forveksle en formell struktur med en faktisk kapasitet.
En beredskapsorganisasjon består ikke av organisasjonskart og stillingsbeskrivelser. Den består av mennesker. Mennesker som må ha relevant kompetanse, fungerende utstyr, jevnlig trening og – ikke minst – en reell mulighet til å stille opp over tid.
Dette er ingen teoretisk bekymring. DSBs kommuneundersøkelse viser at 86 prosent av landets kommuner har etablert et kommunalt eller interkommunalt beredskapsråd. Det ser betryggende ut i statistikken. Likevel oppgir bare 44 prosent av kommunene at beredskapsrådet faktisk har vært involvert i øvelser.
Det betyr ikke nødvendigvis at beredskapsrådene fungerer dårlig. Men det illustrerer at det er forskjell på å etablere en struktur og å bruke den aktivt til å bygge kompetanse og samhandling.
Det hjelper lite at kommunen har en perm med retningslinjer for krisekommunikasjon uten internett dersom ingen har trent på å trykke og distribuere flygeblader eller lignende. Det hjelper fint lite med et alternativt samband dersom sambandsansvarlig er den eneste som husker kallesignalene, og batteriladeren mangler. Og det hjelper ingenting å ha en kriseledelse dersom den samme staben må opprettholde innsatsen i timevis uten tilstrekkelig avløsning.
Den sårbare utholdenheten
Digitaliseringen har gjort samfunnet mer effektivt, men når strøm og nett forsvinner, forsvinner ikke oppgavene – de blir ofte mer krevende å løse. Noen må fortsatt sørge for rent vann, koordinere hjemmetjenesten fra et bord med notatblokker, bemanne oppmøtesteder og betjene manuelle nødventiler.
Totalberedskapskommisjonen understreket i sin utredning Nå er det alvor (NOU 2023: 17) at samfunnet trenger en mer motstandsdyktig befolkning og en sterkere lokal og regional beredskap. Kommisjonen peker eksplisitt på behovet for å utvikle de samlede beredskapsressursene slik at Norge er bedre rustet for langvarige og sammensatte kriser.
Likevel overser vi ofte tidsfaktoren. Vi er flinke til å øve på krisens første timer: varslingsrutiner, pressekonferanser og etablering av kriseledelse. Men hva skjer på dag fem? På dag ti?
En langvarig forsynings- eller cyberkrise krever utholdenhet, ikke bare en god start.
Hvem skal stille opp?
Den norske beredskapsmodellen hviler på en forutsetning om at folk trår til. Den baserer seg på kommuneansatte, nødetater, frivillige organisasjoner som Røde Kors og Norsk Folkehjelp, og de rundt 8 000 tjenestepliktige i Sivilforsvaret. Sivilforsvaret beskriver selv de tjenestepliktige som avgjørende for organisasjonens handlekraft og utholdenhet.
Dette er samlet sett en formidabel styrke, men den er ikke utømmelig.
De som utgjør beredskapen i lokalsamfunnet, er de samme menneskene som har familie, syke foreldre og egne hjem å sikre når strømmen forsvinner og kulda setter inn. Mange kritiske funksjoner, særlig i mindre organisasjoner, er sårbare for personavhengighet.
Hva skjer når den ene driftslederen som forstår vannverket manuelt, selv blir isolert av et ras eller blir syk? Hva skjer når frivillige sliter seg ut etter 72 timer uten avlastning?
Beredskap må designes for å tåle at enkeltpersoner faller fra. Det krever rotasjon, dybdekunnskap og at kompetanse spres utover flere hoder.
Fra perm til praksis
Vi trenger neppe flere strategidokumenter, nye utvalg eller tykkere beredskapsplaner. Vi trenger å teste om det vi allerede har, faktisk fungerer når rammebetingelsene svikter:
- Øv på de manuelle konsekvensene: Kommuner og etater må slutte å øve bare på kommunikasjon og samvirke via Teams og PC. Kutt strømmen og sambandene i øvelsene, og se hva som skjer når oppgavene må løses analogt.
- Øv på utholdenhet og avløsning: Lag planer for hvordan bemanningen skal rullere etter de første 48 timene. Hvem overtar når nøkkelpersonene må sove?
- Fjern personavhengighet: Kritiske oppgaver må dokumenteres så enkelt og intuitivt at en vikar eller kollega kan utføre dem i mørket med lommelykt.
- Bruk øvelser til å finne feil: DSBs egne øvingsveiledninger slår fast at øvelser må gi reell læring. En øvelse der alt går etter boka, er ikke nødvendigvis en god øvelse. Målet må være å finne bristepunktene før en reell krise avdekker dem for oss.
Vi kan vedta planer, vedtekter og organisasjonsstrukturer. Vi kan bevilge penger og investere i datasystemer.
Men vi kan ikke vedta oss til operativ kompetanse. Vi kan ikke instruere frem motivasjon, og vi kan ikke skrive rapporter for å skape fysisk utholdenhet.
Beredskap bygges nedenfra, gjennom mennesker som vet hva de skal gjøre, har øvd på det, og som har rammebetingelser som gjør det mulig å stå i krisen over tid.
Når skjermene blir svarte, hjelper det lite at planen var perfekt på papiret, hvis ingen er i stand til å gjennomføre den.
Kilder og referanser
- Nasjonal sikkerhetsmyndighet (NSM): nsm.no – Varsel om nasjonalt cyberrisikonivå HØYT.
- Direktoratet for samfunnssikkerhet og beredskap (DSB): dsb.no – Råd om egenberedskap i én uke og veiledning om kommunal beredskapsplikt.
- DSBs Kommuneundersøkelse: Kartlegging av kommunale beredskapsråd og øvingsaktivitet i norske kommuner.
- Sivilforsvaret: sivilforsvaret.no – Fakta om tjenesteplikt og forsterkningsressurser.
- Regjeringen / Departementene: NOU 2023: 17 – Nå er det alvor (Totalberedskapskommisjonens utredning).