Digital robusthet handler om mer enn datasentre og cyberangrep

Regjeringen har besluttet å etablere en nasjonal tjeneste for sikker og presis tid. Det er foreslått å bruke 100 millioner kroner på en nasjonal tidstjeneste som skal gjøre Norge mindre avhengig av satellittbaserte tidssignaler (Nasjonal kommunikasjonsmyndighet [Nkom], 2026a). I løpet av dette året skal Nasjonal kommunikasjonsmyndighet og Justervesenet starte arbeidet med en bakkebasert infrastruktur for sikker og nøyaktig tid, uavhengig av globale satellittnavigasjonssystemer (GNSS) (Nkom, 2026b).

Ved første øyekast kan dette fremstå som et svært teknisk tiltak. Men sikker tid illustrerer en langt større problemstilling for det moderne totalforsvaret.

Mobilnettet, finansielle transaksjoner, kraftsystemer, datanettverk og en rekke andre digitale tjenester er avhengige av korrekt og sporbar tid. I dag bruker veldig mange satellittbaserte systemer for å hente nøyaktig tid. Disse signalene kan imidlertid forstyrres eller manipuleres. Bortfall av en tilsynelatende liten digital basistjeneste som tid kan derfor få konsekvenser langt oppover i samfunnets digitale verdikjeder (Nkom, 2026a, 2026b).

Sikker tid er dermed et godt eksempel på en digital avhengighet som sjelden er synlig for brukeren, men som svært mange andre tjenester er avhengige av.

Dagens sikkerhetspolitiske situasjon har satt totalforsvaret tydelig på kartet. Samtidig har samfunnets avhengighet av digitale tjenester blitt langt større enn da de tradisjonelle totalforsvarskonseptene ble utviklet. Stadig flere samfunnskritiske og militære funksjoner er avhengige av digitale plattformer, skytjenester, data og i økende grad kunstig intelligens.

Dette gjør digital robusthet til en sentral del av totalforsvaret. Men diskusjonen er ofte avgrenset til de mest synlige delene av infrastrukturen. Datasentre, fiberkabler, skytjenester og cybersikkerhet. Det er ikke nødvendigvis her de mest kritiske avhengighetene befinner seg.

Dagens digitale samfunn er bygget opp av en rekke tjenester som er avhengige av hverandre for å fungere. Vi kan sammenligne det med et hus. Først trenger vi en solid grunnmur. Den består ikke bare av strøm og internettforbindelse, men også av systemer som sørger for at informasjon finner riktig vei, at datamaskiner har riktig tid, og at mennesker og systemer kan identifisere seg og stole på hverandre.

Oppå denne grunnmuren bygger vi første etasje. Her finner vi blant annet datalagring, skytjenester og programvare som gjør det mulig for ulike digitale tjenester å kommunisere og samarbeide.

Kunstig intelligens legger enda en etasje til huset. Den trenger store mengder informasjon, betydelig datakraft og tilgang til andre digitale tjenester for å fungere.

Utfordringen er at alle etasjene er avhengige av at det som ligger under, fungerer. Selv om vi har norske datasentre og sikre internettforbindelser, kan viktige tjenester slutte å virke dersom en av de mindre synlige delene av grunnmuren svikter. Flere av disse delene er i dag avhengige av teknologi og leverandører utenfor Norge og Norden. Som for eksempel «sikker tid» hvor man nå ønsker å etablere nasjonal kontroll.

Robustheten til den operative tjenesten blir derfor aldri bedre enn robustheten til den svakeste kritiske avhengigheten under den.

Fra fysisk til logisk infrastruktur

Norge og de nordiske landene har en betydelig digital infrastruktur og arbeider aktivt med å styrke denne. Norge investerer blant annet i fiber, sjøkabler, satellittbasert reservekommunikasjon, reservestrøm og nå nasjonal tidsdistribusjon. Sverige har allerede etablert en distribuert nasjonal tidstjeneste med flere geografisk adskilte tidsnoder. (Netnod, u.å.).

Dette er viktige tiltak. Men de illustrerer også en større problemstilling: Det holder ikke nødvendigvis å ha fysisk kommunikasjon mellom to datasentre. De digitale tjenestene som benytter forbindelsen, må også fungere.

Ta internettets adresseregister (DNS) som eksempel. Det fungerer omtrent som en telefonkatalog og sørger for at vi finner riktig nettsted når vi skriver inn en adresse som nrk.no. Selv om dette systemet er svært robust, kan en norsk beredskapstjeneste være avhengig av en utenlandsk leverandør for å finne riktig adresse. Dersom forbindelsen til denne leverandøren brytes, kan tjenesten bli utilgjengelig, selv om både datasenteret og internettforbindelsen i Norge fungerer.

En norsk beredskapstjeneste kan være plassert i et norsk datasenter og ha en norsk nettadresse. Likevel kan tjenesten være avhengig av en amerikansk leverandør for å finne riktig nettadresse, en annen for å kontrollere brukernavn og passord, og en tredje for å bekrefte at forbindelsen er sikker. Den kan også være avhengig av utenlandske systemer for å utveksle informasjon med andre tjenester, gjennomføre oppdateringer eller endre hvem som har tilgang.

Moderne sikkerhetsarkitektur bygger i økende grad på Zero Trust prinsipper. Brukere, maskiner og tjenester skal kontinuerlig autentiseres. NATO legger eksempelvis Zero Trust til grunn som et viktig prinsipp for digital infrastruktur og cyberrobusthet (NATO, 2026a).

Dette er sikkerhetsmessig fornuftig, men skaper samtidig nye tilgjengelighetsavhengigheter.

En særlig kritisk avhengighet er systemene som kontrollerer hvem som får tilgang til digitale tjenester. Både Forsvaret, nødetatene og sivile beredskapsaktører kan være avhengige av internasjonale leverandører for å bekrefte identiteten til ansatte og gi tilgang til viktige systemer. Dette er en del av moderne sikkerhetsprinsipper som også NATO legger til grunn (NATO, 2026a).

Dersom forbindelsen til disse leverandørene brytes, kan konsekvensene bli alvorlige. Helsepersonell kan miste tilgang til pasientinformasjon, beredskapsledelsen kan få problemer med å dele situasjonsbilder, og Forsvaret kan få utfordringer med å gi nytt personell tilgang til nødvendige systemer. Dette kan skje selv om datasentrene og kommunikasjonsnettene i Norge fungerer.

For totalforsvaret betyr det at evnen til å håndtere en krise kan svekkes av digitale avhengigheter vi verken har oversikt over eller kontroll med. Derfor understreker også NATO behovet for å kartlegge kritiske leverandører og avhengigheter (NATO, 2026b).

Kunstig intelligens gjør problemet større

AI representerer ikke bare en ny teknologisk mulighet. Det skaper også en ny type strategisk avhengighet.

En moderne AI tjeneste er ofte avhengig av en grunnmodell, GPU kapasitet, en skyleverandør, databaser, programvarebiblioteker, identitetstjenester og kontinuerlig tilgang til data. I tillegg introduserer AI en utfordring som skiller seg fra tradisjonelle IT systemer. Systemet kan være tilgjengelig og samtidig gi feil informasjon.

Et datasystem som ikke fungerer, gir normalt en observerbar feil. En generativ AI modell kan derimot produsere et overbevisende, men feilaktig svar. Data eller kontekst kan manipuleres, modeller kan påvirkes og AI agenter kan gis informasjon som får dem til å utføre uønskede handlinger.

I totalforsvaret blir derfor integritet minst like viktig som tilgjengelighet.

Den svenske regjeringen ga i juli 2026 Forsvarets radioanstalt (FRA) i oppdrag å samordne arbeidet med AI relaterte cybertrusler og analysere risikoer, sårbarheter og avhengigheter knyttet til avanserte AI modeller (Regeringskansliet, 2026). I september ble dette fulgt opp med et nytt oppdrag om å undersøke og starte utviklingen av en AI støttet nasjonal cybersikkerhetskapasitet.

Også Finland peker på AI baserte angrep og forsyningskjeder som sentrale utfordringer i cybertrusselbildet (Traficom, 2026).

Samtidig har de nordisk baltiske statsministrene blitt enige om å styrke samarbeidet om robust digital og AI infrastruktur. Ambisjonen omfatter blant annet sikrere grensekryssende datautveksling, interoperabilitet og regionalt samarbeid om AI infrastruktur, data og regnekapasitet (Statsministerens kontor, 2026).

30-dagerstesten

En praktisk måte å vurdere Norges digitale robusthet på kan være å stille et enkelt spørsmål.

«Kan Norge opprettholde kritiske digitale funksjoner dersom forbindelsen til resten av det globale digitale økosystemet er sterkt redusert i 30 dager?»

De første timene eller dagene vil mange tjenester sannsynligvis fungere. Internettets adresseregister (DNS) er lagret lokalt, eksisterende autentiseringsmekanismer er gyldige, applikasjoner kjører og lokale datasentre fungerer.

Etter noen dager begynner imidlertid andre problemer å oppstå. Sertifikater skal valideres, identiteter skal fornyes, programvare skal oppdateres og nye systemer må kanskje etableres. Sikkerhetslogger skal analyseres, og tjenester som bygger på eksterne grensesnitt begynner å feile.

Etter flere uker handler robusthet derfor ikke lenger bare om å holde eksisterende systemer i gang. Det handler om digital fornyelsesevne.

Kan vi opprette nye brukere, utstede sertifikater, bygge nye servere, etablere nye DNS soner, installere programvare, patche en kritisk sårbarhet, gjenopprette et kompromittert miljø eller kjøre en AI modell lokalt?

Dette krever mer enn backup av data. Det krever at også den digitale produksjonskjeden er tilgjengelig: kildekode, programvarepakker, biblioteker, konfigurasjon, kryptografiske nøkler, AI-modeller og nødvendig dokumentasjon.

Fra «Cloud first» til PACE

NATO benytter PACE-prinsippet «Primary, Alternate, Contingency, Emergency» for å bygge robusthet når den primære kommunikasjonsløsningen blir degradert eller faller bort. NATO har også eksplisitt tatt prinsippet inn i sin digitale strategi. Kritiske tjenester skal sikres gjennom redundante og diversifiserte tekniske løsninger basert på PACE (NATO, 2026a).

Det samme prinsippet bør anvendes på kritisk digital infrastruktur.

Den primære tjenesten kan godt være en global kommersiell skytjeneste. Det kan være både økonomisk og teknologisk fornuftig. Men kritiske funksjoner bør ha en alternativ norsk eller nordisk kapasitet, en nasjonal beredskapsløsning og for de aller viktigste funksjonene. Mulighet for lokal eller frakoblet drift, inkludert de nødvendige underliggende tjenestene.

Poenget er ikke at Norge eller Norden skal koble seg fra globale teknologileverandører. Det ville både være svært kostbart og kunne redusere innovasjonsevnen.

Poenget er å unngå at avhengighet blir til strategisk sårbarhet.

En Norsk og Nordisk digital overlevelsesevne

Det neste steget i utviklingen av digitalt totalforsvar bør derfor være å identifisere hvilke digitale basiskapasiteter Norge og Norden faktisk må kunne kontrollere og opprettholde selv.

En slik «Nordic Digital Survival Capability» bør omfatte nordisk internettrafikk, navnetjenester (DNS), sikker tid, digitale sertifikater og identiteter, datakraft og lagring, sikker kommunikasjon, tilgang til nødvendig programvare og AI modeller og evnen til å gjenopprette digitale tjenester.

Det mest interessante vil imidlertid være å kartlegge avhengighetene mellom dem.

Hundrevis av tilsynelatende uavhengige samfunnskritiske tjenester kan vise seg å konvergere mot et lite antall felles underliggende tjenester. Samme identitetsplattform, skyleverandør, DNS-leverandør, sertifikatutsteder, programvarelager eller AI leverandør.

Da har vi en digital konsentrasjonsrisiko som ikke nødvendigvis er synlig når hver virksomhet gjennomfører sin egen risikoanalyse.

Derfor bør også spørsmålet om digital suverenitet endres. Det er ikke tilstrekkelig å spørre om dataene eller datasenteret befinner seg i Norge. Det relevante spørsmålet for totalforsvaret er:

«Kan Norge eller de nordiske landene fortsatt autentisere brukere og systemer, finne og rute digitale tjenester, validere tillit, opprettholde korrekt tid, kommunisere, drifte og gjenopprette kritiske digitale tjenester dersom sentrale globale tjenester blir utilgjengelige?»

Hvis svaret er ja i 30 dager, begynner vi å kunne snakke om reell digital robusthet.

Hvis svaret er nei, har vi identifisert hva neste fase av det norske og nordiske totalforsvaret bør handle om.

Foto: Ole-Sverre Haugli / Forsvaret