I efteråret kunne man læse, hvordan Tureby Alkestrup Vandværk havde været udsat for et hacker-angreb. En uidentificeret gruppe havde via fjernadgang fået adgang til at manipulere med trykket på pumpesystemet. Først lukkede hackergruppen helt for vandforsyningen, hvilket betød, at oplandet i en periode måtte stå uden vand i hanerne. Herefter skruede hackergruppen så voldsomt op for trykket, at vandrørene sprang.

Man kan spørge sig selv, hvordan det kan lade sig gøre, at en hackergruppe forholdsvist let kan kompromittere kritisk infrastruktur ved at skaffe sig adgang til styringen af pumpetrykket på et vandværk? Svaret er det simple, at vandværket havde valgt en billigere it-sikkerhedsløsning frem for andre dyre valg. 

Det indgår tillige i fortællingen om hændelsen på Alkestrup Tureby Vandværk, at vandværkets styre-systemer kunne tilgås med en ”1234” pinkode, som i øvrigt hang frit fremme på en opslagstavle i frokoststuen.

I lyset af den nuværende udenrigs- og sikkerhedspolitiske virkelighed, herunder den stadigt øgede trussel mod Danmark fra andre stater, synes det alarmerende, at kritisk infrastruktur, som vandforsyning jo unægteligt er, er blottet for angreb fra omverdenen i det omfang, som Tureby Alkestrup Vandværk var.

Begrebet ”hybride angreb”, der er relativt nyt, kom i efteråret på alles læber i kølvandet på, at der var observeret uautoriserede droneflyvninger flere stede i landet, herunder over Københavns Lufthavn. 

Magtesløse tilskuere

Hændelserne viste på deres egen måde, hvordan beredskabet i flere henseender optræder som magtesløse tilskuere. Tilskuere til deres egen absolutte ydmygelse og blotlæggelse af, at ingen ved, hvad de skal gøre, når krisen først rammer. Det gik dog ikke værre, end at dronerne efter deres rekognoscering selv fløj tilbage, til hvor de kom fra. Det kræver dog ikke meget fantasi at forestille sig et hændelsesforløb, der var endt meget mere dramatisk.

Statsministeren udtalte i forbindelse med droneflyvningerne, at både Danmark og Europa er under mere voldsomme og hyppige hybride angreb. Disse angreb udgjorde ifølge statsministeren en ”ny virkelighed”. Forsvarets Efterretningstjeneste vurderede kort efter i en vurdering af den hybride trussel mod Danmark, at navnlig truslen fra Rusland vil være stigende de kommende år.  I lyset af den seneste geopolitiske udvikling i Sydamerika og i Arktis kan det fra en lægmandssynsvinkel ikke udelukkes, at truslen i fremtiden ikke alene vil komme fra øst.  

Udviklingen giver anledning til at overveje, om vi som samfund er parate til at navigere i denne nye virkelighed, hvor hybride angreb er blevet hverdagskost? Der er ingen tvivl om, at simple adgangskoder som ”1234” og valg af billige it-sikkerhedsløsninger på lokale vandværker i fremtiden bliver et nationalt anliggende, hvor det bliver afgørende, at beredskabet kan træde til, når kritisk infrastruktur lammes af udefrakommende kræfter.

Betyder det, at vi kalder det ”hybride angreb”, når fremmede statslige eller ikke-statslige enheder foretager angreb af den beskrevne karakter, at situationen er mindre alvorlig, end når der er tale om en regulær væbnet konflikt?

I den nuværende verdensorden udviskes grænserne mellem krig og fred. Hybride angreb mod kritisk infrastruktur som f.eks. cyberangreb mod vandforsyningen kan være lige så lammende for samfundet, som det vi i klassisk forstand betegner som krig. Vi bør ikke forlade os på semantik, men derimod tage situationens alvor for, hvad den er, og handle og forberede os derefter.

Statens forpligtelser

Men hvad er egentlig de retlige rammer for tilrettelæggelsen af sådan handling og forberedelse, og hvem har det overordnede juridiske ansvar for opretholdelse af samfundets funktioner, hvis vi udsættes for et større struktureret hybridangreb?

Reglerne herom følger bl.a. af beredskabsloven, hvor det følger af § 24, at de enkelte ministre inden for deres område hver skal planlægge for opretholdelse og videreførelse af samfundets funktioner i tilfælde af større ulykker og katastrofer, herunder udarbejde beredskabsplaner. Kommunernes og regionens planlægningsforpligtigelse følger af lovens § 25.

Selve forpligtelsen for statslige myndigheder til at foretage den i bestemmelsen beskrevne generelle beredskabsplanlægning blev præciseret ved en lovændring i 2014 efter en politisk aftale om, at samfundets krisestyringskapacitet skulle udvikles og prioriteres. Efter lovens forarbejder indebærer dette, at myndigheder og andre relevante aktører skal være bedre rustede til at foretage den overordnede styring og koordination af beredskabsindsatser.

Den enkelte minister delegerer herefter planlægningskompetencen efter § 24 til en underliggende myndighed. Disse myndigheder er herefter forpligtede til at udarbejde generelle beredskabsplaner, der imødekommer kravene i bestemmelsen. Formålet med reglerne er således at opnå en effektiv krisestyring, hvilket efter ændringslovens forarbejder forudsætter, ”at alle aktører har forberedt sig på og er fortrolige med deres rolle og ansvar, og at de har handlingsorienterede beredskabsplaner, som i fornødent omfang er koordineret med de tilsvarende planer hos samarbejdsparter.”

Statslige myndigheders generelle planlægningsforpligtigelse efter beredskabslovens § 24 er således ret klar og udtrykkelig. Bestemmelsen er i øvrigt suppleret af en vejledning, der giver overblik over beredskabsmæssige forpligtelser og grundlæggende principper om beredskabsplanlægning. Fra lovgivers side er der gjort meget for, at ingen er i tvivl om deres pligter.

Ministerier dårligt forberedte

På trods heraf tegner Rigsrevisionens beretning over ministeriernes beredskab til håndtering af kriser et mere dystert billede af, hvad ni udvalgte ministerier gør for at forberede sig på større ulykker og katastrofer, som de ikke kan løse med de sædvanlige ressourcer og rutiner.

Heraf fremgår det, at ministerierne i sin helhed ikke er tilstrækkeligt forberedt på kriser, at selvom der faktisk er udarbejdet og indsendt beredskabsplaner, så følger mange af planerne ikke centrale anbefalinger om at øve og evaluere beredskabet, og at koordineringen i systemet er utilstrækkelig. 

Det fremgår videre, at kun tre ud af ni undersøgte ministerier har lavet retningslinjer til kommuner/regioner, selvom det har været pligtigt i flere år, hvilket kan føre til manglende eller utilstrækkeligt planlagte beredskabsplaner i praksis. Det fremhæves i øvrigt, at den overordnede nationale beredskabsplan ikke er blevet øvet i årevis.

Overordnet set må det konstateres, at planlægningspligten har reelle og - i lyset af den nuværende situation - alvorlige implementeringsudfordringer. I en tid hvor verden står i flammer, er det vigtigt, at vi ikke agerer ufornuftigt og negligerer de reelle trusler, der venter lige om hjørnet.

Selvom den kommunale og regionale beredskabsplanlægning efter beredskabslovens § 25 sker afhængigt af statens nationale beredskabsplanlægning efter § 24, så giver de haltende forhold fra statslige myndigheders side anledning til, at kommuner og regioner selv proaktivt overvejer, i hvilket omfang der kan handles uafhængigt af staten. Kommuner og regioner bevarer nemlig muligheden for uafhængigt af staten at etablere et vist beredskab, herunder i forhold til styring af basale organisatoriske forhold og etablering af driftsnære foranstaltninger som f.eks. nødprocedurer, hvis vandforsyningen svigter.  :