Ingen cybersäkerhet utan signalspaning

En inte alltför vild gissning är att regeringen därför skyndar på processen med att närmare utforma det utlovande nationella centret för cybersäkerhet. Det har trots löften blivit fördröjt.

Det vore i grevens tid. Förre generaldirektören för FRA, Försvarets Radio Anstalt, konstaterade för drygt ett år sedan att Sverige varje månad drabbas av 10 000 attacker från statskontrollerade aktörer. Under pandemin konstaterades de ha ökat.

Cyberhotet verkar också ha ändrat karaktär. För inte så länge sedan varnades det för det stora angreppet som skulle lamslå samhället. Nu är det de konstanta störningarna och intrången som prioriteras.

Sverige har visserligen fått cybervärnpliktiga. Och vilka mer offensiva förmågor försvarsmakten har på området är per definition något av det som hör ”the deep state” till. Det hör till det mest hemliga.

Men ansvaret för cybersäkerheten är splittrat på olika departement och myndigheter. Det föreslagna centrat ska inte vara någon egen myndighet utan regeringen har diskuterat att låta ledningsansvaret rotera runt bland myndigheter som FRA, Myndigheten för samhällsskydd och beredskap (MSB) Säkerhetspolisen och Försvarsmakten. Vilket departement som centret ska ligga under är för övrigt fortfarande oklart.

Cyberkrigföringen hör till det moderna så kallade hybridkrigets kännetecken. Gränsen mellan fred och krig är oklar. Vem som angriper är också osäkert. Även gränsen mellan stat och företag upphävs. Statskontrollerade aktörer agerar inte sällan mot exempelvis svenska privata företag. Det komplicerar läget eftersom mycket av de svenska strukturerna när det gäller att möta hot bygger på att den antagonistiska aktören är en stat.

En avgörande fråga för det nya centret är om den ska kunna inrikta signalspaning från FRA, den civila svenska signalspaningsmyndigheten. Utan den förmågan kan det inte slås fast vem som angriper svenska företag. Tyvärr spökar fortfarande ekon av den gamla FRA-debatten där ord som massavlyssning, FRA-shop och integritetskränkning dominerade agendan.

Samtidigt har en myndighet som FRA aldrig haft uppdraget att agera för svenska företag på annat sätt än att kartlägga ”utländsk underrättelseverksamhet mot svenska intressen”.

När cyberhotet upphäver gränser mellan stat och näringsliv komplicerar det tillståndsgivning. Helt klart är att den rådande lagstiftningen är skriven när signalspaningen skulle inriktas mot mer traditionella konkreta militära hot samt terroristorganisationer.

Även förslaget om att den nya föreslagna myndigheten för psykologiskt försvar ska ha tillgång till signalspaning från FRA kräver en djupare analys och kanske också förändring av lagstiftningen. Något uttryckligt stöd för att använda ett av underrättelsetjänstens allra vassaste och känsligaste verktyg för att kartlägga påverkansoperation och informationskrigföring finns inte i dagens lag om signalspaning.

EU:s nationella månad för cybersäkerhet har i vart fall en funktion för Sverige. Det vore nesligt för regeringen om den inte hinner med att presentera centret innan november mörkret lägger sig över Sverige.