Gjedrem II-utvalgets rapport om Nasjonal sikkerhetsmyndighet

Rapporten understreker at NSM skal fokusere på kjerneoppgavene etter sikkerhetsloven og at organisasjonen bør benytte lovens muligheter til å delegere oppgaver som kan løses like godt, eller bedre, av andre aktører. Spisskompetansen hos NSM sees i sammenheng med en bredere innsats der flere statlige etater, og ikke minst private aktører, kan bidra til å styrke det forebyggende sikkerhetsarbeidet.

Rapportens tre hovedanbefalinger er:

1. Én sikkerhetslov og én sikkerhetsmyndighet bør videreføres

Modellen med én sikkerhetslov og én nasjonal sikkerhetsmyndighet har verdi og bør opprettholdes. Det sikrer helhet og sammenheng i forebyggende sikkerhetsarbeid, både i sivil og militær sektor.

2. NSMs kjerneoppgaver bør være de som følger av sikkerhetsloven

NSM bør konsentrere ressursene om de oppgavene som eksplisitt følger av sikkerhetsloven. Oppgaver utenfor lovens virkeområde har gjort porteføljen for bred og svekket evnen til å løse kjerneoppgavene godt.

3. NSM bør i større grad nytte mulighetene til å la andre utføre oppgaver

Flere av NSMs oppgaver kan og bør settes ut til andre aktører, for eksempel til sektortilsyn eller næringslivet. Dette gjelder særlig oppgaver som ikke er kjerneoppgaver etter sikkerhetsloven og som kan utføres like godt eller bedre av andre

Dette er utvalgets anbefalinger, og de gjenstår å se hva regjeringen og Justisdepartementet velger å gjøre med NSM. Vi kan likevel forsøke å vurdere hva disse anbefalingene kan bety for næringslivet og de private aktørene som leverer digitale sikkerhetstjenester.

Økt samarbeid og partnerskapsmodeller

Anbefalingen om å la NSM overføre oppgaver som ikke direkte følger av sikkerhetsloven, åpner opp for at ansvar og oppgaver som tidligere ble håndtert av en statlig myndighet, i større grad kan løses i samarbeid med private aktører. Dette kan for eksempel være oppgaver knyttet til rådgivning, tekniske sikkerhetsundersøkelser og vedlikehold av digitale infrastrukturfunksjoner.

Private sikkerhetsselskaper og konsulentselskaper kan få nye kontrakter og utvidede markedsmuligheter for tjenester som i dag utføres av NSM. Samtidig vil det være viktig med tydelige rammeverk og regulereringer for å sikre kvalitet og etterlevelse av nasjonale og internasjonale krav.

Brukerbetaling og markedsbaserte løsninger

Anbefalingene peker på muligheten for at enkelte oppgaver bør finansieres gjennom brukerbetaling. Dette kan føre til en markedsdreven tilnærming der private aktører tilbyr kommersielle tjenester innen digital sikkerhet til virksomheter som normalt bruker slike tjenester.

For næringslivet betyr dette at kostnadsstrukturen kan endres. I stedet for statlige bevilgninger eller betalinger, kan selskaper benytte seg av spesialiserte, kommersielle løsninger som tilbyr bedre tilpassede og effektive sikkerhetsløsninger. Dette skaper også et marked for innovasjon der nye forretningsmodeller kan utvikles.

Økt regulatorisk presisjon og kompetansekrav

Rapporten understreker at NSMs oppgaver må defineres tydeligere, slik at det ikke oppstår uklare grensesnitt – både internt og mot eksterne aktører. Dette gjelder også samarbeidet med andre myndigheter og næringslivet.

For bedrifter betyr dette at kravene til sikkerhetskompetanse og etterlevelse av standarder kan bli skjerpet. Virksomheter med kritisk digital infrastruktur eller tjenester kan i økende grad møte krav om sikkerhetssertifisering, og de må forberede seg på å bygge opp eller styrke egen evne til å planlegge og gjennomføre sikkerhetstiltak. Samtidig vil oppdaterte retningslinjer kunne bidra til en mer forutsigbar og standardisert tilnærming til digital sikkerhet, noe som kan bidra til å senke kostnadene.

Teknologisk innovasjon

Når oppgaver flyttes til næringslivet, vil det være større rom for konkurranse og innovasjon innenfor cybersikkerhet. Dette kan stimulere til utvikling av mer avanserte og moderne sikkerhetsløsninger.

Innovasjonsdrevne teknologiselskaper kan få sterkere insentiver til å investere i forskning og utvikling for å skape neste generasjons sikkerhetsløsninger som både dekker nasjonale krav og er konkurransedyktige i et internasjonalt marked.

Veien videre for næringslivet

Anbefalingene har både direkte og indirekte konsekvenser for næringslivet:

• Mulighet for at private aktører i økende grad vil få ansvaret for å levere tjenester knyttet til digital sikkerhet, noe som kan lede til et mer konkurransepreget marked.
• Muligheter til innovasjon, utvikling av nye teknologiske løsninger og for nye forretningsmodeller.
• Det kan bli en utfordring at bedrifter må tilpasse seg til økte regulatoriske krav og til behovet for å bygge sterke partnerskap og kontrollmekanismer for å sikre høy kvalitet på leveranser.

For næringslivet innebærer anbefalingene at mange bedrifter både må tilpasse seg en endret rolle, hvor de i større grad er samarbeidspartnere og leverandører av sikkerhetstjenester, og at de aktivt kan utnytte de mulighetene som ligger i en økt digitalisering. Bedrifter som raskt tilpasser seg de nye kravene og utvikler innovative løsninger vil kunne dra nytte av et sikkerhetsmarked i vekst, samtidig som de bidrar til et sikrere digitalt samfunn.