Jeg er enig i OLFI’s kritik af CPR-lækket som en ydmygelse af det danske cyberberedskab. Men CPR-skandalen er blot et af mange wakeupcalls, som efter min vurdering ikke bliver omsat til tilstrækkelig handling.

Danmarks cybersikkerhed er hullet som en si. Hovedproblemet er en alt for fragmenteret og utilstrækkeligt koordineret indsats. Vi har et omfattende myndighedsapparat, men hvem står til ansvar for, at beskyttelsen faktisk hænger sammen?

Truslerne stopper ikke ved ressortgrænserne. Det gør myndighedernes ansvar tilsyneladende.

I CPR-sagen har det politiske ressortansvar et navn: Christina Egelund. CPR-administrationen er placeret direkte i Forsknings-, Uddannelses- og Digitaliseringsministeriets departement. Ministeren skal derfor svare på, hvordan hendes eget ministerium har varetaget sikkerheden. Hvilke adgangskrav blev stillet? Hvordan blev de kontrolleret? Hvorfor blev misbruget ikke standset, før det fik dette omfang?

Sikkerhed på tværs

Men problemet rækker ud over selve registeret. CPR indgår i en digital infrastruktur, som myndigheder, virksomheder og borgere er afhængige af. Når uvedkommende misbruger en virksomheds lovlige adgang, bliver det tydeligt, at beskyttelsen også afhænger af sikkerheden i de adgangsveje og systemer, der forbindes med registeret.

Alle, der får adgang til eller anvender CPR-oplysninger, har et ansvar for deres del af sikkerheden. Det gør dem ikke alle ansvarlige for det konkrete læk. Men det betyder, at sikkerheden skal håndteres på tværs. Christina Egelunds ressortansvar og behovet for fælles koordinering er derfor ikke modsætninger. Begge dele skal fungere.

Det tværgående overblik skal ikke først opfindes som en ny myndighedsopgave. Vi har allerede Styrelsen for Samfundssikkerhed, SAMSIK, med centrale opgaver inden for cyber- og informationssikkerhed, tværgående risikovurdering og koordinering.

Derfor må kritikken også rettes direkte mod styrelsen og dens ministerium.

Efter min vurdering leverer SAMSIK ikke den sammenhæng og effektive koordinering, som opgaven kræver. Strategier, analyser og vejledninger er utilstrækkelige, hvis de ikke omsættes til, at myndigheder og virksomheder håndterer fælles sårbarheder.

Hvilket overblik har styrelsen over afhængighederne mellem centrale registre, brugermyndigheder og private virksomheders adgang? Hvem følger op på, at sikkerhedshullerne mellem ansvarsområder bliver lukket?

Kræver effektiv koordinering

Digitaliseringsstyrelsen, Datatilsynet og sektoransvarlige myndigheder som Sundhedsdatastyrelsen og Trafikstyrelsen har forskellige tilsynsopgaver. Netop denne arbejdsdeling kræver effektiv koordinering. Ministeriet for Samfundssikkerhed og Beredskab skal sikre, at SAMSIK har beføjelserne og evnen til at løfte sine tværgående opgaver. Hvis mandatet er utilstrækkeligt, må regeringen ændre det. Hvis det er tilstrækkeligt, må den kræve dokumenterede resultater.

Ansvaret stopper imidlertid hverken hos Christina Egelund eller SAMSIK. Det rækker helt op til statsminister Mette Frederiksen. Efter min vurdering har regeringerne under hendes ledelse ikke fået løst de grundlæggende problemer med fragmentering og utilstrækkelig koordinering.

Samtidig drives digitaliseringen videre. I vores stadig mere tvangsdigitaliserede samfund bliver borgerne afhængige af løsninger, de hverken kan gennemskue eller reelt fravælge. Flere integrationer og adgangsordninger kan åbne nye angrebsveje. Det er politisk uansvarligt, hvis sikkerheden og kontrollen ikke følger med.

Statsministeren kan ikke nøjes med at henvise til ressortministrene. Regeringens organisering, prioritering og opfølgning er et politisk ledelsesansvar. Hun må svare på, hvorfor hendes regeringer ikke har sikret en indsats, der efter min vurdering beskytter borgerne tilstrækkeligt på tværs af myndigheder og virksomheder.

En uafhængig undersøgelse

Folketinget bør kræve en uafhængig undersøgelse af CPR-forløbet, som både omfatter ministeriets og CPR-administrationens dispositioner og samspillet med andre relevante aktører. Konstaterede forsømmelser skal have konsekvenser.

Undersøgelsen skal også afklare, om mangler i den tværgående indsats har bidraget til svigtet.

Christina Egelund skal stå på mål for sit ressort. SAMSIK og dets ministerium skal stå på mål for deres tværgående opgaver. Og Mette Frederiksen skal stå på mål for regeringens samlede indsats. Ansvaret på ét niveau ophæver ikke ansvaret på de andre.

Ellers betaler borgerne prisen i dobbelt forstand: Først for myndighedsapparatet. Dernæst for følgerne af den beskyttelse, der svigtede.

John Michael Foley er it- og cybersikkerhedsekspert, pensioneret major og tidligere stabsofficer i Forsvarskommandoen.