UiS-forsker: – Vi er nødt til i større grad å ta digital infrastruktur inn i loven

Norge mangler kompetanse og har vært altfor naive når det gjelder å sikre viktig digital infrastruktur, mener journalistikkprofessor Helle Sjøvaag ved Universitetet i Stavanger. Hun påpeker at hvem som helst i dag kan etablere datasentre, internettknutepunkter, skylagringstjenester og mellomlagringsnettverk uten innsyn.

Sjøvaag er kritisk til det hun mener er norske myndigheters liberale holdning til sikring og regulering av den digitale infrastrukturen. Hun viser til at Nasjonal sikkerhetsmyndighet har påpekt at datasenterbransjen er dårlig regulert og at dette åpner for spionasje og sabotasje i Norge. Hun påpeker også at justisministeren har satt i gang en gransking av datalagringsavtalen mellom Tiktok og Green Mountains nye datasenter på Hamar.

Stor risiko

Sjøvaag er medieforsker og arbeider med å kartlegge digital infrastruktur i Norge. Hun understreker at infrastrukturen for kommunikasjon i dag spenner fra sjøkabler til datasentre, og mange av disse sektorene er uregulert når det gjelder viktige prinsipper i norsk grunnlov, som transparens og ytringsfrihet.

– Vi er nødt til i større grad å ta digital infrastruktur inn i loven. Jeg støtter veldig en utvidelse av denne jurisdiksjonen, sier hun.

Hun mener det er en stor fordel at norske aktører som Telenor og Altibox er tungt inne i vår digitale infrastruktur, i motsetning til for eksempel i Danmark, som har flere internasjonale aktører. Samtidig opplever vi at utenlandske private børsnoterte selskaper kjøper seg inn, spesielt når det gjelder datasentre og sjøkabler.

– Disse vil være særlig viktige når det gjelder utviklingen av 5G og smarte samfunn, påpeker hun.

I dag finnes det ifølge forskeren rundt 20 datasentre i Norge, og de siste tre årene har utenlandske aktører kjøpt opp syv av disse. Hun mener det er stor risiko ved å la denne bransjen være uregulert, som den i praksis er i Norge i dag.

– Vi kan risikere at aktørene blir så sterke og dominerende at vi er helt avhengige av dem, sier hun.

Sjøvaag mener risikoen med slike dominerende aktører er markedsmakten, eller hva som skjer om de trekker seg ut av markedet eller nekter tjenester. Det vil gå ut over beredskapssikkerheten.

– Vi har jo ingen offentlige alternativer til for eksempel skytjenesten, legger hun til.

Skytjenester med uklare datalagringssteder

Når det gjelder skytjenester er det de store internasjonale aktørene som dominerer, som Microsofts Azure eller Googles skytjenester. Transparens på dette området er vanskelig.

– Skytjenester brukes jo i kommunene, men det er veldig vanskelig å finne ut hvor kommunene lagrer data. Transparensen er nødt til å bli bedre, fastslår hun.

Selv om man vet hvilken skytjeneste som benyttes, er det helt umulig å finne ut hvor dataene er lagret. Dette er problematisk ettersom myndighetene har rett til innsyn når data krysser landegrenser.

– Dette gjør de jo veldig ofte. Man lagrer der det er mest optimalt. Vi tenker ofte på disse strukturene bare som teknologi, men det ligger jo veldig mye makt i dem, sier hun.

Liberal praksis

Norge har veldig liten regulering av digital infrastruktur, understreker forskeren og viser blant annet til at det ikke kreves noen lisens eller offentlig søkeprosess for å opprette et datasenter i Norge.

Her er det overlatt til kommunalt nivå, og kommunene ser ofte bare på muligheten for arbeidsplasser og skatteinntekter. I andre land, som for eksempel i USA, er dette mer regulert. Sjøvaag utelukker ikke at det nettopp er denne liberale praksisen som gjør at mange utenlandske aktører ser til Norge når de ønsker å opprette nye datasentre.

– Sektoranalysen går på strømpriser og kaldt klima, som regnes som en fordel, men liberale reguleringer kan også gjøre at det blir enklere, mener hun.

Dette åpner også for lokale konflikter mellom borgere og kommunale myndigheter, spesielt når det gjelder tilgang til strømressurser. Samtidig påpeker hun at datasenter ofte er svært usikkert.

– De sier de skal komme, og så kommer de ikke likevel og drar til et annet sted.

– Ingen transparens

Sjøvaag mener det er mye norske myndigheter kan gjøre for å få bedre kontroll med datasentre, skylagring og annen digital infrastruktur.

– Flere må komme inn under den nye ekomloven. Det er viktig at vi utvider definisjonen av kommunikasjonsinfrastruktur når vi tenker på paragraf 100 i grunnloven, sier hun og sikter til loven om ytringsfrihet.

Hun mener man i langt større grad må ha fokus på å ha kontroll over egen infrastruktur. Det er også viktig med tanke på den digitale beredskapen.

– NRK er jo pålagt å ha en beredskapsplan, men mesteparten av NRKs innhold strømmes jo via utenlandske mellomlagringsnettverk. Hvis det skulle oppstå en krisesituasjon, er det NRK som har beredskapskravene, påpeker hun.

Hun mener også skytjenestene må sikres på en bedre måte.

– Det er mulig myndighetene har kontroll på dem, men det er jo ingen transparens. Vi vet ikke hvor dataene lagres, sier hun.

Den faren hun ser for seg, er blant annet at det norske markedet plutselig ikke skulle være interessant lenger. Da kan tilbyderen komme til trekke seg fra markedet, med de beredskapsmessige konsekvensene det måtte få. Samtidig understreker hun også faren for spionasje og sabotasje.

– Vi har en nabo i øst og det er usikre tider, sier hun og viser til internettkablene som går utenfor kysten.

– Det har jo vært tilfeller med mistanke om både spionasje og sabotasje, påpeker hun.

– Må gjennomføre sikringstiltak

Statssekretær Ole Gustav Narud i Kommunal- og distriktsdepartementet bekrefter i en e-post til Digi at det verken er konsesjonsplikt eller offentlig søkeprosess for å opprette et datasenter i Norge.

– Ekominfrastruktur er i dag regulert i ekomloven. Flere norske ekomtilbydere er i tillegg underlagt sikkerhetsloven. Dette innebærer blant annet at de må gjennomføre særlige sikringstiltak for objekter og infrastruktur de råder over.

– Det er god sikkerhet i ekominfrastrukturen i dag, og det jobbes aktivt med sikkerhet både fra myndighetenes side og hos ekomtilbyderne selv. Datasentre, som en del av verdikjeden til ekominfrastrukturen, er også regulert gjennom ekomloven og sikkerhetsloven og har vært det gjennom mange år. Vi er enige i at datasentre som egen næring har behov for bedre regulering. Ny ekomlov planlegges lagt frem for Stortinget til høsten, skriver han.

– Det er i høringen av lovforslaget foreslått at det innføres krav om registreringsplikt, både for eksisterende og ny datasentervirksomhet, samt at det vil stilles krav til «forsvarlig sikkerhet» på lik linje som for ekomtilbydere. Departementet vil også intensivere arbeidet med å implementere sikkerhetsloven i datasenternæringen. Dette vil være viktige bidrag til å sikre de mest kritiske tjenestene som leveres av de norske datasentrene.

– Er det riktig at hvem som helst kan opprette et datasenter i Norge uten lisens eller uten en offentlig søkeprosess – bortsett fra på rent lokalt nivå?

– Som for annen ekominfrastruktur er det ikke krav om konsesjon/lisens eller offentlig søkeprosess (bortsett fra kommunale prosesser) for å opprette et datasenter i Norge. Den frie etableringsretten som gjelder ekomsektoren, er basert på europeisk regelverk.

– Det stilles i dag kun krav om å registrere seg som ekomtilbyder for å kunne starte opp virksomhet. De samme kravene er foreslått innført for datasenteroperatører i høringen av lovforslaget for ny ekomlov. Dersom en datasenteraktør for øvrig benytter radiobaserte tekniske løsninger som krever individuell frekvenstillatelse, må slik tillatelse innhentes fra ekommyndigheten.

– Pågangen fra utenlandske aktører har til tider vært stor, og Sjøvaag mener det ikke bare skyldes lave strømpriser i Norge, men også myndighetenes liberale praksis. Er dere enige i dette?

– I gjeldende datasenterstrategi er det et ønske om å legge til rette for datasenteretableringer i Norge. Datasentre er en viktig del av den digitale infrastrukturen. De ulike digitale tjeneste vi tar for gitt og bruker hver dag, og driften av den underliggende digitale grunnmuren (ekominfrastrukturen), realiseres i stor grad ved bruk av datasentre. Det er derfor også viktig å legge til rette for datasenteretableringer nasjonalt. På den måten kan det også stilles krav om sikkerhet i nasjonale datasentre, skriver Narud.

Opptatt av større nasjonal kontroll

Fagdirektør Roar Thon fra Nasjonal sikkerhetsmyndighet (NSM) sier i en kommentar at de på generelt grunnlag er opptatt av større nasjonal kontroll og at de i rapporten Sikkerhetsfaglig råd, som er overlevert regjeringen, har gitt uttrykk for at Norge i større grad må ha tilstrekkelig nasjonal kontroll over funksjoner og infrastruktur med betydning for nasjonal sikkerhet.

– Departementene må i større grad ta hensyn til nasjonal sikkerhet i sin myndighetsutøvelse og politikkutforming, også ut over prosesser for grunnleggende nasjonale funksjoner. Vurderinger knyttet til nasjonal sikkerhet er i for liten grad en integrert del av departementenes langsiktige planprosesser, regelverksutvikling, strategier og utredninger for egen sektor. Dersom nasjonal sikkerhet ikke er en integrert del av den sektorvise myndighetsutøvelsen, står Norge i fare for å overse potensielle konsekvenser som kan skade nasjonale sikkerhetsinteresser.