Krever at telenettene beskyttes bedre mot sabotasje

El- og IT-forbundet er bekymret for at russiskvennlige underleverandører med bygge- eller vedlikeholdsoppdrag skal gjennomføre sabotasjeaksjoner mot norske mobil- eller bredbåndsanlegg.

Teleselskapene og digitaliseringsminister Karianne Tung mener telenettene allerede er beskyttet gjennom strenge sikkerhetskrav, men forbundet mener myndighetene må legge mer av telekominfrastrukturen inn under sikkerhetsloven for å gjøre det lettere å sikre den mot angrep.

– Vi har allerede sett sabotasje mot sjøkabler i Østersjøen. Og vi deler Globalconnects bekymring for at det bare er et spørsmål om tid før de målrettede angrepene på fiber og mobilmaster som Sverige har opplevd, også rammer Norge, sier Steffen Bjørkavåg Olsen, som leder El og IT-forbundets teleentreprenørutvalg, til Digi.

Lister opp tiltak

– En god del av 4G- og 5G-nettene er for eksempel bygd med underleverandører fra Serbia, et land med tette sikkerhetspolitiske bånd til Russland. I Huawei-saken tok norske myndigheter raskt affære, og stanset selskapet fra å bygge ut 5G-nettet. Vi savner samme handlingskraft mot selskaper fra land med tett samarbeid med Russland. Norge må ha et regelverk som stiller tydelige krav til hvilke aktører som får tilgang til å bygge kritisk infrastruktur, sier Bjørkavåg Olsen.

Han frykter at noen kan legge inn lave anbud på bygge- eller vedlikeholdsoppdrag for å få tilgang til viktig telekom-infrastruktur.

– Alt fra nødetater, strømforsyning, transport, helsevesen og media – er helt avhengig av stabile og trygge ekom-tjenester. Likevel ser vi at regelverket og sikkerhetsrammeverket ikke er tilpasset den nye virkeligheten vi står i nå, sier han.

El og IT-forbundet har nå laget en liste med tiltak de mener bør gjennomføres for å minske faren for at slike oppdrag kan bli brukt til å gjennomføre sabotasje.

• En større andel av ekomnettene enn i dag, bør legges inn under sikkerhetsloven, slik at det blir strengere krav for hvem som får arbeide med dem.

– I dag er det i praksis skjøtekummer, spesielle sentraler og knutepunkt i nettet som er omfattet av sikkerhetsloven. Vi mener alt unntatt aksessnettet fra vei og inn til sluttkundene, bør regnes som kritisk infrastruktur, og omfattes av bestemmelsene i loven, sier Bjørkavåg Olsen.

• Det bør være krav om relevant fagbrev for å arbeide på ekomnettene.

– I tillegg til å bedre sikkerheten, gir det kvalitet og profesjonalitet hos leverandørene – samtidig som det motvirker arbeidslivskriminalitet og sosial dumping, sier Bjørkavåg Olsen.

• Nkoms tilsyn og kontroll bør styrkes. I dag gjennomføres det lite feltbaserte tilsyn på nettene.

– Vi krever at Nkom tilføres 10 millioner kroner i øremerkede midler for å bygge opp en aktiv kontrollvirksomhet som kan avdekke både sabotasjehandlinger og arbeidslivskriminalitet, sier Bjørkavåg Olsen.

Han medgir at El og IT-forbundet ikke har diskutert dette beløpet med Nkom.

– Nkom har fått flere nye oppgaver det siste året, uten at de har fått tilført mer penger. Det vil sikkert være behov for mye større summer enn dette, men vi må jo starte et sted, sier han til Digi.

• Bedre samhandling mellom myndigheter, netteierne og entreprenørene. Informasjonsdeling og rask respons er avgjørende for å avdekke og stoppe sabotasje.

– Det virker ikke som om det er samme fokus på sikkerhet som det er på oppetiden i nettene. I møter med Nkom, for eksempel, henvises vi fort til NSM eller netteier når vi begynner å snakke om sikkerhet. Vi føler at det trengs mer koordinering og samhandling mellom etatene, sier Bjørkavåg Olsen.

• Telenor, Telia og Ice bør ha krav om forhåndsgodkjenning av underentreprenører i sine kontrakter for å ha kontroll på hvilke underleverandører deres leverandører henter inn.

– Dette er vanlig i bygge- og anleggsbransjen, og burde være det i telekomsektoren også, sier Bjørkavåg Olsen.

– Følger strenge krav

Sikkerhetssjef i Lyse Tele, Erik Haugland, skriver i en epost til Digi at han ikke mener ekomsektoren har noe mindre strenge innkjøpskrav til underleverandørene enn det som er vanlig i bygg- og anleggssektoren for øvrig. Han sier at Lyse Tele følger strenge sikkerhetskrav både for den delen av virksomheten som er underlagt sikkerhetsloven, og den delen som ikke er det.

Haugland opplyser at sikkerhetsloven stiller en rekke krav til håndtering av leverandørkjeder. Blant annet kreves det sikkerhetsavtaler med kritiske leverandører, og hvilke anskaffelser som kan inngås med leverandører fra ulike land reguleres med utgangspunkt i en land-klassifisering som bygger på vurderinger fra etterretnings- og sikkerhets-tjenestene. Enkelte leverandører må også klareres av Nasjonal Sikkerhetsmyndighet.

– Lyse Tele følger de råd og føringer myndighetene gir oss. I tillegg har vi egne retningslinjer for blant annet valg av leverandører som revideres fortløpende. Når det gjelder leverandører av tjenester som ikke berører sikkerhetsloven, så gjøres det i Lyse Tele risikovurderinger som skal ligge til grunn for valg av leverandør.

En del av denne risikovurderingen vil kunne være knyttet til hvilke land leverandøren kommer fra, skriver han.

Han legger til at sikkerhetsavtalene deres inneholder klausuler som skal sikre at oppdragsgiver varsles ved utskiftning av underleverandører, og kan agere hvis utskiftingen ikke er ønskelig av sikkerhetsgrunner.

Telenor sier til Digi at de krever et høyt fokus på sikkerhet fra sine leverandører.

– Våre leverandøravtaler er utarbeidet i samsvar med gjeldende norsk lovgivning, blant annet sikkerhetsloven. Vi gjennomfører regelmessig oppfølging og kontroll av avtalene for å sikre at kontraktsmessige og lovpålagte krav etterleves, skriver informasjonssjef Vetle Andersen i en epost.

– Flere sikkerhetstiltak

Digitaliseringsminister Karianne Tung skriver til Digi at regjeringen nylig la fram nasjonal sikkerhetsplan for digital infrastruktur for å øke sikkerheten i norsk telekominfrastruktur, og at hun der kommer med flere tiltak som skal øke sikkerheten og få nettene raskt opp igjen ved eventuell sabotasje.

– Blant annet vil vi at bransjen og Nkom samarbeider om en felles bransjestandard for fysisk sikring av viktige kommunikasjonskabler.

Tung sier at myndighetene også har pålagt bransjen et selvstendig ansvar for å opprettholde forsvarlig sikkerhet i ekomnett og -tjenester.

– Dette omfatter hvem som til enhver tid utfører arbeid på nett og tjenester, skriver hun.

Hun påpeker at tilsyn med at tiltakene gjennomføres, vil være viktig. Men på spørsmål om Nkom trenger økte midler, skriver hun at hun har tillit til at Nkom gjør gode prioriteringer av ressursene de har tilgjengelig.