Riksrevisor: En av de mest alvorlige rapportene vi har lagt frem

─ Rapporten om Forsvarets informasjonssystemer er en av de mest alvorlige Riksrevisjonen noen gang har lagt frem, sier riksrevisor Karl Eirik Schjøtt-Pedersen.

Forsvarets operative evne avhenger av muligheten til å samhandle i operasjoner, både mellom ulike deler av Forsvaret og med Nato og allierte. Riksrevisjonen har undersøkt informasjonssystemene Forsvaret bruker for kommunikasjon og informasjonsutveksling i operasjoner. Militærfaglig kalles dette kommando- og kontrollinformasjonssystemer. Informasjon skal deles og kommandoer gis raskt. Forsvaret må derfor sørge for at systemene er effektive. Sikkerhetstrusler mot informasjonssystemene, som sabotasje, terror og spionasje, må også oppdages og stanses raskt.

─ Det er svært alvorlig at det er mangler ved informasjonssystemene Forsvaret bruker i operasjoner. Forsvaret har kjent til dette i mange år og ikke evnet å gjøre det som trengs, sier Schjøtt-Pedersen.

─ I en rekke undersøkelser, blant annet om objektsikring og kjøp av nye helikoptre, har Riksrevisjonen avdekket alvorlige svakheter i Forsvaret. Hvordan er det mulig at de som har ansvar for å sikre Norges suverenitet og selvstendighet har havnet i denne situasjonen? spør Schjøtt-Pedersen.

Riksrevisjonen har undersøkt perioden 2017 til 2020, som sammenfaller med forrige langtidsplan for forsvarssektoren. Selve rapporten er gradert etter sikkerhetsloven, men vi offentliggjør i dag en ugradert oppsummering.

Les den ugraderte oppsummeringen.

Vi kommer til å følge opp denne undersøkelsen allerede om ett til to år for å se om situasjonen har blitt bedre. Årsaken til det er at funnene er så alvorlige. Normalt følger vi opp etter tre år, men her er det helt avgjørende at Forsvarsdepartementet tar tak raskt.

Sårbarheter i sikkerheten kan få store konsekvenser

Riksrevisjonens undersøkelse viser at sårbarheter i Forsvarets informasjonssystemer gir risiko for svekket operativ evne. Det betyr at det kan bli vanskeligere for Forsvaret å håndtere angrep mot norske mål. Riksrevisjonen kritiserer dette, men innholdet i kritikken er gradert.

Ellers mener Riksrevisjonen det er alvorlig at

• Forsvarets evne til å oppdage og håndtere digitale angrep er begrenset i situasjoner med et økt trusselnivå
• Forsvaret bruker informasjonssystemer som ikke tilfredsstiller sikkerhetslovens krav om å beskytte informasjon som skal skjermes

I tillegg mener vi det er sterkt kritikkverdig at Forsvaret

• ikke har god nok oversikt over og kunnskap om informasjonssystemene
• ikke har et mer solid system for sikkerhetsstyring

─ Svakhetene som Riksrevisjonen avdekker kan få store konsekvenser, både i fred, krise og krig. Vi snakker om grunnleggende sikkerhet i en stadig mer digital verden. Forsvaret må sikre informasjonssystemene sine og det må skje raskt, sier Schjøtt-Pedersen.

Digital sikkerhet er svært viktig og digitale angrep har i økende grad blitt en del av militære operasjoner. De kan få like alvorlige konsekvenser som et tradisjonelt angrep. Derfor er det avgjørende at Forsvaret sikrer informasjonssystemene de bruker i operasjoner.

Informasjonssystemene fungerer ikke godt nok sammen

Undersøkelsen viser også at Forsvarets informasjonssystemer ikke fungerer godt nok sammen. Det gir risiko for redusert effektivitet og kan få betydning i en situasjon der konfliktnivået øker og tid er avgjørende. Riksrevisjonen kritiserer dette, men innholdet i denne kritikken er også gradert.

Forsvaret har svært mange informasjonssystemer med ulike tekniske løsninger. Dette gjør det vanskelig å dele informasjon effektivt mellom systemene. I tillegg er det ressurskrevende.

Forsvaret har lenge hatt et mål om å redusere antallet systemer, men har i liten grad klart å begrense antallet. Det mener Riksrevisjonen er sterkt kritikkverdig.

For at Forsvarets informasjonssystemer skal fungere effektivt i operasjoner må informasjon kunne deles enkelt og sikkert mellom ulike systemer. Riksrevisjonens undersøkelse viser at det ikke er tilfelle.

Gradert rapport, ugradert oppsummering

Rapporten om Forsvarets informasjonssystemer er gradert på nivået «KONFIDENSIELT» etter reglene i sikkerhetsloven. Det betyr at den ikke er offentlig av hensyn til rikets sikkerhet.

─ Riksrevisjonen strekker seg langt for å sikre åpenhet om våre undersøkelser. Samtidig må vi følge sikkerhetsloven. Jeg vil understreke at det vi legger frem i dag gir et relativt fullstendig bilde av saken, selv om vi ikke kan gå ut med alle detaljer. Når Riksrevisjonen finner så alvorlige feil i statsforvaltningen er det svært viktig at innbyggerne får vite om det. Det er ikke mange andre som kan gi offentligheten denne typen informasjon om Forsvaret, understreker Schjøtt-Pedersen.

Den graderte rapporten er levert til Stortinget. I tillegg offentliggjør vi en oppsummering av rapporten - en ugradert versjon av Dokument 3:3 (2022─2023). Den er utarbeidet i god dialog med Forsvarsdepartementet, som er informasjonseier. Graderte opplysninger er fjernet og en del informasjon er skrevet om slik at informasjonen kan offentliggjøres. Dette gjelder også deler av Riksrevisjonens kritikk.