Når bits og bytes bliver statssikkerhed: Hvad cybersikkerhed betyder for national suverænitet

Et land kan have verdens stærkeste hær, men hvis fjenden kan slukke for strømnettet, lamme hospitalerne og manipulere valgsystemet fra et kontor 5.000 kilometer væk, er den militære styrke langt hen ad vejen ligegyldig. Det er den nye virkelighed, som stater verden over er tvunget til at forholde sig til. Det er en virkelighed, der fundamentalt udfordrer vores traditionelle forståelse af, hvad national suverænitet egentlig betyder.

Suverænitet har i årtier handlet om territorial kontrol: evnen til at forsvare sine grænser, håndhæve sine love og styre sine egne anliggender uden indblanding udefra. Men cyberspace har ingen grænser. Et angreb fra Nordkorea, Rusland eller en statsstøttet hackergruppe i Kina kan ramme dansk kritisk infrastruktur på millisekunder, uden at et eneste soldaterstøvle sætter fod på dansk jord. Det er ikke et fremtidsscenarie. Det sker nu, og det er sket mange gange allerede.

Hvad er cybersikkerhed – og hvad har det med suverænitet at gøre?

Cybersikkerhed er i sin grundform beskyttelsen af digitale systemer, netværk og data mod uautoriseret adgang, sabotage eller manipulation. Men i en statslig kontekst handler det om langt mere end virusbeskyttelse og firewalls. Det handler om evnen til at opretholde samfundets kritiske funktioner (el, vand, kommunikation, finanssystemer og demokratiske processer) selv under et koordineret digitalt angreb.

Begrebet kritisk infrastruktur dukker op igen og igen i denne sammenhæng. Det dækker over de systemer, hvis bortfald ville have alvorlige konsekvenser for samfundets funktion: elsektoren, telekommunikation, transport, sundhedsvæsen og finanssektoren. Når disse systemer i stigende grad er digitaliserede og forbundne med hinanden og med omverdenen, opstår der nye sårbarheder, som en statslig angriber kan udnytte som et strategisk instrument.

Suverænitet i cyberspace handler dermed om tre ting på en gang: evnen til at forsvare egne systemer, evnen til at kontrollere hvem der har adgang til ens digitale infrastruktur, og evnen til at handle selvstændigt uden at være afhængig af fremmede magters teknologi eller goodwill. Det er her, det bliver kompliceret, og her, hvor mange vestlige demokratier, herunder Danmark, står med en fundamental udfordring.

Den digitale angrebsflade – og hvorfor den kun vokser

For blot to årtier siden var det meste af samfundets kritiske infrastruktur fysisk og isoleret. Elkraftværker blev ikke styret via internettet. Hospitalers patientjournaler lå ikke i skyen. Valgsystemer var papirbaserede. I dag er billedet et helt andet. Digitaliseringen har skabt enorme effektivitetsgevinster, men den har samtidig udvidet det, fagfolk kalder angrebsfladen: det samlede antal mulige indgangspunkter for et digitalt angreb.

Hver enhed forbundet til internettet er potentielt et svagt led. Det gælder industrielle styresystemer på kraftværker, medicinske apparater på hospitaler og de millioner af privatpersoners enheder, der udgør den infrastruktur, samfundets digitale kommunikation flyder igennem. Når Danmark eksporterer sin digitaliseringsmodel som et forbillede, og vi er i verdensklasse på digital offentlig service, eksporterer vi implicit også vores sårbarhed.

Det er værd at bemærke, at digitaliseringen ikke er et valg, man kan fortryde. Samfund, der vælger at afdigitalisere sig, mister konkurrencekraft, effektivitet og serviceniveau. Den eneste vej frem er at acceptere den øgede angrebsflade og investere massivt i at forsvare den. Men det kræver ressourcer, kompetencer og, ikke mindst, en politisk forståelse af, at cybersikkerhed ikke er et IT-problem, men et sikkerhedspolitisk problem.

Statsstøttede hackerangreb – krig uden krigserklæring

De farligste trusler i cyberspace kommer ikke fra ensomme teenagere i kældre, men fra statslige aktører eller grupper, der opererer med statens velsignelse. Rusland, Kina, Nordkorea og Iran er konsekvent de mest nævnte i internationale efterretningsrapporter som de mest aktive statslige cyberangribere. Det, der adskiller disse aktører fra kriminelle hackere, er ressourcerne, tålmodigheden og de strategiske mål.

Et statsstøttet cyberangreb kan have mange former. Det kan være spionage: at skaffe sig adgang til fortrolige oplysninger om forsvarsplaner, diplomatiske forhandlinger eller industrielle hemmeligheder. Det kan være sabotage: at ødelægge eller lamme kritisk infrastruktur, som det skete i Ukraine i 2015 og 2016, hvor russiske hackere to gange lykkedes med at slukke strømmen for hundredtusinder af ukrainere. Og det kan være påvirkning: at manipulere den offentlige mening, undergrave tilliden til demokratiske institutioner og sprede desinformation.

Fra et strukturelt perspektiv er det centrale problem, at cyberangreb befinder sig i et juridisk og politisk ingenmandsland. De er sjældent en krigshandling i traditionel forstand, men de er heller ikke blot kriminalitet. De falder i en gråzone, hvor det internationale samfund endnu ikke har skabt klare normer for, hvad der udgør en rød linje, hvad der legitimerer et modsvar, og hvem der har bevisbyrden for at identificere angriberen. Det er ikke tilfældigt, at statslige aktører udnytter netop denne uklarhed.

Læs også: Overvågningsstaten Danmark: Sådan fungerer den digitale kontrol med borgerne

Danmark og cybersikkerhed – en lille stat i et stort spil

Danmark er på mange måder et ideelt mål for statsstøttede cyberangreb. Vi er et lille land med høj digitaliseringsgrad, tætte forbindelser til NATO og USA, avanceret forsvarsindustri og en åben samfundsmodel, der historisk har prioriteret fri informationsudveksling. Vi er med andre ord rige på data, sårbare i infrastruktur og strategisk interessante for stormagter, der ønsker at påvirke alliancen.

Det er ikke hypotetisk. I 2020 offentliggjorde den danske efterretningstjeneste FE (Forsvarets Efterretningstjeneste) og PET, at russisk efterretning i en årrække havde forsøgt at skaffe sig adgang til danske politiske partier, myndigheder og forsvarsrelaterede virksomheder. I 2022 kom det frem, at Forsvarsministeriet og en række virksomheder i dansk forsvarsindustri var blevet kompromitteret af det kinesisk-tilknyttede hackernetværk APT10. Og i 2023 stod det klart, at DDOS-angreb mod dansk kritisk infrastruktur var steget markant, angreb der primært tilskrives pro-russiske hackergrupper som Killnet.

Danmark har som reaktion styrket sine cybersikkerhedsstrukturer betragteligt. Center for Cybersikkerhed (CFCS), der er en del af Forsvarets Efterretningstjeneste, er det nationale koordinerende organ for cybersikkerhed og udsteder løbende trusselsvurderinger. Loven om net- og informationssikkerhed (NIS-loven), der implementerer EU’s direktiver på området, pålægger virksomheder i kritiske sektorer at have et minimumsniveau af sikkerhed og at indberette alvorlige hændelser. Men man må konstatere, at ressourcerne og kompetencerne i den offentlige sektor fortsat ikke matcher den voksende trussel.

Teknologiafhængighed som suverænitetsproblem

En af de mere ubehagelige erkendelser i den geopolitiske debat om cybersikkerhed handler ikke om angreb udefra, men om den strukturelle afhængighed, som vestlige lande har opbygget over årtier. Vi anvender operativsystemer, netværksudstyr og cloudinfrastruktur domineret af et lille antal amerikanske og i stigende grad kinesiske tech-giganter. Det giver disse aktører, og de stater, der regulerer dem, en potentiel adgang til vores digitale infrastruktur, som intet traditionelt spioneringsinstrument har kunnet matche.

Debatten om den kinesiske telekommunikationsvirksomhed Huawei illustrerer dette dilemma med kirurgisk præcision. USA pressede i 2018–2019 sine allierede, herunder Danmark, til at udelukke Huawei fra udbygningen af 5G-netværk med argumentet, at virksomheden ved lov er forpligtet til at samarbejde med kinesisk efterretning. Uanset om man finder det bevist eller sandsynligt, rejser sagen et principielt spørgsmål: Kan et demokrati opretholde reel suverænitet over sin kommunikationsinfrastruktur, hvis den er bygget på teknologi fra en geopolitisk rival?

Det er her systemet viser sin sande logik: Digitaliseringen har skabt en verden, hvor teknologiforsyningskæden er et magtinstrument. Den, der producerer de grundlæggende lag af digital infrastruktur (chips, routere, operativsystemer, cloud-platforme) har potentielt et strukturelt overblik over al kommunikation og data, der flyder igennem disse systemer. Europa og Danmark har meget lidt af denne infrastruktur under national eller europæisk kontrol.

EU som ramme – og som begrænsning

Europæisk cybersikkerhedspolitik er i hastig udvikling. EU’s NIS2-direktiv, der trådte i kraft i 2023, skærper kravene til sikkerhed i kritiske sektorer betydeligt og udvider antallet af virksomheder, der er underlagt regulering. ENISA (Den Europæiske Unions Agentur for Cybersikkerhed) er styrket som koordinerende organ. Og Cyber Solidarity Act og diskussioner om fælles cyberforsvarskapaciteter peger i retning af et mere integreret europæisk svar på truslen.

Fra et suverænitetsperspektiv er EU-samarbejdet et tveægget sværd. På den ene side giver det Danmark adgang til langt større ressourcer, informationsdeling og kollektiv kapacitet, end vi nogensinde ville kunne opbygge alene. Et koordineret europæisk svar på et større cyberangreb er langt mere robust end 27 isolerede nationale responser. På den anden side indebærer EU-samarbejdet, at Danmark overlader dele af sin cybersikkerhedspolitik til et kollektivt beslutningsorgan, der ikke altid bevæger sig med den hastighed, trusselsbilledet kræver.

Det internationale sammenligningsgrundlag er interessant her. Israel investerer uhørt store ressourcer i cyberkapacitet og betragtes globalt som et af de mest avancerede lande på området, ikke tilfældigt i betragtning af landets sikkerhedssituation. Estland, der i 2007 oplevede det første statsrettede massecyberangreb i historien (tilskrevet Rusland), har siden opbygget en cyberforsvarskapacitet, der er markant over landets størrelse. Det estniske eksempel er særlig relevant: Et lille land kan, med den rette politiske vilje og de rette investeringer, opbygge reel cybersuverænitet, og Estland hoster i dag sin digitale statsadministration i distribuerede systemer, der kan opretholde statsfunktioner selv ved en fysisk invasion.

Demokrati som mål – informationskrig og valgpåvirkning

En dimension af cybersikkerhed og suverænitet, der fortjener særlig opmærksomhed, handler ikke om infrastruktur men om det demokratiske systems integritet. Desinformationskampagner, målrettet manipulation af sociale medier og forsøg på at påvirke valg er dokumenterede metoder, som statslige aktører anvender systematisk som del af en bredere hybridkrigsstrategi.

Hybridkrig er betegnelsen for den kombination af konventionelle og ikke-konventionelle virkemidler, herunder cyber, propaganda, økonomisk pres og politisk infiltration, som særligt Rusland har forfinet som en strategisk doktrin. Målet er ikke nødvendigvis at vinde en åben militær konfrontation, men at undergrave modstanderens samfundsmæssige sammenhæng, politiske tillid og beslutningsevne. Det er en strategi, der er særlig effektiv mod åbne demokratier, netop fordi disse samfund er sårbare over for informationsmanipulation og har begrænset tradition for statsstyret informationskontrol.

For Danmark og for demokratier generelt repræsenterer dette en dyb strukturel udfordring. De platforme, som demokratisk debat i dag primært foregår på (Meta, X, YouTube), er private, amerikanskejede og har algoritmer optimeret for engagement snarere end sandhed. Det giver aktører med interesse i at polarisere og destabilisere et fortrin, der er svært at regulere uden at ramme ytringsfriheden. Suverænitet over det digitale informationsrum er måske den sværeste form for suverænitet at opnå.

Magtanalyse: Hvem bestemmer egentlig i cyberspace?

Formel magt i cybersikkerhed ligger i Danmark primært hos tre aktører: Center for Cybersikkerhed (CFCS) under FE, PET for kontraspionageaspekter og Digitaliseringsstyrelsen for den civile offentlige sektors sikkerhed. Forsvarsministeriet og Justitsministeriet deler det politiske ansvar. Men den reelle kapacitet, de tekniske eksperter, de store sikkerhedssystemer, trusselsanalysen, er i praksis spredt mellem disse myndigheder og et voksende privat sikkerhedsmarked.

Læs også: NATO’s beslutningsproces: Sådan fungerer verdens mægtigste militæralliance

Det er her, et misforhold mellem papir og virkelighed træder frem. Mange af de dygtigste cybersikkerhedseksperter arbejder ikke for staten, men for private konsulentfirmaer og sikkerhedsvirksomheder. Det private marked tilbyder højere løn, mere fleksibilitet og i mange tilfælde mere interessante opgaver. Staten er afhængig af at købe disse kompetencer indefra og udefra, men det skaber en strukturel sårbarhed: Kritisk viden om det nationale forsvar er spredt til aktører, der ikke er underlagt den samme form for statslig kontrol og loyalitet som en traditionel forsvarskapacitet.

Dertil kommer en diplomatisk realitet, der sjældent diskuteres åbent: Danmark er i cybersikkerhed i høj grad afhængig af USA’s efterretningsdeling og teknologiske kapacitet, primært via NATO og Five Eyes-samarbejdet. Det giver os adgang til ressourcer og information, vi aldrig selv kunne generere, men det indebærer også, at vores cybersikkerhedspolitik i praksis aldrig er fuldt ud selvstændig. Vi er en junior partner i et asymmetrisk forhold, og det er en form for suverænitetsafgivelse, der sjældent italesættes i den offentlige debat.

Fremtid og konsekvenser

Det er ikke svært at se, hvilken retning udviklingen peger. Kunstig intelligens accelererer kapaciteten for cyberangreb dramatisk: automatiseret spear-phishing, AI-genereret malware og avancerede deepfakes er ikke fremtidsscenarier men nutidige redskaber i den digitale krigsværktøjskasse. Kvantedatalogiens fremmarch truer på sigt den kryptografi, der beskytter størstedelen af verdens digitale kommunikation. Og den geopolitiske spænding mellem Vesten og de revisjonistiske magter Rusland og Kina er ikke aftagende.

For Danmark og for stater af tilsvarende størrelse er svaret nødt til at hvile på tre søjler: investering i national kapacitet og kompetencer, dybere europæisk integration på cybersikkerhedsområdet og en mere åben politisk debat om de suverænitetskompromisser, der allerede er foretaget og dem, der venter forude. Det kræver, at cybersikkerhed løftes fra at være et teknisk nicheemne til at blive en central del af den nationale sikkerhedsstrategi og den brede politiske dagsorden.

Man må konstatere, at den dansker, der bruger NemID, NemKonto og digital post, og som sætter sin lid til, at den digitale stat fungerer og er sikker, har en legitim forventning om, at staten faktisk kan garantere dette. Den forventning er i dag kun delvist indfriet, og kløften mellem borgernes tillid til systemet og systemets faktiske robusthed er et demokratisk og sikkerhedsmæssigt problem, vi ikke kan tillade os at ignorere.

Konklusion: Suverænitet er ikke gratis i det digitale rum

National suverænitet i det 21. århundrede kan ikke måles alene i tanks, krigsskibe og F-35-fly. Den måles også i evnen til at beskytte sine digitale systemer, kontrollere sin teknologiforsyningskæde og opretholde integriteten i sit demokratiske informationsrum. På alle disse parametre er der arbejde, der endnu mangler at blive gjort, ikke kun i Danmark, men i stort set alle vestlige demokratier.

Det centrale budskab fra en strukturel analyse af cybersikkerhed og suverænitet er, at disse to begreber er uadskillelige i den digitale tidsalder. Et land, der lader sin kritiske infrastruktur forblive sårbar, der er totalt afhængig af fremmede teknologiplatforme og som ikke investerer i cyber-kapacitet, har i praksis delvist opgivet sin suverænitet, selv om det ser godt ud på papiret.

Den gode nyhed er, at det estniske eksempel viser, at størrelse ikke er en undskyldning. Med politisk vilje, fokuserede investeringer og en samfundsmæssig erkendelse af truslens reelle karakter kan selv et lille land opbygge en meningsfuld cybersuverænitet. Det kræver bare, at vi holder op med at behandle cybersikkerhed som et IT-driftsanliggende og begynder at behandle det, som det er: et af vor tids vigtigste spørgsmål om frihed, sikkerhed og selvbestemmelse.

Del denne artikel med nogen, der har brug for at forstå det digitale trusselslandskab. Diskutér emnet: i dit netværk, med dine politikere, i dit arbejdsliv. Og hvis du finder ExtraFokus’ journalistik værdifuld, kan du støtte vores arbejde med en donation på vores hjemmeside.

ExtraFokus.com: Dybere blik på verden.