En ny undersøgelse dokumenterer udbredte sikkerhedshuller hos forsvarsleverandører — et problem, der rammer Danmark særligt hårdt midt i en historisk oprustning.
Konklusion først
Forsvarsindustriens leverandører har systematiske og grundlæggende mangler i deres cybersikkerhed. Det er ikke småfejl i periferien — det er huller i fundamentet. Eksperter vurderer, at hullerne kan udnyttes af statslige aktører som Rusland til at sabotere, overvåge eller manipulere forsvarsrelateret produktion. For Danmark, der er midt i en massiv oprustning og opbygning af en voksende national forsvarsindustri, er problemet ikke abstrakt. Det er akut og konkret.
Baggrund
Danmark bruger i disse år historisk store summer på forsvar. Målet er at nå op på to procent af bruttonationalproduktet i forsvarsudgifter, og der investeres massivt i både materiel, kapacitet og dansk forsvarsindustri. Det betyder, at langt flere virksomheder end tidligere er ved at blive en del af forsvarsforsyningskæden — fra store systemleverandører til mindre underleverandører, der producerer alt fra elektronikkomponenter til specialiserede softwareløsninger.
Parallelt hermed er trusselsbilledet skærpet markant. Ruslands invasion af Ukraine i 2022 har ikke blot ændret den militære geopolitik i Europa — det har også intensiveret den digitale og hybride trussel mod vestlige lande og deres forsvarskapaciteter. Hybridkrig handler ikke kun om soldater og missiler. Det handler om at undergrave, destabilisere og sabotere modstanderens evne til at fungere — herunder ved at angribe de virksomheder, der producerer og vedligeholder forsvarsmateriel.
Det er i den kontekst, at en ny undersøgelse dokumenterer noget, mange sikkerhedseksperter har frygtet: Forsvarsleverandørerne er ikke klar. Hverken teknisk eller organisatorisk.
Hvad sker der
Undersøgelsen, som Ingeniøren har beskrevet, afslører, at forsvarsfirmaer mangler det, eksperter betegner som basale sikkerhedsværn. Det drejer sig ikke om avancerede systemer til at afværge sofistikerede statslige hackere — det drejer sig om grundlæggende hygiejne i it-sikkerhed. Ting som multifaktorgodkendelse (en ekstra bekræftelse ud over adgangskoden, når man logger ind på systemer), opdaterede systemer uden kendte sårbarheder og korrekt konfigurerede adgangsstyringer.
En af eksperterne citeret i Ingeniørens artikel er klar i mælet: "Der er ganske enkelt ingen undskyldning." Det er en hård dom, men den afspejler en grundlæggende frustration i sikkerhedsmiljøet. De manglende sikkerhedsforanstaltninger er ikke dyre eller teknisk komplicerede. De er kendte, tilgængelige og anbefalede af myndigheder verden over — herunder i Danmark.
Det danske Forsvarsministerium arbejder aktivt med cybersikkerhed og har et dedikeret fokus på området gennem Center for Cybersikkerhed, som hører under Forsvarsministeriet. Centret udgiver vejledninger, trusselsvurderinger og anbefalinger til både offentlige myndigheder og private virksomheder i kritiske sektorer. Alligevel viser undersøgelsen, at en væsentlig del af forsvarsindustriens aktører ikke følger disse anbefalinger i praksis.
De centrale spørgsmål
Undersøgelsen rejser flere spørgsmål, som ikke har enkle svar — men som det er nødvendigt at stille.
Hvorfor er hullerne der stadig?
Det er et legitimt spørgsmål, om der er tale om uvidenhed, ressourcemangel eller prioriteringsfejl. Mange af de involverede virksomheder er ikke store forsvarstunge koncerner — de er mellemstore og mindre virksomheder, der er kommet ind i forsvarsforsyningskæden uden nødvendigvis at have en it-sikkerhedskultur, der svarer til de krav, opgaven stiller. For dem kan manglerne skyldes, at de simpelthen ikke ved, hvad der forventes af dem, eller at de ikke har kapaciteten til at implementere det.
Men for de større aktører er argumentet om ressourcemangel svært at acceptere. Her taler eksperter om en kulturel og ledelsesmæssig prioritering — eller mangel på samme.
Hvem har ansvaret?
Her er svaret ikke entydigt. Virksomhederne bærer selv et ansvar for at sikre deres egne systemer. Men forsvarsministerier og indkøbsmyndigheder, der kontraherer med disse virksomheder, har også et ansvar for at stille klare krav og kontrollere, at de overholdes. Hvis en leverandør kan vinde en kontrakt om levering af forsvarsrelaterede komponenter uden at kunne dokumentere et minimum af it-sikkerhed, er der et systemsvigt — ikke kun hos leverandøren, men i hele indkøbsprocessen.
Hvad er den reelle risiko?
Forsyningskædeangreb (supply chain attacks på engelsk) er en velkendt angrebsvektor, hvor fjendtlige aktører ikke angriber det primære mål direkte, men i stedet kompromitterer en leverandør for at få adgang til det egentlige system. Det mest kendte eksempel internationalt er SolarWinds-angrebet, hvor russisk efterretning infiltrerede en softwareleverandør og derigennem fik adgang til en lang række amerikanske myndigheder og private virksomheder.
Samme logik gælder for forsvarsleverandører. Hvis en underleverandør til en dansk forsvarskontrakt er kompromitteret, kan det give en angriber adgang til følsomme oplysninger om systemer, kapaciteter eller planer — information, der i værste fald kan bruges til at sabotere materiel, undergrave operationel planlægning eller kortlægge Danmarks forsvarsmæssige svagheder.
Analyse
Undersøgelsens fund er ikke overraskende for dem, der følger cybersikkerhedsområdet tæt. Men det gør dem ikke mindre alvorlige — tværtimod understreger det et vedvarende og systemisk problem.
Kløften mellem krav og virkelighed
Der eksisterer en velkendt kløft i sikkerhedsmiljøet mellem de anbefalinger, myndigheder udsteder, og den praksis, virksomheder faktisk følger. Center for Cybersikkerhed under det danske Forsvarsministerium arbejder løbende med at styrke Danmarks digitale sikkerhed og udgiver vejledninger til virksomheder i kritiske sektorer. Men vejledninger er netop det — vejledninger. Medmindre de håndhæves som kontraktuelle krav, er det op til den enkelte virksomhed at følge dem.
Det er her, den strukturelle svaghed ligger. Forsvarets indkøbsprocesser har historisk set fokuseret på teknisk kapacitet, pris og leveringsevne. It-sikkerhedskrav har ikke altid haft samme vægt. Det er ved at ændre sig, men undersøgelsen viser, at ændringen ikke er sket hurtigt nok.
Hybridkrig og forsvarsleverandører
Ruslands hybride krigsførelse mod vestlige lande er velkendt og veldokumenteret. Det handler om at skabe usikkerhed, undergrave tillid og svække modstandernes evne til at reagere — uden at krydse den tærskel, der ville udløse en formel militær respons. Forsvarsleverandører er et oplagt mål i den strategi.
Ved at kompromittere en leverandør kan en statslig aktør potentielt få indsigt i, hvad Danmark producerer, køber eller planlægger. I et scenarie med eskalerende spændinger er den slags information ekstremt værdifuld — og skaden kan være sket, længe inden nogen opdager det.
Det er ikke spekulation. Forsvarsministeriet beskriver selv i sin tilgang til cybersikkerhed, at Danmark ruster op i kampen mod digitale trusler. Den oprustning er nødvendig, men den er ikke tilstrækkelig, hvis de private aktører i forsyningskæden ikke er med.
Oprustningens bagside
Danmarks igangværende forsvarsoprustning skaber i sig selv en ny sårbarhed. Når forsvarsbudgetterne vokser hurtigt, og der indgås kontrakter med mange nye leverandører i et kortere tidsrum, øges kompleksiteten i forsyningskæden. Flere aktører betyder flere potentielle indgangspunkter for fjendtlige aktører.
Det er et klassisk sikkerhedsdilemma: Jo hurtigere man skalerer, desto sværere er det at sikre, at alle led i kæden lever op til de nødvendige standarder. Her er der brug for, at myndighederne ikke blot øger indkøbene, men også øger tilsynet og kravene til leverandørernes sikkerhed.
Hvad gør andre lande?
Flere NATO-lande har indført formelle cybersikkerhedscertificeringer som et krav for at komme i betragtning til forsvarskontrakter. I USA er CMMC (Cybersecurity Maturity Model Certification) et eksempel på en model, der pålægger leverandører at dokumentere og lade sig verificere på et defineret sikkerhedsniveau, afhængigt af hvilken type information de håndterer. Modellen er ikke perfekt og har mødt kritik for at være bureaukratisk tung — men den adresserer præcis det problem, som undersøgelsen dokumenterer: at det ikke er nok at udstede anbefalinger, hvis der ikke er konsekvenser for at ignorere dem.
Danmark og EU arbejder på tilsvarende regulering. NIS2-direktivet (Network and Information Security Directive 2), der er implementeret i EU-regi, stiller skærpede krav til cybersikkerhed i en lang række sektorer, herunder forsvar og kritisk infrastruktur. Men implementering og håndhævelse er to forskellige ting, og undersøgelsen antyder, at håndhævelsen endnu ikke er tilstrækkelig.
Eksperternes vurdering holder vand
Når eksperter siger, at "der er ingen undskyldning", er det ikke blot en retorisk pointe. Det er en teknisk vurdering. De manglende sikkerhedsforanstaltninger, som undersøgelsen fremhæver, er ikke avancerede og kostbare systemer, der kræver specialistkompetencer. Det er basale skridt, som er standardpraksis i andre sektorer, og som er tilgængelige for enhver virksomhed, der prioriterer det.
Det gør gabet endnu mere bekymrende. Hvis forsvarsleverandører ikke engang implementerer de basale foranstaltninger, er det svært at have tillid til, at de er i stand til at håndtere mere avancerede trusler.
Konklusion
Undersøgelsen afslører et systemisk sikkerhedshul i forsvarsindustrien — ikke i periferien, men i kernen af, hvad der kræves for at beskytte følsomme forsvarsrelaterede systemer og informationer. Det er ikke et nyt problem, men det er et problem, der er blevet mere presserende i takt med, at trusselsbilledet er skærpet, og Danmarks forsvarsambitioner er vokset.
Ansvaret er delt. Virksomhederne skal levere et minimum af it-sikkerhed — ikke fordi nogen siger det, men fordi opgaven kræver det. Myndighederne skal stille klare, verificerbare krav og kontrollere, at de overholdes — ikke blot udstede vejledninger, som det er op til den enkelte at følge. Og Folketinget bør sikre sig, at den massive investering i dansk forsvar ikke undergraves af, at forsyningskæden er gennemhullet.
Det er ikke et spørgsmål om ressourcer. Det er et spørgsmål om prioritering og konsekvens. Som eksperterne siger: Der er ingen undskyldning.
Kilder
- Forsvarsfirmaer mangler basalt sikkerhedsværn: »Der er ganske enkelt ingen undskyldning« — Ingeniøren
- Cybersikkerhed — Forsvarsministeriet — Forsvarsministeriet
- Forsvarsministeriet — forsiden — Forsvarsministeriet