2 Notat – om definisjonen av kritisk infrastruktur

Kjetil Sørli, Direktoratet for samfunnssikkerhet og beredskap, Enhet for analyse og utredning 19. juli 2005

2.1 Innledning

Utvalg for sikring av landets kritiske infrastruktur (ISU) har bedt DSB ved enhet for analyse og utredning om innspill til utformingen av en definisjon av kritisk infrastruktur. Utvalget har så langt laget en arbeidsdefinisjon tilpasset norske forhold. Det vil bli hevdet at en annen tilnærming enn arbeidsdefinisjon kan gi et bedre utgangspunkt for en endelig definisjon. Det vil bli hevdet at en annen tilnærming kan være mer intuitiv ved at den tar utgangspunkt i samfunnets grunnleggende verdier.

2.2 Hvorfor en definisjon?

Hensikten med en definisjon av kritisk infrastruktur er å gi en ramme for, og hjelpe leseren til å forstå hva kritisk infrastruktur er. I seg selv er det en ambisiøs oppgave å beskrive et komplekst område på én eller noen få setninger. Begrensingene er store. En definisjon gjør ikke nødvendigvis leseren i stand til å vurdere om noe konkret er kritisk infrastruktur eller ikke. Til det trengs det en egen metode. Derimot skal en definisjon gi en intuitiv forståelse av hva kritisk infrastruktur er når det arbeides med saksfeltet på et strategisk nivå. Det arbeides for tiden med å utarbeide en egen metode for å identifisere og rangere kritiske samfunnsfunksjoner innenfor forskningsprosjektet BAS5 ved FFI. Metoden vil foreligge i løpet av høsten 2005. 1

2.3 Noen definisjoner

Internasjonalt eksisterer det svært mange definisjoner. I USA er det sågar identifisert åtte forskjellige definisjoner i perioden 1983-2004. 2 NATO har sin egen definisjon, og EU-kommisjonen arbeider for tiden med utarbeidelse av en egen definisjon innenfor rammen av EPCIP (European Programme for Critical Infrastructure Protection). Felles for de som presenteres her, er at det er skapt en helhetlig definisjon ut fra én setning. Felles er også at fokus i definisjonene er på konsekvensene for samfunnet ved bortfall og at infrastrukturen er vesentlig for at samfunnet skal fungere. Bruken av kriterier i definisjonen er også fremtredende.

Canada har følgende definisjon:

Critical infrastructure consists of those physical and information technology facilities, networks, services and assets which, if disrupted or destroyed, would have a serious impact on the health, safety, security or economic well-being of Canadians or the effective functioning of governments in Canada.

USA har følgende definisjon:

Critical infrastructure are systems and assets, whether physical or virtual, so vital to the United States that the incapacity or destruction of such systems and assets would have a debilitating impact on security, national economic security, national public health or safety, or any combination of those matters.

NATOs definisjon er som følger:

Critical infrastructure is those facilities, services and information systems which are so vital to nations that their incapacity or destruction would have a debilitating impact on national security, national economy, public health and safety and the effective functioning of the government.

EU har en foreløpig arbeidsdefinisjon:

Critical infrastructures consist of those physical and information technology facilities, networks, services and assets which, if disrupted or destroyed, would have a serious impact on the health, safety, security or economic well-being of citizens or the effective functioning of governments in the Member States.

ISUs arbeidsdefinisjon er som følger:

Kritisk infrastruktur defineres som de objekter, systemer og tjenester som er så viktige for samfunnet at dere manglende funksjonalitet eller ødeleggelse vil medføre svekkelse av rikets sikkerhet, alvorlig svekkelse av den nasjonale økonomi, alvorlig svekkelse av statens myndighetsutøvelse, betydelig tap av liv og helse og/eller betydelig tap av den nasjonale trygghetsfølelse.

De overnevnte definisjonene er bygget opp likt i tre deler. Hvis vi bruker ISUs definisjon som eksempel, så blir det:

1. Kritisk infrastruktur = objekter, systemer, tjenester…

2. hvis manglende funksjonalitet eller ødeleggelse vil det…

3. medføre svekkelse av rikets sikkerhet, alvorlig svekkelse av den nasjonale økonomi, alvorlig svekkelse av statens myndighetsutøvelse, betydelig tap av liv og helse og/eller betydelig tap av den nasjonale trygghetsfølelse.

Første del etablerer hva infrastruktur er (objekter, systemer, tjenester). Andre del fastslår at bortfall er den aktive faktor. Tredje del lister opp ett sett med grunnleggende verdier/samfunnsfunksjoner(rikets sikkerhet, nasjonal økonomi, statlig myndighetsutøvelse) og kriterier (tap av liv og helse, tap av nasjonal trygghetsfølelse).

2.4 En annen tilnærming?

Tilnærmingen gjør at brukeren tar utgangspunkt i infrastrukturen og vurderer den opp mot et sett med kriterier, verdier og funksjoner ut fra hva manglende funksjonalitet eller ødeleggelse vil bety. En måte forstå definisjonen er at den stiller spørsmålet: Hvilken infrastruktur sikrer de nevnte verdiene, samfunnsfunksjonene og kriteriene? Med en slik tilnærming kan man for eksempel stille spørsmålet om TV-sendenettet er kritisk infrastruktur. Ut fra ISUs arbeidsdefinisjon vil man stille spørsmålet om manglende funksjonalitet eller ødeleggelse av TV-sendenettet vil medføre svekkelse av rikets sikkerhet, alvorlig svekkelse av den nasjonale økonomi, alvorlig svekkelse av statens myndighetsutøvelse, betydelig tap av liv og helse og/eller betydlig tap av den nasjonale trygghetsfølelse. Hvis man får ja på en eller flere, så betyr det at TV-sendenettet er kritisk infrastruktur. Slik kan man fortsette: Medfører manglende funksjonalitet eller ødeleggelse av radio-sendenettet, jernbanelinjer, en passasjerbåt etc svekkelse av rikets sikkerhet, alvorlig svekkelse av den nasjonale økonomi, alvorlig svekkelse av statens myndighetsutøvelse, betydelig tap av liv og helse og/eller betydlig tap av den nasjonale trygghetsfølelse. Ved en slik tilnærming blir det en utfordring å velge ut det store antall potensielle objekter, systemer og tjenester som skal testes ut mot verdiene, funksjonene og kriteriene. Dette kan være en omfattende, tungvint og ikke intuitiv tilnærming.

En annen tilnærming er å ta utgangspunkt i samfunnets grunnleggende verdier, utlede hvilke samfunnsfunksjoner som understøtter disse, og ut fra dette intuitivt få en forståelse for hva kritisk infrastruktur er. La oss derfor først søke å identifisere samfunnets grunnleggende verdier, før vi ser videre på kritiske samfunnsfunksjoner.

2.4.1 Samfunnets grunnleggende verdier

Begrepet viser til verdier som er grunnleggende for å opprettholde samfunnet. I utgangspunktet det et svært omfattende begrep som er vanskelig å avgrense. Det foreligger heller ingen omforent definisjon som presiserer det. Å fylle begrepet med innhold er derfor en subjektiv vurdering preget av hva man ønsker å bruke det til. Forhold som politikk, ideologi og trusseloppfatning bidrar til å forme det. 3 I denne sammenheng er det naturlig å ta utgangspunkt i begrepet slik det er omtalt i dokumenter knyttet til forsvar og samfunnssikkerhet.

I sårbarhetsutvalgets rapport fra 2000 er samfunnets grunnleggende verdier omtalt flere steder. De blir omtalt som «sentrale samfunnsverdier», «viktige verdier i samfunnet» og «grunnleggende og viktige samfunnsverdier». For eksempel:

Samfunnet skal sikres mot utfordringer mot sentrale samfunnsverdier som liv,

folkehelse og velferd, livsmiljøet, det demokratiske system og dets lovlige institusjoner, nasjonal styringsevne og suverenitet, landets territoriale integritet, materiell og økonomisk trygghet og kulturelle verdier. 4

...

Risiko uttrykker fare for tap av viktige verdier som følge av uønskede hendelser. Viktige verdier kan for eksempel være liv og helse, miljø, økonomi og gjennomføring av kritiske samfunnstjenester. 5

...

Utvalget legger til grunn at en krise er en hendelse som har potensiale til å true viktige verdier og svekke en organisasjons evne til å utføre viktige funksjoner. 6

I langtidsmeldingen for Forsvaret for 2005-2008 er verdier knyttet til samfunnet omtalt slik:

I tillegg til stats-, samfunns- og menneskelig sikkerhet, er det å beskytte velferd, miljø og økonomisk trygghet for det norske folk, grunnleggende norske sikkerhetsinteresser. [...] Videre inngår enkelte grunnleggende verdier som viktige komponenter blant Norges sentrale sikkerhetsinteresser. [...] Norske sikkerhetsinteresser berøres derfor av utfordringer som kan true den internasjonale rettsorden, menneskerettighetene, demokrati, rettsstatens prinsipper, økonomisk trygghet og livsmiljøet. 7

De to dokumentene omtaler samfunnet grunnleggende verdier som liv, folkehelse og velferd, livsmiljøet, det demokratiske system og dets lovlige institusjoner, nasjonal styringsevne og suverenitet, landets territoriale integritet, materiell og økonomisk trygghet, kulturelle verdier, gjennomføring av kritiske samfunnstjenester, menneskerettigheter og rettsstatens prinsipper.

Totalförsvarets forskningsinstitut (FOI) i Sverige beskriver samfunnets grunnleggende verdier som respekt for menneskers verdighet, frihet, demokrati, likhet, rettsstatsprinsippet og menneskerettigheter. De grunnleggende verdiene er felles vurderinger som holder samfunnet sammen. Verdiene holdes oppe av og realiseres gjennom det som blir omtalt som samfunnets vitale interesser. 8 De er:

• Bevare fred og nasjonal selvstendighet

• Opprettholde en demokratisk rettsstat

• Opprettholde en god samfunnsøkonomi og beskytte økonomiske verdier

• Beskytte liv og helse

• Beskytte miljøet

I følge FOI er en virksomheter eller et system samfunnsviktig hvis et avbrudd eller forstyrrelse medfører alvorlige konsekvenser for mulighetene til å opprettholde en eller flere av samfunnets vitale interesser.

De tre nevnte dokumentene identifiserer at noen verdier er viktigere enn andre for et samfunn. De er såkalte grunnleggende verdier og interesser for et samfunn. Dette for å skille dem fra begreper som materielle verdier, økonomiske verdier, kulturelle verdier og lignende. I tillegg kan samfunnsverdier omhandle enkelte som ikke er like relevante i denne sammenheng. Dette kan være samfunnsverdier som å vise toleranse og religionsfrihet. De sistnevnte er eksempler på at en diskusjon om samfunnet grunnleggende verdier vil bevege seg i gråsoner og er gjenstand for subjektive vurderinger. Det er derfor en utfordring å være presis og relevant. Et forsøk på å avgrense for vårt formål, kan som tidligere nevnt, være å omtale samfunnets grunnleggende verdier ut fra forsvar og samfunnssikkerhet, selv om også en slik avgrensing vil åpne for gråsoner og subjektive vurderinger, ikke minst sett på bakgrunn av at begrepet samfunnssikkerhet ikke er et omforent begrep.

2.4.2 Kritiske samfunnsfunksjoner

Kritiske samfunnsfunksjoner (ev. samfunnskritiske funksjoner) kan bli brukt for å beskrive de funksjonene som drifter samfunnet, og som samfunnet er svært avhengig av for å fungere. Ved bortfall stopper varer og tjenester som befolkningen er avhengig av. På et overordnet nivå er enkelte så kritiske for samfunnet at de omtales som bærebjelker. Bortfall av bærebjelkene vil merkes umiddelbart, og omfatter funksjoner som kraftforsyning, telekommunikasjon, ledelse/informasjon og forsyning av rent vann og ernæring. 9 Renovasjon kan også omtales som en samfunnskritisk funksjon, men bortfall får konsekvenser først på lengre sikt og er derfor ikke en bærebjelke. Hvor kritisk en funksjon er kan også være situasjonsbestemt, eksempelvis funksjonene territorialforsvar og nasjonale beredskapssystemer. Det er først ved gitte situasjoner slike funksjoner er kritiske for samfunnet.

Leveranse av en samfunnskritisk funksjoner er avhengig av tilgang til gitte ressurser, objekter, systemer og tjenester . Eksempelvis er funksjonen strømforsyning i Norge avhengig av vann (ressurser), damanlegg (objekter), datakontrollsystemer (systemer) og softwareleverandører (tjenester). Ressursene, objektene, systemene og tjenestene kan omtales som kritisk infrastruktur. På den måten er kritisk infrastruktur den infrastrukturen som samfunnets kritiske funksjoner er avhengig av for å fungere.

Med en slik tilnærming er det samfunnets mest grunnleggende behov som er utgangspunktet for hva som er kritisk infrastruktur: Samfunnet har behov for rent drikkevann; hvilken infrastruktur sørger for det? Samfunnet har behov for et fungerende regjeringsapparat; hvilken infrastruktur sørger for det? Samfunnet har behov for transport; hvilken infrastruktur sørger for det osv. De mest kritiske funksjonene dekker opp for de mest kritiske behovene som samfunnet må oppfylle, og funksjonene er avhengig av infrastruktur i form av ressurser, objekter, systemer og tjenester. Skjematisk kan det fremstilles slik:

Samfunnets behov – blir fylt av en funksjon – består av infrastruktur – kan deles i ressurser, objekter, systemer og tjenester.

Fremgangsmåten gir en logisk tilnærming for å vurdere hva som er mest kritisk for samfunnet med utgangspunkt i funksjoner og behov. På den annen side gir den ingen helhetlig tilnærming til hvilken av funksjonene som er mest sårbare og utsatte for bortfall. Sluttrapporten til BAS4 ga en illustrasjon på det. Transport er en kritisk funksjon for samfunnet, men på grunn av stort tilbud, ulike transportformer og redundans ble den ikke vurdert som sårbar . Derimot ble den vurdert som utsatt for enkelte scenarier så som terrorhandlinger. 10

2.5 En tilnærming basert på samfunnets grunnleggende verdier

For å ramme inn de grunnleggende behov og funksjoner kommer samfunnet grunnleggende verdier. Vi har tidligere etablert enkelte av dem, og de kan summeres til å gjelde:

• fred og nasjonal selvstendighet

• en demokratisk rettsstat

• en god samfunnsøkonomi

• velferd

• liv og helse

• livsmiljøet

• nasjonal trygghetsfølelse

Vi får da en logisk kjede, hvor sluttproduktet er kritisk infrastruktur. For eksempel [figur 2.1]:

Legg merke til at en samfunnsverdi er delt opp i flere funksjoner som vist over. En samfunnsfunksjon kan også deles opp i underfunksjoner, som vist i figuren under[figur 2.2]:

Ved en slik tilnærming får vi en diskusjon om hvilke verdier som er samfunnets grunnleggende verdier; de som det er mest kritisk å bevare. Det som blir omtalt som samfunnets grunnleggende verdier blir i denne sammenheng sett opp mot samfunnssikkerhet og forsvar. Det som følger under kommer da som en logisk følge, og vi får en mer intuitiv tilnærming til hva kritisk infrastruktur er.

2.6 Hva da med definisjonen av kritisk infrastruktur?

Vi må ha fokus på hva samfunnets grunnleggende verdier er i definisjonen, hvilke funksjoner som sikrer disse, og hvilken infrastruktur som gjør det mulig. Definisjonen må med andre ord ta utgangspunkt i verdier, ikke infrastruktur. Slik arbeidsdefinisjonen fremstår nå stiller den spørsmålet: Hvilken infrastruktur sikrer de nevnte kriterier, funksjoner, verdier? Noe som kan omtales som å være en nedenfra og opp-tilnærming . Ved å være eksplisitt i å bruke verdier er vi mer presise og stiller spørsmålet: Hvilke verdier og funksjoner er de mest grunnleggende for samfunnet, og hvilken infrastruktur sikrer dem? Dette kan fremstilles som en ovenfra og ned-tilnærming . Ved å ta utgangspunkt i verdier, beholder man også det strategiske overblikket uten å gå i for mange detaljer med en gang. Ved utformingen av en definisjon, blir derfor utfordringen å velge ut samfunnets grunnleggende verdier, og få en diskusjon knyttet til dette, ikke om en infrastruktur er kritisk eller ikke ut fra et sett med kriterier . Som tidligere nevnt er en definisjon ikke tilstrekkelig til å identifisere kritisk infrastruktur. Til det trengs det en egen metode.

Forsøksvis vil en definisjon av kritisk infrastruktur som tar utgangspunkt i samfunnets grunnleggende verdier se slik ut:

Kritisk infrastruktur er de objekter, systemer, tjenester og ressurser som sikrer samfunnets grunnleggende verdier. De er fred og nasjonal selvstendighet, en demokratisk rettsstat,en god samfunnsøkonomi, velferd til befolkningen, liv og helse, livsmiljøet og en nasjonal trygghetsfølelse.

Legg merke til at ressurser er lagt til utvalgets arbeidsdefinisjon sammen med objekter, systemer og tjenester. Det ut fra en forståelse om at en ressurs, som for eksempel råolje og vann, er deler av den kritiske infrastrukturen.

Definisjonen er da bygget opp på følgende måte:

1. Kritisk infrastruktur er de objekter, systemer, tjenester og ressurser

2. som understøtter samfunnets grunnleggende verdier

3. Samfunnets grunnleggende verdier er fred og nasjonal selvstendighet, en demokratisk rettsstat,en god samfunnsøkonomi, velferd til befolkningen, liv og helse, livsmiljøet og nasjonal trygghetsfølelse

2.7 Konklusjon

Hensikten med teksten er ikke å presentere en autorativ definisjon, men å snu diskusjonen til å omhandle hva samfunnets grunnleggende verdier er, hvilke funksjoner som understøtter disse og hvilken infrastruktur som ligger i bunn for å realisere verdiene og funksjonene. ISUs arbeidsdefinisjon slik den fremstår nå kan hevdes å forsøke å gape over for mye: Ved å liste opp ett sett med kriterier/funksjoner/verdier i definisjonen, gir den inntrykk av å gi svar på noe som kun en større metode kan gi svar på. Ved å fokusere på samfunnets grunnleggende verdier gir en definisjon et bedre utgangspunkt for å definere kritisk infrastruktur på et strategisk nivå, uten å gi inntrykk av å være et verktøy for å identifisere kritisk infrastruktur. En definisjon på noen få setninger gir en pekepinn. Den leder tankene på rett vei og gir en intuitiv forståelse av hva kritisk infrastruktur er når det arbeides med saksfeltet på et strategisk nivå