Del 2
Digital infrastruktur

2 Digital infrastruktur

Utviklingen av digitale tjenester kan lede til både direkte og indirekte verdiskaping. Uansett hvilken type verdiskaping det er snakk om må samfunnet legge infrastrukturen til rette på en hensiktsmessig måte. På samme måte som samfunnet må sikre gatebelysning, avfallshåndtering og snørydding, er det enkelte digitale oppgaver samfunnet må sørge for å løse.

Store norske leksikon1 definerer infrastruktur som det nett av faste anlegg som er grunnlag for en virksomhet. Eksempler på infrastruktur omfatter veinett, flyplasser, kraftforsyning, bredbånd, vann- og avløpsnett og avfallshåndtering. Historisk har infrastrukturer vært hovedsakelig fysiske, men i dag er den digitale infrastrukturen et viktig fundament for å kunne bygge digitale tjenester og innhold.

Definisjonen og etableringen av hva som utgjør den digitale infrastrukturen er fortsatt relativt umoden. De fleste er enige om at bredbåndsinfrastruktur er viktig, men det er flere andre elementer av digital infrastruktur som er nødvendig for samfunnet.

Hva som utgjør digital infrastruktur kan diskuteres, og senere i dette kapittelet diskuteres både den fysiske infrastrukturen, som bredbånd og mobilnett, og den tekniske eller standardiserte infrastrukturen som informasjonssikkerhet, eID og standardprosedyrer.

Den fysiske infrastrukturen leveres der folk er, og må ofte bygges og driftes lokalt. Dermed er det rimelig at kommuner og fylkeskommuner har ansvaret. Digital infrastruktur kjennetegnes i mange tilfeller av at den nettopp ikke er lokal. Mange kjøreregler og standarder som er vitale for et fungerende internett har vokst fram internasjonalt, som oftest uten at nasjonale myndigheter har vært involvert i det hele tatt. Noen funksjoner er sektor- eller systemspesifikke, som elektronisk identifisering og autentisering, eller systemer for selvangivelse og skatteoppgjør. Mange andre systemer kunne også med fordel vært nasjonale, men av ulike årsaker har det blitt utviklet parallelle systemer som driftes av lokale myndigheter eller av autonome enkeltvirksomheter.

Digital infrastruktur må fungere på tvers av myndighetsnivå, sektor- og samfunnsområder. Informasjon som er rapportert til en myndighet, som adresse, personnummer eller lignende, bør kunne gjenbrukes av andre myndigheter. For eksempel bør registre kunne deles fra helsevesenet til kommunen slik at søknad om barnehageplass kan automatiseres. Et annet eksempel er at alle relevante databaser må kunne deles med kommunene slik at byggeprosesser kan automatiseres. Et eksempel på hvordan dette kan gjøres er å se til hvordan søknad om å installere varmepumpe er automatisert ved digitalisering i Stockholm2. Slike forbedrede prosesser kan føre til bedre tjenester for innbyggerne.

I tillegg kan en fungerende digital infrastruktur bidra til å gjøre offentlig sektor mer effektiv. Digitutvalget tror nasjonale myndigheter må spille en mer aktiv rolle i å bygge det nye, digitale Norge. Et område hvor det er stort forbedringspotensial er delingen av offentlig data. Difis datahotell er en veldig god idé, men foreløpig virker de tilgjengelige datasettene tilfeldige, mangelfulle og lite oversiktlige. Digitutvalget merker seg at få offentlige virksomheter faktisk bruker datahotellet for tilgjengeliggjøring av data. Utvalget mener det må legges bedre til rette for at flere virksomheter kan benytte infrastrukturen om denne skal få tilstrekkelig utbredelse.

Små virksomheter og kommuner kan ikke forventes å prioritere deling av data uten at de ser en reell egenverdi i et arbeid som kan oppleves som krevende, kostbart og meningsløst. Meningen og verdien skapes etter Digitutvalgets oppfatning når mange datasett settes i system og forvaltes på en god måte. Den grunnleggende strukturen må være et overordnet ansvar. Arbeidet virker i dag for tilfeldig.

2.1 Offentlig sektor og nasjonale føringer

De senere årene har arbeidet med deling av data blitt trukket frem gjennom satsingen på offentlige data, digitaliseringsstrategien På nett med innbyggerne og i styrkingen av Skate-samarbeidet. Alle disse dokumentene beskriver de overordnede fordelene med datadeling som få har problemer med å støtte opp om. Likevel er det grunn til å stoppe opp og spørre seg om det finnes tilstrekkelig kompetanse og vilje i de enkelte virksomhetene som skal samarbeide, til å ta gode digitale valg.

I mange tilfeller kan ikke virksomheten selv forventes å ha ressurser eller forutsetninger for å ta valg om hvilken standard eller teknologi som er mest hensiktsmessig. Når det kommer til deling av data har Fiskeridirektoratet i sitt innspill til Digitutvalget påpekt at de selv ikke har formidlingsverktøy eller en presentasjonsløsning for å gjøre sine data tilgjengelig.

«Vi har allerede lagt ut en del aggregert statistikk i vår Statistikkbank (se våre hjemmesider), men den løsningen vi har anvendt der er ikke god nok for å formidle primærdata fra fiskeri og akvakultur. Til det er det behov for betydelig kraftigere verktøy.»

Deling av offentlige data er diskutert nærmere i kapittel 8. I tillegg trekker de fram at det i forbindelse med offentlige anskaffelser på IKT-området settes store krav til dem som innkjøper. Det er både utfordrende å skaffe seg kompetanse på utforming av kravspesifikasjon så vel som oppfølging og implementering.

Mye av informasjonen som håndteres av offentlige virksomheter, og særlig innen helsevesenet, er sensitive personopplysninger som er underlagt strenge krav gjennom personopplysningsloven. Dette stiller strenge krav om konfidensialitet i en digitaliseringsprosess.

Annen offentlig forvaltning, som byggesaksbehandling i kommunal og fylkeskommunal sektor, innebærer ikke samme behandling av sensitive personopplysninger. Her skal i prinsippet data være offentlig tilgjengelig i henhold til offentlighetsloven. De enkelte offentlige etater og sektorer har i stor grad digitale løsninger og systemer, men sammenkobling av relevante datasett og -tjenester synes å være mangelfull, for eksempel mellom ulike kommuner eller kommune og fylkeskommune.

2.2 Bredbåndstilgang; status, mål og virkemidler

Den mest åpenbare forutsetningen for digital verdiskaping er internettilgang. Dagens krav til bredbånd er vesentlig mye høyere enn det var for kun noen år siden. I tillegg går det i retning av at båndbredde- og tilgangsbehovet forsterkes i årene som kommer. Det er fortsatt vanskelig å konkretisere hva fremtidens behov kommer til å være, men utvalget mener at det er grunn til å oppfordre Regjeringen til å vurdere hvorvidt målene for bredbånd bør og må konkretiseres.

Økt behov for bredbånd gjelder både i privat- og bedriftsmarkedet samt innen offentlig sektor. Den norske modellen med markedsbasert utbygging fungerer godt i byer og tettbygde strøk, men dårligere i distriktene. Dette er et paradoks ettersom høykapasitets bredbånd kan kompensere for store avstander til arbeidsplasser, kulturtilbud og helse- og utdanningstilbud for de som bor i mindre sentrale strøk.

Tar vi utgangspunkt i en kapasitet vi for ti år siden kalte bredbånd har Norge tilnærmet full dekning av internettilgang. I tillegg pågår en kontinuerlig bredbåndsutbygging som tar oss nærmere morgendagens kapasitetsbehov.

Både i EU og en rekke enkeltland er det vedtatt ambisiøse mål for høykapasitets bredbånd. Det er støtteordninger for utbygging av høykapasitetsnett i ikke-kommersielle områder, og lagt til rette for framføringsregimer som stimulerer til mest mulig markedsbasert utbygging. Til tross for myndighetenes gjentatte fremheving av bredbånd som essensielt for verdiskaping henger Norge etter på dette området.

Dagens bredbåndsdekning

Den siste undersøkelsen av bredbåndsdekning3 forteller at 99,91 prosent av norske husstander har grunnleggende internettilgang, det vil si minimum 0,64 Mbit/s nedlastingshastighet og 0,128 Mbit/s opplastingshastighet. Dette tallet har økt fra 99,7 prosent i dekningsundersøkelsen fra 20114.

Det innebærer at under 2000 husstander i 2012 mangler grunnleggende bredbåndsdekning. I 2011 var anslaget at rundt 7000 husstander mangler slik dekning. Forklaringen på nedgangen i antallet uten tilbud, skyldes at toveis satellittaksess i år har blitt akseptert aksessmetode. Det innebærer at målet om full dekning for grunnleggende bredbåndstilbud langt på vei er nådd. Når det er sagt, er det viktig å understreke at denne bredbåndsdefinisjonen er ca. 10 år gammel. Således reflekterer den etter Digitutvalgets mening verken dagens eller morgendagens kapasitetsbehov for bredbåndsnett.

Teknologien for utbygging og utnyttelse av bredbånd er i rask og kontinuerlig utvikling. På grunn av den usikkerhet dette gir i forhold til utvikling av kapasitet og behov for bredbånd, har Regjeringen ikke definert noen spesifikk nedre grense for overføringskapasitet.

I stedet har Regjeringen en bruksorientert tilnærming der bredbånd defineres som «toveis kommunikasjonsnett som kan overføre ulike former for data som tekst, lyd og levende bilder og som må kunne bære nye tjenester og tillate at flere bruker nettet samtidig»5.

I henhold til dekningsundersøkelsen faller dekningen ved høyere krav til bredbåndskapasitet. Undersøkelsen viser at 100 prosent har tilgang til 4/0.5 Mbit/s, mens det eksempelvis kun er 62 prosent av norske husstander som kan få bredbåndstilgang med 50 Mbit/s nedlastingskapasitet eller mer. Dersom kravet utvides til 50 Mbit/s

Samtidig som dekningen for høyhastighetsbredbånd med høy nedlastingshastighet (50 Mbit/s) har blitt mer enn tredoblet siden 2010, står det verre til med symmetriske tilkoblinger. Her har andelen husstander med tilgang til symmetrisk kapasitet6 bare økt fra 19 til 26 prosent på de samme årene. Av de som har tilgang til høykapasitet er det verdt å merke seg at de fleste som har tilgang til en 50/50-linje (altså lik ned- og opphastighet) også har tilgang til «dobbelt så bredt» (100/100 Mbit/s) bredbånd.

Videre viser undersøkelsen at det er store geografiske ulikheter. Mens de fleste husstandene i Oslo og Rogaland har tilbud om bredbånd med 50 Mbit/s nedlastingskapasitet, er det seks fylker hvor færre enn halvparten av husstandene har et slikt tilbud7. I Sogn og Fjordane er det praktisk talt ingen utbygging av bredbånd med høy nedlastingskapasitet. Antallet husstander med slikt tilbud er én prosent.

Dette er et klassisk paradoks for bredbåndsutbygging i Norge. I områder hvor det er mest bredbåndsinfrastruktur fra før, bygges det enda mer. Utbygging av høykapasitets bredbåndsnett krever store investeringer. Dette fører til at tettbebygde områder med størst inntektspotensial prioriteres av bredbåndsutbyggere for å sikre nødvendig økonomi i utbyggingsprosjektene.

Utviklingen av digitale forretningsmodeller forutsetter at potensielle kunder har mulighet til å koble seg på internett med kapasitet som tillater nye tjenester som strømmetjenester, videosamtaler, ned- eller opplasting av større datamengder. Dersom bruk av tjenester eller produkter krever over symmetrisk høykapasitetstilkobling, er det mulig å konkludere med at for lav bredbåndskapasitet er et viktig hinder for å utvikle tjenester som kan konkurrere på en global digitalmarkedsplass.

Markedsutviklingen

Bredbåndsmarkedet preges av sterk konkurranse mellom ulike aktører og teknologier. Ulike leveringsteknologier for kablet bredbånd tilbys av ulike aktører. De siste årene har mobilt bredbånd blitt viktigere som både supplement og substitutt. Konkurransen skjerpes i takt med at behovet øker.

Kapasitetsbehovet i bredbåndsnett er økende. I rapporten «Bredt nok? – Kapasitetsbehov og utviklingstrender innen bredbåndskommunikasjon», som Post- og teletilsynet publiserte i desember 20118 pekes det på følgende overordnede trender innen tjeneste- og markedsutvikling som vil øke kapasitetsbehovet i årene fremover:

• Utviklingen på terminalsiden vil endre brukeradferd på en måte som fører til økt kapasitetsbehov

• Utviklingen innen TV- og innholdsdistribusjon vil endre brukeradferd på en måte som fører til økt kapasitetsbehov

• Ulike typer skytjenester blir en betydelig kapasitetsdriver i årene fremover.

• Kapasitetskrevende tjenester er ikke synonymt med underholdningstjenester. Karttjenester, utdanningsressurser, B2B-, skytjenester og nyttetjenester som e-helse eller overvåking vil også drive opp kapasitetsbehovet i årene som kommer.

Denne utviklingen i kapasitetsbehov fremgår også av andre analyser og undersøkelser. Ifølge en undersøkelse gjennomført av Norstat for Kabel Norge ser norske forbrukere et økende bredbåndsbehov i hjemmet. Hele 64 prosent bekrefter at husstanden har et stadig økende behov for raskere bredbånd. Det er en økning på 11 prosentpoeng fra tilsvarende undersøkelse i fjor.9

De siste årene har det vært en klar trend, kjent som consumerization, at forbrukermarkedet har definert utviklingen og at bedriftsmarkedet følger etter. Forbrukere har i mange år lastet opp bildene sine på nettet, delt videoer på YouTube og brukt sosiale medier som Facebook. En rekke analyser viser at bedriftenes nettbruk nå går i samme retning, se kapittel 3.5.8. Det forventes bl.a. betydelig vekst i bruken av forskjellige skybaserte nettløsninger i næringslivet og offentlig sektor de nærmeste årene.

Et annet moment er utbredelse av velferdsteknologi og andre digitale tjenester som forventes utviklet i tiden som kommer. En forutsetning for at hjemmeboende eldre skal kunne følges opp av helsepersonell er at det er tilgang til bredbånd med tilstrekkelig kapasitet. Uten tilstrekkelig bredbåndskapasitet vil ikke legen kunne foreta konsultasjoner over video. Ustabile forbindelser vil i verste fall svekke tilliten til løsningene og det kan oppstå unødvendig risiko i en krisesituasjon.

I sum tilsier dette at etterspørselen etter høykapasitets bredbåndsnett vil øke i årene fremover, parallelt med utbyggingen av neste generasjons bredbåndsinfrastruktur.

Myndighetenes mål for utbyggingen av høykapasitets bredbåndsnett

Av regjeringsplattformen for inneværende stortingsperiode (Soria Moria II) framgår følgende:

«Regjeringen vil:

fortsatt bidra til å øke mobildekningen

fortsette arbeidet for å tilrettelegge for bredbånd med tilstrekkelig kapasitet

til å møte fremtidige behov innen skole, helse, næringsliv og husholdninger i hele landet»10

I motsetning til flere andre land, har Regjeringen frem til nå ikke fastsatt konkrete kapasitetsmål for utbyggingen av høykapasitets bredbåndsnett. Digitutvalget har samlet ulike lands målsettinger i Tabell 2.1. Som vi ser er målene for de fleste land mer konkrete enn i Norge. Et annet punkt det er verdt å merke seg er at målene som hovedregel er definert utfra nedhastighet, noe som etter utvalgets oppfatning kan være en utdatert tilnærming. Flere og flere nett-tjenester er to-veis, og tjenestene har derfor behov for tilstrekkelig opphastighet.

Rapporten «Nasjonale bredbåndsplaner – International best practice»11 kartlegger bredbåndstrategier i syv utvalgte land. Den beskriver best practice internasjonalt når det gjelder mål for bredbåndsdekning, hvilke tiltak som har vært gjennomført i land med de mest ambisiøse målene for bredbåndpolitikken, og hvilken effekt ulike bredbåndstiltak har hatt. I rapporten anbefaler Nexia:

«en tydeligere målformulering for norsk bredbåndpolitikk enn den som fremgår av Soria Moria II-erklæringen. I tillegg til å fastsette kapasitetsmål som knyttes opp mot en gitt tidsperiode.»

Digitutvalget støtter denne anbefalingen og vil på denne bakgrunn oppfordre Regjeringen til å oppdatere sine mål for bredbåndskapasitet i Norge til å matche landene det er naturlig for Norge å sammenligne seg med. Utfra et digitalt verdiskapingsperspektiv er det ti år gamle målet, om 0,64 Mbit/s kapasitet, utdatert. Det norske hastighetsmålet tar ikke hensyn til behovet for symmetriske forbindelser, men setter kun mål for nedstrømshastighet. Videre er det grunn til å bemerke at Post- og teletilsynets anbefalinger til norske forbrukere ikke skiller mellom asymmetriske og symmetriske forbindelser, og dermed kan det bidra til å forsinke en overgang til symmetriske høyhastighetsforbindelser. Utvalget ber derfor Regjeringen vurdere å se hen til det svenske målet om at minst 40 prosent av alle husstander og bedrifter skal ha tilgang til 100 Mbit/s synkron nettilkobling innen 2015, og minst 90 prosent innen 2020.

Utfra dagens situasjon er det realistisk å oppnå en høy dekningsgrad med nedhastigheter opp mot 50 Mbit/s nedhastighet innen 2020. Det er til gjengjeld uklart hvor høy dekningsgrad det vil være lønnsomt for markedet å bygge ut. Det ser ut til å gå vesentlig langsommere å bygge ut symmetrisk kapasitet. Hastigheter over 50 Mbit/s og symmetrisk tilkobling betinger betydelige investeringer i infrastruktur.

Markedsbasert utbygging av høykapasitetsnett

Det synes å være bred politisk enighet om at virkemiddelbruken må innrettes for å gi insentiver til mest mulig markedsbasert utbygging av høykapasitetsnett.

På denne bakgrunn er det relevant å se hen til kapittel 4.2.1 i den tidligere nevnte Nexia-rapporten hvor det vises til følgende politikkområder som må forbedres for å fremme den markedsbaserte utbyggingen av høykapasitetsnett:

• Konkurranseregler, tilgangsregulering og fremføringspolitikk (graveforskrifter) må legge til rette for kostnadseffektiv utbygging av høykapasitetsnett og insentivere markedsstyrt utbygging.

• Frekvenstildeling bør gjøres med utgangspunkt i fremtidens behov for mobil toveis kommunikasjon.

Offentlig sektorer en viktig bruker av høykapasitetsnett og -tjenester. Følgelig er det også samfunnsmessig lønnsomt å sikre god tilgang til høyhastighetsbredbånd. For eksempel er høykapasitetsnett en forutsetning for realisering av gevinster innen helse- og utdanningssektorene. Bredt nok bredbånd må til for at informasjonsflyt mellom virksomheter over hele landet skal skje, eller at digitale læreverktøy faktisk tas i bruk i stor stil.

Det er også viktig å se på hvordan høykapasitetsnett er en forutsetning for å kunne realisere grønn IT og utløse miljøeffekter gjennom å digitalisere verdikjeder. Det er etter Digitutvalgets mening hensiktsmessig å bygge ut bredbånd slik at alle innbyggere har like forutsetninger for tilgang til informasjon eller digitale tjenester, samt gi gründere mulighet til å nå ut bredt med digitale tjenester.

Best practice-rapporten påpeker at «[g]jennomgangen av «international best practice» mht. tiltak for å fremme den kommersielle utbyggingen av høykapasitetsnett viser en større detaljeringsgrad hos flere av «best practice»- landene enn i norsk bredbåndspolitikk så langt.» (ibid, side 20). Etter Digitutvalgets oppfatning er dette en gjennomgående mangel i flere av de norske strategiene og planene for digitalisering.

Mangelen på forpliktende krav og tidsfrister innebærer at Regjeringen bør fremme den kommersielle utbyggingen av høykapasitetsnett gjennom å:

• Sikre felles graveregimer i kommuner og fylker for å forhindre unødvendige og sprikende krav.

• Sikre synergier ved utbygging av infrastruktur generelt, eksempelvis gjennom at det bør legge trekkrør for fiber når det graves av andre hensyn.

• Støtte offentlig sektors rolle som etterspørrer av høykapasitetsnett og -tjenester.

• Fremme høyhastighetsinfrastrukturens rolle i et miljøperspektiv; gjennom bruk av videokommunikasjon og samarbeidsverktøy.

• Samkjøre utbyggings- og reguleringstiltak slik at disse ikke kommer i konflikt med hverandre.

• Sikre en helhetlig strategi for tildeling av digital dividende som sikrer høy dekningsgrad for neste generasjon mobilt bredbånd, samtidig som konkurransehensynet ivaretas. (ibid)

Anbefalingene over adresserer i hovedsak utfordringene for fysisk bredbånd, men det er viktig å påpeke at utbyggingen også er en forutsetning for alle former for trådløst bredbånd. Hver enkelt basestasjon kobles til nettverket gjennom den fysiske bredbåndsinfrastrukturen. Forsinket eller utilstrekkelig fysisk utbygging vil dermed også ramme mobil nettverkskapasitet.

I 2010 anmodet regjeringen samtlige ordførere og rådmenn i norske kommuner og fylkeskommuner om å legge til rette for utbygging:

«Vi henstiller til alle kommuner og fylkeskommuner om i størst mulig grad å etterkomme anmodninger fra utbyggere av mobilkommunikasjonsnett om å få tilgang til å plassere utstyr på offentlig grunn og offentlige bygg. Vi henstiller videre om at utbyggere likebehandles når slike anmodninger skal behandles.»12

På tross av klar oppfordring fra regjeringen rapporteres det om problemer med å sette opp nye basestasjoner eller beholde eksisterende. Begge deler utgjør betydelige utfordringer for oppetid og tilgjengelighet. Selv om enkeltkommuner som Bodø legger godt til rette, er det flere eksempel på at kommunene ikke tilrettelegger på en smidig måte. Utvalget er kjent med kommuner som ønsker fjerning av basestasjoner, at basestasjoner ikke kan stå på kommunale eiendommer og kommunale etater som blokkerer ønsket kommunal politikk for effektiv utplassering av basestasjoner.

Gitt de identifiserte utfordringene, ønsker Digitutvalget å peke på behovet for å sikre at intensjonen med brevet fra regjeringen innfris:

• Sikre tilgang til å sette opp master og basestasjoner på offentlige grunn, installasjoner og bygninger i alle kommuner og fylker etter like vilkår, med selvkost som maksimal avgift.

• Sikre fremtidige behov for frekvenser til trådløst bredbånd ved at fremtidige utlysninger går til bredbånd fremfor tradisjonelle en-veis tjenester.

• Stille krav til byggherre og entreprenør i forbindelse med planlegging og utbygging av ny bygningsmasse for å sikre dekning innendørs i nye og moderne bygninger. Moderne bygninger blokkerer radiosignaler i mye større grad enn eldre bygningsmasse.

Angående nevnte graveregimer som kan stimulere eller bremse utbygging av høykapasitetsnett er det verdt å merke seg at 70 til 90 prosent av totalkostnadene for bredbåndsutbygging er knyttet til graving og framføring. Elektronikk, kabler og annet utstyr utgjør kun mellom 10 og 30 prosent13.

Gravekostnadene avhenger av grunnforhold, men i minst like stor grad av kommunale graveregimer. Bredbåndsutbyggere har de siste årene måttet forholde seg til stadig strengere krav til gravedybde eller lignende i mange kommuner. Noen kommuner krever at bredbåndsutbyggeren asfalterer helt frem til nærmeste kryss. Andre kommuner krever at halve veibanen asfalteres. Noen kommuner har også krav om at bredbåndsutbyggere ikke skal legge den gamle grusen tilbake i grøften, men kjøre den på deponi og legge ned ny grus i grøftene.

Et annet krav som praktiseres i enkelte kommuner er at bredbåndsutbyggernes strømløse fiberkabler skal legges like dypt som en høyspentledning. Det finnes teknikker for å frese spor i asfalt og legge fiberkabelen der, såkalt microtrenching, men disse godkjennes ofte ikke av kommunene. Sintef har på oppdrag for Samferdselsdepartementet14 evaluert ulike gravedybder og løsninger. Ettersom denne rapporten ble publisert sent i Digitutvalgets arbeid, har utvalget ikke hatt tilstrekkelig tid til å vurdere funnene.

Erfaringene fra noen år tilbake viste at bredbåndsutbyggingen stoppet opp i kommuner med de strengeste framføringsregimene, og at investeringsmidler som bredbåndsutbyggerne har tilgjengelige kanaliseres til områder hvor utbyggingen er rimeligere.

Naturlig nok fører dette til ujevn utbygging av bredbånd, som igjen kan være til hinder for digital verdiskaping. For det første blir det uforutsigbart eller unødvendig omstendelig for små og mellomstore bedrifter som ønsker å levere digitale tjenester. For det andre kan det bremse bruken av nye, digitale tjenester siden forbrukere i «trege» kommuner ikke får tilgang til god nok kapasitet.

Utbygging i ikke-lønnsomme geografiske områder

FAD etablerte høsten 2011 en midlertidig støtteordning for bredbåndsutbygging. Ordningen skal stimulere til utbygging i områder som ikke er kommersielt lønnsomme å bygge ut. Støtteordningen har en ramme på 15 millioner kroner, og forutsetter maksimalt 60 prosent statlig finansiering.

I tillegg fordeler Kommunal- og regionaldepartementet årlig omkring 100 millioner til fylker som er kvalifisert for det distriktspolitiske virkeområdet. Dette er en midlertidig ordning som varer til og med 2013, og skal kompensere økt arbeidsgiveravgift for de gjeldende områdene. Støtten er øremerket utbygging av bredbånd innenfor det distriktspolitiske virkeområdet som ellers ikke vil bli utbygd. I tillegg til statens bidrag kommer lokal innsats i form av tilskudd fra fylker, kommuner, ikke-statlige organisasjoner, lokalt næringsliv og dugnadsinnsats fra lokalbefolkningen for å realisere utbygging av bredbånd (NOU 2011: 3).

Internasjonalt har EU-kommisjonen foreslått å bruke inntil ni milliarder euro på bredbåndsutbygging mellom 2014 og 202015 for å nå målene i EUs «Digital Agenda 2020».

I rapporten «Bredbånd 2.0 – status og utvikling mot 2015»16 som FAD publiserte i juli 2009 ble behovet for offentlig støtte til restmarkedsutbygging17 estimert til mellom 7 og 14 milliarder kroner, gitt et kapasitetsmål på 50 Mbit/s nedhastighet og 10 Mbit/s opplastingskapasitet innen 2015.

Norske myndigheter står overfor et valg om å akseptere geografiske klasseskiller mellom de som vil få tilgang til, og de som ikke vil få tilgang til, høykapasitets bredbåndsnett. Alternativet er å utarbeide en helhetlig plan for å redusere det området som markedet ikke kan bygge ut kommersielt, samt organisere og gjennomføre restmarkedsutbyggingen.

En «vente og se»-holdning fra myndighetenes side de nærmeste årene kan være et alternativ for å ikke forstyrre markedsmekanismen, og derigjennom la markedet ta seg av den utbyggingen som er lønnsom uten offentlige tilskudd. Til gjengjeld kan dette føre til en negativ utvikling i restmarkedsområdene som senere kan gjøre det vanskeligere å rette opp forskjeller som har oppstått. Offentlig støtte til utbygging av høykapasitetsnett i disse områende blir bevilget etter at den kommersielle utbyggingen av høykapasitetsnett i Norge er avsluttet, og det kan potensielt bli et langsiktig etterslep på kapasitet og tilgang.

Det kan synes hensiktsmessig å foreta en nærmere kartlegging av hvilke konkrete modeller som er valgt av EU og land det er naturlig å sammenligne seg med når det gjelder finansieringsløsninger, tildelingskriterier, organisering og gjennomføring av prosjekter hvor offentlige midler bevilges for utbygging av høykapasitetsnett, og i områder hvor slik utbygging ikke er kommersielt lønnsomt. Det anses viktig å finne frem til modeller som både stimulerer til størst mulig markedsbasert utbygging, og samtidig sikrer at det ikke oppstår digitale klasseskiller mellom ulike geografiske områder i landet som følge av store ulikheter i tilgjengelig bredbåndskapasitet i årene fremover.

Den kommersielle utbyggingen av høykapasitets bredbåndsnett vil naturlig stoppe opp på et visst nivå, og i en del kommuner er dette nivået allerede nådd. Dersom myndighetene vil unngå A- og B-lag med hensyn til tilgang til morgendagens infrastruktur for digitale tjenester, haster det med å etablere støtteordninger for utbygging av høykapasitetsnett i disse områdene.

2.3 Informasjonssikkerhet

Informasjonssikkerhet er et annet viktig element i den digitale infrastrukturen. Informasjonssikkerhet omfatter alle tiltak som sikrer konfidensialitet, integritet og tilgjengelighet til informasjon og IKT-systemer. I dagens digitale samfunn er virksomhetenes verdier i stor grad bedriftens informasjon, og er dermed en grunnleggende faktor for digital verdiskaping. I forbindelse med Nasjonal sikkerhetsdag 201218 opplyste 90 prosent av norske bedrifter at data er bedriftenes viktigste verdi, samtidig kom det frem at langt færre beskytter dataene tilstrekkelig.

Å styrke informasjonssikkerheten og gjøre informasjons- og kommunikasjonsteknologien i samfunnet mindre sårbar er viktig for:

• å sikre at informasjon og IKT-systemer er tilgjengelige for å kunne utføre daglig drift

• at vi kan stole på at informasjonen er korrekt og pålitelig

• at virksomheter og privatpersoner kan sørge for å hemmeligholde informasjon og kunnskap som man ønsker skal være konfidensielle også i den digitale verden

Informasjonssikkerhet bidrar til å skape tillit til samfunnets og virksomhetenes prosesser og infrastruktur. Sikre og robuste IKT-systemer vil også i mange tilfeller bidra til økt effektivitet og verdiskaping samt sikre virksomhetenes verdier.

Informasjonssikkerhet er et komplekst og grenseoverskridende område som spenner over teknologi, politikk, lovverk og retningslinjer, holdninger og kultur. IKT inngår nå i alle viktige samfunnsområder og sektorer, informasjonssikkerhet har derfor blitt en strategisk utfordring. Konsekvensene av mange av dagens trusler knyttet til digitale løsninger, kan kun reduseres ved menneskers kunnskap og bevisste holdninger; en god sikkerhetskultur.

Kompetanse og kunnskap er viktig for forbrukerne. Det er avgjørende for en vellykket overgang til digitale tjenester at sluttbrukerne har evne og vilje til å flytte sin etterspørsel til en digital markedsplass. En undersøkelse gjennomført av TNS Gallup for Forbrukerrådet i februar 2012, viser at kun tre av ti benytter seg av lagringstjenester på nett. Nesten 50 prosent oppgir sikkerhet som den viktigste grunnen til at de benytter slike tjenester. Når Forbrukerrådet har spurt de resterende 70 prosent om hva som vil være viktig for dem dersom de i fremtiden skulle benytte seg av slike tjenester, svarer de i forhold til figur 2.1.

Som det fremgår av figuren, ønsker potensielle brukere både mer informasjon og sikre rammevilkår i forkant av sin overgang til digitale tjenesteytere.

2.3.1 Trusselbilde

Trusler mot IKT-systemer truer i dag tjenester, informasjon og infrastruktur for hele det norske samfunn. Forbrukerne, offentlige og private virksomheter, den nasjonale infrastrukturen og rikets sikkerhet kan utsettes for angrep.

Svært mange tjenester har høy avhengighet av IKT-systemer og er sårbare ved feil og svikt. Informasjon og data på avveier kan føre til svindel, identitetstyveri, ødeleggelse eller endring av informasjon og tap av renommé. Fungerende og pålitelige samfunnskritiske og virksomhetskritiske systemer er avgjørende for samfunnets virke og den digitale verdiskapingen i det norske samfunnet.

I det følgende er noen av vurderingen norske sikkerhetseksperter har gjennomført i forhold til den norske informasjonssikkerhetstilstanden.

2.3.2 Sårbarhetsvurderinger

«Sikkerhetstilstanden blir fortsatt svekket i Norge. Risikoforståelsen knyttet til spionasje, sabotasje og terror er fortsatt for lav, og viktige tiltak som risikovurderinger, kompetanseheving, rapportering og sikkerhetsrevisjoner blir ikke gjennomført.»19

Nasjonal sikkerhetsmyndighet

Nasjonal Sikkerhetsmyndighet (NSM) beskriver vesentlige mangler og svakheter i det forebyggende sikkerhetsarbeidet. Arbeidet og tiltakene som utvikles og iverksettes i informasjonssikkerhetsfeltet er mange og økende. Samtidig øker truslene i et raskere tempo. Dette medfører en situasjon med økende sikkerhetsmessig risiko som kan få negative konsekvenser for sikkerhetstilstanden. En hovedutfordring er at den generelle risikoforståelsen ikke er på et tilfredsstillende nivå.

Dette representerer en sårbarhetsutfordring, da manglene kan utnyttes av trusselaktører med stadig økende kapabiliteter og kapasiteter. Risikoen øker også som følge av at verdiene vi ønsker å beskytte øker i volum og betydning i takt med styrket digitalisering. Digitutvalget merker seg at betydningen av informasjonssikkerhet ikke gjenspeiles verken i utdanningssystemet, offentlig forvaltning eller tas høyde for i anbudsprosessene.

NSM har tallfestet omfanget av datakriminalitet20 mot norsk næringsliv. I 2011 anslår NSM at det ble begått nesten 45.000 datakriminelle handlinger i Norge. Et forsiktig anslag tilsier at kostnaden for bedriftene er 20 milliarder kroner. Mange vet ikke engang at de er blitt rammet.

Mørketallsundersøkelsen 2012

Mørketallsundersøkelsen21 gjennomføres annet hvert år av Næringslivets sikkerhetsråd. Nasjonal sikkerhetsmyndighet vurderer ut fra undersøkelsen at «det er et større gap enn tidligere mellom trusler og sikkerhetstiltak blant norske virksomheter parallelt med at IT-avhengigheten øker.»:

• Det er store mørketall mellom faktiske hendelser registrert hos virksomhetene, og forhold anmeldt til politiet.

• Det er manglende bevissthet om informasjonssikkerhet og datakriminalitet.

Virksomheter som har mye forskningsaktivitet og har sine verdier i immaterielle rettigheter, opplever å få frastjålet datautstyr22 nesten tre ganger oftere enn gjennomsnittet. De er også mer utsatt for andre hendelser som datainnbrudd, DoS-angrep og hendelser som har medført varsling fra internettleverandøren.

Undersøkelsen viser videre en økning i informasjons- og industrispionasje. Utenlandsk etterretningsvirksomhet står stadig oftere bak datainnbrudd eller bruk av ondsinnet programvare mot teknologibedrifter. Angrepene er mer målrettet og avanserte. Undersøkelsen viser også at det er grunn til å tro at virksomhetene (særlig de mindre) ikke er klar over at de er utsatt for hendelser.

Beredskap

Norske virksomheter har ikke en helhetlig trusselvurdering å forholde seg til. Det nasjonale trusselbilde som presenteres er tilpasset sikkerhetslovens virkeområde og lite egnet for vanlige norske virksomheter i både offentlig og privat sektor.

Problemet med denne situasjonen er at norske virksomheter både mangler forståelse for risikobildet og i noe grad mangler intern kompetanse til å løse sikkerhetsutfordringene. Derfor tvinger det seg frem et økt behov for sterkere offentlig innsats og koordinering av de offentlige sikkerhetsaktørene.

Enhver virksomhet kan bli rammet av en informasjonssikkerhetshendelse. Skulle en slik hendelse inntreffe gjelder det å ha beredskap som sikrer at man kan håndtere den. Rutiner for å håndtere hendelser er kritisk for å kunne stå i mot et målrettet eller tilfeldig angrep. Målrettede angrep mot en eller flere digitale infrastrukturtjenester som helse, kraftsektoren, kommunikasjonsnettene, vann og avløp eller finanssektoren kan sette samfunnet ut av spill.

De fleste norske virksomheter er små. De vil i all hovedsak være avhengige av leverandører av IKT-tjenester. Virksomhetene har i mange tilfeller lav bestillerkompetanse og krav til informasjonssikkerhet ved innkjøp og løpende drift kan bli nedprioritert. For å være trygge på at informasjon og verdier blir godt ivaretatt bør virksomheter få bistand til å sette krav. Slike krav og tiltak kan formuleres i bransjenormer. I Norge har for eksempel IKT-Norge lansert en bransjenorm for online backuptjenester og i samarbeid med Forbrukerrådet utarbeidet en bransjenorm for online fototjenester. Helsedirektoratet har utarbeidet en norm for informasjonssikkerhet i helsesektoren.

For å begrense informasjonssikkerhetstruslene er det viktig at kompetanse innen informasjonssikkerhet bygges opp i alle ledd fra skole og utdanningsinstitusjoner og gjennom arbeidslivet. Digitutvalget tar til orde for at generell IKT-kompetanse må inn på alle trinn og studier i undervisningen. En slik satsing vil over tid gi elever og studenter forståelse for hvordan datamaskiner og nettverk fungerer. På den måten vil bevissthet og kompetanse knyttet til informasjonssikkerhet styrkes.

Som tidligere nevnt er det også kompetansemangel hos sluttbrukerne, både hva krav til tjenester og egenskaper angår. I en undersøkelse gjennomført av Forbrukerrådet i februar 2012 angir potensielle brukere grunner for hvorfor de ikke benytter skytjenester. Svarene viser at kundene opplever at de mangler kunnskap. Brukerne ønsker å vite hvor data er lagret, og anser lagring i bestemte regioner som sikrere enn andre. Fra tilbydersiden anføres det derimot at en viktig del av sikkerheten for slike tjenester, er at man ikke vet til enhver tid hvor data er lagret.

Langsiktig kompetansebygging løser ikke utfordringene i dag. Så fremt beslutningstakere for digital kompetanseheving ikke besitter nødvendig kompetanse risikerer vi mangelfulle beslutninger. Digitutvalget mener denne situasjonen kan bedres ved at overordnet sikkerhetsarbeid prioriteres og legges inn under en sentral digitaliseringsmyndighet. Les mer om behovet for sterkere samordning i kapittel 7.5.

Digitutvalget anbefaler regjeringen å utarbeide en samlet og oppdatert digital trusselvurdering for norske virksomheter, også utenfor kritisk infrastruktur og sikkerhetslovens virkeområde. Det er også vesentlig at nødvendige tiltak for å demme opp mot truslene blir tydelig beskrevet og forklart der det er mulig.

Trusselvurderinger og tilhørende anbefalinger må kunne forstås av norske virksomhetsledere. Det innebærer at truslene må beskrives på en forståelig måte, og tiltak og retningslinjer som demmer opp for truslene må være entydige. Det må også gi konkret beskrivelse av tiltak med veiledning for implementering for norske virksomheter.

2.3.3 Informasjonssikkerhetslover og -forskrifter

Manglende forståelse for informasjonssikkerhet og trusselbildet kan være en barriere for norske virksomheters digitale satsinger. Usikkerheten forsterkes ytterligere av det faktum at lov- og forskriftsbildet er svært komplekst. En kartlegging gjort av Norsk informasjonssikkerhetsforum, ISF, viser at det er nærmere 40 lover og forskrifter som stiller definerte krav til informasjonssikkerhet.

Selv om enkelte krav er likelydende eller overlappende, kan det være betydelige forskjeller mellom ulike regelverk ettersom reglene er utarbeidet til ulike tider og for ulike formål.

For virksomheter blir det vanskelig å etterleve alle kravene. Det er også et betydelig problem å finne ut hvordan man skal forholde seg til ulike regelsett som er motstridende. Digitutvalget er bekymret for at denne situasjonen bidrar til å svekke norsk informasjonssikkerhet og derigjennom hindre digital verdiskaping.

De ulike reguleringer knyttet til å sikre digital informasjon er i seg selv en utfordring for industrien. Manglende samkjøring av regelverk er en byrde snarere enn styrking av formålet med reguleringene. Digitutvalget merker seg at det til dels er stor forskjell på språkbruk og krav i de ulike lovene og forskriftene. Det er eksempelvis stort sprik i måten tiltak beskrives i IKT-forskriften og sikkerhetsloven.

Det er likevel nødvendig å nevne at disse regelverkene må forstås på bakgrunn av deres opprinnelige formål. Selv om informasjonssikkerhetstiltak går igjen i alle lovene og forskriftene, er det ikke nødvendigvis slik at dette er nevnt eller vurdert i lys av det totale ansvaret som skyves over på virksomhetene.

Digitutvalget har ikke gått nærmere inn på de økonomiske eller ressursmessige konsekvensene knyttet til etterlevelse av reglene, men det er trolig liten tvil om at betydelige deler av norsk offentlig sektor og næringsliv mangler kompetanse og ressurser til selv å etterfølge kompleksiteten i regelverket.

De ulike lovene og forskriftene er ikke harmonisert i språk og forståelse for krav til informasjonssikkerhet. For det første kan dette medføre at informasjonssikkerhet, til tross for å være nevnt, ikke er behørig behandlet og konkretisert. Samtidig er det en belastning for virksomheter at et differensiert regelverk for området tillegger merarbeid for virksomheter som ønsker å etterkomme alle regler. Sist, men ikke minst, bør det derfor vurderes hvorvidt regelverk og tilhørende krav både innfrir behov for sikkerhet og er hensiktsmessige å etterfølge.

Nasjonale retningslinjer for informasjonssikkerhet (2007-2010) beskriver utviklingstrender innenfor informasjonssikkerhet og utfordringer de fører med seg, og peker i tillegg på nasjonale innsatsområder som kan være med på å møte utfordringene. Retningslinjene bygger videre på St.mld nr. 39 (2003-2004).

Retningslinjene er under revisjon, og det kan synes som regjeringen vil presentere en nasjonal strategi for informasjonssikkerhet. Dette er viktig bistand i arbeidet med informasjonssikkerhet i Norge, særlig for mindre virksomheter. Ny nasjonal strategi for informasjonssikkerhet skulle blitt lagt frem høsten 2012. Digitutvalget legger til grunn at denne strategien baseres på en grundig konsekvensutredning og gjennomførbarhet for norske virksomheter.

En nasjonal strategi vil i seg selv ikke løse utfordringene med informasjonssikkerhet, men kan bidra til å styrke bevissthet, beskytte verdier og potensielt styrke konkurransekraften til norsk næringsliv.

Digitutvalget støtter regjeringens arbeid med en overordnet, helhetlig strategi. Den bør utformes slik at den legger de generelle premissene for informasjonssikkerhet på et hensiktsmessig og konkret nivå.

Retningslinjer som er for omfattende til å kunne innfris risikerer å påføre ekstra byrde, samtidig som virksomheter kan oppleve dem uvesentlige for sin drift. Det må komme tydelig frem i strategien hvilke kostnad og konsekvens det vil ha for virksomheter å etterkomme anbefalingene, og hvilke av kostnadene som dekkes av staten for å gi sikkerhet utover aktørenes egne behov, slik vi kjenner fra ekomloven.

2.4 Elektronisk identifisering og autentisering

Svært mange digitale tjenester forutsetter mulighet for digital identifisering og autentisering av brukere. Dette gjelder både tjenester fra offentlig og privat sektor. Sikker autentisering av brukeren er nødvendig både for å sikre at brukeren er den hun utgir seg for (autentisering) og for å sikre at ingen får tilgang på informasjon de ikke skulle hatt tilgang på (konfidensialitet).

Elektronisk identifikasjon kan gjøres på ulike sikkerhetsnivå. Fornyings- og administrasjonsdepartementet (FAD) har gjennom retningslinjene Rammeverk for autentisering og uavviselighet i elektronisk kommunikasjon med og i offentlig sektor, definert fire sikkerhetsnivå for eID-løsninger hvor sikkerhetsnivå én ikke stiller noen krav til innlogging. Retningslinjene presenterer fire risikonivå som en veiledning for hvilke tjenester som krever hvilke sikkerhetsnivå.

Svært mange offentlige tjenester har ikke krav som tilsier behov for eID på sikkerhetsnivå fire. Tjenester som krever nivå fire er typisk tjenester som behandler sensitive personopplysninger, for eksempel opplysninger om helseforhold, etnisk bakgrunn eller religiøs oppfatning. Høy utbredelse av eID på sikkerhetsnivå fire er derfor av avgjørende betydning for digitale tjenester på helseområdet. Difi opplyser selv at i dag skjer rundt 90 prosent av innloggingene til offentlige tjenester skjer via MinID23. Figur 2.2 viser antall brukere hos de ulike eID-leverandørene.

2.4.1 Infrastruktur for identifisering

Difi tilbyr infrastruktur til offentlig sektor for bruk av eID gjennom ID-porten. ID-porten er en fellesløsning for offentlig sektor som tilbyr autentisering av brukere. Brukeren kan selv velge mellom den offentlige MinID eller ulike private eID-er. Digitutvalget mener det er fornuftig at ID-porten tilbys som en felles løsning for hele offentlig sektor uavhengig av forvaltingsnivå, slik at hver enkelt offentlig virksomhet ikke må utvikle løsninger for håndtering av ulike eID-er. Utvalget støtter også at ID-porten håndterer ulike elektroniske ID-er, både private og offentlige.

Tjenester innen enkelte samfunnssektorer stiller jevnt over høyere krav til sikkerhet. Det gjelder for eksempel på helseområdet, hvor sensitive personopplysninger behandles, slik at det er behov for eID på sikkerhetsnivå fire. Inntil nylig har det på ID-porten kun vært mulig å benytte eID-er med relativt liten utbredelse på sikkerhetsnivå fire. Dette har hemmet tjenesteutviklingen og bruken av elektroniske tjenester som stiller høye krav til sikkerhet.

2.4.2 Internasjonale foregangsland for eID og autentisering

I Estland har 90 prosent av befolkningen et elektronisk ID-kort. Kortet brukes for fysisk og digital identifisering og autentisering. Kortet inneholder sertifikat for autentisering og digital signatur. Mobil-ID ble innført i Estland i 2007. Denne satsingen har vært høyt prioritert over flere år. I praksis har det ført til et privat, virtuelt nettverk for hele landet. Infrastrukturen knytter offentlige og private virksomheter sammen med en felles og enhetlig infrastruktur hvor eID er nøkkelen for å sikre tilgangen.

Estiske myndigheter oppfordrer til å åpne offentlige data til private aktører. Med dette ønsker de å stimulere innovasjon. Deres erfaring er at innovasjonen i hovedsak kommer fra privat sektor, under forutsetningen at data frigis fra det offentlige i maskinlesbar og standardisert form. I tillegg har det også blitt en mulighet for offentlige virksomheter til å forbedre egne prosesser. Blant annet tar skatteoppgjør i Estland som regel tre til fire dager.

I motsetning til i Norge var det bred enighet om at et felles system var ønskelig og nødvendig. Mens vi i Norge har sett framveksten av ulike identifiserings- og autentiseringsmodeller, har estiske myndigheter klart å enes om én løsning. I Estland er sentrale myndigheter ansvarlig for infrastrukturen i landet. I Norge tillater vi at ulike offentlige etater etablerer IKT-systemer uten krav om integrasjon og grensesnitt med andre systemer.

Digitutvalget frykter ytterligere fragmentering om ikke det stilles tydelige krav til interoperabilitet til det KS-styrte KommIT-programmet. Dersom regjeringen følger opp Digitutvalgets forslag om en digitaliseringsdirektør vil denne kunne sikre nødvendig oppfølging. Det bør stilles et absolutt krav om at disse tjenestene og dataene er kompatible med eksisterende og kommende nasjonale systemer.

I flere andre land har myndighetene kommet lenger med å koordinere det nasjonale sikkerhetsarbeidet enn vi har i Norge. Det er grunn til å trekke frem Estland, Litauen, Ungarn, Tsjekkia og Serbia. I noe grad kan disse landenes digitale strategier krediteres en senere overgang til digitale løsninger, noe som førte til at de gikk lenger og kunne ta i bruk mer avansert teknologi når de først lanserte sine løsninger.

På den annen side bør det presiseres at dette i hovedsak er snakk om land som på papiret er dårligere økonomisk stilt enn hva vi er i Norge. Samtidig som det er forståelig at land med dårligere nasjonaløkonomi har større behov for rasjonalisering og effektivisering enn oss, er det etter Digitutvalgets mening et paradoks at så mange norske prosjekter har sporet av.

2.4.3 Anbefalinger

Digitutvalget mener eID er helt essensielt, ikke bare for offentlige digitale tjenester, men digitale tjenester generelt. Uavhengig av hvilken eID-løsning innbyggerne velger bør det legges til rette til for at innloggingen er brukervennlig. I tillegg må det vurderes hvordan ulike tjenester kobles sammen slik at informasjon er tilgjengelig for både brukere og virksomheter der det er hensiktsmessig. Det må samtidig tas hensyn til brukernes personvern og løsningene må være sikret fra ende til ende.

Gitt utvidelsen av tilgjengelige innloggingsalternativer på ID-porten anser Digitutvalget at elektronisk identifisering og autentisering nå er tilgjengelig for så godt som alle norske innbyggere. Der det til nå har vært et betydelig behov for politisk handling for å sikre eID til alle, bør den neste fasen sikre fullskala utrulling av offentlige, digitale tjenester basert på ID-porten. Dette gjelder særlig tjenester som krever identifisering på sikkerhetsnivå fire.