Digitala störningar blir en kvalitetsfråga: ”Kraven ökar”

– Kraven ökar nu också från myndigheterna. Att bygga digital motståndskraft handlar ytterst om att säkerställa att verksamheten kan fungera även när den utsätts för störningar, säger Åsa Zetterberg, vd på TechSverige.

Bakgrunden är ett förändrat säkerhetsläge, men också att infrastrukturen redan fungerar över nationsgränserna. Ägarskap, drift, nät, leverantörer och tekniska beroenden hänger ihop i ett nordiskt ekosystem.

Sex förslag för ett mer robust Norden

I rapporten A Call for Nordic Digital Resilience pekar de nordiska techorganisationerna ut sex områden där arbetet behöver växlas upp.

Det handlar bland annat om bättre samordning kring leverantörskedjor för kritisk teknik, snabbare delning av information om cyberhot och fler gemensamma övningar där både myndigheter och företag får testa hur de ska agera vid större avbrott och angrepp.

– Vår rapport visar att ett närmare nordiskt samarbete kan skapa bättre förutsättningar för både företag och offentlig sektor. Gemensamma arbetssätt och mer harmoniserade regelverk kan minska onödig komplexitet och göra det enklare att arbeta över gränserna, säger Åsa Zetterberg.

Men flera hinder gör det svårt för de nordiska länderna att agera snabbt vid störningar. Länderna erkänner inte varandras säkerhetsprövningar, vilket kan hindra specialister från att arbeta över gränserna när kritisk infrastruktur behöver skyddas, underhållas eller återställas.

Skillnader i nationella regelverk, tillståndsprocesser och dokumentationskrav skapar också friktion. Enligt rapporten kan olika krav på bland annat miljöbedömningar och infrastrukturplanering försena projekt och öka de administrativa kostnaderna.

– För verksamheter innebär det bättre förutsättningar att arbeta långsiktigt och effektivt med kontinuitet, robusthet och utveckling i takt med att digitaliseringen blir allt mer gränsöverskridande, säger Åsa Zetterberg.

Ett annat hinder gäller informationsdelning. Utbytet mellan myndigheter och privata aktörer beskrivs som ojämnt och kan begränsas av juridiska, praktiska och förtroenderelaterade barriärer. Vid en större cyberincident kan det fördröja responsen.

Ledningen behöver känna till beroendena

Organisationer med leverantörer och teknik i flera länder behöver ha koll på mer än de egna systemen. Ledningar behöver också förstå vilka underleverantörer, dataflöden och externa driftsmiljöer som verksamheten faktiskt bygger på.

– Digital infrastruktur och digitala leverantörskedjor är i dag tätt sammanlänkade över nationsgränserna, säger Åsa Zetterberg.

Enligt Åsa Zetterberg ligger frågan nära kvalitetsfunktionernas ordinarie förbättringsarbete. De behöver följa upp motståndskraften i riskanalyser, revisioner, leverantörsbedömningar, kontinuitetsplaner och incidentövningar. Det handlar inte bara om tekniska skydd, utan om hur verksamheten styr, testar och förbättrar sin förmåga att fortsätta fungera.

– Organisationer behöver arbeta systematiskt med att förstå sina beroenden, stärka samverkan med leverantörer och säkerställa att det finns tydliga planer och ansvarsfördelning när något inträffar, säger Åsa Zetterberg.

Behöver öva över gränser

Rapporten pekar på att de nordiska länderna ofta saknar gemensamma riskbedömningar och enhetliga krav på leverantörer av kritisk teknik. Otydliga roller och olika beslutskedjor kan också försvåra arbetet när en incident berör flera länder.

Därför vill de nordiska organisationerna ta fram tydligare rutiner för krisupptrappning, ordna fler gemensamma cyberövningar och skapa en nordisk modell för säkerhetsprövningar. På sikt vill de se gemensamma kriterier, snabbare processer och enklare rörlighet för personal som redan har säkerhetsprövats i ett annat nordiskt land.