ip · H51022 · 2017-10-06 00:00:00 — Interpellation 2017/18:22 Offensiv cyberförmåga av (V) till Försvarsminister (S) I försvarsinriktningspropositionen kan man på s. 112 läsa: ”Försvarsmakten lyfter fram vikten av att utveckla en offensiv cyberförmåga för att kunna möta angrepp mot egna system som det ger möjlighet att möta hot och angrepp i andra arenor, vilket sammantaget påverkar en motståndares förmåga att angripa och svenska intressen.” Försvarsministern har i ett flertal fall uttryckt att han instämmer i detta, bland annat i en DN-intervju där han citeras: ”Vi måste också kunna genomföra aktiva aktioner i cybermiljön. Den aktiva förmågan är en form av motanfall.” Liknande uttalanden har också gjorts på i och vid ett besök på Försvarshögskolan , där försvarsministern uttalade att ”vi kommer att gå från passiv till aktiv cyberförmåga och kapacitet”. Detta har också hörsammats av vapenindustrin, däribland Säkerhets- och försvarsföretagen, som anordnat ett seminarium med rubriken cyberförsvar – ett seminarium om nya marknader och möjligheter. Det är inte helt enkelt att förstå vad som avses med denna offensiva cyberförmåga, än mindre hur detta i praktiken ska kunna utföras utan att bryta mot svensk lagstiftning. Lämpligt nog beskriver Försvarsmakten lite närmare vad det handlar om i sin redovisning av perspektivstudien : ”Med offensiv förmåga kan underrättelseverksamhet bedrivas och förband eller system fördröjas, hindras, vilseledas eller slås ut. Underrättelseverksamhet i cybermiljön ger möjligheter till snabb och dold inhämtning av stora mängder information som kan vara tillgänglig i realtid. Mjuk- och hårdvara kan, redan innan de tas i bruk, förberedas för att samla underrättelser eller öka effekten av attacker med svåra konsekvenser som följd. Försvarsmakten måste kunna hantera att sådan förmåga används.” Man efterfrågar också att man ska få i uppgift att utveckla förmågan till offensiva cyberoperationer. Försvarsmaktens klargörande ställer ett antal frågor på sin spets. Offensiva åtgärder och cyberoperationer handlar förstås om att verka utanför de egna systemen, det vill säga i andras system. Problemet är att för att i rimlig tid aktivt kunna slå till mot andra länders eller motståndares it-system krävs förberedelser. Det innebär att man i praktiken öppnar upp för att till exempel tillåta utplacering av malware som trojaner eller maskar i förberedande syfte. Det skulle innebära att dessa förberedelser görs i fredstid, vilket strider mot svensk lag. Mot bakgrund av ovanstående skulle jag vilja fråga försvarsminister : 1) Är ministerns bedömning att nu har skaffat den aktiva cyberförmåga som ska verka avskräckande på angripare? 2) Hur ser analysen ut av de juridiska svårigheterna och de folkrättsproblem ministern själv pekat på? STYLEREF Kantrubrik \* MERGEFORMAT Svar på interpellationer har frågat mig om det är min bedömning att nu har skaffat den aktiva cyberförmåga som ska verka avskräckande på angripare och hur analysen ser ut av de juridiska svårigheterna och de folkrättsproblem som jag enligt ska ha pekat på. Svenska myndigheter, företag och andra samhällsaktörer utsätts för en stor mängd försök till cyberattacker, faktiska cyberattacker och andra itincidenter. De mest kvalificerade angreppen härrör från stater, statsunderstödda aktörer eller andra aktörer med liknande förmåga. Regeringen bedömer att ett utvecklat cyberförsvar är ett kostnadseffektivt sätt att höja tröskeln för en antagonistisk aktör som överväger att angripa eller svenska intressen eller utöva påtryckningar med militära eller andra maktmedel. Försvarsmakten har därför av regeringen fått i uppdrag att, med stöd av och eventuellt övriga berörda myndigheter, utveckla och förstärka svenskt cyberförsvar, inklusive en förmåga att agera aktivt i cybermiljön. Detta är ett arbete som pågår inom berörda myndigheter och som regeringen följer noga. Folkrätten är tillämplig även på cyberområdet. Därom råder ingen tvekan. På det nationella planet åligger det berörda myndigheter att tolka och tillämpa gällande rätt i utförandet av samtliga uppdrag, så även på cyberområdet. Tack för svaret, försvarsministern! Låt mig börja med det vi är överens om: Ja, svenska myndigheter, företag och andra samhällsaktörer utsätts för en stor mängd cyberattacker, både faktiska cyberattacker och andra it-incidenter, precis som ministern skriver. Detta var dock inte ämnet för mina frågor, utan mina frågor gäller problematiken med att det i försvarsinriktningsbeslutet refereras till Försvarsmaktens syn på "vikten av att utveckla en offensiv cyberförmåga för att kunna möta angrepp mot egna system som det ger möjlighet att möta hot och angrepp i andra arenor vilket sammantaget påverkar en motståndares förmåga att angripa och svenska intressen". Det har talats om att skaffa sig aktiv cyberförmåga. Det har ministern själv pläderat för i olika sammanhang. Hur ser då analysen ut vid det här laget av de juridiska svårigheter och folkrättsproblem som kan finnas? Försvarsministern har själv pekat på dessa frågor på konferenser, i tidningsuttalanden, i och på Försvarshögskolan etcetera. Vad är det vi pratar om? Jag är förvisso ingen it-expert - rätta mig om jag har fel - men jag har förstått att aktiva åtgärder handlar om att verka utanför de egna systemen, det vill säga i andras system. Min fråga bottnar i följande problem. För att i praktiken kunna vara offensiv, ha en aktiv cyberförmåga som fungerar i verkligheten, torde man vara tvungen att redan i förväg placera ut de trojaner, internetmaskar, malware och allt vad det heter som ska användas, det vill säga redan i fredstid. Detta skapar de juridiska problemen och folkrättsproblemen. Har nu skaffat sig den förmåga som vi offentligt har pläderat för att vi ska ha? Hur ser analysen av de juridiska och folkrättsliga frågorna ut? Problemet kanske har lösts på ett sätt som jag inte har förstått eller tagit till mig, men då vill jag ha det klarlagt. STYLEREF Kantrubrik \* MERGEFORMAT Svar på interpellationer Det enda svar ministern ger är att folkrätten gäller och att berörda myndigheter ska tolka och tillämpa gällande rätt. Med tanke på sommarens och höstens diskussioner om it-säkerhet i Transportstyrelsen och en del andra myndigheter kanske det är en väl naiv förtröstan att det blir nog bra ändå när myndigheterna ordnar det hela. Mina frågor kvarstår: Har skaffat den aktiva cyberförmåga som är tänkt att verka avskräckande på angripare? Om den ska verka avskräckande måste man tala om att den finns - annars är det ingen idé. Hur ser analysen ut i fråga om den juridiska svårigheten och de folkrättsproblem som ministern själv har pekat på? Det vore väl underbart för varenda underrättelsetjänst som har någon form av närvaro i , och som dessutom tittar på debatten på webben, om jag här skulle redogöra för exakt hur arbetet går till och vad svenska myndigheter har gjort på olika sätt. Dessutom skulle jag göra mig skyldig till ett oerhört gravt sekretessbrott. Detta är underrättelsematerial som är mycket intressant i en bredare krets. Jag avstår från att gå in i den typen av detaljer med hänvisning till sekretess. Det hoppas jag kan respekteras. Om jag ska ge mig in i detta blir det närmast på en operativ nivå. Redan när jag var ledamot i gjorde jag tydligt att jag anser att ska ha en aktiv cyberförmåga. Jag anser att ska ha offensiv cyberförmåga. Jag anser att det är tröskelhöjande, och jag anser att det är nödvändigt i försvaret av . Jag anser att det är en del av den internationella miljö vi nu har att hantera. Vi måste också på något vis vara förberedda och kunna agera i de sammanhangen om det är nödvändigt. Det leder till att vi höjer tröskeln mot antagonistiska aktörer som eventuellt har intresse av att på olika sätt angripa eller förstöra våra system. Det är bakgrunden. Detaljerna i arbetet tänker jag definitivt inte gå in på. Internationell och nationell gällande rätt gäller för våra myndigheter. ska folkrätten respekteras, och svensk lagstiftning står i överensstämmelse med folkrätten. Det är den plattform som finns. Det är vad som kan sägas i debatten. Det är de riktlinjerna som styr myndigheternas arbete. Cyberområdet är här inget undantag. Jag tycker att det är naivt om man inte inser att miljön existerar eller inte är beredd att hantera och göra något åt situationen för att förbereda på hur den typen av lägen kan hanteras. Detta är vad jag har att säga i debatten. Nej, bäste minister, jag har inte alls velat att du ska bryta sekretessen och tala om exakt hur det går till och vad vi gör. Det är de principiella frågorna jag håller mig till. Jag har aldrig föreslagit att vi ska hamna i de diskussionerna. STYLEREF Kantrubrik \* MERGEFORMAT Svar på interpellationer Försvarsministern har upprepade gånger sagt att det ska finnas en offensiv och aktiv cyberförmåga. Jag hävdar, såvitt jag kan begripa, att om det ska fungera i praktiken måste vi redan i fredstid placera ut trojaner, malware och så vidare i andra system för att kunna använda dem i händelse av ofred. Det är rimligen definitionen på en aktiv och offensiv cyberförmåga. Det skapar problem folkrättsligt och juridiskt. Det blir obegripligt om ministern gång på gång - DN-intervju , , Försvarshögskolan - säger att dessa möjligheter ska införskaffas, att de är bra men att det finns vissa problem. När jag frågar hur man har löst problemen folkrättsligt och juridiskt, inte om detaljer på teknisk nivå, får jag inget svar. Jag får inte ens ett svar på om det försvarsministern säger ska införskaffas har uppnåtts. Ska de verka avskräckande och tröskelhöjande? Då går det inte att hemlighålla vapnen och att de juridiska och folkrättsliga knäckfrågorna har lösts. Jag kan inte i min begränsade fantasi se hur vi kan lösa dem. Att inte gå in i andra system i förväg är ungefär detsamma som att börja bygga vapen när väl kriget har brutit ut. Det skulle aldrig föreslås i andra sammanhang. Det kanske finns lösningar som kan antydas utan att gå in på tekniska detaljer. Med tanke på de folkrättsliga och juridiska problem som ministern själv har pekat på och som jag tar upp här: Om vi har skaffat oss den aktiva cyberförmågan ska vi tala om att den finns. Annars kan den inte vara tröskelhöjande. Då måste vi också kunna redogöra för att problemen har lösts. Jag vill fortfarande ha svar på mina frågor eftersom det är fråga om allvarliga ting. Det är inte så att människor lyssnar på dessa debatter och ministerns uttalanden i vissa fall, utan det sker . Viktiga signaler skickas ut om det är oklart om vissa juridiska och folkrättsliga problem inte har lösts men förmågan har tagits fram ändå. Det skapar inte en säkrare värld för någon av oss. Jag har redogjort för gällande lagstiftning och att folkrätten gäller, och jag har redogjort för att jag inte tänker gå in på några områden i sammanhanget där man kan närma sig sekretessbelagda uppgifter. Därför tänker jag inte heller gå in i diskussioner om hur detta operativt går till. Därmed har jag sagt vad jag har att säga i sammanhanget. Jag ska inte stå här och med en druckens envishet upprepa samma frågor som jag uppenbarligen inte får något svar på. Jag konstaterar att om vi har skaffat oss den förmåga som försvarsministern pläderar för att vi ska ha kan jag inte tolka svaret på annat sätt än att folkrätt och juridik på något sätt har kringgåtts. Denna kolartro på myndigheterna är efter sommarens och höstens händelser på Transportstyrelsen och andra myndigheter mig främmande. Jag hoppas att debatten fortsätter, dock mig förutan eftersom detta lär vara mitt sista framträdande i kammaren. Jag passar på att tacka försvarsministern för många intressanta debatter. Åtminstone har jag tyckt det. STYLEREF Kantrubrik \* MERGEFORMAT Svar på interpellationer Då får jag utan att gå in ytterligare i sakfrågan - den är avslutad för min del - tacka för hans tid i . Jag blev något förvånad när jag fick information om att skulle sluta. Jag har upplevt som en engagerad riksdagsledamot som har företrätt sitt partis ståndpunkter på ett relevant och korrekt sätt. Vi ses kanske i andra sammanhang! Överläggningen var härmed avslutad.