När cyberhoten växer är det politiskt lockande att ge staten fler ögon. Men ett samhälle blir inte digitalt motståndskraftigt bara för att myndigheterna kan samla in mer information. Om vården, energiförsörjningen eller den offentliga förvaltningen fortfarande har otydliga ansvar, bristande reservrutiner och sårbara leverantörskedjor hjälper det föga att hotet upptäcks någon annanstans.
Det betyder inte att underrättelseinhämtning saknar värde. Kvalificerade statsstödda angrepp, cyberspionage och förberedelser för sabotage kan kräva en förmåga som en kommun, ett sjukhus eller ett privat energibolag aldrig kan bygga på egen hand. Försvarets radioanstalt arbetar med att upptäcka och analysera kvalificerade cyberhot, och Sverige har sedan 2008 en lagreglerad signalspaning för att kartlägga yttre hot mot landet.
Men just därför måste debatten hålla två tankar i huvudet samtidigt: underrättelser kan ge förvarning, medan motståndskraft avgör hur hårt ett angrepp faktiskt slår.
Övervakning är inte en enda sak
Ordet övervakning används ofta som om det beskrev en enda metod. Det gör det inte. Signalspaning mot yttre hot, hemliga tvångsmedel i brottsutredningar, lagring av trafikuppgifter hos operatörer, säkerhetsloggning i en organisations egna system och delning av teknisk hotinformation är juridiskt och tekniskt olika företeelser.
Viss loggning och informationsdelning är nödvändig för att upptäcka pågående angrepp. Spår i nätverkstrafik, identitetsloggar och teknisk infrastruktur kan göra det möjligt att se ett intrång innan det utvecklas till en samhällskris. Frågan kan därför inte reduceras till övervakning eller ingen säkerhet.
De avgörande frågorna är vilka uppgifter som får samlas in, för vilket ändamål, under hur lång tid och under vilken oberoende tillsyn. EU-domstolen slog i Tele2 Sverige-målet fast att EU-rätten hindrar generell och urskillningslös lagring av trafik- och lokaliseringsuppgifter. Domen förbjuder inte all datalagring, men den visar att en allvarlig hotbild inte upphäver kraven på avgränsning, proportionalitet och rättssäkerhetsgarantier.
De vardagliga bristerna är också säkerhetspolitik
MSB har beskrivit cyberangrepp, cyberspionage, ransomware och angrepp mot leveranskedjor som betydande hot. ENISA pekar samtidigt på sårbarheter, felkonfigurationer, identitetsangrepp och leveranskedjor som centrala vägar in i organisationer.
Det är mindre dramatiskt att tala om uppdateringar, multifaktorautentisering, segmenterade nätverk, fungerande säkerhetskopior och övade reservrutiner. Men det är ofta där skillnaden mellan en avvärjd incident och ett långvarigt verksamhetsstopp skapas.
Riksrevisionen bedömde 2023 att regeringens och myndigheternas arbete inte hade säkerställt ett tillräckligt effektivt förebyggande arbete och en tillräckligt effektiv incidenthantering i den statliga förvaltningen. Granskningen pekade bland annat på brister i styrning, ansvar, uppföljning och myndigheternas förutsättningar.
Det bevisar inte att satsningar på informationsinhämtning har orsakat bristerna. Problemen kan också handla om äldre system, kompetensbrist, finansiering och svag ledning. Men granskningen ger goda skäl att kräva att staten klarar sina befintliga säkerhetsuppgifter innan nya befogenheter presenteras som den främsta vägen till trygghet.
Cybersäkerhet hör hemma i ledningsrummet
EU:s regelverk pekar mot ett bredare ansvar. NIS 2 kräver att berörda offentliga och privata verksamheter vidtar proportionerliga tekniska, operativa och organisatoriska riskhanteringsåtgärder. Kraven omfattar bland annat incidenthantering, kontinuitet, leveranskedjor, sårbarhetshantering, utbildning och kryptografi. Ledningsorgan ska godkänna och övervaka åtgärderna och kan hållas ansvariga för bristande efterlevnad.
DORA, som gäller sedan den 17 januari 2025, ställer särskilda krav på digital operativ motståndskraft i finanssektorn. EU:s Cyber Resilience Act inför successivt cybersäkerhetskrav för produkter med digitala delar, däribland krav på att tillverkare hanterar sårbarheter under produktens livscykel.
Regler löser förstås ingenting automatiskt. Dåligt utformad tillsyn kan skapa dokumentberg i stället för säkrare system, särskilt för små kommuner och mindre leverantörer. Kraven måste vara proportionerliga och följas av kompetens, resurser och praktiskt stöd. Men riktningen är riktig: cybersäkerhet är inte bara it-avdelningens problem och inte heller en uppgift som kan läggas helt på staten.
Kontroll är en del av skyddet
Demokratisk kontroll kan uppfattas som långsam när ett angrepp utvecklas på minuter. Lösningen är dock inte att avskaffa kontrollen, utan att i förväg skapa tydliga mandat, snabba krisprocedurer och kompetent oberoende tillsyn.
Hemliga metoder kan inte alltid redovisas offentligt utan att källor och arbetssätt röjs. Det är ett legitimt motargument mot krav på full öppenhet. Men sekretess får inte bli detsamma som frånvaro av ansvar. Ju mer ingripande ett verktyg är, desto tydligare måste reglerna, ändamålen och möjligheterna till efterhandskontroll vara.
Sveriges nationella cybersäkerhetsstrategi för 2025–2029 behandlar bland annat systematiskt cybersäkerhetsarbete, kompetens, internationellt samarbete och förmågan att förebygga och hantera incidenter. Den bredden måste också prägla de politiska prioriteringarna.
Ett tryggare digitalt Sverige behöver alltså både underrättelser och välskötta system. Men ordningen spelar roll. Övervakning kan varna för stormen; den kan inte laga taket, utbilda personalen eller hålla reservkraften igång. Motståndskraft byggs genom tydligt ansvar, fungerande grundskydd och demokratisk kontroll över den makt som används i säkerhetens namn.
