Det næste punkt på dagsordenen er:

12) 1. behandling af lovforslag nr. L 215:

Forslag til lov om ændring af lov om Center for Cybersikkerhed. (Initiativer til styrkelse af cybersikkerheden).

Af forsvarsministeren (Claus Hjort Frederiksen).

(Fremsættelse 27.03.2019).

Vi åbner forhandlingen med hr. Henrik Dam Kristensen, Socialdemokratiet. Værsgo.

Jeg skal hilse fra De Radikale og sige, at de er enige med Socialdemokratiet – i hvert fald i denne sag.

Vi har igennem de seneste år med stigende styrke set, hvordan cybersikkerhed kan have alvorlige sikkerhedsmæssige og samfundsøkonomiske konsekvenser herhjemme, men også udeomkring i den store verden. Vi har set sygehuse, der er blevet lammet i Storbritannien, hvilket havde store omkostninger, både økonomisk og menneskeligt. Vi har set Mærsk, som offentligt har tilkendegivet, at det kostede et milliardbeløb, da de var udsat for hacking. Vi ved, at danske ministerier er blevet forsøgt hacket. Vi ved, at der er masser af borgere, som har fået frarøvet deres identitet og penge. Vi ved, at meget vigtige samfundsinstitutioner og samfundsorganisationer, som har at gøre med vand, el, pengesystemet, NemID osv., hele tiden er udsat for hacking, både mere amatøragtigt, men også på en måde, som er super professionelt. Og så ved vi, at vores efterretningsvæsen siger, at der er en meget, meget høj cybertrussel i Danmark. Det er ikke kun i Danmark, det er over hele verden, men den er bestemt også særdeles høj i Danmark.

Derfor står vi i dag med det, jeg godt vil betegne som et meget vigtigt lovforslag. Med det her lovforslag tilpasser vi nemlig Center for Cybersikkerhed til den stigende cybertrussel, der er med den massive teknologiske udvikling, som vi har oplevet i disse år. Så jeg synes, at det er meget konkret at sige, at når vi nu kommer med den her lovgivning, er det ikke, fordi vi er nervøse, fordi vi tror , der kommer noget. Nej, vi kommer med den her lovgivning, fordi vi ved , der er nogle, som vil os det ondt, og som har evne, vilje og kapacitet til det. Samtidig ved vi også, at Danmark og danske virksomheder og myndigheder er i kapløb med fremmede stater, hackergrupper og individer, der hele tiden udvikler nye måder, hvorpå de kan udnytte cyberangreb til at nå både deres politiske, men også deres økonomiske mål. Og der kan man ikke bare læne sig tilbage og lade som ingenting; der er vi nødt til at have muskler til at stå imod med.

Så derfor foreslår vi simpelt hen at tilpasse lovgivningen til virkeligheden, så vi også fremadrettet kan modsvare de trusler, som vi bliver udsat for i det danske samfund. Lovforslaget er faktisk en vigtig forlængelse af forsvarsforliget. Her kan man sige, at vi for første gang tog alvorligt fat på at adressere cybertruslen. For Socialdemokratiet var det en vigtig prioritet i forsvarsforligsforhandlingerne.

Jeg skal ikke gennemgå de nye værktøjer, som vi får. Det ville være for omfattende, og det tillader tiden heller ikke. Jeg vil bare sige, at vi i de partier, som har en stemmeaftale på det her område, meget nøje har gennemgået de høringssvar, der har været, og jeg vil også gerne medgive, at der er nogle af høringssvarene, som er kritiske, og der er også nogle steder, hvor der er diskussioner, som jeg synes vi skal tage alvorligt, for vi går jo et skridt videre i forhold til den måde, vi normalt har frihedsrettigheder osv. på i Danmark. Jeg er glad ved, at vi, når det gælder langt de fleste af bekymringerne, har kunnet tage dem om bord og fået det tilpasset. Så jeg synes, at alle burde kunne se sig selv i det her.

En af de diskussioner, der helt naturligt kommer, er, at Center for Cybersikkerhed ligger i forbindelse med Forsvarets Efterretningstjeneste. Det er der andre lande, der også har valgt, og der er nogle lande, som har valgt en anden måde at gøre det på. Selv vil jeg gerne sige, at jeg er glad ved, at vi traf beslutningen om, at Center for Cybersikkerhed skulle ligge i forbindelse med efterretningstjenesten for forsvaret. Og det er jeg, fordi de, der i Danmark har evnen og muligheden for at have den tætte kontakt til, hvad der foregår ude i den store verden, lige præcis er Forsvarets Efterretningstjeneste. Og så vil jeg bare sige, at det at have den tætte kontakt tror jeg ruster centeret til i langt højere grad at kunne tage imod de trusler, vi bliver udsat for.

Endelig vil jeg bare sige, at jeg selvfølgelig også er glad ved, at Center for Cybersikkerhed jo ikke bare sejler sin egen sø. Ud over at det har de retningslinjer, som man har, når man er en statslig organisation, så har vi også tilsynet med efterretningstjenester, som både udfører en omfattende og også en intens kontrol med centerets behandling af personoplysninger, og de har adgang til oplysninger og materiale og til it-systemer osv. Så jeg synes, vi har fået det her puttet ind i nogle ordentlige, klare og skrappe rammer.

Tak. Der er en kort bemærkning fra fru Eva Flyvholm.

Nu siger hr. Henrik Dam Kristensen, at han er glad for, at vi i Danmark har valgt at lægge det under Forsvarets Efterretningstjeneste. Det må jeg sige at jeg bestemt ikke er. Jeg mener helt klart, at det er en fejl, at man har valgt den struktur. Når vi ser rundt i Europa, hvordan langt de fleste andre lande har gjort det, så er det heller ikke på den måde. Men jeg vil gerne høre ordføreren, om ikke det gør indtryk, at vi i efteråret havde en rigtig stor høring i Forsvarsudvalgets regi, hvor jeg synes, det var meget entydigt, at de eksperter, der var til stede – forskere, folk fra it-sikkerhedsbranchen osv. – over en kam faktisk kritiserede lige præcis placeringen under FE, fordi man var bekymret for, at det kun var de militære trusler, der ligesom ville dukke op på radaren, og at der vil være for lidt fokus på mange af de andre, hvad skal vi sige, civile trusler, der også er relevante i forhold til cybersikkerhed. Er det ikke noget, der gør indtryk på hr. Henrik Dam Kristensen, når man ligesom ser, at der her er så mange, der råber vagt i gevær?

Ordføreren.

Jo, fru Eva Flyvholm, det er det. Jeg synes i øvrigt, at det var en god konference. En af de ting, jeg tog med mig fra den konference, var, at vi skulle få skabt et forum, hvor relevante myndigheder og private virksomheder og deres organisationer kunne samtale om det her. Det tror jeg vi får. Forsvarsministeren har i hvert fald ladet, som om han synes, det er en god idé, så jeg regner med, at det også ender med at blive til noget konkret.

Må jeg godt sige mere overordnet, at jeg er med på, at det er til diskussion, hvor man lægger den her slags ting henne. Jeg er optaget af at opnå den største viden og dermed den største mulighed for beskyttelse på området her. Så er der måske en gradsforskel, hvad angår den mistro, man kan have eller ikke have til en organisation, og det er jo fair nok. Men jeg er ikke ligeglad, og det er også derfor, jeg synes, at kontrolorganet her er særdeles vigtigt. Og jeg vil sige, at vi hele tiden skal holde øje med, om de har brug for flere ressourcer, og har de det, skal vi også være åbne over for at give dem det.

Fru Eva Flyvholm.

Tak for det. Ja, jeg er bestemt bekymret over, at alle de oplysninger kommer til at ligge under efterretningstjenesten her. Men i forhold til det råd, der foreslås, hvor man kan inddrage organisationerne mere, oplever jeg det ikke sådan, at det helt var det, de bad om. Altså, de ville jo gerne have et panel, hvor man havde mere politisk styring af det. Men her får man et råd, hvor det stadig væk er Center for Cybersikkerhed, som sidder som den centrale part. Det er i hvert fald, hvad jeg har hørt.

Det andet, jeg vil spørge til, er: Mener hr. Henrik Dam Kristensen, at kontrollen med efterretningstjenesterne fuldstændig kan imødegå alle de problemer, der kan være i det her? For det er ikke sådan, jeg ser tilsynet kan fungere. Altså, det er jo helt grundlæggende ikke et særlig godt tilsyn, der er.

Værsgo.

Allerførst, fru Eva Flyvholm, er indgangsvinklen, at vi har en statslig myndighed, som lever op til de forvaltningsmæssige pligter osv., som man har, og der er ikke nogen som helst mistro til hverken medarbejdere ved FE eller Center for Cybersikkerhed. Jeg tror, at det er ordentlige, gedigne og dygtige embedsmænd, som sørger for at leve op til den lovgivning, som fru Eva Flyvholm og jeg vedtager. Måske bliver det ikke enstemmigt vedtaget, men som et flertal herinde vedtager. Det er jo den første indgangsvinkel til det. Så har vi derudover bygget kontrolmyndigheden op af uafhængige eksperter og forskere, som har uhindret adgang til at gå ind at kontrollere. Så jeg føler mig sådan set tryg.

Tak til hr. Henrik Dam Kristensen. Så er det hr. Jeppe Jakobsen, Dansk Folkeparti. Værsgo.

Tak for det. Hvor andre partier har ideologier, man bekender sig til, når man udformer sin politik, har Dansk Folkeparti et hensyn til Danmark ind over alle beslutninger, vi træffer. Og det er så, uanset om det er hensynet til vores samfundsindretning, som vi ønsker at bevare, hensynet til vores sprog og kultur, som vi ønsker at bevare, eller hensynet til danskernes sikkerhed, som vi sætter meget højt. Så det er altid hensynet til Danmark, som er rygraden i Dansk Folkepartis politik.

Der kan man sige, at lovforslaget, vi behandler her i dag, er meget en til en i forhold til at sikre danskerne bedre. Hvor forsvaret traditionelt set har skullet operere i forhold til jorden, til luften og til søen, har man nu fået et ekstra domæne, nemlig cyberspace. Og der er det jo selvfølgelig vigtigt, at vi sikrer, at forsvaret kan agere i cyberspace, og at det også har de rigtige værktøjer til at sikre danskerne i forhold til dette domæne. Der er det ikke sådan, som det er med hæren, som skal have de rigtige køretøjer, eller søværnet, som skal have de rigtige skibe, men her er det sådan, at man skal have de rigtige rammer for lovgivningsmæssigt at kunne få vores dygtige folk i Center for Cybersikkerhed til at fungere på den rigtige måde.

Lovforslaget giver jo Center for Cybersikkerhed mulighed for at skabe bedre cybersikkerhed. De får nye redskaber i form af bedre mulighed for at overvåge internettet i forhold til samfundskritiske virksomheder. De får mulighed for at opstille såkaldte honeypots og sinkholes, som tidligere i andre sammenhænge har vist sig at være effektive redskaber til dels at detektere angreb og lære om, hvordan kriminelle agerer i det her, dels at sikre, at man kan stoppe angreb – det var jo bl.a. sådan, man stoppede det såkaldte WannaCry-angreb. Derudover sikrer man en mere smidig sagsgang, i form af at man lettere kan informere folk, der har været udsat for et angreb, eller lettere kan opbevare relevant information.

Det forslag, vi behandler i dag, er jo et revideret forslag i forhold til det, der var sendt i høring, og i Dansk Folkeparti er vi glade for, at man har lyttet til den bekymring, der har været fra især fagbevægelsen, som havde en frygt for, at medarbejdere kunne blive udstillet unødigt i forhold til deres jobsikkerhed.

Alt i alt må man sige, at når Forsvarets Efterretningstjeneste vurderer, at cybersikkerhed og angreb i cyberspace er en af de tre største trusler imod kongeriget, så er det relevant at sikre, at vi styrker den del af vores forsvar betragteligt. Det gør vi med det her lovforslag, og derfor vil Dansk Folkeparti støtte forslaget.

Tak til hr. Jeppe Jakobsen. Den næste i rækken er hr. Peter Juel-Jensen. Værsgo.

Tak for det, formand. Jeg vil gerne starte med at rose mine to kolleger fra Socialdemokratiet og Dansk Folkeparti for nogle udmærkede ordførertaler, som er kommet godt omkring lovforslaget.

Baggrunden for det her lovforslag er, at Forsvarets Efterretningstjeneste vurderer, at Danmark står over for en meget høj cybertrussel fra særlig fremmede stater. Nogle stater forsøger vedholdende at udføre cyberspionage mod danske myndigheder og danske virksomheder, og det bliver stadig sværere og sværere at opdage deres aktiviteter, men da konsekvenserne af denne trussel kan være fuldstændig uoverskuelige, er det altså ikke en løsning at sidde med hænderne i skødet. Vi bliver tvunget til at handle. Og det er faktisk baggrunden for, at en kreds af partier har lavet en aftale om en væsentlig styrkelse af cyberbeskyttelsen i Danmark.

Dette lovforslag om ændring af den gældende om Center for Cybersikkerhed vil med en række initiativer styrke cybersikkerheden. Vi kan jo se, at det i andre lande, der har været udsat for cyberangreb, og hvor kritisk infrastruktur er blevet angrebet, får vidtrækkende konsekvenser. Vi kommer langt med det her lovforslag i dag, men det skal ikke blive en sovepude, for vi kan beskytte os noget hen ad vejen, men udviklingen på det her område går så stærkt, så hvad morgendagen bringer, ved vi faktisk ikke. Så vi skal hele tiden sørge for, at vi følger godt med, og at vi er klar til at handle og træffe de nødvendige beslutninger. Men i bund og grund, og det synes jeg vi alle sammen kan lære af, så starter cybersikkerheden hos individet, hos den enkelte, hver eneste gang vi logger ind og bruger et device, som har forbindelse til andre steder. Så cybersikkerheden er ikke noget, som vi kan føre ud i livet på statsligt niveau; nej, det går fra hver eneste bruger og så helt op til den myndighed, som sidder og har ansvaret, nemlig Center for Cybersikkerhed. Tak.

Tak til hr. Peter Juel-Jensen. Så er det fru Eva Flyvholm.

I lighed med de andre ordførere synes jeg også, det er meget, meget vigtigt, at vi styrker vores forsvar mod cyberangreb, for det er der åbenlyst et behov for. Men i Enhedslisten har vi det sådan, at vi mener, at beskyttelsen af vores helt vitale infrastruktur, altså f.eks. vores transport- og vores sundhedsvæsen, altså er et anliggende for hele samfundet, og derfor bør Center for Cybersikkerhed placeres som en civil myndighed under ordentlig demokratisk kontrol. Jeg synes faktisk, det er et stort problem, at det her center ligger under Forsvarets Efterretningstjeneste. Det er den mest lukkede af vores efterretningstjenester, og den er ikke omfattet af de helt almindelige regler, som gælder alle andre myndigheder, altså forvaltningslov, persondatalov, retsplejelov osv., og er altså uden for disse. Jeg synes, det er dybt problematisk, at man har valgt den her struktur.

Lukketheden omkring det her arbejde, som vi sådan set alle sammen synes er meget vigtigt, betyder rigtig meget, og jeg tror, det er skadeligt med den lukkethed, og det giver en dyb usikkerhed om, hvordan de her informationer kan deles og bruges, altså hvilke informationer der tilgår Forsvarets Efterretningstjeneste fra Center for Cybersikkerhed. Det kan godt være, at os fra venstrefløjen pr. definition er en lille smule mere tilbøjelig til at være bekymret over efterretningstjenesternes overvågning af borgerne, men det er der vist historiske årsager til vi er. Jeg vil sige, at jeg faktisk synes, det er et demokratisk anliggende for os alle sammen, når vi ikke kan være sikre på, hvad det egentlig er, der foregår, og så bliver man bekymret. Eksempelvis kan vi se, at de nye regler for databeskyttelse, som vi har vedtaget for kort tid siden, ikke gælder for centerets arbejde, og jeg synes, man burde kunne forvente, at sådan et center skulle leve op til de samme standarder for beskyttelse af borgernes oplysninger som alle andre.

Det er flere gange blevet nævnt, at der er et tilsyn med efterretningstjenesterne, men jeg er nødt til at sige, at man må gøre sig klart, at det her tilsyn med efterretningstjenesterne altså ikke er særlig grundigt. I Danmark er det for det første ikke en uvildig myndighed eller uvildig instans, som det er andre steder, og de har ikke mulighed for at foretage uanmeldte inspektioner, men de går faktisk bare ind og ser på, hvornår det bliver registreret, at der er trukket persondata, men de forholder sig ikke til, om de data så bliver håndteret på en fornuftig måde. Og der er masser af andre ting, som jeg også synes man burde gå ind i. Så jeg mener ikke, at det der tilsyn på nogen måde er tilstrækkeligt til at gøre os sikre ved det.

Helt kort sagt er det her Center for Cybersikkerhed fatalt fejlanbragt under Forsvarets Efterretningstjeneste, og jeg synes, det er så vigtigt, at vi får rettet op på den struktur og får det placeret som en civil myndighed, hvor det hører til, og det er altså også sådan, langt de fleste lande har gjort – Holland, Finland, Norge, Frankrig osv. har samlet det her arbejde med cybersikkerhed hos civile myndigheder, f.eks. under deres justitsministerium eller transportministerium. Vi ønsker jo fra Enhedslistens side, at man får oprettet et it-ministerium, og det kunne også godt være en enhed under sådan et ministerium.

Jeg synes simpelt hen, vi er nødt til at have den diskussion, især også fordi stort set samtlige eksperter og aktører på området er dybt kritiske over for den struktur, man har valgt i Danmark. Vi holdt en stor cybersikkerhedskonference herinde, hvor de her forskere og it-professionelle osv. over en kam sagde, at her er der altså et problem ved, at det er Forsvarets Efterretningstjeneste, som sidder centralt placeret i det her. Det er både på grund af det med lukketheden og bekymringen for reglerne, men også helt grundlæggende, i forhold til at de ikke mente, at man fik den bedste cybersikkerhed ud af det, fordi der vil være for meget fokus på – og det er nok en naturlig arbejdsskade i Forsvarets Efterretningstjeneste, kan man sige – på Kina og Rusland og for lidt fokus på de angreb, der også kan komme fra helt almindelige hackere og andre.

Endelig vil jeg i forhold til det konkrete forslag her sige, at der jo også har været meget, meget kritiske høringssvar. Noget af det, der er blevet taget fat i, er, at virksomheder kan blive tvunget til at få de her bokse på, hvor Center for Cybersikkerhed kan hive informationerne ud, og det synes jeg stadig væk er problematisk, ligesom det er problematisk, at vi ikke kan få et klart svar på, hvad det er for nogle virksomheder, det her drejer sig om. Det er også problematisk, at man vil gå ind og lokke virksomheder til at begå fejl for at teste sikkerhedsniveauet. Men jeg vil gerne rose ministeren og de andre partier for, at der er blevet foretaget rettelser, så de her medarbejdere ikke vil komme i så store problemer, og de risikerer i den forbindelse ikke at blive fyret, og det synes jeg er rigtig godt man har rettet op på. Men det ændrer jo ikke på, at de her medarbejdere f.eks. stadig væk vil blive udsat for, at en efterretningstjeneste sidder og holder øje med, hvad ens mand eller barn hedder, og hvad ens seksualitet og forskellige andre ting er, for at se, om der kan samles oplysninger, der kan vise, hvor der kan være sikkerhedshuller. Det synes jeg egentlig helt grundlæggende er meget, meget problematisk og ubehageligt.

Endelig lægger det her også op til, at man vil udvide slettefristerne, så Center for Cybersikkerhed kan have oplysningerne meget længere.

Så der er rigtig meget at diskutere her, og det får vi rig lejlighed til at gøre, er jeg sikker på, i den kommende tid, men helt grundlæggende kan vi fra Enhedslistens side ikke støtte det her forslag, fordi de grundlæggende problemer ikke er løst, og vi kan bestemt ikke stemme for at give flere magtbeføjelser til centeret. Tak.

Tak. Der er en kort bemærkning fra hr. Henrik Dam Kristensen.

Enhedslisten og fru Eva Flyvholm sagde indledningsvis, at de ligesom os andre er bekymrede for den trussel, der er. Det er godt, vi kan være enige om det. Så er det instrumenterne, vi jo i givet fald taler om. Jeg har to ting.

For det første er det rigtigt, at man kan lave de test over for medarbejdere, men jeg synes bare, det er meget bedre, at man kommer til at falde i over for centerets medarbejdere end over for en ondsindet hacker. Så det her skal jo bruges til, at vi alle sammen kan blive klogere på vores arbejde.

Det andet, der ligger i det, er det omkring tilsynet. Jeg tror, fru Eva Flyvholm kom til at sige, at man ikke kunne komme på uanmeldte besøg. Jeg vil bare spørge fru Eva Flyvholm: Er det ikke korrekt, at hvis man læser lovforslaget, har tilsynet behandling af alle personoplysninger og har adgang til alle oplysninger og de materialer og it-systemer, som der findes? Dermed er tilsynet underlagt en skrappere kontrol end nogen anden statslig myndighed. Er det en forkert udlægning fra min side?

Ordføreren.

Altså, til det sidste, som ordføreren spørger om her, vil jeg sige, at så vidt jeg ved kan det her kontroltilsyn – eller hvad hedder det nu – tilsynet med efterretningstjenesterne ikke komme på uanmeldte inspektioner. Det er sådan, jeg har fået det oplyst, og det er det, jeg forholder mig til. Det tror jeg stadig væk er korrekt, og ellers må I meget gerne give mig en skriftlig forklaring på, at de godt kan det. Men det er, så vidt jeg ved, ikke sådan, at de kan det. Og det mener jeg at de burde kunne. For ligesom man i Arbejdstilsynet f.eks. får nogle helt andre resultater, hvis man kommer dumpende forbi en dag, hvor ingen lige havde regnet med det, end man gør den dag, hvor man havde anmeldt man ville komme, så tror jeg også, det er fornuftigt f.eks. at kunne gøre det.

Men til det andet, som hr. Henrik Dam Kristensen spørger om, vil jeg sige, at det jo lige præcis er kernen: Jo, jeg synes, det er nødvendigt, at vi styrker vores cybersikkerhed. Og det kan måske også godt være rimeligt nok, at man går ind og tester på nogle måder, hvor man ser på de virksomheder, der har problemer, hvor medarbejderne måske ikke er uddannet godt nok, og hvor ledelsen skal gøre noget mere for det osv., altså for at imødekomme de her cybertrusler – helt sikkert.

Men jeg synes ikke, at det er betryggende, at det er en efterretningstjeneste, der i op til 3 år vil kunne sidde og lagre oplysninger om helt almindelige medarbejdere i f.eks. et energifirma eller i sundhedsvæsnet; det kan være oplysninger om, hvad deres kæledyr hedder, hvad deres mand laver osv. Altså, det er den slags oplysninger, man faktisk går ind og hiver ud, og de ligger 3 år i sådan en efterretningstjeneste. Det synes jeg ikke er betryggende, og det er derfor, jeg mener, det skal være en civil myndighed.

Hr. Henrik Dam Kristensen.

Jeg vil sige til fru Eva Flyvholm, at det med tilsynet er jo vigtigt for os begge to. Jeg ønsker også, det skal være der, så jeg håber virkelig, at forsvarsministeren tager det her med ind og svarer konkret i dag, eller at han laver et udførligt notat på, hvad det egentlig er, vi kan. For det er jo vigtigt for at kunne have en fremadrettet debat.

Så vil jeg gerne spørge: Hvis vi så sagde, at vi lavede sådan et center, men flyttede det uden for FE's kontrol, ud til et eller andet sted for sig selv, ville fru Eva Flyvholm så stemme for den her lovgivning?

Ordføreren.

Jamen ja, som udgangspunkt. Hvis det lå i en civil myndighed, altså det her arbejde, som er omfattet af de almindelige regler, som jeg kalder på at de skal være, ja, så ville vi da gerne stemme for den her lovgivning. Vi har endda fremsat forslag i Folketinget om, at Center for Cybersikkerhed skulle laves til en civil myndighed. Og hvis hr. Henrik Dam Kristensen og andre måske ville støtte sådan et forslag, fremsætter jeg det gerne igen, og så kan vi alle sammen gå herfra i dyb harmoni og enighed om, at det er det, vi gør.

Det affødte lige en kort bemærkning fra hr. Peter Juel-Jensen. ( Eva Flyvholm (EL): Jamen det var da herligt).

Tak. Jeg tror, at ordføreren kom til at fortale sig, for jeg synes, jeg hørte ordføreren sige, at Center for Cybersikkerhed på ingen måde er underlagt lovgivning, der sikrer, at der er en regulering af persondataoplysninger. Så vidt jeg husker – og der vil jeg bare gerne have et ja- eller nejsvar – er det faktisk reguleret i den lovgivning, der ligger bag Center for Cybersikkerhed, hvordan man skal omgås persondataoplysninger. Der er meget skrappe krav til det. Så det er ikke korrekt, når ordføreren står og siger, at det ikke er reguleret.

Ordføreren.

Det er jo sådan, at Center for Cybersikkerhed er undtaget i persondataloven. Det er også sådan, at det er undtaget i forvaltningsloven og i en række andre love, fordi det ligger under Forsvarets Efterretningstjeneste – det fremgår også af loven.

Så har man så yderligere i den her lov om Center for Cybersikkerhed indskrevet, at man gerne vil følge de samme principper som dem, der er de andre love. I min verden er det simpelt hen bare ikke godt nok, at man sådan meget hyggeligt siger, at man gerne vil følge de samme principper. Jeg kan ikke se, hvorfor vi ikke bare kan sørge for, at den her myndighed er underlagt de samme regler, for så behøvede vi ikke at diskutere det eller være bekymret for det.

Så jeg mener faktisk ikke, at det er en lige så god sikring, desværre. Men jeg vil gerne medgive, at der selvfølgelig er nogle regler, men jeg mener ikke, at de lige så gode, som de er for alle andre myndigheder.

Hr. Peter Juel-Jensen.

Som jeg kan huske den oprindelige lov, der ligger bag Center for Cybersikkerhed, så er der faktisk en rimelig detaljeret regulering af centerets behandling af personoplysninger. Så jeg synes faktisk, at ordføreren skulle få stillet et skriftligt spørgsmål – ellers skal jeg nok gøre det – for jeg tror faktisk, at jeg har ret.

Så skal jeg lige høre, for det lød, som om ordføreren havde læst lovforslaget på en lidt anden måde, end jeg havde gjort. Jeg synes ikke, at jeg er stødt på i lovforslaget, at der er nogen bemyndigelse til Center for Cybersikkerheds medarbejdere til at gå ind at kontrollere danske energimedarbejderes kælenavne til deres dyr. Hvor finder ordføreren dog det henne – er det i ordførerens frie fantasi?

Ordføreren.

Nej, det sidste her handler om, at når centeret går ind og skal lave sådan nogle test for at kunne vurdere sikkerhedsniveauet i noget af det her kritiske infrastruktur rundtomkring, får man faktisk med det her lovforslag mulighed for at gå ind at teste, om medarbejderne er oplagte til at falde i sikkerhedshuller, kan man sige, ikke? Så der sidder man faktisk og fisker informationer om alt muligt. Hvis det nu var mig, ville man nok tjekke, hvad Evas søde baby hedder, og om det mon er det, der er Evas kodeord, eller hvad? Altså, man tester sådan nogle ting for at finde ud af, om folk har lavet for dårlige kodeord. Det ligger faktisk i lovforslaget – det må jeg bare sige.

Til det der med loven: Jeg kan love ordføreren, at jeg har stillet masser af spørgsmål til det, og jeg gør det gerne igen. Faktum er bare, at der jo er en grund til, at efterretningstjenesterne ikke er underlagt de samme regler som alle os andre, og det er jo lige præcis det, der bekymrer mig.

Tak til fru Eva Flyvholm. Den næste i rækken er hr. Villum Christensen, Liberal Alliance. Værsgo.

Tak for det. Men lad mig starte med at slå fast, at Liberal Alliance mener, at det er nødvendigt at give yderligere beføjelser til Center for Cybersikkerhed. Det kræver de nuværende sikkerhedstrusler. Det har vi jo så fået et bud på nu med lovforslaget – vel et egentlig længe drøftet forslag, som skal afbalancere hensynet til statens sikkerhed på den ene side med borgernes og virksomhedernes retssikkerhed mere generelt på den anden side. Det er ikke nogen nem opgave.

Når man læser høringssvarene igennem, er der rigtig mange advarsler, som har gjort, at vi siger til os selv, at så skal vi også tænke os rigtig grundigt om. I realiteten er det faktisk ret svært at finde positive udsagn, men nu er det jo også mange specialinteresser, og det er os herinde, der har det overordnede ansvar for statens og samfundets interesser. På grund af proportionerne i sagen finder vi efter en samlet vurdering, at der kan argumenteres for, at der bag forslaget trods de udfordringer, som forslaget byder på i forhold til de gængse retsprincipper, er en gedigen argumentation.

For tænk, hvis vi ikke kan ringe 112 en dag, eller at elleverancerne stopper og samfundets institutioner går i stå eller lægges ned, og at vi samtidig havde en reel mulighed for at forhindre det, så ville vi jo ikke blive rost for det. Og så vil DSB's nedbrud i går jo være en myg ved siden af det, vi ellers vil opleve.

Det skyldes især, at alternativerne jo vil være værre. Vi tror selvsagt mere på vores egne folk i Center for Cybersikkerhed end på russiske agenter – det siger ligesom sig selv. Det gør vi også, fordi de danske analytikere, som de kaldes i lovforslaget, i Center for Cybersikkerhed lokkes og kan kontrolleres, og bliver der behov for at gå helt ind at scanne i virksomhedens stationære data, er det efter aftale med virksomheden.

Det er jo ligesom det nye, vi får, med ændringerne. Og vi synes faktisk, at ministeren har lyttet til den mest kradsbørstige kritik – og tak for det. Vi vælger altså at betragte forslaget her som en intention om at give virksomhederne en ekstra beskyttelse, altså en beskyttelse ud over den, de selv etablerer.

Men når det er sagt, vil vi også gerne drøfte i udvalget, om grænsen mellem statens sikkerhed og borgernes retssikkerhed er lige i skabet. Vil det være muligt at forkorte den periode, hvor man har rådighed over de mange data, før de skal slettes, som det også har været fremme? Og er vi nu helt sikre på, at vi har hegnet mulighederne for misbrug og fejl tilstrækkeligt inde, når vi tænker på de rigtig store mængder af data, vi har med at gøre?

Vi skal nok støtte forslaget, men vi har ikke noget imod, at vi syretester den meget svære grænse, vi har, mellem de her væsentlige principper.

Tak til hr. Villum Christensen. Så er vi nået til hr. René Gade, Alternativet. Værsgo.

Tak for det. Det er en god debat og en – synes jeg – meget, meget væsentlig debat, og det er jo egentlig også det, som de fleste kritikere af lovforslaget siger, altså at vi simpelt hen bliver nødt til at have den her debat på højeste sted i Danmark. Og det er så det, vi har.

I Alternativet er vi delte, for hensigten er jo god. Jeg synes, at Socialdemokratiets ordfører fremførte nødvendigheden glimrende – ligeledes Venstres ordfører. Nogle af problematikkerne, senest fremført af Liberal Alliances ordfører, er vi jo enige i. Det er vi i forhold til frihedsrettigheder over for statens sikkerhed, og i forhold til placeringen af Center for Cybersikkerhed er vi fuldstændig enige i den kritik, som kommer fra fru Eva Flyvholm. Vi kan simpelt hen ikke se berettigelsen af den nuværende placering. Men det er allerede sagt, så jeg vil hæfte mig ved nogle andre ting.

I udvalgsbehandlingen kommer vi til at fokusere på de glimrende tilpasninger, som der allerede er sket. Jeg synes, det er nogle fine imødekommelser, der er kommet i forhold til nogle af høringssvarene. Jeg kan ikke med sikkerhed sige, at vi har et bedre alternativ i posen til det her, men måske skal der bare tages en generel diskussion om, om det altid er legitimt, at vi forsvarer os mere og mere mod den her cybertrussel. Det er en enorm svær diskussion at have, og som det ofte også gælder på retsområdet, er det sådan, at når man siger, at det her vil man ikke være med til, er der samtidig den risiko, at der jo kan komme et angreb, eller at man kan opleve noget 5 måneder senere, hvor man som ansvarlig minister så kan sige: Vi blev jo faktisk rådet til at gøre det her – hvorfor gjorde vi det ikke? Så hvor er grænsen? Det må vi tage i udvalgsbehandlingen, og jeg glæder mig til den konference, der er på torsdag, som er arrangeret af Ingeniørforeningen om bl.a. cybersikkerhed.

Mit største problem er lige p.t., at alle eksperterne, som jeg normalt lytter til, siger, at det her altså er en skæv retning. Men derfor kan man jo godt have en politisk ambition og et politisk ansvar, som man skal tage. Det er bare umanerlig svært at gå imod eksperternes vurdering, når den er så voldsom, som jeg synes den er i høringssvarene. Men vi kommer ikke til at tage stilling i dag. Generelt er vi negativt indstillet over for lovforslaget. Vi synes, der er sket et skred i forhold til den rettidige omhu på det her område, og vi synes, at det simpelt hen i for høj grad går ud over vores liberale samfundsopbygning.

Der blev sagt, at det her jo kun er i forhold til et etcifret antal organisationer – jeg tror, det var det, der blev nævnt på et tidspunkt – at man vil have den her tvungne overvågning, men når jeg så taler med eksperterne, siger de: Ja, det er rigtigt, men det her etcifrede antal organisationer spreder sig jo så ud og dækker faktisk i sidste ende stort set hele Danmark og næsten alle husstande. Det er i hvert fald den opfattelse, jeg har fået. Det er jo meget vidtforgrenede organisationer, så man kan sige, at det er et fåtal, der kan blive pålagt det her, men det er meget, meget omsiggribende.

Er det så det rigtige at pålægge dem for at sikre staten? Det kan godt være, men jeg synes, at kritikken af Center for Cybersikkerhed er ganske markant, også i forhold til om det rent faktisk er dér, de rigtige og de bedste kompetencer i landet er. Det vil jeg ønske – jeg er slet ikke kompetent til at vurdere det, men jeg vil da ønske, at det center simpelt hen er det bedste til at navigere i det og spotte og advare, når der kommer trusler. Men det, jeg sådan hører på vandrørene – også fra kompetente folk – er jo, at der faktisk sidder folk, som gerne vil deltage i det her, men som ikke rigtig kan komme ind og være med, fordi man centraliserer det i Center for Cybersikkerhed. Vi investerer massivt i at gøre det center større, men gør måske ikke, ligesom man har set det i Israel – det er i hvert fald ikke min opfattelse – hvor de gør det med ret stor succes, altså skaber motivation og incitamenter til, at private virksomheder kan få støtte til at udvikle systemer, og i vores tilfælde altså incitamenter, der kan hjælpe Danmark, mod at man så leverer noget af kagen tilbage igen, altså kommer med god viden retur til staten. Og i forhold til det der med at få det ud i det civile rum og sikre, at vi simpelt hen har de skarpeste med, også folk fra konsulentvirksomheder, der måske ikke lige kan ansættes i Center for Cybersikkerhed – enten fordi der ikke er kapital til de lønninger, der skal til, eller fordi det er aparte typer, der ikke lige kan sidde i sådan en sikkerhedsorganisation – mangler jeg at se, at man har viljen til at sikre den involvering. Det kan være, det bare er mig, der har overset det, men det er det, jeg hører fra eksperterne.

Så vi er negativt indstillet, men er glade for den imødekommelse, der er kommet, i forhold til høringssvarene, og vi vil så blive klogere i løbet af udvalgsbehandlingen.

Tak til Alternativets ordfører. Den næste i rækken er hr. Holger K. Nielsen som ordfører for Socialistisk Folkeparti.

Jeg er enig med de kollegaer, der siger, at cybertruslen er særdeles alvorlig, og det ligger jo også som en præmis for den her diskussion og også for forsvarspolitikken i det hele taget, at der sker en forskydning fra traditionelle trusler til cybertrusler, og at en håndtering af dem også kræver en helt anden måde at tænke på. Derfor er det også rigtigt, at man i forsvarsforligskredsen er blevet enige om, at man skal gøre noget mere ved det her problem. Det er vi som udgangspunkt enige i.

Så er spørgsmålet, om man er inde på den rigtige vej, som det er i det her lovforslag. Man giver jo Center for Cybersikkerhed en række nye og på flere måder ganske vidtgående beføjelser, vidtgående beføjelser i forhold til retssikkerhed, i forhold til det, man betragter som personlig frihed, altså noget af det, som vi jo vægter højt i det danske samfund. Det er så her, man i virkeligheden står med et dilemma, som jeg tror at vi er nødt til at diskutere lidt mere åbent, nemlig at på den ene side betyder cybertruslen, at vi er nødt til at tage nye værktøjer i brug i forhold til det, herunder også værktøjer, der ligesom vil være utraditionelle i forhold til, hvad vi er vant til, og i forhold til, hvordan vi kan fastholde – om jeg så må sige – vores privatliv på alle områder, på hele it-området.

På den anden side synes jeg også, at vi nødt til at være opmærksom på, at der også ligger et hensyn til retssikkerhed, til de liberale værdier, som jo også er gældende for det danske samfund. Jeg synes, det er interessant, når man ser høringssvarene, som jeg jo erkender er fremsat, før det egentlige lovforslag er fremlagt; derfor er nogle af de ting, som bliver kritiseret hårdt, taget ud, fordi man har taget højde for det, og tak for det.

Men det er interessant, at alligevel har jeg jo sjældent læst så entydig negative høringssvar som her. Stort set alle høringssvarene er kritiske i forhold til det her, og hvis man ser på, hvad det er, de er kritiske over for, så er det jo i høj grad sådan en angst for, hvad det her kan bruges til. Altså, når Center for Cybersikkerhed får alle de her beføjelser, kan det så bruges til, at man begynder at snage i alle mulige personlige oplysninger – fru Eva Flyvholms barns navn og alt det der? Når man siger det, siger man jo fra regeringens side, at det slet ikke er det, der er meningen, det er ikke det, som man vil gøre.

Det tror jeg sådan set er rigtig nok – eller rettere sagt: Jeg har også selv siddet i diskussioner, da vi var medlem af forsvarsforligskredsen, og jeg kan godt forstå nogle af de betragtninger, der kommer, bl.a. fra Center for Cybersikkerhed og også fra Forsvarsministeriet. Men man er bare nødt til at tage hensyn til, når der nu er den der mistro, når der nu er en eller anden angst for, hvad det kan bruges til, altså at man kan gå ind og snage, og tage den kritik alvorligt, hvis man skal have befolkningens tillid til det her. Det er man altså rent faktisk, for ellers kommer vi aldrig videre med det her. Så vil der hele tiden være en sky over; det er politistaten, det er den store stat, der kommer ind og skal styre borgernes frihed osv. Det kan ingen af os være interesseret i, og det er jo derfor, at det der problem med, at det ligger i FE, er der, fordi der er nogle offentlighedsmæssige problemstillinger i det.

Så siger man, at hvis det bliver flyttet ud af FE, giver det nogle andre vanskeligheder. Jeg kan simpelt hen ikke se og ikke få nogen eksempler på, om det i andre lande, hvor det er flyttet ud, giver en svagere mulighed for at imødegå de her trusler, at det er på den her måde; eller hvis nu man kommer frem til, at okay, det er FE, der skal have det stadig væk, at vi så i hvert fald styrker kontrollen med FE. Jeg ved godt, at der er sket en styrkelse – det ved jeg godt at der er – men jeg er ikke sikker på, at den er stærk nok. F.eks. kunne jeg læse i et høringssvar fra Dansk Industri, at man i det her lovforslag kommer til at svække tilsynet, fordi man ligesom giver mulighed for, at ministeriet ikke skal følge de ting, som kommer fra tilsynet.

Jeg kunne ikke finde et svar på det i forhold til det høringssvar, men vi kan lige vende tilbage til, hvordan det er med det, i udvalgsbehandlingen, altså med hele tilsynet og det der. Men som sagt: Kontrollen skal være bedre, og derfor vil jeg sige, at vi er særdeles kritiske over for det her.

Tak til SF's ordfører. Den næste i rækken er hr. Naser Khader som ordfører for Det Konservative Folkeparti.

Tak for det. Truslen fra cyberangreb vurderes fortsat at være på det højeste niveau. De største trusler mod Danmark foregår via cyberangreb, og de kommer fra blandt andre Rusland, Kina, Nordkorea, Iran og kriminelle bander. Det er ikke kun terrortruslen og indblanding fra andre nationers side, at der udgør en trussel i cyberspace, det gælder altså også i forhold til de danske virksomheder, som har enorme udgifter i forbindelse med cyberangreb. Vi skal erkende, at truslen fra cyberangreb er reel.

I Det Konservative Folkeparti mener vi, at vores forsvarskapacitet på cyberområdet skal prioriteres. Det er rigtig positivt, at regeringen i denne regeringsperiode har prioriteret cyberområdet. Forsvarsministeren har præsenteret en strategi for cyber- og informationssikkerhed, og der er blevet prioriteret midler til det nationale Center for Cybersikkerhed.

Dette lovforslag er også en del af udmøntningen af den strategi. Med forslaget udvides Center for Cybersikkerheds handlemuligheder. Kriminelle og fremmede stater er meget kreative i deres forsøg på at angribe danske it-systemer, og sådanne systemer kan være meget sårbare, hvis ikke vi er lige så kreative i vores forsvar. Men det er et nyt område, og derfor skal vi sikre, at centeret har et tilstrækkelig lovgivningsmæssigt grundlag til at kunne agere hurtigt og kunne samarbejde med berørte virksomheder.

Med lovforslaget integreres virksomheder og cybersikkerhedscenteret meget bedre. Forslaget giver lovhjemmel til, at centeret kan installere de nødvendige forsvarssystemer, så de kan besvare angreb rettidigt. Samtidig gøres det muligt for virksomheder at bruge centeret i forebyggende øjemed, hvis de ønsker det. Og så bliver det fremover muligt for centeret at benytte sig af det, der hedder honeypots og sinkholes. En honeypot kan identificere ondsindede angreb, og sinkholes er en dataenhed, hvor angreb bliver dirigeret hen, så de ikke inficerer hele systemet. Det er vigtigt.

Danmarks efterretningstjenester skal have de bedst mulige vilkår for at forsvare os mod ondsindede angreb, også via internettet. Vi betragter det som suverænitetskrænkelse, når Danmark oplever sådanne angreb. Det skal vi ikke finde os i, og det her forslag er med til at forebygge, at det sker. Vi bakker op om forslaget.

Tak til den konservative ordfører. Så er turen kommet til forsvarsministeren.

Jeg vil gerne takke for indlæggene under behandlingen af lovforslaget, og jeg vil gerne takke for den brede tilslutning, der er til lovforslaget. Cybertruslen er vi jo alle enige om er øget markant de seneste år, og Forsvarets Efterretningstjeneste vurderer, at Danmark står over for en meget høj cybertrussel, særlig fra fremmede stater. Både i Danmark og i udlandet er der talrige eksempler på alvorlige cyberangreb, som har haft store konsekvenser for myndigheder og virksomheder. Den hastige udvikling i trusselsbilledet betyder, at der er behov for at tilpasse lovgivningen, så Center for Cybersikkerheds muligheder for at imødegå cyberangreb modsvarer de stigende trusler samt den teknologiske udvikling. Jeg mener, at vi med dette lovforslag har fundet en passende balance mellem hensynet til retssikkerheden og hensynet til at beskytte Danmark mod cyberangreb.

Som debatten om lovforslaget har vist, indeholder det også kontroversielle initiativer, f.eks. muligheden for at give påbud til virksomheder i særlige tilfælde. Men det er jo vigtigt ikke at tabe målet af syne. Vi har en fælles pligt til at gøre, hvad vi kan for at beskytte vores kritiske infrastruktur mod de cyberangreb, der kan have så ødelæggende konsekvenser for samfundet, og her må de samfundsvigtige virksomheder ikke blive det svage led i kæden.

Når man hører dele af debatten, kan det være svært overhovedet at genkende lovforslaget. Man får jo et indtryk af, at vi nærmest vil skabe et overvågningssamfund i Danmark, hvor der foregår en total og ukontrolleret overvågning af virksomheder og borgere, og hvor Center for Cybersikkerhed efter forgodtbefindende tvinger sig adgang til at læse i e-mails, forretningshemmeligheder og patientjournaler, og hvad ved jeg. Man kan også få det indtryk, at vi vil lade efterretningstjenesten videresælge virksomhedernes data på en eller anden efterretningsbasar. Jeg ved ærlig talt ikke, hvor kritikerne får den slags fra. Som liberal politiker ligger det mig uendelig fjernt at lovgive om et eneste indgreb over for borgerne eller virksomhederne, uden at balancen mellem retssikkerheden og hensynet til fællesskabets sikkerhed først er overvejet meget grundigt, og det er jo netop, hvad vi har gjort med dette lovforslag.

Det er vigtigt, at man ikke glemmer, hvad lovforslaget rent faktisk går ud på, nemlig at sikre, at Center for Cybersikkerhed får bedre muligheder for at beskytte samfundet mod de cyberangreb, som kan få så ødelæggende konsekvenser for vores alle sammens hverdag, og derfor vil vi give Center for Cybersikkerhed nogle meget velovervejede og nøje afgrænsede muligheder for at opdage og bremse hackerne. Men samtidig sikrer vi, at der er meget restriktive rammer for, hvilke data centeret må tilgå, og hvad de må bruges til, og med et tilsyn sikrer vi, at der bliver holdt øje med, at centeret overholder disse regler.

Dansk Industri har valgt at gå ud med en meget krads kritik, der bidrager til at skabe et helt fejlagtigt indtryk af, at alle mulige virksomheder kan blive påtvunget en vidtgående overvågning fra statens side. Dermed bidrager Dansk Industri også til, at det bliver en skæv debat, og det synes jeg er meget beklageligt. Lovforslaget vil jo netop styrke vor cybersikkerhed, ikke mindst til gavn for virksomheder i Danmark. Vi tilbyder en ekstra beskyttelse til de mest samfundsvigtige virksomheder, og vi gør det endda gratis. Derfor ville det klæde Dansk Industri at bakke op om arbejdet til gavn for både virksomheder og borgere.

Dansk Industri taler også om, at det er meget bedre i Sverige. Jeg skal ikke gå ind i en debat om, hvorvidt man har en blødere lovgivning i Sverige, for jeg tror næppe, det kan sammenlignes, men det ville da være paradoksalt, hvis høj it-sikkerhed skulle afskrække virksomheder fra at investere i Danmark. Lovforslaget gør det jo netop mere sikkert at drive virksomhed i Danmark. Jeg tænker da, at høj cybersikkerhed vil gøre det mere attraktivt at investere i Danmark, og det ville jeg ønske Dansk Industri bakkede op om.

Det var jo et meget bredt politisk flertal, der bakkede op om den daværende S-SF-R-regering, da man oprettede Center for Cybersikkerhed som en del af FE. I de seneste forsvarsforlig er der – og igen med meget brede flertal – aftalt en styrkelse af Center for Cybersikkerhed. Det skyldes jo bl.a., at placeringen i FE giver centeret adgang til FE's unikke viden om de mest avancerede cybertrusler, som jo netop kommer fra udlandet. Viden om den slags trusler er højt kvalificeret og ville ikke kunne deles med Center for Cybersikkerhed, hvis det lå et andet sted. Omvendt er der jo meget strenge regler for centerets deling af oplysninger med FE, og tilsynet med efterretningstjenesterne holder øje med, at de regler følges. Placeringen ved FE har tjent os godt i årevis, og jeg har svært ved at se, hvad vi kan vinde på at ændre det.

Det er vigtigt at huske på, at centeret og den øvrige del af FE er reguleret ved hver sin lov. Center for Cybersikkerhed har en åben og udadvendt profil, og centerets virksomhed er præget af åbenhed, vejledning og information. Der er desuden forudsat en vis organisatorisk adskillelse mellem centeret og den efterretningsmæssige del af FE i lovgivningen, og der gælder restriktive regler for udveksling af oplysninger fra centeret til efterretningstjenesten. Det er også forudsat i CFCS-loven, at centeret efterlever principperne i offentlighedsloven og forvaltningsloven i videst muligt omfang, og det betyder i praksis, at centeret ved alle afgørelser konkret vurderer, om det er muligt at anvende forvaltningslovens regler.

Center for Cybersikkerhed er underlagt en kontrol, der er mere intensiv end for andre myndigheder. Faktisk findes der næppe en mere gennemkontrolleret myndighed end Center for Cybersikkerhed. Der er oprettet et uafhængigt tilsyn, som grundigt holder øje med CFCS og efterretningstjenesterne, og hvis man ser i tilsynets seneste redegørelse, viser kontrollen ved behandlingen af personoplysninger i CFCS' sensorsystem netop, at CFCS generelt har iagttaget lovgivningens bestemmelser om behandling af personoplysninger og sletning af data. Det er jo oven i købet sådan, at tilsynet har folk placeret ude i Center for Cybersikkerhed, som har bemyndigelse til og benytter den praksis at gå ind at se på folks pc'er, hvad de arbejder med, alle oplysninger logges osv. Tilsynet har altså direkte adgang til centerets it-systemer og lokaler, de kan også bede om, at et skab bliver åbnet, og de kan få alle oplysninger udleveret. Man kan desuden som borger klage til tilsynet, hvis man mener, at centeret ulovligt behandler personoplysninger om en.

Jeg vil godt vende tilbage til spørgsmålet, om ikke CFCS bør ligge hos en civil myndighed. Det har været prøvet tidligere, og det gav ikke tilstrækkelig sikkerhed. En civil myndighed vil ikke kunne opnå samme adgang til de efterretningsmæssige oplysninger, der er afgørende for, at vi kan blive beskyttet mod avancerede cyberangreb. Man ville heller ikke kunne drage nytte af FE's unikke kompetencer på cyberområdet, og man ville heller ikke kunne opnå de synergieffekter, vi har i dag, da Forsvarets Efterretningstjeneste fortsat vil skulle have en betydelig kapacitet til at beskytte forsvaret. Det var jo derfor, at den daværende S-SF-R-regering besluttede at samle de forskellige myndigheders indsats i Center for Cybersikkerhed ved Forsvarets Efterretningstjeneste. Jeg kan også nævne, at Storbritannien og senest Canada og Australien har organiseret sig på stort set samme måde, og at NATO i øvrigt fremhæver vores model som en rollemodel. Og en ting mere: Forgængeren for CFCS, GovCERT, var som civil myndighed også undtaget fra en del af persondataloven.

Vi skal nu i gang med udvalgsarbejdet, og jeg ser frem til en grundig og konstruktiv drøftelse i Forsvarsudvalget. Der er jo rejst nogle spørgsmål i dag, som formentlig bare er få af dem, der vil blive stillet under behandlingen, og som det vil være naturligt vi får nærmere belyst.

Men lad mig endnu en gang takke for bemærkningerne. Tak.

Tak. Der er korte bemærkninger, og den første spørger er fru Eva Flyvholm, Enhedslisten. Værsgo.

Nu siger forsvarsministeren det her med, at det ville være meget dårligere, hvis vi lagde det under en civil myndighed. Altså, jeg må bare sige, at der er rigtig mange andre europæiske lande, der har lagt arbejdet med cybersikkerhed under civile myndigheder og har rigtig gode erfaringer med det.

Jeg vil gerne høre forsvarsministeren, om det så er sådan, vi skal forstå det, at Holland, Sverige og Frankrig og Finland f.eks. har meget dårligere cybersikkerhed end Danmark. Det vil jeg gerne have et svar på – for de har nemlig lagt det under civile myndigheder.

Så kunne jeg også godt tænke mig at høre forsvarsministeren om, hvad det egentlig er for noget kritisk infrastruktur og samfundsvigtige virksomheder, der kan få de her påbud. Det er jo noget af det, der også bliver kritiseret, bl.a. af Dansk Industri og alle mulige andre. For det er meget uklart, hvem der kan blive pålagt, at de skal have monteret sådan en boks fra Center for Cybersikkerhed, hvis ikke man vil det. Hvad er det for nogen steder, hvor man faktisk kan gå ind at pålægge folk det?

Ministeren.

Må jeg først sige omkring centerets placering: Det, vi oplever med de cyberangreb, der finder sted nu om stunder, er, at de kommer fra Rusland, fra Kina og fra Nordkorea, som lavede det her WannaCryangreb, der ramte det engelske sygehusvæsen, så man måtte aflyse 16.000 planlagte operationer og konsultationer. Det er stater. Og det er jo lige præcis der, at styrken ved placeringen af Center for Cybersikkerhed i Forsvarets Efterretningstjeneste er så afgørende, for der udveksler man informationer med andre landes efterretningstjenester.

Der gælder i efterretningsarbejdet – det kan man jo beklage – den regel, at en efterretningstjeneste altså ikke deler informationer med en civil myndighed, og det gør man ikke af en meget god grund, nemlig for det første, at de gyldne regler er: Man kan ikke offentliggøre eller røbe, hvem ens kilder er, og man kan heller ikke røbe, hvad ens arbejdsmetoder er. Så derfor er der en meget naturlig forklaring på det. Vi har ikke i Danmark de hackermiljøer, der kommer op på størrelse med Nordkoreas, Ruslands, Kinas osv., og derfor er det den helt rigtige placering, at det ligger i Forsvarets Efterretningstjeneste.

Spørgeren.

[Lydudfald] ... informationer med de lande, som ikke har sådan et center liggende under Forsvarets Efterretningstjeneste. Man samarbejder jo også med franskmændene og svenskerne osv. om angreb nu her. Og jeg vil gerne gentage mit spørgsmål ... ( Forsvarsministeren (Claus Hjort Frederiksen): Vi samarbejder med efterretningstjenester). Jeg vil gerne gentage mit spørgsmål: Er det sådan, at Holland, Sverige, Frankrig og Finland så har en meget dårligere cybersikkerhed end Danmark?

Ministeren.

Jeg tror muligvis, at de lande har nogle hackermiljøer internt, som man skal forholde sig til, hvorimod vi ikke har det i Danmark. Det er muligt, at vi har nogle, der kan lægge Museum Lolland-Falsters hjemmeside ned en eftermiddag, men vi har ikke de superstore, professionelle, statslige hackervirksomheder, som kan operere med ubegrænsede ressourcer. Derfor er det helt afgørende, at centeret ligger i efterretningstjenesten.

Den næste spørger er hr. René Gade, Alternativet. Værsgo.

Det er vigtigt for mig at understrege, at vi i den grad skal understøtte tilliden til netop FE og Center for Cybersikkerhed. Så trods alle de kritiske spørgsmål er det jo helt afgørende, at vi netop får skabt tillid til de to aktører. For det er helt afgørende for landets sikkerhed, og netop derfor stiller vi alle de kritiske spørgsmål.

Jeg vil bare spørge ministeren til at starte med, om det er typisk, at høringssvarene er så kritiske på tværs af også nogle, der normalt støtter regeringen, som det er tilfældet her. For jeg forstår på ministeren, at det er ærgerligt, at eksempelvis DI udtaler sig så kritisk. Der kan være interesseforhold på den ene eller den anden måde, men jeg går ud fra, at det også er atypisk for ministeren, at høringssvarene over en bred kam er så kritiske.

Ministeren.

Jamen jeg ved ikke, hvad det er, der gør sig gældende på det her område, men en del af forklaringen er, at der er nogle i branchen, der mener, at Center for Cybersikkerhed ved deres aktiviteter tager brødet ud af munden på dem, og at det hele skulle ligge ved de private virksomheder. Jeg har den modsatte opfattelse, nemlig at det store fokus, vi har på cybertruslen, på hacking, på at højne bevidstheden om sikkerhedsprocedurer osv., jo netop skaber et marked for de private virksomheder.

Det, vi kan gøre, og det, centeret kan gøre, er jo at sætte de her prober uden på systemerne, som så giver en advarsel, hvis der kommer et malwareangreb. Så kan man ringe til virksomheden og sige: Nu skal I lige være klar over, at der er nogle, der angriber jer i øjeblikket. Så må virksomheden så tage stilling til, hvordan de så reagerer. Slukker de systemet, eller hvad stiller de op med det her? Det er jo en ekstra sikkerhed.

Så har der været rejst hele den her diskussion om, om vi vil ind at snage i forhold vedrørende de enkelte medarbejdere. Der er jo i dag et kæmpe marked for private virksomheder, som aftaler med virksomheder og indgår kontrakt med virksomheder om at prøve at angribe dem og prøve at se, hvor svaghederne er i deres systemer. Så det er jo ikke noget nyt, der foregår her. Vi interesserer os for de samfundskritiske virksomheder, og det er så de særlig samfundskritiske virksomheder, som man kan give et påbud, hvis de af en eller anden mystisk grund ikke vil være med til at modtage en advarsel, når de er under malwareangreb.

Tak. Spørgeren.

Jeg er jo i bund og grund også for at styrke Center for Cybersikkerheds kompetencer og ressourcer. Det er også det, der sker. Men noget af den kritik, der bliver rejst, er jo, at de alarmer og de triggere, som Center for Cybersikkerhed understøtter virksomheder med, faktisk kommer for sent. Altså når man får meddelelsen, er det allerede ude, og man har fået informationen andre steder fra, og derfor bliver det knap så interessant at være en del af det samarbejde – på nogle områder, vil jeg skynde mig at sige, for det er garanteret rigtig interessant på andre områder.

Har ministeren også hørt de kritikpunkter, altså at de meddelelser, man får fra Center for Cybersikkerhed, simpelt hen er bedagede, at de ikke er aktuelle, og at man har fået dem andre steder fra – altså hvis det er store virksomheder, der netop er infrastrukturelt kritiske? For så er det jo lidt et problem at lægge ressourcerne derover.

Ministeren.

Jeg ved ikke, om jeg har hørt det her, men det er jo almindeligt i politik, at man kan blive kritiseret for alting, ikke også? Altså, vi bliver kritiseret for at ville kontrollere, om de bliver angrebet, og de samme, der kritiserer os for det, siger, at når vi så kontrollerer det, så er det i øvrigt gamle oplysninger, og det er ikke noget værd overhovedet. Altså, det der er jo bare politisk bragesnak.

Jeg synes jo, at det, der har chokeret mig, i og for sig er, at it-sikkerhedsbranchen ikke bakker op om det her entydigt og siger: Selvfølgelig er det vigtigt. Det, vi koncentrerer os om, er de særlig samfundsvigtige sektorer. Vi kan ikke have, at der bliver slukket for strømmen; vi kan ikke have, at dankortet bliver lukket ned ved et hackerangreb; vi kan ikke have, at sygehusene ikke kan komme ned i deres it-systemer og gennemføre operationer. Det er jo den slags ting, vi er optaget af. Jeg har sagt tidligere, at efterretningstjenesten altså ikke har så mange mennesker, at de kan sidde og interessere sig for Pedersens tarmproblemer og sidde og studere hans journal op og ned. Altså, det er en lidt parodisk diskussion, vi er ude i, omkring de her emner.

Tak for det. Den næste spørger er hr. Holger K. Nielsen, SF. Værsgo.

Jamen ro på, altså. Forsvarsministeren er meget skuffet – far er skuffet – og jeg synes, han skal passe på med, at han ikke kommer til at ligne Theresa May, som jo mener, at hendes forslag er det eneste rigtige, og alle, der kritiserer det, bare er nogle idioter. I betragtning af at der jo er mange, der har kritiseret det her, synes jeg ikke bare, man kan stå og sige, at de ikke har forstået noget som helst. Det tror jeg er uklogt, det vil jeg bare sige.

Mit spørgsmål går nogenlunde på det med, om vi har kapacitet i Danmark. Jeg ved, at chefen for FE, Lars Findsen, ved flere lejligheder har efterlyst flere unge mennesker, der vil gå ind i FE som hackere – de har brug for hackere i FE. Det er sådan set rimeligt nok, at man efterlyser det, men har ministeren måske overvejet, at de der typer, som kunne tænke sig at få sådan et job, måske ikke bryder sig om at komme ind i FE, men at de hellere vil være i noget, som er mere civilt, og det i virkeligheden i forhold til rekrutteringsproblemet kunne være en fordel, at man flytter det her fra FE?

De andre argumenter har jeg sådan set forstået, og det er ikke, fordi det, der bliver sagt, er helt åndssvagt. Der er bare det der kontrolproblem, som stadig væk er der, og som jo har noget at gøre med, at når folk har en mistanke om, at det her kan blive misbrugt, og det har folk jo, så er man bare nødt til at tage det mere alvorligt, end regeringen gør. Men det der rekrutteringsproblem vil jeg godt lige have en kommentar til fra ministerens side.

Der er stor talelyst her, og jeg minder lige om taletidsbegrænsningen. Ministeren.

Generelt er der jo et rekrutteringsproblem, både for så vidt angår FE og Center for Cybersikkerhed, men også i virksomhederne. Vi mangler jo i særlig grad kandidater, der er uddannet inden for det her område. Derfor kan man sige, at vi måske er i en lidt uheldig situation, hvor vi alle sammen kæmper om de for få eksperter, der så findes i samfundet. Derfor vil en af de store opgaver i de kommende år være at styrke uddannelsen inden for de her områder.

Rent konkret i forhold til de der hackere, som FE efterspørger, har interessen vist sig umådelig stor for at komme på den uddannelse, som ligger i FE's arbejde. Så rent konkret er der ikke rekrutteringsproblemer til det såkaldte hackerakademi.

Spørgeren? Der er ikke mere. Så siger jeg tak til ministeren.

Da der ikke er flere, der har bedt om ordet, er forhandlingen sluttet.

Jeg foreslår, at lovforslaget henvises til Forsvarsudvalget. Hvis ingen gør indsigelse, betragter jeg dette som vedtaget.

Det er vedtaget.

(Talen er under udarbejdelse)

(Talen er under udarbejdelse)