Varslet om slurv i sikkerhetsarbeid to uker før det smalt

Den 22. juli startet terrorangrepene mot Norge da at en bilbombe gikk av i regjeringskvartalet. Gjerningsmannen hadde klart å kjøre en varebil tett opptil resepsjonen i Høyblokka der blant annet Statsministerens kontor holder til. For så å selv gå rolig fra stedet iført en falsk politiuniform.

Den 7. juli, drøyt to uker før, kom et bekymringsbrev om manglende registrering og rapportering av sikkerhetstruende hendelser fram til de som har ansvaret for sikkerheten i regjeringskvartalet.

Departementenes servicesenter (DSS) fikk et brev sendt til svært mange offentlige virksomheter fra Nasjonal sikkerhetsmyndighet (NSM).

Med brevet fulgte et rundskriv om hvordan sikkerhetstrusler skal rapporteres, og det overordnede sikkerhetsorganet var klar på at rapporteringen i det offentlige har vært for dårlig:

Alle offentlige virksomheter som er omfattet av sikkerhetsloven plikter etter reglene å registrere trusler og sikkerhetsbrudd, og deretter rapportere dem både internt og til det overordnede organet Nasjonal sikkerhetsmyndighet. Rapporteringen gjøres for å ha en oversikt og kunne drive så god forebygging som mulig.

– Får tresifret antall rapporter, burde vært firesifret

Nasjonal sikkerhetsmyndighet er et organ underlagt Forsvarsdepartementet med ansvar for arbeid rundt forbyggende sikkerhet for svært mange offentlige virksomheter med fokus på både fysiske bygg, men ikke minst sikring av hemmelig og gradert informasjon.

Målet er å forebygge terrorisme, spionasje og sabotasje.

For å få besøke og intervjue de som jobber med dette må NRK både vise identifikasjon og låse inn mobiltelefonen i et skap før vi får komme inn i bygningen. Der får vi høre hvordan sikkerhetsbrudd kan få store konsekvenser.

– Hvis det er lekkasjer i sikkerhetssytemer kan trusselaktører som terrorister lettere få tak i informasjon for å gjennomføre terrorangrep, forteller rådgiver Andreas Vogt i Nasjonal sikkerhetsmyndighet til NRK.

Det er dette som er bakgrunnen for at de mener det er veldig viktig i det forebyggende arbeidet å vite så mye som mulig om sikkerhetstrusler, og at de derfor mener det er alt for mye som ikke registreres og rapporteres som det skal.

– Vi vet gjennom våre tilsyn at det foregår sikkerhetsbrudd og sikkerhetstruende hendelser som ikke blir rapportert inn. Dette ser vi når vi er på tilsyn og dermed har vi håndfaste bevis for det, sier Vogt i NSM.

NSM sendte ut rundskrivet med budskap om dårlig rapportering i hele det offentlige før terrorangrepene den 22. juli. Vogt kan ikke på nåværende tidspunkt si bekymringen direkte har noen relevans for den konkrete hendelsen den dagen. Likevel er omfanget av manglende rapporter stort.

– Når det gjelder graderte systemer kan vi vel si at vi årlig får et tresifret antall meldinger om sikkerhetsbrudd eller trusler, men at det antakeligvis skulle vært firesifret, sier Vogt i NSM.

For de mindre hemmelige og ugraderte systemene er det ifølge NSM også snakk om flere tusen rapporter.

Ukjente parkerte biler sees ikke som fare

Tidligere har NRK fortalt hvordan steningen av Grubbegata der bombebilen må ha kjørt inn hadde tatt sju år , og skulle sluttføres måneder etter terrorangrepet.

Det har også kommet fram hvordan bilen må ha stått parkert i over seks minutter før bomben gikk av.

At biler som ikke hører hjemme i regjeringskvartalet står parkert der ble likevel ikke sett på som en potensiell fare av regjeringens egen vaktstyrke.

– I utgangspunktet er ikke en hensatt bil en potensiell fare. Det er noe som skjer jevnlig hos oss, sa sikkerhetssjef Jon Ivar Mehus i Departementenes servicesenter (DSS) til NRK.

Les også: Regjeringens vakttjeneste ser ikke hensatte biler som potensiell fare

Nasjonal sikkerhetsmyndighet har ikke detaljansvar for sikring av enkeltbygg i det offentlige. De viser til departementene og regjeringens egen sikkerhetsavdeling i DSS, og vil ikke direkte kommentere hva som ble gjort og ikke gjort. Likevel sier Vogt at mye kunne vært annerledes når man ser tilbake.

– Generelt er etterpåklokskapen en luksus, og det skulle tydeligvis ikke vært slik, sier rådgiveren i NSM i ettertid.

I rundskrivet de sendte ut tidligere i år er et av punktene som må rapporteres personer som spionerer eller driver rekognosering på offentlige bygg eller personer.

– På folkemunne er det rett og slett spionasje. Vi ber her folk som omgås sensitiv informasjon og objekter om å være ekstra på vakt for å observere litt suspekte folk som viser spesiell interesse, forteller Vogt.

– Slepphendt sikkerhetskultur

Nasjonal sikkerhetsmyndighet ønsker mer og bedre informasjon. Derfor ber de alle offentlige virksomheter om å rapportere for å skape et bedre og sikrere samfunn. Andreas Vogt tror at terrorangrepene kan bli en vekker for sikkerhetsarbeidet her i landet.

– Det kan være at vi har vært veldig sikre her oppe i nord, og selv trodd at ting ikke skjer så lett med oss her. Nå har vi jo fått et ettertrykkelig bevis for at vi ikke er skjermet for alvorlige hendelser, sier han.

For han legger ikke skjul på at det er mye slurv når det gjelder sikkerhet her til lands.

– Folk føler at det ikke er så viktig å rapportere, det skjer jo ikke noe her likevel. Det er en holdning vi i Nasjonal sikkerhetsmyndighet gjerne skulle sett at skiftet litt, sier Vogt som kanskje tror at det som rammet Norge den 22. juli vil gjøre at man tar sikkerhet litt mer på alvor.

– Kanskje får vi endret denne litt slepphendte sikkerhetskulturen som vi ser hos mange i dag, sier Vogt.

Han forteller at de i Nasjonal sikkerhetsmyndighet oppfatter at mange ikke ønsker å rapportere seg selv inn i forbindelse med sikkerhetsbrudd, og at det i tillegg i en del offentlige virksomheter mangler både ledelse som tar temaet på alvor og god nok kompetanse.

– En del hendelser og sikkerhetsbrudd blir aldri oppdaget, og noen av de som oppdages rapporteres heller aldri, sier Vogt.

Han mener hele samfunnet, inkludert det offentlige, må være på alerten for å forebygge blant annet hendelser som terrorangrepene som rammet Norge den 22. juli. For det er enkle ting som kan skape sikkerhetstrusler hvis f.eks. informasjon kommer på gale hender.

– Man lar kanskje være å dra tilbake for å låse den døra man vet skulle vært låst. Eller noen sender et dokument ubeskyttet uten å bry seg om eller tenke på konsekvensene, sier Vogt om typiske sikkerhetsfeil som må tas alvorlig og også rapporteres.

Hva er konsekvensene da?
– Konsekvensene kan være at aktører får tak i informasjon de ikke skulle hatt, og da kan de utnytte det slik at mennesker i verste fall rammes av f.eks. et terrorangrep. Dermed kan slike handlinger gjøres mulig basert på slepphendthet og dårlig sikkerhetskultur, sier Vogt hos NSM.