Rigsrevisionen mangler stadig svar efter hård kritik af statens IT-sikkerhed

Efter at rigsrevisionen i november 2022 pegede på alvorlige brister i statens beredskab, har et ministerium stadig ikke svaret. Statsrevisorerne kom den 4. november med en særdeles hård kritik at statens beredskab for samfundskritiske it-systemer. Det skriver DR, der ikke må få at vide hvilke ministerier det drejer sig om.

Intet mindre end 13 hemmeligholdte samfundskritiske it-systemer fik påpeget alvorlige fejl og mangler – blandt andet på baggrund af manglende beredskab for, hvordan man genskaber systemerne efter et nedbrud.

Konsekvensen af manglende it-beredskaber er, at der er risiko for, at it-nedbrud og datatab medfører, at staten ikke kan opretholde eller markant får forstyrret samfundskritiske opgaver, lød det dengang fra Statsrevisorerne.

Hemmelige systemer og hemmelige ministerier

Hvis du på vej ned gennem artiklen undrer dig over, hvorfor vi ikke nævner, hvilke ministerier eller systemer, der er tale om, så er der en grund til det. DR Nyheder har flere gange forsøgt at få svar på, hvilke systemer, der er omfattet af statsrevisorernes kritik, hvilke systemer, der betegnes som samfundskritiske, og hvilke ministerier de berørte systemer ligger under.

Det har ikke været muligt at få svar på nogle af delene. De nærmere detaljer bliver afvist med henvisning til rigets sikkerhed. DR Nyheder kan heller ikke få svar på, hvor mange ministerier, der har skullet aflevere en redegørelse.

Opfordrede ministerier til at skynde sig

Samtidig var problemerne så grelle, at statsrevisorerne opfordrede alle berørte – og hemmeligholdte – ministerier til ekstraordinært at komme med en redegørelse tidligere end, hvad det normalt er praksis. Selv om ministeriernes svarfrist er lovbestemt til mindst to måneder, finder Statsrevisorerne, at de ansvarlige ministre bør komme med deres redegørelse hurtigst muligt og helst inden en måned, da Rigsrevisionen har konstateret meget alvorlige sikkerhedsbrister i de 13 samfundskritiske systemer, lød det.

Det gjorde de pågældende ministerier bare ikke, oplyser Statsrevisorernes Sekretariat til DR Nyheder. Selvom Statsrevisorerne havde opfordret ministerierne til hurtigt at komme med en redegørelse, så havde de den 9. januar, der var den officielle tomåneders frist for afleveringen af redegørelserne, ikke modtaget andet end ønsker om at få udsat fristen for redegørelserne. Derfor forlængede man fristen til den 23. januar – altså i går.

Alligevel kan Statsrevisorernes sekretariat oplyse til DR Nyheder, at man fortsat mangler en redegørelse fra et ministerium.

Umiddelbart efter kritikken fra statsrevisorerne blev der også sendt et brev rundt til samtlige ministerier med en opfordring til, at man undersøgte sine egne it-systemer.

DR’s techkorrespondent Henrik Moltke står tilbage med to mulige forklaringer på, hvorfor ministerierne har måtte forlænge fristerne og i et tilfælde ikke har overholdt den.

– Enten er der nogle så alvorlige problemer, som man simpelthen ikke kan løse her og nu, og så prøver man måske at trække tiden.

– Eller også tager man så løst på det her problem, at man ikke engang får svaret på henvendelse fra statsrevisorerne, siger Henrik Moltke.

Ifølge Gitte Korff, der er sekretariatschef hos Statsrevisorernes sekretariat, gav man fristudsættelserne på baggrund af “behov for mere tid som følge af valg og regeringsdannelse”.

Er det rimeligt at vente så længe med henvisning til regeringsskifte, når man tager det nuværende trusselsbillede, cyberangreb og krigen i Ukraine i betragtning?

– Fristforlængelsen er ikke ensbetydende med, at myndighederne ikke har arbejdet for at styrke it-beredskabet. Vi går ud fra, at der er arbejdet med problemstillingerne, så snart de var kendt, lyder det skriftlige svar fra Gitte Korff, der oplyser, at ministerierne ikke er blevet bedt om at forbedre fejlene, men alene om at komme med en plan for, hvordan de skal forbedres.

Med henvisning til rigets sikkerhed, har det ikke været muligt for DR Nyheder at få svar på, hvilket ministerier, der er tale om.

Hos Statsrevisorerne fortæller Gitte Korff, at man dropper hemmeligholdelsen, så snart det er muligt.

– Det ligger både Statsrevisorerne og Rigsrevisionen på sinde, at fortroligheden ophæves, så snart det er muligt. Statsrevisorerne har derfor bedt ministerierne om at redegøre for, på hvilket grundlag ministerredegørelserne er fortrolige og løbende vurdere, hvornår fortroligheden kan ophæves, lyder det fra hende.

Har I nogensinde før hemmeligholdt, hvilke ministerier der blev undersøgt?

– Nej, det er første gang, at Rigsrevisionen har valgt at afgive en beretning til Statsrevisorerne i fortrolig form.

I alt er 83 it-systemer bedømt til at være samfundskritiske af Rigsrevisionen.

Over de nærmeste dage finder vi nok ud af hvilke ministerier som har så alvorlige fejl, at henvisning til rigets sikkerhed har været anvendt.

Kilde: Danmarks Radio
Fotokredit: Statsrevisorerne