PET har afdækket konkret russisk planlægning og forberedelse af operationer mod mål i Danmark. Men hvad betyder den hybride trussel egentlig for landets 98 kommuner? Sandsynligvis mere, end mange borgere forestiller sig. For hvis strøm, vand, telekommunikation eller IT forsvinder, er det kommunerne, der stadig skal sørge for ældre, børn og sårbare borgere – og holde en stor del af hverdags-Danmark kørende.

Når talen falder på russisk sabotage i Danmark, går tankerne hurtigt til militære installationer, havne, jernbaner, energianlæg og forsvarsvirksomheder.

Men prøv i stedet at forestille dig en ganske almindelig dansk kommune mandag morgen.

• Strømmen er væk i dele af kommunen.
• Mobilnettet fungerer ustabilt.
• Et vandværk er ude af drift.
• Kommunens IT-systemer kan ikke tilgås.
• Hjemmeplejen kan ikke se dagens kørelister.
• Nødkald hos ældre borgere virker måske ikke som normalt.
• Medarbejdere kan ikke kommunikere med hinanden.
• Forældre forsøger at finde ud af, om skoler og daginstitutioner holder åbent.
• Kommunens hjemmeside er utilgængelig.

Og ingen ved endnu, om der er tale om en teknisk fejl, et cyberangreb eller bevidst sabotage.

Så bliver hybridkrig meget hurtigt til kommunal drift.

Kommunerne står i første række

KL formulerede det meget præcist tidligere i år:

Hvis krisen rammer, står kommunerne i første række for at sikre, at danskernes hverdag fortsat fungerer, selv om strøm, vand eller IT svigter.

Det er ikke længere alene en teoretisk beredskabsøvelse.

Det ændrede sikkerhedspolitiske billede betyder, at kommunerne skal forholde sig til situationer, hvor flere kritiske funktioner kan blive påvirket samtidig.

Kommunerne driver eller har ansvar for en lang række funktioner, som borgerne er fuldstændig afhængige af.

• Ældrepleje.
• Hjemmepleje.
• Socialområdet.
• Botilbud.
• Børnepasning.
• Skoler.
• Kommunale sundhedsopgaver.
• Krisekommunikation.

Og i mange kommuner også væsentlige relationer til vandforsyning, varme, affald, transport og andre lokale infrastrukturer.

KL har netop udarbejdet en fælles liste over samfundskritiske kommunale opgaver som hjælp til kommunernes arbejde med NIS2.

Pointen er vigtig:

Kommunal velfærd er også kritisk infrastruktur.

Det svageste punkt kan ligge uden for kommunen

Den hybride trussel stiller samtidig kommunerne over for en udfordring, som traditionelle beredskabsplaner ikke nødvendigvis løser.

En kommune kan have sikret sit eget rådhus ganske glimrende.

Men hvad hvis problemet ligger et andet sted?

• Kommunens IT kan være afhængig af eksterne datacentre og leverandører.
• Hjemmeplejen er afhængig af mobilnettet.
• Plejehjemmene er afhængige af elektricitet, vand, varme, fødevarer og medicin.
• Kommunale medarbejdere er afhængige af transport.
• Digitale omsorgssystemer er afhængige af kommunikation.

Og kommunens mulighed for at informere borgerne er afhængig af, at nogle kommunikationskanaler fortsat fungerer.

Derfor kan en kommune blive hårdt ramt af sabotage, selv om ingen fysisk angriber en kommunal bygning.

Det er måske den vigtigste kommunale pointe i den aktuelle sag.

Hvad gør hjemmeplejen, når IT og mobilnet forsvinder?

Tag hjemmeplejen.

En moderne hjemmepleje er stærkt digitaliseret.

Planlægning, dokumentation, medicinoplysninger, adgang til borgerinformation og kommunikation mellem medarbejdere sker i høj grad digitalt.

Men hvad sker der, hvis systemerne ikke er tilgængelige?

• Ved medarbejderne så, hvilke borgere de skal besøge?
• Ved de, hvem der skal have kritisk medicin?
• Kan de dokumentere behandling og pleje?
• Kan medarbejderne kommunikere med hinanden?

Og findes der et analogt alternativ, der faktisk kan sættes i drift med kort varsel?

Det er præcis den type spørgsmål, som beredskabsplanlægningen skal kunne besvare.

Ikke i teorien.

Men klokken 06.30 en mørk tirsdag morgen, når systemerne ikke virker.

Sårbare borgere bliver den kommunale hovedopgave

Det mest kritiske område bliver sandsynligvis kommunernes ansvar for sårbare borgere.

Myndighederne har allerede særskilt peget på blandt andre borgere på plejehjem og botilbud, borgere med eldrevet livsvigtigt medicinsk udstyr og mennesker i eget hjem, som er afhængige af hjemme- eller sygepleje og madlevering.

Et længerevarende strømsvigt er for de fleste borgere besværligt.

For nogle borgere kan det blive farligt.

• Hvad sker der eksempelvis med en borger, der er afhængig af elektrisk medicinsk udstyr?
• Hvem ved, hvor borgerne befinder sig?
• Hvem kontakter dem?
• Hvordan kommer kommunens medarbejdere frem?
• Hvor skal borgeren eventuelt flyttes hen?

Og hvor længe kan plejehjem og botilbud fungere, hvis den normale strømforsyning forsvinder?

Kommunens beredskab handler derfor ikke bare om systemer og bygninger.

Det handler i sidste ende om mennesker.

Tre døgn uden strøm skal være et reelt scenarie

KL anbefaler allerede kommunerne at have beredskabsplaner for strømsvigt i tre dage.

Kommunerne anbefales blandt andet at kortlægge de mest sårbare funktioner, herunder ældre- og sundhedsområdet samt telekommunikation.

Det er værd at tage meget bogstaveligt.

For det relevante spørgsmål er ikke kun, om kommunen har en nødgenerator.

Det er:

• Hvor står den?
• Hvad forsyner den?
• Hvor længe kan den køre?
• Hvor kommer brændstoffet fra?
• Kan det leveres, hvis transporten samtidig er påvirket?
• Har plejehjemmene nødstrøm?
• Hvad med botilbuddene?
• Hvad med kommunikationsudstyret?

Og hvad sker der, hvis strømsvigtet samtidig rammer mobilnettet?

Beredskab består først for alvor sin prøve, når flere systemer svigter samtidig.

Vand kan blive en kommunal krise

Det samme gælder vand.

Hvis vandforsyningen kompromitteres eller falder ud, bliver konsekvenserne hurtigt meget konkrete.

• Plejehjem og institutioner skal fortsat fungere.
• Mad skal produceres.
• Toiletter skal kunne anvendes.
• Hygiejnen skal opretholdes.

Samtidig skal tusindvis af borgere informeres om, hvad de skal gøre.

Kommunerne skal derfor kende deres afhængigheder og snitflader til de lokale forsyningsselskaber.

• Hvem gør hvad?
• Hvem kommunikerer?
• Hvor hurtigt kan alternativ vandforsyning etableres?

Og hvilke institutioner skal prioriteres først?

Cyberangreb og fysisk sabotage smelter sammen

Kommunerne har allerede et omfattende arbejde foran sig med NIS2.

Alle kommunale opgaver er omfattet, og kommunernes topledelse har et ansvar for, at sikkerhedsarbejdet bliver gennemført på et passende niveau.

Men den aktuelle russiske trussel viser samtidig, hvorfor cybersikkerhed ikke bør betragtes isoleret.

Et system kan sættes ud af drift gennem et cyberangreb.

Men forbindelsen til systemet kan også forsvinde, fordi strøm eller telekommunikation svigter.

En digital løsning kan være perfekt beskyttet mod hackere og stadig være ubrugelig, hvis den underliggende infrastruktur forsvinder.

Derfor bør kommunernes NIS2-arbejde kobles meget tættere sammen med den generelle beredskabsplanlægning.

Kommunaldirektøren har fået en sikkerhedsopgave

Det ændrer også ledelsesopgaven.

Beredskab kan ikke længere alene være noget, der ligger hos beredskabschefen, IT-afdelingen eller enkelte fagforvaltninger.

NIS2 placerer allerede et tydeligt ansvar hos kommunernes topledelse.

Det giver god mening.

For når flere kritiske funktioner rammes samtidig, bliver spørgsmålet hurtigt politisk og strategisk:

• Hvilke funktioner prioriterer vi?
• Hvilke borgere skal hjælpes først?
• Hvilke institutioner skal have nødstrøm?
• Hvor flytter vi borgere hen?
• Hvilke medarbejdere skal møde fysisk?
• Hvilke opgaver kan midlertidigt stoppes?

Og hvem har mandat til at træffe beslutningerne?

Det er direktionens og i sidste ende også kommunalbestyrelsens ansvar at sikre, at svarene findes, før krisen rammer.

Kommunerne skal øve det, de frygter

Der findes beredskabsplaner i kommunerne.

Men spørgsmålet er, om de bliver testet hårdt nok.

• En skrivebordsøvelse med ét strømsvigt er én ting.
• Et realistisk hybridsabotagescenarie kunne være noget andet:
• Strømmen forsvinder i dele af kommunen.
• Kort efter bliver mobilkommunikationen ustabil
• Kommunens hjemmeside bliver utilgængelig.
• Et lokalt vandværk melder om problemer.
• Der spredes samtidig falske oplysninger på sociale medier om, at drikkevandet er forgiftet.
• Pårørende begynder at ringe til plejehjemmene.
• Og kommunens medarbejdere ved endnu ikke, om hændelserne hænger sammen.

Kan kommunen fungere dér?

Det er den øvelse, der er interessant.

ANALYSE: Totalberedskabet bliver kommunalt, når krisen rammer

Der bliver i øjeblikket talt meget om dansk totalberedskab.

Men PET’s oplysninger om russisk sabotageplanlægning illustrerer meget præcist, hvorfor totalberedskab ikke kan bygges alene fra Christiansborg.

Når en krise rammer borgernes hverdag, bliver en meget stor del af konsekvenserne kommunale.

• Det er kommunen, der ved, hvor de sårbare borgere bor.
• Det er kommunen, der driver plejehjemmet.
• Det er kommunen, der skal holde hjemmeplejen kørende.
• Det er kommunen, der står med skoler, daginstitutioner og botilbud.

Og det er i høj grad kommunen, borgeren forventer information og hjælp fra, når hverdagen pludselig ikke fungerer.

Derfor bør de nye oplysninger om russisk sabotage også føre til et meget konkret spørgsmål i landets 98 kommunalbestyrelser:

Hvor længe kan vores kommune fungere, hvis strøm, vand, telekommunikation eller IT pludselig forsvinder – og ved vi præcis, hvem vi skal hjælpe først?

Hvis svaret ikke er klart, er der stadig et stykke vej til et reelt dansk totalberedskab.