DEN SVENSKA SÄKERHETEN

Här är företagens nyckelroll i kris och krig – måste stresstestas nu

I händelse av krig ska vi inte bara kunna möta militära hot utan även cyberhot och andra former av hybridangrepp, konstaterar flera experter. ”Här är näringslivets engagemang och förmågor helt avgörande”, sa den förre rikspolischefen Anders Thornberg, numera landshövding i Halland, under ett säkerhetsseminarium på Ringhals.

Läget i omvärlden är osäkert och bekymmersamt, och det har förändrats snabbt både i vårt närområde och globalt. För att öka motståndskraften och säkerheten hos företagen och i samhället i stort behövs det ett mer aktivt samarbete och kunskapsutbyte. Det diskuterades under ett seminarium som Svenskt Näringslivs säkerhetsdelegation i region Väst arrangerade på Ringhals i förra veckan.

Över 100 personer från företag och myndigheter hade kommit för att få veta mer om hur de kan rusta sina verksamheter för att kunna klara samma situation som Ukraina har varit i under snart tre år

När vi ser på de säkerhetsutmaningar som vi står inför idag, klimatförändringar, ökade geopolitiska spänningar och ett förändrat säkerhetsläge i Europa, är det tydligt att beredskap och totalförsvar inte bara är statens utmaning.

Det bygger på att hela samhället kan ställa om för att skydda och försvara landet, konstaterade förre rikspolischefen Anders Thornberg som nu är landshövding i Halland.

– Det ställer krav och kräver engagemang av oss alla, inte bara på offentlig sektor och på säkerhetssektorer utan också på näringslivet som är en central del av Sveriges försvarsförmåga och säkerhet.

Bygger motståndskraft

Samhällets uppgift är att säkerställa att vi kan stå emot och hantera kriser oavsett om de är naturliga eller skapade av mänskliga faktorer, konstaterar han. Och för att stärka beredskapen behövs det en infrastruktur för att samarbeta effektivt mellan det offentliga och det privata, mellan olika sektorer och över landsgränserna.

– Vi ska inte bara möta militära hot utan även klimatrelaterade risker, cyberhot och andra former av hybridangrepp. Här är näringslivets engagemang och förmågor helt avgörande, säger Anders Thornberg.

Den civila försvarsplikten, som är en del av totalförsvarsplikten där även värnplikt och allmän tjänsteplikt ingår, innebär att alla mellan 16 och 70 år som är medborgare i Sverige kan bli krigsplacerade för att göra samhällstjänst inom olika områden.

Runt om i landet arbetas det för att identifiera sårbarheter, ta fram strategier och samordna krisplaner. Samarbetet med näringslivet är en central del för att stärka Sveriges motståndskraft i både kris och krig.

– Det är ni på företagen som har resurser, expertis och kapacitet som är avgörande för att samhället ska kunna fungera även under påfrestningar. Därför jobbar vi aktivt för att involvera företag i beredskapsplaneringen.

”Ovärderliga kompetenser”

Företag behövs för viktiga samhällsfunktioner som transporter och energiförsörjning, och för att tillhandahålla varor och tjänster som människor och andra aktörer är beroende av.

– Näringslivet besitter en stor mängd resurser och kompetenser som är ovärderliga. Logistikkedjor, tekniska innovationer, expertis inom IT-säkerhet och cybersäkerhet. Ni har också en flexibilitet och en anpassningsförmåga eftersom ni lever där ute under tuffa villkor.

Många företag har redan investerat för att krissäkra verksamheten och de egna leveranskedjorna, vilket även gagnar samhället, konstaterar Anders Thornberg.

– Alla får nytta av om vi får till en struktur som är bra i normala tider men också i kristider och om det värsta skulle hända. Stärker vi vår samverkan, investerar i säkerhet och utvecklar vår beredskap blir Sverige tryggt, säkert och konkurrenskraftigt – inte bara för företag utan också för staten.

Ökad risk för insiders

När två länder hamnar i militär konflikt och ett land attackerar ett annat land ökar infiltration, insiders, sabotage och påverkan. Samtidigt kommer landets säkerhetstjänst inte att kunna stödja samhället på samma sätt som i fredstid. Det konstaterade Pierre Gudmundson, grundare av Scandinavian Recruitment Intelligence, som arbetar med personalsäkerhet och insiderprevention.

Det gör att företag i större utsträckning själva kommer att behöva bedriva säkerhets- och skyddsarbete för verksamheten. De behöver se över vad de måste göra för att bli mer motståndskraftiga och beredda på höjd beredskap.

”Lojalitet och pålitlighet kan komma att påverkas när grundförutsättningar och individers livssituation förändras.”

En viktig del är att skärpa det som handlar om personalförsörjning och rekrytering. När omvärlden förändras till det sämre ökar stressen för individer både privat och på arbetsplatsen och därmed ökar risken för insiders.

– Lojalitet och pålitlighet kan komma att påverkas när grundförutsättningar och individers livssituation förändras. De blir mer mottagliga för påverkan från externa krafter.

Den vanligaste faktorn som antagonister utnyttjar är ekonomi.

– Ekonomiska stressorer påverkar en individs rationalitet kraftigt och kan med små medel få personen att agera illojalt, irrationellt och ta väldigt lite hänsyn till konsekvenser och egen risk.

Koll även efter rekrytering

Företag lägger ofta mycket kraft på bakgrundskontroller i rekryteringsprocessen, men det räcker inte enligt Pierre Gudmundson. Vid en amerikansk granskning hade bara en av 200 insiders haft en agenda när de anställdes. I de övriga fallen hade beslutet mognat fram, eller skett utifrån en antagonistisk rekrytering, under anställningen.

– Väldigt ofta, om det inte finns en lag som kräver det, så görs det sedan väldigt lite under resten av anställningen. För att reducera riskerna är det viktigt att kontinuerligt ha en uppfattning om hur medarbetarna mår och förhåller sig till sin arbetsgivare.

Ofta har det funnits varningssignaler länge som hade kunnat förhindra incidenten, enligt Pierre Gudmundson. Som exempel nämner han att det kan finnas anledning för säkerhetsavdelningen att veta att en anställd har utmätning på lönen.

– En av de stora anledningarna till incidenter på grund av insiders är att de centrala funktionerna i organisationen inte utbyter relevant information om medarbetare. Framför allt hamnar den väldigt sällan hos säkerhetsfunktionen och då blir det dyrt och det måste hanteras reaktivt.

Infiltratörer i alla led i Ukraina

Han konstaterar att Ukraina har sedan Rysslands invasion började varit utsatt för en mängd antagonistiska handlingar för att störa landets förmåga, kapacitet och uthållighet.

– Det är attacker inriktade mot allt möjligt – järnvägar, livsmedel, byggnader och serverhallar till exempel. Och de som hjälper till att infiltrera är allt ifrån präster och läkare till revisorer, kommunanställda och anställda i privat sektor.

I Ukraina har myndigheter inte haft möjlighet att hantera det som företag utsätts för, enligt Pierre Gudmundson. Därför är det kritisk att företag själva tar ett större ansvar för att hålla koll på personalen för att snabbt kunna eskalera och prioritera sina insatser.

”För att reducera riskerna är det viktigt att kontinuerligt ha en uppfattning om hur medarbetarna mår och förhåller sig till sin arbetsgivare.”

Personalsäkerheten är viktig, vid förvaltning och anskaffning av personal, men också när det gäller att hantera och förebygga risker. En central del i det arbetet är att göra en befattningsanalys och kartlägga hur olika risker kan uppstå i olika typer av befattningar.

Det kan ge en bättre uppfattning om vilka befattningar som kan generera skada vid ett illojalt beteende, enligt Pierre Gudmundson.

– Utan en befattningsanalys vidtar ni åtgärder helt och hållet i blindo. Ni slösar resurser och tid, och ni ökar belastning på chefer, medarbetare och funktioner helt i onödan. Med hjälp av en befattningsanalys kan satsningar riktas mot rätt kluster av personal.

Vid en militär konflikt kan också personal försvinna av olika anledningar vilket snabbt och kraftigt ökar behovet av att fylla på med ny personal.

– Då är det viktigt att innan dess ha tänkt till på de här strukturella bitarna. Hur tillsätter vi väldigt snabbt men fortfarande på ett riskmedvetet sätt? Där blir befattningsanalysen en vägledning för hur mycket tid och kraft som behöver satsas på riskreducering. Vi har förmågan att vara selektiva.

Se över leverantörerna

Även leverantörsledet förändras kraftigt vid militär konflikt. Här behöver företag se över hur centrala funktioner kan behöva prioritera om sina arbetsuppgifter och hur det påverkar verksamheten och säkerheten, konstaterar Pierre Gudmundson. Håller de nuvarande leverantörsleden vid höjd beredskap eller kan leverantörers kapacitet minska eller helt falla bort?

– Har ni övervägt att ha flera leverantörer upphandlade? Hur påverkas er verksamhet av övriga samhällets planering och deras civilplikt eller värnplikt? Ta också reda på om ni är en prioriterad kund hos era leverantörer vid höjd beredskap.

Företagens roll allt viktigare

Enligt Johan Sjöberg, ansvarig säkerhets- och försvarspolitik på Svenskt Näringsliv, har attackerna och hoten mot svenska företag ökat kraftigt sedan hösten 2022. Under förra året drabbades var tredje företag av en cyberattack i en omfattning som hade en direkt påverkan på verksamhetens förmåga att återhämta sig.

– Det finns ingen sektor som inte domineras av privata leverantörer, producenter eller genomförare, och det måste tas med i beräkningen när vi ser vad som sker i samhället.

För att dimensionera de hot, problem och utmaningar som Sverige ytterst står inför är det viktigt att ha kriget i Ukraina som utgångspunkt, menar han. Förutom de över 1300 attacker som har ägt rum på hälso- och sjukvårdssystemen har 400–450 attacker har skett på företag. Kriget har kostat den ukrainska industrin omkring 115 miljarder svenska kronor, lågt räknat.

Allt kan inte prioriteras

Jämfört med hur det var för 30–40 år sedan spelar företagen en betydligt större roll när det handlar om Sveriges säkerhet och försvar. Privata företag står idag för 80–85 procent av BNP och där arbetar 70 procent av den totala arbetskraften.

Det gör att det är centralt vid planeringen av totalförsvaret och försörjningsberedskapen att få till en övergripande prioritering som slår fast vilka verksamheter som är totalförsvarsviktiga, konstaterar Johan Sjöberg.

All samhällsviktig verksamhet kommer vid höjd beredskap och krig inte kunna prioriteras. Det handlar i stället om att verksamheter som är viktiga för Sveriges överlevnad måste komma i första hand. Därefter kommer andra sektorer och vad de måste kunna leverera på alla konfliktnivåer.

”Alla företag bör fundera på de här frågorna. Det handlar om att stresstesta sitt företags förmåga att hantera en sådan situation och se vad utfallet blir. ”

Företag kan också göra mycket på egen hand, och planera för krig, även om ingen vill tro att det kommer att ske.

Vad skulle göra störst skada? Vad gör vi om systemet inte funkar? Vad gör vi om banomsorg eller kollektivtrafik inte fungerar och våra anställda inte kan komma till jobbet? Vad gör vi om elen försvinner eller om det inte finns mat eller drivmedel att få tag på? Därutöver är försörjningskedjor och underleverantörer akilleshälen i alla sårbarhetssystem, konstaterar han.

– Alla företag bör fundera på de här frågorna. Det handlar om att stresstesta sitt företags förmåga att hantera en sådan situation och se vad utfallet blir. Till det behöver en risk- och sårbarhetsanalys som identifierar riskerna göras följt av en kontinuitetsplanering som också tar höjd för en beredskapsplanering.

Ett alternativ är att fundera på verksamhetens förmåga att ställa om sin produktion. Under pandemin blev detta en realitet för en del företag som började tillverka eller leverera något annat i stället. För att möjliggöra detta måste dock planering ske i förtid och regler och tillståndsprocesser förenklas och underlätta för företagen.

– Här jobbar Svenskt Näringsliv med myndigheter och regeringen för att skapa förutsättningar och underlätta för företagen men takten måste öka, säger Johan Sjöberg.