Dokumentation: Sådan blev Folketinget informeret

Fungerende forsvarsminister Troels Lund Poulsen har tirsdag oversendt følgende skriftlige orientering til Folketingets Forsvarsudvalg:

“Der har politisk været rejst spørgsmål om, hvorvidt Folketinget blev informeret om, at Center for Cybersikkerhed ikke havde lovhjemmel til at tilgå beskeder, der måtte være lagret i centerets sensornetværk.

Jeg kan i den forbindelse henvise til følgende, der fremgår af den taleseddel, som den daværende forsvarsminister anvendte under det lukkede samråd C i Folketingets Granskningsudvalg den 7. december 2021:

”CFCS-loven giver dermed ikke hjemmel til at se efter indholdsdata i den konkrete sag. Det må der ikke herske tvivl om.

CFCS har til opgave at finde og bremse malware. For at kunne varsle om angreb på landets myndigheder og landets virksomheder i den kritiske infrastruktur.

Vi skal have tiltro til, at CFCS kan behandle sensitive og forretnings kritiske data samt persondata i fuld diskretion. Når det er sagt, så har vi faktisk rakt ud til CFCS om spørgsmålet for at kunne komme til bunds i denne sag. Og budskabet fra CFCS er meget klart. Lad mig citere fra min besvarelse af Retsudvalgets spørgsmål nr. 307, som blev oversendt i går:

’CFCS’ monitorering [af statsministeriets netværk] omfatter ikke SMS’er, der sendes gennem mobiloperatørernes mobilnetværk. Beskeder, der sendes via internettet – f.eks. via iMessage – ved an vendelse af et wifi-netværk, som CFCS monitorerer, vil potentielt blive kunne opfanget af CFCS’ sensor.

Det er CFCS’ forventning, at der blandt andet pga. kryptering af evt. relevant trafik ikke kan findes materiale i form af iMessages af relevans for Granskningskommissionen.”

Den daværende forsvarsministers taleseddel blev endvidere oversendt til Folketingets Granskningsudvalg den 13. december 2021 som svar på spørgsmål nr. 8 (Alm. del).

Folketinget er således både mundtligt og skriftligt blevet udtrykkeligt orienteret om hjemmelsspørgsmålet.”

Troels Lund Poulsen orienterer desuden tirsdag Forsvarsudvalget om, hvorvidt det på nuværende tidspunkt ville være muligt at tilgå beskeder, der stadig er lagret i Center for Cybersikkerheds sensornetværk, såfremt der blev skabt den fornødne lovhjemmel til at tilgå eventuelle beskeder, som kunne have været af relevans for Minkkommissionens undersøgelse.

Troels Lund Poulsen skriver, at Forsvarets Efterretningstjeneste, hvorunder Center for Cybersikkerhed hører, har oplyst følgende:

”Center for Cybersikkerhed (CFCS) har bl.a. til opgave at drive et sensornetværk, som beskytter myndigheder og visse virksomheder, der beskæftiger sig med f.eks. kritisk infrastruktur, mod cyberangreb. Formålet med sensornetværket er at detektere ondsindet trafik, og ikke at logge aktiviteterne på de monitorerede netværk.

Sensornetværket virker ved, at en række sensorer via automatiserede processer monitorerer datatrafikken ind og ud af de pågældende myndigheders og virksomheders netværk. Der holdes løbende øje med, om malware eller anden mistænkelig data indgår i trafikken, og hvis dette er tilfældet, går en alarm hos CFCS. CFCS kan herefter tilgå de pågældende data på sensoren og undersøge den mistænkelige trafik nærmere.

Sensornetværket monitorerer ikke data, som sendes via mobilnetværk fra f.eks. en telefon. Hvis telefonen derimod har været koblet på et wifi-netværk, der er tilsluttet sensornetværket, og der har været anvendt en databaseret chatfunktion som f.eks. iMessage, vil data knyttet hertil blive lagret i sensornetværket.

Såkaldte pakkedata og trafikdata fra sensornetværket - og herunder eventuelle data hidrørende fra iMessages - opbevares på de sensorer, der monitorerer datatrafikken.

Trafikdata opbevares desuden på en særskilt dataanalyseplatform, og kun ved konkrete IT-sikkerhedshændelser hentes de berørte pakkedata til analyseplatformen og herfra videre til særlige analyseværktøjer. Pakkedata er indholdsdata, f.eks. om indholdet af en e-mail eller en iMessage.

Trafikdata er f.eks. oplysninger om de tilsluttedes enheders IP-adresser og tidspunktet for eventuel trafik til og fra disse adresser.

En sensor kan godt dække mere end én myndighed, og der opbevares betydelige datamængder på sensorerne. Lagringskapaciteten på de enkelte sensorer bliver derfor reelt den begrænsende faktor i forhold til, hvor længe data opbevares. Når 95 pct. af sensorens lagringskapacitet er nået, bliver ældste data overskrevet af ny data og dermed slettet, selv om slettefristen endnu ikke måtte være nået. Således er ældste data på de sensorer, som bl.a. dækker Statsministeriet, pr. 16. juni 2023 fra den 22. maj 2022. Den tilsvarende dato for Justitsministeriet er den 25. oktober 2022.”

Forsvarets Efterretningstjeneste har endvidere oplyst, skriver forsvarsministeren, "at allerede slettede data fra sensorerne ikke kan gendannes. Forsvarets Efterretningstjeneste konkluderer på den baggrund, at Center for Cybersikkerhed ikke er i besiddelse af sensordata – hverken trafikdata eller pakkedata – fra den periode, som Minkkommissionen havde til opgave at undersøge.

Herudover har Forsvarets Efterretningstjeneste tidligere oplyst, at selv hvis de pågældende data fortsat var tilgængelige, så ville krypteringen gøre, at Center for Cybersikkerhed ikke ville forvente at kunne se indholdet af iMessages af relevans for Minkkommissionen.

På et møde i Forsvarsministeriet den 19. juni 2023 har den fungerende chef for Forsvarets Efterretningstjeneste og chefen for Center for Cybersikkerhed oplyst, at Forsvarets Efterretningstjeneste – efter at have undersøgt spørgsmålet yderligere – nu vurderer, at det ikke ville være muligt for Center for Cybersikkerhed at se indholdet af iMessages af relevans for Minkkommissionen."

Troels Lund Poulsens fulde svar til Forsvarsudvalget kan læses her.