Når gråsonen får en avsender

Mandag kom NATOs øverstkommanderende i Europa, general Alexus Grynkewich, med en uttalelse jeg synes det er verdt å stoppe ved.

Når et land med tilstrekkelig sikkerhet vet hvem som står bak et hybridangrep, mener han at det normalt bør sies offentlig. Det betyr å si offentlig hvem man mener står bak. I sikkerhetspolitikken kalles dette attribusjon.

Grynkewich mener at det å peke ut avsenderen i seg selv kan ha en avskrekkende effekt. Når nettverk og metoder blir avslørt, kan motparten bli nødt til å endre fremgangsmåte og kostnaden ved å operere skjult øker.

Det åpner for noe jeg tror vi kommer til å høre mer om fremover.

Kan noe av Europas svar på russisk aktivitet i gråsonen være å gjøre selve gråsonen mindre grå?

Med gråsonen menes her området mellom vanlig fredelig samhandling mellom stater og åpen væpnet konflikt. I dette området kan en stat forsøke å skade, forstyrre eller påvirke et annet land gjennom for eksempel sabotasje, cyberangrep, informasjonsoperasjoner eller bruk av stedfortredere, samtidig som handlingene holdes under terskelen for det vi normalt vil kalle krig. Ofte er det også uklart hvem som står bak, og nettopp den uklarheten kan gjøre det vanskelig å avgjøre hvordan man skal svare. EU beskriver hybride kampanjer som virksomhet som blant annet kan være utformet for å holde seg under terskelen for krig og gjøre både oppdagelse og respons vanskeligere.

Verdien av usikkerhet

Det er nettopp i denne uklarheten at gråsonen får mye av sin verdi for den som opererer der.

Hva skjedde egentlig? Var hendelsen tilfeldig? Hvem stod bak? Var det enkeltpersoner, organiserte nettverk eller en stat som trakk i trådene?

NATO har lenge pekt på utfordringen med hybride operasjoner, og EU skriver uttrykkelig at slike kampanjer ofte er utformet for å skape tvetydighet om hvem som står bak og dermed gjøre beslutninger vanskeligere.

Her blir Grynkewichs resonnement interessant. Hvis usikkerheten har en verdi for den som angriper, kan det også ha en verdi å fjerne den.

Men hvordan påvirkes denne verdien når Russland nekter for handlingene?

Estland ga oss et svært konkret eksempel 29. september. Landets sikkerhetstjeneste mener den med full sikkerhet kan slå fast at brannen hos forsvarsbedriften Milrem Robotics i Tallinn i august var en sabotasjeaksjon bestilt av russiske sikkerhetstjenester.

Estiske myndigheter har ikke offentliggjort bevisgrunnlaget, med henvisning til at dette er sikkerhetsinformasjon. Kreml avviser anklagen som grunnløs.

Dermed er ikke tvetydigheten borte. Den har bare flyttet seg.

Diskusjonen handler ikke lenger bare om hvem som stod bak. Den handler også om hvor sikkert vi egentlig kan vite det.

Og der har de åpne samfunnene et problem. Etterretning som overbeviser en regjering, kan ikke alltid legges frem offentlig. Kilder og metoder må beskyttes. Myndighetene kan derfor være langt sikrere på avsenderen enn det de er i stand til å bevise for alle andre.

Russland trenger heller ikke nødvendigvis å overbevise europeiske befolkninger om at Russland ikke stod bak. Det kan være nok å holde liv i spørsmålet om vi egentlig vet dette sikkert.

Hvem skal overbevises?

Jeg tror kanskje vi ser litt for snevert på poenget med å peke ut hvem som står bak.

Moskva er neppe den viktigste mottakeren for denne informasjonen. Russland kan ganske enkelt avvise anklagen.

Egen befolkning er en mottaker. Andre regjeringer og NATO-land er en annen. Det kan også bety noe om flere land kommer frem til den samme vurderingen, og om personer, nettverk og arbeidsmetoder blir avslørt.

EU peker selv på at det å plassere ansvaret kan bidra til å informere befolkningen om trusselen og skape støtte for andre tiltak. NATO åpner for at medlemsland kan peke ut aktøren bak hybride handlinger og deretter reagere koordinert.

Da kommer det spørsmålet jeg synes er vanskeligst i denne sammenhengen.

Hvis det å avsløre hvem som står bak skal virke avskrekkende, hva er det egentlig angriperen skal frykte?

Er avsløringen nok fordi metoder og nettverk blir eksponert? Eller må det følge andre konsekvenser? Og hva skjer dersom Russland gjentatte ganger blir pekt ut uten at noe synlig skjer etterpå?

Jeg har naturligvis ikke noe fullverdig svar på dette. Men jeg tror vi bør begynne å legge bedre merke til hvordan europeiske land håndterer slike hendelser.

Hvor sikre sier de at de er? Hvor mye kan de vise frem? Står flere land bak vurderingen? Og skjer det noe etterpå?

Kanskje ligger noe av kampen i gråsonen i hvem som får definere hva som faktisk har skjedd, og hvor mye tvil det fortsatt er mulig å skape.

Russland trenger ikke nødvendigvis å krysse en tydelig grense for å skape et sikkerhetspolitisk problem. Det kan være nok å gjøre selve grensen vanskeligere å se.

Fakta: Hva menes med attribusjon?

Attribusjon betyr i denne sammenhengen å plassere ansvaret for en skadelig hybrid handling hos en bestemt aktør. Dette er definisjonen EU bruker i sitt rammeverk for håndtering av hybride kampanjer.

Det er den enkelte stat som avgjør om den vil gjøre dette. NATO omtaler attribusjon som et nasjonalt ansvar og åpner for at medlemsland, når det er hensiktsmessig, kan peke ut hvem som står bak og svare koordinert.

Å vite hvem som sannsynligvis står bak er heller ikke det samme som å si det offentlig. EU understreker at vurderingen bygger på informasjon fra flere kilder og må gjøres fra sak til sak. Det kan også være situasjoner der offentliggjøring ikke er ønskelig, selv om myndighetene mener de kjenner avsenderen. EU åpner derfor også for mottiltak uten offentlig attribusjon.