Moderne biler samler data: Dette bør innkjøperen undersøke før anskaffelsen
Hvor lagres dataene? Hvem har tilgang? Kan bilen fjernstyres, og hvor langt opp i leverandørkjeden bør innkjøperen undersøke? Bymiljøetaten i Oslo sitter på ferske erfaringer med anskaffelse av elektriske tjenestebiler. Nå deler de sine råd med andre offentlige innkjøpere.
Moderne biler er i stadig større grad oppkoblet mot eksterne systemer. De kan ha GPS, kameraer, mikrofoner, apper, programvareoppdateringer og kommunikasjon med eksterne systemer. Sikkerhetsrisiko ved moderne biler er stadig gjenstand for debatt, senest gjennom et stortingsspørsmål til justis- og beredskapsministeren.
For innkjøperen reiser utviklingen noen svært praktiske spørsmål: Hvilke data samler bilen inn? Hvem kan få tilgang? Hvor mye skal oppdragsgiver undersøke, og hvor begynner man?
– Start med å kartlegge hva kjøretøyet skal brukes til, og hvilket risikobilde bruken innebærer, uttaler innkjøpsrådgiver Erikka Bø Håheim i Bymiljøetaten i Oslo kommune.
Koblet inn fagkompetanse tidlig
Bymiljøetaten gjennomfører for tiden en konkurranse om rammeavtale for leie av elektriske tjenestebiler. Innkjøpsrådgiver Erikka Bø Håheim har hatt ansvar for å drive anskaffelsesprosessen fremover, i samarbeid med behovseier og aktuelle fagressurser.
Etter at etaten hadde kartlagt hvordan kjøretøyene skulle brukes og sett nærmere på hvilke sikkerhetsrisikoer dette kunne innebære, ble blant andre etatens avdeling for Geodata og IKT servicedesk koblet inn. Overingeniør Espen Widding har bidratt med fagkompetanse på datasikkerhet.
– Anskaffelser krever ofte kompetanse fra flere fagområder. Som innkjøpsrådgiver har man ansvar for å drive prosessen fremover i henhold til gjeldende regelverk, i tett samarbeid med behovseier og aktuelle fagressurser. En del av rollen er å sørge for at riktig kompetanse kobles inn underveis, forklarer Håheim.
Hun peker på at Bymiljøetaten har flere ulike fagområder og mange ressurser med spisskompetanse.
– Dette er en styrke som gir oss et godt utgangspunkt når anskaffelser er komplekse.
Den nye leiebilavtalen har en estimert verdi på 24 millioner kroner, og skal dekke etatens løpende behov for elektriske kjøretøy til blant annet befaringer og kontrolloppdrag.
Ny debatt om sikkerhet og biler
Spørsmålet om sikkerhet i bilanskaffelser fikk fornyet aktualitet da stortingsrepresentant Lars Lønberg Henriksen (MDG) nylig spurte justis- og beredskapsminister Astri Aas-Hansen om PSTs bruk av statens leiebilavtale og materiell med koblinger til Kina.
I svaret 5. oktober understreker statsråden at sikkerhetsrisiko må vurderes konkret og løpende, og at flere forhold enn eierskap eller nasjonal tilknytning alene må inngå i vurderingsgrunnlaget.
Også tidligere har sikkerhetsrisiko ved moderne biler vært diskutert. Anbud365 skrev i sommer om bekymringen for blant annet datainnsamling, hacking og muligheter for fjernstyring. Nasjonal sikkerhetsmyndighet understreket da at ny teknologi i moderne biler gir både muligheter og sårbarheter, uavhengig av bilens opphavsland.
For den enkelte innkjøper blir dermed spørsmålet mer praktisk: Hva bør undersøkes -bilen, teknologien, dataene, leverandøren eller hvem som til syvende og sist eier leverandøren?
En bil er ikke bare en bil
Ifølge Bymiljøetaten finnes det ikke én sikkerhetsvurdering som passer alle anskaffelser.
– Hvilke risikoer som må vurderes, avhenger av hva kjøretøyet skal brukes til og hvem som skal bruke det. Det vil være betydelige forskjeller mellom kjøretøy som skal brukes i f.eks. skogdrift, hjemmetjeneste eller vann- og avløp. Sentrale risikoområder vil være personvern, sporing og overvåkning, forklarer Widding.
Widding peker videre på at det blant annet bør vurderes om posisjonsdata eller annen informasjon kan avsløre sensitive opplysninger om førere, passasjerer eller virksomhetens aktivitet, samt hvilke konsekvenser det kan få dersom uvedkommende får tilgang.
Også hvor avhengig virksomheten er av kjøretøyet og de digitale tjenestene rundt det, kan være avgjørende.
– Det bør tas stilling til spørsmål om kjøretøyet skal benyttes av personer som kan være interessante for etterretning eller kriminelle aktører, om det skal brukes til tjenester for spesielt sårbare grupper, eller om sporing skal brukes som kontrolltiltak etter arbeidsmiljøloven. Tilgjengelighet er også noe å tenke på. Hvor avhengige er vi av kjøretøyet i en krise eller beredskapssituasjon? Kan bortfall eller uønsket fjernaksess få vesentlige konsekvenser? uttaler Widding.
Må vite nok til å vurdere risikoen
Når bilen kommuniserer med eksterne systemer, må oppdragsgiver også vite nok om hva som skjer med informasjonen til å kunne foreta en reell risikovurdering.
– Oppdragsgiver må ha tilstrekkelig informasjon til å kunne gjøre en reell risikovurdering. Vi må vite nok til å forstå hvilke data som behandles, hvor de lagres, hvem som kan få tilgang til dem og hvilke avhengigheter dette innebærer, sier Widding
Men det finnes også en praktisk grense for hvor langt oppdragsgiver kan gå.
– Det er en forskjell mellom å innhente informasjon fra leverandøren, avtalevilkår og teknisk dokumentasjon, og å undersøke hva kjøretøyet og de tilknyttede systemene faktisk gjør i bakgrunnen. Sistnevnte kan kreve omfattende tekniske undersøkelser og særskilt kompetanse, uttaler Håheim.
– Det er begrenset hvor langt en innkjøper eller offentlig oppdragsgiver kan gå i slike undersøkelser i en ordinær anskaffelsesprosess før det blir uforholdsmessig. Hvor grundig man bør undersøke, må derfor stå i forhold til risikoen ved den konkrete bruken, utdyper Håheim.
Kartlegg funksjonene først
GPS, kameraer og mikrofoner er bare noen av funksjonene som kan være relevante. I tillegg kommer apper, programvareoppdateringer og ulike former for fjernaksess.
Bymiljøetatens råd er å begynne med å kartlegge hvilke oppkoblede funksjoner kjøretøyet har, og hva de faktisk brukes til. Deretter må disse ses opp mot den konkrete bruken av kjøretøyet.
– For hver funksjon bør man blant annet vurdere hvilke data den samler inn eller gir tilgang til, hvem som kan få tilgang, om funksjonen innebærer fjernstyring eller andre eksterne avhengigheter, og hva konsekvensen kan være dersom data kommer på avveie, forklarer Widding.
Når blir eierskap relevant?
Debatten om kinesiske biler har i stor grad dreid seg om produsentland og eierskap. Bymiljøetatens svar peker imidlertid tilbake på det konkrete risikobildet.
– Hvor omfattende undersøkelser som er nødvendige, bør følge risikoen og hva leverandøren eller andre aktører i leverandørkjeden faktisk kan se, kontrollere eller påvirke, uttaler Håheim.
– Dersom det er tilgang til sensitive data, posisjonsinformasjon, fjernstyring eller funksjon som er viktige for virksomhetens drift, vil det kunne være behov for grundigere vurderinger av leverandørkjede, eierskap og jurisdiksjon, forklarer Widding.
-Omfanget av undersøkelsene bør samtidig være forholdsmessig og basert på det konkrete risikobildet, tillegger Håheim.
Innkjøperen skal ikke være IT-ekspert
Et av de tydeligste rådene fra Bymiljøetaten er å involvere relevante fagmiljøer tidlig i prosessen.
– Informasjonssikkerhet, IT, personvern og eventuelt beredskap bør kobles inn tidlig, helst så snart behovet er klart. Risikovurderingen bør være utgangspunktet for hvilke sikkerhets- og personvernkrav som stilles i anskaffelsen, fastslår Håheim.
Samtidig er det grenser for hvilken grad av teknologikompetanse man kan forvente at den enkelte innkjøper har.
– Innkjøpere arbeider gjerne på tvers av mange ulike fagområder og kan ikke forventes å ha spesialistkompetanse på all teknologi som anskaffes. Vi er derfor avhengige av relevante fag- og støtteressurser som kan identifisere risiko og vurdere hvordan den bør håndteres, uttaler Håheim.
Problemstillingen har også fått en tydeligere plass i anskaffelsesregelverket. Fra 1. juli 2026 er sikkerhets- og beredskapshensyn løftet frem i anskaffelsesloven. Etter § 5d kan oppdragsgiver stille krav eller kriterier for å ivareta slike hensyn, blant annet som kvalifikasjonskrav, i kravspesifikasjonen, som tildelingskriterier eller som kontraktsvilkår.
Bilen varer lenger enn programvaren
Sikkerhetsvurderingen stopper heller ikke nødvendigvis når kontrakten er signert.
– Oppkoblede kjøretøy har lang fysisk levetid, mens programvare og digitale tjenester kan endres underveis, uttaler Widding.
Det kan få betydning for hvordan kontrakten utformes.
– Det er derfor relevant å vurdere krav og kontraktsvilkår knyttet til sikkerhetsoppdateringer, supportperiode, endringer i tilknyttede tjenester, fjernaksess og hva som skjer dersom leverandøren slutter å støtte løsningen, forklarer Widding.
En bil som oppfyller virksomhetens sikkerhetsbehov ved anskaffelsen, kan dermed få et annet risikobilde senere i levetiden.
La risikovurderingen avgjøre
På spørsmål om deres viktigste råd til andre offentlige innkjøpere vender Håheim og Widding tilbake til utgangspunktet: hva bilen skal brukes til, og hvilket risikobilde bruken innebærer.
– Kartlegg hvilken informasjon kjøretøyet kan samle inn eller gi tilgang til, hvilke eksterne systemer det kommuniserer med, hvem som kan få tilgang til eller påvirke kjøretøyet gjennom disse systemene, og hvilke konsekvenser det kan få dersom informasjon kommer på avveie, uttaler Widding.
Deretter bør risikovurderingen styre hvor grundig oppdragsgiver går til verks.
– La risikovurderingen avgjøre hvor grundige undersøkelser som er nødvendige, hvilke fagressurser som bør involveres og hvilke krav som bør stilles. Innkjøperen må sørge for at relevante risikoer blir ivaretatt i anskaffelsen og omsatt til etterprøvbare krav og kontraktsvilkår, med støtte fra relevante fagressurser der det kreves særskilt kompetanse, avslutter Håheim.
