Det danske fagmediet Ingeniøren har tapt en prinsipiell klagesak i Landsskatteretten (den øverste administrative klageinstansen i Danmark for slike saker) mot Udviklings- og Forenklingsstyrelsen (UFST). Retten slår fast at staten har lov til å hemmeligholde identiteten til seks spesifikke IT-sikkerhetsleverandører, da offentliggjøring vurderes å utgjøre en risiko for statens sikkerhet.
Bakgrunn og omfang
Skatteforvaltningen i Danmark brukte i 2025 over 1,4 milliarder danske kroner på eksterne konsulenter. Ingeniøren har begjært innsyn i detaljene rundt denne pengebruken, men har blitt nektet innsyn i navnene på seks leverandører som leverer det som beskrives som særlig kritisk IT-sikkerhet til landets viktigste pengekasse.
Les saken på Ingeniøren.dk. Hør også Ingeniørens podcast «Transformator«.
Risiko- og sikkerhetsvurderingen
Avgjørelsen som falt 24. juni 2026, underbygger det klassiske sikkerhetsdilemmaet mellom åpenhet og beskyttelse mot cybertrusler:
- Trusselbildet: Myndighetene argumenterer med at hvis navnene på de spesifikke sikkerhetsleverandørene blir kjent, kan ondsinnede aktører (som nasjonalstater eller profesjonelle cyberkriminelle) kartlegge Skatteforvaltningens teknologiske infrastruktur, sårbarheter og forsvarstaktikker.
- Statens sikkerhet trumfer offentlighetsloven: Retten har vektlagt at hensynet til å beskytte statens mest kritiske infrastruktur mot cyberangrep veier tyngre enn medienes og offentlighetens krav på innsyn i statlig pengebruk.
Relevans for risikofaget
Saken illustrerer en økende trend innen risikostyring og informasjonssikkerhet: Navn på leverandører, lisenser og spesifikk sikkerhetsarkitektur blir i økende grad betraktet som sensitiv informasjon (såkalt operational security eller OPSEC). For risikofaglige aktører reiser avgjørelsen viktige spørsmål om grensegangen mellom demokratisk kontroll med offentlige midler og nødvendig risikoreduserende hemmelighold i en tid med et skjerpet digitalt trusselbilde.
Les hva Mats Magnussen, journalist i Ingeniøren, skriver om dommen i sitt nyhetsbrev (oversatt fra dansk):
I februar ba jeg om innsyn i Skatteforvaltningens utgifter til konsulenter. Normalt mottar vi en komplett liste med alle navnene, men i år var åtte navn strøket ut. Som journalist opplever jeg ofte at myndighetene ønsker å hemmeligholde opplysninger.
Særlig i Skatteforvaltningen har de blitt glade i å bruke offentlighetslovens § 31, som omhandler statens sikkerhet.
Etter et langt klageforløp endte jeg med å bringe saken inn for Skatteankenævnet. Underveis i prosessen oppdaget Skat (Skatteforvaltningen, red. anm.) at navnene på Systematic (6 214 350 kr) og QualiWare (95 800 kr) likevel ikke utgjorde en trussel mot statens sikkerhet.
Hvis offentligheten – og dermed fremmede makter eller hackere – får kjennskap til navnene på de spesifikke sikkerhetsfirmaene, vil det ifølge styrelsen svare til å utlevere et blueprint (en blåkopi/arkitekturtegning) over Skats svakheter. Det kan potensielt misbrukes til målrettede phishing-angrep eller varianten spear-phishing.
Styrelsen argumenterer dessuten med at navnene på de seks firmaene kan utnyttes til et såkalt supply chain-angrep (leverandørkjedeangrep), hvor hackere trenger inn i Skats systemer ved å ramme en underleverandør.
Landsskatteretten endte med å følge Skatteforvaltningens anbefalinger. Så tilbake står fortsatt seks mørklagte navn på mindre leverandører.
Men er det virkelig statens sikkerhet som er i spill, eller handler det kanskje om at man fra Skats side ønsker å hemmeligholde visse leverandører overfor offentligheten? Ifølge Henrik Kramselund, som er selvstendig IT-sikkerhetskonsulent, virker det tåpelig.
«Firmaene vil uansett bli funnet av de såkalt kapable aktørene som er interessert i vår kritiske infrastruktur. De vil nok bare dykke dypere eller få en informant ansatt, og derfor blir det litt tåpelig at de vil holde det hemmelig for journalister,» sier Henrik Kramselund.
Legg igjen en kommentar