Konstruktør: Morten Larsen

Kunnskapsdepartementet påla universiteter og høyskoler å bruke og betale for Felles IAM. Samtidig var løsningen avhengig av bred deltakelse for å være økonomisk bærekraftig, og viktige spørsmål om leverandørtilgang, kryptering og digital avhengighet var allerede kjent. Da Stortinget ba om svar, fikk det opplysninger som senere måtte korrigeres. Min konklusjon er at dette ikke bare er en kommunikasjonsfeil. Det er styringssvikt som bør undersøkes av Stortinget.

Jeg begynte å se nærmere på Felles IAM etter å ha lest Khronos omtale av at Stortingets kontroll- og konstitusjonskomité vurderer å åpne kontrollsak.

I debatten er det brukt store ord som «riksrett» og «statskupp». Jeg trenger ingen av dem for å mene at saken er alvorlig. Det holder å lese hva Sikt og staten selv har skrevet.

Dokumentene viser en løsning med en økonomi som var avhengig av bred deltakelse. De viser at en tidligere beslutning om obligatorisk innføring ble underkjent fordi Digitaliseringsstyret manglet mandat. De viser også at Kunnskapsdepartementet deretter grep inn og påla institusjonene å bruke og betale for løsningen.

Senere måtte Sikt erkjenne at departementet hadde fått ufullstendige og upresise opplysninger om sentrale forhold ved tjenesten. Opplysningene var brukt som grunnlag da statsråden svarte Stortinget. Min mening er tydelig: Dette fremstår ikke som én isolert feil. Det fremstår som svikt i beslutningsgrunnlaget og styringen av en viktig digital fellestjeneste.

Økonomien var ikke en fotnote

Felles IAM er en løsning for identitets- og tilgangsstyring i universitets- og høyskolesektoren. Den skal sørge for at studenter og ansatte får riktig tilgang til digitale systemer, samtidig som tilgangene avsluttes når de ikke lenger skal gjelde.

Løsningen bygger på RapidIdentity fra det amerikanske selskapet Identity Automation. Leverandøren drifter løsningen i sin egen AWS-konto i Stockholm, mens Sikt har utviklet egen funksjonalitet på toppen. Dette er ikke i seg selv en skandale. Internasjonale leverandører og skytjenester brukes i store deler av norsk offentlig sektor.

Det interessante er hvordan økonomi, styring og sikkerhet ser ut til å ha virket sammen.

I Sikts notat «Rammebetingelser for basistjenester» fra 13. mai 2025 beskrives institusjoner som fortsatt var usikre på Felles IAM, som «ryggraden i den eksisterende økonomimodellen». Blant dem var Universitetet i Oslo, NTNU og Universitetet i Agder. Sikts beregninger viste at investeringen kunne bli vanskelig å tilbakebetale dersom disse institusjonene ble stående utenfor.

Statsråden bekreftet senere det økonomiske avhengighetsforholdet. I svaret til Hege Bae Nyholt 11. august 2026 skrev hun at Felles IAM ikke ville være økonomisk bærekraftig dersom ikke alle institusjonene brukte og betalte for tjenesten, med mindre den ble vesentlig dyrere for dem som allerede deltok.

Når staten pålegger virksomheter å bruke og betale for en bestemt løsning, samtidig som økonomien er avhengig av at nettopp disse virksomhetene blir med, oppstår det et åpenbart behov for åpenhet. Departementet må da kunne dokumentere hvilken betydning økonomien hadde for beslutningen.

Jeg hevder ikke at økonomien var den eneste grunnen til pålegget. Det kan jeg ikke dokumentere. Men dokumentene viser at økonomien var en sentral del av problemet. Da holder det ikke å omtale den som et underordnet hensyn.

Den første beslutningen manglet mandat

Referatene fra Sikts produktråd for Felles IAM viser at Digitaliseringsstyrets beslutning fra 2019 om å gjøre tjenesten obligatorisk, ble underkjent tidlig i 2025. Begrunnelsen var at styret ikke hadde mandat til å fastsette at tjenesten skulle være obligatorisk.

Flere store institusjoner kunne dermed avvente innføringen. Samtidig pågikk det dialog mellom Sikt, institusjonene og Kunnskapsdepartementet. I juni 2026 kom departementets avgjørelse: Institusjonene som ikke brukte Felles IAM, skulle ta i bruk og betale for tjenesten.

Pålegget løste dermed det problemet Digitaliseringsstyret ikke hadde mandat til å løse, og sikret samtidig den brede deltakelsen økonomimodellen var avhengig av. Dette beviser ikke at departementet grep inn for å redde økonomien. Men tidslinjen er så tydelig at den krever en uavhengig gjennomgang. Hvilke opplysninger hadde departementet da beslutningen ble tatt? Hvilke alternativer ble vurdert? Hvor tungt veide økonomien, og hvorfor ble et pålegg valgt fremfor en ny vurdering av løsningen og finansieringsmodellen?

Dette er spørsmål staten må besvare med dokumentasjon, ikke bare forsikringer.

Risikoen var kjent

Referatene fra Sikts produktråd viser at geopolitisk risiko og muligheten for å flytte løsningen bort fra AWS ble diskutert før departementets pålegg. Det betyr ikke at Felles IAM ble vurdert som uforsvarlig. Sikt har gjennomført risiko- og personvernvurderinger og mener tjenesten drives innenfor gjeldende regelverk.

Men problemstillingen var kjent: En sentral norsk fellestjeneste var avhengig av amerikansk teknologi, en amerikansk leverandør og en internasjonal skytjeneste. Dette var ikke en risiko som plutselig oppsto etter at institusjonene ble pålagt å delta.

Når staten kjenner til en slik avhengighet, må den kunne dokumentere hvordan risikoen er vurdert, hvilke tekniske barrierer som finnes, og hvordan tjenesten skal holdes i drift dersom de juridiske, kommersielle eller geopolitiske rammebetingelsene endrer seg.

En avtale om at løsningen kan flyttes, er nyttig. Men en avtale er ikke nødvendigvis det samme som en ferdig, testet og gjennomførbar vei ut.

Stortinget fikk ufullstendige opplysninger

I juni 2026 stilte Sunniva Holmås Eidsvoll spørsmål om datasikkerheten og om det var forsvarlig å pålegge institusjoner med egne løsninger å gå over til Felles IAM. Etterpå måtte Sikt korrigere informasjonen som var gitt til Kunnskapsdepartementet og brukt i statsrådens svar. I Sikts redegjørelse 8. september 2026 skriver etaten: «Sikt har i møter med Kunnskapsdepartementet gitt ufullstendige og upresise opplysninger om tjenesten Felles IAM.»

Sikt opplyser at ingen med hensikt ga ufullstendig informasjon. Jeg har derfor ikke grunnlag for å hevde at statsråden eller Sikt bevisst villedet Stortinget. Men fravær av hensikt gjør ikke feilen ufarlig.

Stortinget fikk først et for snevert bilde av hvilke personopplysninger tjenesten behandler. Informasjonen om kryptering måtte også presiseres. Data er kryptert under overføring og på infrastrukturnivå, men ikke i selve databasen.

Sikt opplyser videre at én navngitt person hos leverandøren har tilgang til databasen under bestemte vilkår. Arbeidet loggføres, og tilgangen skal bare brukes etter konkret bestilling. Den mest avslørende formuleringen i redegjørelsen er likevel denne: «Det er avtalen som setter grensen, ikke en teknisk sperre Sikt selv håndhever.»

Begrensningene var med andre ord i hovedsak avtalefestede og organisatoriske. Sikt arbeider nå med å gjøre dem teknisk bindende.

Dette dokumenterer ikke at data er misbrukt. Det dokumenterer heller ikke at amerikanske myndigheter har fri tilgang til norske identitetsdata. Men det dokumenterer at viktige opplysninger om data, kryptering og leverandørtilgang ikke ble formidlet presist da Stortinget ba om svar.

Når en statsråd svarer Stortinget om sikkerheten i sentral digital infrastruktur, skal informasjonen ikke være omtrent riktig. Den skal være riktig.

Først vedtak, så kvalitetssikring

Kunnskapsdepartementet brukte sin myndighet til å pålegge institusjonene å ta i bruk og betale for en bestemt løsning. Pålegget kom etter at en tidligere obligatorisk beslutning var underkjent på grunn av manglende mandat. Samtidig viste Sikts egne dokumenter at bred deltakelse var nødvendig for å få økonomien til å fungere.

Sikkerhetsmessige og geopolitiske spørsmål var kjent. Da Stortinget senere ba om svar, bygget statsrådens svar på opplysninger som måtte korrigeres på sentrale punkter.

Statsråden har nå bedt Sikt om en grundig redegjørelse og kvalitetssikring av beslutningsgrunnlaget. Samtidig har hun gjort det klart at dette ikke innebærer at beslutningen trekkes tilbake.

Det er en problematisk rekkefølge. Når beslutningsgrunnlaget må kvalitetssikres på nytt etter at pålegget er gitt, bør spørsmålet være om gjennomføringen skal stanses mens kontrollen pågår – ikke bare om beslutningen kan forsvares i ettertid.

Slik skal ikke offentlig styring fungere. Først skaffer man et korrekt grunnlag. Deretter vurderer man alternativer, risiko og konsekvenser. Til slutt bruker man myndigheten sin. Man starter ikke med pålegget og kvalitetssikrer seg bakover.

Hvorfor jeg skriver dette

Jeg skriver dette fordi digitalisering ikke bare handler om teknologi. Det handler om makt, penger og tillit. Når staten pålegger en hel sektor å bruke én løsning, må beslutningen kunne følges tilbake til et solid og korrekt grunnlag. Hvis vi slutter å stille spørsmål når prosjektene blir store og kompliserte, har vi samtidig gitt fra oss kontrollen. Derfor bør Stortinget åpne kontrollsak og undersøke hvilke opplysninger departementet faktisk hadde, hvilken betydning økonomimodellen fikk, hvilke alternativer som ble vurdert, og hvorfor Stortinget ikke fikk hele bildet første gang. Når staten sier «dere skal inn», overtar den også ansvaret for å dokumentere hvorfor. I denne saken har staten ennå ikke gjort det.

________________________________________

Kilder

• Sikt: «Rammebetingelser for basistjenester», notat datert 13. mai 2025. Dokumentet er gjennomgått som del av kildearbeidet. • Sikt: Produktråd for Felles IAM – referater og dokumentasjon • Sikt: «Informasjon om tjenesten Felles IAM», 8. september 2026 • Stortinget: Dokument nr. 15:3291 (2025–2026), spørsmål fra Sunniva Holmås Eidsvoll og statsrådens svar. • Stortinget: Dokument nr. 15:3379 (2025–2026), spørsmål fra Hege Bae Nyholt og svar fra Sigrun Aasland • Stortinget: Dokument nr. 15:3677 (2025–2026), spørsmål om CLOUD Act og Felles IAM • Khrono: «Vurderer kontrollsak etter at statsråden feilinformerte om IT-system» – artikkelen som var utgangspunktet for innlegget.