ITS Norway mener: Et SIM-kort fra eller til løser ikke sikkerhetsutfordringen

Av Hanne Nettum Breivik, ITS Norway og Arild Tjomsland, USN og Lion Cage prosjektet
Foto: Ruter

Dette er en lengre versjon av en kronikk publisert i Aftenposten onsdag 02. september 2026. Den kan du lese her.

Spørsmålet som bekymrer, er om busser i Norge vil kunne beholde sin funksjonalitet dersom bussens produsent og leverandører i den digitale verdikjeden den er avhengig av for å fungere, står på motsatt side av Norge i en tilspisset geopolitisk situasjon. Diesel er ikke svaret på disse bekymringene. Moderne kjøretøy er programvarestyrte, uansett om de er el-, bensin-, diesel eller hybrider. Digitale sårbarheter henger ikke sammen med drivstofftype.

Som det påpekes i kronikken den 25.8, stemmer det at busser kjøpt til nå, har tilfredsstilt alle krav fra myndighetene. Kravene ble utformet i en tid der grunnleggende tillit til aktørene i verdikjeden ble tatt for gitt, fordi teknologien var enklere og fordi vi antok at alle satte økonomiske interesser høyest.

Det er tre helt sentrale problemstillinger rundt moderne oppkoblede kjøretøy, uansett hvilke land de produseres i.

For det første ønsker det norske samfunnet mest mulig data hentet ut av kjøretøyet, inkludert sporing, for at operatøren skal kunne gjennomføre predikativt vedlikehold og kollektivselskapet skal kunne lage verdiøkende tilleggstjenester, som apper. Data som samles er typisk posisjon og status på systemer ombord, men kan potensielt også være video, bilder, lyd, Wi‑Fi-nettverk og IMEI-numre. Vi må stole på produsenten når det gjelder hvilke data som samles, hvor de havner og hva de brukes til.

For det andre er det en stor fordel at programvareoppdateringer kan gå direkte til kjøretøyet via internett (Over-The-Air-oppdateringer, OTA) fordi vi ønsker rask utbedring av feil og iterative produktforbedringer uten å ta kjøretøyet ut av drift og inn på verksted. Men OTA-prosessen styres av produsenten, den er kryptert og omfattes av deres IP-rettigheter. Vi har ikke åpent innsyn. Dermed mister vi lokal innsikt i hva kjøretøyet kan og ikke kan, og hva det skal og ikke skal.

For det tredje har moderne biler komplekse førerstøttesystemer (ADAS). Etter hvert kommer dette også på buss, inkludert for eksempel GPS-basert hastighetsbegrensning. Førerstøtte ønskes hjertelig velkommen. Alle vil ha sikrere veier. Men med disse systemene innføres et softwarelag mellom sjåfør og kjøretøy som kun produsenten rår over, og den endelige operasjonelle kontrollen havner utenfor kjøretøyet, og utenfor Norge. Igjen må vi stole på produsenten.

I artikkelen den 27.8 refereres det til Ruters undersøkelser i fjor sommer. Da er det greit å presisere, at på undersøkelsene til Ruter ble ikke muligheten til å ta SIM-kortet ut av bussen demonstrert. Det ble kun foreslått at selve kommunikasjonsmodulen, som inneholder SIM-kort, kunne isoleres/frakobles som et mulig tiltak mot innkommende data. Det er derfor statssekretær Cecilie Kroglund i samme artikkel svarer at det ikke er grunnlag for å si at fjerning av SIM-kort vil være et effektivt tiltak. Dette er noe av det som skal testes i høst. Vi kan si allerede nå, at det ikke er så enkelt.

Digitale komponenter i et moderne oppkoblet kjøretøy kan påvirkes utenfra på en rekke måter, flere av disse er helt uavhengige av SIM-kortet. Wi‑Fi, signaler fra satellitt eller Bluetooth, for å nevne noen. Funksjonaliteten til SIM-kort, altså kommunikasjon via mobildata, kan dessuten utføres av e-SIM på mikrobrikkenivå som kan ligge skjult. Da handler det igjen om hvorvidt vi har tillit til leverandører eller andre aktører i den digitale verdikjeden, og om vi er rigget for etterkontroll.

I artikkelen den 27.8 stilles spørsmålet: hva med kinesiske biler da? De samme spørsmålene om data, programvareoppdateringer og digital kontroll gjelder også der. Bussene vurderes først fordi de inngår i offentlige transporttjenester og har en definert rolle i samfunnets beredskap, blant annet ved evakuering. Men problemstillingen gjelder i økende grad alle samfunnskritiske systemer. Personbiler og andre oppkoblede kjøretøy må også vurderes. Teknologi er blitt sikkerhetspolitikk.