När en cyberattack har orkestrerats av en statlig aktör, människor kan frestas att kalla det "krig". Trots allt, det är ett angrepp på nationell infrastruktur av en främmande makt. Men termen "cyberkrig" har använts så ofta för dramatisk effekt att jag inte bara vill varna för hype. Det är också dags att dämpa förväntningarna på omfattningen av statliga ingripanden.

Definierades under det kalla kriget som skydd mot klassiska militära hot och försvar av nationellt territorium, termen "säkerhet" är nu allmänt uppfattad att innefatta icke-militära dimensioner. Schweiz säkerhetspolitiska rapport 2016, till exempel, listar inte bara väpnade attacker utan även terrorism, brottslighet, manipulering av informationsutrymme, försörjningsstörningar och katastrofer och nödsituationer som hot. Detta har lett till att säkerhetspolitiska instrument anpassats för att förebygga, försvara och hantera dessa hot. Och även om militären fortfarande är viktig här, det är inte längre det enda instrumentet.

En fråga för militären?

Om cyberattacker verkligen var en form av "krig", då skulle det i första hand vara upp till militären att hantera denna fara. Men antagandet speglar varken hotets sanna natur, inte heller militärens juridiska och operativa kapacitet som ett säkerhetspolitiskt instrument för att motverka det.

De allra flesta cyberattacker är kriminella till sin natur, och rikta in sig på privata nätverk och företagstillgångar. Statliga organ har ingen tillgång till dessa nätverk. De få attacker mot statliga eller regeringsrelaterade nätverk de senaste åren – t.ex. RUAG-incidenten 2016 i Schweiz – var spionage. De lämnar oss med en obehaglig känsla och oro över nationell säkerhet, men utländsk underrättelseverksamhet är vardag. Vi är därför långt ifrån i krig. Och även om vi vet att både statliga och icke-statliga aktörer i allt större utsträckning använder cybermedia för att uppnå strategiska mål, alla dessa incidenter har hittills avsevärt – och utan tvekan medvetet – saknat krigföring.

Om inte militären, vilken statlig institution bör då ansvara för cybersäkerhetspolitiken? Det är en fråga som många länder diskuterar för närvarande - inklusive Schweiz. Eftersom politiskt motiverade incidenter ökar, cybersäkerhet har erkänts som ett nationellt säkerhetsproblem åtminstone sedan 2010 och har integrerats i de större säkerhetspolitiska ramarna. Att problemet är för stort för att lösas med enbart tekniska och operativa åtgärder har också erkänts. Som ett resultat, Det finns nu en trend mot centralisering:tidigare olika cybersäkerhetskompetenser grupperas samman och stärks politiskt under (civilt) ledarskap genom att tilldela dem till specifikt ansvariga enheter, ibland på högsta statliga nivå.

Som med andra nutida faror, den roll som staten vill (och kan) spela på detta område är anmärkningsvärt liten. Alla kända cybersäkerhetspolicyer bygger huvudsakligen på att företag och medborgare tar personligt ansvar:det är en fråga om självförsvar. Detta innebär att staten bör ingripa endast när allmänna intressen står på spel eller, specifikt i Schweiz, när den agerar i enlighet med subsidiaritetsprincipen. Försvarsmakten ansvarar i första hand för att skydda sina egna system. För detta ändamål, utvecklingen av offensiv och defensiv operativ kapacitet drivs framåt inom den befintliga rättsliga ramen.

Och det är bra.

Cybersäkerhet är en säkerhetspolitisk fråga – men alla måste ta sig samman i en nationell satsning. Säkerheten kan bara stärkas om företag, universitet och olika myndigheter samarbetar och om vi samarbetar konstruktivt med andra länder. Diskursiv militarisering – rotad i konstruktioner av den nationella fienden och antaganden om vår nationalstat och dess resurser – skapar bara oro och väcker falska förväntningar.