USA ger privata företag grönt ljus att hacka utländska cyberbrottslingar – ny policy förklarad

En historisk förändring av USA:s cybersäkerhetspolitik ägde rum den 12 augusti 2026, då president Trump skrev under ett nationellt säkerhetsdirektiv med titeln "Expanding Capabilities to Combat Transnational Cyber-Enabled Crime" (Utökade förmågor att bekämpa gränsöverskridande cyberbrottslighet) . Direktivet tillåter för första gången granskade privata amerikanska företag att genomföra offensiva cyberoperationer mot utländska kriminella nätverk. Det handlar om en grundläggande omsvängning från tidigare decennier av policy, där privata aktörer strikt nekats rätten att utföra sådana attacker utan domstolsbeslut .

Vad policyn innebär

Direktivet uppdrar åt National Coordination Center (NCC) att skapa och administrera ett program där så kallade "deltagande företag" kan utföra "Cyber Effects Operations" – en term som omfattar aktiviteter som manipulerar, stör, förnekar, försämrar eller förstör informationssystem, nätverk eller data mot utländska kriminella organisationer som riktar sig mot amerikaner . Operationerna kan innefatta både dold övervakning, till exempel med spionprogram för att samla in underrättelser, och störande attacker som syftar till att förstöra brottslingars data eller system . Direktivet separerar även "Cyber Surveillance Operations" som en egen kategori av tillåten aktivitet .

Viktiga krav

Programmet omfattar flera skyddsmekanismer för deltagande företag :

• Deposition på 1 miljon dollar – Deltagande företag måste sätta in 1 miljon dollar på ett deposition, som kan förverkas om regeringen finner att reglerna inte följs .
• Gemensamt godkännande från DOJ/DHS – Varje operation kräver skriftligt godkännande från så kallade "programchefer" som representerar både justitiedepartementet (DOJ) och inrikessäkerhetsdepartementet (DHS) innan någon åtgärd får vidtas .
• Förbud mot att rikta in sig på amerikaner eller system i USA – Direktivet föreskriver rutiner som förhindrar att någon operation riktas mot amerikanska medborgare eller system i USA .
• Tröskel för "kritiska utfall" – Operationer som sannolikt kan leda till förlust av liv eller allvarlig personskada, eller som motsvarar en "maktanvändning" enligt internationell rätt, är förbjudna om de inte godkänns separat .
• Årlig rapportering – Programmets chefer måste rapportera till den nationella säkerhetsrådgivaren och den nationella cyberdirektören inom 180 dagar och därefter årligen .
• Kontraktsinformation – Deltagande företag måste redovisa alla avtalsförhållanden med de målinriktade kriminella organisationerna .

Rättsligt och politiskt skifte

Policyn utgör en historisk kursändring i USA:s cybersäkerhetsarbete. Enligt den amerikanska lagen om datorbedrägeri och missbruk (CFAA) har privata företag, i likhet med alla andra, varit förbjudna att genomföra obehörig åtkomst, hackning eller störande operationer utan domstolsbeslut . USA:s långvariga princip, som upprätthållits under flera administrationer, har varit att den privata sektorn får försvara sig mot inkommande cyberattacker men inte inleda eller driva offensiva attacker .

Detta direktiv sopar undan det förbudet för granskade entreprenörer som agerar under federal övervakning, och skapar i praktiken ett statligt kontrollerat "hacka-tillbaka"-program som delegerar offensiv cyberauktoritet till privata företag . Vita huset uppgav att policyn gör det möjligt för den federala regeringen att "utnyttja den privata sektorns kapacitet och innovation" för att bekämpa cyberbrottslighet och hot mot amerikaner, såsom ransomware-attacker, finansiella bedrägerier och sextortion .

Kritik och farhågor

Kritiker varnar för att policyn sannolikt kommer att möta rättsliga utmaningar och motstånd från dem som anser att privata företag inte bör vara inblandade i statliga hackningsoperationer . Direktivet erkänner självt risken genom att kräva att deltagande företag upprätthåller en betydande finansiell deposition som kan förverkas vid bristande efterlevnad. Programmet ger inte grönt ljus för obegränsade "hacka-tillbaka"-operationer – varje åtgärd måste godkännas av staten – men kritiker påpekar att delegering av offensiva cyberförmågor till privata aktörer skapar nya vägar för potentiellt missbruk och eskalering .