Av kapten Daniel Sävland, IB 1, med B.Sc in International Law.
Under en pågående operation någonstans på Nordkalotten försöker en brigad fastställa fiendens utbredning, gruppering och verksamhet. Brigadchefen får en lägesuppdatering av underrättelsefunktionen. Digitala avtryck har identifierat fientlig aktivitet som kan knytas till en digital tjänst som stödjer fiendens militära verksamhet. Trafikmönster, tekniska indikatorer och samband mellan ledningsplatser ger stöd för bedömningen: man har hittat fienden!
Den digitala tjänsten sammanställer information från sensorer och levererar beslutsunderlag till fiendens militära ledning och bekämpningskedja. Brigaden har nu identifierat en möjlig sårbarhet att exploatera. Men när staben försöker gå från underrättelser till målval uppstår ett problem. Tjänsten drivs genom ett kommersiellt moln, där beräkningarna kan flyttas mellan fysiska servrar och där samma infrastruktur bär civila tjänster. Vad är det då brigaden faktiskt har hittat? Är målet en server? Flera servrar? Eller hela datacentret? Vad får brigaden faktiskt bekämpa och varför?
Där stannar vi scenariot.
Lagar och laglöshet
Om detta scenario är applicerbart på Ryssland låter författaren vara osagt. Vad händer om vi vänder på perspektivet och tittar in mot oss själva istället? Då börjar något mer obekvämt skava. Inom en mycket snar framtid kan NATO:s och Försvarsmaktens fältförband marschera rakt in denna ”skavsårsverklighet” av målproblematik.
NATO och Sverige konstaterar frekvent att Ryssland kränker internationell rätt och krigets lagar. Hur slåss vi mot en fiende som verkar spela efter andra regler? Rättfärdigar den ryska laglösheten att vi bryter mot samma regler? Hur blir vi farligare för en laglös fiende och samtidigt upprätthåller den regelbaserade världsordningen? Försvarsmakten måste bli mycket bättre på att använda krigets lagar emot sig själv i syfte att spela på sina egna planer, hitta luckor i planerna och sedan hantera det genom omedelbara åtgärder och beslutsstödplaner.
Det räcker inte att teoretiskt avgränsa bort ”jobbiga målvalsproblem” och sedan kalla dom för civila objekt. Till exempel finns det många privata företag som är mycket specialiserade på tillverkning av försvarsmateriel till försvarsindustrin (såsom Saab AB, Saab Dynamics AB, BAE Systems Bofors AB, NAMMO Sweden AB, EURENCO Bofors AB, Saab Kockums AB). Vad händer med målvalsproblematiken när försvarslogistiken integreras digitalt in i försvarsindustrin utan tydliga gränser? Varför ska man bjuda fienden på en kritisk sårbarhet när sårbarheten redan från början var identifierad genom teoretisk deduktion?
Den operativa juridikens möjligheter
När vi skaffar oss djupare kunskap om internationell rätt och krigets lagar kan officeren på allvar börja förstå vilka mandat professionen faktiskt har. Inte bara enligt svensk lag!
Den här artikeln syftar till att introducera ett nytt slags resonemang på Militär Debatt: Nämligen operativ juridik som ett analysverktyg. Operativ juridik är inte enbart en begränsning som kontrolleras i slutet av planeringsprocessen när målvalen blivit konkreta.
Detta handlar inte bara om att godkänna chefer och elever på skolor. Det handlar också om hur vi gör vår operations- och krigsplanering farligare för fienden här och nu.
Allt för ofta blir den konkreta tillämpningen av operativ juridik en del som ”dammas av” som ett stressat insprängt scenario under en fältövning i syfte att kunna sätta ”check i rutan” och senare kunna säga att momentet genomförts.
Detta handlar inte bara om att godkänna chefer och elever på skolor. Det handlar också om hur vi gör vår operations- och krigsplanering farligare för fienden här och nu.
Digitala militära mål
Digital molnarkitektur är på kort sikt kostnadseffektiv och rationell. NATO går uttryckligen mot digitala plattformar, hybridmoln och edge computing. Alltså en digital ryggrad som ska koppla samman sensorer och beslutsfattare för bättre militär effekt. Strategin Software Defence beskriver helt enkelt hur NATO går mot att på sikt frikoppla beroendet av hårdvara och möjliggöra digitala tjänster (NATO, 2026a, punkterna 5,11–12; NATO, 2026b, punkterna 23–24). Detta låter mycket lovande. Dock uppstår ett internationellt rättsligt problem: Vilken server får jag då bekämpa och varför?
Sensorn? Kommunikationsnoden? Servern som just nu utför beräkningen? Hela serverhallen? Datacentret? Logistikkedjan som försörjer datacentret?
Internationell humanitär rätt (Folkrätt) behöver ett objekt
Distinktionsprincipen kräver att parterna skiljer mellan civila objekt och militära mål. Genevekonventionens Tilläggsprotokoll I, artikel 52(2) innehåller ett tvådelat test (AP I, 1977, art. 52(2)).
- Objektet ska genom natur, belägenhet, ändamål eller användning effektivt bidra till militär verksamhet.
- Dess totala eller partiella förstöring, erövring eller neutralisering ska under rådande omständigheter erbjuda en bestämd militär fördel.
Detta innebär två saker som är enkla att säga men svårare att tillämpa i ett molnsystem. För det första måste vi identifiera vilket objekt som faktiskt prövas. För det andra måste den militära fördelen knytas till neutraliseringen av just det objektet under dom rådande omständigheter som råder vid tidpunkten. Ägandet avgör inte saken. En kommersiellt ägd server är inte immun därför att den är civilägd. Men militär användning av en tjänst innebär inte heller automatiskt att hela den civila infrastrukturen blir ett militärt mål.
ICRC (Internationella Röda Korset) uttryckte i år 2026 problemet mycket konkret: Datacenter som enbart används civilt är civila objekt. Medan specifika servar eller datacenter exempelvis kan lagra militära underrättelsedata, ge beräkningskapacitet åt militära AI-modeller eller hysa militära beslutsstödsystem. Om systemen därigenom blir militära mål kräver ICRC en bedömning från fall till fall (ICRC, 2026, avsnittet ”What is the status of protection of data centres during armed conflict?”).
Detaljnivån är juridik
På vilken nivå ska objektet identifieras? Anta att en militär applikation använder datamängd i ett kommersiellt datacenter med tusentals civila tjänster. Den militära funktionen använder fysisk serverkapacitet, nätverksutrustning, kylning, elförsörjning och lagring tillsammans med civila funktioner. På senare tid har ”Dual-use” (AP I art 52(2), ICRC Commentary of 1987 (2023)) som begrepp inom försvarskretsar och det militärindustriella komplexet börjat förekomma mer frekvent som ett sätt att sälja in kostnadseffektivitet. Begreppet är enligt författaren inte lösningen som avslutar ett militärt digitalt problem. ”Dual-use” är början på analysen.
Är målobjektet den fysiska server som för tillfället gör beräkningen? Ett kluster? En nätverksnod? Eller hela datacentret? Artikel 52(2) ger inget särskilt ”molntest”. Testet måste fortfarande appliceras på det objekt som angriparen avser bekämpa. Ju mer omfattande objektet definieras, desto större är risken att civil infrastruktur behandlas som en enda militär enhet. Ju snävare objektet definieras, desto svårare kan det samtidigt bli att uppnå den militära effekt som eftersträvas. Därför är detaljnivån inte bara en teknisk fråga. Den påverkar vad som överhuvudtaget prövas mot definitionen av militärt mål.
När funktionen flyttar men objektet står kvar
Molnstrukturen skapar nästa problem. NATO:s digitala strategi beskriver, som tidigare nämnt, att funktionalitet frikopplas från hårdvara för att möjliggöra digitala molntjänster. Anta att den militära funktionen migrerar automatiskt från server A till server B när A slås ut. Server A är fortfarande ett fysiskt objekt. Med vad innebär det för den andra delen av artikel 52(2)? Argument om redundans enligt artikeln är irrelevant. Frågan är vilken bestämd militär fördel som neutraliseringen av just server A erbjuder under dom omständigheter som råder vid tidpunkten.
Om den militära funktionen fortsätter utan relevant avbrott i den digitala infrastrukturen blir kunskap om systemarkitekturen en del av den faktiska grund på vilken målvalsprövningen görs. Det fysiska målet kan alltså vara stabilt samtidigt som det funktionella målet förändras på sekunder. Det är här modern digital infrastruktur börjar utmana vår mänskliga intuition om vad ett mål är. Radarn står där den står. Ammunitionsförrådet flyttar inte sitt innehåll automatiskt till en annan byggnad när den första träffas. En mjukvarudefinierad militär funktion kan göra just detta.
Tre rättsfrågor – inte en
Det är viktigt att inte slentrianmässigt blanda ihop tre olika typer av rättsfrågor. Den första är om det fysiska objektet är ett militärt mål enligt artikel 52(2). Den andra är om en cyberoperation mot den digitala infrastrukturen utgör en ”attack” i internationell rättslig mening. Den tredje är vilka civila skadeverkningar som ska beaktas i proportionalitets- och försiktighetsprincipen när en attack genomförs. Den andra frågan är omdiskuterad. ICRC intar ståndpunkten att en operation som är utformad för att göra en dator eller ett nätverk obrukbart utgör en attack även utan fysisk skada. Storbritannien har offentligt formulerat sin position snävare:
”En cyberoperation kan utgöra en attack när den har samma eller liknande effekter som kinetisk verksamhet som skulle utgöra en attack” – (författarens egen översättning) (ICRC, 2019, avsnitt v samt United Kingdom, 2021, punkterna 22–24).
Detta är ett bra exempel på varför juridisk precision behövs. Att ”Cyber är internationell rätt” räcker inte. Vilken regel som är aktuell beror bland annat på operationens karaktär och formulerad önskad effekt. (ICRC, 2019, IHL And Cyber Operation during Armed Conflicts; Tallin Manual 2.0, 2017, On the International Law Applicable to Cyber Operation).
Den civila sidan av samma infrastruktur
Även när ett objekt kvalificerar sig som militärt mål är analysen inte färdig. Proportionalitets- och försiktighetsprinciperna kvarstår (AP I, 1977, art. 51(5)(b) och 57). I ett datacenter kan den relevanta civila skadebilden vara svår att läsa från en karta.
Civila tjänster och militär funktion kan som sagt dela infrastruktur tillsammans. ICRC:s aktuella datacenteranalys pekar på både förutsebar direkt och indirekt civil skada, inklusive påverkan på befolkningen som är beroende av datacentret för essentiella tjänster (ICRC, 2026, ibid).
Det innebär inte att varje ekonomisk eller samhällelig följd automatiskt ska räknas in i proportionalitetsbedömnigen, även när rättsläget och den konkreta kausaliteten analyseras noggrant. Men det innebär att den operativa juridiken behöver förstå mycket mer än byggnadens geografiska plats.
Molnarkitekturen blir relevant därför att den utgör grundfakta som gällande internationell rätt tillämpas på, inte som många påstår; att ny internationell rätt skapas. Det är så delar av den regelbaserade världsordningen ser ut.
Vad händer med civilsamhällets mål- och riskbild när civil infrastruktur blir bärare av militär förmåga?
När framtiden designas
Författaren argumenterar för att det digitala militära målet skapas långt tidigare, det vill säga när vi väljer systemarkitektur, tänk NATO:s digitala utveckling. Detta kan snabbt ge hög militär effekt och ”upplevd” resiliens. Teknisk arkitektur är inte neutral enligt internationell rätt. Det betyder inte att juridiken ska diktera nätverksdesign. Men operativa juridiska konsekvenser är en del av designfrågan. En arkitektur som gör militär funktion identifierbar, separerbar och resilient kan skapa andra målvals- och skyddsförutsättningar än en arkitektur där samma funktion är djupt sammanvävd med civila tjänster.
Den frågan leder vidare till ett större problem för totalförsvaret: Vad händer med civilsamhällets mål- och riskbild när civil infrastruktur blir bärare av militär förmåga?
Vilken server får jag bekämpa?
Det finns inget generellt svar. Det är också poängen. Servern är inte ett militärt mål därför att Försvarsmakten använder en civil molnleverantör. Datacentret är inte civilt objekt därför att ett privatföretag äger det. ”Dual-use” avgör ingenting i sig. Den operativa juridiska analysen måste ner på den nivå där det går att identifiera objektet, dessa faktiska bidrag till militär verksamhet, den militära fördelen av dess neutralisering och dom civila konsekvenser som den planerade attacken kan medföra.
I den analoga världen kan målvalet ofta pekas ut på en karta. I molnkriget kan den militära funktionen flytta servrar medan kartan ligger still. Allt detta ovan hjälper inte den stackars brigadchefen som här och nu måste fatta ett beslut om kinetisk och/eller digital verkanseld. Den verkligt obekväma frågan är därför inte bara vilken server jag får bekämpa.
Det är frågan om vi idag bygger våra militära digitala system så att den militära funktionen överhuvudtaget inte går att skilja från den civila funktionen om kriget kommer, och i förlängningen om vi bidrar själva till att försvåra och att upprätthålla den rättsliga världsordningen vi önskar försvara?
Referenser
Additional Protocol I (1977). Protocol Additional to the Geneva Conventions of 12 August 1949, and relating to the Protection of Victims of International Armed Conflicts, 8 June 1977, art. 51(5)(b), 52(2), 57. https://ihl-databases.icrc.org/en/ihl-treaties/api-1977, hämtad 2026-10-09
ICRC (2019), International Humanitarian Law And Cyber Operations during Armed Conflicts. Position paper, November 2019, avsnitt IV-V och not 19,24. https://www.icrc.org/sites/default/files/document/file_list/icrc_ihl-and-cyber-operations-during-armed-conflicts.pdf, hämtad 2026-10-09
ICRC (2026), Frequently Asked Questions: IHL and the escalating conflict in the Middle East, avsnitt “What is the status and protection of data centres during armed conflict?”. https://www.icrc.org/en/article/faq-ihl-and-escalating-conflict-middle-east, hämtad 2026-10-09
ICRC Commentary of 1987 (2023), https://ihl-databases.icrc.org/en/ihl-treaties/api-1977/article-52/commentary/1987?activeTab=1949GCs-APs, hämtad 2026-10-15.
NATO (2026a), Alliance Digital Strategy, 13 January 2026, punkterna 5,11-12,17-20. https://www.nato.int/en/about-us/official-texts-and-resources/official-texts/2026/01/13/alliance-digital-strategy, hämtad 2026-10-09
NATO (2026b), NATO´s Digital Transformation Implementation Strategy 2.0, 26 May 2026, punkterna 23-24. https://www.nato.int/en/about-us/official-texts-and-resources/official-texts/2026/05/26/natos-digital-transformation-implementation-strategy, hämtad 2026-10-09
United Kingdom (2021), Application of international law to state´s conduct in cyberspace: UK statement, 3 June 2021, punkterna 22-25. https://www.gov.uk/government/publications/application-of-international-law-to-states-conduct-in-cyberspace-uk-statement/application-of-international-law-to-states-conduct-in-cyberspace-uk-statement, hämtad 2026-10-09
Tallin Manual 2.0; On the International Law Applicable to Cyber Operation, Cambridge University Press, 2017.
SAAB AB, SAAB Dynamics AB, SAAB Kockums AB, https://www.saab.com/, hämtad 2026-10-15.
BAE Systems Hägglunds AB, BAE Systems Bofors AB, https://www.baesystems.com/en-us/who-we-are/platforms-and-services/locations/sweden, hämtad 2026-10-15.
NAMMO Sweden AB, https://www.nammo.com/, hämtad 2026-10-15.
EURENCO Bofors AB, https://eurenco.com/sv/om-oss/, hämtad 2026-10-15.
Författarens kommentar
Definitionen av cyberattack och data som objekt är omstridd! Det råder ingen formell samsyn av statspraxis, alltså sedvanerätt. USA, Kina och Ryssland har varit tydliga genom att hävda att nationell säkerhet går före än en global samsyn på offensiv cyber- och AI-förmåga. ICRC:s position är en bland många, men särskilt relevant för små och medelstora stater.
