Under en militærøvelse i Norge oppdaget soldater at leiebilene deres hadde lagret video av personell, kjøremønstre og adgangskoder til militære områder. Minst to av bilene var fra kinesiske Changan. Nå bekrefter forsvarsministeren at det ikke ble gjennomført noen særskilt risikovurdering av bilene før øvelsen. Hendelsen reiser spørsmål om hvor mye informasjon moderne, oppkoblede biler samler inn – og hvem som kan få tilgang til den.
Det begynte med en oppdagelse på skjermen i en leiebil. Under Heimevernets øvelse Hovedstad i september 2026 fant soldater videofiler som viste langt mer enn vanlige trafikksituasjoner. Opptakene avslørte hvem som hadde brukt bilene, hvor de hadde kjørt, hvem de hadde hentet og hvor lenge de hadde oppholdt seg på forskjellige steder.
Enda mer alvorlig var det at kameraene også hadde fanget opp sikkerhetskoder som ble tastet inn ved militære porter og dører.
Opplysningene kom frem i en undersøkelse publisert av Dagens Næringsliv 8. oktober. Avisen snakket blant annet med løytnant Fredrik Blanck, som deltok i øvelsen, og to andre kilder med kjennskap til hendelsen.
Øvelsen fant sted 14.–18. september og omfattet blant annet sikring av Oslo lufthavn i en tenkt krisesituasjon. Oppgavene inngikk i Heimevernets trening på å beskytte viktige samfunnsfunksjoner og strategisk infrastruktur.
Bilene ble brukt videre etter oppdagelsen
Det oppsiktsvekkende er ikke bare at opptakene eksisterte. Ifølge Dagens Næringsliv fortsatte soldatene å bruke leiebilene etter at videofilene var oppdaget. Årsaken var mangel på tilgjengelige alternativer under øvelsen.
Først etter øvelsen ble de lagrede opptakene slettet fra bilene. Det var imidlertid uklart om materialet også kunne ha blitt lagret andre steder.
Forsvaret har senere bekreftet selve oppdagelsen. Oberstløytnant Per Gunnar Grosberghaugen i Heimevernet opplyste til nyhetsbyrået AFP at soldatene fant videoer fra kjøretøyenes sensorer lagret i bilsystemene. Han kunne ikke utelukke at opptakene også var blitt delt med andre.
Det er et viktig skille: At bilene lagret sensitiv informasjon, er bekreftet. At informasjonen ble sendt til Kina eller brukt til spionasje, er ikke dokumentert. Så langt er det heller ikke offentliggjort tekniske undersøkelser som avklarer om de aktuelle videofilene forlot kjøretøyene.
Deepal fra Changan – men utleieselskapet er knyttet til Geely
Minst to av bilene som ble brukt under øvelsen, var ifølge DN av merket Deepal. Dette er et elbilmerke fra den kinesiske produsenten Changan, som også selger elektriske SUV-er på det norske markedet.
Bilene ble levert gjennom Hertz Norge. Den norske virksomheten drives av First Rent A Car Norway, som gjennom sin eierstruktur er knyttet til kinesiske Zhejiang Geely Holding Group.
Her er det nødvendig å skille mellom to forskjellige selskaper. Changan står bak bilmerket Deepal, mens Geely er knyttet til eierskapet i det norske utleieselskapet. Det betyr ikke at Geely produserer de aktuelle bilene, eller at eierskapet i Hertz Norge i seg selv dokumenterer noen tilgang til dataene som ble registrert.
Forbindelsen mellom Forsvaret og Geely var allerede blitt undersøkt av Dagens Næringsliv i september, flere uker før avsløringen om videofilene.
Forsvarets logistikkorganisasjon inngikk i 2024 en landsdekkende rammeavtale for leiebiler, med Hertz Norge som førsteleverandør. Avtalen løper fra juni 2024 til mai 2028 og har en maksimal verdi på 350 millioner kroner. Beløpet er en kontraktsramme, ikke nødvendigvis det Forsvaret faktisk kommer til å bruke.
Leiebilene benyttes ikke bare til ordinær transport, men også under øvelser og operativ virksomhet. Dermed får spørsmål om datainnsamling en helt annen betydning enn når de samme bilene brukes av privatpersoner.
Risikoen ble vurdert i 2024 – men ikke for denne øvelsen
Saken fikk raskt en politisk dimensjon. Forsvarsminister Tore Onshuus Sandvik måtte svare på flere skriftlige spørsmål fra Stortinget om kontrakten, bilene og mulige sikkerhetsbrudd.
Allerede 28. september, før DN offentliggjorde videoavsløringen, opplyste ministeren at leiebilavtalen fra 2024 var inngått etter en risikovurdering utarbeidet i samarbeid mellom Forsvarsmateriell og Forsvarets sikkerhetsavdeling.
Ifølge ministerens skriftlige svar var det kinesiske eierskapet kjent da avtalen ble inngått. Man vurderte imidlertid at eierskapet ikke påvirket bruken av kjøretøyene, og det ble derfor ikke stilt særskilte krav til eierskap i kontrakten.
Avtalen inneholdt derimot krav til behandling av informasjon. Formålet var å hindre at uvedkommende fikk tilgang til opplysninger som, enkeltvis eller samlet, kunne være sikkerhetssensitive.
Men etter avsløringen om opptakene kom en vesentlig tilleggsopplysning.
I et nytt svar til Høyre-representant Mahmoud Farahmand 16. oktober bekreftet forsvarsministeren at det ikke var gjennomført noen konkret risikovurdering av bruken av kinesiske leiebiler i forbindelse med øvelse Hovedstad.
Det betyr ikke at øvelsen ble gjennomført uten sikkerhetsforberedelser. Forsvaret hadde utarbeidet og distribuert en trusselvurdering, som også omhandlet digitale trusler og behovet for å begrense digitale spor. Den eksisterende grunnsikringen ble imidlertid ansett som tilstrekkelig, uten noen egen vurdering av de aktuelle leiebilene.
Forsvarsministeren bekreftet dessuten at soldatene selv oppdaget opptakene og varslet om forholdet. Tiltak ble iverksatt, filene ble slettet, og utleieselskapet ble kontaktet med forespørsel om en fullstendig oversikt over bilder fra øvelsen.
Dermed oppstår et sentralt spørsmål: Hvor godt fungerer en generell sikkerhetsvurdering når den ikke fanger opp opptaksfunksjonene i bilene som faktisk tas i bruk?
Hertz avviser at kundedata deles uten rettslig grunnlag
Hertz Norge har på sin side understreket at selskapet følger norske og europeiske regler for behandling av personopplysninger.
I en oppfølgende undersøkelse fra AFP 17. oktober uttalte selskapets markeds- og kommunikasjonssjef Hallvard Nerbovik at personopplysninger knyttet til leieforhold ikke deles med bilprodusenter, eiere eller andre tredjeparter uten et uttrykkelig rettslig grunnlag.
Uttalelsen gir likevel ikke noe endelig svar på det tekniske spørsmålet om de konkrete videoopptakene kan ha blitt overført fra bilene til eksterne systemer. AFP fikk heller ikke svar fra Changan på sine spørsmål.
For å avklare dette må man kjenne funksjonene i bilens programvare og hvordan akkurat disse kjøretøyene var konfigurert. Det er forskjell på opptak som bare lagres lokalt, data som synkroniseres med en tilknyttet tjeneste, og informasjon som faktisk er tilgjengelig for en ekstern aktør.
Et kamera i en moderne bil kan være der for å hjelpe føreren under parkering, dokumentere hendelser i trafikken eller overvåke omgivelsene når bilen står stille. Slike funksjoner behøver ikke å være konstruert for overvåking. Men de kan likevel registrere informasjon brukeren aldri hadde til hensikt å lagre.
I dette tilfellet er det ikke offentlig dokumentert hvilken konkret opptaksfunksjon som var aktivert, hvor lenge materialet ble bevart, eller om lagringen kunne ha vært deaktivert før øvelsen. Det begrenser også hvilke konklusjoner man kan trekke om produsentens ansvar.
Forsvaret vil ikke innføre et generelt Kina-forbud
Avsløringen førte til krav om strengere tiltak. MDG-representant Lars Lønberg Henriksen ba regjeringen vurdere å stanse bruken av biler med kinesiske forbindelser inntil risikoen for deling av sensitiv informasjon med utenlandske myndigheter var avklart.
Forsvarsministeren avviste imidlertid behovet for et generelt forbud.
I sitt svar til Stortinget 20. oktober pekte Sandvik på at risikoen ved datainnsamling gjennom sensorer gjelder moderne kjøretøy generelt, uavhengig av hvilket land produsenten kommer fra.
Forsvaret har allerede begrensninger på elektronisk utstyr ved enkelte anlegg. Flere avdelinger har også bestemt at private biler skal parkeres utenfor militære områder. Ministeren åpner for at tilsvarende restriksjoner kan gjelde biler med kameraer og sensorer, avhengig av lokale sikkerhetsbehov.
Regjeringens linje er dermed å vurdere risikoen ved teknologi og bruksområde, fremfor å forby alle biler med en bestemt nasjonal opprinnelse.
Det løser imidlertid ikke det praktiske dilemmaet som kom frem under septemberøvelsen: Når kjøretøy allerede er tatt i bruk og det finnes få alternativer, kan det være vanskelig å erstatte dem umiddelbart, selv om man oppdager uønsket datainnsamling.
Norge har allerede avdekket digitale svakheter i kinesiske elbusser
Hendelsen med leiebilene er ikke første gang norsk transportsektor oppdager sikkerhetsutfordringer i oppkoblede kjøretøy.
I oktober 2025 offentliggjorde Ruter resultatene av en omfattende sikkerhetstest av to elektriske busser, en kinesisk Yutong og en nederlandsk VDL. Testen ble gjennomført i et isolert miljø inne i et fjellanlegg ved Sandvika.
Undersøkelsen avdekket at Yutong-bussen kunne motta programvareoppdateringer og diagnostikk via mobilnettet. Dermed hadde produsenten teknisk tilgang til deler av kjøretøyets styringssystemer. Ifølge Ruter kunne denne tilgangen i teorien brukes til å gjøre bussen ubrukelig.
Samtidig presiserte Ruter at undersøkelsen ikke hadde avdekket overføring av video fra bussenes kameraer. Kameraene i den aktuelle testen var ikke koblet til internett. Dette var derfor en annen type sårbarhet enn den som nå diskuteres i forbindelse med Forsvarets leiebiler.
Etter testen innførte Ruter tiltak for å kunne kontrollere og forsinke eksterne oppdateringssignaler. Selskapet har også varslet strengere krav til digital sikkerhet i nye anskaffelser og ytterligere testing av kjøretøy i 2026. Resultatene er beskrevet i Ruters egen gjennomgang av sikkerhetstesten.
De to sakene illustrerer forskjellige utfordringer. Hos Ruter handlet det om muligheten for ekstern påvirkning av kjøretøyets funksjoner. Under Heimevernets øvelse var problemet at bilene lagret informasjon om mennesker og aktiviteter på steder hvor slik informasjon kunne være sensitiv.
En bil kan samle inn langt mer enn føreren er klar over
For vanlige norske bilkjøpere har saken også en side som strekker seg utover militær sikkerhet.
Dagens biler er utstyrt med stadig flere kameraer, sensorer, mikrofoner og digitale tjenester. Navigasjonssystemer kan registrere posisjoner og ruter, mens tilkoblede tjenester kan behandle informasjon om kjøretøyets tilstand og bruk. Hvor mye som faktisk lagres, og hvor informasjonen eventuelt sendes, varierer mellom produsenter, modeller og innstillinger.
For en privatbilist kan slike opplysninger avsløre hvor man bor, hvor man arbeider og hvilke steder man besøker regelmessig. For en militær avdeling kan de samme typene opplysninger gi innsikt i personell, transportmønstre og aktiviteten rundt beskyttede anlegg.
At funksjonene er nyttige, gjør ikke spørsmålene om datalagring mindre relevante. Førerstøtte, automatiske oppdateringer og kameraovervåking kan gjøre bilene både tryggere og enklere å bruke. Men brukeren trenger også å vite hvilke data som samles inn, hvor de lagres, hvem som har tilgang og hvordan opptak kan slettes.
Dette gjelder ikke bare kinesiske biler. Forsvarsministerens påpekning om at tilsvarende risiko finnes hos andre produsenter, er teknisk relevant. Det betyr likevel ikke at alle bilmerker har identiske løsninger, eller at forskjeller i databehandling og tilgangskontroll er uten betydning.
Spørsmålet er ikke bare hvem som bygger bilen
Avsløringen fra september viser hvor vanskelig grensen mellom et transportmiddel og et informasjonssystem har blitt. Bilene gjorde jobben de var leid inn for å utføre, men registrerte samtidig opplysninger soldatene ikke var klar over at de etterlot seg.
Forsvaret hadde vurdert sikkerhetsrisikoen da leiebilavtalen ble inngått i 2024. Likevel oppdaget personellet selv at det fantes videoopptak fra øvelsen, uten at bruken av de aktuelle kinesiske bilene hadde vært gjenstand for en særskilt vurdering på forhånd.
Det er fortsatt ubesvart om opptakene noen gang forlot bilene. Ingenting som hittil er offentlig dokumentert, viser at kinesiske myndigheter eller produsenten mottok materialet.
Men selve hendelsen er alvorlig nok uten en slik konklusjon. Den viser at moderne bilers digitale funksjoner kan komme i konflikt med sikkerhetsbehovene til dem som bruker dem – også når bilene er anskaffet gjennom en ordinær kontrakt med etablerte leverandører.
For Forsvaret blir utfordringen å sikre at det ikke bare er bilens pris, kapasitet og tilgjengelighet som vurderes før neste øvelse. Også det bilen kan registrere, lagre og eventuelt dele, må være kjent før nøkkelen tas i bruk.
