3.2.1 Helseforetakene mangler eller har mangelfulle risiko- og sårbarhetsanalyser og beredskapsplaner for IKT, vann og strøm

Formålet med risiko- og sårbarhetsanalyser (ROS-analyser) er å identifisere scenario, ulike hendelsesforløp eller kriser som virksomheten må være forberedt på å håndtere. Med bakgrunn i kartlagte risiko og sårbarhet skal virksomheten vurdere og iverksette forebyggende og beredskapsmessige tiltak for å styrke robusthet i kritisk infrastruktur.

De regionale helseforetakene har utarbeidet regionale beredskapsplaner der IKT, vann og strøm er omtalt på overordnet nivå. Helseforetakene har i varierende grad utarbeidet ROS-analyser og beredskapsplaner for IKT, vann og strøm for egen virksomhet. Ni av de 19 undersøkte helseforetakene mangler ROS-analyser for én eller flere av innsatsfaktorene. 13 helseforetak mangler én eller flere beredskapsplaner.

Omfanget og kvaliteten på de utarbeidede ROS-analysene og beredskapsplanene varierer både mellom helseforetakene og innad i de enkelte helseforetakene. Mens enkelte helseforetak har detaljerte beskrivelser av mulige risikoforhold for vann og strøm, og sannsynlighet og konsekvens ved hendelser, har andre helseforetak lite konkrete risikobeskrivelser. I enkelte tilfeller inneholder beskrivelsen kun en risiko, f.eks. bortfall av vann, uten å gi nærmere beskrivelse av mulige årsaker til og konsekvenser av bortfallet. Det er ikke utarbeidet felles maler for ROS-analyser og beredskapsplaner i regionene, og i liten grad også innad i det enkelte helseforetaket.

For å forebygge og redusere konsekvenser av alvorlige hendelser i kritisk infrastruktur er det viktig å ha tilstrekkelige reserveløsninger. Mange helseforetak har kun ett vanninntak, og som hovedregel fra én vannkilde. Helseforetakene og de regionale helseforetakene opplyser at gamle helsebygg gir utfordringer for beredskapen, men dette kommer ikke tydelig fram i risikovurderingene. Videre inneholder svært få av ROS-analysene vurderinger av mulige alvorlige hendelser, og helseforetakene synes ikke å planlegge for det uventede. Etter Riksrevisjonens vurdering vil manglende og mangelfulle risiko- og sårbarhetsanalyser og beredskapsanalyser svekke helseforetakenes evne til å håndtere uforutsette hendelser.

Når det gjelder vannforsyning, viser departementet til at dette er et område hvor helseforetakene også er avhengige av aktører i kommunal sektor. Departementet understreker at helseforetakene i fremtiden vil arbeide for å ha gode helhetlige beredskapsplaner i samarbeid med relevante aktører, og viser til at kravene til beredskap for kritisk infrastrukturer er gjentatt i foretaksprotokollene for 2014.

3.2.2 Helseforetakene gjennomfører få øvelser på innsatsfaktorene vann, strøm og IKT

Lov om helsemessig og sosial beredskap stiller krav til øving og opplæring av personell i beredskapsarbeidet. Undersøkelsen viser at det gjennomføres få øvelser. Det er ikke registrert øvelser lokalt i helseforetakene hvor svikt i vannforsyningen inngår, og øvelser om strømforsyningen begrenser seg i all hovedsak til test av nødstrømsaggregatet. Det er gjennomført enkelte større regionale og nasjonale øvelser hvor IKT, vann og strøm er elementer i øvelsene, og de regionale IKT-enhetene utfører øvelser innen IKT-området. Riksrevisjonen har merket seg at der det har vært hendelser med IKT, strøm og vann, har disse blitt taklet tilfredsstillende av helseforetakene. Riksrevisjonen mener likevel at omfanget av faktiske hendelser, og de alvorlige konsekvenser disse hendelsene kan få for pasientbehandlingen, gjør det nødvendig å øve personalet og organisasjonene i beredskapsarbeid.

3.2.3 Ledelsen i helseforetakene følger i liten grad opp beredskapsarbeidet

Internkontrollforskriften og ISO27001 stiller krav om ledelsens oppfølging av og ansvaret for arbeidet med beredskap og informasjonssikkerhet. Undersøkelsen viser at styrene i kun to helseforetak har behandlet ROS-analyser, mens styrene i fire helseforetak har behandlet beredskapsplaner. Beredskapsarbeid for IKT, strøm og vann synes ikke å være et tema for ledelsen i helseforetakene.

Helseforetakene overlater mye av beredskapsarbeidet for IKT til de regionale IKT-enhetene som er deres driftsleverandør/databehandler. Riksrevisjonen mener at helseforetakene ikke har vært seg bevisst det ansvaret som påligger dem som eier av dataene og som databehandleransvarlig. Dette kan etter Riksrevisjonens vurdering medføre risiko for uklare ansvarsforhold, mangler i beredskapen og svekket informasjonssikkerhet.

3.2.4 Helse- og omsorgsdepartementet og de regionale helseforetakene har lagt til rette for beredskapsarbeidet, men oppfølgingen har vært svak

Undersøkelsen viser at Helse- og omsorgsdepartementet og de regionale helseforetakene har krevet og tilrettelagt for at det skal utarbeides ROS-analyser og beredskapsplaner for innsatsfaktorene. Helsedirektoratet har på oppdrag fra departementet iverksatt flere tiltak for å veilede de regionale helseforetakene i beredskapsarbeidet. Direktoratet har også deltatt i planleggingen og gjennomføringen av øvelser. Helse- og omsorgsdepartementet har i foretaksmøte stilt krav om ROS-analyser og beredskapsplaner for IKT, strøm og vann i 2008, 2009 og gjentatt disse kravene i 2014.

Helse- og omsorgsdepartementet og Helsedirektoratet har et ansvar for å følge opp beredskapsarbeidet innen helsesektoren. De regionale helseforetakene har et ansvar for å følge opp beredskapsarbeidet i helseforetakene. Det er Riksrevisjonens mening at de regionale helseforetakenes oppfølging av helseforetakene, basert på funnene i undersøkelsen, ikke har vært tilstrekkelig.

Departementet mener at det er behov for oppfølging av overordnede krav både i eierlinjen og i faglinjen blant annet gjennom Helsedirektoratet. Det understrekes også at selv om helseforetakene arbeider med systematisk forbedringsarbeid innen beredskap for innsatsfaktorene, er det helt nødvendig med regional og nasjonal samordning for å styrke helseforetakenes beredskap innen de tre beredskapsområdene IKT, vann og strømforsyning.

Riksrevisjonens anbefalinger

Riksrevisjonen anbefaler at:

• Helse- og omsorgsdepartementet pålegger de regionale helseforetakene å forsikre seg om at helseforetakene etterlever gjeldende lover og regler for beredskapsarbeid for innsatsfaktorene IKT, vann og strøm.

• De regionale helseforetakene og helseforetakene sørger for at arbeidet med ROS-analyser og beredskapsplaner forankres bedre i helseforetakenes ledelse, inkludert styrene.

• De regionale helseforetakene vurderer muligheten for felles maler for ROS-analyser og beredskapsplaner, og mer samarbeid innad i og mellom helseforetakene.

• Helseforetakene gjennomfører flere øvelser knyttet til innsatsfaktorene IKT, vann og strøm eller hvor innsatsfaktorene blir integrert som en del av andre typer øvelser.

• De regionale helseforetakene sørger for at helseforetakene blir bevisstgjort sin rolle som databehandlingsansvarlig.