Ellen Trane Nørby (V), 2018-02-22:
Tak for bemærkningerne til lovforslaget.
Lovforslaget implementerer jo, som mange af jer har været inde på, dele af Europa-Parlamentets og Rådets direktiv fra den 6. juli 2016 om foranstaltninger, der skal sikre et højt fælles sikkerhedsniveau for net- og informationssystemer i hele Den Europæiske Union.
Det, vi behandler i dag, er jo så det, der gælder inden for sundhedssektoren.
Der er jo ingen tvivl om, at NIS-direktivet er en central del af Europa-Kommissionens omfattende cyberpakke, som har det overordnede formål at skabe modstandsdygtighed og afskrækkelse og forsvare det fælleseuropæiske område mod cybertrusler og dermed også øge de europæiske borgeres tillid til digitale løsninger.
I Danmark implementerer vi direktivet sektorvis, og det gør vi i høj grad sådan, at kravene og de dele, der implementeres, også forholder sig til den sektor, som vi taler om – i det her tilfælde sundhedsområdet, som jo alt andet lige er anderledes end transportområdet og nogle af de andre områder, der også sektorvis implementerer direktivet.
Det at være modstandsdygtig over for cybertrusler er i høj grad aktuelt, også i sundhedssektoren.
Øget afhængighed af digitale løsninger giver også en øget sårbarhed over for hændelser, der kan betyde, at sundhedsvæsenet ikke kan opretholde det nødvendige funktionsniveau.
Ser vi bare lige over Nordsøen til Storbritannien, oplevede de sidste år, hvordan et hackerangreb lagde sundhedsvæsenet ned.
Konsekvensen var, at aftaler forsvandt og behandlinger måtte udskydes, og mange bekymrede sig om, hvorvidt deres sundhedsdata var blevet kompromitteret, om de var blevet stjålet, og hvis hænder de var faldet i.
Senere på året, sidste år, var Mærsk udsat for et verdensomspændende hackerangreb, som også havde meget alvorlige konsekvenser i form af nedlukning i flere dage og et meget stort økonomisk tab for virksomheden.
Sundhedssektoren kræver, at vi også har et øget fokus på sikkerhed i vores digitale systemer. Sidste år stod et enigt Folketing bag at vedtage syv principper for brug af sundhedsdata.
De første af de principper handler i høj grad om datasikkerhed.
Jeg synes sådan set, det er værd at fremhæve i dag, for jeg ser jo også NIS-direktivet og implementeringen i den danske lovgivning som et af de mange skridt og vigtige skridt, vi skal tage, for at beskytte danskernes helbredsoplysninger og også for at sikre et mere velfungerende sundhedsvæsen.
Senest har vi med finansloven sammen med Dansk Folkeparti løftet cyber- og informationssikkerheden i sundhedssektoren økonomisk, og det er også vigtigt for at sikre implementeringen, at vi ikke bare har de lovgivningsmæssige rammer, men også konkret sikrer, at det bliver ført ud i livet.
Det her lovforslag har fokus på, hvordan vi i Danmark kan opretholde et stærkt og funktionelt sundhedsvæsen, hvor sikkerhedshændelser ikke får lov til at få en forstyrrende virkning på patientbehandlingen.
Vi skal også med lovforslaget sikre de digitale tjenester, der er væsentlige i sundhedsvæsenet.
Det indebærer jo også, jævnfør lovforslaget, at de operatører, som leverer tjenester, og som er væsentlige for at opretholde behandling og pleje i sundhedsvæsenet via et net- og informationssystem, vil skulle arbejde risikobaseret og også arbejde mere med deres sikkerhedshåndtering.
Konkret betyder det, at de skal træffe passende sikkerhedsforanstaltninger, som står mål med risikoen.
Derfor er der jo også en diskussion om, hvad økonomien er i det her.
Lovforslaget medfører desuden, at operatørerne hurtigst muligt skal underrette Sundhedsdatastyrelsen og Center for Cybersikkerhed, når en sikkerhedshændelse er erkendt.
På den måde får Sundhedsdatastyrelsen mulighed for at indsamle viden om de hændelser, der sker i sundhedsvæsenet, og Center for Cybersikkerhed får mulighed for at reagere og om muligt forhindre, at hændelsen spreder sig til andre lande og internt i landet.
Med lovforslaget etableres der derudover et statsligt tilsyn, som vil blive delegeret til Sundhedsdatastyrelsen.
Sundhedsdatastyrelsen er efter vores opfattelse den institution på sundhedsområdet, som allerede i dag varetager roller vedrørende informationssikkerhed og har kompetencer på området.
Det er derfor også det naturlige sted at placere tilsynet.
Tilsynet vil også skulle sikre, at operatørerne overholder et sikkerhedsniveau, der står mål med risikoen.
Det her tilsyn med operatører og underretningspligten i forbindelse med sikkerhedstrusler og sikkerhedshændelser, hvor underretninger også vil skulle gå til både Sundhedsdatastyrelsen, men også til Center for Cybersikkerhed, skal jo i høj grad være med til, at vi bliver bedre til at beskytte os mod hændelser og cyberangreb, men det skal også være med til at sikre, at vi, hvis der sker kompromitterende angreb mod personfølsomme personoplysninger, f.eks. borgernes helbredsoplysninger, også får en viden om det, hvad enten det er små eller store angreb.
Jeg forventer og håber, at loven vil bidrage til, at vi kan opretholde et robust og sikkert sundhedsvæsen, hvor driften kan opretholdes, og hvor borgerne også har tillid til de digitale løsninger, som vi har i sundhedsvæsenet, for vi kommer til at se mange flere af dem.
Så jeg ser frem til udvalgsbehandlingen og svarer naturligvis på de spørgsmål, som udvalget måtte have undervejs.