Bent Høie (Høyre), 2021-05-11:
Jeg tar Riksrevisjonens hovedfunn, merknader og anbefalinger på største alvor. Alle de reviderte virksomhetene anerkjenner sårbarheten som Riksrevisjonen har avdekket, og arbeider nå systematisk med å lukke disse. Funnene viser at dette er et område som vil kreve stor oppmerksomhet og prioritet framover. Riksrevisjonen anerkjenner at helseregionene har iverksatt tiltak som har styrket informasjonssikkerheten de seneste årene. Sammenlignet med tidligere revisjoner har det skjedd en tydelig forbedring på området. Det norske samfunnet blir stadig mer digitalisert. Digitaliseringen i helse- og omsorgssektoren legger grunnlaget for økt samhandling mellom helsepersonell på tvers av behandlingsstedet, og det styrker pasientsikkerheten. De positive konsekvensene for pasientbehandlingen øker i takt med digitaliseringsgraden. Samtidig er trusselbildet endret, og sykehusene har i økende grad blitt interessante mål for digitale trusselaktører. Helseforetakene utsettes for dataangrep hver dag. Vi har foreløpig klart å håndtere dette på en god måte, uten at det har gått ut over pasientbehandlingen. Jeg merker meg komiteens merknad om en mer aktiv statsråd, som tar ansvar for de svært alvorlige funnene. Videre at jeg som helse- og omsorgsminister må sørge for at departementet skaffer seg tilstrekkelig styringsinformasjon, stiller nødvendige krav og følger opp at kravene til de regionale helseforetakene innfris. Jeg vil knytte noen kommentarer til dette. Den etablerte ansvarsmodellen i spesialisthelsetjenesten tillegger ikke departementet et operativt ansvar, og det er heller ikke naturlig at et departement tar en sånn rolle. Jeg har imidlertid stilt en rekke eierkrav, bl.a. med utgangspunkt i tidligere riksrevisjonssaker og enkelthendelser, hvor informasjonssikkerhet har vært tema. Departementet har, i tillegg til den ordinære oppfølgingen, hatt særskilte felles oppfølgingsmøter med helseregionene knyttet til krav som er stilt. Denne oppfølgingen vil fortsette, og den skal styrkes. Da jeg tiltrådte som helse- og omsorgsminister i 2013, ga jeg Helsedirektoratet i oppdrag å utarbeide en oversikt over tilstanden for IKT i helse- og omsorgssektoren. Det ble utarbeidet tre rapporter. Disse beskrev et samlet utfordringsbilde, en analyse av arbeidet med IKT i spesialisthelsetjenesten, og en analyse av det norske leverandørmarkedet for elektroniske pasientjournaler. Dette har vært viktig kunnskap for virksomheten i arbeidet med å styrke informasjonssikkerheten. Som ledd i det systematiske forbedringsarbeidet de seneste årene har vi lagt til rette for overordnet styring og kontroll av sikkerhetsarbeidet. Det er etablert et eget direktorat for e-helse, og vi har styrket HelseCERT, som er sektorens felles kompetansesenter for operativ sikkerhet. Helsetilsynet har fått ansvar for IKT-revisjon, og gjennom eierstyring av helseregionene fått en rekke krav om å styrke arbeidet med informasjonssikkerhet og implementere grunnprinsippene for IKT-sikkerhet, som Nasjonal sikkerhetsmyndighet, NSM, har utarbeidet. I felles foretaksmøte i januar i år stilte jeg krav til helseregionene om at de, i samarbeid med Direktoratet for e-helse og Norsk helsenett, skal følge opp Riksrevisjonens hovedfunn, merknader og anbefalinger. De skal også utvikle regionale handlingsplaner for dette arbeidet. Planene skal diskuteres i et felles møte 3. juni og på felles tertialoppfølgingsmøte i oktober. Jeg ba også om at helseregionene skal identifisere nasjonale og interregionale tiltak for å styrke informasjonssikkerheten og styrke det forebyggende arbeidet mot dataangrep, også i samarbeid med Direktoratet for e-helse og Norsk helsenett. Dette innebærer bl.a. øvelser, revisjoner, sårbarhetsskanning og penetrasjonstesting. Som en del av dette vil HelseCERT styrkes. I foretaksmøtet stilte jeg krav om å sikre nødvendige avklaringer av ansvar, roller og oppgaver i en region, og videre at det skulle presenteres status for arbeidet med informasjonssikkerhet i egne felles møter, i felles tertialoppfølgingsmøter samt i årlig melding. Samlet sett vil dette gi departementet nødvendig styringsinformasjon og et godt grunnlag for arbeidet med informasjonssikkerheten i spesialisthelsetjenesten. En moderne helsetjeneste med høy kvalitet forutsetter ivaretakelse av informasjonssikkerhet og personvern og et styrket, systematisk og risikobasert forebyggende arbeid mot ondsinnete dataangrep. Bare sånn kan vi oppnå bedre og sikrere helsetjenester og beholde befolkningens tillit. Dette arbeidet vil ha høy prioritet framover.