Bent Høie (Høyre), 2018-01-30:
Jeg skal forsøke å svare på en del av spørsmålene som så langt har kommet i denne runden – for det første spørsmålet fra Kjerkol om kostnadsbildet: Som jeg sa i min redegjørelse, er det etablert en avtale mellom Helse Sør-Øst og firma på 280 mill. kr, som også omfatter lisensavtaler i 2017. Hvor mye av dette som vil kunne sies å være penger som er tapt eller bortkastet, er det ikke mulig å svare på nå, for det er helt avhengig av hvor mye av disse investeringene som kan brukes videre i prosessen. Det er igjen avhengig av hvilken løsning Helse Sør-Øst videre lander på, så det er det ikke mulig å svare på nå. Spørsmålet om hvordan de som roper på sikkerhet, skal bli hørt, har jeg fulgt opp overfor både direktoratet og helseforetakene, med understreking av betydningen av bl.a. at de tillitsvalgte involveres i arbeidet, som det bl.a. har blitt gjort i arbeidet med rapporten som Direktoratet for e-helse la fram i september. En rekke representanter har vært inne på spørsmål knyttet til sikkerhetsloven. Stortinget har nå en ny sikkerhetslov til behandling. Jeg bestemte relativt tidlig at helseregionene skulle omfattes av sikkerhetsloven, det er også tilfellet i dag, og det betyr at de vil bli omfattet av den nye sikkerhetsloven. De regionale helseforetakene og Norsk Helsenett etablerte i 2015 en sikkerhetsorganisasjon og sendte da departementet en egenerklæring om at de hadde etablert sikkerhetstiltak for å kunne håndtere sikkerhetsgradert informasjon. Virkeområdet til den nye loven utvides hvis den blir vedtatt som foreslått. Flere av RHF-enes funksjoner kan bli omfattet av bestemmelser om objekter, infrastruktur, sikkerhet med bakgrunn i et endret risikobilde, den teknologiske utviklingen og de siste hendelser i arbeidet i de regionale helseforetakene, med tiltak for bl.a. å sikre IKT-infrastrukturen. Det er også etablert et samarbeid mellom Helse- og omsorgsdepartementet og Nasjonal sikkerhetsmyndighet, der de regionale helseforetakene, Direktoratet for e-helse, Helsedirektoratet og Norsk Helsenett deltar. I foretaksmøtet 16. januar ba jeg også helseregionene om å gjennomgå tiltak som gjør at både helseregionene og helseforetakene er klare for å implementere den nye sikkerhetsloven når den trer i kraft. Da må det selvfølgelig også til en ny vurdering av f.eks. hvilke objekter som er sikringsverdige på bakgrunn av den loven som Stortinget vedtar. Ellers var det en del i framstillingen av historien i representanten Toppes innlegg som jeg vil betegne som alternativ, men de som ønsker å finne svar på dette, kan lese svarene jeg har gitt kontroll- og konstitusjonskomiteen, som gikk inn på en del av de spørsmålene. Jeg er også glad for at representanten Wilkinson er så tydelig på at SV er enig i at en moderne helsetjeneste er avhengig av private underleverandører for å kunne gi moderne og skikkelige helsetjenester, ikke minst den digitaliseringen som vi står overfor. Når det gjelder spørsmålet om grensen går ved IKT-infrastrukturen eller ikke, er det ikke noen veldig tydelige anbefalinger om det. Både rapporten fra Nasjonal sikkerhetsmyndighet og rapporten fra Direktoratet for e-helse er veldig tydelige på hvilke forutsetninger som uansett må ligge til grunn, uavhengig av om en velger å ha en privat tjenesteleverandør eller utvikler dette i offentlig regi. Det er grunn til å si at IKT-infrastrukturen som Helse Sør-Øst har i dag, er utviklet i offentlig regi. Sårbarheten i den tror jeg er tydelig for oss alle i dag. IKT-infrastrukturen som utvikles og forvaltes av det offentlige, er ikke noen garanti for sikkerhet. Dette må være en konkret vurdering, ikke minst må en gjøre gode risikoanalyser. Det er nettopp det som bl.a. sviktet i prosessen i Helse Sør-Øst. Det hadde også vært nødvendig uavhengig av hvilken løsning som er den beste. Tidsperspektivet, som representanten Bollestad tok opp, er at Helse Sør-Øst i løpet av våren vil ta beslutninger om hvilke løsninger de velger for igjen å sette moderniseringen av IKT-infrastrukturen på sporet igjen. Jeg er enig i at det er helt essensielt at det arbeidet starter opp igjen, for vi har en for sårbar IKT-infrastruktur i Helse Sør-Øst, bl.a. på bakgrunn av den historiske utviklingen, som jeg også har redegjort for. Det er også slik at jeg har stilt strengere krav til risikovurdering gjennom de ulike oppdragene. Det gjelder alle helseregionene, også andre helseregioner enn Helse Sør-Øst.