Det verdensomspændende it-nedbrud i 2024: 5 lektioner for sundhedssektoren

Det, der skete

En defekt opdatering af sikkerhedssoftwaren fra leverandøren CrowdStrike gav den berygtede blå skærm (Blue Screen of Death) på utallige Windows-computere. Verden over blev sektorer som luftfart, banker, medier og sundhedsvæsen forstyrret. I Nederland blev blandt andet hospitalerne Treant (Emmen, Hoogeveen, Stadskanaal), Nij Smellinghe (Drachten) og Slingeland (Doetinchem) ramt. Operationer blev udsat, og nogle lokationer tog midlertidigt ikke imod nye patienter. Det var udtrykkeligt ikke et cyberangreb, men en fejl i en opdatering; genopretningen krævede manuelt arbejde på hvert system.

Lektion 1: Behandlingen fortsætter, også på papir

Hvis patientjournalen, medicinmodulet eller planlægningen falder ud, skal behandlingen alligevel fortsætte. Det kræver afprøvede nødprocedurer: at arbejde med papirbaserede doseringslister, dobbeltkontrol ved risikofyldt medicin og klare aftaler om, hvem der gør hvad. Øv disse nødprocedurer regelmæssigt. I praksis viser det sig, at medarbejdere, der sjældent bruger dem, taber dyrebar tid under et rigtigt udfald. Et kort, tydeligt instruktionskort pr. afdeling hjælper enormt.

Lektion 2: Informér medarbejderne, også uden om systemerne

Hvis de almindelige systemer er nede, kan du ikke nå medarbejderne via disse systemer. Overvej på forhånd alternative ruter.

• En central, kort instruktion: hvad virker ikke, hvilken nødprocedure gælder, hvor står den seneste status.
• Tilgængelighed via alternative kanaler (telefon, sms, en lukket side).
• Klarhed om prioriteter: hvilken behandling og hvilke afdelinger går forud.
• Udstrål ro: medarbejdere, der ved, hvad de skal gøre, holder også patienter og pårørende rolige.

Lektion 3: Berolig pårørende og patienter

Udsatte operationer og lukkede døre skaber uro hos patienter og pårørende. Vær proaktiv her: forklar, hvad der er på spil, hvad det betyder for deres aftale, og hvornår der er mere nyt. Et ærligt, menneskeligt budskab forhindrer unødvendige opkald og mistillid. Sørg for, at informationen på webstedet, ved skranken og på telefonen er enslydende.

Lektion 4: Kend din afhængighed af leverandører

Nedbruddet kom ikke indefra, men fra en ekstern softwareleverandør. Det viser, hvor afhængig moderne behandling er af den digitale kæde: en EPJ-leverandør, en softwarepart, en cloudtjeneste. Kortlæg disse afhængigheder (hvilket system afhænger af hvilken leverandør), og fastlæg, hvad du gør, hvis en leverandør falder ud. Lav aftaler om genopretningstider, og hav en reserveløsning i baghånden.

Lektion 5: Kend dine standarder og underretningspligter

Sundhedsinstitutioner arbejder under NEN 7510 (informationssikkerhed) og GDPR. Er patientsikkerheden i fare, kan der være tale om en kalamitet, som du inden for tre arbejdsdage anmelder til Inspectie Gezondheidszorg en Jeugd (IGJ) under Wkkgz. Er der personoplysninger involveret, gælder underretningspligten ved databrud (72 timer) til Autoriteit Persoonsgegevens. Behandlere hører desuden i stigende grad under cybersikkerhedsloven (NIS2), med underretningspligt for væsentlige hændelser. Dokumentér under krisen, hvilke anmeldelser der er foretaget hvornår og til hvem.

Sådan hjælper CrisisRadar

CrisisRadar samler bestyrelse, sundhedsledelse, it og pressekontakt i et fælles krisebillede. Du registrerer fakta med kilde, deler klare nødinstruktioner med medarbejderne, udarbejder et beroligende budskab til pårørende og bevogter kontinuiteten i behandlingen. Underretningstimere holder øje med fristerne for IGJ og Autoriteit Persoonsgegevens. Vil du se, hvordan et it-udfald i sundhedssektoren ser ud trin for trin i platformen? Se da den tilhørende praksissituation.

Stappenplan

Veelgestelde vragen

Var CrowdStrike-nedbruddet et cyberangreb?

Nej. Nedbruddet den 19. juli 2024 skyldtes en fejlbehæftet softwareopdatering fra leverandøren CrowdStrike, ikke et angreb. Alligevel lammede det Windows-systemer verden over, også på hospitaler, hvilket understreger betydningen af gode nødprocedurer.

Hvordan fortsætter behandlingen, hvis systemerne falder ud?

Med afprøvede nødprocedurer: at arbejde med papirbaserede doseringslister, dobbeltkontrol ved risikofyldt medicin og klare aftaler om prioriteter og roller. Øv disse procedurer regelmæssigt, så de sidder i fingrene.

Hvilken underretningspligt gælder ved et it-udfald i sundhedssektoren?

Er patientsikkerheden i fare, anmelder du en kalamitet inden for tre arbejdsdage til IGJ (Wkkgz). Er der personoplysninger involveret, gælder underretning ved databrud inden for 72 timer til Autoriteit Persoonsgegevens. Ofte gælder også cybersikkerhedsloven (NIS2).