Det globala IT-avbrottet 2024: fem lärdomar för vården

Vad som hände

En trasig uppdatering av leverantören CrowdStrikes säkerhetsprogramvara orsakade den ökända blå skärmen (Blue Screen of Death) på otaliga Windows-datorer. Över hela världen lamslogs sektorer som luftfart, banker, media och vård. I Nederländerna drabbades bland annat sjukhusen Treant (Emmen, Hoogeveen, Stadskanaal), Nij Smellinghe (Drachten) och Slingeland (Doetinchem). Operationer sköts upp och vissa enheter tog tillfälligt inte emot nya patienter. Det handlade uttryckligen inte om en cyberattack, utan om ett fel i en uppdatering; återställningen krävde manuellt arbete på varje enskilt system.

Lärdom 1: Vården fortsätter, även på papper

Om journalen, medicineringsmodulen eller planeringen faller bort måste vården ändå fortsätta. Det kräver beprövade nödrutiner: att arbeta med pappersbaserade administreringslistor, dubbelkontroll vid riskfylld medicinering och tydliga överenskommelser om vem som gör vad. Öva dessa nödrutiner regelbundet. I praktiken visar det sig att medarbetare som sällan använder dem förlorar dyrbar tid vid ett verkligt bortfall. Ett kort, tydligt instruktionskort per avdelning hjälper enormt.

Lärdom 2: Informera medarbetarna, även utanför systemen

Om de vanliga systemen ligger nere kan ni inte nå medarbetarna via de systemen. Tänk i förväg igenom alternativa vägar.

• En central, kort instruktion: vad fungerar inte, vilken nödrutin gäller, var finns det senaste läget.
• Nåbarhet via alternativa kanaler (telefon, sms, en sluten sida).
• Tydlighet om prioriteringar: vilken vård och vilka avdelningar går först.
• Utstråla lugn: medarbetare som vet vad de ska göra håller också patienter och anhöriga lugna.

Lärdom 3: Lugna anhöriga och patienter

Uppskjutna operationer och stängda dörrar leder till oro hos patienter och anhöriga. Var proaktiv här: förklara vad som pågår, vad det betyder för deras tid och när det finns mer nyheter. Ett ärligt, mänskligt budskap förebygger onödiga telefonsamtal och misstro. Se till att informationen på webbplatsen, vid disken och i telefonen är likalydande.

Lärdom 4: Känn till ert leverantörsberoende

Avbrottet kom inte inifrån, utan från en extern programvaruleverantör. Det visar hur beroende modern vård är av den digitala kedjan: en journalleverantör, en programvarupart, en molntjänst. Kartlägg dessa beroenden (vilket system hänger på vilken leverantör) och fastställ vad ni gör om en leverantör faller bort. Kom överens om återställningstider och ha ett reservalternativ i beredskap.

Lärdom 5: Känn till era standarder och anmälningsplikter

Vårdinrättningar arbetar enligt NEN 7510 (informationssäkerhet) och GDPR. Äventyras patientsäkerheten kan det vara fråga om ett tillbud som ni inom tre arbetsdagar anmäler till Inspectie Gezondheidszorg en Jeugd (IGJ) enligt Wkkgz. Är personuppgifter inblandade gäller anmälningsplikten för personuppgiftsincidenter (72 timmar) till Autoriteit Persoonsgegevens. Vårdgivare omfattas därutöver allt oftare av cybersäkerhetslagen (NIS2), med anmälningsplikt för betydande incidenter. Dokumentera under krisen vilka anmälningar som gjorts när och till vem.

Så hjälper CrisisRadar

CrisisRadar för samman styrelse, vårdledning, IT och kommunikation i en gemensam lägesbild. Ni dokumenterar fakta med källa, delar tydliga nödinstruktioner med medarbetarna, formulerar ett lugnande budskap till anhöriga och bevakar vårdkontinuiteten. Anmälningsplikt-timers bevakar tidsfristerna för IGJ och Autoriteit Persoonsgegevens. Vill ni se hur ett IT-bortfall i vården ser ut steg för steg i plattformen? Titta då på det tillhörande praktikscenariot.

Stappenplan

Veelgestelde vragen

Var CrowdStrike-avbrottet en cyberattack?

Nej. Avbrottet den 19 juli 2024 berodde på en felaktig programuppdatering från leverantören CrowdStrike, inte på en attack. Ändå slog det ut Windows-system över hela världen, även på sjukhus, vilket understryker vikten av goda nödrutiner.

Hur fortsätter vården om systemen faller bort?

Med beprövade nödrutiner: att arbeta med pappersbaserade administreringslistor, dubbelkontroll vid riskfylld medicinering och tydliga överenskommelser om prioriteringar och roller. Öva dessa rutiner regelbundet så att de sitter i ryggmärgen.

Vilken anmälningsplikt gäller vid ett IT-bortfall i vården?

Äventyras patientsäkerheten anmäler ni ett tillbud inom tre arbetsdagar till IGJ (Wkkgz). Är personuppgifter inblandade gäller anmälan av personuppgiftsincidenten inom 72 timmar till Autoriteit Persoonsgegevens. Ofta gäller även cybersäkerhetslagen (NIS2).