Helse Sør-Øst avlyser tjenesteutsetting av IKT infrastruktur

Det er stort behov for å standardisere og utvikle IKT-infrastrukturen i Helse Sør-Øst. En risikovurdering fra Sykehuspartner bekrefter dette. Sikkerheten i sykehusenes IKT-systemer og medisinsk teknologiske utstyr må bedres. Det var også bakgrunnen for at Sykehuspartner høsten 2016 inngikk kontrakt med DXC. Det ble avdekket svakheter i styringen av programmet, inkludert tilgangsstyring. Programmet ble derfor stilt i bero i mai 2017.

Skjerpet risikobilde
Risikobildet for tjenesteutsetting har endret seg vesentlig siden kontrakten ble inngått. Både Nasjonal sikkerhetsmyndighet og Politiets sikkerhetstjeneste viser til økt risiko for cyberangrep og endret trusselbilde for datasikkerhet. Datainnbruddet i Helse Sør-Øst i januar illustrerer dette. Ny sikkerhetslov kan gi ytterligere krav til sikkerhet.

I behandlingen av saken la styret i Helse Sør-Øst RHF også vekt på nye, sikkerhetsfaglige anbefalinger fra Nasjonal sikkerhetsmyndighet. Noe av dette er gradert informasjon.

Styret har besluttet at driften av IKT-infrastrukturen ikke skal tjenesteutsettes slik det var forutsatt i kontrakten med DXC. Dette innebærer at kontrakten med DXC avbestilles.

- Nå er det viktig at vi raskt kommer i gang med et målrettet arbeid og konkrete prosjekter. Personvern og informasjonssikkerhet må ivaretas på en god måte. Gode IKT-løsninger er en forutsetning for å nå målene vi har for helhetlige helsetjenester, sier styreleder Svein Gjedrem i Helse Sør-Øst RHF.

Økonomiske konsekvenser
Sykehuspartner har betalt 280 millioner kroner til DXC som oppgjør for arbeid som ble utført fra oppstart av programmet i oktober 2016 og frem til programmet ble stilt i bero i mai 2017. Dette dekker også forpliktelser til inngåtte lisens- og leasingsavtaler ut 2017. I tillegg kommer leie- og leasingkostnader for inneværende år og kostnader til utredning.

Sykehuspartner skal nå forhandle med DXC. Det vil bli avklart mulig gjenbruk av arbeidet og de investeringer som er utført frem til prosjektet ble stilt i bero. I 2017 ble det avskrevet 112 millioner kroner som tap i regnskapet. Vi regner med ytterligere avskriving i 2018.

- Det er derfor for tidlig å si noe om den endelige økonomiske konsekvensen før forhandlingene er gjennomført, sier Gjedrem. I tillegg har vi tapt tid, og det er viktig at vi raskt kommer videre for å få på plass en god og sikker infrastruktur i regionen.

Videre arbeid
Sykehuspartner HF har i foretaksmøte i dag fått i oppdrag å etablere et nytt program for å standardisere og utvikle regionens IKT-infrastruktur. Sykehuspartner HF skal i dette arbeidet legge vekt på blant annet informasjonssikkerhet og personvern, risikovurderinger og gjenbruk av investeringer og planverk som er gjort så langt. Alle helseforetakene i regionen skal ta del i arbeidet som databehandlingsansvarlige.

- Sykehuspartner har allerede iverksatt mange tiltak for å bedre sikkerheten, og de skal ikke standardisere og utvikle infrastrukturen alene. De skal lede dette arbeidet i et samspill med leverandørmarkedet etter en vurdering av egen kompetanse og kapasitet, sier Gjedrem.