8 Vedlegg 2 Hendelsesbaserte beredskapsplaner og systemer

Beredskapsarbeidet i Norge bygger på de fire grunnleggende beredskapsprinsippene om ansvar, nærhet, likhet og samvirke. Dette er en generisk overbygning som er uavhengig av type hendelse eller hvilken sektor som er berørt.

Som NATO-medlem er Norge forpliktet til å ha systemer og planer for håndtering av sektorovergripende kriser i fredstid forårsaket av alvorlige tilsiktede hendelser, sikkerhetspolitiske kriser eller væpnet konflikt eller trusler om slike. Nasjonalt beredskapssystem er omtalt i kapittel 3.

Nasjonal helseberedskapsplan er det overordnede rammeverket for helse- og omsorgssektorens forebygging og håndtering av ekstraordinære hendelser og kriser. Nasjonal helseberedskapsplan gir en overordnet ramme for helseberedskap i sektoren, beskriver aktørene, deres ansvar, hvordan de skal samhandle i kriser og danner grunnlag for etatsvise-, virksomhets- og hendelsesspesifikke planer.

En forenklet figur illustrerer planhierarkiet, plasseringen av Nasjonal helseberedskapsplan og hvordan de ulike systemene bygger på hverandre og henger sammen.

Figur 8.1 Planhierarki for arbeidet med samfunnssikkerhet og beredskap i helse- og omsorgssektoren

På grunnlag av oversikter over risikoområder og hendelser er det på noen områder utarbeidet spesifikke beredskapsplaner og systemer, i tillegg til generiske planer. Gjeldende planer for følgende områder er beskrevet under

• hendelser med masseskade
• smittsomme sykdommer og farlige stoffer – CBRNE-hendelser
• kjemikaliehendelser
• atomhendelser
• IKT-hendelser og IKT-sikkerhetshendelser

Mange av de gjeldende planene er under oppdatering, eller vil oppdateres i de kommende årene.

Hendelser med masseskade

Hendelser med mange skadde, såkalte masseskadesituasjoner, kan omfatte ulykker, tilsiktede hendelser og væpnet konflikt. Masseskader kan oppstå som en enkelthendelse eller som gjentakende hendelser som varer over et lengre tidsrom, som for eksempel ved en krig. Helse- og omsorgstjenesten skal, basert på daglig akuttberedskap, beredskapsplanlegging og øvelser, være forberedt på å håndtere hendelser med masseskade, i samvirke med øvrige nødetater, Forsvaret og regionale og nasjonale behandlings- og kompetansesentra.

Smittsomme sykdommer og farlige stoffer – CBRNE hendelser

Smittsomme sykdommer, bioterror og hendelser med kjemiske stoffer og radiologisk eller nukleært materiale og eksplosiver (CBRNE-hendelser) kan medføre alvorlige konsekvenser for liv, helse, miljø og viktige samfunnsfunksjoner. CBRNE-hendelser kan ha svært ulike årsaker, herunder ulykke, naturlig utvikling av smittestoffer, overføring fra dyr og miljø, terrorhandling, væpnet konflikt eller krig.

Håndtering vil ofte kreve lokal, regional, nasjonal og internasjonal koordinering og bistand. Det alminnelige arbeidet med smittevern, miljørettet helsevern, strålevern og atomberedskap er grunnlaget for helsesektorens beredskap mot kjemiske hendelser, bioterror, utbrudd av smittsomme sykdommer, atomhendelser og eksplosiver. Nasjonal behandlingstjeneste for CBRNE-medisin ved Oslo universitetssykehus HF (CBRNE-senteret) er etablert for å ivareta forebygging og håndtering av personskade knyttet til ulykker og uhell/hendelser med området, og skal som nasjonalt beredskapstiltak gi råd til helsetjenesten og myndigheter. Sammen med spesialiserte kompetansemiljøer, planer og innsatsfaktorer utgjør dette sektorens CBRNE-beredskap. Forsvarsdepartementet er ansvarlig for hele CBRNE-området i forsvarssektoren.

Smittsomme sykdommer – biologiske hendelser

Beredskap for å forebygge og håndtere utbrudd av smittsomme sykdommer og biologiske hendelser bygger på den etablerte smittevernberedskapen. Smittevernloven fordeler ansvar mellom lokale og sentrale helsemyndigheter for å iverksette smitteverntiltak og samordne smittevernarbeidet. Loven gir kommunene, Helsedirektoratet og Helse- og omsorgsdepartementet fullmakter til å iverksette tiltak for å forebygge og hindre smittespredning. Loven fastsetter i tillegg ansvar og oppgaver for kommunen, regionalt helseforetak, statsforvalter, Helsedirektoratet og Folkehelseinstituttet. Tilsvarende inneholder lov om matproduksjon og mattrygghet mv. bestemmelser om Mattilsynets oppgaver for å hindre og forebygge smitte fra næringsmidler eller dyr.

Folkehelseinstituttet kan ved lokale utbrudd av smittsomme sykdommer bistå lokale myndigheter med ekspertise, råd og analyser. Ansvar og oppgaver ved oppklaring og håndtering av utbrudd av næringsmiddelbårne sykdommer og zoonoser, er beskrevet i Utbruddshåndboka:

• Lokale utbrudd i en kommune håndteres av lokale myndigheter. Kommuneoverlegen og Mattilsynet deler oppgaver etter en vedtatt arbeidsdeling. Folkehelseinstituttet kan gi bistand og råd.
• Ved nasjonale utbrudd som angår flere kommuner har Folkehelseinstituttet ansvaret for å drive og organisere det faglige oppklaringsarbeidet i befolkningen, mens Mattilsynet har ansvaret for oppklaringen innen matkjeden.
• Ved alvorlige utbrudd av matbåren eller zoonotisk smittsom sykdom kan Matsmittekomiteen innkalles for å støtte Folkehelseinstituttet i koordinering av etterforskning, uavhengig av om utbruddet er lokalt eller nasjonalt.

Kjemiske hendelser

Kjemiske hendelser (C) skyldes giftige kjemikalier (industrikjemikalier, giftige biogasser, kjemiske stridsmidler mv.) som ved direkte kontakt eller spredning til luft, vann, næringsmidler eller jordsmonn kan forårsake helseskader eller annen skade. Beredskap for å forebygge og håndtere kjemiske hendelser bygger på miljørettet helsevern, jf. kapittel 3 i folkehelseloven. I tillegg er beredskap for og håndteringen av ulike typer kjemiske hendelser regulert i blant annet forurensningsloven, storulykkeforskriften og forskrift om miljørettet helsevern.

Ansvar for kjemikalieområdet er delt mellom flere departementer. Samvirke mellom aktørene er viktig for god håndtering. Kommunen skal ha oversikt over forhold i miljøet som innebærer helserisiko og skal ha beredskapsplan for sine oppgaver innen miljørettet helsevern. Kommunen har ansvar for å håndtere hendelser lokalt.

Folkehelseinstituttet har i oppgave å bistå kommuner, fylkeskommuner, statsforvalter og andre statlige institusjoner, helsepersonell og befolkningen ved eksponering for helseskadelige miljøfaktorer. Folkehelseinstituttet kan ved lokale hendelser med kjemikalier bistå lokale myndigheter med ekspertise, risikovurderinger og råd. Ved akutt skade vil nødetatenes håndtering på skadested koordineres av politiet. Helsetjenesten bringer pasienter til legevakt og sykehus og sørger for medisinsk behandling, med bistand fra CBRNE-senteret ved Oslo Universitetssykehus, som er nasjonal behandlingstjeneste for CBRNE-medisin. I tillegg til behandling tilbyr CBRNE-senteret rådgivning, undervisning og kompetanseheving til helsepersonell og nødetater.

Kjemikaliehendelser kan være akutt forurensing som over tid kan gi helsefare. Kommunene har beredskapsplikt for mindre tilfeller av akutt forurensing som ikke er dekket av privat beredskap. Videre har kommunen aksjonsplikt ved akutt forurensing dersom den ansvarlige ikke iverksetter tilstrekkelige tiltak eller er ukjent. Kommunens beredskap- og aksjonsplikt ivaretas i stor grad gjennom de interkommunale utvalgene mot akutt forurensning (IUA).

Andre statlige myndigheter med ansvar for å bistå nødetatene, forurenserne og kommunen med ekspertise og utstyr i håndteringen av hendelser er Kystverket og Miljødirektoratet. Kystverket kan om nødvendig helt eller delvis overta aksjonsledelsen ved å iverksette statlig aksjon.

Atomhendelser

Atomberedskapen i Norge er bygget opp rundt Kriseutvalget for atomberedskap, Kriseutvalgets rådgivere, et sekretariat ved Direktoratet for strålevern og atomsikkerhet (DSA), samt Statsforvalterne og Sysselmesteren på Svalbard.

Atomberedskapsorganisasjonen er opprettet for å stille ekspertise til rådighet for å håndtere atomhendelser og for å sørge for hurtig iverksettelse av tiltak for å beskytte liv, helse, miljø og andre viktige samfunnsinteresser. Atomhendelser omfatter både ulykker og hendelser som følge av tilsiktede handlinger i fredstid, ved sikkerhetspolitiske kriser og ved væpnet konflikt.

Dersom det foreligger en atomhendelse eller når en atomhendelse ikke kan utelukkes, og denne kan ramme Norge eller berøre norske interesser, skal Kriseutvalget for atomberedskap sørge for koordinert innsats og informasjon. I akuttfasen av en atomhendelse har Kriseutvalget myndighet til å gi pålegg om nærmere fastsatte tiltak.

Kriseutvalget har i tillegg oppgaver i det løpende beredskapsarbeidet og skal fungere som rådgiver for myndighetene i senfasen av en atomhendelse. Kriseutvalgets rådgivere skal ha oppgaver både i det løpende beredskapsarbeidet og i forbindelse med håndteringen av en atomhendelse.

Kriseutvalgets mandat omfatter også hendelser som finner sted utenfor Norge og som ikke har direkte konsekvenser på norsk territorium, dersom hendelsen berører nordmenn eller norske interesser.

Kriseutvalget består av virksomheter som antas å være mest relevant ved håndtering av en atomhendelse. Direktoratet for strålevern og atomsikkerhet leder og er sekretariat for Kriseutvalget. Direktoratet for strålevern og atomsikkerhet som leder av Kriseutvalget kan ved behov fatte beslutninger om tiltak på vegne av Kriseutvalget i tiden fra det foreligger kunnskap om en atomhendelse og til Kriseutvalget er samlet. Helsedirektoratet skal bistå i kommunikasjonsarbeid om helseforhold ved atomhendelser til helsetjenesten og befolkningen.

I akuttfasen av en atomhendelse kan Kriseutvalget for atomberedskap bruke sine fullmakter for å beskytte liv, helse, miljø og andre viktige samfunnsinteresser i tråd med forskrift fastsatt ved Kongelig resolusjon av 23. august 2013, ref. kapittel 2.8. Tiltakene omfatter å

• sørge for samordnet informasjon til myndigheter, publikum og medier
• pålegge sikring av områder som er eller kan bli sterkt forurenset, akutt evakuering, tiltak og restriksjoner i produksjonen av næringsmidler, pålegge og gi råd om rensing av forurensede personer, opphold innendørs for publikum, bruk av jod-tabletter, gi kostholdsråd og gi råd om andre konsekvensreduserende tiltak

Kriseutvalget fatter vedtak i konsensus og påser at tiltakene rettes til og formidles gjennom de etater i Kriseutvalget som har det rettslige grunnlaget for gjennomføringen.

IKT-hendelser og IKT-sikkerhetshendelser

Helse- og omsorgssektorens tjenesteleveranser er i stor grad understøttet av teknologi, slik som elektronisk pasientjournalsystemer, medisinsk teknisk utstyr og kommunikasjonsløsninger. Bildet kompliseres ytterligere av at de teknologiske verdikjedene strekker seg på tvers av virksomhets-, sektor- og landegrenser. Både tilsiktede og utilsiktede IKT-hendelser kan derfor medføre alvorlige konsekvenser for evnen til å yte helsetjenester.

Etterretnings- og sikkerhetstjenestenes årlige trussel- og risikovurderinger, samt vurderingene til spesialisthelsetjenesten og Helse- og KommuneCERT, viser tydelig at trusselbildet i det digitale rom er i endring. I tillegg til at økonomisk motiverte grupperinger gjennomfører dataangrep, stjeler data og slår ut infrastruktur, fører økte geopolitiske spenninger til at vi også må være beredt til å håndtere fysiske sabotasjeoperasjoner mot IKT-infrastruktur, etterretnings- og spionasjetrusler med mer.

IKT-hendelser

Med IKT-hendelser menes i denne sammenheng utilsiktede uønskede IKT-hendelser som rammer eller potensielt kan ramme kritisk infrastruktur og kritiske samfunnsfunksjoner. IKT-hendelser kan skille seg fra andre hendelsestyper på flere områder. For eksempel vil aktørkartet gjerne se annerledes ut enn ved mer tradisjonelle helsekriser. Beredskapsmiljøer vil kommunisere med fagmiljøer som for noen kan være mindre kjent. Det er derfor avgjørende at det legges til rette for et godt samarbeid ved hendelser.

Selv om aktørkartet kan være annerledes, og mange virksomheter har underleverandører som drifter og er utførende ledd ved hendelseshåndtering på virksomhetens IT-systemer og infrastruktur, ligger ansvaret for håndteringen av hendelsene til virksomheten. Beredskapsprinsippene gjelder også ved IKT- og IKT-sikkerhetshendelser.

IKT-hendelser er gjerne preget av at situasjonsbildet endrer seg raskt. Informasjonsgrunnlaget for beslutninger kan derfor være begrenset og oppleves mangelfullt. Tiltak som treffes for å håndtere hendelsen kan også få konsekvenser for aktører som i utgangspunktet ikke er berørt av hendelsen. I mange tilfeller bør det derfor være lavere terskel for å informere/varsle om IKT-hendelser.

Bevissthet omkring denne type problemstillinger, samt rutiner og planverk for å sikre felles situasjonsforståelse på tvers av fagmiljøer som ikke samhandler i det daglige, kan bidra til mer effektiv håndtering.

IKT-sikkerhetshendelser

Rammeverk for håndtering av IKT-hendelser (NSM, 2017) definerer alvorlige IKT-sikkerhetshendelser som tilsiktede uønskede hendelser eller trusler om slike hendelser i det digitale rom som er rettet mot kritisk infrastruktur og/eller kritiske samfunnsfunksjoner.

Hensikten med rammeverket er å avklare og tydeliggjøre innsatsen mellom relevante aktører for å sette oss bedre i stand til å håndtere alvorlige IKT-sikkerhetshendelser som rammer på tvers av sektorer. Rammeverket skal også bidra til å skape god situasjonsoversikt gjennom aggregering og koordinering av informasjon om alle relevante IKT-sikkerhetshendelser.

Rammeverket legger til grunn at de sektorvise responsmiljøene (SRM) skal ha en sentral rolle i hendelseshåndteringen. Helse- og KommuneCERT er av Helse- og omsorgsdepartementet utpekt som SRM for helse- og omsorgssektoren, og Digitaliserings- og forvaltningsdepartementet har utpekt Helse- og KommuneCERT som SRM for kommunesektoren.

Hver enkelt virksomhet er selv ansvarlig for forebyggende sikkerhetsarbeid og hendelseshåndtering. Samtidig vil det ved hendelser kunne oppstå stort behov for koordinering på tvers av virksomheter som samhandler gjennom digitale verdikjeder. Helse- og KommuneCERT kan derfor supplere og støtte virksomheters hendelseshåndtering, men det erstatter ikke den enkelte virksomhets ansvar.