Emne 3.10 — Beredskab, robusthed og indsats

Emergency Preparedness, Resilience and Response (EPRR) er en lovbestemt pligt, ikke et rart-at-have, og i et moderne sundhedssystem er den digitale og datamæssige dimension nu en del af frontlinjen – så du må planlægge, oplære, øve og lede din teknologi side om side med dine klinikere.

Hvorfor det er vigtigt i sundhed og pleje#

Når en større hændelse rammer – et terrorangreb, et kemikalieudslip, en hedebølge, en influenzabølge eller et cyberangreb, der låser hver kliniker ude af den elektroniske patientjournal – forventes sundheds- og plejesystemet at blive ved med at fungere, mens alle omkring det er forstyrrede. Den forventning er skrevet ind i loven. Under Civil Contingencies Act 2004 har NHS-organer og deres partnere specifikke pligter til at vurdere risici, vedligeholde planer og kunne reagere. Emergency Preparedness, Resilience and Response er den paraplyterm, NHS bruger for, hvordan det opfylder disse pligter. Det er ikke det samme som almindelig servicestyring, og det er bredere end den it-fokuserede katastrofegenopretning, der er dækket i emne 3.9 — Forretningskontinuitet og katastrofeberedskab.

Grunden til, at det betyder mere i sundhed og pleje end næsten andre steder, er, at svigt har en umiddelbar menneskelig pris. Hvis et supermarkeds kassesystem svigter, stopper salget; hvis et hospitals kliniske system svigter under en hændelse med mange tilskadekomne, kan folk dø, som ellers ville have overlevet. Digitale tjenester er nu så dybt vævet ind i klinisk arbejde – bestilling af prøver, ordination, tjek af allergier, visning af billeder, udskrivning af patienter – at et teknologisk udfald er en klinisk sikkerhedshændelse og skal behandles med samme alvor som enhver anden trussel mod liv. Derfor er bogens "hvordan man arbejder"-tese skarpest her: jeres beredskab er et spørgsmål om klinisk sikkerhed, lighed og offentlig tillid.

Nødsituationer afslører også ulighed. De mennesker, der er mindst i stand til at klare sig, når normale tjenester svigter – dem uden transport, uden engelsk, uden penge, uden pårørende, med langvarige sygdomme – er præcis de mennesker, jeres nødplaner skal beskytte først. Et svar, der i det stille efterlader dem, er ikke et vellykket svar, uanset hvor poleret kommandostrukturen ser ud. At forberede sig godt og øve ærligt er, hvordan I optjener den offentlige tillid, som en reel krise vil teste til bristepunktet.

Kernebegreber#

Beredskabsstyring er disciplinen at mindske et lokalsamfunds sårbarhed over for farer og koordinere indsatsen, når de opstår. Den beskrives konventionelt som en cyklus – forudse, vurdér, forebyg, forbered, reagér, genopret – og sundhedssystemer kører den cyklus kontinuerligt, ikke kun under en krise. EPRR er NHS’ udtryk for den.

Civil Contingencies Act 2004 er den juridiske rygrad. Den deler respondere i to grupper. Kategori 1-respondere er dem i kernen af indsatsen – beredskabstjenester, NHS-hospitaler og -råd, integrerede plejeråd, UK Health Security Agency og kommuner – og de bærer det fulde sæt af pligter: risikovurdering, beredskabsplanlægning, forretningskontinuitet, informationsdeling og advarsel af offentligheden. Kategori 2-respondere – forsyningsselskaber, transportoperatører, teleselskaber og andre – er "samarbejdende organer" med en lettere pligt, hovedsagelig at dele information og samarbejde med Kategori 1-respondere. At vide, hvilken I er, og hvilke pligter der knytter sig til den, er udgangspunktet for alt andet.

Respondere koordinerer gennem et Local Resilience Forum (LRF), et tværfagligt partnerskab bygget omkring hvert politiområde. LRF er der, hvor NHS, kommuner, politi, brandvæsen, ambulancetjeneste og andre planlægger sammen, og det vedligeholder et lokalsamfundsrisikoregister – en fælles, offentliggjort vurdering af de lokale farer, der er mest tilbøjelige til at kræve en koordineret indsats, fra pandemisk influenza til oversvømmelse til industriulykker. Registret er et praktisk eksempel på risikovurdering: at identificere farer, vurdere sandsynlighed og konsekvens og beslutte, hvad der skal planlægges for.

Hændelser klassificeres, så alle deler et sprog for skala. En forretningskontinuitetshændelse forstyrrer jeres evne til at levere tjenester, men kan i princippet håndteres med jeres egne planer. En kritisk hændelse er mere alvorlig: forstyrrelsesniveauet truer organisationens evne til at levere sikker pleje og kræver særlige foranstaltninger. En større hændelse er en, hvis skala eller art kræver særlige ordninger fra en eller flere beredskabstjenester og som regel det bredere system – en hændelse med mange tilskadekomne er arketypen. Tærsklerne betyder noget, fordi erklæring af en hændelse låser ressourcer, beføjelse og gensidig hjælp op.

Kommando løber gennem guld–sølv–bronze-kommandostrukturen, også kaldet strategisk–taktisk–operationel. Guld (strategisk) sætter mål og ejer de store beslutninger; sølv (taktisk) afgør, hvordan ressourcer indsættes for at opfylde dem; bronze (operationel) leverer de hands-on-opgaver. Strukturen er bevidst generisk, så myndigheder, der aldrig har arbejdet sammen, kan glide ind i et enkelt kommandosystem på dagen.

Tre begreber mere fuldender billedet. Surge er evnen til hurtigt og midlertidigt at udvide kapacitet – senge, personale, ilt, regnekraft – ud over normale grænser. Triage er processen at prioritere tilskadekomne, når behovet overstiger kapaciteten, og triagesystemer for hændelser med mange tilskadekomne findes netop til de værste dage. Gensidig hjælp er aftalen om at låne personale, udstyr eller kapacitet på tværs af organisatoriske grænser, når en responder er overvældet. Og en pandemi – et infektionssygdomsudbrud, der spreder sig over en stor region – er det stående værstetilfælde, som de fleste sundhedssystemer nu eksplicit planlægger imod, hårdt informeret af COVID-19-pandemien i Det Forenede Kongerige.

Bedste praksis#

1. Behandl større teknologiudfald og cyberangreb som større hændelser i sig selv. Et ransomwareangreb, der deaktiverer kliniske systemer, er ikke blot et "it-problem", der skal håndteres stille af en servicedesk; det er en trussel mod patientsikkerhed i en hel organisation. Kobl jeres cyber- og digitale hændelsesindsats ind i den samme guld–sølv–bronze-kommandostruktur, jeres organisation bruger til et busuheld, med en defineret udløser for, hvornår en digital hændelse eskaleres til en formel kritisk eller større hændelse. WannaCry-angrebet i 2017 viste, hvordan et enkelt stykke malware kunne sprede sig over dusinvis af hospitaler inden for timer — se emne 1.7 — Informationsstyring, databeskyttelse og cybersikkerhed for de kontroller, der forhindrer det, og dette emne for, hvordan I leder indsatsen, når de svigter.

2. Kør plan–oplær–øv-cyklussen ubønhørligt, og mean det. En plan, der aldrig er testet, er en hypotese. NHS EPRR kræver et rullende program af øvelser – kommunikationstest, bordøvelser og fulde levende øvelser – og I bør planlægge dem, ressourcesætte dem og behandle manglende deltagelse fra senior ledere som det røde flag, det er. Afgørende inkludér jeres digitale og datateams: øv at miste den elektroniske patientjournal, miste netværket og miste jeres primære datacenter, ikke kun en brand på en afdeling.

3. Design og øv bevidst jeres papir-og-nedetids-reserveløsning. Hvert kritisk klinisk system har brug for en dokumenteret, indøvet måde at arbejde på, når det er utilgængeligt – nedetidsformularer, printede medicinskemaer, skrivebeskyttede "forretningskontinuitets"-kopier af journaler og en kendt proces til at afstemme data, når systemerne vender tilbage. Disse reserveløsninger forfalder lydløst; formularer bliver forældede, personale, der kendte proceduren, forlader organisationen, og printeren har ingen toner den dag, I har brug for den. Revidér dem lige så omhyggeligt, som I reviderer det levende system, og forbind dette arbejde eksplicit til genopretningsmålene i emne 3.9 — Forretningskontinuitet og katastrofeberedskab.

4. Hold kommando- og kontrolkommunikation i gang, når alt andet svigter. I en reel hændelse kan jeres almindelige e-mail og telefoni være en del af det, der er svigtet, især i et cyberangreb. Vedligehold kommunikation uden for båndet – en måde at samle guldkommandoen på, der ikke afhænger af, at det angrebne netværk er oppe – sammen med opdaterede offline-udkaldslister og en robust metode til at nå frontpersonale. Test disse kanaler under øvelser; at opdage, at jeres hændelsesbro afhænger af den samme single sign-on, som ransomware netop har krypteret, er en opdagelse, I vil gøre i øvelsen, ikke klokken tre om natten.

5. Aftal på forhånd informationsstyringsreglerne for en krise, før krisen. I en nødsituation vil I få brug for at dele data hurtigt – mellem hospitaler, med folkesundhed, med partnere i gensidig hjælp – og personalet skal vide, at de har lov. Arbejd med jeres databeskyttelsesrådgiver og Caldicott Guardian for på forhånd at etablere de lovlige grundlag og stående informationsdelingsaftaler, der gælder i en nødsituation, så klinikere deler, hvad der er nødvendigt for at redde liv, uden at fryse i usikkerhed. At føre registrering af beslutninger om nøddeling af data beskytter både patienter og personale bagefter (se emne 1.8 — Dataetik, samtykke og offentlig tillid).

6. Byg surge ind i jeres digitale tjenester, ikke kun jeres afdelinger. Befolkningsvendte digitale tjenester – bestilling, triage, symptomtjekkere, vaccinationssystemer – kan blive ramt af efterspørgselsspidser på ti eller hundrede gange det normale under en nødsituation, netop når de betyder mest. Belastningstest mod realistiske surge-scenarier, aftal hvordan I hurtigt skalerer cloudkapacitet, og beslut på forhånd, hvad der skal forringes elegant, så kernefunktionen overlever. En kø, der holder, er bedre end en hjemmeside, der kollapser under vægten af en bange offentlighed.

7. Før digital og datamæssig ekspertise ind i risikovurderingen og lokalsamfundsrisikoregistret. Jeres organisations bidrag til Local Resilience Forum bør omfatte et klart syn på digital og cyberrisiko, enkelte fejlpunkter og afhængigheder af nationale systemer og leverandører. Alt for ofte behandler risikoregistret "it-svigt" som en enkelt vag linje; opdel det, kvantificér det, og sørg for, at LRF forstår, at et regionalt netværks- eller cloududfald nu er en troværdig begivenhed med masseforstyrrelse. Dette er en del af styrings- og assurancesløjfen beskrevet i emne 6.4 — Styring og assurance.

8. Lær åbent af hver øvelse og hver reel hændelse. Værdien af en øvelse er opsamlingen, og værdien af en reel hændelse er de strukturerede lærdomme, der følger. Registrér, hvad der skete, uden skyld, følg handlinger til gennemførelse og – det svære – luk dem faktisk, før den næste hændelse finder det samme hul. Del læring på tværs af systemet gennem jeres LRF og nationale kanaler, fordi pointen med et robust netværk er, at ingen organisation behøver at lære den samme smertelige lektie to gange.

9. Pas på jeres mennesker gennem og efter indsatsen. Robusthed er ikke kun teknisk; en arbejdsstyrke, der er udmattet, bange eller moralsk såret, kan ikke opretholde en lang nødsituation. Planlæg for vagtmønstre, hvile, psykologisk førstehjælp og velfærd under langvarige hændelser som en pandemi, og gør det legitimt at bede om hjælp. De organisationer, der kom sig bedst efter COVID-19, var ofte dem, der bevidst beskyttede deres personales trivsel frem for at behandle udholdenhed som uendelig.

Spørgsmål at drøfte med dit team#

1. Hvornår præcis holder et digitalt eller cyberproblem op med at være en "servicehændelse" og bliver en erklæret kritisk eller større hændelse – og hvem har beføjelsen til at træffe den beslutning klokken to om natten en søndag? Dette spørgsmål tvinger jer til at teste sømmen mellem den daglige servicestyring i emne 3.8 — Servicestyring og drift og det lovbestemte EPRR-maskineri. Spændingen er mellem over-eskalering (at råbe ulv og udmatte jeres kommandostruktur) og under-eskalering (at lade et ransomwareangreb sprede sig i timer, mens folk diskuterer, om det tæller). Et godt svar nævner eksplicitte, observerbare udløsere – for eksempel tab af den elektroniske patientjournal på tværs af flere lokationer eller bekræftet malware på kliniske systemer – og nævner de vagtroller, der har beføjelse til at erklære uden at vente på arbejdstid. Drøft, hvem der er på den vagtplan, om de er uddannet, og om de kan samle guldkommandoen, når det normale netværk er nede. Overvej at gennemgå en nylig næsten-hændelse og spørge ærligt, om I ville have eskaleret i tide. De bedste svar dækker også de-eskalering: hvordan I afgør, at nødsituationen er forbi, og vender tilbage til normal drift.

2. Hvis vores primære kliniske systemer blev mørke i 72 timer, hvad ville vi faktisk gøre – og har vi nogensinde bevist det, eller tror vi det bare? Dette er et spørgsmål om kløften mellem planen på hylden og virkeligheden på afdelingen. Den afvejning, der skal frem, er investering: at vedligeholde og øve nedetidsprocedurer koster penge og klinisk tid, der kunne bruges andetsteds, og det er let at lade dem rådne i det stille. Et stærkt svar skelner mellem det, der reelt er indøvet, og det, der blot er skrevet ned, og er specifikt om den første time, det første vagthold og anden dag, fordi problemerne ændrer sig over tid — at afstemme tre dages papirjournaler tilbage i systemet er en stor opgave i sig selv. Undersøg, om frontpersonale, ikke kun ledere, kender reserveløsningen, og om nyligt ansatte nogensinde har set den. Led efter ærlighed om enkelte fejlpunkter, herunder afhængigheder af national infrastruktur og leverandører, I ikke kontrollerer. De mest modne teams kan pege på en reel øvelse eller et reelt udfald, hvor reserveløsningen holdt, og på de lærdomme, de lukkede bagefter.

3. Hvordan sørger vi for, at vores nødindsats beskytter de mennesker, der er sværest at nå, frem for stille at efterlade dem? Nødsituationer forstærker eksisterende ulighed, og digitale svar kan gøre det værre: et kun-online bestillingssystem, en kun-engelsk advarsel eller en app, der forudsætter en smartphone og data, kan udelukke netop de mennesker, der er mest udsatte. Spændingen er mellem den fart og skala, digitale kanaler tilbyder, og den dækning, lighed kræver, og der er ingen gratis frokost — I får brug for ikke-digitale veje, der kører parallelt, hvilket koster mere. Et godt svar forbinder til lokalsamfundsrisikoregistret og spørger, hvilke sårbare grupper en given fare truer, og tjekker derefter, at indsatsen når dem. Overvej assisterede digitale veje, oversat materiale og hvordan I når mennesker, der er hjemmeboende, digitalt udelukkede eller uden støtte (se emne 1.9 — Digital inklusion og tilgængelighed). Drøft, hvordan I ville vide, om I svigtede dem under en hændelse, ikke måneder senere i en gennemgang. Ærlige svar indrømmer, hvor de nuværende planer er svagest, og forpligter sig til at teste dem med de berørte lokalsamfund.

4. Hvilke af vores kritiske digitale afhængigheder kontrollerer vi faktisk ikke – og hvad er vores plan, når svigtet ligger opstrøms for os? Moderne sundhed og pleje kører på nationale systemer, cloudregioner, forbindelsesudbydere og en håndfuld dominerende leverandører, og en stor del af jeres robusthed er derfor i en andens hænder. Den ubehagelige spænding er, at I bærer den lovbestemte pligt og de kliniske sikkerhedskonsekvenser, men det enkelte fejlpunkt kan være en leverandørs datacenter eller en fælles national tjeneste, I ikke kan inspicere. Et stærkt svar kortlægger disse afhængigheder eksplicit — hvilke systemer der hostes hvor, hvilke leverandører der understøtter hvilke kliniske funktioner, og hvor koncentrationsrisiko betyder, at ét udfald tager flere tjenester ud på én gang — frem for at lade "it-svigt" stå som en enkelt vag linje på risikoregistret. Det stiller hårde spørgsmål om kontraktlige genopretningsforpligtelser, hvad der sker, når en leverandør selv er offer for angrebet, og om et regionalt cloududfald behandles som den troværdige masseforstyrrelsesbegivenhed, det nu er. Undersøg, om disse opstrøms risici bringes frem for jeres Local Resilience Forum og bestyrelse, og om I har nogen gensidig hjælp eller manuel reserveløsning for de afhængigheder, I ikke kan påvirke. Det ærlige svar indrømmer som regel, at nogle risici kun kan afbødes, ikke fjernes, og er eksplicit om, hvilke I bevidst accepterer.

5. Fortæller vores øvelser os sandheden, og ændrer de lærdomme, vi drager, faktisk noget før den næste hændelse? Et øvelsesprogram kan blive teater — en manuskriptet bordøvelse, alle ved vil lykkes, besøgt af juniorer, mens senior ledere sender afbud, og som producerer en pæn rapport og en liste over handlinger, ingen lukker. Spændingen er mellem øvelser, der er behagelige og betryggende, og øvelser, der er realistiske nok til at fejle sikkert, hvilket er den eneste slags, der lærer jer noget. Et godt svar ser på, om I øver reelt svære scenarier — at miste EPJ, miste netværket, et leverandørransomwareangreb — med de mennesker, der reelt ville være på vagt, og om senior deltagelse behandles som obligatorisk frem for valgfri. Det er åbent om opsamlingskulturen: registreres lærdomme uden skyld, følges til gennemførelse og verificeres som lukket, eller gentages de samme huller hændelse efter hændelse? Led efter evidens for, at en lærdom fra en øvelse eller reel begivenhed påviseligt ændrede en plan, en vagtplan eller en kontrol. De mest modne teams kan nævne et svigt, de bevidst bragte frem i øvelsen og rettede, før det kunne skade en patient.

6. Hvordan vil vi opretholde og beskytte vores mennesker gennem en indsats, der varer uger, ikke timer? Megen beredskabsplanlægning forudsætter stiltiende et skarpt, kort chok, men de begivenheder, der tester et sundhedssystem hårdest — en pandemi, en langvarig cybergenopretning, en lang kuldeperiodes surge — slider videre i uger eller måneder, og menneskelig udholdenhed er ikke uendelig. Afvejningen er reel: at rotere folk til hvile og velfærd mindsker de rå timer til rådighed netop i det øjeblik, efterspørgslen topper, og det er fristende at læne sig op ad de villige, til de knækker. Et stærkt svar planlægger fra begyndelsen for vagtmønstre, overdragelser, hvile, psykologisk førstehjælp og velfærd og gør det legitimt for personale at bede om hjælp frem for at behandle udmattelse som engagement. Det overvejer også de digitale og datateams, der ofte bærer en genopretning i dagevis uden aflastning, fordi de er få og specialiserede. Drøft, hvordan I ville opdage udbrændthed, moralsk skade og afgang under en lang hændelse, og hvem der ejer arbejdsstyrkens velfærd i jeres kommandostruktur. De organisationer, der kom bedst igennem COVID-19, var ofte dem, der bevidst beskyttede deres mennesker, og ærlige svar indrømmer, om jeres planer i dag gør det eller blot håber på heltemod.

I praksis: et eksempel fra sundhed og pleje#

Meadowford er et fiktivt integreret plejesystem, der dækker en mellemstor by og dens landlige bagland. En våd formiddag i februar begynder akuthospitalets elektroniske patientjournal — hostet af en national leverandør og delt med to nabohospitaler — at kaste fejl og svigter derefter helt. Inden for tyve minutter bekræfter leverandøren et ransomwareangreb. Klinikere kan ikke længere se medicin, allergier, svar eller plejeplaner på tværs af tre hospitaler og deres tilknyttede kommunale tjenester.

Hospitalets vagthavende direktør erklærer en kritisk hændelse ved hjælp af en forhåndsaftalt udløser — "tab af EPJ på tværs af flere lokationer" — og eskalerer, efterhånden som omfanget bliver klart, til en større hændelse. Guldkommandoen samles ikke via det sædvanlige Teams-opkald, som kører gennem den berørte single sign-on, men via en indøvet bro uden for båndet på en separat platform, med en printet udkaldsliste. Sølvkommandoen aktiverer nedetidsprocedurer: papirmedicinskemaer, nedetidsanmodningsformularer og skrivebeskyttede "break-glass"-kopier af journaler, der blev replikeret til et segregeret miljø netop til dette scenarie, som designet under genopretningsmålene i emne 3.9.

Cyber- og kliniske sikkerhedsledere kører parallelt. Den kliniske informationschef åbner et klinisk sikkerhedscase, behandler udfaldet som en fare og følger de specifikke risici — oversete allergier, dublerede doser, tabte svar — med afbødninger for hver (se emne 1.6 — Klinisk sikkerhed og risikostyring). Caldicott Guardian og databeskyttelsesrådgiveren bekræfter den forhåndsaftalte nødinformationsdelingsposition, så klinikere kan ringe til nabolokationer for kritiske patientoplysninger uden at tøve over lovlighed, og hver sådan beslutning logføres.

Imens informeres Local Resilience Forum, og gensidig hjælp flyder: et nabo-ICS låner farmaceutisk personale til at hjælpe med at håndtere papirordination, og det regionale NHS England EPRR-team koordinerer med National Cyber Security Centre. Elektiv aktivitet stoppes for at skabe surge-kapacitet; lokalsamfundsrisikoregistret havde allerede markeret et regionalt klinisk systemudfald som et troværdigt scenarie, så drejebogen fandtes. Systemer genoprettes fra rene sikkerhedskopier over fire dage. Det sværeste arbejde kommer bagefter: at afstemme fire dages papir tilbage i journalen og en skyldfri struktureret opsamling, hvis handlinger — en svag segmenteringsgrænse, en forældet udkaldsliste og personale, der aldrig havde set nedetidsformularerne — følges til lukning før den næste øvelse.

Sektorperspektiver#

Startup#

En lille digital sundhedsvirksomhed vil ikke køre guld–sølv–bronze-kommando, men den er en kritisk afhængighed for de kunder, der gør. Jeres robusthedshistorie — hvor data hostes, hvor hurtigt I genopretter, hvad jeres hændelsesproces er, hvordan I ville kommunikere under et udfald — er noget, virksomhedskøbere vil og bør udspørge. Vær ærlige om enkelte fejlpunkter, herunder jeres afhængighed af én cloudregion eller én nøgleudvikler. Det disciplinerede træk er at skrive en let hændelsesplan tidligt, øve den én gang og kunne vise kunder, at I tager deres kontinuitet alvorligt; det er både god praksis og en salgsfordel.

Lille virksomhed#

En etableret lille udbyder — en lægepraksis, et lokalt apotek, et plejehjem eller en hjemmeplejetjeneste — bærer samme pligt til at holde mennesker sikre, når systemer svigter, men uden noget af et NHS-hospitals dedikerede EPRR-maskineri. I har ikke en ansvarlig beredskabsansvarlig eller en 24/7-kommandovagt; robusthed må bages ind i, hvordan en håndfuld mennesker allerede arbejder. Det pragmatiske fokus er en kort, reelt indøvet nedetidsplan for de systemer, I afhænger af — det kliniske system, telefonerne, internetforbindelsen — med papirreserveløsninger, jeres faktiske personale har brugt mindst én gang, og en offline liste over, hvem man ringer til, herunder jeres leverandør og jeres bestiller. Fordi I næsten udelukkende afhænger af leverandører og nationale tjenester, I ikke kan kontrollere, skal I kende deres genopretningsforpligtelser og jeres egne manuelle omgåelser for de første timer. Engagér jer i det bredere system frem for at stå alene over for en nødsituation: jeres integrerede plejeråd og Local Resilience Forum findes delvist for at hjælpe organisationer af jeres størrelse, og gensidig hjælp med nabo-udbydere kan være forskellen på at klare sig og lukke.

Stor virksomhed#

Et stort NHS-hospital eller ICS bærer den fulde vægt af Kategori 1-responderpligterne: en ansvarlig beredskabsansvarlig, et rullende øvelsesprogram, 24/7 vagthavende kommando og en plads i Local Resilience Forum. Udfordringen er integration — at sikre, at cyber-, kliniske, operationelle og kommunikationsmæssige svar konvergerer i én kommandostruktur frem for tre parallelle, og at digitale teams er reelt en del af EPRR frem for en eftertanke, der kaldes ind, når det allerede brænder. Skala bringer også kompleksitet: mange systemer, mange leverandører og afhængigheder af national infrastruktur, I ikke kontrollerer. Modenhed ser ud som indøvet nedetidsarbejde på tværs af hver kritisk tjeneste og en opsamlingskultur, der faktisk lukker sine handlinger.

Myndighed#

Nationale og regionale organer — NHS England, UK Health Security Agency, Department of Health and Social Care, delegerede regeringer — fastsætter rammeværket, holder standarderne og koordinerer indsatsen over det niveau, enhver enkelt organisation kan håndtere. Deres EPRR-opgave er at skrive og kvalitetssikre kernestandarderne, køre nationale øvelser, vedligeholde reserver og ordninger for gensidig hjælp og levere kommandokoordinering under systemomfattende begivenheder som en pandemi. De ejer også den nationale digitale infrastruktur, hvis svigt i sig selv ville være en masseforstyrrelsesbegivenhed, så deres egen robusthed er en offentlig pligt. At arbejde effektivt med dem og forstå den strategisk–taktisk–operationelle kæde helt op til nationalt niveau er emnet for emne 9.1 — Samarbejde med lokale og nationale myndigheder.

Typiske fejlmønstre#

• Planer på en hylde. En tyk mappe skrevet for at bestå et assurancetjek, aldrig øvet og ukendt for det personale, der skulle bruge den. Øvelse, ikke dokumentation, er testen på parathed.
• At behandle cyber som et it-problem. At overlade et ransomwareangreb til servicedesken, mens det spreder sig, i stedet for at eskalere det til større hændelseskommando med klinisk sikkerhedsledelse. Hastigheden af eskalering er alt.
• Uafprøvede nedetidsprocedurer. Reserveformularer, der er forældede, personale der aldrig har set dem, og ingen indøvet plan for at afstemme data bagefter. Reserveløsningen forfalder lydløst, medmindre I reviderer den.
• Kommandokanaler, der deler svigtet. At samle guldkommandoen på netop den platform, angrebet har krypteret. Kommunikation uden for båndet må være reelt uafhængig.
• Læring, der aldrig lander. Opsamlinger, der producerer en rapport og en liste over handlinger, ingen lukker, så den næste hændelse finder det samme hul. Følg lærdomme til gennemførelse.
• Lighed som eftertanke. Kun-digitale svar, der udelukker de sårbare, opdaget først i en gennemgang efter hændelsen. Design ikke-digitale veje ind fra starten.
• Heltemod som strategi. At antage, at personalets udholdenhed er uendelig, og forsømme velfærd, hvile og psykologisk støtte under en lang hændelse. Udbrændthed er et robusthedssvigt.

Modenhedsmodel#

Tjekliste#

• Bekræft jeres organisations status (Kategori 1- eller 2-responder) og de lovbestemte pligter, der knytter sig til den.
• Definér eksplicitte, observerbare udløsere for eskalering af et digitalt eller cyberproblem til en kritisk eller større hændelse, og nævn, hvem der kan erklære, 24/7.
• Sørg for, at cyber- og digital hændelsesindsats er koblet ind i jeres guld–sølv–bronze-kommandostruktur.
• Vedligehold kommandokommunikation uden for båndet og offline-udkaldslister, og test dem i øvelser.
• Dokumentér, revidér og øv nedetids-/reserveprocedurer for hvert kritisk klinisk system, herunder dataafstemning.
• Aftal på forhånd lovlige grundlag og aftaler for informationsdeling i nødsituationer med jeres Caldicott Guardian og databeskyttelsesrådgiver.
• Belastningstest befolkningsvendte digitale tjenester mod realistiske surge-scenarier, og aftal hvad der forringes elegant.
• Bidrag med et klart digitalt og cyberrisikosyn til jeres Local Resilience Forum og lokalsamfundsrisikoregister.
• Kør et rullende plan–oplær–øv-program, der inkluderer tab af jeres EPJ, netværk og primære datacenter.
• Hold skyldfri opsamlinger efter øvelser og reelle hændelser, og følg hver handling til lukning.
• Planlæg for personalets velfærd, hvile og psykologisk støtte under langvarige hændelser.
• Tjek, at jeres nødindsats når digitalt udelukkede og sårbare grupper gennem ikke-digitale veje.

Centrale kilder#

• NHS England — NHS Emergency Preparedness, Resilience and Response (EPRR) Framework og EPRR Core Standards.
• Cabinet Office — Civil Contingencies Act 2004 og lovbestemt vejledning om Emergency Preparedness / Emergency Response and Recovery.
• Cabinet Office / GOV.UK — National Risk Register og vejledning om Local Resilience Forums og lokalsamfundsrisikoregistre.
• National Cyber Security Centre (NCSC) — vejledning om ransomware, hændelseshåndtering og behandling af cyberhændelser som større hændelser.
• UK Health Security Agency (UKHSA) — vejledning om pandemi- og infektionssygdomsberedskab.
• UK Covid-19 Inquiry — offentliggjorte moduler og rapporter om pandemiberedskab og -indsats.
• Joint Emergency Services Interoperability Principles (JESIP) — kommando, koordinering og den strategisk–taktisk–operationelle model.
• National Audit Office — Investigation: WannaCry cyber attack and the NHS (2018).

Referencer#

1. Civil Contingencies Act 2004 — Wikipedia — https://en.wikipedia.org/wiki/Civil_Contingencies_Act_2004
2. Emergency management — Wikipedia — https://en.wikipedia.org/wiki/Emergency_management
3. Local resilience forum — Wikipedia — https://en.wikipedia.org/wiki/Local_resilience_forum
4. Gold–silver–bronze command structure — Wikipedia — https://en.wikipedia.org/wiki/Gold%E2%80%93silver%E2%80%93bronze_command_structure
5. Risk assessment — Wikipedia — https://en.wikipedia.org/wiki/Risk_assessment
6. Triage — Wikipedia — https://en.wikipedia.org/wiki/Triage
7. Mutual aid (emergency services) — Wikipedia — https://en.wikipedia.org/wiki/Mutual_aid_(emergency_services)
8. Pandemic — Wikipedia — https://en.wikipedia.org/wiki/Pandemic
9. COVID-19 pandemic in the United Kingdom — Wikipedia — https://en.wikipedia.org/wiki/COVID-19_pandemic_in_the_United_Kingdom
10. WannaCry ransomware attack — Wikipedia — https://en.wikipedia.org/wiki/WannaCry_ransomware_attack
11. NHS Emergency Preparedness, Resilience and Response (EPRR) — NHS England — https://www.england.nhs.uk/ourwork/eprr/
12. Civil Contingencies Act 2004 (legislation) — UK Government / The National Archives — https://www.legislation.gov.uk/ukpga/2004/36/contents
13. Preparation and planning for emergencies: responsibilities of responder agencies and others — Cabinet Office, GOV.UK — https://www.gov.uk/guidance/preparation-and-planning-for-emergencies-responsibilities-of-responder-agencies-and-others
14. Mitigating malware and ransomware attacks — National Cyber Security Centre — https://www.ncsc.gov.uk/guidance/mitigating-malware-and-ransomware-attacks
15. Investigation: WannaCry cyber attack and the NHS — National Audit Office — https://www.nao.org.uk/reports/investigation-wannacry-cyber-attack-and-the-nhs/
16. UK Covid-19 Inquiry — https://covid19.public-inquiry.uk/