Norges miljø- og biovitenskapelige universitet Norges miljø- og biovitenskapelige universitet 1430 ÅsPostboks 5003 1432 ÅS Deres ref Vår ref Dato 18.03.16 16/1441 3 Tilsyn med Norges miljø- og biovitenskapelige universitet (NMBU) sitt arbeid med samfunnssikkerhet og beredskap Kunnskapsdepartementet (KD) viser til avholdt tilsyn med NMBUs arbeid med samfunnssikkerhet og beredskap (SOB) 25. november 2015 i universitetets lokaler på Ås. Formålet med tilsynet med NMBU var å vurdere institusjonens arbeid med samfunnssikkerhet og beredskap, og å gi råd og tilbakemeldinger. I det følgende er departementets tilbakemelding fra tilsynet. 1. Bakgrunn for tilsynet Det enkelte departement har ansvar for samfunnssikkerhet og beredskap innenfor egen sektor, jf. kongelig resolusjon 15. juni 2012 nr. 535 (instruks for departementenes arbeid med samfunnssikkerhet og beredskap, Justis- og beredskapsdepartementets samordningsrolle, tilsynsfunksjon og sentral krisehåndtering). Departementets ansvar innebærer blant annet å følge opp forbedringspunkter i sektoren som følge av tilsyn. Kravene til institusjonenes arbeid med SOB følger av KDs tildelingsbrev til NMBU for 2015 av 19. desember 2014, hvor det står: "Kunnskapsdepartementets styringsdokument for arbeidet med samfunnssikkerhet og beredskap i kunnskapssektoren skal ligge til grunn for institusjonens arbeid på dette feltet. Institusjonen skal ha etablert en virksomhetstilpasset risiko- og sårbarhetsanalyse (ROS) på samfunnssikkerhets- og beredskapsfeltet som revideres minimum hvert annet år. ROS-analysen skal følges opp gjennom en egen handlingsplan med tiltak for å redusere risiko og konsekvenser av uønskede hendelser. Institusjonen skal videre ha oppdaterte krise- og beredskapsplaner og gjennomføre årlige kriseøvelser. Institusjonen Postadresse Kontoradresse Telefon Saksbehandler Org. nr.
skal påse at informasjonssikkerhetsarbeidet er i samsvar med eforvaltningsforskriften og den nasjonale strategien for informasjonssikkerhet med tilhørende handlingsplan." Tilsynsobjektene velges ut på grunnlag av risikovurderinger basert på rapportering, på geografisk spredning, institusjonsstørrelse og egenart. I forbindelse med tilsynet tok departementet utgangspunkt i NMBUs rapportering i årsrapporten 2014-2015, relevant informasjon på institusjonens internettsider og øvrig tilsendt materiale. Fra NMBU deltok: Navn Mari Sundli Tveit Siri Margrethe Løksa Birger Kruse Bård Martin Tollefsen Kjetil Oftebro Jan Olav Aarflot Monica Hammervold Jan Reiling Iben Andersen Gro Holter Kristin Hagen Lise Gorseth Pål Adrian Ryen Pål Magnus Løken Lise Thoen Ingunn Ramsfjell Taksdal Fra KD deltok: Arne Lunde Øystein Holmedal-Hagen Gustav Birkeland Elisabeth Bratt Tittel og avdeling Rektor Beredskapsleder/Økonomi- og eiendomsdirektør Administrasjonsdirektør Sikkerhetsleder Ås Sikkerhetsleder Adamstuen Direktør for personal- og organisasjonsavdelingen Direktør for kommunikasjonsavdelingen Direktør for felles ressurssenter Seksjonssjef studieavdelingen HMS koordinator Loggfører/Ledelsesstaben Ledelsesstaben Leder for studenttinget Assisterende direktør SiÅs Hovedverneombud Servicetorget Avdelingsdirektør, Universitets- og høyskoleavdelingen (UH) Seniorrådgiver, UH Seniorrådgiver, UH Seniorrådgiver, Administrasjons- og økonomiavdelingen Side 2
2. Dagsorden inkludert NMBUs redegjørelse: 1. Velkommen ved NMBU 2. Overordnet rammeverk og arbeidet med samfunnssikkerhet og beredskap i KD, ved KD 3. Samfunnssikkerhets- og beredskapsarbeidet ved NMBU Kort orientering om fusjonen mellom Norges veterinærhøgskole og Universitetet for miljø- og biovitenskap per 1. januar 2014. NMBU har nå to campus, Ås og Adamstuen, og har også virksomhet i Sandnes. NMBU mener at det i ledelsen er stor bevissthet om risiko og godt system for oppfølging av denne. Grunnlagsdokumentet for sikkerhet ved NMBU er det overordnet styrende dokument for arbeidet med sikkerhet og beredskap. Grunnlagsdokumentet med underliggende dokumenter utgjør NMBUs planverk, og her beskrives også ansvarsforhold. Det gjennomføres årlig revisjon av planverket. NMBUs grunnlagsdokument bygger på de fire grunnleggende prinsippene innen beredskap; ansvar, likhet, nærhet, samvirke. Assisterende økonomi- og eiendomsdirektør er sikkerhetsansvarlig, i tillegg er det utnevnt sikkerhetsansvarlige innenfor de ulike områdene og lokalitetene. De sikkerhetsansvarlige har ukentlige møter. Dekanene ved de tre fakulteter har ikke linjeansvar innenfor SOB. Et sentralt sikkerhets- og beredskapsutvalg koordinerer arbeidet, og rektor leder utvalget. Utvalget reviderer årlig systemet for sikkerhetsarbeidet. Det lages hvert år en årsplan for sikkerhet ved NMBU. Årsplanen følger opp ROSanalyser, planverk, øvelser og evaluering av sikkerhetssystemet. ROS-analysene gjennomføres på flere nivåer. NMBU samarbeider med en rekke instanser som kommunen, PST og studentsamskipnaden i SOB-arbeidet. SoB-arbeidet inngår i HMS-systemet Compendia og i internkontrollsystemet IKsentralen. IK-sentralen benyttes blant annet til avvikshåndtering. NMBU har utviklet en HMS-app for ansatte og studenter. Appen inneholder alle viktige telefonnummer og den kan brukes både til varsling, informasjon om akutte tiltak og melding om avvik. På sikt kan appen også brukes til å holde oversikt over ansatte på utenlandsreise. Arbeidet med informasjonssikkerhet har kommet noe i skyggen av fusjons- og byggeprosjektene og sikkerhetsansvarlig mener at universitetet har en jobb og gjøre her. 4. Risiko- og sårbarhetsanalyser Departementet orienterte om kravene til ROS-analyser ROS-analyser oppdateres regelmessig både på lokalt og sentralt nivå (2013, 2014 og 2015). Oppdateringen av ROS-analyser resulterer i oppdatering av tiltakskort og ligger til grunn for valg av øvelser. Sikkerhetsledelsen opplever at bruk av IK- Side 3
sentralen gir god oversikt i prosessen med å identifisere og lukke avvik. Arbeidet med ROS rapporteres i tertialrapport og årlig handlingsplan. Universitetet har fått bistand av eksternt konsulentfirma ved ROS-analysene. Det er utarbeidet en egen ROS-analyse for byggeprosjektet for nytt undervisnings- og forskningsbygg på Campus Ås. Veterinærinstituttet, som forvalter viktige oppgaver innenfor nasjonal beredskap, skal inn i det nye bygget, med de krav det vil stille til sikkerhet. NMBU har deltatt på øvelse ved Veterinærinstituttet. 5. Beredskapsplanverk Beredskapsplanverket ligger i Compendia/IK-sentralen og er organisert som ulike tiltakskort. NMBU opplever at de lokale beredskapsplanene og funksjonsbeskrivelsene for ansvar og arbeidsoppgaver er lett tilgjengelige og fungerer bra. De fleste instituttene lager egne lokale beredskapsplaner og sjekklister i systemet. Det planlegges for at studentene skal få sømløs tilgang til deler av beredskapsplanverket. Tiltakskortene er godt kjent i beredskapsledelsen. I tillegg til den elektroniske utgaven, er alle beredskapsplanene også tilgjengelig som håndbøker på papir. Det gjennomføres regelmessig opplæring av nye ledere i systemet. Universitetet har erfaring med at planverket virker for eksempel ved dødsfall blant studentene Det gjennomføres brann og sikkerhetsopplæring på engelsk og norsk for studenter i deres introduksjonsuke, i tillegg brukes questback. NMBU har laget ca. 20 informasjonsfilmer om hvordan ulike typer hendelser skal håndteres. Det er utviklet en egen HMS-app for varsling, tiltak og melding av avvik. Håndbøker og HMS-app er også tilgjengelig i engelskspråklig utgave NMBU har beredskapsavtale med sjømannskirker for elever og ansatte i utlandet Ledelsen opplever at universitetet nå nærmer seg en felles "NMBU-kultur" etter fusjonen, og arbeidet med organisasjonskulturen har også lagt et godt grunnlag for en felles sikkerhetskultur som ledelsen mener at universitetet har. Ledelsen er opptatt av å ha felles standardiserte verktøy og modellbruk i SoB-arbeidet. 6. Kriseorganisering NMBU har en relativt stor krisestab. Under øvelser har kriseorganiseringen fungert bra, men de har sett utfordringer knyttet til håndtering av informasjon ut mot både publikum og presse. Derfor har de særlig jobbet med å trene og forberede kommunikasjonsavdelingen; o det er definert egne roller og ansvar i KOM o beskrivelse av prioriteringer basert på DSBs anbefalinger o ferdige maler på ulike budskap i IK-sentralen o egen strategi for sosiale medier som revideres minimum en gang i året o ny kriseside på web, som ligger utenfor plattformen og som kan hentes opp om trykket i en krisesituasjon blir for stort. Kriseledelsen kurses årlig i kriseledelse, i tillegg til at det avholdes øvelser. Egne loggførere skriver og oppdaterer. Alle på sentralbordet er kurset i krisekommunikasjon. Side 4
Håndtering av pårørende/berørte er alltid et element i øvelser. Godt samarbeid om krisehåndtering med helsestasjon, kommunens kriseteam og politiet. Egne tiltakskort for ettervern og oppfølging etter en krise. 7. Øvelser Øvelser gjennomføres hyppig. I 2014 har det blitt gjennomført seks øvelser, fem øvelser ved ulike institutter og én øvelse for den sentrale beredskapsorganisasjon i samarbeid med to institutter fordelt på begge campus. I 2015 har det vært gjennomført fem øvelser, tre i beredskapsgruppen og to ved instituttene. NMBU har både tabletop-, spill- og fullskala-øvelser. NMBU bruker et konsulentfirma til både planlegging, gjennomføring og evaluering av øvelsene. Tar utgangspunkt i ROS-analyser og intervju med ledelsen når scenario for øvelser velges. Øvelsene går ofte over flere dager og mediehåndtering blir spesielt vektlagt. Beredskapsøvelser er tema i universitetets styringsdialog med instituttene. 8. Informasjonssikkerhet NMBU har utarbeidet et styringssystem for informasjonssikkerhet i tett samarbeid med UNINETTs sekretariat for informasjonssikkerhet. Arbeidet er basert på UNINETTs malverk for styringssystem med lokal tilpasning for NMBU. IT-arbeidet har vært krevende i fusjons- og byggeprosessen, og alt er ikke helt på plass enda. Felles plattform skal komme fra nyttår og det arbeides med å få et mer samlet og helhetlig ledelses- og styringssystem for risikovurderinger, styring av tilgangskontroll, personopplysninger og responsmiljø. Informasjonssikkerhetsarbeidet er integrert i det samlede systemet for avvik og inngår som del av årsplan for sikkerhet. Sikkerhetsleder og IT-avdelingen har en kontinuerlig dialog rundt informasjonssikkerhet. Opplæring og bevisstgjøring av ansatte i forhold til IT-sikkerhet ligger også innebygd i beredskapsplanverket i Compendia/IK-sentralen. Innføring av nye systemer har også bidratt til økt bevisstgjøring på IT-sikkerhet. NMBU harv særlig jobbet med e- postkultur og systematisering av tilgangsregimet. 3. Departementets tilbakemeldinger Departementets overordnede vurdering er at NMBU gjør et meget godt og systematisk arbeid med samfunnssikkerhet og beredskap, og har kommet langt på dette feltet siden forrige beredskapstilsyn i 2006. NMBU arbeider fokusert og systematisk, og kan dokumentere dette på en tilfredsstillende måte. Samfunnssikkerhet- og beredskapsarbeidet er godt forankret i ledelsen og har en organisering som vitner om bevissthet og forståelse av hva som er viktig å prioritere. Utviklingen av HMS-App og ulike kompetansetiltak viser også fokus og prioritet til dette feltet. Side 5
Oppfølgings- og tilbakemeldingspunkter: Det fremstår som om universitetet bruker ROS-analysene aktivt i utarbeidelse av planverk, tiltakskort og ved valg av øvelsesscenario. NMBU bør imidlertid arbeide videre med en egen tydelig og overordnet risiko- og sårbarhetsanalyse for samfunnssikkerhet og de mest kritiske hendelsene, hvor HMShendelser er skilt ut fra analysen. Med utgangspunkt i en sentral ROS-analyse, kan universitetsledelsen prioritere risiko på overordnet nivå. Departementet sitter igjen med et inntrykk av at beredskapsplanverket er godt operasjonalisert gjennom tiltakskort, egen app, informasjon på startsidene til instituttene med mer. Det er bra at dette er ivaretatt gjennom en egen stabsressurs og håndtert i et sentralt system. Departementet vil minne om kravet til at kriseledelsen gjennomfører beredskapsøvelser minst én gang i året. Ved valg av øvelsesscenario bør NMBU ta utgangspunkt i de hendelser som har blitt vurdert til å ha høyest risiko gjennom ROSanalysene. Departementet synes det er bra at universitetet gjennomfører øvelser på sentralt nivå og på instituttnivå, og at øvelsene er vekselsvis table-top og mer realistiske fullskala øvelser. NMBU må arbeide videre med å få et mer samlet og helhetlig ledelses-/styringssystem for informasjonssikkerhet og få dette på plass i løpet av 2016. Departementet viser til Nasjonal sikkerhetmyndighets sjekkliste nr 2 (S-02) med ti viktige tiltak mot IKT-angrep hvor de fire første tiltakene stopper de fleste internettrelaterte angrep. Søk etter "U-01" på NSMs nettsider for mer informasjon. Departementet forventer at universitetet rapporterer på status for overstående oppfølgningspunkter i årsrapporten for 2016, med mindre annet er oppgitt. KDs Styringsdokument for arbeidet med samfunnssikkerhet og beredskap i sektoren 31. januar 2011 er tilgjengelig her Vi takker for en god dialog under møtet. Med hilsen Arne Lunde (e.f.) avdelingsdirektør Elisabeth Bratt seniorrådgiver Dokumentet er elektronisk signert og har derfor ikke håndskrevne signaturer. Side 6