Hackerattacken blev en prövning för ledarskapet

Söndagen den 21 januari i år ringer Jenny Carlssons jobbtelefon. Hon är enhetschef på Tandvårds- och läkemedelsförmånsverket i Stockholm, och nu kallas hon in till myndighetens kontor samma dag. Väl på plats får hon information om att myndigheten drabbats av en hackerattack.

Det är ett av it-företaget Tietoevrys datacenter som attackerats med så kallad ransomware, en skadlig programvara som förhindrar åtkomsten till program och uppgifter hos den drabbade, vilket kan användas i utpressningssyfte.

Konsekvenserna för myndigheten kommer att bli omfattande. Hela diariet samt ärendehanteringssystemet har slagits ut i angreppet och går inte att använda.

– Det var chockartat, så klart, säger Jenny Carlsson ett halvår efter att hon fick det första samtalet om attacken.

När Publikt träffar henne är hon precis tillbaka från en välbehövlig sommarledighet. Hackerattacken gjorde att våren blev mer utmanande än hon någonsin kunnat ana.

Den statliga myndigheten Tandvårds- och läkemedelsförmånsverket beslutar bland annat om vad som ska ingå i högkostnadsskyddet för läkemedel. Jenny Carlsson har arbetat på myndigheten i fyra år. För omkring två år sedan fick hon en tillfällig chefstjänst, hennes första, som ett år senare blev permanent. Gruppen hon leder arbetar med prisregleringar av konkurrensutsatta läkemededel.

Hon tvekade inte när hon fick chansen att kliva in som tillförordnad chef.

– I nästan alla grupper har jag medvetet eller omedvetet hamnat i rollen som ledare. Så tanken att bli chef har alltid funnits där, säger Jenny Carlsson.

Varför har du hamnat i den rollen, tror du?

– Det är egentligen ingenting som jag har sökt mig till aktivt. Men jag har nog utstrålat att jag är stabil, beredd att ta ansvar och vågar fatta beslut.

Hur vill du vara som chef?

– Jag vill förstå mina anställda och alltid vara beredd att ta ansvar. Tidigare hade den här gruppen en chef som organisatoriskt var långt borta från verksamheten och därför inte förstod innebörden av alla beslut. Nu vet mina anställda att jag förstår konsekvenserna av ett beslut, vilket tar bort en del av pressen från dem.

När det första samtalet om hackerattacken kom hade Jenny Carlsson vikarierat som chef under ett år och haft den permanenta tjänsten i ett halvår.

Ganska snabbt stod det klart att den ryskkopplade hackergruppen Akira låg bakom attacken, som ställde till problem för privata företag, kommuner och statliga myndigheter. Mest uppmärksammat i den statliga sektorn blev konsekvenserna för Statens servicecenter och lönesystemet Primula.

2021 drabbades Tandvårds- och läkemedelsförmånsverket av en liknande händelse. Då låg ärendehanteringssystemet nere i fyra dagar innan det gick att återställa. Jenny Carlsson tror att det gjorde att många förväntade sig att allting snabbt skulle fungera som vanligt igen.

Den här gången tog det i stället fyra dagar innan myndigheten fick beskedet att det antagligen inte skulle gå att återskapa informationen i vare sig diariet eller i flera ärendehanteringssystem. Även säkerhetskopiorna hade gått förlorade i attacken.

– Till en början kunde vi inte göra mycket alls. Jag tror alla gick runt med en känsla av vanmakt, säger Jenny Carlsson.

På hennes enhet hanteras omkring 95 procent av myndighetens ärenden. De är direkt beroende av systemet för att kunna sätta nya priser på konkurrensutsatta läkemedel och peka ut vilka produkter som ska erbjudas hos apoteken. Det är något som görs regelbundet inför varje månadsskifte.

– Så om inte systemen kom i gång snabbt visste vi att det skulle få konsekvenser för läkemedelsmarknaden.

Men riktigt hur stor påverkan det faktiskt skulle kunna få hade de inte förstått.

– Redan i den första veckan insåg vi att effekterna skulle bli mycket större än vad än vad någon kunnat föreställa sig. Alla aktörer hade förlitat sig på att vi som myndighet fungerade, det fanns ingen plan B om vi inte kunde få i gång systemen ganska snart.

Utan TLV visste inte läkemedelsföretagen vilka läkemedel de skulle ta in i Sverige, apoteken visste inte vad de skulle beställa och distributörerna visste inte vad de skulle frakta. En myndighet satt ur spel skulle påverka hela landets läkemedelsförsörjning.

Under de tre veckor som systemen låg nere helt kunde de anställda inte arbeta som vanligt. Ärendehögarna växte, samtidigt som de behövde hantera mejl och telefonsamtal från upprörda företag.

– Det var kämpigt och alla fick svackor. Vi visste hur mycket det fanns att göra, det blev hela tiden mer, men samtidigt kunde inte vi göra mycket alls just då.

Det var en utmaning att hålla motivationen uppe i gruppen. För Jenny Carlsson blev det viktigt att vara närvarande och prata mer än vanligt med sina anställda.

– På så sätt kunde jag direkt se om någon dippade och fånga upp det. De flesta hade två bra dagar, följt av en dålig. För mig gällde det att se till att inte hela gruppen hade en dålig dag samtidigt.

Hur parerade du det när någon dippade?

– Till stor del handlade det om att fördela arbetsuppgifter. Det var ganska tufft att sitta och prata med arga företag. Var någon låg kanske en annan person skulle ta den uppgiften en dag.

Situationen krävde ett helt annat ledarskap än vad både Jenny Carlsson och gruppen vant sig vid. Vanligtvis hade gruppen varit självgående och de har tillsammans kunnat diskutera sig fram till olika lösningar, berättar hon.

– Här blev prioriteringarna helt annorlunda och gruppen mer passiv. De behövde hela tiden invänta min nästa order och vi fick tänka mycket dag för dag.

Hur var det?

– Jag uppskattar det vanliga sättet mycket mer. Men jag är glad att vi är en så pass sammansvetsad grupp och att alla förstod läget och accepterade det.

Jenny Carlsson tog också snabbt initiativet till en dialog med de olika aktörerna i läkemedelsbranschen för att försöka hitta lösningar på de tillfälliga problem som uppstod under tiden systemet låg nere.

– Det är jag glad att vi tidigt satte i gång med. Alla aktörer var också konstruktiva och positiva till att vi som myndighet inte försökte lösa allting på egen hand utan involverade dem och frågade vad som passade bäst för dem.

De värsta problemen gick att reda ut. I slutet av februari började ärendesystemet fungera och enheten kunde göra klart sina prisändringar för mars. Till en början fungerade systemet bara på kontoret. De köpte in godis till enheten och började beta av ärendehögarna.

– Det var så mycket härligare när vi äntligen kunde komma i gång och jobba. Det gav ny motivation och en känsla av att vi gör det här tillsammans.

Hur hårt jobb krävdes det för att komma ikapp?

– Alla hade fullt upp hela dagarna. Men vi behövde ingen övertid. Däremot fick vi lägga alla andra arbetsuppgifter åt sidan. Det skapade en viss stress, men samtidigt fanns en förståelse för att det här fick gå först.

Efter ungefär fyra veckors kämpande återgick arbetet till mer av ett normalläge. I maj kom ett kortare bakslag när en systemåterställning gick fel, vilket skapade en stor men inte lika akut arbetsbörda som tidigare. Det problemet gick snabbare att åtgärda, men skapade ändå en hel del frustration.

Diariet har däremot inte gått att återskapa. Där har dock Jenny Carlssons enhet klarat sig mer lindrigt undan, eftersom det används i större utsträckning i andra delar av myndigheten. Pappersarkivet som sträcker sig tillbaka till 2002, då myndigheten bildades, finns kvar. Men det saknas en sammanställning över alla ärenden så det går inte att överblicka vad som finns där.

Eftersom alltfler handlingar enbart finns i digital form saknas också stora delar av diariet från 2016 och framåt. Det är någonting som myndigheten kommer att få leva med och hantera under lång tid framöver. När Publikt träffar Jenny Carlsson fungerar ärendehanteringssystemet fortfarande inte heller optimalt och fullt ut.

Vilka råd skulle du ge till någon som hamnar i en liknande situation?

– Våga arbeta framåt, bli inte passiv, men ta ändå tillräckligt med tid för att tänka igenom varje beslut. Just att våga agera tror jag är väldigt viktigt. Vi var färgade av att ha varit i en liknande situation tidigare, vilket kanske gjorde att vi lutade oss tillbaka lite väl mycket till en början, säger Jenny Carlsson.