En ny version av regelverket för HSA är - HSA Tillitsramverk 5.0 - fastställdes den 3 maj 2024 efter att ha varit ute på remiss hos samtliga HSA-anslutna organisationer. De viktigaste ändringarna görs för att anpassa regelverket så att regioner, kommuner och privata vårdgivare ska kunna använda HSA, SITHS och Ineras IdP för åtkomst till Nationella läkemedelslistan. I samband med uppdateringen byter regelverket namn från HSA-policy till HSA Tillitsramverk. Sista dag att lämna svar på remissen är 23 april 2024.Tillitsramverket, som ersätter HSA-policyn, gäller från och med 1 januari 2025. Innan dess ska samtliga HSA-anslutna organisationer ta fram en HSA Tillitsdeklaration. HSA-anslutna producenter måste också tidigt ta ställning till vilka bör-krav som ska uppfyllas och starta arbetet för att möjliggöra detta så snart som möjligt.
Följande beskrivningar har flyttats längre ner på denna sida:
Varför ändringen av regelverket för HSA görs (bakgrund).
Vilka ändringar som gjorts jämfört med nu gällande regelverk HSA-policy 4.2.
Inkluderat versioner av dokumentet med och utan ändringsmarkeringar.
Tidplanen för övergången.
Remissförfarandet vid framtagandet av tillitsramverket.
Frågor och svar som inkommit under remissperioden.
HSA-ansluten producent - vad behöver HSA-ansvarig göra?
Enligt tidplanen ska alla HSA-anslutna producenter ha lämnat in en HSA Tillitsdeklaration senast den 31 oktober 2024. Men innan dess måste en hel del förberedande arbete göras. Vår starka rekommendation till dig som HSA-ansvarig är därför att påbörja detta arbete redan nu och att kanske också reservera tid i kalendern under sommaren (då det för de flesta kanske är lite lugnare) för att arbeta med dessa frågor.
Läs HSA Tillitsramverk 5.0, sätt dig in i skillnaden från HSA-policy 4.2 (med hjälp av revisionshistoriken eller versionerna med ändringsmarkeringar som finns längre ner på denna sida).
Se till att få beslut i organisationen avseende vilka av bör-kraven ni har för avsikt att uppfylla.
Ska ni utse en HSA Säkerhetsansvarig? Vem i så fall?
Notera att det måste vara en person utanför den lokala HSA-förvaltningen.
Ska HSA Säkerhetsansvarig genomföra bakgrundskontroller för HSA-ansvarig och ställföreträdande HSA-ansvarig?
Avser ni lämna in ny tillitsdeklaration minst vartannat år?
Ska HSA Säkerhetsansvarig eller annan oberoende part inom organisationen initiera och följa upp internrevisionen?
Kan och ska ni uppfylla de särskilda krav på hur organisationens informationssäkerhetsarbete ska bedrivas som beskrivs i avsnitt 4.1?
Hämta rätt mall för HSA Tillitsdeklaration från Projektplatsen, i denna mapp. Endast personer som är behöriga på Projektplatsen HSA Förvaltning (normalt endast HSA-ansvarig) kan komma åt dokumenten denna väg.
Ifyllningsbar mall kan även begäras ut, av HSA-ansvarig, genom att lägga ett ärende i Ineras Kundportal.
Mallarna finns även för påsyn (ej ifyllningsbara) på sidan Anslutningsavtal för producenter.
Fyll i tillitsdeklarationen så långt du kan på egen hand.
Utgå från tidigare godkänd HSA-policytillämpning (HPT) för organisationen, MEN kontrollera att den text du kopierar över verkligen överensstämmer med hur det fungerar i verkligheten.
Fyll även i avseende de nya kraven, om du känner dig helt säker på att du kan svara för detta själv.
Stäm av med berörda personer inom din organisation avseende kvarvarande krav i tillitsdeklarationen (bör-kraven samt vid behov även övriga nya krav)
Kan vara till exempel ansvarig chef eller informationssäkerhetsansvarig.
När tillitsdeklarationen är komplett ifylld – skicka in den via formuläret https://etjanster.inera.se/DokumentGranskning.
För de producenter som väljer att uppfylla bör-kraven bör HSA-ansvarig också göra följande:
Säkerställ att ställföreträdande HSA-ansvarig har genomgått HSA Grundutbildning.
Om inte – boka utbildning på sidan https://www.securestatecyber.se/utbildning/hsa .
Skicka in anmälan av HSA Säkerhetsansvarig.
Använd formuläret https://etjanster.inera.se/AndringHSAAnsl
Notera att HSA-ansvarig SKA kontrollera giltig id-handling vid fysiskt möte innan anmälan skickas.
Säkerställ att HSA Säkerhetsansvarig genomför bakgrundskontroll av HSA-ansvarig och ställföreträdande HSA-ansvarig enligt Instruktion för bakgrundskontroll enligt HSA Tillitsramverk.
Ladda upp resultatet av bakgrundskontrollerna i ärendet avseende organisationens HSA Tillitsdeklaration.
Tillsammans med HSA Säkerhetsansvarig eller den andra oberoende part som organisationen beslutat:
uppdatera era rutiner för internrevision utifrån att HSA Säkerhetsansvarig är den som ska initiera och följa upp internrevisionerna framöver.
planera också för nästa internrevision tillsammans. Och hjälps åt att säkerställa att det blir en riktigt bra internrevision!
Säkerställ att HSA Säkerhetsansvarig, HSA-ansvarig och ställföreträdande HSA-ansvarig har koll på kraven avseende organisationens informationssäkerhetsarbete i avsnitt 4.1 samt kan redogöra för hur organisationen uppfyller dessa.
HSA-ansluten konsument - vad behöver kontaktpersonen göra?
Enligt tidplanen ska alla HSA-anslutna konsumenter ha lämnat in en HSA Tillitsdeklaration senast den 31 januari 2025. Vårt tips är att du som är kontaktperson för en konsument (HSA-ansluten tjänst) reserverar tid för arbete med detta under hösten, eller att påbörjar det arbetet redan nu om det passar dig/er bättre.
Läs HSA Tillitsramverk 5.0, sätt dig in i skillnaden från HSA-policy 4.2 (med hjälp av revisionshistoriken eller versionerna med ändringsmarkeringar som finns längre ner på denna sida).
Hämta rätt mall för HSA Tillitsdeklaration från Projektplatsen, i denna mapp. Endast personer som är behöriga på Projektplatsen HSA Förvaltning (normalt endast kontaktpersonen) kan komma åt dokumenten denna väg.
Ifyllningsbar mall kan även begäras ut, av kontaktpersonen, genom att lägga ett ärende i Ineras Kundportal.
Mallarna finns även för påsyn (ej ifyllningsbara) på sidan Anslutningsavtal för konsumenter.
Fyll i tillitsdeklarationen så långt du kan på egen hand.
Utgå från tidigare godkänd HSA-policytillämpning (HPT) för tjänsten, MEN kontrollera att den text du kopierar över verkligen överensstämmer med hur det fungerar i verkligheten.
Fyll även i avseende de nya kraven, om du känner dig helt säker på att du kan svara för detta själv.
Stäm av med berörda personer inom din organisation avseende kvarvarande krav i tillitsdeklarationen (bör-kraven samt vid behov även övriga nya krav)
Kan vara till exempel kollegor i tjänsteförvaltningen, tjänstens arkitekt och/eller utvecklare.
När tillitsdeklarationen är komplett ifylld – skicka in den via formuläret https://etjanster.inera.se/DokumentGranskning.
Frågor och funderingar
Inera har tillsatt ett särskilt team för att hantera uppdateringen av anslutningsdokumentation (tillitsdeklarationer) för de 205 HSA-anslutna producenter och 35 HSA-anslutna konsumenter som berörs. Vår målsättning är alltså att kunna hantera det ökade flödet av frågor och granskningar som kan dyka upp under denna period utan onödigt dröjsmål.
Börja med att läsa informationen på denna sida noga - kanske finns svaret på din fundering här?
Skicka annars ett ärende via Ineras kundportal (https://kundportal.inera.se/) och formulera din fråga tydligt så återkommer vi till dig.
Som vanligt är det endast HSA-ansvarig, ställföreträdande HSA-ansvarig och kontaktperson som får skicka in ärenden avseende HSA.
Passa även på att ställa dina frågor om/när HSA Förvaltning kontaktar dig avseende HSA Tillitsdeklaration.
Om HSA Tillitsramverk och uppdateringen av regelverket för HSA
Bakgrund
Regelverket för HSA innehåller krav som alla organisationer som är anslutna till HSA måste uppfylla. Regelverket ägs gemensamt av de HSA-anslutna organisationerna, både producenter och konsumenter. Därför skickas skickades förslaget till uppdaterat regelverk ut på remiss. Beslut om ändringar av regelverket fattas av HSA Policygrupp, som består av representanter för de HSA-anslutna producenterna samt för HSA Förvaltning på Inera.
...
Under 2023 framförde framför allt regionerna ett tidskritiskt önskemål om att uppdatera regelverket så att HSA, SITHS och Ineras IdP ska kunna användas för åtkomst till Nationella läkemedelslistan. E-hälsomyndighetens GAP-analys mellan HSA-policyn och deras eget regelverk visade då på ett antal förändringsbehov i HSA-policyn för att detta skulle vara möjligt. Detta är anledningen till att uppdateringen av HSA-regelverket görs nu, trots att den delvis krockar med migreringen av HSA till den nya tekniska plattformen för grunddata och katalog.
Kort beskrivning av de viktigaste ändringarna
I den nya versionen av regelverket har ett antal krav ändrats utifrån E-hälsomyndighetens GAP-analys. För att de ändrade kraven inte ska utestänga någon befintlig HSA-ansluten organisation har de utformats som bör-krav med krav på redogörelse av efterlevnad. Dessa krav är försedda med tillägget: ”Att inte uppfylla ovanstående krav kan medföra att organisationens medarbetare inte ges åtkomst till skyddsvärd information i tjänster som använder HSA som källa för den behörighetsgrundande informationen.” Inera kommer att vidareförmedla uppgifter till E-hälsomyndigheten om vilka organisationer som inte uppfyller vilka krav, och E-hälsomyndigheten får därefter fatta beslut om huruvida medarbetare från dessa organisationer ska ges åtkomst till Nationella läkemedelslistan.
...
(avsnitt 2.1) Ny roll HSA Säkerhetsansvarig med uppgift att genomföra personkontroller av HSA-ansvarig och ställföreträdande samt att initiera och följa upp internrevisioner.
(nytt avsnitt 2.2) Krav på personkontroller bakgrundskontroller för HSA-ansvarig och ställföreträdande samt för medarbetare hos Inera eller och Ineras leverantörer.
(avsnitt 2.3.3, tidigare 2.2.3) Krav på inlämning av ny tillitsdeklaration minst vartannat år, oavsett om förändring skett eller inte.
(avsnitt 2.9, tidigare 2.7) Krav att internrevision ska utföras initieras och följas upp av oberoende part.
(avsnitt 4.1) Särskilda krav på hur organisationens informationssäkerhetsarbete ska bedrivas.
...
tillägg av det styrande dokumentet ”Eskaleringsprocess vid allvarliga avvikelser mot HSA Tillitsramverk”.
krav att även konsumenter ska anpassa sin tjänst till gällande schema.
krav att lämna gränssnitt för konsumtion av HSA-information inom 18 månader från meddelat end-of-life.
nytt avsnitt som beskriver vad som händer om tjänsten HSA upphör.
förtydligat krav för kontroll av behörighetsgrundande information i nytt avsnitt.
För en fullständig lista på över de ändringar som har införts i den nya versionen av regelverket, se revisionshistoriken i dokumentet.
I samband med uppdateringen byter regelverket namn från HSA-policy till HSA Tillitsramverk. HSA-policytillämpning (HPT) byter då också namn till HSA Tillitsdeklaration.
...
HSA Tillitsramverk 5.0
Remissversionen HSA Tillitsramverk 5.0 fastställdes av HSA Policygrupp den 22 februari 3 maj 2024. Nedan finns den i ett antal olika varianter:
View file name HSA_Tillitsramverk_remissversion_HSA Tillitsramverk 5.0, den fastställda versionen som gäller från och med 2025-01-01.Finns även på sidan Styrande dokument.
HSA Tillitsramverk 5.0 _med_kommentarer_och redline.docx . med ändringsmarkeringar gentemot remissversionen
Här visas de ändringar som gjorts baserat på inkomna remissvar i perioden 2024-03-25 - 2024-05-03. På vissa ställen finns information i kommentaren om varför ändringen gjorts.
För information om remissen, samt svar på frågor som inkommit vid remissen samt vid de öppna frågestunderna, se nedan.
HSA Tillitsramverk 5.0 med kommentarer och ändringsmarkeringar
I denna version visas ändringarna jämfört med HSA-policy 4.2 med ändringsmarkeringar. Det finns också kommentarer till vissa av ändringarna. Återkommande ändringar, som exempelvis bytet från HSA-policy till HSA Tillitsramverk och från HSA-policytillämpning (HPT) till HSA Tillitsdeklaration, visas endast en gång, och rena språkliga korrigeringar visas inte heller.OBS! För att kunna se ändringsmarkeringar och kommentarer behöver du ladda ner dokumentet och öppna det i Word.
name HSA_Tillitsramverk_remissversion_5.0_utan ändringsmarkeringar.docx Här kan du läsa förslaget till nytt regelverk så som det är tänkt att se ut.
View file name Dokumentjämförelse HSA-policy 4.2 och HSA Tillitsramverk 5.0.docx .I denna version visas de exakta ändringarna mellan de två versionerna av regelverket.
OBS! För att kunna se ändringsmarkeringarna behöver du ladda ner dokumentet och öppna det i Word.
Läs mer om hur du lämnar dina synpunkter i nedanstående avsnitt.
Remissrundan pågår 25 mars till 23 april 2024
Fram till och med den 23 april kan svar på remissen lämnas.
Vi ser gärna att varje HSA-ansluten organisation (producent eller konsument) samlar ihop sina synpunkter och skickar dem i ett samlat remissvar. Vi hoppas att våra HSA-ansvariga och kontaktpersoner kan hålla ihop detta för sin organisation. Men självklart kommer vi att ta emot och behandla alla synpunkter som kommer in. Vi ser fram emot er återkoppling så att vi kan säkerställa att HSA även fortsättningsvis styrs av ett regelverk som är känt och accepterat av alla HSA-anslutna organisationer.
Svar på remissen skickas till remiss.hsa.tillitsramverk@inera.se. För att underlätta vår hantering av inkomna synpunkter, säkerställ att mejlet:
namnges med ämnet Remissynpunkter [Organisationens namn].
innehåller
en beskrivning av huruvida ni är nöjda med innehållet i tillitsramverket eller vill föreslå ändringar.
för varje ändring ni föreslår, angivelse av
avsnitt i tillitsramverket.
vilken text ni vill ändra (från vad till vad).
motivering till varför ni föreslår ändringen.
kontaktperson för remissvaret (inklusive kontaktuppgifter).
Öppna frågestunder om remissen och HSA Tillitsramverk
Två öppna frågestunder kommer att hållas via Teams, där arbetsgruppen för regelverksuppdateringen finns på plats för att svara på frågor och hjälpa till vid formuleringen av remissvar.
...
Torsdag 11 april klockan 15.00-16.00 - genomfört med cirka 10 deltagare.
...
Tidplan för övergången till HSA Tillitsramverk 5.0
Efter återkoppling från HSA Nätverksmöte i november 2023 har tidplanen för övergången till HSA Tillitsramverk förskjutits med två månader och ser ut på följande sätt:
När | Vad |
|---|---|
|
|
|
|
|
|
|
|
22 maj 2024 | Presentation av HSA Tillitsramverk 5.0 samt tidplan för uppdaterade tillitsdeklarationer vid HSA Nätverksmöte. |
31 oktober 2024 | Sista inlämningsdag för uppdaterad HSA Tillitsdeklaration för producenter. |
1 januari 2025 | HSA Tillitsramverk 5.0 börjar gälla. |
31 januari 2025 | Samtliga producenters uppdaterade HSA Tillitsdeklaration godkända. |
31 januari 2025 | Sista inlämningsdag för uppdaterad HSA Tillitsdeklaration för konsumenter. |
15 mars 2025 | Samtliga konsumenters uppdaterade HSA Tillitsdeklaration godkända. |
Ifyllnad av tillitsdeklarationer för alla HSA-anslutna organisationer
Förhoppningen under denna process har varit att kunna erbjuda ett verktyg för ifyllnad av tillitsdeklarationer som skulle möjliggöra att spara informationen i respektive direktansluten organisations tillitsdeklaration och kunna bibehålla de ifyllda delarna när HSA-ansvarig/kontaktpersonen uppdaterar tillitsdeklarationen - oavsett om det sker på organisationens initiativ eller utifrån att HSA Tillitsramverk uppdateras.
Vi har dock inte lyckats i denna ambition, och därför kommer vi tills vidare att fortsätta med Word-mallar även för tillitsdeklarationerna (precis som vi haft tidigare för HSA-policytillämpningarna, HPT:erna).
Läsbara versioner av de olika mallarna för tillitsdeklarationer finns på sidorna Anslutningsavtal för producenter respektive Anslutningsavtal för konsumenter. Ifyllningsbara versioner finns på Projektplatsen, tillgängliga för HSA-ansvariga hos direktanslutna producerande organisationer och för kontaktpersonerna hos direktanslutna konsumerande organisationer.
Om remissen inför fastställande av tillitsramverket
Remissrundan pågick 25 mars till 23 april 2024
För att säkerställa möjlighet för alla HSA-anslutna organisationer att påverka det gemensamma regelverket skickades förslaget till HSA Tillitsramverk 5.0 ut på remiss under perioden 25 mars till 23 april 2024. Det genomfördes under denna tid också två öppna frågestunder där det erbjöds möjlighet att både ställa frågor kring föreslagna ändringar och att inkomma med synpunkter.
Totalt inkom remissynpunkter från sex producenter och en konsument. Ytterligare ett femtontal producenter deltog i de öppna frågestunderna men valde efter detta att inte skicka in några remissynpunkter. Arbetsgruppen för uppdateringen av tillitsramverket besvarade varje inkommen remissynpunkt eller fråga, och arbetade också in vissa av dem i ett förnyat förslag. Detta förslag fastställdes av HSA Policygrupp den 3 maj 2024 och utgör därmed den gällande versionen av HSA Tillitsramverk 5.0.
Frågor som inkommit via remissen och vid de öppna frågestunderna, med tillhörande svar
Avsnitt 2.1 Ansvarsförhållanden, kravet Direktansluten producent bör utse en HSA Säkerhetsansvarig.
Fråga: Kan stycket kompletteras med exempel på förutsättningar som medför att en organisations medarbetare blir nekade tillgång till skyddsvärd information i tjänster? Detta för att en organisation ska kunna bedöma risken och konsekvenserna av att inte utse en HSA Säkerhetsansvarig.
...
I de diskussioner vi haft med E-hälsomyndigheten hittills är de tydliga med att de inte vill släppa in medarbetare från organisationer som inte uppfyller samtliga dessa bör-krav i nationella läkemedelslistan. Om detta ställningstagande kommer att vara gällande även i framtiden vet vi inte. Det är också därför som vi lagt beslutet om vilka krav som måste vara uppfyllda i tjänsternas (i detta fall E-hälsomyndighetens) händer och inte i HSA:s eller Ineras.
Avsnitt 2.1 Ansvarsförhållanden, kravet Direktansluten producent bör utse en HSA Säkerhetsansvarig.
Fråga: Vem skulle kunna vara lämplig i rollen som HSA Säkerhetsansvarig?
...
Om organisationen redan har en SITHS Säkerhetsansvarig kanske denna persons uppdrag kan utökas till att också vara HSA Säkerhetsansvarig? Annars kanske dataskyddsombudet, medarbetare inom organisationens informationssäkerhetsfunktion eller internrevisionsfunktion alternativt MAS (medicinskt ansvarig sjuksköterska) kan vara ett alternativ?
Avsnitt 2.2 2 Bakgrundskontroller
Fråga: Vad omfattar bakgrundskontrollen? Varför är detta inte tydligare beskrivet i tillitsramverket?
Svar: Instruktioner Instruktionen för genomförande av bakgrundskontroll kommer att hanteras som en ett separat instruktion. dokument Denna är ännu inte fastställd, men här kan ni se förslaget till rutin för bakgrundskontroll[HL1] så som den ser ut just nuarbetsgruppen arbetar på denna och räknar med att kunna presentera åtminstone en preliminär version. Rutinen utgår från befintlig rutin för de bakgrundskontroller som görs för SITHS idag och omfattar intyg om nuvarande anställning, lämplighet för tjänsten och lämplighet, legal lämplighet (utdrag ur belastningsregistret), finansiell lämplighet (kontroll hos Kronofogdemyndigheten) samt genomgången HSA-utbildning.
Att vi lägger specificeringen av vad som ingår i bakgrundskontrollen i ett separat dokument gör det möjligt för oss att vid behov förtydliga eller förändra bakgrundskontrollen utan att behöva uppdatera tillitsramverket och kräva in uppdaterade tillitsdeklarationer av samtliga HSA-anslutna organisationer.
Avsnitt 2.9, kravet att internrevision bör
...
initieras och följas upp av oberoende part
Fråga: Hur ska vi tolka oberoende part som ansvarig för internrevisionen? Vad blir HSA-ansvarigs roll i internrevisionen framöver?
...
Tilläggas kan också att HSA-ansvarig enligt tillitsramverket har det övergripande ansvaret för att tillitsramverket efterlevs i sin helhet, vilket ju även omfattar att internrevision genomförs. Så vid behov kan HSA-ansvarig även behöva säkerställa att HSA Säkerhetsansvarig verkligen initierar och följer upp internrevisionen.
Fortsatt tidplan för övergången till HSA Tillitsramverk 5.0
Efter återkoppling från HSA Nätverksmöte i november 2023 har tidplanen för övergången till HSA Tillitsramverk förskjutits med två månader och ser ut på följande sätt:
...
När
...
Vad
...
3 maj 2024
...
Fastställande av HSA Tillitsramverk 5.0 med anpassningar efter inkomna remissvar.
...
22 maj 2024
...
Presentation av HSA Tillitsramverk 5.0 samt tidplan för uppdaterade tillitsdeklarationer vid HSA Nätverksmöte.
...
31 oktober 2024
...
Sista inlämningsdag för uppdaterad HSA Tillitsdeklaration för producenter.
...
1 januari 2025
...
HSA Tillitsramverk 5.0 börjar gälla.
...
31 januari 2025
...
Samtliga producenters uppdaterade HSA Tillitsdeklaration godkända.
...
31 januari 2025
...
Sista inlämningsdag för uppdaterad HSA Tillitsdeklaration för konsumenter.
...
15 mars 2025
...
Avsnitt 4.2.4 Vilka vårdgivare kan stå under annan myndighets kontroll (annan än Inspektionen för vård och omsorg, IVO)?
Det har framkommit under anslutningsdiskussioner att vissa myndigheter inte omfattas av IVOs kontrollansvar utan har en egen kontrollmyndighet för sin vårdgivarverksamhet. För att ge dem möjlighet att ansluta till HSA, om de så skulle önska, har vi gjort detta tillägg i tillitsramverket.
Generellt Vilka krav i policyn gäller för vilken anslutningsform (producent/konsument, fullständig/förenklad)?
Alla krav i tillitsramverket gäller alla anslutna organisationer, oavsett anslutningsform. Kraven gäller också HSA Förvaltning och HSA Policygrupp. Beroende på anslutningsform är det emellertid i vissa fall inte möjligt att bryta mot enskilda krav. I dessa fall krävs inte någon redogörelse för att – och hur – kravet efterlevs. Vilka dessa krav är framgår i mallen för tillitsdeklaration för respektive anslutningsform.