En ny version av regelverket för HSA har varit ute på remiss hos samtliga HSA-anslutna organisationer. De viktigaste ändringarna görs för att anpassa regelverket så att regioner, kommuner och privata vårdgivare ska kunna använda HSA, SITHS och Ineras IdP för åtkomst till Nationella läkemedelslistan. I samband med uppdateringen byter regelverket namn från HSA-policy till HSA Tillitsramverk. Tillitsramverket fastställdes den 3 maj 2024 och gäller från och med 1 januari 2025. Innan dess ska samtliga HSA-anslutna organisationer ta fram en HSA Tillitsdeklaration.

Bakgrund

Regelverket för HSA innehåller krav som alla organisationer som är anslutna till HSA måste uppfylla. Regelverket ägs gemensamt av de HSA-anslutna organisationerna, både producenter och konsumenter. Därför skickades förslaget till uppdaterat regelverk ut på remiss. Beslut om ändringar av regelverket fattas av HSA Policygrupp, som består av representanter för de HSA-anslutna producenterna samt för HSA Förvaltning på Inera.

Den nu gällande versionen av regelverket, HSA-policy 4.2, fastställdes i maj 2020. Sedan dess har Inera löpande tagit emot önskemål om förändringar i regelverket från både producenter, konsumenter, HSA Policygrupp och HSA Förvaltning.

Under 2023 framförde framför allt regionerna ett tidskritiskt önskemål om att uppdatera regelverket så att HSA, SITHS och Ineras IdP ska kunna användas för åtkomst till Nationella läkemedelslistan. E-hälsomyndighetens GAP-analys mellan HSA-policyn och deras eget regelverk visade då på ett antal förändringsbehov i HSA-policyn för att detta skulle vara möjligt. Detta är anledningen till att uppdateringen av HSA-regelverket görs nu, trots att den delvis krockar med migreringen av HSA till den nya tekniska plattformen för grunddata och katalog.

Kort beskrivning av de viktigaste ändringarna

I den nya versionen av regelverket har ett antal krav ändrats utifrån E-hälsomyndighetens GAP-analys. För att de ändrade kraven inte ska utestänga någon befintlig HSA-ansluten organisation har de utformats som bör-krav med krav på redogörelse av efterlevnad. Dessa krav är försedda med tillägget: ”Att inte uppfylla ovanstående krav kan medföra att organisationens medarbetare inte ges åtkomst till skyddsvärd information i tjänster som använder HSA som källa för den behörighetsgrundande informationen.” Inera kommer att vidareförmedla uppgifter till E-hälsomyndigheten om vilka organisationer som inte uppfyller vilka krav, och E-hälsomyndigheten får därefter fatta beslut om huruvida medarbetare från dessa organisationer ska ges åtkomst till Nationella läkemedelslistan.

Följande bör-krav i HSA Tillitsramverk 5.0 härstammar från E-hälsomyndighetens GAP-analys:

• (avsnitt 2.1) Ny roll HSA Säkerhetsansvarig med uppgift att genomföra personkontroller av HSA-ansvarig och ställföreträdande samt att initiera och följa upp internrevisioner.

• (nytt avsnitt 2.2) Krav på bakgrundskontroller för HSA-ansvarig och ställföreträdande samt för medarbetare hos Inera och Ineras leverantörer.

• (avsnitt 2.3.3, tidigare 2.2.3) Krav på inlämning av ny tillitsdeklaration minst vartannat år, oavsett om förändring skett eller inte.

• (avsnitt 2.9, tidigare 2.7) Krav att internrevision ska initieras och följas upp av oberoende part.

• (avsnitt 4.1) Särskilda krav på hur organisationens informationssäkerhetsarbete ska bedrivas.

Bland övriga förändringar kan nämnas:

• tillägg av det styrande dokumentet ”Eskaleringsprocess vid allvarliga avvikelser mot HSA Tillitsramverk”.

• krav att även konsumenter ska anpassa sin tjänst till gällande schema.

• krav att lämna gränssnitt för konsumtion av HSA-information inom 18 månader från meddelat end-of-life.

• nytt avsnitt som beskriver vad som händer om tjänsten HSA upphör.

• förtydligat krav för kontroll av behörighetsgrundande information i nytt avsnitt.

För en fullständig lista på de ändringar som har införts i den nya versionen av regelverket, se revisionshistoriken i dokumentet.

I samband med uppdateringen byter regelverket namn från HSA-policy till HSA Tillitsramverk. HSA-policytillämpning (HPT) byter då också namn till HSA Tillitsdeklaration.

HSA Tillitsramverk 5.0

HSA Tillitsramverk 5.0 fastställdes av HSA Policygrupp den 3 maj 2024. Nedan finns den i ett antal olika varianter:

• HSA Tillitsramverk 5.0, den fastställda versionen som gäller från och med 2025-01-01.

  • Finns även på sidan https://inera.atlassian.net/wiki/spaces/OIKH/pages/346985304.

• HSA Tillitsramverk 5.0 med ändringsmarkeringar gentemot remissversionen

  • Här visas de ändringar som gjorts baserat på inkomna remissvar i perioden 2024-03-25 - 2024-05-03. På vissa ställen finns information i kommentaren om varför ändringen gjorts.

  • För information om remissen, samt svar på frågor som inkommit vid remissen samt vid de öppna frågestunderna, se nedan.

• HSA Tillitsramverk 5.0 med kommentarer och ändringsmarkeringar

  • I denna version visas ändringarna jämfört med HSA-policy 4.2 med ändringsmarkeringar. Det finns också kommentarer till vissa av ändringarna. Återkommande ändringar, som exempelvis bytet från HSA-policy till HSA Tillitsramverk och från HSA-policytillämpning (HPT) till HSA Tillitsdeklaration, visas endast en gång, och rena språkliga korrigeringar visas inte heller.

• Dokumentjämförelse HSA-policy 4.2 och HSA Tillitsramverk 5.0

  • I denna version visas de exakta ändringarna mellan de två versionerna av regelverket.

Tidplan för övergången till HSA Tillitsramverk 5.0

Efter återkoppling från HSA Nätverksmöte i november 2023 har tidplanen för övergången till HSA Tillitsramverk förskjutits med två månader och ser ut på följande sätt:

Ifyllnad av tillitsdeklarationer för alla HSA-anslutna organisationer

Förhoppningen under denna process har varit att kunna erbjuda ett verktyg för ifyllnad av tillitsdeklarationer som skulle möjliggöra att spara informationen i respektive direktansluten organisations tillitsdeklaration och kunna bibehålla de ifyllda delarna när HSA-ansvarig/kontaktpersonen uppdaterar tillitsdeklarationen - oavsett om det sker på organisationens initiativ eller utifrån att HSA Tillitsramverk uppdateras.

Vi har dock inte lyckats i denna ambition, och därför kommer vi tills vidare att fortsätta med Word-mallar även för tillitsdeklarationerna (precis som vi haft tidigare för HSA-policytillämpningarna, HPT:erna).

Läsbara versioner av de olika mallarna för tillitsdeklarationer (i pdf) kommer att publiceras här inom kort. Samtidigt kommer vi också publicera ifyllningsbara versioner på Projektplatsen, tillgängliga för HSA-ansvariga hos direktanslutna producerande organisationer och för kontaktpersonerna hos direktanslutna konsumerande organisationer.

Om remissen inför fastställande av tillitsramverket

Remissrundan pågick 25 mars till 23 april 2024

För att säkerställa möjlighet för alla HSA-anslutna organisationer att påverka det gemensamma regelverket skickades förslaget till HSA Tillitsramverk 5.0 ut på remiss under perioden 25 mars till 23 april 2024. Det genomfördes under denna tid också två öppna frågestunder där det erbjöds möjlighet att både ställa frågor kring föreslagna ändringar och att inkomma med synpunkter.

Totalt inkom remissynpunkter från sex producenter och en konsument. Ytterligare ett femtontal producenter deltog i de öppna frågestunderna men valde efter detta att inte skicka in några remissynpunkter. Arbetsgruppen för uppdateringen av tillitsramverket besvarade varje inkommen remissynpunkt eller fråga, och arbetade också in vissa av dem i ett förnyat förslag. Detta förslag fastställdes av HSA Policygrupp den 3 maj 2024 och utgör därmed den gällande versionen av HSA Tillitsramverk 5.0.

Frågor som inkommit via remissen och vid de öppna frågestunderna, med tillhörande svar

Avsnitt 2.1 Ansvarsförhållanden, kravet Direktansluten producent bör utse en HSA Säkerhetsansvarig.

Fråga: Kan stycket kompletteras med exempel på förutsättningar som medför att en organisations medarbetare blir nekade tillgång till skyddsvärd information i tjänster? Detta för att en organisation ska kunna bedöma risken och konsekvenserna av att inte utse en HSA Säkerhetsansvarig.

Svar: Skrivningen i tillitsramverket kring att uppfyllelse av somliga bör-krav KAN medföra att organisationens medarbetare nekas åtkomst till vissa tjänster är medvetet inte så tydligt utformad.

Detta dels utifrån att skrivningen behöver vara hållbar över tid. Även om det just nu ”bara” gäller åtkomst till nationella läkemedelslistan hos E-hälsomyndigheten så kan det vara fler tjänster framöver som också vill ansluta sig till dessa krav. Men också därför att det även för de aktuella tjänsterna kan komma att ändras över tid vad som anses vara krav som måste vara uppfyllda för att de ska bevilja åtkomst.

I de diskussioner vi haft med E-hälsomyndigheten hittills är de tydliga med att de inte vill släppa in medarbetare från organisationer som inte uppfyller samtliga dessa bör-krav i nationella läkemedelslistan. Om detta ställningstagande kommer att vara gällande även i framtiden vet vi inte. Det är också därför som vi lagt beslutet om vilka krav som måste vara uppfyllda i tjänsternas (i detta fall E-hälsomyndighetens) händer och inte i HSA:s eller Ineras.

Avsnitt 2.1 Ansvarsförhållanden, kravet Direktansluten producent bör utse en HSA Säkerhetsansvarig.

Fråga: Vem skulle kunna vara lämplig i rollen som HSA Säkerhetsansvarig?

Svar: Viktigast är att HSA Säkerhetsansvarig inte har någon annan roll i den lokala HSA-förvaltningen. Annars är det upp till respektive organisation att välja vem som ska utses för rollen. En bra utgångspunkt är att tänka att internrevision är en del av informationssäkerhetsarbetet för tjänsten, så intresse och kunskap kring dessa frågor är bra. Det bör också vara en person som har förmågan att förstå vad HSA är och gör.

Om organisationen redan har en SITHS Säkerhetsansvarig kanske denna persons uppdrag kan utökas till att också vara HSA Säkerhetsansvarig? Annars kanske dataskyddsombudet, medarbetare inom organisationens informationssäkerhetsfunktion eller internrevisionsfunktion alternativt MAS (medicinskt ansvarig sjuksköterska) kan vara ett alternativ?

Avsnitt 2.2 2 Bakgrundskontroller

Fråga: Vad omfattar bakgrundskontrollen? Varför är detta inte tydligare beskrivet i tillitsramverket?

Svar: Instruktionen för genomförande av bakgrundskontroll kommer att hanteras som ett separat dokument Denna är ännu inte fastställd, arbetsgruppen arbetar på denna och räknar med att kunna presentera åtminstone en preliminär version. Rutinen utgår från befintlig rutin för de bakgrundskontroller som görs för SITHS idag och omfattar intyg om nuvarande anställning, lämplighet för tjänsten och legal lämplighet, finansiell lämplighet (kontroll hos Kronofogdemyndigheten) samt genomgången HSA-utbildning.

Att vi lägger specificeringen av vad som ingår i bakgrundskontrollen i ett separat dokument gör det möjligt för oss att vid behov förtydliga eller förändra bakgrundskontrollen utan att behöva uppdatera tillitsramverket och kräva in uppdaterade tillitsdeklarationer av samtliga HSA-anslutna organisationer.

Avsnitt 2.9, kravet att internrevision bör initieras och följas upp av oberoende part

Fråga: Hur ska vi tolka oberoende part som ansvarig för internrevisionen? Vad blir HSA-ansvarigs roll i internrevisionen framöver?

Svar: Normalt blir HSA Säkerhetsansvarig ansvarig för revisionen. Och kravet på HSA Säkerhetsansvarig är att denne inte har en roll i den lokala HSA-förvaltningen och därmed kan anses opartisk. Om man använder sig av “särskild roll eller funktion inom organisationen med särskilt ansvar för intern granskning” så gäller kravet även för dem så att ingen av dem får ha en roll i den lokala HSA-förvaltningen.
Kravet avser initiering och uppföljning av internrevisionen, vilket lämnar öppet för att den lokala HSA-förvaltningen kan ha en relativt stor roll i internrevisionen även framöver. I praktiken kommer det nog att bero på vem som utses till HSA Säkerhetsansvarig och vilka kunskaper om tjänsten och vilken tid för uppdraget som denna person har eller får över tid. Det viktigaste är att internrevisionen genomförs på ett sådant sätt att efterlevnaden till regelverket verkligen kan säkerställas och med fokus på de krav som är viktiga för till exempel patientintegritet och gällande lagstiftning samt på de områden där man misstänker att avvikelser förekommer.

Tilläggas kan också att HSA-ansvarig enligt tillitsramverket har det övergripande ansvaret för att tillitsramverket efterlevs i sin helhet, vilket ju även omfattar att internrevision genomförs. Så vid behov kan HSA-ansvarig även behöva säkerställa att HSA Säkerhetsansvarig verkligen initierar och följer upp internrevisionen.

Avsnitt 4.2.4 Vilka vårdgivare kan stå under annan myndighets kontroll (annan än Inspektionen för vård och omsorg, IVO)?

Det har framkommit under anslutningsdiskussioner att vissa myndigheter inte omfattas av IVOs kontrollansvar utan har en egen kontrollmyndighet för sin vårdgivarverksamhet. För att ge dem möjlighet att ansluta till HSA, om de så skulle önska, har vi gjort detta tillägg i tillitsramverket.

Generellt Vilka krav i policyn gäller för vilken anslutningsform (producent/konsument, fullständig/förenklad)?

Alla krav i tillitsramverket gäller alla anslutna organisationer, oavsett anslutningsform. Kraven gäller också HSA Förvaltning och HSA Policygrupp. Beroende på anslutningsform är det emellertid i vissa fall inte möjligt att bryta mot enskilda krav. I dessa fall krävs inte någon redogörelse för att – och hur – kravet efterlevs. Vilka dessa krav är framgår i mallen för tillitsdeklaration för respektive anslutningsform.