Informationssäkerhet i vården handlar om att patientuppgifter finns tillgängliga för den som är behörig, att de är korrekta, att obehöriga inte kommer åt dem och att varje åtgärd går att härleda till en användare. Kraven följer av patientdatalagen och preciseras i tredje kapitlet i Socialstyrelsens föreskrifter HSLF-FS 2016:40, som gäller i uppdaterad lydelse sedan den 1 februari 2026.
Kapitlet handlar om systemen snarare än om uppgifterna, och det ställer konkreta krav på allt från riskanalyser och driftdokumentation till test av nya system och planering för driftstörningar. Här går vi igenom vad som gäller och vad kraven betyder i praktiken.
Grunden är fyra egenskaper som vårdgivaren ska säkerställa genom sitt ledningssystem. Dokumenterade personuppgifter ska vara åtkomliga och användbara för den som är behörig, uppgifterna ska vara oförvanskade, obehöriga ska inte kunna ta del av dem och varje åtgärd ska kunna härledas till en användare i system som är helt eller delvis automatiserade.
Föreskriften rekommenderar i sina allmänna råd att svenska standarder används när ledningssystemet byggs upp, till exempel standarder i ISO 27000-serien. Samtidigt är det tydligt uttalat att en standard aldrig ersätter skyldigheten att uppfylla kraven i föreskriften. Ett certifikat är alltså ett stöd i arbetet, inte ett bevis på att reglerna följs.
Vårdgivaren ska ansvara för att det finns en informationssäkerhetspolicy som anger de övergripande målen och inriktningen för arbetet. Policyn är utgångspunkten, men den gör ingen nytta ensam.
Riskerna ska bedömas fortlöpande. För varje händelse som kan leda till att kraven inte uppfylls ska vårdgivaren uppskatta sannolikheten för att den inträffar och bedöma vilka negativa konsekvenser den skulle få. Riskanalyserna ska dokumenteras, vilket gör dem möjliga att följa upp och att visa vid tillsyn.
Ansvaret ska dessutom ha en adress. Vårdgivaren ska utse en eller flera personer som leder och samordnar informationssäkerhetsarbetet, och minst en gång om året ska de sammanställa information om genomförda riskanalyser, inträffade incidenter som medfört eller hade kunnat medföra vårdskada, gjorda uppföljningar och vidtagna förbättringsåtgärder. De allmänna råden tillägger att personerna bör ha en sådan ställning i organisationen att arbetet kan prioriteras och utföras effektivt.
Den årliga sammanställningen är inte en intern produkt. Patientsäkerhetsberättelsen ska innehålla de uppföljningar och förbättringsåtgärder som är av större betydelse, de riskanalyser som gjorts och den årliga utvärderingen av skyddet mot olovlig åtkomst.
Kraven i föreskriften ska säkerställas redan vid upphandling eller egenutveckling av informationssystem som behandlar personuppgifter. Informationssäkerheten är alltså en kravställningsfråga, inte något som läggs till i efterhand.
Vid utveckling, idrifttagande och ändring ska vårdgivaren säkerställa att tillgängligheten, riktigheten, konfidentialiteten och spårbarheten inte riskeras, och systemet ska testas innan det tas i drift. De allmänna råden är ovanligt konkreta här. Tester bör göras i miljöer som är åtskilda från produktionsmiljöer, och informationen i testmiljöerna bör inte innehålla personuppgifter.
Ändringar bör planeras i förväg, effekterna på informationssäkerhet och funktion bör bedömas innan ändringen görs, och vårdgivaren bör godkänna ändringar innan de tas i drift.
Beslut om att ta ett system i drift ska dokumenteras. Enligt de allmänna råden bör beslutet innehålla en beskrivning av systemets syfte och hur det ska användas, samt en validering av att systemet följer informationssäkerhetspolicyn och övriga säkerhetskrav.
Vi utvecklar och förvaltar it-stöd till hälso och sjukvården och möter kraven från leverantörssidan varje dag. I praktiken är det ofta kravställningen och testrutinerna som avgör hur mycket arbete som senare hamnar i förvaltningen.
Varje informationssystem som används för behandling av personuppgifter ska ha uppdaterad och tillgänglig driftdokumentation. Kravet låter trivialt och är det inte. Driftdokumentation som ligger ett par år efter verkligheten är den vanligaste orsaken till att en incident tar längre tid att lösa än den borde.
Personuppgifterna ska säkerhetskopieras med en fastställd periodicitet, och kopiorna ska förvaras säkert och väl åtskilda från originaluppgifterna. Vårdgivaren ska dessutom besluta hur länge kopiorna sparas och hur ofta återläsningstester görs. De allmänna råden kopplar testfrekvensen till resultaten av återkommande riskanalyser.
Till det kommer det fysiska skyddet. Informationssystemen ska skyddas mot skada, störning och obehörig åtkomst, och enligt de allmänna råden bör de förvaras i säkra utrymmen med lämpliga säkerhetsavspärrningar och tillträdeskontroller.
Vårdgivaren ska planera för hur verksamheten ska bedrivas om de system som behandlar personuppgifter inte fungerar, och för hur återstart eller återställande ska göras efter en funktionsstörning. Planeringen ska dokumenteras.
De allmänna råden går ett steg längre. Planeringen bör testas med en periodicitet som fastställts efter genomförd riskanalys, och den bör uppdateras och testas igen vid förändringar i verksamheten eller i riskbilden. En reservrutin som aldrig har prövats är i praktiken en obekräftad förhoppning, och det visar sig först den dag journalsystemet ligger nere.
Vid elektronisk överföring av personuppgifter ska vårdgivaren ansvara för att obehöriga inte kan ta del av uppgifterna, och för att tillgång genom elektronisk åtkomst, direktåtkomst eller annat elektroniskt utlämnande ges efter flerfaktorsautentisering. Begreppet ersatte tidigare stark autentisering, och definitionen innebär kontroll av uppgiven identitet på flera av varandra oberoende sätt.
Ett avgränsat undantag finns. Efter en dokumenterad behovs och riskanalys får vårdgivaren besluta om undantag vid överföring av påminnelser och kallelser till patienter, men sådana utskick kräver patientens medgivande och får inte avslöja detaljer om hälsotillstånd eller andra personliga förhållanden.
Skyddet ska dessutom utvärderas årligen. Vårdgivaren ska varje år utvärdera skyddet mot såväl intern som extern olovlig åtkomst till datornätverk och informationssystem. Den interna delen hänger direkt ihop med behörighetsstyrning och loggkontroll, där uppföljningen av faktisk åtkomst sker.
Några punkter som brukar avgöra hur väl en verksamhet lever upp till kraven:
Gisys har lång erfarenhet av att utveckla och förvalta it-stöd till hälso och sjukvården och arbetar sedan många år med regioner, sjukhus och andra vård- och omsorgsverksamheter. Vi hjälper er att ställa krav vid upphandling och utveckling, få driftdokumentation och testrutiner på plats och bygga de integrationer som krävs mellan era system.
Vill ni veta vad kraven i föreskriften betyder för just er systemmiljö? Kontakta oss så berättar vi mer.