Norm for informasjonssikkerhet

Regular external auditing of security practices

Critical

High

Normal

Low

Regular internal monitoring of the implementation of the information security management system

Critical

High

Normal

Low

Evaluating the efficiency of arranged training

Critical

High

Normal

Low

Cyber security training

Defining and documenting cyber security metrics

Critical

High

Normal

Low

Executing and documenting internal audits

Critical

High

Normal

Low

Implementation and documentation of management reviews

Critical

High

Normal

Low

Internal audit procedure -report publishing and maintenance

Critical

High

Normal

Low

5.7.4.4: Databehandlers andre plikter

Dersom databehandler behandler helse- og personopplysninger fra flere virksomheter, skal databehandler ved hjelp av tekniske tiltak, som ikke kan overstyres av dataansvarliges brukere, ivareta at det er etablert skiller mellom virksomhetene i henhold til gjennomført risikovurdering.

Databehandler skal uten ugrunnet opphold melde til dataansvarlig at avvik har oppstått. Databehandler skal bidra til at dataansvarlig kan overholde fristen for eventuell melding til Datatilsynet innen 72 timer.

Related tasks

Multi-controller data separation and breach notification process

Critical

High

Normal

Low

Data system management

Management of operational technologies

5.3.6: Sikkerhet for medisinsk utstyr og velferdsteknologi

Medisinsk utstyr og velferdsteknologi som behandler helse- og personopplysninger, skal inkluderes i virksomhetens arbeid med informasjonssikkerhet og personvern, herunder i risikovurderinger, tilgangsstyring, endringskontroll og rutiner for bruk, på linje med andre informasjonssystemer.

Related tasks

Inclusion of medical and welfare technology in security management

Critical

High

Normal

Low

5.2.1.1: Autorisasjonsregister

Virksomheten skal sørge for at det opprettes et autorisasjonsregister. Registeret skal som minimum inneholde:

informasjon om hvem som er tildelt autorisasjon
informasjon om til hvilken rolle autorisasjonen er tildelt (om rollen benyttes i virksomheten)
formålet med autorisasjonen
tidspunkt for når autorisasjonen ble gitt og eventuelt tilbakekalt
informasjon om hvilken virksomhet den autoriserte er knyttet til
helsepersonells autorisasjon for tilgang til helseopplysninger i annen virksomhet (kun om tilgang til helseopplysninger i annen virksomhet er tatt i bruk).

Related tasks

Establishing and maintaining an authorisation register

Critical

High

Normal

Low

Agreements and monitoring

5.7.8: Overføring av opplysninger til utlandet

Virksomheter som overfører personopplysninger til utlandet, skal passe på at beskyttelsesnivået i personopplysningsloven ikke undergraves ved overføringen.

Alle landene innenfor EU/EØS-området har innført personvernforordningen og slik sikret at personopplysninger behandles forsvarlig. Europakommisjonen har i tillegg anerkjent at noen tredjeland har et tilstrekkelig nivå for vern av personopplysninger. Derfor kan personopplysninger fritt overføres til disse statene. Dette forutsetter at personopplysningslovens øvrige vilkår er oppfylt. Se kapittel 5.7.5, særlig kravene til risikovurdering, og landrisikovurdering.

Dersom det skal benyttes leverandører eller tjenester etablert utenfor EU/EØS, kan det gjelde spesielle krav. Disse kravene skal sikre at opplysningene er underlagt samme beskyttelsesnivå som i EU/EØS-området. Når virksomheten overfører personopplysninger til stater utenfor EU/EØS-området, såkalte “tredjeland”, skal den bruke et av overføringsgrunnlagene i forordningen.

Ved overføring av opplysninger til land utenfor EU/EØS skal virksomheten sikre at den har tilstrekkelig kompetanse (f.eks. juridisk kompetanse) tilgjengelig for å gjennomføre dette i tråd med relevante krav.

Related tasks

Data system listing and owner assignment

Critical

High

Normal

Low

Data system management

Data processing partner listing and owner assignment

Critical

High

Normal

Low

Documentation of bases for personal data transfer for relevant partners

Critical

High

Normal

Low

Data transfer and disclosure

5.5.3.2: Krav til meldingskommunikasjon basert på ebXML-rammeverket

Avsender er ansvarlig for:

rett adressering av elektroniske samhandlingsmeldinger iht. adresseregisteret (nhn.no)
at meldingen ved behov skal være signert på en slik måte at virksomheten ikke kan benekte å ha sendt den
avviksrapportering i forbindelse med feilsending
at melding skal avleveres i avtalt format

Mottaker er ansvarlig for:

å registrere mottaket ved behov slik at mottaker ikke kan benekte å ha mottatt meldingen
avviksrapportering i forbindelse med feil, dvs. mottak av melding som ikke er adressert til virksomheten
at melding skal mottas i avtalt format

Meldingsformidler er ansvarlig for:

at melding kun skal avleveres til adressaten
at melding ikke skal endres eller destrueres under transport fra avsender til mottaker
at melding ikke skal kunne leses av andre enn avsender og mottaker
at melding skal avleveres innen avtalte tidsfrister fra avsendelse
avviksrapportering i forbindelse med alle ovenstående punkter

Related tasks

Procedures for secure electronic message exchange

Critical

High

Normal

Low

Interoperability

Security systems and logging

3.2 (konfidensialitet): Krav for å sikre konfidensialitet

Virksomheten skal sørge for at virksomhetens behandlinger av helse- og personopplysninger har et egnet sikkerhetsnivå i tråd med Normens minimumskrav til informasjonssikkerhet og eventuelt egne informasjonssikkerhetsmål. Normen stiller følgende overordnede minimumskrav til informasjonssikkerhet (konfidensialitet, integritet, tilgjengelighet og robusthet).

Virksomheten skal ivareta taushetsplikten og for øvrig sikre mot at uvedkommende får kjennskap til opplysninger

hindre uautorisert tilgang til helse- og personopplysninger og annen informasjon med betydning for informasjonssikkerheten
avgrense tilgang for autorisert personell iht. tjenstlig behov
ha oversikt (logger) over alle som har hatt tilgang til helse- og personopplysninger og annen informasjon med betydning for informasjonssikkerheten.

Related tasks

Logging of access to electronic patient data

Critical

High

Normal

Low

Establishing and maintaining the comprehensive ePHI security program

Critical

High

Normal

Low

Preventing unauthorized viewing personal data

Critical

High

Normal

Low

Property security

Need to know -principle in access management

Critical

High

Normal

Low

Implementing formal access control processes

Critical

High

Normal

Low

Personnel guidelines for safe processing of personal and confidential data

Critical

High

Normal

Low

5.9(4): Klassifisering og plan for videreføring av drift

Det skal også kartlegges og dokumenteres hvilke andre informasjonssystemer og hvilken infrastruktur de klassifiserte informasjonssystemene er avhengige av. Disse skal ha samme klassifisering og sikkerhetsnivå som for de klassifiserte informasjonssystemene.

For hver klassifisering skal ledelsen beslutte akseptabel risiko for tilgjengelighet, inkludert fastsettelse av maksimal avbruddstid.

Med utgangspunkt i klassifiseringen skal virksomheten etablere beredskapsplaner for alternativ drift uten bruk av informasjonssystemene og alternativ drift med delvis støtte fra informasjonssystemene. Beredskapsplanene skal øves på, testes, revideres og oppdateres minst en gang i året.

Related tasks

Planning for alternative operating models

Critical

High

Normal

Low

Classifying logical information assets

Critical

High

Normal

Low

Data classification

Conducting business impact analysis

Critical

High

Normal

Low

Creating and documenting continuity plans

Critical

High

Normal

Low

Definition of data classifications and class-specific security procedures

Critical

High

Normal

Low

Data classification

Regular testing and review of continuity plans

Critical

High

Normal

Low

Identifying and documenting dependencies between assets

Critical

High

Normal

Low

Definition of tolerable outages

Critical

High

Normal

Low

2.2(2): Prinsipper for beskyttelse av helse- og personopplysninger

Dataansvarlig er ansvarlig for å opptre i henhold til personvernprinsippene. Dette innebærer at helse- og personopplysninger skal:

behandles på en lovlig måte (gyldig behandlingsgrunnlag)
behandles på en rettferdig måte (med respekt for de registrertes interesser og rettigheter)
behandles på en åpen måte (oversiktlig, forutsigbar og forståelig informasjon) med hensyn til den registrerte (pasienten/brukeren)
bare registreres for bestemte formål som skal være legitime (som dokumentasjon av helsehjelp)
være tilgjengelige for helsepersonell når dette er nødvendig for å kunne gi forsvarlig helsehjelp
bare benyttes til de formål de er registrert for, med mindre det finnes behandlingsgrunnlag for andre formål
være relevante, adekvate, korrekte og om nødvendig oppdaterte for de formål de er registrert for
lagres slik at det ikke er mulig å identifisere de registrerte i lengre perioder enn det som er nødvendig for formålene
sikres mot uautorisert tilgang, endring, ødeleggelse og spredning

Dataansvarlig skal dokumentere at virksomheten har gjennomført nødvendige tiltak for å etterleve personvernforordningen.

Related tasks

Safeguards to protect PHI

Critical

High

Normal

Low

Regular reviewing of data system access rights

Critical

High

Normal

Low

Data store listing and owner assignment

Critical

High

Normal

Low

Defining and documenting access roles

Critical

High

Normal

Low

Documentation of personal data outside data systems

Critical

High

Normal

Low

Management of data sets

Documentation of data sets for data stores

Critical

High

Normal

Low

Management of data sets

Defining and documenting retention times for data sets

Critical

High

Normal

Low

3.4.1: Risikovurdering

Risikovurdering er et verktøy og skal være av et slikt omfang at virksomheten kan identifisere nødvendige sikkerhetstiltak. Virksomhetene skal utarbeide, vedlikeholde og dokumentere risikovurderinger. Ved endringer i virksomheten som kan påvirke informasjonssikkerhet, skal risikoen som disse endringene medfører vurderes.

Risikovurderinger skal minst inneholde:

kartlegging av virksomhetens nettverk- og informasjonssystemer, samt deres betydning for leveransen av samfunnsviktige tjenester.
identifikasjon av potensielle hendelser som kan påvirke virksomhetens nettverk- og informasjonssystemer.
analyse av sårbarheter knyttet til virksomhetens nettverk- og informasjonssystemer.
vurdering av sannsynligheten for at en hendelse kan inntreffe.
vurdering av konsekvensene av hendelser
analyse av virksomhetens avhengighet av andre virksomheter for å fungere optimalt

Risikovurderingen bør ta utgangspunkt i en kartlegging av informasjonsverdier og hva som vil bli konsekvensen av hendelser som rammer tilgjengeligheten, integriteten og konfidensialiteten til informasjonsverdiene. Virksomheten skal vurdere sannsynligheten for at en hendelse kan inntreffe og konsekvensen av hendelsen. Dersom risikoen er uakseptabel, skal virksomheten gjennomføre tiltak for å redusere risikoen.

Virksomheten skal gjennomføre risikovurderinger, og de skal som minimum gjennomføres før:

etablering av eller endring i behandling av helse- og personopplysninger
etablering av nye informasjonssystemer eller registre som inneholder eller benytter helse- og personopplysninger
endringer i eksisterende informasjonssystemer eller registre som inneholder eller benytter helse- og personopplysninger
det etableres organisatoriske, tekniske, fysiske, personellmessige tiltak eller andre endringer med betydning for informasjonssikkerheten
det etableres eller endres tilgang til helseopplysninger mellom virksomheter

Risikovurdering bør oppdateres ved endring i trusselbildet. I tillegg skal virksomhetens ledelse jevnlig gjennomføre risikovurderinger som ledd i sitt arbeid med å kontrollere informasjonssikkerheten.

Related tasks

Risk assessment prior to making changes to health and personal data

Critical

High

Normal

Low

Documentation of risk assessment

Critical

High

Normal

Low

Identification and documentation of cyber security risks

Critical

High

Normal

Low

Documentation of interfaces for data systems

Critical

High

Normal

Low

Data system management

Evaluation process and documentation of significant security-related changes

Critical

High

Normal

Low

Informing and data subject requests

4.2.5.1: Rett til å motsette seg deling av pasientinformasjon

Pasienten eller brukeren har rett til å motsette seg at opplysninger utleveres eller tilgjengeliggjøres. Dette kan gjelde overføring eller tilgjengeliggjøring av opplysninger både til pasienten selv, til verger og /eller til helsepersonell. Virksomheten har et overordnet ansvar for at pasientens rettighet blir ivaretatt.

Opplysninger kan som hovedregel ikke overføres eller tilgjengeliggjøres dersom det er grunn til å tro at pasienten eller brukeren ville motsette seg det dersom den ble spurt.

Overføring og tilgjengeliggjøring kan likevel skje dersom tungtveiende grunner taler for det.

Pasienten eller brukeren kan ikke motsette seg lovpålagt overføring. Dette gjelder også lovpålagt overføring av opplysninger til sentrale registre.

Virksomheten har derfor et ansvar for å sikre at pasienten gjøres oppmerksom på retten til å motsette seg tilgjengeliggjøring og utlevering.

Det kan være hensiktsmessig å inkludere denne informasjonen i annen informasjon pasienten har rett til.

Det skal alltid dokumenteres hvem det er utlevert opplysninger til, og hvilken virksomhet denne tilhører.

Related tasks

Process for receiving and handling data subject requests

Critical

High

Normal

Low

Implementation and documentation of balance tests

Critical

High

Normal

Low

4.2.6.1: Lagringstid ved ytelse av helsehjelp

Helseopplysninger skal oppbevares til det av hensyn til helsehjelpens karakter ikke lenger antas å være bruk for dem. Det samme gjelder opplysninger om hvem som har hatt tilgang til eller fått utlevert helseopplysninger som er knyttet til pasientens eller brukerens navn eller fødselsnummer (logger).

Hvis ikke opplysningene deretter skal bevares etter arkivloven, helsearkivloven eller annen lovgivning, skal de slettes.

Related tasks

Retention rules for health information and logs

Critical

High

Normal

Low

Management of data sets

Personal data destruction procedure

Critical

High

Normal

Low

Defining and documenting access roles

Critical

High

Normal

Low

Defining and documenting retention times for data sets

Critical

High

Normal

Low

Informing and data subject requests

4.2.3.1: Innsyn i behandlingsrettet helseregister

Pasienten har som utgangspunkt rett til innsyn i alle opplysninger i behandlingsrettet helseregister somomhandler seg selv. Dette gjelder også lydopptak, røntgenbilder, videoopptak etc.

Helsepersonell skal på anmodning gi forklaring på faguttrykk mv. Det skal legges til rette for at samiskspråklige, fremmedspråklige og personer med funksjonshemninger kan utøve innsynsretten. Tiltakene skal dokumenteres.

Utgangspunktet er at alle pasienter over 16 år har selvstendig innsynsrett. Barn mellom 12 og 16 år harselvstendig innsynsrett i en viss grad, idet de har rett til å bli hørt og kan begrense eller nekte innsyn forforeldre elle andre med foreldreansvar for barnet. Barn under 12 år har ikke innsynsrett, men foreldreeller andre med foreldreansvar for barnet har innsynsrett på barnets vegne. Pasienter kan nektes innsyn i opplysninger i hele eller deler av behandlingsrettet helseregister dersomdet er påtrengende nødvendig for å hindre fare for liv eller alvorlig helseskade for pasienten selv, ellerinnsyn er klart utilrådelig av hensyn til personer som står vedkommende nær. Det skal mye til for atinnsyn skal nektes, og det må være en reell fare for konsekvenser av et visst omfang.

Dataansvarlig skal gi innsyn innen 30 dager, uten kostnad for pasienten.

Related tasks

Patient's right of access to health information

Critical

High

Normal

Low

Process for receiving and handling data subject requests

Critical

High

Normal

Low

Informing and data subject requests

5.8.2.2: Underretting til den registrerte om brudd på personopplysningssikkerheten

Dersom det er sannsynlig at avviket har eller vil føre til høy risiko for den registrerte, skal virksomheten underrette vedkommende.

Virksomheten skal som minimum gi den registrerte følgende informasjon:

Beskrivelse av bruddet
Navn og kontaktinformasjon til personvernombudet eller et annet kontaktpunkt der mer informasjon kan innhentes
Beskrivelse av de sannsynlige konsekvensene av bruddet
Beskrivelse av de tiltakene som virksomheten har truffet eller foreslår å sette i gang for å håndtere bruddet, inkludert (dersom det er relevant) tiltak for å redusere eventuelle skadevirkninger som følge av bruddet

Virksomheten bør så langt det er mulig, ta direkte kontakt med den registrerte.

Related tasks

Reporting personal data breaches to authorities / data subjects

Critical

High

Normal

Low

Data breach management

Data transfer and disclosure

4.2.5.4: Til læring og kvalitetssikring

Når formålet er læring og kvalitetssikring for helsepersonell som tidligere har ytet helsehjelp til pasienten i et konkret behandlingsforløp, men som ikke skal medvirke i den videre helsehjelpsytelsen kan det tilgjengeliggjøres taushetsbelagte helseopplysninger. Dette kan bare skje hvis pasienten ikke motsetter seg det. Dette kan bl.a. omfatte situasjoner der ambulansepersonell har fraktet en pasient til sykehus, personell har behandlet pasient på akuttmottak ved sykehus eller tilsatte ved et sykehjem har medvirket til at pasient blir innlagt på sykehus. Ved å få opplysningene kan behandler vurdere om undersøkelsene, vurderingene og behandlingstiltakene som ble gjort var korrekte (jf. helsepersonelloven § 29c).

Tilgjengeliggjøring skal begrenses til de opplysninger som er nødvendige og relevante for formålet. I pasientens journal skal det dokumenteres hvilke opplysninger som er tilgjengeliggjort og hvem de er tilgjengeliggjort til.

Related tasks

Process for providing health information for learning and quality assurance

Critical

High

Normal

Low

5.8.1: Avvikshåndtering

Uønskede hendelser (for eksempel brudd på rutiner, personvernet, informasjonssikkerheten eller nettverk- og informasjonssystemer) skal behandles som avvik. Avvik skal behandles for å gjenopprette normal tilstand, fjerne årsaken til avviket og hindre gjentagelse.

Virksomheten skal ha rutiner for å oppdage og håndtere avvik. Avviksbehandlingen skal være dokumentert.

Virksomheten skal samle inn fakta om hendelsesforløpet for etablering av korrigerende tiltak. Effekten av korrigerende tiltak skal vurderes og eventuelle andre tiltak settes i verk ved behov.

Ved alvorlige eller gjentatte avvik skal det gjennomføres ny risikovurdering.

Avviksmeldinger som inneholder personopplysninger eller informasjon med betydning for informasjonssikkerheten, skal sikres.

I Normen omtales rapportering av avvik på personvern og informasjonssikkerhet til Datatilsynet, Statens helsetilsyn og Nasjonal sikkerhetsmyndighet.

Related tasks

Risk assessment review after major incidents

Critical

High

Normal

Low

Process for checking integrity of data after an incident

Critical

High

Normal

Low

Reporting personal data breaches to authorities / data subjects

Critical

High

Normal

Low

Data breach management

Personnel guidelines for reporting security incidents

Critical

High

Normal

Low

Regular periodic analysis and learning of incidents

Critical

High

Normal

Low

Follow-up analysis for security incidents

Critical

High

Normal

Low

Incident management resourcing and monitoring

Critical

High

Normal

Low

Treatment process and documentation of identified non-conformities

Critical

High

Normal

Low