sou · H3B332 · 2015-03-27 00:00:00 — Behovet av att för- bättra informationssäkerheten framgår också tydligt av utred- ningens problembeskrivning (avsnitt 6.2) och i de olika rapporter från MSB som nämns i betänkandet. Behov av förtydligade myndighetsuppdrag Utredningen konstaterar att MSB enligt sin instruktion ska stödja och samordna arbetet med samhällets informationssäkerhet samt analysera och bedöma omvärldsutvecklingen inom området. I detta ingår att lämna råd och stöd i fråga om förebyggande arbete till andra statliga myndigheter, kommuner och landsting samt företag och organisationer.3 Det pågår också redan ett nationellt arbete inom MSB:s olika nätverk och grupper som är av stor vikt för en ökad informationssäkerhet i samhället. MSB arbetar på en strate- gisk nivå med informationssäkerhet. MSB har, enligt utredningens uppfattning, också tagit på sig ett särskilt ansvar för informations- säkerhet i hälso- och sjukvården. Parallellt med MSB:s arbete med informationssäkerhet finns nu , som enligt utredningens förslag ska få en central roll för både koordinering av e-hälsoarbetet och i frågor om informationshantering, informationssystem och interoperabilitet. kommer också att vara värdmyndighet åt samt ingå i det nya . Mot den här bakgrunden ser utredningen behov av att förtydliga ansvaret för berörda myndigheter i syfte att utveckla det nationella arbetet kring informationssäkerhet i hälso- och sjukvården, på öppenvårdsapoteken och i . Ett möjligt alternativ är att ge MSB ett tilläggsuppdrag som särskilt avser informationssäkerhet i hälso- och sjukvården, på öppenvårds- 3 11 a § förordningen (2008:1002) med instruktion för Myndigheten för samhällsskydd och beredskap. apoteken och i . Ett sådant tilläggsuppdrag skulle innebära en konkretisering av MSB:s övergripande uppdrag om samhällets informationssäkerhet och i någon mening befästa den roll som MSB tagit på sig avseende utveckling av informations- säkerhet i hälso- och sjukvården. MSB har ansvar för frågor om skydd mot olyckor, krisberedskap och civilt försvar, i den utsträck- ning inte någon annan myndighet har ansvaret. Ansvaret avser åtgärder före, under och efter en olycka eller en kris. MSB:s verk- samhetsansvar är i den meningen övergripande och strategiskt och avser informationssäkerhet i hela samhället. Utredningen gör där- för bedömningen att MSB inte bör ha ett särskilt ansvar för just hälso- och sjukvården. Särskilt uppdrag för avseende informationssäkerhet Utredningen har istället övervägt att ge ett särskilt uppdrag om informationssäkerhet för hälso- och sjukvår- den, öppenvårdsapoteken och . Utgångspunkten för detta uppdrag är att (och Samverkansnämn- den), om utredningens förslag genomförs, kommer att ha ansvar för krav på interoperabilitet samt för lagring och tillgängliggörande av olika sorters information för hälso- och sjukvården, öppenvårds- apoteken och . Detta är viktiga instrument för att säkerställa en grundläggande nivå av informationssäkerhet i hälso- och sjukvården och . kommer också att ha viktiga kommunikativa uppgifter och täta dialoger med verksamheterna, bland annat om innebörd och tolkning av Samver- kansnämndens beslut. kommer att spela en central roll för utformningen av informationssystem i hälso- och sjukvården, på öppenvårdsapoteken och i . Detta menar utredningen gör mer lämpad än MSB att också verka för utveckling informationssäkerhet inom detta område. Utredningen föreslår därför att ska få ett instruktionsenligt ansvar att verka för god informationssäkerhet vid behandling av personuppgifter i hälso- och sjukvården, på öppenvårdsapoteken och i . Myndigheten ska också ge råd och stöd till vårdgivare, tillståndshavare och den som bedri- ver socialtjänst i deras arbete med informationssäkerhet. För att främja samverkan kring informationssäkerhet menar utredningen att bör ha den norska för informa- tionssäkerhet (avsnitt 5.3.4) som inspiration för att arbeta med uppdraget. Det kan till exempel innebära att samlar alla berörda aktörer och utformar en process för det löpande arbetet samt att tolka och utveckla gemensamma regelverk för informationssäkerhet. Uppdraget kan också innebära att E-hälso- myndigheten erbjuder rådgivning och stöd till huvudmän och verksamheter om informationssäkerhet för att därigenom under- lätta implementering av regelverk. Med den här ansatsen menar utredningen att detta nya uppdrag för också kan bli ytterligare ett viktigt under- lag för kvalitetsarbetet hos vårdgivare, tillståndshavare och de som bedriver socialtjänst samt även ett instrument till stöd för den stat- liga tillsynen. koordinering av det här uppdraget om informationssäkerhet måste också bedrivas i nära samverkan med ett antal andra aktörer som har närliggande uppdrag. Det gäller främst MSB vars regelverk och övergripande strategier för sam- hällets informationssäkerhet bör utgöra en utgångspunkt för E- hälsomyndighetens uppdrag. Det gäller också till exempel Social- styrelsen, som ger ut föreskrifter om bland annat ledningssystem och informationssäkerhet, Inspektionen för vård och omsorg () som är tillsynsmyndighet för informationssäkerhet i hälso- och sjukvården och samt Datainspektionen som är tillsynsmyndighet för informationssäkerhet i meningen skydd för den enskildes integritet. Det bör också sägas att den roll avseende informationssäkerhet som beskrivs här innebär en ny roll för som kräver att tillförs såväl ekonomiska resurser för den särskilda samverkan som beskrivs nedan som resurser i form av kompetens inom informationssäkerhet. Utredningen åter- kommer till frågan i konsekvensanalysen (avsnitt 16). 12.3Socialstyrelsen – samråd även med E- hälsomyndigheten får med stöd av patientdataförordningen (2008:360) meddela föreskrifter som ansluter till bestämmelser i patientdata- lagen (2008:355), förkortad PDL. Föreskrifterna får avse bland annat tilldelning av behörighet för åtkomst till uppgifter som förs helt eller delvis automatiserat, dokumentation och kontroll av elektronisk åtkomst enligt 4 kap. 3 § PDL, om dokumentation och kontroll av direktåtkomst vid sammanhållen journalföring, om de krav på säkerhetsåtgärder som ska gälla vid sådan direktåtkomst som avses i 5 kap. 5 § PDL eller om den information som ska ges till patienten enligt 8 kap. 5 § PDL. Enligt nuvarande förordning ska samråda med Datainspektionen när sådana föreskrifter meddelas. Utredningen anser att , när sådana föreskrifter meddelas, även ska samråda med . Det är enligt utredningens bedömning nödvändigt att finns med i utar- betandet av sådana föreskrifter. kommer, om utredningens förslag genomförs, att vara värdmyndighet åt som kan besluta om krav på interoperabilitet, ha ett särskilt uppdrag om informationssäkerhet samt koordinera det nationella e-hälsoarbetet. 13.1Finansieringsbehov för utveckling av e-hälsa 13.1.1Behov av en överenskommelse mellan regeringen och huvudmännen Staten (regering, riksdag och statliga myndigheter) har ett över- gripande ansvar för hälso- och sjukvård och socialtjänst genom framför allt lagstiftning, myndighetsföreskrifter och myndighets- styrning. Landsting och kommuner ansvarar för den hälso- och sjukvård och socialtjänst som erbjuds patienter och brukare. Huvudmännen har ansvar för sina verksamheter och dess personal. De ansvarar för de insatser som erbjuds patienter och brukare. Utredningen vill med sina förslag, som beskrivits i föregående avsnitt, också förtydliga huvudmännens och vårdgivarnas ansvar för en ändamålsenlig och säker behandling av personuppgifter. Utredningen anser att staten bör ta ett utökat ansvar för förut- sättningarna för informationshantering. Därför har utredningen föreslagit (avsnitt 7), att ett särskilt beslutsorgan, , inrättas vars beslut om krav på interoperabilitet ska bidra till att skapa en mer enhetlig informationshantering över landet. Utredningen har också föreslagit (avsnitt 9) att staten ska ansvara för lagring och tillgängliggörande av viss kritisk information, särskilt information i läkemedelsprocessen genom den gemen- samma läkemedelslistan (avsnitt 10). Förbättrad tillgång till sådan kritisk information för berörda professioner kommer enligt utred- ningen att bidra till ökad patientsäkerhet och även ökad jämlikhet i hälso- och sjukvården. Vad gäller den mer informella styrningen har utredningen föreslagit en samverkansorganisation för en intensifierad och mer formaliserad nationell samverkan mellan berörda aktörer på e- hälsoområdet (avsnitt 7). som är ett exempel på informell styrning, bör utgå från en hand- lingsplan för utvecklingsarbetet på e-hälsoområdet. Medel för omställning och utveckling Landstingen och regionerna satsar av sin omslutning på sin egen it-utveckling. Det saknas nationellt sammanställda uppgifter över hur mycket kommuner respektive privata vårdgivare satsar. Det bör noteras att it-kostnadernas andel av landstingens och regionernas omslutning varit i princip oföränd- rad , det vill säga under de senaste dryga tio åren. har antalet användare av e-hälsotjänster ökat med 90 pro- cent. avsätts en relativt liten del av landstingens kostnader för e-hälsa till det gemensamma utvecklingsarbetet, cirka 380 miljoner kronor.1 CeHis har konstaterat att landstingens och regionernas medel för gemensamma projekt ligger på en låg nivå jämfört med andra sektorer, exempelvis bank- och försäkringssektorn som bedöms lägga 10–av sin omslutning på it-kostnader. Enligt CeHis uppgick kostnaderna för förvaltning av tidigare utvecklade produkter och tjänster till mellan av landstingens och regionernas gemensamma resurser 2012. , konstaterade , återstår därmed i princip inget ekonomiskt utrymme för nyutveckling.2 Med en högre grad av nationell samordning menar utredningen att en större del av kommunernas och landstingens resurser kommer att behöva riktas mot det gemensamma e-hälsoarbetet. Utredningen identifierar också tydliga uppfattningar om att de gemensamma medel som redan avsätts bör användas mer effektivt och för utveckling, istället för att som i allt större utsträckning användas till förvaltning av tidigare utvecklade tjänster och lösningar. Arbetet som prioriteras i handlingsplanen i kombination med beslut kommer att medföra behov av resur- ser för omställning, investeringar i nya informationssystem, 1Mer information finns i SLIT-gruppens (landstingens och regionernas it-chefer och it- strategers) rapport, eHälsa i landstingen- . 2CeHis (2012), Handlingsplan 2013–2018, Landstings, regioners och kommuners samarbete inom eHälsoområdet. avveckling av föråldrade informationssystem samt utveckling av nya informationssystem i hälso- och sjukvården, på öppenvårds- apoteken och i . Det finansiella åtagandet för detta arbete på e-hälsoområdet anser utredningen bör delas av stat och huvudmän. Utredningens bedömning är därför att staten och huvudmännen bör samfinansiera utvecklingen på området. För detta ändamål är det angeläget att regeringen och Kommuner och Landsting (SKL) ingår en ny strategisk överens- kommelse för utveckling av e-hälsoområdet. Överenskommelsen bör kopplas till arbetet i samverkansorganisationen och uppdraget för den föreslagna nationella samordnaren, vars första uppgift blir att upprätta och besluta om en handlingsplan som utredningen anser ska ligga till grund för det nationella e-hälsoarbetet. finansieras huvudsakligen av avgifts- intäkter, cirka två tredjedelar av myndighetens finansiering utgörs av avgifter. Huvuddelen av avgiftsintäkterna utgörs av apotekens avgifter för myndighetens registerföring av läkemedelsförteck- ningen och receptregistret, . Övriga avgifter uppgår till och tas ut av såväl kommuner och landsting som från andra myndigheter och it- leverantörer. samlade avgiftsintäkter uppgår således till . I övrigt finansieras av ett förvaltnings- anslag, vilket uppgår till . Nedan följer en beskrivning av de avgifter som myndigheten tar ut. tar ut en avgift från öppenvårdsapoteken för att finansiera myndighetens verksamhet avseende registerföring av receptregistret och läkemedelsförteckningen. Detta görs enligt bestämmelser i lagen (1996:1156) om receptregister och lagen (2005:258) om läkemedelsförteckning. Avgiften fastställs av myn- digheten och tas ut för såväl expedierade humanrecept som expedierade djurrecept. Avgiften tas ut genom att apoteken betalar per expedierad receptorderrad för humanrecept och per receptorderrad för djurrecept till myndigheten. Denna avgift utgör den största intäkten för myndigheten. Andra avgifter för uppdrag utförda vid tar ut avgifter för ett antal uppdrag. Uppdragsgivare är kommuner och landsting, andra myndigheter och it-leverantörer på den kommersiella marknaden. Tillhandahållande av nationell läkemedelsstatistik och system för analys av sådan statistik enligt, 2 § pkt 5, 6 och 13 § pkt 1 myndig- hetens instruktion. Denna verksamhet utgör av totala intäkter. Myndigheten är skyldig att samla in statistiken. Kontroll och godkännande av elektroniska receptexpeditionssystem På uppdrag av öppenvårdsapotek genomför kontroller av receptexpeditionssystemens uppkoppling mot myn- dighetens register. Myndigheten får, enligt 5 § samt 2 § pkt 2, 3 instruktionen, ta ut en avgift från andra än öppenvårdsapotek för att kvalitets- och säkerhetsgranska sådana elektroniska system som ska ansluta till myndighetens register. Myndigheten granskar och testar dessa system för att kunna utfärda ett godkännande, vilket sker på direkt uppdrag av systemleverantörerna, eller indirekt av öppenvårdsapoteken. Ett godkännande från är en förutsättning för att öppenvårdsapotek ska beviljas tillstånd av . Därutöver finns i lagen (2009:366)om handel med läkemedel, 8 kap. 2 §, reglerat att myndigheten får ta ut en avgift från öppen- vårdsapoteken för kontroll av systemen samt för utfärdande av intyg till öppenvårdsapoteken om att deras informationssystem uppfyller de krav som ställs för att få direktåtkomst till E-hälso- myndighetens register. I förordningen (2009:659) om handel med läkemedel anges avgiftsnivåerna för dessa tjänster i 3 a §. Dessa avgifter uppgår till för kontroll och för ett intyg om godkänt system. Dessa avgifter är de enda av E- hälsomyndighetens avgifter som sätts av regeringen. Utveckling och förvaltning av andra huvudmäns och myndigheters register E-hälsomyndigeten ansvarar, på uppdrag av , för teknisk drift av över motgifter (antido- ter) samt för system som förmedlar ansökningar till Läkemedels- verket om tillstånd till försäljning av licensläkemedel. ansvarar också, på uppdrag av landsting, för register över koder avseende geografisk indelning av landstings hälso- och sjukvårdsverksamhet, så kallade områdeskoder. Kostna- den för detta fördelas mellan landstingen i förhållande till deras storlek. Alla landsting köper inte denna tjänst. Avgiften är dock inte självkostnadsbaserad utan istället marknadsbaserad, eftersom den i princip kan tillhandahållas av annan leverantör på den öppna marknaden. Myndigheten utvecklar och förvaltar även den nationella ordina- tionsdatabasen (). NOD är ett system som möjliggör för- medling av information om ordinationer, förskrivningar, uthämtade läkemedel och läkemedelsanvändning. Projektet med att utveckla NOD gör på uppdrag av . Det finns enligt utredningen en svårighet i att myndigheten tar ut en avgift för ett uppdrag från ett bolag () som ägs av landstingen. äger de immateriella rättigheterna eftersom de bekostar utvecklingsarbetet. ansvarar även för tillgång till ett nationellt register över sortiment- och leveransinformation (SOL) avseende dosdispenserade läkemedel. Registret används av kommuner och landsting och utgör en del av dosreceptkedjan, där ett flertal natio- nella och lokala register tillsammans möjliggör leverans av dosför- packade läkemedel till dospatienter. fakturerar de olika uppdragsgivarna kost- naderna för utfört arbete. De ovan nämnda uppdragen omfattar endast mindre kostnader, förutom uppdraget gällande NOD-pro- jektet, vars utvecklingsarbete tar större kostnader i anspråk. Vid utvecklingsarbete uppgår kostnaderna för till . får bedriva tjänsteexport som är direkt kopp- lad till myndighetens kärnverksamhet och ta ut avgifter för den enligt 13 §, pkt 4 samt 4 § instruktionen. Någon tjänsteexport har ännu inte bedrivits vid myndigheten. 13.3Generellt om avgiftsbelagd verksamhet hos myndigheter Avgiftsbelagd verksamhet hos myndigheter regleras bland annat i budgetlagen (2011:203) och i avgiftsförordningen (1992:191). Avgiftsförordningen gäller för myndigheter som bedriver avgifts- belagd verksamhet oavsett om inkomsterna disponeras av myndig- heten eller inte. Förordningen fastställer att avgift kan tas ut av myndighet bara om det följer av lag eller förordning eller av ett särskilt beslut av regeringen. Avgifterna kan delas in i belastande avgifter och avgifter för frivilligt efterfrågade varor och tjänster. Som synonymer till belast- ande avgifter används ofta också offentligrättsliga avgifter, betung- ande avgifter eller tvingande avgifter. Utredningen använder begreppet belastande avgifter eftersom det är det vedertagna begreppet och används av Avgiftsutred- ningen3. En belastande avgift innebär ett ingrepp i den enskildes ekonomiska förhållanden. En förutsättning för att en sådan avgift ska få tas ut är att beslutat att en viss verksamhet ska bedrivas och att de som använder den vara eller tjänst som till- handahålls ska betala en avgift. kan också ge regeringen ett bemyndigande att besluta om en sådan avgift. 3 SOU 2007:96, Avgifter. Några exempel på belastande avgifter är avgifter för körkort, pass, inspektion av fartyg, byte av namn och kontroll av läkemedel. Avgifter ska beräknas så att den långsiktiga självkostnaden täcks. Detta innebär att avgifterna ska beräknas så att intäkterna på ett eller täcker samtliga kostnader som direkt eller indirekt är förenade med verksamheten som avgifterna avser. Detta kräver en tydlighet och transparens i myndighetens redovisning och i dess prismodell. Avgiftsförordningen fastställer att en löp- ande dialog ska föras mellan myndighet och Ekonomistyrnings- verket (ESV) avseende den avgiftsfinansierade verksamheten. Om ingenting annat har överenskommits ska myndigheten och ESV samråda i denna fråga årligen.4 Principer för myndigheters avgiftssättning I regeringens förvaltningspolitiska proposition angavs att principen för avgiftssättning ska vara sådan att avgiften så långt som möjligt och med beaktande av integritet, sekretess och säkerhetsaspekter underlättar för medborgare, förvaltning och företag att utnyttja den grundläggande information som förvaltningen förfogar över.5 En myndighets avgiftsfinansiering kan konstrueras på olika sätt. Det kan vara regeringen eller myndigheten själv som bestämmer avgiftens storlek och det kan vara regeringen eller myndigheten själv som disponerar över intäkterna. Dessa kombineras och konst- ruerar på så sätt fyra olika alternativ för avgiftsfinansiering. Huvud- principen är enligt ESV att regeringen både sätter avgiften och disponerar intäkterna. Avsteg från den principen kan göras i de fall verksamhetsvolymer är svåra att bedöma, om användarna av tjänst- erna är beroende av att myndighetens resurser är anpassade till efterfrågan eller om det är svårt att beräkna anslag förutom på direkt efterfrågan.6 Beroende på vilken kombination av avgiftssättande och disposi- tionsrätt som man använder sig av kommer bland annat transparen- sen för att variera. För huvudprincipen, det vill säga att 4Avgiftsförordningen (1992:191). 1997/98:136, Statlig förvaltning i medborgarnas tjänst, beslut i bet. 1997/98:KU31, beslut . 6Ekonomistyrningsverket (2009), Delrapport – Utvecklad finansiell styrning. regeringen både sätter avgift och disponerar intäkterna, gäller hög transparens för eftersom myndighetens avgiftsintäkter och motsvarande anslag redovisas på statsbudgeten. Däremot är transparensen för låg då myndigheten själv sätter avgift och disponerar intäkterna, det vill säga följer den modell som gäller för . 13.3.1Utformning av ny avgiftsmodell för Utredningens förslag: Regeringen ska fastställa avgift- erna som får ta ut från öppenvårdsapo- teken för att täcka kostnaderna för att föra receptregistret respektive läkemedelsförteckningen. Omställning, från bolag till myndighet Enligt utredningens bedömning bör även fortsättningsvis ha en hög grad av avgiftsfinansiering. Utredningen menar att myndighetens verksamhet är av sådan art att finansie- ringsansvaret bör ligga på användarna av myndighetens tjänster snarare än på staten. Enligt förarbetena till ombildningen av till angav regeringen att myndigheten bör finansieras dels av avgifter, dels av anslag. Verksamheter som rege- ringen menade borde avgiftsfinansieras var de som finansierades av avgifter.7 Avgifterna får, enligt budgetlagen (2011:203) högst uppgå till full kostnadstäckning, det vill säga uppgå till självkostnad. Den rådande regleringen ställer höga krav på en tydlig och transparent redovisning av verksamhetens kost- nader. omvandlades från att vara ett statligt ägt aktiebolag till att bli en statlig myndighet. Detta är en förändring som påverkar verksamheten på olika sätt. Inte minst uppstår en relation till omgivningen som präglas av att vara 2012/13:128, Ny myndighet för hälso- och vårdinfrastruktur, s. 46 ff, beslut i bet. 2012/13:SoU26, rskr. 2012/13:279. en offentlig aktör istället för en privat. Att som som privat aktör befinna sig på en marknad ger förusättningar som skiljer sig från dem för en offentlig aktör som, i det här fallet, agerar inom ramen för statliga förvaltningen. Vidare uppstår en ytterligare dimension i det att myndigheten underställs ett departement som ger uppdrag till och, åtminstone delvis, bestämmer de ekonomiska förutsätt- ningarna för myndigheten. lyder under Social- departementet. Krav som ställs på myndigheter skiljer sig från de som ställs på bolag. Det är en lång och genomgripande process för verksamheten att byta organisationsform. Det är en successiv process som fortfarande pågår. En del av det arbete som utredningen anser att E-hälsomyn- digheten behöver göra är att anpassa sin ekonomiska redovisning och sina ekonomiska modeller till de krav som ställs på myndig- heter i dessa avseenden. Utgångspunkter för den framtida avgiftsfinansieringen Vid utformning av framtida avgiftsfinansie- ring finns det, enligt utredningen, ett antal utgångspunkter att ta hänsyn till. Man kan ifrågasätta nuvarande ordning att det enbart är apoteken som finansierar registerhållning av läkemedelsförteckningen och receptregistret, det vill säga att finansieringen inte delas med vården som också bidrar med information till och använder registren. Utredningen anser att en sådan synpunkt är befogad då registren används även av vården, om än i mindre utsträckning än av öppenvårdsapoteken. I kommande avsnitt beskriver utredningen att den föreslagna gemensamma läkemedelslistan ska finansieras av de som använder registret, det vill säga av både vårdgivare och öppenvårdsapotek. Utredningen anser att de register och tjänster som till- handahålls av E-hälsomyndigeten och finansieras av den offentlig- rättsliga avgiften för öppenvårdsapoteken i första hand vänder sig till öppenvårdsapoteken. Därför gör utredningen bedömningen att avgiften även i fortsättningen bör belasta öppenvårdsapoteken. Utredningen anser att utformningen av avgiftsmodellen kräver en transparent ekonomisk redovisning hos myndigheten. Det är av avgörande betydelse för att incitamenten för utveckling av myndig- hetens system inte hämmas av den valda avgiftsmodellen. Vidare menar utredningen att det är av stor betydelse att den som fastställer avgifterna inte är densamma som tar ut avgifterna, enligt det resonemang som förs i avsnitt 13.3 ovan. Utredningen föreslår därför att avgifternas storlek fastställs av regeringen istället för av . Utredningen menar att en sådan lösning är mer lämplig än den som är . Om regeringen fastställer avgiften minskar risken för att avgiftens stor- lek ifrågasätts. En tveksamhet vad gäller avgifternas storlek riskerar att påverka myndighetens trovärdighet negativt.