Enligt 3 kap. 9 § ska vårdgivaren säkerställa att kraven i föreskrifterna uppfylls vid upphandling eller egenutveckling av informationssystem som används för behandling av personuppgifter .