Faktaboks helsenettet og tannhelsetjenesten

Helsenettet og tannhelsetjenesten

For å få tilgang til nasjonale e-helseløsninger kreves det at aktøren er tilknyttet helsenettet.  Dette gjøres ved at EPJ direkte eller det lokale nettverket hos aktøren (i dette tilfelle tannlegen) knyttes til helsenettet via en sikker VPN tilkobling og at aktøren får en unik adresse i helsenettet. Ved direkte tilknytning har klinikken eller virksomheten et eget medlemskap i Norsk helsenett, med egne avtaler, sertifikater og teknisk tilkobling.

Flere EPJ‑leverandører for tannhelsetjenesten tilbyr løsninger der klinikken ikke trenger egen, direkte tilknytning til Norsk helsenett. I slike tilfeller skjer tilgangen til nasjonale e‑helseløsninger via leverandørens sentrale helsenettilknytning. Ved indirekte tilknytning bruker klinikken eller virksomheten nasjonale e‑helseløsninger via EPJ‑leverandørens sentrale helsenett‑tilkobling. Klinikken har ikke egen linje eller separat medlemskap, men tjenestene benyttes fortsatt gjennom Helsenettets infrastruktur og regelverk. Det er også en forutsetning at EPJ i klinikken både kan sende og motta informasjon via helsenettet, dersom klinikken skal benytte nasjonale e-helsetjenester.

Annet medisinsk utstyr som skal dele informasjon digitalt må også sikres, enten gjennom tilknytning til helsenett eller tilsvarende sikkerhetsløsninger.

Indirekte bruk av helsenettjenester endrer ikke at tjenestene er regulert av NHN‑regelverket og de nye medlemsvilkårene i Helsenettet.

Alle aktørene i helsenettet er ansvarlig for at helsenettet ikke eksponeres mot det offentlige internettet på en måte som skaper svakheter i den kollektive sikkerheten helsenettet bygger på.

Mange aktører er ikke klar over at medisinsk utstyr tilknyttet EPJ og det lokale nettverket kan representere en slik risiko. Flere leverandører av medisinsk utstyr har innebygde tjenester som forutsetter tilgang til det offentlige internettet. Dette gjelder ofte ressurskrevende tjenester som lagring av bilder og andre store datakilder, KI og analyse tjenester, vedlikehold og kalibrering av utstyr etc.

Problemet er at aktører som anskaffer og setter opp utstyret ofte ikke er klar over eller har kompetanse til å vurdere sikkerhet og personvern konsekvenser av det medisinske utstyret de anskaffer og hvordan dette kan skape utilsiktede svakheter i helsenettet.

For store ressurssterke aktører håndteres dette ofte gjennom ROS analyser og DPIA som avdekker og kompenserer for svakheter. For mindre aktører blir dette et problem fordi de hverken har ressurser eller kompetanse til å vurdere de tekniske egenskapene, sikkerhet og personvernkonsekvensene av oppsett og konfigurering av utstyret.

Leverandørbaserte modeller reduserer terskelen for innføring, særlig for små virksomheter, men innebærer ikke at plikter eller regelverkskrav knyttet til nasjonale e‑helseløsninger bortfaller. Forskjellen ligger i organiseringen av tilknytningen, ikke i tjenestenes karakter eller regulatoriske rammer.

For klinikker som er indirekte tilknyttet Norsk helsenett via sin EPJ‑leverandør, finansieres helsenett‑tilgang og nasjonale e‑helseløsninger gjennom leverandørens avtaler med Norsk helsenett. Kostnadene inngår normalt i EPJ‑leverandørens lisens- eller abonnementsmodell, og faktureres ikke klinikken direkte.