Private klinikker, behandlingssteder og plejevirksomheder har tre forhold, der gør sikkerhedsledelsen særlig: de behandler helbredsoplysninger, de er ofte afhængige af ét eller to fagsystemer fra få leverandører, og mange af dem arbejder døgnet rundt. Ledelsen har brug for én samlet rapport, hvor databeskyttelsen og cybersikkerheden står side om side, og ét beredskab, der kan håndtere både et brud på persondatasikkerheden og en hændelse, der standser driften. Hvis virksomheden er omfattet af NIS2, skal den samme rapport også vise, at ledelsesorganet har godkendt foranstaltningerne og fører tilsyn med dem.
Hvornår NIS2 rammer sundhedsområdet
NIS2-lovens bilag 1 nævner under sundhed bl.a. sundhedstjenesteydere, som de er defineret i direktiv 2011/24/EU, og virksomheder, der fremstiller lægemidler. Om en konkret virksomhed er omfattet, afhænger af to ting. Den skal høre til en af de nævnte typer, og den skal som udgangspunkt have mindst 50 ansatte eller en omsætning og balance over grænserne i lovens § 5.
For plejevirksomheder kan det første spørgsmål være vanskeligt. Det afhænger af, om virksomheden leverer sundhedsydelser i direktivets forstand, eller om opgaverne mest er praktisk hjælp og omsorg. Det skal vurderes konkret og gerne med juridisk rådgivning. Er svaret uklart, er det en god idé at indrette sikkerhedsarbejdet, som om loven gælder. Foranstaltningerne i § 6 er fornuftig praksis for enhver virksomhed med følsomme oplysninger.
Helbredsoplysninger og databeskyttelse
Databeskyttelsesforordningen behandler helbredsoplysninger som en særlig kategori af personoplysninger i artikel 9. Artikel 32 kræver passende tekniske og organisatoriske foranstaltninger, og artikel 33 kræver, at et brud på persondatasikkerheden anmeldes til tilsynsmyndigheden, i Danmark Datatilsynet, inden for 72 timer, dog ikke, hvis det er usandsynligt, at bruddet udgør en risiko for de personer, oplysningerne handler om.
NIS2-loven har sin egen underretning. Efter § 13 skal en væsentlig hændelse varsles senest 24 timer efter, at virksomheden har fået kendskab til den, og følges op med en underretning inden for 72 timer. En ransomwarehændelse i et journalsystem kan derfor udløse to underretninger med hver sin frist og modtager. Det er ledelsens opgave at sikre, at der på forhånd er aftalt, hvem der vurderer og sender hvad. Hvornår virksomheden skal have en databeskyttelsesrådgiver, er en selvstændig vurdering, som er beskrevet på ekstern-it-ledelse.dk.
Én rapport til ledelsen
I mange sundhedsvirksomheder har databeskyttelsen fået mest opmærksomhed, fordi reglerne har været kendt længst. Cybersikkerheden, forstået som evnen til at holde systemerne kørende og komme op igen, står svagere. En samlet rapport kan rette op på skævheden. Den kan have fire faste afsnit:
- Risici, hvor tab af fortrolighed og tab af drift vurderes på samme skala.
- Hændelser og brud i perioden, med status på anmeldelser til Datatilsynet og eventuelle underretninger efter NIS2.
- Leverandører, med fokus på journalsystem, booking og kommunikation med patienter eller borgere.
- Beslutninger, som ledelsen skal træffe, fx om nye systemer eller accepterede risici.
Rapporten kan med fordel udarbejdes af sikkerhedslederen i samarbejde med den, der har ansvaret for databeskyttelsen, så de to perspektiver mødes, før materialet når ledelsen. Opbygningen af selve rapporten er beskrevet i sikkerhedsrapport til bestyrelsen.
Få leverandører og stor afhængighed
Fagsystemerne i sundhed og pleje kommer ofte fra få leverandører, og et skifte er sjældent realistisk på kort sigt. Det svækker ledelsens forhandlingsstyrke, mens ansvaret for sikkerheden er det samme. Sikkerhedskravene skal stå i aftalen, og opfølgningen skal ske fast, fx med en årlig gennemgang af leverandørens sikkerhedsdokumentation og en aftale om, hvordan leverandøren underretter jer om hændelser. Hvad der bør stå i aftalen, er gennemgået under sikkerhedskrav til IT-leverandøren.
Døgndrift og nødprocedurer
En klinik med åbningstid kan i værste fald lukke. En plejevirksomhed med beboere eller borgere, der skal have hjælp om natten, kan ikke. Beredskabet skal derfor svare på, hvordan medarbejderne arbejder, når fagsystemet er utilgængeligt: hvor finder de medicinlister, besøgsplaner og kontaktoplysninger, og hvem har lov til at beslutte, at der skiftes til nødprocedurer? Svarene skal være kendt af vagthavende personale på alle hold. Ledelsens del af beredskabet er beskrevet under beredskabsplan for ledelsen.
Et tænkt eksempel gør det konkret. En privat plejevirksomhed med 90 medarbejdere bruger ét fagsystem til besøgsplaner, medicin og dokumentation. Leverandøren melder en nedetid på en halv dag på grund af en hændelse hos sig selv. Nattevagten har ingen udskrift af næste dags plan, og ingen ved, hvem der må beslutte at kontakte pårørende. Efter forløbet beslutter direktøren, at planen for det næste døgn hver aften gemmes et sted, der kan nås uden fagsystemet, at vagtlederen har mandat til at skifte til nødprocedurer, og at leverandøren skal give besked inden for en aftalt frist. Sikkerhedslederen skriver ændringerne ind i beredskabet, og de afprøves ved en kort øvelse med vagtholdene.
Det skal I lade være med
- At behandle databeskyttelse og cybersikkerhed som to projekter med hver sin ansvarlige, der ikke taler sammen.
- At gå ud fra, at systemleverandøren tager sig af sikkerheden, fordi systemet er udviklet til sektoren.
- At have nødprocedurer, som kun ledelsen kender. Det er nattevagten, der skal bruge dem.
- At vente med at afklare, om I er omfattet af NIS2, til nogen spørger.
- At lade vurderingen af brud ligge hos den, der opdager dem. Vurderingen skal have en fast ejer.
Det skal I kræve af den eksterne
- ☐ Kendskab til både databeskyttelsesforordningen og NIS2-loven og til, hvordan de spiller sammen i en hændelse.
- ☐ En samlet risikovurdering, der dækker både fortrolighed og drift.
- ☐ Et beredskab med klar fordeling af, hvem der vurderer og anmelder til hvilken myndighed.
- ☐ Faste krav og fast opfølgning på leverandørerne af fagsystemerne.
- ☐ Nødprocedurer, der er afprøvet med det personale, der skal bruge dem.
- ☐ Én rapport til ledelsen med samme struktur hver gang.
Hvad I kan gøre nu
Start med at få afklaret, om virksomheden er omfattet af NIS2, og skriv vurderingen ned. Lav derefter en liste over de systemer, som driften ikke kan undvære, og spørg vagthavende personale, hvad de gør, hvis de forsvinder i et døgn. Svarene viser, hvor beredskabet skal begynde. Hvordan en ekstern sikkerhedsleder kan tage rollen, står under hvad er CISO as a Service. Hvad der påvirker prisen, og hvordan I får et tilbud, står under pris og tilbud.
Kilder
- NIS2-loven (lov 434/2025) på retsinformation.dk: sundhedssektoren i bilag 1, nr. 5, § 5 om størrelseskriterierne, § 6 om foranstaltningerne og § 13 om varsling og underretning.
- Databeskyttelsesforordningen, (EU) 2016/679 (eur-lex): artikel 9 om særlige kategorier af oplysninger, artikel 32 om behandlingssikkerhed og artikel 33 om anmeldelse af brud.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Hændelseshåndtering mellem hændelserne · Backup og reetablering
→ Kontakt · Tlf. 70 13 63 23 · CISO as a Service hos Nielco IT
