NIS2 i sundhedssektoren: Certifikatkrav for regioner og sygehuse

Sundhedssektoren håndterer nogle af de mest følsomme persondata, der findes, og driver tjenester hvor nedetid kan have direkte konsekvenser for patientbehandling. Det er en stor del af grunden til, at NIS2 placerer sundhed blandt de særligt kritiske sektorer. For regioner og sygehuse betyder det konkrete krav til, hvordan TLS-certifikater styres. For den generelle gennemgang af kravene, se NIS2 og certifikatstyring.

Hvorfor sundhedssektoren er en væsentlig enhed

NIS2 inddeler omfattede organisationer i væsentlige og vigtige enheder. Sundhed hører til de sektorer, direktivet klassificerer som særligt kritiske, og omfattede sundhedsudbydere betragtes som udgangspunkt som væsentlige enheder, når de overstiger størrelsestærsklen. Det er den strengeste kategori: bødeloftet er op til 10 mio. EUR eller 2% af den globale årlige omsætning, og der gælder skærpet tilsyn. Hvad det betyder økonomisk, uddyber vi i NIS2-bøder: hvad koster manglende certifikatstyring.

I dansk kontekst driver regionerne sygehusene og en stor del af den specialiserede sundheds-IT. Dermed falder en betydelig mængde borgervendte og kliniske systemer ind under NIS2's krav om systematisk risikostyring — Artikel 21 — og hændelsesrapportering — Artikel 23.

Hvilke certifikater er i scope?

En sundhedsorganisation har typisk et bredere og mere sammensat certifikatlandskab end de fleste private virksomheder. De vigtigste kategorier:

Borgervendte tjenester. Sundhedsportaler, tidsbestilling, prøvesvar og kommunikationsløsninger. Et udløbet certifikat her giver borgeren en browseradvarsel og blokerer adgangen — med direkte effekt på den digitale patientkontakt.

Kliniske fagsystemer. Web-grænseflader til EPJ, billeddiagnostik, laboratoriesystemer og medicinmoduler bruger TLS internt. Disse er ikke synlige fra internettet, men er nogle af de mest kritiske systemer overhovedet.

Telemedicin og patient-apps. Fjernmonitorering og app-baserede løsninger afhænger af gyldige certifikater i hele kæden, ofte på tværs af flere leverandører.

Leverandørsystemer på jeres domæner. Meget sundheds-IT hostes af eksterne leverandører, men kører på regionens eller sygehusets domæner. Under Artikel 21's forsyningskædekrav er I ansvarlige for at have overblik over disse certifikater.

De interne certifikater er den største risiko

Når et borgervendt certifikat udløber, opdages det hurtigt — borgere møder fejlen og henvender sig. Når et internt fagsystem som EPJ får et udløbet certifikat, er der ingen ekstern alarmklokke. Klinikere tolker ofte fejlen som et forbigående IT-problem og venter, mens systemet reelt er utilgængeligt midt i patientbehandlingen. Internt udløbne certifikater opdages derfor systematisk langsommere end eksterne — og rammer hårdere.

Den eneste robuste løsning er et komplet register, der dækker både det internetvendte og det interne, koblet til alarmer i god tid. Se principperne i undgå udløbne certifikater.

Scope-tjekliste: certifikater i en typisk region

Et nyttigt udgangspunkt er at kortlægge, hvor TLS-certifikater faktisk findes i en sundhedsorganisation. De fleste regioner vil genkende langt de fleste af disse:

• Borgervendte portaler: tidsbestilling, prøvesvar, sikker beskedkommunikation og betalingsløsninger.
• Kliniske systemers web- og integrationsgrænseflader: EPJ, PACS/billeddiagnostik, laboratorie- og medicineringssystemer.
• Telemedicin og hjemmemonitorering, inkl. patient-apps og device-backends.
• Interne administrative systemer: intranet, HR, økonomi og identitetsstyring.
• Leverandør- og hostede systemer, der kører på regionens domæner.
• Maskine-til-maskine-integrationer mellem regioner, kommuner og nationale sundhedsplatforme.

Pointen med listen er ikke fuldstændighed, men erkendelsen af, at certifikatfladen er langt bredere end den håndfuld, de fleste teams aktivt holder øje med.

Hændelsesrapportering når et sundhedssystem går ned

Artikel 23 kræver tidlig varsel inden for 24 timer og en egentlig hændelsesnotifikation inden for 72 timer for væsentlige hændelser. I en sundhedskontekst er tærsklen for "væsentlig" hurtigt nået: et certifikatudløb, der gør et borgervendt sundhedssystem eller et klinisk fagsystem utilgængeligt, kan have direkte konsekvenser for patientbehandlingen og dermed kvalificere.

Den praktiske udfordring er tid. De 24 timer begynder at løbe, når hændelsen opstår — ikke når I har fundet rodårsagen. Uden et certifikatregister kan det alene tage timer at fastslå, at et udløbet certifikat er årsagen, og hvilke systemer det rammer. Et komplet register med tidlige alarmer er forskellen på en kontrolleret rapportering og en, der starter med gætværk.