Så ansluter ni till HSA och SITHS via redan ansluten organisation (landsting eller annan kommun)

Transkript

1 Stödprojekt SITHS/HSA Lars Törnblom 2011 Utgåva Sida: 1 (15) : Så ansluter ni till HSA och SITHS via redan ansluten organisation (landsting eller annan kommun)

2 Sida: 2 (15) Innehållsförteckning Om denna Guide... 3 Vad är HSA och SITHS? Och varför behöver vi dessa tjänster?... 4 Vad är HSA och hur fungerar det?... 4 Vad är SITHS och hur fungerar det?... 4 På vilket sätt fungerar SITHS och HSA ihop?... 4 Ordning och reda viktigt... 5 Vilka förberedelser behöver vi göra? Och varför är det viktigt?... 6 Roller och ansvar HSA:... 6 Roller och ansvar SITHS:... 8 Andra viktiga förberedelser?... 9 Hur gör vi för att ansluta? Och hur lång tid tar det? Alternativa anslutningssätt Tredjepartanslutning: Så här gör du vid en tredjepartanslutning: Vilket avtal behöver vi? Och hur får vi fram ett sådant? Anslutningsprocessen Hur mycket kostar det? Hur fördelas de centrala kostnaderna? Tillkommer andra kostnader?... 14

3 Sida: 3 (15) Om denna Guide I oktober 2009 gjorde CeHIS och SKL en överenskommelse om att erbjuda kommuner och kommunförbund utnyttja landstingens säkerhetslösningar (SITHS och HSA) och resurser för informationshantering inom vård och omsorg. Bakgrunden var de ökade kraven på säkerhet som bl a påtalats av Datainspektionen när det gäller hantering av integritetskänslig information om individer inom vården. Innebörden av överenskommelsen är att landstingen erbjuder de kommuner som så önskar att nyttja de etablerade lösningarna SITHS (personcertifikat) och HSA (katalogtjänst) så att kommunerna så snabbt som möjligt ska kunna uppfylla de nationella säkerhetskraven som ställs inom vård och omsorg. Erbjudandet gäller för kommunal vårdpersonal med behov att komma åt känslig information över huvudmannagränserna mot Apoteket och landstingens system för samordnad vårdplanering och kvalitetsregister. SKL:s program Kommunal IT-samverkan i vård och omsorg har under våren 2011, tillsammans med CeHis och Inera AB, genomfört vissa stödinsatser så att införandet för de kommuner som så önskar ska kunna ske skyndsamt och under kontrollerade former. Denna guide är ett resultat av dessa stödinsatser, liksom bifogade mall för nödvändiga avtal som måste till mellan en kommun och ett landsting (eller med kommun som har ett direktavtal med Inera AB). Målet med Guiden är att underlätta för kommuner och lokala landsting att teckna nödvändiga avtal mellan parterna. Guiden och avtalsmallen skall betraktas som en vägledning och kan användas eller ändras på det sätt parterna finner bäst. Vår ambition är att beskriva hur man kan uppfylla de mest grundläggande avtalskraven när en kommun skall förse sin vård- och omsorgspersonal med SITHS-kort. för att t ex kunna nå DOS-apoteket via den nya webbklient (Pascal) som kommer att lanseras under Om kommunen också vill ha andra kort-funktioner (tex SIS-godkänd legitimation) ställs andra krav. Finns sådana behov hänvisas kommunen att ta direkt kontakt med Inera AB. De SITHS-kort som erhålls genom avtal enligt denna Guide är redan idag möjliga att använda för att nå Palliativregistret och Senior Alert. Avsikten med SITHS-korten är att de ska kunna användas för att nå ytterligare fler vårdsystem, men tidsplaner och andra detaljer kring detta är inte helt klarlagda idag. Respektive systemägare ansvarar för att information om sådana framtida möjligheter blir kända för berörda organisationer. Christer Haglund Peter Alvinsson Christer Allskog SKL, avd Vård och omsorg CeHis Inera AB

4 Sida: 4 (15) Vad är HSA och SITHS? Och varför behöver vi dessa tjänster? Inom ramen för Nationell e-hälsa strategin för tillgänglig och säker information inom vård och omsorg, har Inera på uppdrag av CeHis utvecklat ett antal nationella infrastrukturtjänster. Två av de mest grundläggande tjänsterna är Katalogtjänst HSA och Identifieringstjänst SITHS, som är de säkerhetsfunktioner som används för att personal ska kunna få tillgång till behörighetsskyddad information inom hälso och sjukvård. Vad är HSA och hur fungerar det? HSA är en elektronisk katalog som innehåller grundläggande uppgifter om anställda och deras organisatoriska tillhörighet, men också uppgifter som beskriver den anställdes roller och uppdrag inom vård och omsorg. När en person behöver ta del av till exempel vårdinformation från ett vårdsystem kan uppgifterna i HSA användas för att kontrollera personen i fråga verkligen är anställd inom vården och har en roll/uppdrag. Därefter kan personen ta del av den efterfrågade informationen som han/hon är behörig till. Vad är SITHS och hur fungerar det? SITHS är en tjänstelegitimation i form av ett plastkort som innehåller elektroniska certifikat som bland annat används för att kunna logga in i olika IT-system. Organisationen som utfärdar legitimationen kan, förutom elektronisk ID-handling, förse kortet med text och grafik (namn, personnummer, foto, namnteckning, logotyp, med mera). Certifikaten möjliggör så kallade två-faktors-autentisering vilket betyder att det inte bara räcker med att ha kortet som bevis för sin identitet, kortägaren måste också känna till en PINkod, för att identiteten ska anses vara bevisad. Denna två-stegs-nivå av säkerhet anses idag vara tillräcklig för säker elektronisk identifiering av en person (eller organisation) som vill nå behörighetsskyddad information inom vård och omsorg. På vilket sätt fungerar SITHS och HSA ihop? Det elektroniska certifikatet som finns på SITHS-kortet bygger på uppgifter som finns i HSAkatalogen. Du kan alltså inte få ett SITHS-kort om du inte finns med i HSA. När en anställd loggar in med hjälp av SITHS-kortet så görs först en kontroll av att certifikatet fortfarande är giltigt. Är det giltigt så söks personen med det aktuella certifikatet upp i HSA-katalogen. Därefter avgör de personliga uppgifterna i HSA-katalogen om personen har behörighet att ta del av den efterfrågade informationen. SITHS och HSA kompletterar därför varandra. Med SITHS-kortet kan en person identifiera sig och visa vem han/hon är, och med hjälp av uppgifterna i HSA kan exempelvis vårdsystemet avgöra om personen är en behörig användare. Det är viktigt att förstå att identitet och behörighet är skilda saker och att det krävs både identifiering (autenticering) och behörighetskontroll (auktorisation) innan en person ges tillträde till behörighetsskyddad information.

5 Sida: 5 (15) Idag används HSA och SITHS bland annat för att komma åt Dosapoteken, Senior Alert, Palliativregistret, kvalitetsregister, Nationell Patientöversikt (NPÖ), Elektronisk födelseanmälan (efa) med flera system inom vård och omsorg. Ordning och reda viktigt Det är mycket viktigt att de organisationer som använder HSA och SITHS inser vikten av att hålla ordning i HSA-registret och på utgivna kort. Det är lätt att inse vad som skulle kunna hända om en person som inte längre jobbar inom vården eller kommunen, skulle få behålla sitt SITHS-kort och fortfarande vara registrerad i HSA. Av bland annat den anledningen, måste organisationer som ska använda HSA och SITHS acceptera och följa det regelverk som verksamheter förbinder sig till då de tecknar avtal om att använda dessa tjänster. Kommunal personal inom vård och omsorg är normalt behöriga att registrera och ta del av information i kommunens verksamhetssystem för socialtjänsten. För att det ska fungera krävs att personernas identiteter och behörigheter är registrerade i verksamhetssystemets behörighetskontrollsystem (BKS). För kommunal personal som dessutom ska ha tillgång till Apotekens och landstingens vårdsystem krävs alltså registrering i HSA. Detta medför i de flesta fall en dubbel administration för kommunen. Så fort en person läggs till eller tas bort i verksamhetssystemet, eller får ändrade arbetsuppgifter, kan det medföra att uppgifter om personen också måste uppdateras i HSA. Olika typer av SITHS-kort Det finns många olika typer av SITHS-kort. I tabellen nedan kan du se de SITHS-kortstyper som krävs för att uppfylla de nödvändiga kraven för åtkomst till de vårdsystemen som är aktuella, samt vilka egenskaper som respektive kort innehåller. För information om fler korttyper och användningsområden hänvisas till Inera AB. Vanliga SITHS-kort Typ av SITH-kort Egenskaper Anmärkning Företagskort utan foto Företagskort med foto Reservkort SITHS-certifikat Telia e-leg Logotyp Namn RFID SITHS-certifikat Telia e-leg Logotyp Namn Namnteckning RFID SITHS-certifikat Logotyp RFID Minimikravet för ett personligt SITHS-kort är att SITHS-certifikat, logotyp och namn finns på kortet. Telia e-leg och RFID kommer med automatiskt men används inte för åtkomst till vårdsystemen. De kommuner som vill kan förse korten med foto och namnteckning. Detta kräver att vissa standarder och rutiner följs. Landsting kan erbjuda kommunen hjälp med fotografering, mot ersättning. Observera att kort med foto och namnteckning inte gäller som legitimation i samhället. För det krävs SIS-godkända kort. Mer information om detta finns på Inera AB:s webbplats. Reservkort är avsedda för användning när personligt kort förstörts eller förkommit. Kan också användas för vikarier som har kortare uppdrag.

6 Sida: 6 (15) Vilka förberedelser behöver vi göra? Och varför är det viktigt? Eftersom HSA och SITHS ger möjlighet för personal att komma åt information som någon annan organisation äger, ställs det höga krav på att man organiserar och hanterar dessa tjänster på ett kvalitetssäkrat sätt. Det är viktigt att ni redan i det inledande skedet går igenom vilka resurser som krävs för att klara av att hantera arbetsuppgifter som tillkommer när ni ska börja använda HSA och SITHS. Vem ska ansvara för vad? Det finns särskilda roller som behöver bemannas när man ansluter till HSA och SITHS. Vissa roller är obligatoriska att ha inom den egna organisationen, medan andra går att köpa från annan part. Vilka personer som ska ha respektive roll ska vara klart innan anslutningen kan påbörjas. Dessutom ska det vara tydligt för var och en vad denna roll innebär och vilket ansvar respektive person ska ha. Detta är viktigt för att HSA och SITHS är känsliga tjänster, som berör både den egna organisationen och alla andra som är anslutna till dem. Ingen kedja är starkare än sin svagaste länk, och för att tilliten till HSA och SITHS ska kunna hållas på en hög nivå måste alla inblandade agera efter samma regler och rutiner. Roller och ansvar HSA: I tabellen nedan kan du se vilka roller och ansvar som behövs för att upprätthålla tjänsten HSA och uppfylla kraven. Omfattningen och antalet personer kan variera beroende på hur stor din verksamhet är och hur mycket din kommun väljer att göra själv eller köpa från annan leverantör. OBS! Obligatoriska roller inom en kommun som ansluter via annan kommun eller landsting är markerade med fet stil. Roller och ansvar HSA Roll Lämplig person Ansvarsområde Obligatorisk? Går att köpa? Informationsägare. Personalansvarig *) eller informationssäkerhetsansvarig. *) beroende av vilka förvaltningar som representeras i HSA kan detta vara personalansvarig inom en förvaltning eller personalansvarig i kommunen. Ansvarar för riktigheten i katalogen och att det finns regler och rutiner för kvalitetssäkring av uppgifter, regler för att tilldela behörigheter (i katalogen), PUL. Obligatorisk roll som också måste finnas inom den egna organisationen. HSA- Driftansvarig eller IT- Ansvarar för daglig hantering av HSA-frågor, Obligatorisk roll som också måste finnas

7 Sida: 7 (15) Roller och ansvar HSA Roll Lämplig person Ansvarsområde Obligatorisk? Går att köpa? ansvarig. ansvarig *). *) beroende av vilka förvaltningar som representeras i HSA kan detta vara IT-ansvarig inom en förvaltning eller IT-ansvarig i kommunen. till exempel; utbildning, dokumentation, regelverk, uppföljning, teknik och infrastruktur samt tillgänglighet och funktionalitet. inom den egna organisationen. HSAadministratör. Handläggare. Lägger in uppgifter i katalogen på uppdrag av ansvarig (verksamhets-) chef. Obligatorisk roll. Kan köpas från annan part. HPT-ansvarig. HPT = HSA Policy Tillämpning (aktuell HPT följer med som bilaga till avtalet mellan parterna) HSA-ansvarig. Ytterst ansvarig för att ta fram och vid behov uppdatera organisationens HPT (som beskriver hur verksamheten uppfyller HSA Policy). Obligatorisk roll. Vid anslutning via annan ansluten organisation finns rollen hos den man ansluter till. Kommunens HSAansvarige ansvarar för att lämna nödvändiga uppgifter om kommunen för uppdatering av HPT Servicedesk/K undservice/ku ndtjänst. Enligt avtalsmallen delas ansvaret i 1:a linjens support som ska finnas inom kommunen för vanliga användare, och 2:a linjens support, som ska finnas inom den organisation man ansluter via och som ska hjälpa kommunens utsedda kontaktpersoner Funktion dit användare kan vända sig för att få hjälp med HSA. Obligatorisk roll. Kan köpas från annan part. Utbildare av HSAadministratörer. Någon som genomfört detta tidigare. Det går också att utbilda utbildare inom den egna verksamheten. Ansvariga för att utbilda och informera användare i konceptet HSA/SITHS över tid. Det vill säga att utföra repetitionsutbildningar och lära upp nya handläggare. Ansvaret för att HSAadministratörerna har adekvat utbildning ligger på den organisation som tillhandahåller rollen. Support vid uppstart/införande av HSA. Vid gemensamt införande i flera kommuner i en region/län kan en bra idé vara att engagera en handläggare från region- /kommunförbundet Ansvarar för att hjälpa organisationen att komma igång införa HSA inom verksamheten. Inte obligatorisk roll, men kan underlätta för organisationen som ska ansluta till HSA. Går att köpa från annan part. Jouradministratör. Person som kan finnas tillgänglig utanför ordinarie arbetstid. Ansvarar för uppgifter som behöver utföras utanför arbetstid. Till exempel att utfärda SITHSkort/reservkort eller ändra behörighet. Inte obligatorisk roll, men kan underlätta särskilt för större organisationer. Rollen kan med fördel köpas från annan part.

8 Sida: 8 (15) Roller och ansvar SITHS: I tabellen nedan kan du se vilka roller och ansvar som behövs för att kunna upprätthålla tjänsten SITHS. Observera att vilka roller som krävs kan variera beroende på vilka olika korttyper din verksamhet väljer att ha, samt om ni utfärdar korten själva eller inte. OBS! Obligatoriska roller inom en kommun som ansluter via annan kommun eller landsting är markerade med fet stil. Roller och ansvar SITHS Roll Lämplig person Ansvarsområde Obligatorisk? Går att köpa? RA-person (kortansvarig) RA= Registration Authority Medicinskt ansvarig sjuksköterska, enhetschef, administratör inom HR eller socialtjänst, eller liknande. Kan vara samma person som registeransvarig. Ansvarar för arkivering av avtal med SITHS CA, dess godkända RAPS och avtal med andra parter. RA utser andra personer som ska arbeta med SITHS, ger dem behörighet och ser till att de får utbildning. RA ansvarar för förteckningar av personal samt andra uppgifter som är relevanta för STIHS-tjänsten. Obligatorisk roll. Vid anslutning via annan organisation för utgivning av företagskort kan tjänsten köpas från den organisation man ansluter till. Registeransvarig Medicinskt ansvarig sjuksköterska, enhetschef, administratör inom HR eller socialtjänst, eller liknande. Kan vara samma person som RA-personen. Ansvarar för registret över underskrivna kortkvittenser för utfärdade Reservkort och Företagskort (inklusive SIS-kort). Obligatorisk roll. Vid anslutning via annan organisation för utgivning av företagskort kan tjänsten köpas från den organisation man ansluter till. Säkerhetsansvarig Informationssäkerhetsansvarig, revisor eller controller är exempel på lämpliga personer. Ansvarar för att hanteringen av SITHS-kort följer angivna regler, planerar säkerhetsrevisioner, rapporterar utförda kontroller, med mera. Säkerhetsansvarig får inte vara samma person som RA, Registeransvarig eller ORA/KRA/LRA. Obligatorisk roll. Vid anslutning via annan organisation för utgivning av företagskort kan tjänsten köpas från den organisation man ansluter till. 1 KRA-person (korthandlägga re) KRA =Kort Vaktmästare, fastighetsförvaltare, administratör inom HR, handläggare inom socialtjänsten, eller liknande. Kan vara samma person som LRA, men KRA/LRA ansvarar för att beställa och spärra kort. KRA/LRA ansvarar också för arkivering och åtgärder som krävs inom ramen för kortbeställningar, namnteckningsprov och Obligatorisk roll. Vid anslutning via annan organisation för utgivning av företagskort kan tjänsten köpas från den organisation man 1 Observera att kommunen kan behöva beställa kort till personer med skyddad identitet. Då gäller särskilda regler, vilket kräver särskilda rutiner som måste överenskommas mellan parterna. Denna fotnot gäller även för rollerna LRA och ORA.

9 Sida: 9 (15) Roller och ansvar SITHS Roll Lämplig person Ansvarsområde Obligatorisk? Går att köpa? Registration Authority verksamheten behöver fler LRA-personer än KRApersoner. kortkvittenser samt för utlämnade av PIN-koder för reservkort. ansluter till. LRA ansvarar också för fotografering till SITHSkorten. LRA-person (reservkortshandläggare) LRA = Local Registration Authority, eller Lokal RA Vaktmästare, fastighetsförvaltare, administratör inom HR, handläggare inom socialtjänsten, eller liknande. Kan vara samma person som KRA, men verksamheten behöver fler LRA-personer än KRApersoner. KRA/LRA ansvarar för att beställa och spärra kort. KRA/LRA ansvarar också för arkivering och åtgärder som krävs inom ramen för kortbeställningar, namnteckningsprov och kortkvittenser samt för utlämnade av PIN-koder för reservkort. Obligatorisk roll. Vid anslutning via annan organisation för utgivning av företagskort kan tjänsten köpas från den organisation man ansluter till. ORAperson=(områ des RA) ORA =Organisation Registration Authority Medicinskt ansvarig sjuksköterska, enhetschef, administratör inom HR eller socialtjänst, eller liknande. ORA är en stödperson till RA och ansvarar, inom sitt ORA-område, för att RAPS tillämpas. ORA utser även andra personer som ska arbeta med SITHS, ger dem behörighet och ser till att de får utbildning. ORA ansvarar för förteckningar av personal samt andra uppgifter som är relevanta för STIHS-tjänsten. Ej obligatorisk roll, utan ska bara finnas om det behövs. Rollen bör då finnas inom den egna verksamheten eftersom kännedom och mandat inom arbetsområdet krävs. Andra viktiga förberedelser? Innan ni ansluter till HSA och SITHS är det viktigt att klara ut hur ni benämner olika enheter och roller inom verksamheten. Detta har särskilt betydelse för hur ni arbetar i HSA. Nedan är exempel på några punkter som kan vara bra att ha funderat kring innan ni ansluter. Definiera och fastställ regler för namnsättning av enheter i HSA. Det är en fördel att ha en tydlig namnsättning av organisatoriska enheter då dessa uppgifter kommer att exponeras mot allmänheten. Undvik till exempel förkortningar, undvik interna benämningar, etc. Definiera ett antal områden där SITHS och HSA ska användas och formulera prioriteringar. Det går inte att göra allt på en gång och ett breddinförande utan fördefinierad nytta, kan skapa problem på sikt. Se till att ha tydligt ägandeskap av införandet. Detta är inte bara en IT-fråga, utan i högsta grad en verksamhetsfråga som kan bidra till att skapa ordning på organisation och personal. Klargör ansvar och resurser tidigt, det skapar kontinuitet över tid.

10 Sida: 10 (15) Hur gör vi för att ansluta? Och hur lång tid tar det? Alla landsting, kommuner och privata vårdgivare kan ansluta sig till HSA och SITHS i enlighet med den överenskommelse som gjorts mellan SKL och CeHis. Alternativa anslutningssätt Det finns olika sätt att ansluta till HSA och SITHS. I denna Guide tar vi bara upp varianten tredjepartsanslutning, dvs att en kommun ansluter via en annan kommun eller ett landsting som redan har avtal med Inera AB ( direktansluten organisation). Du kan läsa mer om andra anslutningsformer på: och Tredjepartanslutning: En tredjepartanslutning till HSA och/eller SITHS innebär att din kommun ansöker om anslutning samt tecknar avtal med en organisation som har en direktanslutning till HSA och/eller SITHS. Detta är vanligtvis ditt landsting, eller annan större kommun. Tredjepartanslutning HSA En tredjepartanslutning till HSA innebär att ni får anpassa er till den direktanslutnes lösningar vad gäller både uppkoppling samt hur ni hanterar era kontaktuppgifter i HSA. Detta kan innebära att den direktanslutna hänvisar till HSA Admingränssnitt hos Inera. Tredjepartanslutning SITHS En tredjepartanslutning till SITHS innebär att ni får hjälp den direktanslutne att ge ut kort inom er verksamhet. En tredjepartanslutning till SITHS kan vara bra för den verksamhet som inte har möjlighet att själva bygga upp den organisation som krävs för kortutgivning, eller bara har behov av ett fåtal kort. Så här gör du vid en tredjepartanslutning: Kontakta kommun-/regionförbundet för närmare upplysningar om era regionala förhållanden. Samtliga landsting håller på att utse kontaktpersoner mot kommunerna (och privata utförare). Om ännu ingen utsetts i din region/län kan du när det gäller HSA kontakta HSA-ansvarig och för SITHS RA-personen (korthandläggaren). Dessa personer finns ofta inom landstingens ITorganisationer. Om det gäller anslutning via annan kommun gäller förmodligen särskild ordning. Ni bör tillsammans med kontaktpersonen i den direktanslutna organisationen boka in ett första planeringsmöte där ni kan få svar på den initiala frågan om man är beredd att låta tredjepartansluta er. Denna första fråga är viktig eftersom möjligheten och villkoren kan variera från en region/län till annan. Om man svarar ja på frågan så kan ni börja planera anslutningsprocessen. Det mest naturliga är att därefter börja se över avtalet (utifrån bifogade mall) så att ni kan stämma av det mot de överenskommelser ni fortsättningsvis gör i förhandlingarna kring organisation, processer, roller och ansvar samt kostnader för tjänsten.

11 Sida: 11 (15) Samverka gärna med de övriga kommunerna i regionen/länet. Det kan spara tid och kraft! Vilket avtal behöver vi? Och hur får vi fram ett sådant? Den avtalsmall som bifogas denna Guide är avsedd att användas som underlag för ett avtal mellan parter som står i begrepp att sluta avtal men som ännu inte genomfört detta. Ändringar i avtalstexten Avtalsmallen har granskats inom projektet av representanter för SKL, CeHis, Inera AB, kommuner och landsting och befunnits tillräcklig för att reglera ett fungerande samverkansavtal mellan parterna. Det står sedan parterna fritt att förhandla om avtalets innehåll, utifrån de specifika förhållanden som kan råda inom respektive region/län. Användning av mallen Avtalsmallen är avsedd att utgöra underlag för ett avtal mellan tex ett landsting/region och en enskild kommun i länet/regionen. I ett län/region med 10 kommuner som vill ansluta sig upprättas alltså 10 unika avtal. Processen kan med fördel ske samordnat i projektform med tex region-/kommunförbundet som sammanhållande part. Ifyllande av mallen Mallen kopieras och får utgöra original för ett avtal mellan ett landsting och en kommun. Lämpligen stryks de inledande orden MALL för och sedan ersätts text inom hakparenteser ( [ ] ) med för avtalet aktuella uppgifter. Avtalets undertecknande Avtalet måste undertecknas av behörig person (för kommunen är det lämpligen socialchefen) för respektive organisation. Anslutningsprocessen Vad som behöver göras kan variera beroende på verksamhetens tekniska och organisatoriska förutsättningar. Det beror också på hur väl ni har förberett er verksamhet innan ni påbörjar anslutningen. Totalt bör ni räkna med en kalendertid om cirka tre månader. Detta inkluderar åtaganden såsom att göra de tekniska förberedelser som behövs; skriva avtal, uppdatera policydokument, utbilda personal, skapa interna rutiner etc. Nedan redovisas en erfarenhetsbaserad process baserad på några regioner/läns erfarenheter: Initialt måste kommunen utse följande rollinnehavare: För avtalskrivning - Avtalstecknare (obligatorisk kommunroll kan ej delegeras eller köpas som tjänst). Den som tecknar avtal i en kommun behöver inte vara firmatecknare. Det räcker med att denne har rätt att teckna avtal enligt delegationsordning i kommunen. Normalt bör det i detta fall vara socialchefen (motsvarande). För HSA - Informationsägare (obligatorisk kommunroll kan ej delegeras eller köpas som tjänst)

12 Sida: 12 (15) - HSA-ansvarig (obligatorisk kommunroll kan ej delegeras eller köpas som tjänst) - HSA-administratör (obligatorisk roll kan göras själv eller köpas som tjänst) För SITHS - Kortbeställare (obligatorisk kommunroll) - Säkerhetsansvarig (obligatorisk kommunroll) Kommunen och landstinget/kommunen måste sedan komma överens om organisation, roller och ansvar samt aktiviteter inom följande processer: - Införandeprocessen: - Förändringshantering: - Reservkortshantering: Följande steg kan sen genomföras i samverkan mellan organisationerna: (skapa gärna ett särskilt projekt för ändamålet, och som sagt samverka med övriga kommuner så spar ni tid och kraft i regionen/länet). 1. Kommunen och landstinget/kommunen enas om val av korttyp 2. Kommunen skickar namn och personnummer på HSA-huvudadministratör till <adress> så att Leverantören ska kunna utfärda ett reservkort för initial registrering. 3. Kommunen införskaffar och installerar kortläsare samt programvara Net-ID som hämtas från <webbadress> 4. Kommunens kortbeställare skickar logotyp till Landstingets kontaktperson <epostadress> Specifikation av logotyp Svartvit Utrymme på kort till logotyp: 12mm X 52 mm Format:.jpg,.pdf,.psd,.eps Storlek KB Upplösning: minst 300 ppi (pixels per inch) 5. Kommunen initierar möte med landstingets kontaktperson för planering av bl a fotograferings- (om detta alternativ valts) och kortutlämningtillfällen. Vid mötet får kommunens HSA-huvudadministratör ett tillfälligt landstingskort (reservkort) för att möjliggöra åtkomst till HSA-admin. 6. HSA-huvudadministratören lägger in övriga HSA-administratörer i HSA (vid behov). 7. HSA-administratörerna lägger in personnummer för personal som skall ha kort i HSAkatalogen. Uppgifterna kommer att kontrolleras mot Skatteverkets folkbokföringsregister och tilltalsnamn och efternamn hämtas därifrån. Observera därför följande: I HSA-katalogen finns ett absolut krav på att uppgifterna överensstämmer med Skatteverkets folkbokföringsuppgifter, vilka är de som trycks på korten. Behöver någon markera tilltalsnamn görs detta genom Skatteverket och är gratis. Efternamn ändras hos Patent och Registreringsverket mot en avgift (

13 Sida: 13 (15) 8. Kommunens kortbeställare översänder kortbeställning till landstingets kontaktperson 9. Kortbeställningsunderlag tas fram enligt något av följande alternativ: a. Kommunens personal besöker landstingets kortutfärdare enligt Leverantörens skriftliga rutiner (RAPS underbilaga 7) för identifiering, fotografering mm b. Landstingets kortfunktion kommer till kommunens huvudort och genomför dessa aktiviteter. 10. Kommunens Säkerhetsansvarige, eller ersättare enligt delegation, erbjuds läsbehörighet i SITHS Admin från landstingets RA-funktion, för att få möjlighet att granska och följa upp utgivningen av kommunens kort 11. Genomför kortutlämning enligt något av följande alternativ: a. Kommunens personal besöker landstingets kortutfärdare enligt Leverantörens skriftliga rutiner (RAPS underbilaga 7) för identifiering mm alt b. Landstingets kortfunktion kommer till kommunens huvudort och genomför dessa aktiviteter.

14 Sida: 14 (15) Hur mycket kostar det? Den 1 januari 2011 beslutades det att alla organisationer som är anslutna till HSA och SITHS ska vara med och betala för de centrala kostnaderna för drift, förvaltning och utveckling. Dessa kostnader stod endast landstingen för tidigare. Förutom de centrala kostnaderna tillkommer utgifter för bland annat administration, personella resurser, SITHS-kort och annan utrustning som kan bli aktuell för respektive tjänst. Hur fördelas de centrala kostnaderna? Prismodellen som gäller från 1 januari 2011 har tagits fram genom ett samarbete mellan CeHis, Inera och kommunerna. För befintliga kunder (inklusive de som ansluter via befintliga kunder) börjar prismodellen att gälla från och med Priset för de centrala kostnaderna avgörs av hur mycket din kommun nyttjar tjänsterna, och det är självkostnadsprincipen som gäller. När det gäller HSA bygger nyttjandet av tjänsten på antal objekt (person, enhet eller funktion) som din verksamhet har i HSA katalogen. När det gäller SITHS bygger nyttjandet av tjänsten på antal kort som verksamheten har. Antal objekt i HSA och antal SITHS-kort som verksamheten har räknas tre gånger per år och faktureras den organisation som har direktavtalet med Inera AB. Kommunerna som är anslutna via den direktanslutna organisationen faktureras därefter enligt det avtal man slutit mellan parterna. Centrala kostnader för HSA och SITHS (2011) Tjänst HSA SITHS Centrala kostnader 25 kronor per objekt (person, enhet eller funktion) och år i katalogen. 43 kronor per kort och år. Tillkommer andra kostnader? Förutom de central kostnaderna tillkommer utgifter för till exempel administration, personella resurser, utbildning, kort och annan utrustning som kan bli aktuell för respektive tjänst. Hur mycket detta kostar beror på hur mycket ni utnyttjar den direktanslutna organisationens resurser och vilken ersättning ni avtalat om att betala för dessa tjänster. Priset som kommunen ska betala ska beräknas utifrån självkostnadsprincipen och skrivas in i avtalet (bilaga 3 enligt bifogade avtalsmall).

15 Sida: 15 (15) I matrisen nedan kan du se exempel på kostnader som kan tillkomma och ungefärliga priser på detta. Aktuella priser kan hämtas på Inera AB:s webbplats. Exempel på övriga kostnader för HSA Utgiftspost Personal. Utbildning. Ungefärlig kostnad (exklusive moms) Beror på omfattning, löneavtal, med mera. Beror på hur många som ska utbildas och vad utbildningen kostar Exempel på övriga kostnader för SITHS Utgiftspost Företagskort. Reservkort. Net ID-licens. Egen logotyp. Användning av direktanslutens logotyp. Rekommenderat brev från kortleverantören (porto). Kortläsare. Personalkostnader i samband med fotografering och utlämning. Ungefärlig kostnad (exklusive moms) 160 kronor/kort. 120 kronor/kort. 25 kronor/kort kronor kronor för upplägg av ny korttyp (engångskostnad). 0 kronor. 170 kronor/beställning av kortleverans (bör ingå i leverantörens administrationskostnad under införande) kronor. Beror på om ni gör det själva eller köper tjänsten från annan, samt vilka omkostnader detta kan innebära. Utbildning av korthandläggare. Cirka kronor per person från extern utbildare. Gör ni det internt avgörs kostanden av detta.