Leverandørvilkår for integrasjon mot tjenester i Helsenettet
Leverandørvilkår for integrasjon mot tjenester i Helsenettet
1 Helsenettet
Helsenettet er en kommunikasjonsløsning som inkluderer nasjonal infrastruktur, fellestjenester og felleskomponenter for utveksling og sikker tilgang til opplysninger mellom virksomheter i helse og omsorgstjenesten og helse og omsorgsforvaltningen. Norsk helsenett forvalter og drifter Helsenettet som er et økosystem forbeholdt medlemmer og deres leverandører. Medlemskapet i Helsenettet er et grunnleggende premiss for at helsevirksomhetene kan samhandle og utveksle opplysninger med nødvendig grad av tillit.
2 Bakgrunn for leverandørvilkår og hvilke leverandører gjelder leverandørvilkårene for
Med “leverandør” menes i disse vilkårene virksomhet som er leverandør av systemløsning eller annen teknisk infrastruktur til en helsevirksomhet. Dette omfatter både kommersielle aktører og andre virksomheter som støtter helsevirksomhetene med systemløsninger eller annen teknisk infrastruktur. Vilkårene regulerer rettigheter og plikter mellom Norsk helsenett og leverandører som på vegne av en eller flere helsevirksomheter, eller virksomhet i den statlige helseforvaltningen integrerer seg mot en av disse tjenestene. Leverandørvilkårene retter seg mot leverandører som leverer pasientjournalsystem og andre fagsystemer som benyttes hos medlemmene, det vil si i helsevirksomheter og i helseforvaltningen. Vilkårene omfatter også leverandører som leverer drifts - og skytjenester, herunder helseID og helsenettforbindelsen til sine kunder.
Helsenettet er forbeholdt medlemmer og deres leverandører. For å kunne integrere seg mot tjenester i Helsenettet, må bemyndiget representant fra leverandøren akseptere vilkårene som fremgår av dette dokumentet. Vilkårene gjelder i parallell med medlemsvilkårene som leverandørens kunde må signere. Leverandøren har en selvstendig plikt til å følge leverandørvilkårene.
Leverandøren må være registrert i Foretaksregisteret til Brønnøysundregistrene for å kunne benytte og/eller integrere seg mot tjenester Norsk helsenett leverer.
Disse vilkårene gjelder ikke for leverandører som står oppført i verktøykatalogen på Xxxxxxxxxx.xx
3 Forholdet mellom leverandør og medlemmet av Helsenettet
Leverandøren kan kun integrere seg mot tjenester i Helsenettet på vegne av helsevirksomheter eller virksomheter i den statlige helseforvaltningen. Leverandøren kan klargjøre integrasjonen mot en tjeneste i Helsenettet, men ikke produksjonssette den før bemyndiget representant fra helsevirksomheten eller virksomhet i den statlige helseforvaltningen har signert medlemsavtale og akseptert de nødvendige bruksvilkårene.
Leverandør kan kun benytte integrasjonen mot tjenesten i Helsenettet for tjenester som utføres på vegne av medlemmet.
Det forventes at leverandøren har et aktivt forhold til bruksvilkårene som gjelder for tjenestene som medlemmet har signert på. Det er viktig at leverandørene bistår medlemmet med å oppfylle medlemmets forpliktelser ettersom det er leverandøren som oftest vil ha innsikt og faktisk gjennomføre integrasjonen med NHN.
Leverandøren og medlemmet må sørge for at de kommersielle leveransene er regulert med nødvendige avtaler, herunder databehandleravtale. Avtaleforholdet mellom medlem og leverandør faller utenfor Norsk helsenetts ansvarsområde.
4 Leverandørens ansvar
4.1 Ansvar for informasjonssikkerheten
Leverandøren er ansvarlig for informasjonssikkerheten i sin virksomhet og i egne systemer, og skal følge Norm for informasjonssikkerhet og personvern i helse- og omsorgssektoren (Normen).
Leverandørene plikter å tilby produkter og tjenester i samsvar med den til enhver tid gjeldende versjon av Normen, og på forespørsel gi Norsk helsenett innsyn i oppfyllelse/etterlevelse av kravene
Leverandøren har, i tillegg til å følge Normen, et selvstendig ansvar for å følge alle lovpålagte krav vedrørende informasjonssikkerhet og behandling av helse- og personopplysninger for øvrig.
Leverandøren skal ha etablert et styringssystem eller internkontroll der formalisering av hvordan leverandøren planlegger, gjennomfører, evaluerer/ kontrollerer og korrigerer etterlevelse av relevant regelverk, krav og avtaler er beskrevet.
Leverandøren må etterleve de til enhver tid gjeldende tekniske krav fra Norsk helsenett for tilgang til løsningene Norsk helsenett forvalter. Leverandøren skal forvalte og oppdatere løsningen sin etter beste praksis.
Norsk helsenett forbeholder seg retten til å vurdere hvorvidt systemer med koblinger til løsninger Norsk helsenett forvalter medfører en risiko, og vil kunne kreve at også disse systemene oppdateres innen en gitt frist.
Norsk helsenett kan kreve at leverandøren gjør endringer i sin programvare, programvarebibliotek og tredjepartskomponenter hvis Norsk helsenett vurderer at dette er nødvendig for å oppnå nødvendig grad av sikkerhet for å være integrert mot løsningene Norsk helsenett forvalter. Det er Norsk helsenett som foretar disse vurderingene, så lenge leverandøren leverer sine tjenester i Helsenettet.
Endringer og oppdateringer skal ferdigstilles i samsvar med frister gitt av Norsk helsenett. Leverandørens rutiner og arbeidsprosesser må oppdateres ved behov. Leverandøren skal på forespørsel eller der det er påkrevd skriftlig bekrefte at påkrevde endringer og oppdateringer er utført i henhold til krav.
4.2 Integrasjon og vedlikehold av grensesnitt/oppdateringer ved integrasjon mot tjenester
Leverandøren skal følge de til enhver tid gjeldende integrasjonskrav og etablerte standarder fastsatt av Norsk helsenett.
Ved endringer i systemer må leverandøren sikre at dette ikke påvirker ytelsen eller datakvaliteten i de nasjonale løsningene. Dette innebærer blant annet at leverandøren skal sørge for at eventuelle feil som er introdusert med slike endringer blir rettet før produksjonssetting. Om nødvendig kan endringen regresjonstestes i dialog med Norsk helsenett.
Norsk helsenett varsler endringer for tjenesten via den til enhver tid gjeldende varslingsrutine. Norsk helsenett står fritt til å terminere versjoner av integrasjonsgrensesnitt, herunder tredjeparts API 'er minimum 6 måneder etter at en nyere versjon er tilgjengelig, eller etter avtale dersom det foreligger en innvilget utsettelse. Norsk helsenett vil ha minst to versjoner kjørende i overgangsfasen.
4.3 Test og verifisering
For å sikre at leverandør følger de til enhver tid gjeldende integrasjonskrav og etablerte standarder, plikter leverandøren å følge prosess for test og verifikasjon fastsatt av Norsk helsenett, som vurderer resultat og dokumentasjon før eventuell oppkobling i produksjon. Dette inkluderer rett for Norsk helsenett til å foreta en kodegjennomgang av leverandørens løsning ("code review"), så lenge leverandøren har de nødvendige juridiske rettigheter til å vise frem koden. Dersom leverandøren mangler rett til å vise frem koden, er aksept av alternativ metode for test av løsningen opp til Norsk helsenett. Norsk helsenett forbeholder seg retten til å kreve endringer i leverandørens løsning før produksjonssetting.
Leverandøren er ansvarlig for å kvalitetssikre egen løsning inkludert endringer som berører funksjonalitet og integrasjon mot tjenester i Helsenettet. Dersom en leverandør gjør vesentlige endringer i hvordan egne systemer samhandler med tjenester i Helsenettet (bruksmønster), må leverandøren varsle Norsk helsenett og gjennomgå ny kvalitetssikring og kodegjennomgang.
Ved kommunikasjon med et av Norsk helsenetts produksjonsmiljøer er det ikke tillatt å benytte testpasienter/fiktive pasienter for å teste ut løsningen, eller å registrere opplysninger i løsningen til test- eller opplæringsformål. All registrering av opplysninger i produksjon skal være knyttet til en reell behandlingssituasjon. Test skal alltid gjennomføres i testmiljø og det skal kun benyttes syntetiske data i testmiljø. Leverandøren skal i samarbeid med kunden påse at test gjøres i adskilte testmiljø.
4.4 Multi-tenants
En leverandør kan ha én integrasjon mot en tjeneste i Helsenettet, uavhengig av hvor mange kunder (medlemmer i Helsenettet) leverandøren betjener, såkalte "multi-tenants". Leverandøren skal sørge for at den autentiserte identiteten til det innloggede helsepersonellet er sporbar gjennom hele brukersesjonen. Leverandøren skal kunne spore den opprinnelige autentiserte identiteten, slik at det blir mulig å dokumentere og etterprøve identiteten som blir delt.
Leverandøren skal videre sørge for en sikker knytning mellom den innloggedes identitet og Helsevirksomheten vedkommende har en rolle i, for den enkelte brukersesjonen, slik at tilgangen til informasjon følger rollen til den innloggede i den enkelte Helsevirksomhet.
4.5 Melding om hendelser og hendelseshåndtering
Leverandøren skal uten ugrunnet opphold varsle Norsk helsenett ved kontaktpunktet, dersom det oppdages at
• systemer eller systemkomponenter som er integrert mot tjenester i Helsenettet er kompromitterte eller har oppdaget en betydelig informasjonssikkerhetsrisiko.
• mistanke om brudd på personopplysningssikkerheten.
• ikke-planlagte avbrudd eller reduksjon i kvalitet i tjenestene eller situasjoner som kan føre til lavere kvalitet eller ytelse fra tjenestene i Helsenettet.
• andre alvorlige feil eller hendelser i egne systemer.
Leverandøren er videre ansvarlig for å ha et bemannet kontaktpunkt som kan kontaktes av Norsk helsenett i tilknytning til hendelser og hendelseshåndtering. Norsk helsenett har rutiner for både varsling og hendelseshåndtering.
4.6 Krise- og beredskapsplaner
Leverandøren skal ha nødvendige krise- og beredskapsplaner for systemer tilknyttet tjenester i Helsenettet.
5 Samarbeid om utprøvinger
Norsk helsenett tilbyr leverandører å delta i utprøving av ny funksjonalitet og utvikling av nye tjenester i Helsenettet. Invitasjon til utprøving skjer i dialog med leverandørmarkedet i åpne samarbeidsfora. Norsk helsenett praktiserer likebehandling av leverandører.
Utprøving kan skje stegvis og ved behov kan det inngås egen samarbeidsavtale om utprøvingen.
Ved deltagelse i utprøving må leverandøren ta hensyn til at tjenesten er under utvikling og i utprøving. Løsning, støttemateriell og prosesser m.m. vil bli utviklet/oppdatert løpende i avtaleperioden.
Leverandørvilkårene gjelder for utprøvingssamarbeid så langt de passer. Leverandør aksepterer at Norsk helsenett ikke er erstatningsansvarlig for Leverandørens direkte eller indirekte tap. Dette inkluderer, men er ikke begrenset til tap knyttet til bortfall av finansiering, ytelse, oppetid, skalerbarhet, fremdrift, omfang og kvalitet.
6 Kontaktpunkter
6.1 Hos Norsk helsenett
Kontaktpunkt i Norsk helsenett for alle henvendelser angående tjenester i Helsenettet:
• Telefon: 00 00 00 00
6.2 Hos leverandøren
Leverandøren har ansvar for å holde informasjon om kontaktpunkter i egen virksomhet korrekte og oppdatert. Oppdatert informasjon skal formidles til kontaktpunktet i Norsk helsenett. Spesielt viktig er sikkerhets- og integrasjonsansvarlig (teknisk ansvarlig), da dette er kontaktpunktet som vil kunne benyttes for håndtering av tekniske forhold, sikkerhetsmessige forhold og ved feilsituasjoner knyttet til leverandørens integrasjoner mot løsningene Norsk helsenett forvalter.
7 Dataansvar
Norsk helsenett kan opptre i rollen som dataansvarlig eller databehandler for personopplysninger som behandles i tjenestene i Helsenettet.
En leverandør kan bare behandle personopplysninger i rollen som databehandler og på instruksjoner fra en dataansvarlig helsevirksomhet eller virksomhet i den statlige helseforvaltningen.
Leverandøren forutsettes å ha inngått en databehandleravtale med helsevirksomheten han behandler personopplysninger på vegne av, og skal loggføre hvem han opptrer på vegne av i behandlingsaktivitetene. Hverken Norsk helsenett eller leverandøren blir databehandler for hverandre på grunnlag av disse vilkårene.
8 Taushetsplikt
Forvaltningslovens taushetspliktbestemmelser kommer til anvendelse for partene og eventuelle underleverandører og tredjeparter. I tillegg har enhver som behandler helseopplysninger i behandlingsrettet helseregister etter pasientjournalloven og/eller i helseregister etter helseregisterloven, taushetsplikt etter helsepersonelloven §§ 21 flg. Andre som får adgang eller kjennskap til helseopplysninger fra et behandlingsrettet helseregister eller helseregister, har samme taushetsplikt.
Partene skal ta nødvendige forholdsregler for å hindre at uvedkommende får innsyn i eller kan bli kjent med taushetsbelagt materiale eller informasjon.
Taushetsplikten gjelder også etter tjenestenes opphør. Ansatte eller andre som fratrer sin tjeneste hos en av partene eller deres underleverandører, skal pålegges å bevare taushet om forhold som er nevnt ovenfor, også etter fratredelsen.
9 Tilgang til opplysninger og revisjon
Norsk Helsenett har rett til å foreta revisjon og verifikasjon av at leverandøren overholder vilkårene, herunder at integrasjonene mot de nasjonale e-helseløsningene er i henhold til de til enhver tid gjeldende krav og spesifikasjoner. Revisjonen skal ta utgangspunkt i tilsynsrapporter fra offentlige tilsynsmyndigheter og revisjon utført av organisasjonen selv eller ved hjelp av tredjepart, samt gjennomførte sertifiseringer. Revisjonen skal gjennomføres på en slik måte at den i minst mulig grad forstyrrer alminnelig drift og tjenesteleveranser.
Revisjonen skal være egnet til å bekrefte eller avkrefte overfor Norsk Helsenett og/eller helsevirksomheter som benytter tjenesten om bruksvilkårene overholdes. Dersom revisjonen avdekker at vilkårene ikke overholdes, plikter leverandøren å endre tjenesten på en slik måte at vilkårene oppfylles. Leverandøren plikter i et slikt tilfelle å refundere Norsk Helsenetts kostnader til gjennomføring av revisjonen.
10 Kostnader
Leverandøren må selv dekke egne kostnader forbundet med integrasjon mot tjenester i Helsenettet og må stille med nødvendig kompetanse, herunder for test og vedlikehold av integrasjonen.
11 Mislighold og sanksjon
Hvis det oppstår mislighold av partenes forpliktelser skal en prøve å finne en løsning mellom partene slik at integrasjonen og øvrige leveranser under disse vilkårene kan ivaretas som forutsatt.
Leverandøren plikter å varsle og utbedre misligholdet uten ugrunnet opphold.
11.1 Deaktivering av leverandørens integrasjon mot tjenester i Helsenettet
Ved begrunnet mistanke om, eller det foreligger et bekreftet brudd på Normen eller øvrige vilkår for integrasjon mot tjenester i Helsenettet, har Norsk helsenett rett til å sette i verk nødvendige sikkerhetstiltak for å begrense skadevirkninger for øvrige aktører i Helsenettet.
Særlig relevant er dette ved bekreftede sikkerhetsbrudd ved kritiske sårbarheter hvor Norsk helsenett vil kunne iverksette nødvendige tiltak.
Beslutning om tiltak eller deaktivering gjøres av Norsk helsenett. Norsk helsenett vil foreta en konkret og skjønnsmessig helhetsvurdering. Vurderingen skal veie sikkerhetshensyn opp mot hensynet til liv og helse.
Leverandøren aksepterer at Norsk helsenett kan nekte leverandørens virksomhet integrasjon til tjenestene i Helsenettet inntil situasjonen er avhjulpet, eller permanent dersom leverandøren gjentatte ganger unnlater å rette seg etter varsel om nødvendige tiltak og/eller varsel om eventuell deaktivering.
11.2 Erstatning
Mislighold eller feil ved tjenester i Helsenettet gir ikke grunnlag for erstatnings- eller refusjonskrav, med mindre det foreligger grov uaktsomhet eller forsett.
Mislighold fra leverandøren gir grunnlag for erstatning fra Norsk helsenett dersom misligholdet ikke er rettet opp innen rimelig tid, og har påført Norsk helsenett direkte kostnader.
Det kan ikke kreves dekning for indirekte tap.
Norsk helsenetts ansvar for feil begått av en av sine leverandører er uansett begrenset til det beløp som Norsk helsenett oppnår fra leverandøren som erstatning for virksomhetens tap i hvert enkelt tilfelle.
12 Endring av vilkårene
Norsk helsenett har rett til ensidig å endre disse vilkårene. De til enhver tid gjeldende vilkår publiseres på Norsk helsenett sine nettsider.
Norsk helsenett skal annonsere vesentlige endringer av disse vilkårene og gi leverandøren rimelig tid til å innrette seg etter endringene. Med vesentlige endringer menes endringer av partenes roller, ansvar, oppgaver eller forpliktelser.
13 Overdragelse
Norsk helsenett kan helt eller delvis overdra sine rettigheter og plikter etter disse vilkårene til en annen norsk offentlig virksomhet, eller offentlig eid selskap, som er berettiget til tilsvarende vilkår.
Leverandøren kan ikke overdra sine rettigheter og plikter etter disse vilkårene.
14 Oppsigelse
Leverandøren kan si opp disse vilkårene med 1 måned skriftlig varsel.
15 Tvister
Dersom det oppstår uenighet mellom partene om tolkning eller rettsvirkninger av vilkårene, skal partene først forsøke å bli enige gjennom forhandlinger og/eller mekling.
Partenes rettigheter og plikter etter disse vilkårene skal tolkes og utfylles i tråd med norsk rett.
Adressen til Norsk helsenett sitt hovedkontor utgjør grunnlaget for valg av verneting ved domstolsbehandling av tvister.