Cybersäkerhetslagen & Sveriges Största Vårdaktörer

Sveriges Hälso- och Sjukvårdssektor inför Cybersäkerhetslagen (NIS2), En analys baserad på årsredovisningar

Sveriges hälso- och sjukvård står inför en omställning digitalt. Denna transformation accelereras av ett nytt regelverk, cybersäkerhetslagen. Syftet är att kraftigt höja den digitala motståndskraften mot ett alltmer aggressivt hotlandskap.

I cybersäkerhetslagen klassificeras hälso- och sjukvårds som "högkritisk". Denna klassificering omfattar inte bara traditionella vårdgivare, utan även tillverkare av kritiska medicintekniska produkter, läkemedelsföretag och forskning. Anledningen är de potentiella samhällskonsekvenserna av en cyberincident. En framgångsrik attack kan leda till avbruten vård, att patientdata hamnar i orätta händer, ett underminerat förtroende för vården.

Innehåll

1. Rapportens syfte och metod
2. Kartläggning av de 20 största aktörerna inom hälso- och sjukvård
3. Granskning av aktörernas beredskap och riskhanteringb
4. Analys av hälso- och sjukvård inför cybersäkerhetslagen
5. Strategiska implikationer och rekommendationer
6. Vägen framåt mot ett cybersäkert hälso- och sjukvårdssystem
7. Källor från aktörerna

Årsredovisningar och cybersäkerhetslagen

Denna artikel är en analys för att belysa hur sjukvårdsektiorn påverkas av cybbersäkerhetslagen. Jag har i arbetet tagit hjälp av gemini för att genomföra analysen.

Jag har letat fram de 20 största vårdaktörerna, inte de 20 viktigaste. Därav finns t ex inte laboratrier, radiologer, socialstyrelsen eller folkhälsomyndigheten med.

1. Rapportens syfte och metod

Denna rapport syftar till att analysera beredskapen hos Sveriges 20 största hälso- och sjukvårdsaktörer inför den cybersäkerhetslagen. Utifrån årsredovisningar för 2023 granskas aktörernas nuvarande riskmedvetenhet och strategiska prioriteringar i relation till de kommande lagkraven. Genom att analysera förvaltningsberättelser, riskavsnitt och verksamhetsbeskrivningar kartläggs huruvida och i vilken utsträckning cybersäkerhet behandlas som en strategisk fråga.

Analysen av årsredovisningarna avslöjar en diskrepans mellan nuvarande finansiell riskrapportering och de kommande regulatoriska kraven. Årsredovisningar är i sin natur finansiella dokument, utformade för att informera ägare, investerare och kreditgivare om risker som hotar den ekonomiska stabiliteten. Cybersäkerhetslagen, å andra sidan, kräver ett detaljerat, systematiskt och riskbaserat säkerhetsarbete som omfattar minst tio specificerade åtgärdsområden, från incidenthantering till säkerhet i leveranskedjan. Dagens årsredovisningar talar ofta om "digitalisering" som en möjlighet och "IT-störningar" som en operativ risk, men sällan om "cybersäkerhet" som en strategisk ledningsfråga med dedikerade styrmodeller. Denna "rapporteringsklyfta" indikerar att cybersäkerhet ännu inte har integrerats på den strategiska nivå som lagen kommer att kräva, vilket utgör en betydande efterlevnadsrisk för hela sektorn.

2. Kartläggning av de 20 största aktörerna inom hälso- och sjukvård

För att ge en representativ bild av sektorn har ett urval av 20 av de största och mest inflytelserika aktörerna gjorts. Urvalet baseras på data om antal anställda och omsättning och inkluderar en mix av offentliga och privata vårdgivare, universitetssjukhus, akademiska institutioner samt kritiska leverantörer inom medicinteknik och läkemedel.

Offentliga aktörer och universitetssjukhus:

Västra Götalandsregionen (VGR): En av Sveriges största arbetsgivare och huvudman för bland annat Sahlgrenska Universitetssjukhuset.
Region Skåne: Huvudman för Skånes Universitetssjukhus och en central aktör i södra Sverige.
Region Stockholm: Landets folkrikaste region och huvudman för Karolinska Universitetssjukhuset.
Region Östergötland: En stor regional arbetsgivare med ansvar för bland annat Linköpings Universitetssjukhus.
Region Uppsala: Huvudman för Akademiska sjukhuset och en viktig nod för medicinsk forskning.
Region Jönköpings län: En betydande regional aktör med ansvar för tre akutsjukhus.
Sahlgrenska Universitetssjukhuset: Ett av Europas största sjukhus, drivs av VGR.
Karolinska Universitetssjukhuset: Ett av världens främsta sjukhus, drivs som bolag inom Region Stockholm.
Skånes Universitetssjukhus: Drivs av Region Skåne och är en central del av den sydsvenska sjukvården.

Privata vårdkoncerner:

Praktikertjänst AB: Sveriges största privata vårdgivare med en kooperativ ägarmodell och verksamhet över hela landet.
Attendo AB: En av Nordens ledande omsorgsleverantörer inom äldreomsorg, funktionsomsorg och individ- och familjeomsorg.
Ambea AB (Vardaga & Nytida): En stor nordisk aktör inom äldreomsorg och omsorg för personer med funktionsnedsättning.
Humana AB: En ledande nordisk aktör inom personlig assistans, individ- och familjeomsorg samt äldreomsorg.
Aleris Group AB: Ett ledande specialistvårdsföretag i Skandinavien med fokus på planerad kirurgi och diagnostik.
Capio AB: En stor europeisk vårdgivare med en betydande närvaro i Sverige, inklusive S:t Görans sjukhus i Stockholm.
Medicover AB: Ett internationellt hälso- och diagnostikföretag med verksamhet i flera länder, inklusive Sverige.

Kritiska leverantörer och akademiska institutioner:

AstraZeneca AB: Ett globalt läkemedelsföretag med strategiskt viktig forskning och produktion i Södertälje och Göteborg.
Getinge AB: Ett globalt medicinteknikföretag som levererar kritisk utrustning till operationssalar och intensivvård.
Mölnlycke Health Care AB: En världsledande tillverkare av produkter för sårvård och operationslösningar.
Elekta AB: En ledande leverantör av utrustning och mjukvara för strålbehandling.

Dessa aktörer utgör ryggraden i svensk hälso- och sjukvård och dess ekosystem. Deras förmåga att efterleva Cybersäkerhetslagen kommer att vara avgörande för hela sektorns motståndskraft.

3. Granskning av aktörernas beredskap och riskhantering

En genomgång av de utvalda aktörernas årsredovisningar för 2023 visar en begynnande medvetenhet om ett förändrat säkerhetsläge, men en specifik och strategisk hantering av cybersäkerhetsrisker saknas. De offentliga rapporterna är ofta präglade av ett brett anslag där "IT-säkerhet" och "beredskap" nämns i kontexten av geopolitisk oro och totalförsvar, snarare än som en distinkt verksamhetsrisk. Privata aktörer tenderar att rama in IT-relaterade risker som operativa störningar som kan påverka finansiella resultat, utan att adressera de systemiska hot eller det ledningsansvar som cybersäkerhetslagen föreskriver. Ingen av de granskade årsredovisningarna innehåller en riskanalys som är i den detaljnivå som krävs enligt cybersäkerhetslagen.

Detaljerad aktörsanalys: Västra Götalandsregionen (VGR)

Som ett illustrativt exempel kan Västra Götalandsregionen (VGR) analyseras närmare.

Verksamhetsbeskrivning: VGR är en av Sveriges största arbetsgivare och ansvarar för ett brett spektrum av samhällstjänster, inklusive drift av Sahlgrenska Universitetssjukhuset, en omfattande primärvård, kollektivtrafik och regional utveckling.
Digitala initiativ: I sin kommunikation lyfter VGR fram digitala framsteg, såsom utskick av 500 000 digitala kallelser och arbetet med att säkra nuvarande IT-stöd i väntan på det nya, omfattande vårdinformationssystemet Millennium. Digitalisering ses tydligt som en möjliggörare för effektivare vård.
Riskanalys i årsredovisning: Årsredovisningen för 2023 fokuserar starkt på det ansträngda ekonomiska läget, med ett negativt resultat på -918 miljoner kronor. Länsstyrelsens årsredovisning för länet, som ger en bredare bild av regionens utmaningar, nämner behovet av att stärka det civila försvaret och att "rusta för att hantera och leda förändring". Det finns dock ingen specifik, detaljerad analys av cyberrisker som en strategisk utmaning i de tillgängliga dokumenten.
Slutsats: VGR är medveten om behovet av beredskap i breda, övergripande termer, drivet av det allmänna säkerhetsläget. Däremot reflekterar inte årsredovisningen en proaktiv och systematisk strategi för just cybersäkerhet som är i linje med de kommande kraven i cybersäkerhetslagen . Denna diskrepans mellan generell beredskapsmedvetenhet och specifik cybersäkerhetsstrategi är representativ för många av de granskade offentliga aktörerna.

4. Analys av hälso- och sjukvård inför cybersäkerhetslagen

Tabellen nedan är överblick över de utvalda aktörernas cybersäkerhetsnivå. Den sammanställer information från årsredovisningarna och identifierar utmaningar gemensamma för branschen. En central slutsats är att nästan samtliga granskade aktörer kommer att klassificeras som "väsentliga verksamhetsutövare".

Aktör	Klassificering	Riskanalys i årsredovisning (2023)	Tjänster som omfattas av cybersäkerhetslagen	Motivering för säkerhetsåtgärder
Västra Götalandsregionen	Väsentlig verksamhetsutövare	Fokuserar på ekonomiska utmaningar och ett generellt försämrat säkerhetsläge. Ingen specifik analys av cyberrisker.	Drift av sjukhus (inkl. Sahlgrenska), primärvård, digitala vårdplattformar, hantering av patientjournaler, laboratorieverksamhet, kollektivtrafik.	Tjänsterna är avgörande för att upprätthålla kritisk samhällelig verksamhet. En incident kan få betydande störande effekter på allmän säkerhet och folkhälsa.
Region Skåne	Väsentlig verksamhetsutövare	Omnämner tufft ekonomiskt läge och omställningsarbete. Inga explicita omnämnanden av cybersäkerhet som strategisk risk.	Drift av sjukhus (inkl. Skånes Universitetssjukhus), primärvård, digitala vårdplattformar (SDV, 1177), hantering av patientjournaler, laboratorieverksamhet.	Tjänsterna är avgörande för att upprätthålla kritisk samhällelig verksamhet. En incident kan få betydande störande effekter på allmän säkerhet och folkhälsa.
Region Stockholm	Väsentlig verksamhetsutövare	Rapporterar negativt resultat men förbättring mot budget. Omnämner stärkt civil beredskap och IT-säkerhet i breda termer.	Drift av sjukhus (inkl. Karolinska), primärvård, digitala vårdtjänster (1177.se), ambulanssjukvård, kollektivtrafik.	Tjänsterna är avgörande för att upprätthålla kritisk samhällelig verksamhet. En incident kan få betydande störande effekter på allmän säkerhet och folkhälsa.
Region Östergötland	Väsentlig verksamhetsutövare	Årsredovisning för 2023 visar ett underskott på 1,7 miljarder kronor, vilket beskrivs som "en ekonomi i fritt fall". Fokus ligger på ekonomisk omställning.	Drift av Linköpings Universitetssjukhus, primärvård, digitala stödsystem och kompetensutveckling i samverkan med kommuner.	Tjänsterna är avgörande för att upprätthålla kritisk samhällelig verksamhet. En incident kan få betydande störande effekter på allmän säkerhet och folkhälsa.
Region Uppsala	Väsentlig verksamhetsutövare	Samverkar med andra aktörer i "klimatprotokoll" och genomför trygghetsvandringar. Ingen specifik analys av cyberrisker.	Drift av Akademiska sjukhuset och Lasarettet i Enköping, primärvård, folkhögskola och regional utveckling.	Tjänsterna är avgörande för att upprätthålla kritisk samhällelig verksamhet. En incident kan få betydande störande effekter på allmän säkerhet och folkhälsa.
Region Jönköpings län	Väsentlig verksamhetsutövare	Omnämner ett ökat tempo i arbetet med att stärka robusthet och civil beredskap. IT-säkerhet nämns som ett område som stärks.	Drift av tre akutsjukhus, primärvård, tandvård, digitala tjänster (1177 direkt) och kollektivtrafik.	Tjänsterna är avgörande för att upprätthålla kritisk samhällelig verksamhet. En incident kan få betydande störande effekter på allmän säkerhet och folkhälsa.
Karolinska Universitetssjukhuset	Väsentlig verksamhetsutövare	Årsberättelsen fokuserar på ökad vårdproduktion och förbättrat ekonomiskt resultat trots kris. Användning av AI i vården lyfts fram.	Högspecialiserad vård, akutsjukvård, organtransplantationer, forskning och utbildning. Använder avancerade IT-system för diagnostik och behandling.	Som Europas ledande sjukhus är verksamheten av nationell och internationell betydelse. En incident skulle få allvarliga konsekvenser för patienter med komplexa vårdbehov.
Sahlgrenska Universitetssjukhuset	Väsentlig verksamhetsutövare	Årsredovisningen för 2022 (senast tillgängliga) visar på ökad tillgänglighet men hård belastning. Ekonomiskt underskott för 2024 rapporteras.	Högspecialiserad vård, akutsjukvård, forskning och utbildning. Samverkar med AstraZeneca och andra aktörer i näringslivet.	Som ett av Europas största sjukhus är kontinuiteten i vården kritisk. Beroendet av samverkan med näringslivet skapar komplexa risker i leverantörskedjan.
Skånes Universitetssjukhus	Väsentlig verksamhetsutövare	Omfattas av Region Skånes årsredovisning. Har ett uttalat fokus på kvalitet och patientnöjdhet. Ackrediterat som Comprehensive Cancer Center.	Högspecialiserad vård, cancervård, akutvård, forskning och utbildning. Stora investeringar i nya sjukhusbyggnader med avancerad teknik.	Kärnan i södra Sveriges sjukvård. En störning skulle få regionala konsekvenser. Investeringsprojekt i ny teknik ökar attackytan och ställer höga krav på säkerhet.
Praktikertjänst AB	Väsentlig verksamhetsutövare	Fokuserar på stabil utveckling, patientnöjdhet och tillväxt. Digitala plattformen "Mitt PTJ" lyfts fram. Inga explicita omnämnanden av cybersäkerhet som strategisk risk.	Drift av vårdcentraler, specialistmottagningar, rehabenheter och tandvårdsmottagningar. Tillhandahållande av den digitala plattformen "Mitt PTJ".	Som Sveriges största privata vårdgivare är kontinuiteten kritisk. En störning i den digitala plattformen skulle påverka hundratusentals patienter och utgöra en systemrisk.
Attendo AB	Väsentlig verksamhetsutövare	Rapporterar tydliga förbättringar i finansiellt resultat. Fokus på hållbarhet och att utveckla omsorgen. Inga specifika omnämnanden av cyberrisker.	Äldreomsorg, omsorg till personer med funktionsnedsättning, individ- och familjeomsorg. Använder digitala hjälpmedel och närståendeappen "Nära".	Som en av Nordens största omsorgsgivare är kontinuiteten i tjänsterna och skyddet av brukardata avgörande för att upprätthålla förtroende och säkerhet.
Ambea AB	Väsentlig verksamhetsutövare	Rapporterar stark tillväxt och rekordresultat för 2023. Nämner "40 AI-assistenter och fokus på välfärdsteknik".	Äldreomsorg (Vardaga), omsorg för funktionsnedsättning (Nytida), bemanning (Klara). Använder digitala system för kvalitet och drift.	Beroendet av välfärdsteknik och AI skapar nya attackytor. Skydd av system och data är kritiskt för att säkerställa kvalitet och säkerhet i omsorgen för tusentals brukare.
Humana AB	Väsentlig verksamhetsutövare	Rapporterar ett dramatiskt år men stärkt position. Förbättrat rörelseresultat. Nämner digital lärplattform och HR-system.	Personlig assistans, individ- och familjeomsorg, äldreomsorg. Använder en digital lärplattform (Humana Academy) och andra interna system.	Verksamheten hanterar extremt känsliga personuppgifter. En incident skulle kunna få förödande konsekvenser för utsatta individer och deras familjer.
Aleris Group AB	Väsentlig verksamhetsutövare	Rapporterar ökade patientvolymer och efterfrågan på digitala tjänster. Omsättning på 7 miljarder SEK 2023.	Specialistsjukvård med fokus på kirurgi, ortopedi, mental hälsa och diagnostik. Erbjuder digital psykiatri (iKBT) och andra digitala patienttjänster.	Som en ledande aktör inom planerad specialistvård är tillgänglighet och integritet i digitala plattformar och journalsystem avgörande för patientflöden och förtroende.
Capio AB	Väsentlig verksamhetsutövare	Kvalitetsrapporten för 2023 fokuserar på "modernt management" och kontinuerliga förbättringar. Nämner interna journalsystem (Medrave) och digitala besök.	Drift av akutsjukhus (S:t Görans), närsjukvård, specialistkliniker och äldrevård. Använder digitala journalsystem och rapporterar till nationella kvalitetsregister.	Verksamheten är djupt integrerad med nationella system och en störning skulle få spridningseffekter. Skydd av nätverk är avgörande för både akut och planerad vård.
Medicover AB	Väsentlig verksamhetsutövare	Rapporterar stark omsättningstillväxt på €1,746 miljoner för 2023. Fokus på tillväxt i Polen, Tyskland, Rumänien och Indien.	Driver kliniker, sjukhus, specialistvård och laboratorier. Verksamheten i Sverige är en del av en internationell koncern.	Som en internationell aktör hanterar Medicover data över gränserna, vilket ställer höga krav på säkerhet och regelefterlevnad i flera jurisdiktioner.
AstraZeneca AB	Väsentlig verksamhetsutövare	Rapporterar totala intäkter på $45,8 miljarder för 2023. Starkt fokus på FoU och att lansera nya läkemedel.	Forskning, utveckling och tillverkning av läkemedel inom onkologi, sällsynta sjukdomar m.m. Använder AI och digital teknik i FoU-processen.	Produktionen av kritiska läkemedel är samhällsviktig. Skydd av forskningsdata och produktionssystem är avgörande för att förhindra spionage och sabotage.
Getinge AB	Väsentlig verksamhetsutövare	Rapporterar rekordförsäljning 2023 men marginaler pressade av kvalitetskostnader. Nämner AI och digitalisering som omvärldstrender.	Tillverkning av produkter för intensivvård, operationssalar och sterilgodshantering. Erbjuder digitala lösningar som Maquet Corin (uppkopplat operationsbord).	Som kritisk leverantör till sjukhus över hela världen kan en incident i Getinges system eller produkter få direkta konsekvenser för patientvården globalt.
Mölnlycke Health Care AB	Väsentlig verksamhetsutövare	Rapporterar rekordomsättning på €1,924 miljoner 2023. Nämner AI och maskininlärning för handskpassform och digital hälsovård.	Tillverkning av produkter för sårvård och operationslösningar. Använder AI-driven handskanningsteknik och andra digitala innovationer.	En störning i produktionen kan påverka tillgången på kritiska förbrukningsmaterial för sjukvården. Skydd av produktions- och FoU-system är affärskritiskt.
Elekta AB	Väsentlig verksamhetsutövare	Rapporterar lönsam tillväxt för räkenskapsåret 2023/24. Fokuserar på innovation och mjukvarulösningar som Elekta ONE.	Tillverkning av linjäracceleratorer och mjukvara för strålbehandling (t.ex. MOSAIQ). Erbjuder ett digitalt ekosystem (Elekta ONE) med uppkopplade enheter.	Elektas produkter är nätverksanslutna system som är direkt involverade i patientbehandling. En cyberattack kan få omedelbara och livshotande konsekvenser.

5. Strategiska implikationer och rekommendationer

Ledningens nya personliga ansvar

En av de stora förändringarna i cybersäkerhetslagen är det skärpta ansvaret för ledningen. Lagen flyttar ansvaret för cybersäkerhet från IT-avdelningen till styrelserummet. Ledningsorgan (styrelse och VD) måste formellt godkänna och övervaka genomförandet av riskhanteringsåtgärder. Vid allvarliga brister kan tillsynsmyndigheten inte bara utdöma sanktionsavgifter utan även meddela ledningsförbud för enskilda individer. Detta är en nyhet som få av de granskade organisationerna adresserar i sin publika rapportering.

Säkerhet i leverantörskedjan – den dolda risken

En annan kritisk aspekt av cybersäkerhetslagen är det utökade ansvaret för säkerheten i leverantörskedjan. Detta skapar en ömsesidig sårbarhet mellan vårdgivare och deras teknikleverantörer som dagens årsredovisningar helt misslyckas med att fånga. Moderna sjukhus som Karolinska och Sahlgrenska är djupt beroende av högteknologisk, nätverksansluten utrustning från företag som Getinge och Elekta. Elektas årsredovisning beskriver till exempel deras AI-baserade system IntelliMax®, som är uppkopplat mot 80% av deras globalt installerade bas av strålbehandlingsutrustning för fjärrövervakning och service.

Detta innebär att en sårbarhet hos Elekta kan bli en direkt och kritisk risk för patientbehandlingen på ett sjukhus. Trots detta fokuserar vårdgivarnas riskanalyser på leverantörer ur ett perspektiv av leveransstörningar av fysiska varor, inte som en potentiell ingångspunkt för cyberattacker. Samtidigt fokuserar teknikleverantörerna på produktsäkerhet, men inte på den delade risken som uppstår när deras produkter integreras i sjukhusens komplexa IT-miljöer. Cybersäkerhetslagentvingar fram ett delat ansvar för denna systemrisk i gränssnittet mellan aktörerna, en risk som för närvarande är farligt underrapporterad och sannolikt undermåligt hanterad.

Från efterlevnad till resiliens

För att framgångsrikt navigera i det nya regulatoriska landskapet måste hälso- och sjukvårdsaktörer se Cybersäkerhetslagen inte som en administrativ börda eller en checklista att bocka av, utan som ett ramverk för att bygga digital motståndskraft (resiliens). Detta kräver att säkerhetstänkandet integreras i alla verksamhetsprocesser – från upphandling av medicinteknisk utrustning och utveckling av nya digitala patienttjänster ("security-by-design") till den löpande driften. Myndigheten för samhällsskydd och beredskaps (MSB) metodstöd för systematiskt informationssäkerhetsarbete, som bygger på internationella standarder som ISO/IEC 27000-serien, erbjuder en praktisk och beprövad vägledning för att strukturera detta arbete och uppfylla lagkraven.

6. Vägen framåt mot ett cybersäkert hälso- och sjukvårdssystem

Denna analys av Sveriges största hälso- och sjukvårdsaktörers årsredovisningar inför den nya Cybersäkerhetslagen visar en beredskapslucka. Det finns en brist på specifik och strategisk rapportering om cybersäkerhetsrisker, en underestimering av de systemrisker i leverantörskedjan bedöms finans, och ett behov för ledningsgrupper och styrelser att förstå och agera på sitt personliga ansvar.

Vägen framåt kräver omedelbara och kraftfulla åtgärder. Sektorns aktörer måste skyndsamt:

Genomföra en gapanalys: Kartlägga och analysera skillnaden mellan nuvarande cybersäkerhetsförmåga och de specifika kraven i cybersäkerhetslagen.
Allokera resurser: Säkerställa att tillräcklig budget och personal med rätt kompetens avsätts för att implementera nödvändiga säkerhetsåtgärder och processer.
Utbilda ledningen: Initiera den obligatoriska utbildningen för styrelse och ledning för att bygga den kunskap som krävs för att kunna styra och ta ansvar för verksamhetens cybersäkerhet.

Att misslyckas med detta är inte bara en risk för höga sanktionsavgifter, utan ett hot mot patientsäkerheten och förtroendet för hela det svenska hälso- och sjukvårdssystemet. Tiden att agera är nu.

7. Källor från aktörerna

karolinska.se

Årsberättelse 2023 - Karolinska Universitetssjukhuset