Digital suverænitet

70 13 63 23

Sundhedssektorens afhængigheder: journalsystemer og cloud

Sundhedssektorens afhængigheder: journalsystemer og cloud

Den elektroniske patientjournal er det system, et hospital har sværest ved at undvære og sværest ved at skifte. Vurderingen af afhængigheden hviler på, at man kender både applikationen og de komponenter, den står på.

Artiklen gennemgår, hvordan de to danske journalsystemer er organiseret, hvor afhængighederne typisk sidder, og hvordan en region eller en leverandør kan kortlægge dem. Den slutter med, hvad den nye sundhedsstruktur fra 1. januar 2027 betyder for exit-planen.

To journalsystemer dækker landet

Danmarks regioner bruger to journalsystemer. Region Hovedstaden og Region Sjælland bruger Sundhedsplatformen, som leveres af det amerikanske selskab Epic. De to regioner beskrev selv ordningen i et notat til regionsrådet af 24. juni 2019.

De tre øvrige regioner bruger Systematics Columna CIS. Ifølge Systematics meddelelse af 29. august 2022 hedder systemet MidtEPJ, NordEPJ og EPJ SYD i de tre regioner. Det er det samme system, og det bruges af omkring 60.000 læger, sygeplejersker og sekretærer. De sidste hospitaler i Region Syddanmark gik over 29. maj 2022.

Systematic er et dansk selskab. Ifølge selskabets egen side er det privatejet med tre aktionærer, og stifteren Michael Holm er majoritetsaktionær.

Applikation og komponenter er to forskellige spørgsmål

Et journalsystem består af flere lag. Øverst ligger applikationen med journallogik, medicinordination og planlægning. Under den ligger komponenter som database, styresystem, integrationsplatform og værktøjer til drift og overvågning. Komponenterne kommer ofte fra andre leverandører end den, der ejer applikationen.

Ejerskabet af applikationen siger derfor ikke alt om afhængigheden. En dansk applikation kan stå på komponenter, som ejes af udenlandske koncerner. En udenlandsk applikation kan omvendt køre i regionens egne datacentre.

Det er samme skelnen som i → De tre lag. Placeringen af data, ansvaret for driften og leverandørernes lovgivning giver tre selvstændige svar. For et journalsystem skal de tre svar gives for applikationen og for hver kernekomponent.

Data i Danmark, support fra USA

Sundhedsplatformen viser, hvordan dataresidens og adgang kan pege i hver sin retning. Ifølge regionernes notat fra 2019 ligger data i de to regioners datacentre i Danmark og ejes af regionerne. Navngivne medarbejdere hos Epic i USA kan få adgang til patientdata, når det er nødvendigt for support og fejlretning.

Notatet oplyser, at adgangen er reguleret af EU’s standardkontrakt, og at al færden i systemet logges. Det nævner også, at Epics kunder i blandt andet Holland, Finland og England har samme supportopsætning. Regionerne skrev i et svar til regionsrådet af 1. juli 2019, at adgangen efter en konsekvensanalyse fra 2018 blev begrænset til tre måneder ad gangen.

Oplysningerne er fra 2019. Region Hovedstaden har besvaret nyere spørgsmål om emnet i 2026, men dokumenterne kunne ikke hentes ved denne gennemgang. Status pr. 30. oktober 2026 skal derfor findes hos regionen selv.

Hvor afhængigheden sidder i en journal

Afhængigheden af et journalsystem har flere former, og de kræver hver sin kortlægning.

  • Applikationen · Hvem ejer koden, og hvem må ændre den? Kan regionen få kildekode eller dokumentation, hvis leverandøren ophører?
  • Kernekomponenterne · Hvilke databaser, platforme og biblioteker er systemet bygget på, og hvem ejer dem?
  • Licenserne · Hvem har licensen til komponenterne, regionen eller applikationsleverandøren? Hvad sker der, hvis licensvilkår eller pris ændres?
  • Support og fjernadgang · Hvem kan se data, fra hvilket land, og efter hvilken procedure?
  • Opdateringer · Hvem udgiver sikkerhedsopdateringer til komponenterne, og hvor længe er versionen understøttet?

Gennemgangen af afhængighedsgrad følger metoden i → trin 4. Forholdet mellem brugsret og vedligeholdelse beskrives i → brugsretten er jeres.

Hvorfor kernekomponenter er svære at skifte

En database i et journalsystem rummer data om millioner af patientforløb gennem mange år. Datastrukturen, forespørgslerne og integrationerne er bygget til den bestemte database. Et skifte kræver derfor typisk omskrivning af kode, migrering af data og test af alle arbejdsgange, der læser og skriver journaldata.

Hertil kommer, at et journalsystem i et sundhedsvæsen er reguleret software. Ændringer i fundamentet skal testes grundigt, før de tages i brug på et hospital. Exit-omkostningen pr. system beregnes efter → trin 5, og for en journal bør beregningen omfatte hver kernekomponent for sig.

Risikoen ligger sjældent i, at en komponentleverandør læser journaler. Den ligger i, at leverandøren kan ændre licensvilkår, stoppe support eller blive ramt af sanktioner eller et opkøb. Hvordan en adgang kan lukkes uden et indbrud, gennemgås i → sanktioner og dekreter og i sagen om → Den Internationale Straffedomstol.

Frankrig flytter sundhedsdata

Frankrig har truffet en konkret beslutning om sundhedsdata i cloud. Den nationale sundhedsdataplatform Health Data Hub har siden 2019 kørt på Microsoft Azure. I april 2026 blev det franske Scaleway valgt som ny leverandør, ifølge Reuters og Le Monde Informatique.

Ifølge Le Monde Informatique ventes migreringen af hoveddatabasen at ske fra slutningen af 2026 til begyndelsen af 2027. Sagen gennemgås i → Health Data Hub. Den viser, at et skifte af en central sundhedsplatform tager år og planlægges i etaper.

Sundhedssektoren under NIS2

Sundhedssektoren er omfattet af NIS2. Direktivets bilag I nævner sundhed som en sektor med høj kritikalitet, herunder sundhedstjenesteydere. Direktivet kræver, at omfattede enheder håndterer sikkerheden i forsyningskæden, herunder forholdet til leverandører.

For et journalsystem betyder det, at komponentleverandørerne hører med i leverandørstyringen på lige fod med applikationsleverandøren. Det gælder også de komponenter, som applikationsleverandøren selv køber ind og videresælger som en del af løsningen. Jurisdiktion som en del af leverandørstyringen gennemgås i → NIS2 og jurisdiktion.

Den nye struktur fra 1. januar 2027

To lovændringer ændrer rammen for sundheds-IT fra 2027. Ifølge overgangslovens § 6 sammenlægges Region Hovedstaden og Region Sjælland til Region Østdanmark den 1. januar 2027. De to regioner, der i dag deler Sundhedsplatformen, bliver dermed én myndighed.

Lov om Digital Sundhed Danmark trådte i kraft 1. januar 2026. Ifølge loven ejes institutionen af stat, regioner og kommuner i fællesskab. Den skal blandt andet drive infrastruktur, bidrage til standarder for it-anvendelsen i sundhedsvæsenet og koordinere indsatsen for cyber- og informationssikkerhed.

Ifølge Sundhedsdatastyrelsens side om Digital Health Denmark samles sundhed.dk, Sundhedsdatastyrelsen og MedCom i den nye organisation fra 1. januar 2027. Arkitektur og standarder, der fastlægges i de første år, kan binde sektoren i lang tid.

Sådan kortlægger en region journalens afhængigheder

  1. Bed om komponentlisten · Bed applikationsleverandøren om en liste over databaser, platforme og tredjepartskomponenter med producent og version.
  2. Find ejeren af hver komponent · Notér juridisk enhed og øverste moderselskab, som beskrevet i → trin 2.
  3. Afklar licensforholdet · Notér, hvem der ejer licensen, og hvad kontrakten siger om prisændringer og ophør.
  4. Gennemgå supportadgangen · Notér, hvem der kan se data, fra hvilke lande, og hvordan adgangen logges og lukkes.
  5. Spørg til et alternativ · Bed leverandøren beskrive, hvad det vil kræve at erstatte hver kernekomponent, i tid og omfang.
  6. Skriv det ind i kontrakten · Kræv, at ændringer i kernekomponenter og underleverandører varsles.

Gennemgangen af underleverandører følger → trin 3. Krav til jurisdiktion i kommende udbud beskrives i → jurisdiktion i offentlige udbud.

Hvad gennemgangen kan og ikke kan vise

Gennemgangen kan vise, at et journalsystem har flere lag af afhængighed, og at dansk ejerskab af applikationen ikke siger noget om komponenterne. Den kan også vise, at data kan ligge i Danmark, mens support gives fra et andet land.

Den kan ikke vise, hvilke komponenter de to danske journalsystemer konkret bygger på. Den oplysning er ikke offentliggjort i en primærkilde, som har kunnet efterprøves, og skal komme fra leverandørerne og regionerne. Gennemgangen vurderer heller ikke, om nogen af systemerne bør skiftes.

Betydningen for exit-planen

Notér for journalsystemet, hvem der ejer applikationen, og hvem der ejer hver kernekomponent. Notér også, hvor data ligger, hvem der kan få adgang, og hvad det vil kræve at erstatte de komponenter, der er sværest at skifte.

Sammenlægningen af regioner og etableringen af Digital Sundhed Danmark giver en anledning til at stille spørgsmålene nu, mens arkitekturen planlægges. Nielco IT’s jurisdiktions- og afhængighedsvurdering kortlægger juridisk enhed, moderselskab og afhængighedsgrad pr. system på organisationens eget materiale.

Kilder

Skrevet af John Nielsen, indehaver af Nielco IT. Selvstændig siden 2009 og mere end 30 års erfaring med IT‑sikkerhed. Om John Nielsen · LinkedIn

John Nielsen, Nielco IT

Skal afhængigheden kortlægges?

Skriv kort, hvilke systemer eller leverandører det drejer sig om, og hvad anledningen er. Så vender jeg tilbage. Rådgivningen er uvildig og uafhængig, og Nielco IT har ikke indgået forhandleraftaler med leverandører.

Tak for din henvendelse. Jeg vender tilbage hurtigst muligt.

Eller kontakt os på

+45 70 13 63 23

info@nielcoit.dk

Seneste på bloggen

Statens udgifter til Microsoft: hvad tallene viser

Statens udgifter til Microsoft: hvad tallene viser

31. oktober 2026

Fysisk infrastruktur: hvem står bag pc'er, servere og netværksudstyr

Fysisk infrastruktur: hvem står bag pc’er, servere og netværksudstyr

30. oktober 2026

KL og kommunernes digitale handlefrihed

KL og kommunernes digitale handlefrihed

30. oktober 2026