Föreskrifter och certifiering

På denna sida

Vem är föreskrifterna avsedda för?

THL:s föreskrifter är förpliktande rättsnormer som aktörer som omfattas av dem ska följa. De preciserar lagstiftningen, såsom lagen om kunduppgifter (703/2023) och relaterade förordningar.

Anvisningarna på denna sida riktar sig till alla målgrupper för föreskrifterna.

Föreskrifternas målgrupper

Tillhandahållare av socialvårdstjänster och hälso- och sjukvårdstjänster
Apotek
Tillverkare av klient- och patientdatasystem inom social- och hälsovården samt tillverkare av informationssystem för apoteken
Producenter av informationssystemtjänster för social- och hälsovården och tillverkare av välbefinnandeapplikationer
Producenter av Kanta-förmedlingsservice

Varför behövs föreskrifterna?

Syftet med föreskrifterna är att precisera kraven i lagen om kunduppgifter så att social- och hälsovårdens informationssystem samt välbefinnandeapplikationerna fungerar enhetligt, säkert och lagenligt i den nationella arkitekturen. Genom föreskrifterna verkställs också de nationella utvecklingsmålen.

Gällande föreskrifter för social- och hälsovården

Du hittar alla THL:s föreskrifter och material i anslutning till dem på den här sidan.

Läs föreskrifterna och deras tilläggsmaterial noggrant. Se närmare beskrivningar av skyldigheterna för din verksamhet i föreskrifterna.

Se närmare anvisningar om klassificeringen av systemet, uppfyllandet av de väsentliga kraven och certifieringen på sidan Systemleverantör.
Sidan Systemleverantör (LINKKI thl)

Se dessutom THL:s och FPA:s gällande specifikationer. De preciserar de väsentliga kraven.
Specifikationer för informationssystemtjänster inom social- och hälsovården
Kanta-tjänsternas specifikationer (Kanta)

Se närmare anvisningar om hur man gör upp en informationssäkerhetsplan och uppfyller skyldigheterna i andra föreskrifter på sidan Tjänstetillhandahållare.
Sidan Tjänstetillhandahållare (LINKKI thl)

Se dessutom THL:s och FPA:s specifikationer för de system som tjänstetillhandahållaren använder.
Specifikationer för informationssystemtjänster inom social- och hälsovården
Kanta-tjänsternas specifikationer (Kanta)

Föreskrift om klienthandlingar inom socialvården

Föreskriften om klienthandlingar inom socialvården styr strukturerna och datainnehållet i klienthandlingar inom socialvården samt de kodsystem som används i handlingarna.

Föreskriftens målgrupper:

Informationssystem som behandlar klientuppgifter inom socialvården
Tjänstetillhandahållare inom socialvården

Föreskriftstext och motiveringspromemoria:

Föreskrift om informationsförmedlings- och förfrågningsservice

Syftet med föreskriften om informationsförmedlings- och förfrågningsservice är att närmare ange vilken typ av handlingar som får förmedlas med hjälp av den informationsförmedlings- och förfrågningsservice som hör till de riksomfattande informationssystemtjänsterna.

Föreskriftens målgrupper:

Aktörer utanför hälso- och sjukvården som tar i bruk informationsförmedlings- och förfrågningsservicen
Genomförare av informationssystem för aktörer utanför hälso- och sjukvården som tar i bruk
informationsförmedlings- och förfrågningsservicen
Tillverkare av service som producerar intyg/producenter av informationssystemtjänster
Tillhandahållare av hälso- och sjukvårdstjänster
FPA:s Kanta-tjänster

Föreskriftstext:
Föreskrift 2/2024: Föreskrift om handlingar som ska förmedlas till aktörer utanför hälso- och sjukvården med hjälp av riksomfattande informationssystemtjänster

Föreskrift om informationssäkerhetsplan

Syftet med föreskriften om informationssäkerhetsplan är att precisera en säker behandling av klientuppgifter inom social- och hälsovården genom att precisera kraven på informationssäkerhetsplanen och övervakningen av den i lagen om kunduppgifter

Föreskriftens målgrupper:

Tjänstetillhandahållare inom social- och hälsovården
Apotek
Mellanhänder
FPA:s Kanta-tjänster

Föreskriftstext:
Föreskrift 3/2024: Föreskrift om redogörelser och krav som ska tas in i informationssäkerhetsplanen

Hur utarbetas informationssäkerhetsplanen?

Se närmare anvisningar om hur man gör upp en informationssäkerhetsplan i avsnittet Informationssäkerhetsplan på sidan Tjänstetillhandahållare.

Föreskrifter om klassificering, certifiering och väsentliga krav gällande informationssystem och välbefinnandeapplikationer

Syftet med föreskriften om klassificering och certifiering av informationssystem och välbefinnandeapplikationer inom social- och hälsovården är att beskriva klassificeringen av social- och hälsovårdens informationssystem och välbefinnandeapplikationer, verifieringen av väsentliga krav samt certifieringsförfarandena och -ansvaren.

Syftet med föreskriften om väsentliga krav på informationssystem och välbefinnandeapplikationer inom social- och hälsovården är att precisera väsentliga krav på informationssystem och välbefinnandeapplikationer avsedda för behandling av klient- och patientuppgifter inom social- och hälsovården.

Föreskrifternas målgrupper:

Producenter av informationssystemtjänster och tillverkare av informationssystem för social- och hälsovården
Tillverkare av välbefinnandeapplikationer
Producenter av Kanta-informationsförmedlingsservice
Tjänstetillhandahållare inom social- och hälsovården
Apotek
FPA:s Kanta-tjänster
Bedömningsorgan för informationssäkerhet
Mellanhänder

Föreskriftstexter:

Väsentliga krav och påvisande av överensstämmelse med kraven genom certifiering

Föreskrifterna 4/2024 och 5/2024 fastställer de väsentliga krav som förpliktar social- och hälsovårdens informationssystem och välbefinnandeapplikationer samt påvisande av överensstämmelse med kraven i klass A och B.

Certifiering är ett lagstadgat kvalitetssäkringsförfarande för informationssystem och välbefinnandeapplikationer i klass A inom social- och hälsovården, genom vilket överensstämmelse med kraven verifieras.

Se närmare anvisningar om klassificering och certifiering av system på sidan Systemleverantör samt följande stycken på denna sida.
Sidan Systemleverantör

De väsentliga kraven fastställer de minimikrav som informationssystemet eller välbefinnandeapplikationen ska uppfylla för att den ska kunna användas vid behandlingen av kunduppgifter. Det är förpliktande att uppfylla de väsentliga kraven.
Förteckning över väsentliga krav – 4.12.2025 Föreskrift 5, bilaga 2 – (på finska v 341, xlsx, 526 kb)

Anvisningen om tillämpningen av väsentliga krav preciserar hur de väsentliga kraven uppfylls. Vi rekommenderar att den används.
Anvisning om tillämpningen av väsentliga krav – Föreskrift 5/bilaga 1

Klassificering av systemet

Exempel på klassificering av system och välbefinnandeapplikationer samlar exempel i fråga om system i klasserna A–B och oklassificerade system. Vi rekommenderar att den används som stöd för klassificeringen.
Exempel på klassificering av system och välbefinnandeapplikationer – Föreskrift 4/bilaga 1

Riskbedömningsverktyg som stöd för klassificeringen

Riskbedömningsverktyget är avsett som stöd för bedömning och klassificering av risknivån i informationssystemet eller välbefinnandeapplikationen (A-B). Vi rekommenderar att den används som stöd för klassificeringen.
Riskbedömningsverktyg för informationssystem inom social- och hälsovården – Föreskrift 4 stödmaterial (på finska, v09, xlsx 18 kb)

Profiler

Varje profil anger minimikraven för ett informationssystem eller en välbefinnandeapplikation som används för ett visst användningsändamål (delgrupp av väsentliga krav).

Genom att identifiera profilerna för ditt system eller din applikation vet du vilka väsentliga krav som gäller för det. Observera att ditt system kan beröras av en eller flera profiler.

Observera att profilfilerna endast finns på finska.

Minimikravprofil för informationssystem i klasserna B och A1

Profil 3g1 innehåller minimikraven för informationssystem som behandlar klient- eller patientuppgifter. Om systemets användningsändamål inte förutsätter att andra profiler uppfylls, fastställer 3g1 minimikraven för systemet. Detta är typiskt för klasserna B och A1.

De minimikrav som ingår i profil 3g1 ingår även i andra profiler. Om ditt systems användningsändamål uppfylls genom andra profiler, uppfylls även kraven i 3g1 via dessa. Detta är typiskt för klasserna A2 och A3.

Bilagan innehåller följande profiler:
3g1 System avsett för behandling av klient- eller patientuppgifter (inkl. klass B eller A1)

Profilbilaga:
3g – Minimikrav för system avsett för behandling av klient- eller patientuppgifter v05- publicerad 2.5.2024 - Föreskrift 5 bilaga (på finska, xlsx 389 kb)