Un HIS nou pot fallar de tres maneres que no tenen a veure amb les seves funcions: que deixi d'estar disponible, que quedi compromès o que la gent no l'utilitzi com estava previst. Les dues primeres tenen marc legal: l'Esquema Nacional de Seguretat, l'RGPD i les clàusules que exigeix la LCSP. La tercera depèn de com es gestioni el canvi. Aquesta lliçó les tracta com a riscos del projecte i tanca el cas del consorci.

Els riscos de canviar d'HIS

Les lliçons anteriors ja han tractat riscos concrets: la dependència del proveïdor (a El mercat de sistemes: suites, best-of-breed, ERP i compra pública), les integracions de xarxa que fallen en silenci i la migració que altera la història. En queden quatre, que la taula resumeix com a pauta de treball:

Continuïtat: atendre sense el sistema

Un hospital no tanca quan el seu sistema cau. L'Esquema Nacional de Seguretat demana que els sistemes del seu àmbit tinguin còpies de seguretat i mecanismes per garantir la continuïtat de les operacions si es perden els mitjans habituals (art. 26) ¹. El seu annex II ho concreta en quatre mesures de continuïtat del servei, que s'exigeixen segons el nivell de disponibilitat del sistema ¹:

En termes d'un HIS, això es tradueix en un mode degradat dissenyat abans de l'arrencada: què es consulta si el sistema cau (per exemple, una còpia de només lectura amb la medicació i les al·lèrgies dels ingressats), què es registra en paper o en un sistema de contingència, qui ho transcriu després i com s'evita duplicar o perdre registres. El pla de l'ENS demana a més que tots els mitjans alternatius estiguin materialitzats en acords o contractes amb els proveïdors ¹: el contracte de l'HIS ha d'incloure els seus.

Ciberseguretat des del contracte

L'ENS s'aplica al sector públic i també a les entitats privades que, per contracte, li presten serveis o li proveeixen solucions (art. 2.3) ¹. Els plecs d'aquestes entitats públiques han de preveure els requisits per assegurar la conformitat amb l'ENS dels sistemes del contractista, com les seves declaracions o certificacions de conformitat, i estendre aquesta cautela a la cadena de subministrament segons l'anàlisi de riscos (art. 2.3) ¹.

Per a un HIS, la pauta és demanar al plec el que el centre necessita poder demostrar: la categoria de seguretat del sistema i la conformitat del proveïdor, qui gestiona els pegats i les vulnerabilitats, com es registren els accessos i com es notifica un incident. El marc complet, amb la Directiva NIS2 i els equips de resposta, és a Ciberseguretat sanitària: ENS, NIS2 i qui respon a un incident.

El proveïdor com a encarregat del tractament

Un proveïdor que allotja, manté o dona suport a un HIS accedeix a dades de salut per compte del centre. La LCSP li dona la condició d'encarregat del tractament quan accedeix a dades de les quals és responsable l'entitat contractant, i exigeix que en acabar el contracte les dades es destrueixin o es retornin (disposició addicional vint-i-cinquena) ². Aquesta disposició cita encara l'antiga Llei orgànica 15/1999; el contracte d'encàrrec s'escriu avui amb l'article 28 de l'RGPD, que exigeix, entre altres coses, que l'encarregat ³:

• tracti les dades només seguint instruccions documentades del responsable;
• garanteixi la confidencialitat de les persones autoritzades;
• apliqui les mesures de seguretat de l'article 32;
• no recorri a un altre encarregat sense autorització prèvia per escrit del responsable;
• ajudi el responsable a atendre els drets dels interessats i a complir les seves obligacions de seguretat i d'avaluació d'impacte.

Si el contractant és una entitat pública, la LCSP afegeix clàusules que el plec ha de recollir: la finalitat de la cessió de dades, l'obligació de complir la normativa de protecció de dades, la declaració d'on seran els servidors i des d'on es prestaran els serveis, la comunicació de qualsevol canvi en aquesta declaració i la indicació de si se subcontracten els servidors (art. 122.2) ². Aquestes obligacions es qualifiquen com a essencials, i a més hi ha d'haver una condició especial d'execució sobre protecció de dades (art. 202.1) ². L'expedient, per la seva banda, ha d'especificar la finalitat del tractament (art. 116.1) ².

La devolució de les dades al final enllaça amb la conservació de la història: si l'HIS està allotjat pel proveïdor, el centre continua sent responsable de conservar-la íntegra i reproduïble (art. 12) ⁴. El format i el termini de la devolució han de constar al contracte. L'avaluació d'impacte i el paper de l'autoritat de control s'expliquen a Dades de salut: l'RGPD i la LOPDGDD en un centre sanitari.

Altres obligacions: producte sanitari i NIS2

Dos marcs més poden afectar un HIS i es van tractar al mòdul de drets i seguretat:

• Programari com a producte sanitari. Segons la seva finalitat, un programa pot ser producte sanitari i necessitar marcatge CE; la lliçó Programari com a producte sanitari i Espai Europeu de Dades de Salut explica quan. La pauta és preguntar al plec quins mòduls del sistema ofert tenen aquesta condició.
• NIS2 i l'EEDS. La directiva NIS2 i l'Espai Europeu de Dades de Salut porten obligacions que s'expliquen al mateix mòdul, amb el seu estat d'aplicació. Un contracte de diversos anys ha de preveure com s'adaptarà el sistema a les que entrin en vigor durant la seva vigència.

Gestió del canvi: el risc humà

Un HIS canvia com treballen centenars de persones alhora: metges, infermeria, admissió, farmàcia, codificació, facturació. No hi ha cap norma que digui com gestionar aquest canvi; el que segueix és una pauta habitual en projectes de sistemes clínics, sense xifres, perquè depenen de cada centre:

• Lideratge clínic. El projecte el patrocina la direcció, però el defensen professionals assistencials amb temps assignat per fer-ho.
• Usuaris clau per servei. Participen en el disseny i en les proves, es formen abans i acompanyen els seus companys a l'arrencada.
• Formació per perfil i sobre casos reals, a prop de l'arrencada, perquè no s'oblidi, i amb accés a un entorn de pràctica.
• Suport presencial a l'arrencada a cada unitat i a totes hores, també de nit i el cap de setmana.
• Canal d'incidències amb resposta visible. El que no funciona es corregeix o s'explica aviat; si no, els professionals creen circuits paral·lels en paper o en fulls de càlcul.
• Mesurar l'adopció: què es registra estructurat, què es continua escrivint en text lliure, quins circuits s'esquiven.

L'últim punt connecta el risc humà amb tot l'anterior. Un sistema que s'esquiva produeix un CMBD incomplet, una facturació que no quadra i una HC3 sense informació, encara que tècnicament funcioni.

Cas pràctic

El cas del consorci, de principi a fi. Un consorci sanitari públic amb un hospital d'aguts, un centre d'atenció intermèdia i una residència assistida ha de substituir el seu HIS.

Decidir. L'equip separa els requisits de xarxa dels propis de cada centre i conclou que la residència necessita un programa social integrat amb primària, no l'HIS hospitalari (lliçó 1). Converteix la xarxa en una matriu d'integracions: RCA, MPI, HC3, SIRE, CMBD, facturació i IS3 (lliçó 2).

Comprar. Licita en dos lots per procediment obert, amb prescripcions funcionals, criteris majoritàriament automàtics i una demostració guionitzada. El plec administratiu inclou les clàusules de dades i la ubicació de servidors ², la conformitat amb l'ENS ¹ i la cessió de drets dels desenvolupaments a mida (lliçó 3).

Migrar i arrencar. Depura l'índex de pacients, construeix les taules d'equivalències, assaja la migració fins que les conciliacions quadren i arrenca amb un pla de marxa enrere. El que no s'ha migrat queda en un arxiu de consulta, d'acord amb un protocol aprovat per la direcció ⁴ (lliçó 4).

Gestionar els riscos. Abans de l'arrencada, l'equip fa l'anàlisi d'impacte i escriu el pla de continuïtat ¹. A urgències, el mode degradat consisteix en una còpia de només lectura actualitzada periòdicament i un circuit en paper amb transcripció posterior. Ho prova en un simulacre. El contracte d'encàrrec segueix l'article 28 de l'RGPD ³ i fixa el format de devolució de les dades al final ².

Els primers mesos. Els usuaris clau de cada servei detecten que infermeria del centre intermedi continua anotant les valoracions en text lliure. L'equip ajusta el formulari i l'explica a cada torn. Al cap d'uns mesos, els informes de validació del CMBD-RSS i la facturació mensual són els indicadors que el sistema s'utilitza com estava previst.

Què implica per als sistemes

Risc	Artefacte que el controla	Base	Qui el manté
Continuïtat	Anàlisi d'impacte, pla de continuïtat, mode degradat, proves	ENS, art. 26 i op.cont 1	Responsable de seguretat, direcció assistencial, proveïdor
Ciberseguretat	Conformitat amb l'ENS del proveïdor i la seva cadena de subministrament	ENS, art. 2.3 1	Responsable de seguretat
Dades personals	Contracte d'encàrrec, declaració de servidors, pla de devolució	RGPD, art. 28 3; LCSP 2	Delegat de protecció de dades i òrgan de contractació
Conservació	Història íntegra i reproduïble, també al final del contracte	Llei 21/2000, art. 12 4	Direcció del centre
Persones	Xarxa d'usuaris clau, formació, canal d'incidències, indicadors d'adopció	Pauta de projecte, sense norma	Direcció del projecte i comandaments de cada servei