Öryggi og svör við gátlista landlæknis
Frá 1. desember 2026 velur hver stofa sjúkraskrárkerfi og metur hvort það uppfyllir kröfur. Hér eru svör Fótaskrár við öllum 39 spurningum í gátlista Stafrænnar heilsu og Embættis landlæknis. Stofa má vísa á þessa síðu, með slóð og dagsetningu, í stað þess að senda okkur spurningarnar.
Kerfið og kerfisveitan
Hver er kerfisveitan og tengiliður vegna öryggismála og persónuverndar?Uppfyllt
Vefhjálp, rekið af Guðna Má Ægissyni, sem smíðar og rekur Fótaskrá. Tengiliður vegna öryggis og persónuverndar: Guðni Már Ægisson, gudni@fotaskra.is, sími 644 4444.
Hvaða undirvinnsluaðila notar kerfisveitan og hvar starfa þeir?Uppfyllt
Sjá töfluna Undirvinnsluaðilar hér að neðan: hlutverk, staðsetning og hvaða gögn hver fær. Breytingar á undirvinnsluaðilum eru tilkynntar stofum með að minnsta kosti 30 daga fyrirvara, nema breytingin auki vernd gagna eða sé nauðsynleg vegna öryggis, og skráðar í breytingaskrá neðst á síðunni.
Fær hver viðskiptavinur aðskilinn gagnagrunn? Geta notendur eins séð gögn annars?Að hluta
Allar stofur eru í sama gagnagrunni og aðskildar rökrétt: hver einasta fyrirspurn á sjúkraskrárgögn er bundin við stofu notandans, og tilraun til að opna gögn annarrar stofu er stöðvuð og skráð í aðgerðaskrá. Notendur einnar stofu geta ekki séð gögn annarrar. Sérstakur gagnagrunnur á stofu er ekki í boði.
Er kerfið lækningatæki, notar það gervigreind eða sjálfvirka ákvarðanatöku? Eru gögn notuð til að þjálfa líkön?Uppfyllt
Nei á öllu. Fótaskrá geymir og birtir gögn án klínískrar úrvinnslu og er ekki lækningatæki. Engin gervigreind eða sjálfvirk klínísk ákvarðanataka er í kerfinu, og gögn stofa eru aldrei notuð til að þjálfa líkön.
Hýsing og staðsetning gagna
Hvar eru gögnin hýst og hvar eru öryggisafrit geymd?Uppfyllt
Hjá Hetzner í gagnaveri í Helsinki í Finnlandi (ESB). Öryggisafrit eru dulkóðuð og geymd á aðskildri afritunarþjónustu Hetzner (Storage Box), einnig í Helsinki. Engin gögn eru hýst utan EES.
Hefur hýsingaraðili ISO/IEC 27001-vottun sem nær til þjónustunnar?Uppfyllt
Já. Hetzner Online GmbH og Hetzner Finland Oy eru vottuð skv. ISO/IEC 27001:2022 og gildissviðið nær til innviða, reksturs og þjónustu gagnaveranna í Nürnberg, Falkenstein og Helsinki (vottunaraðili SOCOTEC). Sjá vottunarsíðu Hetzner.
Hefur kerfisveitan sjálf vottun eða óháða úttekt (t.d. SOC 2)?Ekki uppfyllt
Nei. Vefhjálp hefur hvorki ISO 27001-vottun né SOC 2-úttekt. Öryggisráðstöfunum er lýst í svörum 15–32.
Er unnt að nálgast gögnin frá landi utan EES?Uppfyllt
Öll gögn kerfisins eru hýst og unnin innan EES, og enginn undirvinnsluaðili utan EES fær aðgang að þeim. Tölvupóstur kerfisins (boð, endurstilling lykilorðs og tilkynningar) fer um Lettermint í Hollandi og inniheldur aðeins nafn og netfang notanda, engar heilbrigðisupplýsingar. Uppfletting í þjóðskrá fer um Já hf. á Íslandi.
Lúta kerfisveitan eða hýsingaraðili lögsögu ríkis utan EES?Uppfyllt
Nei. Vefhjálp er íslensk, Hetzner er þýskt og Lettermint hollenskt, og ekkert þeirra á móðurfélag utan EES. Aðrir undirvinnsluaðilar (Nova og Já) eru íslenskir. Berist krafa erlends stjórnvalds um aðgang að gögnum verður henni ekki sinnt nema á grundvelli íslenskra laga og stofunni gert viðvart, nema það sé óheimilt.
Samningar og lok viðskipta
Liggur fyrir vinnslusamningur?Uppfyllt
Já. Hver stofa samþykkir staðlaðan vinnslusamning Fótaskrár áður en hún fær aðgang að kerfinu, og hann er aðgengilegur í kerfinu undir Stillingar → Skjöl og skilmálar. Hann kveður á um skjalfest fyrirmæli, trúnað, öryggisráðstafanir, undirvinnsluaðila, aðstoð við réttindi skjólstæðinga, tilkynningu öryggisbresta og skil og eyðingu gagna.
Er unnt að flytja öll gögn út, þ.m.t. aðgerðaskrá, á opnu sniði? Kostnaður og tími?Uppfyllt
Já. Stjórnandi stofu flytur sjálfur út öll gögn stofunnar hvenær sem er (Stillingar → Útflutningur): JSON-skrár fyrir allar töflur, þ.m.t. fyrri útgáfur færslna, afturkölluð gögn og aðgerðaskrá, ásamt öllum myndum og skjölum. Útflutningurinn er tilbúinn á nokkrum mínútum og kostar ekkert. Einnig er hægt að prenta afrit af sjúkraskrá einstaks skjólstæðings.
Hvernig staðfestir kerfisveitan að gögnum hafi verið eytt að samningi loknum?Uppfyllt
Sjá Lok samnings. Eyðing er staðfest skriflega með dagsetningu.
Hvað verður um gögnin ef kerfisveitan hættir rekstri?Uppfyllt
Sjá Lok samnings: að lágmarki 90 daga fyrirvari og afhending allra gagna. Stofur geta auk þess flutt út öll gögn sín sjálfar hvenær sem er, svo þær eru aldrei háðar Vefhjálp um að nálgast þau.
Aðgangsstýring og auðkenning
Fær hver notandi persónulegt, einkvæmt auðkenni?Uppfyllt
Já. Hver notandi skráir sig inn með eigin netfangi og lykilorði, og nafn hans og starfsheiti fylgja hverri færslu. Skilmálar Fótaskrár og trúnaðaryfirlýsing banna að aðgangi sé deilt með öðrum.
Hvaða auðkenningu styður kerfið? Er MFA krafist?Að hluta
Lykilorð og tveggja þátta auðkenning með auðkenningarappi (TOTP, t.d. Google eða Microsoft Authenticator), ekki SMS eða tölvupóstur. Tveggja þátta auðkenning er skyld fyrir stjórnendur stofa og kerfisstjóra frá 1. desember 2026, og hver stofa getur gert hana skylda fyrir allt starfsfólk. Rafræn skilríki eru ekki studd.
Getur umsjónaraðili skilgreint hlutverk og takmarkað aðgang?Að hluta
Þrjú hlutverk: stjórnandi, starfsmaður og móttaka (tímabókanir án aðgangs að sjúkraskrám). Auk þess má skrá bann skjólstæðings við aðgangi tiltekins starfsmanns og merkja sjúkraskrá sérstaklega viðkvæma. Aðgangur er ekki bundinn meðferðarsambandi.
Er haldin skrá yfir veitingu og breytingar á aðgangi?Uppfyllt
Já. Boð, breyting á hlutverki, óvirkjun og eyðing notanda eru skráð í aðgerðaskrá, og stjórnandi sér lista yfir starfsfólk með hlutverki, stöðu tveggja þátta auðkenningar og síðustu innskráningu (Stillingar → Öryggi og eftirlit).
Er notandi skráður sjálfkrafa út eftir óvirkni? Er auðvelt að loka aðgangi?Uppfyllt
Já. Sjálfvirk útskráning eftir 30 mínútna óvirkni (stofa velur 15–120 mínútur), með viðvörun 2 mínútum áður. Stjórnandi lokar aðgangi starfsmanns með einum smelli og þá falla allar lotur hans út innan mínútu.
Er til neyðaraðgangur (break-glass)?Ekki uppfyllt
Nei. Neyðaraðgangur er ekki til í kerfinu.
Hafa starfsmenn kerfisveitunnar aðgang að sjúkraskrárupplýsingum?Að hluta
Kerfisstjóri Vefhjálpar (einn maður) hefur tæknilegan aðgang að þjóni og gagnagrunni vegna reksturs, afritunar og bilanagreiningar, og notar hann aðeins þegar það er nauðsynlegt eða að beiðni stofu. Í viðmóti kerfisins er ekki hægt að skoða sjúkraskrár annarra stofa eða eyða skjólstæðingum. Aðgangur að þjóninum er aðeins með SSH-lyklum og er vaktaður (Wazuh). Aðgerðir kerfisstjóra í viðmótinu eru skráðar í aðgerðaskrá; beinn aðgangur að gagnagrunni er það ekki.
Aðgerðaskrá og rekjanleiki
Skráir kerfið sjálfvirkt allan aðgang, þ.m.t. skoðun?Uppfyllt
Já. Opnun sjúkraskrár, komu, myndar og skjals er skráð, auk skráningar, breytinga, afturköllunar, útflutnings og uppflettinga, með notanda, starfsheiti, tíma, IP-tölu og skjólstæðingi.
Er upprunaleg færsla varðveitt við breytingu? Er eyðing aðeins möguleg með sérstöku ferli?Uppfyllt
Já. Fyrri útgáfa er varðveitt við hverja breytingu á komu, heilsufari og grunnupplýsingum. Myndir og skjöl eru afturkölluð en ekki eytt. Sjúkraskrám verður ekki eytt í kerfinu meðan stofan notar það. Um gögn við lok samnings, sjá Lok samnings.
Hve lengi er aðgerðaskrá varðveitt? Getur einhver breytt henni eða eytt?Uppfyllt
Aðgerðaskrá er varðveitt ótímabundið, jafnlengi og sjúkraskráin. Gagnagrunnurinn hafnar breytingum og eyðingu á henni, einnig frá kerfinu sjálfu. Það eina sem gæti farið fram hjá þeirri vörn er beinn aðgangur kerfisstjóra að gagnagrunni, sem er vaktaður (sjá 21).
Getur umsjónaraðili sjálfur kallað fram aðgerðaskrá fyrir skjólstæðing eða starfsmann?Uppfyllt
Já. Fyrir skjólstæðing: Aðgangsyfirlit á sjúkraskránni. Fyrir starfsmann og tímabil: Stillingar → Öryggi og eftirlit, með niðurhali í CSV. Þar sést líka aðgangur notenda utan stofunnar að skjólstæðingum hennar, og umsjónaraðili getur skráð reglulegar yfirferðir sínar.
Öryggisráðstafanir
Eru gögn dulkóðuð í hvíld og í flutningi?Uppfyllt
Já. Í flutningi: eingöngu TLS 1.2 og 1.3 með HSTS. Í hvíld: gagnagrunnurinn (töflur, annálar og bráðabirgðaskrár) er dulkóðaður með AES-256, og myndir og skjöl eru dulkóðuð hvert fyrir sig með AES-256-GCM, svo breyting á skrá greinist. Öryggisafrit: AES-256. Lyklarnir eru á þjóninum með aðgang takmarkaðan við þá þjónustu sem notar þá, og afrit af þeim er geymt utan þjónsins.
Afritun, óbreytanleg afrit, endurheimtarprófun, RPO/RTO?Uppfyllt
Gagnagrunnur er afritaður á klukkustundar fresti og myndir og skjöl daglega, dulkóðað á aðskilda geymslu. Varðveisla: 24 klst., 7 daga, 4 vikur og 6 mánuðir. Afritin eru auk þess varin gegn eyðingu með daglegum skyndimyndum á geymslunni síðustu 10 daga, sem þjónninn getur hvorki breytt né eytt. Heilleiki afrita er prófaður vikulega og endurheimt er prófuð sjálfvirkt einu sinni í mánuði. Hámarksgagnatap (RPO) er 1 klukkustund fyrir skráningar og 24 klukkustundir fyrir myndir og skjöl, og markmið um endurheimt (RTO) er 8 klukkustundir á virkum degi.
Innan hvaða tíma eru öryggisuppfærslur settar upp? Er allur hugbúnaður studdur?Uppfyllt
Öryggisuppfærslur stýrikerfis eru settar upp sjálfvirkt daglega og alvarlegir veikleikar í PHP og vefþjóni lagaðir innan 7 daga. Allir íhlutir eru í studdum útgáfum (Ubuntu 24.04 LTS, PHP 8.3, MariaDB 11.8, Caddy 2).
Er prófunarumhverfi aðskilið? Eru raungögn notuð í prófunum?Uppfyllt
Prófunarumhverfi er aðskilið frá raunumhverfi og lokað með lykilorði. Raunveruleg sjúkraskrárgögn eru aldrei notuð í prófunum. Mánaðarlegt endurheimtarpróf afritanna fer fram í lokuðu umhverfi án netsambands, og gögnunum er eytt strax að prófi loknu.
Hefur óháður aðili gert öryggis- eða innbrotsprófun síðustu 12 mánuði?Ekki uppfyllt
Nei. Engin óháð öryggisprófun hefur verið gerð. Kerfið er vaktað sjálfvirkt (sjá 32) og kóði yfirfarinn með tilliti til öryggis við breytingar.
Er aðgangur kerfisstjóra aðskilinn frá klínískum gögnum og aðgerðir með ríkum heimildum skráðar?Að hluta
Kerfisstjórn er sérstakt svæði sem sýnir ekki sjúkraskrár, og tveggja þátta auðkenning er skyld fyrir kerfisstjóra frá 1. desember 2026. Aðgerðir þar eru skráðar. Sjá einnig 21 um tæknilegan aðgang að þjóni.
Hvernig vaktar kerfisveitan kerfið?Uppfyllt
Wazuh-öryggisvöktun á þjóni (innbrot, breytingar á skrám, grunsamleg innskráning), fail2ban, eldveggur, vöktun á uppitíma og afritun, og takmörkun á innskráningartilraunum í kerfinu.
Atvik, tilkynningar og samfella
Innan hvaða tíma tilkynnir kerfisveitan um öryggisbrest?Uppfyllt
Innan 24 klukkustunda frá því að Vefhjálp verður vör við brestinn. Sjá Öryggisbrestir.
Hefur kerfisveitan orðið fyrir öryggisbresti síðustu þrjú ár?Uppfyllt
Í ágúst 2026 kom í ljós að myndir og skjöl sem hlaðið var upp voru tæknilega aðgengileg án innskráningar ef nákvæm slóð var þekkt. Það var lagað sama dag. Yfirferð á aðgangsskrám vefþjóns fyrir 30 daga þar á undan sýndi engin merki um að þriðji aðili hefði nálgast gögnin. Engir aðrir öryggisbrestir eru þekktir.
Virkni og réttindi skjólstæðinga
Er unnt að skrá sérstaklega viðkvæmar upplýsingar og takmarka aðgang að ósk skjólstæðings?Uppfyllt
Já. Sjúkraskrá má merkja sérstaklega viðkvæma (opnun hennar er skráð sérstaklega), og skrá bann skjólstæðings við aðgangi tiltekins starfsmanns, sem kerfið framfylgir.
Er unnt að afhenda skjólstæðingi afrit og skrá athugasemd hans?Uppfyllt
Já. Afrit af sjúkraskrá er prentað eða vistað sem PDF úr kerfinu, og aðgangsyfirlit sýnir hverjir hafa opnað skrána. Athugasemd skjólstæðings sem telur upplýsingar rangar er skráð undir Réttindi skjólstæðings, ásamt afstöðu umsjónaraðila.
Styður kerfið lágmarksskráningu og skil til heilbrigðisskráa landlæknis?Ekki uppfyllt
Ekki sem stendur. Engin sjálfvirk skil eru til heilbrigðisskráa landlæknis.
Styður kerfið samtengingu, og er unnt að virða bann við henni?Að hluta
Fótaskrá er ekki samtengd öðrum sjúkraskrárkerfum. Bann skjólstæðings við samtengingu má skrá og er virt verði samtenging tekin upp.
Undirvinnsluaðilar
| Aðili | Hlutverk | Staðsetning | Gögn |
|---|---|---|---|
| Hetzner Online GmbH / Hetzner Finland Oy | Hýsing og öryggisafrit | Helsinki, Finnlandi (ESB) | Öll gögn kerfisins, dulkóðuð í hvíld og í afritum |
| Nova hf. | SMS-áminningar (ef stofa notar þær) | Ísland | Símanúmer, fornafn eða nafn skjólstæðings og tími bókunar |
| Lettermint B.V. | Tölvupóstur kerfisins | Hollandi (ESB) | Nafn og netfang notanda; engar heilbrigðisupplýsingar |
| Já hf. (Já Gagnatorg) | Uppfletting í þjóðskrá, aðeins þegar starfsmaður skráir skjólstæðing eða ber skráningu saman við þjóðskrá | Ísland | Kennitala skjólstæðings sem flett er upp; Já skilar nafni og lögheimili. Engar heilbrigðisupplýsingar |
Aðrir aðilar sem eru ekki undirvinnsluaðilar fyrir gögn stofa: Noona er bókunarkerfi sem stofa velur sjálf að tengja; Fótaskrá les bókanir þaðan og sendir ekkert til Noona. Payday ehf. sér um reikninga Vefhjálpar til stofa og fær aðeins upplýsingar um stofuna sem viðskiptavin, engin sjúkraskrárgögn.
Þjónustustig
- Þjónustutími: virka daga kl. 9–17. Utan þess er brugðist við eftir bestu getu.
- Kerfið óaðgengilegt eða alvarleg bilun: viðbragð innan 2 klukkustunda á þjónustutíma.
- Aðrar fyrirspurnir og villur: svar innan eins virks dags.
- Uppitími: markmið 99,5% á mánuði, að frátöldu boðuðu viðhaldi sem fer fram utan venjulegs vinnutíma.
- Samband: gudni@fotaskra.is, sími 644 4444, eða „Ábendingar“ inni í kerfinu.
Öryggisbrestir
Verði Vefhjálp vör við öryggisbrest sem varðar gögn stofu er stofunni tilkynnt innan 24 klukkustunda, í tölvupósti og síma til stjórnanda hennar. Tilkynningin segir hvað gerðist, hvaða gögn og skjólstæðinga það varðar eftir því sem vitað er, og hvað hefur verið gert. Viðbótarupplýsingar eru sendar jafnóðum. Þannig hefur stofan svigrúm til að meta brestinn og tilkynna Persónuvernd innan 72 klukkustunda ef þörf krefur. Vefhjálp aðstoðar stofuna við tilkynningar og öflun upplýsinga úr aðgerðaskrá.
Samfella
Verði kerfið óaðgengilegt er það endurreist úr nýjasta afriti, á nýjum þjóni ef þarf, og markmiðið er að það sé komið í gagnið innan 8 klukkustunda á virkum degi. Mest getur tapast klukkustund af skráningum og sólarhringur af myndum og skjölum. Á meðan getur stofan skráð á pappír eða í skjal og fært inn þegar kerfið er komið upp. Gott er að stofan sæki reglulega dagbók næstu daga og haldi útflutningi á öruggum stað, svo nauðsynlegar upplýsingar séu tiltækar. Staða og áætlaður tími eru tilkynnt stofum í tölvupósti.
Lok samnings
- Stofa segir upp: hún flytur sjálf út öll gögn (sjá 12) eða fær útflutning afhentan frá Vefhjálp. Gögnum hennar er ekki eytt fyrr en hún hefur staðfest skriflega að hún hafi fengið þau afhent, eða að þau hafi verið afhent landlækni, og óskað eyðingar. Þá er þeim eytt úr kerfinu innan 30 daga, þau hverfa úr afritum þegar afritin renna út (í síðasta lagi 6 mánuðum eftir eyðingu úr kerfinu), og eyðingin er staðfest skriflega með dagsetningu. Svari stofa ekki innan 12 mánaða eftir starfslok, að undangengnum tveimur skriflegum viðvörunum, eru sjúkraskrárnar afhentar landlækni og síðan eytt.
- Vefhjálp hættir rekstri Fótaskrár: stofum er tilkynnt með að lágmarki 90 daga fyrirvara. Á þeim tíma fær hver stofa öll sín gögn afhent á opnu sniði og aðstoð við flutning í annað kerfi. Gögnum er síðan eytt og eyðingin staðfest skriflega.
- Hætti stofa starfsemi skal afhenda sjúkraskrár hennar landlækni samkvæmt lögum nr. 55/2009 um sjúkraskrár. Vefhjálp aðstoðar við afhendinguna.
Gott að vita
Hvorki landlæknir né Stafræn heilsa samþykkja einstök sjúkraskrárkerfi. Stofan metur sjálf hvort Fótaskrá henti og tilkynnir landlækni um kerfið á eyðublaðinu „Breytt sjúkraskrárkerfi“ í þjónustugátt embættisins. Þar er gott að tilgreina: kerfi Fótaskrá, kerfisveita Vefhjálp, hýsing Hetzner í Finnlandi (innan EES), vinnslusamningur gerður, kerfið ekki samtengt öðrum sjúkraskrárkerfum.
Þessi síða er uppfærð þegar eitthvað breytist og að minnsta kosti einu sinni á ári. Spurningar: gudni@fotaskra.is.
Breytingaskrá
| Útgáfa | Dagsetning | Breyting |
|---|---|---|
| 1.4 | 5. nóvember 2026 | Já hf. bætt við sem undirvinnsluaðila vegna uppflettingar nafns og lögheimilis í þjóðskrá (tafla undirvinnsluaðila, svör 8 og 9). |
| 1.3 | 3. nóvember 2026 | Merkingar „Uppfyllt / Að hluta / Ekki uppfyllt“ í stað „Já / Nei“; samræmt skilmálum og vinnslusamningi (svör 2, 15, 23, 24, 27, 29, 31, 39, Samfella, Lok samnings og tafla undirvinnsluaðila). |
| 1.2 | 3. nóvember 2026 | Tölvupóstur fluttur frá SendLayer (Bandaríkjunum) til Lettermint (Hollandi); svör 2, 8 og 9. |
| 1.1 | 3. nóvember 2026 | Dulkóðun gagnagrunns, mynda og skjala í hvíld komin í notkun (svar 26). |
| 1.0 | 2. nóvember 2026 | Fyrsta útgáfa. |