Vårdgivaren ska utse en eller flera personer som ska leda och samordna informationssäkerhetsarbetet. Den eller de som utses ska minst en gång om året sammanställa information om arbetet till vårdgivaren.

Sammanställningen ska innehålla information om de

1. riskanalyser som har gjorts av informationssäkerheten,
2. incidenter som har påverkat informationssäkerheten och som medfört eller hade kunnat medföra vårdskada,
3. uppföljningar som har gjorts, och
4. förbättringsåtgärder som har vidtagits.