Informationssicherheit im Gesundheitswesen

Das Gesundheitswesen ist Teil der Kritischen Infrastrukturen (KRITIS) in Deutschland und setzt daher sichere Informations- und Kommunikationsstrukturen voraus: Die Verfügbarkeit der Systeme sowie die Integrität, Authentizität und Vertraulichkeit der verarbeiteten Gesundheitsdaten müssen gewährleistet werden. Dies macht IT-Sicherheit für Krankenhäuser, Pharmahersteller und Labore essentiell.

Stellen Sie Ihr Unternehmen IT-sicher auf! Gern begleiten wir Sie dabei von der Sicherheitsanalyse bis hin zur Umsetzung aller erforderlichen Maßnahmen.

Betreiber Kritischer Infrastrukturen im Gesundheitssektor

Als Kritische Infrastruktur (KRITIS) im Sektor Gesundheit zählen folgende Dienstleistungen:

• stationäre medizinische Versorgung
• Versorgung mit verbrauchbaren, lebenserhaltenden Medizinprodukten
• Versorgung mit verschreibungspflichtigen Arzneimitteln und Blut- und Plasmakonzentraten 
• medizinische Labore

Die genauen Anlagenkategorien und Schwellenwerte im Sektor Gesundheit sind in Anhang 5, Teil 3, Spalte B und D der BSI-Kritisverordnung (BSI-KritisV) aufgeführt. Sofern diese erreicht oder überschreiten werden, sind Betreiber Kritischer Anlagen verpflichtet dem Bundesamt für Sicherheit in der Informationstechnik (BSI) eine Kontaktstelle zu benennen, erhebliche IT-Störungen zu melden und dem BSI die Umsetzung der Informationssicherheit nach dem „Stand der Technik“ alle zwei Jahre durch Sicherheitsaudits, Prüfungen oder Zertifizierungen nachzuweisen.

Informationssicherheit in Arztpraxen und Medizinischen Versorgungszentren (MVZ)

Seit dem 30. Juni 2020 werden Anforderungen zur Gewährleistung der IT-Sicherheit durch Richtlinien der Kassen(zahn)ärztlichen Bundesvereinigungen (inklusive Telematik) für Vertrags(zahn)ärztliche Leistungserbringer festgelegt.

Die Anforderungen müssen geeignet sein, Störungen der informationstechnischen Systeme, Komponenten oder Prozesse der vertragsärztlichen Leistungserbringer in Bezug auf die Verfügbarkeit, Integrität und Vertraulichkeit sowie der weiteren Sicherheitsziele zu vermeiden. Die Anforderungen müssen dem „Stand der Technik“ entsprechen und sind jährlich an den aktuellen Stand sowie an das Gefährdungspotential anzupassen.

Die umzusetzenden Anforderungen richten sich nach der Größe der jeweiligen Praxis und sind in den jeweiligen Anlagen der Richtlinie nach § 390 SGB V (vorher § 75b SGB V) geregelt:

• Praxis: bis zu fünf ständig mit der Datenverarbeitung betraute Personen
• Mittlere Praxis: 6 bis 20 ständig mit der Datenverarbeitung betraute Personen
• Großpraxis oder Praxis mit Datenverarbeitung im erheblichen Umfang: Über 20 ständig mit der Datenverarbeitung betraute Personen oder eine Praxis, die in über die normale Datenübermittlung hinausgehenden Umfang in der Datenverarbeitung tätig ist (z. B. Groß-MVZ mit krankenhausähnlichen Strukturen, Labore).

Gerne unterstützen wir mittlere und große Praxen bzw. Medizinische Versorgungszentren (MVZ) bei der Identifikation und Umsetzung der Anforderungen.

Informationssicherheit für Anbieter digitaler Gesundheitsanwendungen

Für Anbieter digitaler Gesundheitsanwendungen gilt das Digitale Versorgung-Gesetz (DVG) bzw. die Digitale Gesundheitsanwendungen-Verordnung (DiGAV). Zudem gibt es vom BSI die Technische Richtlinie 03161 „Sicherheitsanforderungen an digitale Gesundheitsanwendungen“ (BSI TR-03161) mit Teil 1 für Mobile Anwendungen, Teil 2 für Webanwendungen und Teil 3 für Hintergrundsysteme. Diese können als Leitfaden bei der Erstellung sicherer Anwendungen unterstützen.

Anbieter digitaler Gesundheitsanwendungen müssen abhängig vom Schutzbedarf der Daten Basis- und Zusatzanforderungen für die Datensicherheit umsetzen. Zu den Basisanforderungen zählt die Umsetzung eines Informationssicherheits-Managementsystem (ISMS) gemäß ISO/IEC 27001 oder gemäß ISO 27001 auf der Basis von IT-Grundschutz (BSI-Standard 200-2). Auf Verlangen ist dem Bundesinstitut für Arzneimittel und Medizinprodukte (BfArM) ein entsprechendes anerkanntes Zertifikat oder ein vergleichbarer Nachweis vorlegen. 

Zudem müssen Hersteller erstattungsfähiger digitaler Gesundheitsanwendungen für diese, inklusive aller Backend-Komponenten, einen Penetrationstest (kurz Pentest) durchführen und auf Nachfrage entsprechende Nachweise über die Durchführung der Pentests und die Behebung der dabei gefundenen Schwachstellen vorlegen können.

Informationssicherheit bei der Nutzung von Cloud-Dienstleistungen für das Gesundheitswesen

Leistungserbringer im Sinne des SGB IV, Kranken- und Pflegekassen sowie ihre jeweiligen Auftragsverarbeiter müssen bei der Verarbeitung von Sozial- und Gesundheitsdaten mittels eines Cloud-Computing Dienstes die Vorschriften des §393 SGB V Cloud-Einsatz im Gesundheitswesen beachten. Neben der sicheren Standortwahl des Cloud-Anbieters, muss die Informationssicherheit durch nach dem Stand der Technik angemessene technische und organisatorische Maßnahmen gewährleistet werden. Zusätzlich wird ein C5-Testat der datenverarbeitenden Stelle gefordert.

Der Cloud Computing Compliance Criteria Catalogue (C5) ist ein Kriterienkatalog des BSI, der speziell Kriterien zur Informationssicherheit von Cloud-Diensten enthält. Dabei hat sich das BSI an gängigen Normen wie u. a. der ISO/IEC 27001, der ISO/IEC 27017 und dem IT-Grundschutz Kompendium orientiert, um entsprechende Kriterien festzulegen.

Ein qualifizierter Wirtschaftsprüfer beurteilt für einen rückwirkenden Zeitraum, ob alle Anforderungen der C5-Basiskriterien angemessen (C5-Typ1-Testat, nur bis zum 30.06.2025 gültig) bzw. angemessen und wirksam sind (C5-Typ2-Testat, erforderlich ab dem 01.07.2025) und stellt das Testat für den Cloud-Computing-Dienst aus. 

Cloud-Kunden aus dem Gesundheitswesen müssen von ihrem Cloud-Anbieter den C5-Prüfbericht anfordern und kontrollieren, ob dieser den Vorgaben des BSIs hinsichtlich der Relevanz, der Vollständigkeit, Verlässlichkeit, Neutralität und Verständlichkeit entspricht. 

Darüber hinaus muss der Kunde die im Prüfbericht des C5-Testats enthaltenen korrespondieren Kriterien für Kunden umzusetzen. Sowohl auf Seiten des Cloud-Computing Dienstes als auch auf Seiten des Kunden sind Maßnahmen zu treffen, die die Informationssicherheit des Cloud-Anbieters garantieren.

Mit dem §393 SGB V verfolgt der Gesetzgeber das Ziel, digitale Lösungen zu ermöglichen, um den Behandlungsalltag im Gesundheitswesen zu vereinfachen und gleichzeitig die Ziele der Informationssicherheit zu gewährleisten.

Wir unterstützen Sie gerne bei der Prüfung der Angemessenheit Ihrer technischen und organisatorischen Maßnahmen, bei der Durchsicht des C5-Prüfbericht Ihres Cloud-Anbieters sowie bei der Umsetzung der korrespondierenden Kriterien für Kunden.