Neue Anforderungen an die Cloud-Verarbeitung von Gesundheitsdaten

Mit dem Gesetz zur Beschleunigung der Digitalisierung im Gesundheitswesen (DigiG) und dem neu eingeführten § 393 des Fünften Sozialgesetzbuches (SGB V) gelten strengere Anforderungen an die Verarbeitung von Gesundheitsdaten in der Cloud. 

Seit dem 1. Juli 2024 dürfen Leistungserbringer im Gesundheitswesen, Krankenkassen und deren Auftragsverarbeiter Sozial- und Gesundheitsdaten nur dann cloudbasiert verarbeiten, wenn sie ein aktuelles C5-Testat des Bundesamtes für Sicherheit in der Informationstechnik (BSI) vorweisen können. 

Bis zum 30. Juni 2025 ist ein C5-Typ1-Testat zulässig, das die Angemessenheit der Sicherheitsmaßnahmen bescheinigt. Ab dem 1. Juli 2025 ist ein C5-Typ2-Testat erforderlich, das zusätzlich die Wirksamkeit der Maßnahmen über einen definierten Zeitraum hinweg bestätigt.

Herausforderungen bei der Einhaltung der C5-Kriterien

Bisher können nur wenige Leistungserbringer ein C5-Testat vorweisen. Der C5-Kriterienkatalog umfasst 17 Themengebiete mit insgesamt 125 - teils sehr spezifischen - Kriterien. Die Anforderungen sind komplex und umfangreich. Sie zu erfüllen, kann für viele Anbieter eine erhebliche Herausforderung darstellen.

Alternativ können auch andere Zertifikate oder Testate als Nachweis dienen, insofern diese ein vergleichbares oder höheres Sicherheitsniveau sicherstellen.  Welche diese konkret sein sollen, sollte das Bundesministerium für Gesundheit per Verordnung bestimmen.

Referentenentwurf der C5-Äquivalenzverordnung

Seit dem 06.01.2025 liegt nun ein Referentenentwurf der C5-Äquivalenzverordnung vor.

Für die Übergangszeit sollen folgende Zertifikate oder Testate als Nachweis für die Einhaltung eines Sicherheitsniveaus, das mit einer C5-Typ1-Testierung vergleichbar ist, genutzt werden können:

1. DIN EN ISO/IEC 27001:2022
2. ISO 27001 auf der Basis von IT-Grundschutz durch das Bundesamt für Sicherheit in der Informationstechnik (BSI)
3. Cloud Controls Matrix Version 4.0

Erforderliche Maßnahmen zur Erfüllung der Übergangsanforderungen

Zusätzlich zu diesen Zertifikaten oder Testaten soll ein Maßnahmenplan vorliegen müssen, der folgende Punkte enthält:

1. Dokumentation der Basiskriterien des C5-Kriterienkatalogs, die nicht durch das bestehende Testat oder Zertifikat abgedeckt sind
2. Technische und organisatorische Vorkehrungen, um die materiellen Lücken zwischen den Anforderungen des C5-Kriterienkatalogs und den Anforderungen des alternativen Standards zu beheben
3. Meilensteinplanung, die zeigt, bis wann die Vorkehrungen umgesetzt sein sollen (maximal 12 Monate)
4. Dokumentation von Maßnahmen zur Erlangung eines C5-Typ-1-Testats innerhalb von 18 Monaten

Risiken bei der Vorbereitung auf das C5-Typ2-Testat

So sinnvoll es sein mag, eine stufenweise Migration der internen Sicherheitskontrollen auf den C5-Standard zu ermöglichen, beschreibt der aktuelle Entwurf lediglich die Gleichwertigkeit zu C5-Typ1-Testierungen. 

Ab dem 1. Juli 2025 ist jedoch ein C5-Typ2-Testat erforderlich, das die kontinuierliche Wirksamkeit der Sicherheitsmaßnahmen über mindestens sechs Monate hinweg bestätigt. Bis die Verordnung um entsprechende Festlegungen zur Gleichwertigkeit von Typ2-Testaten ergänzt wird, bleibt Unsicherheit bei den Anbietern von Cloud-Computing-Diensten und deren Nutzern. 

Angesichts der erforderlichen Zeit für die Umsetzung der Anforderungen und den Nachweis der Wirksamkeit über sechs Monate bestehen erhebliche Risiken für Cloudanbieter ohne C5-Typ2-Testat und ihre Kunden. Die einzige Möglichkeit, diese Risiken zu reduzieren, scheint die unverzügliche Vorbereitung auf die Testierung zu sein.

Wir unterstützen Sie bei Gap-Analyse und IT-Audit

Baker Tilly unterstützt und berät durch die Bereiche IT-Audit & Cyber Security: Eine Gap-Analyse ist Grundlage für Ihren Meilensteinplan. Wir testieren die Übereinstimmung und Sicherheit Ihrer Systeme und Prozesse nach C5 Typ1 und C5 Typ2. Dabei streben wir stets den effizientesten Ansatz an und verwerten Prüfungsberichte anderer Wirtschaftsprüfer, Softwaretestate, etc.  

Vertrauen Sie auf unsere Fachkompetenz, um Ihre IT-Systeme und Prozesse zu stärken und Ihre Resilienz zu erhöhen.