IT-Sicherheit im Gesundheitswesen: nachweisbar resilient

Für den Teil, der die Infrastruktur betrifft, ja: ISO 27001 auf Basis IT-Grundschutz (BSI-Zertifikat BSI-IGZ-0773), uneingeschränktes BSI C5:2020 Typ 1-Testat, TOM-Dokumentation und Auftragsverarbeitungsvertrag, alles mit Geltungsbereich im Trust Center. Adressat von § 393 SGB V (eingeführt durch das PDSG) und von NIS-2 bleibt aber Ihre Einrichtung: Risikoanalyse, ISMS, Meldewege und die Absicherung Ihrer Anwendungen weisen Sie selbst nach. centron liefert die Unterlagen für den Lieferkettenanteil.

Wenn Sie als Leistungserbringer Gesundheitsdaten über Cloud-Dienste verarbeiten, müssen Sie prüfen, ob Ihr Anbieter die Anforderungen des § 393 SGB V erfüllt: Verarbeitung in zulässigen Regionen, eine Niederlassung im Inland, angemessene technische und organisatorische Maßnahmen und ein aktuelles C5-Testat. centron erfüllt die Standort- und Niederlassungsanforderungen und verfügt für die ccloud³ über ein BSI C5:2020 Typ 1-Testat sowie eine ISO-27001-Zertifizierung auf Basis von IT-Grundschutz. Die Unterlagen erhalten Sie über das Sales-Team.

Ein Air-Gap-Backup liegt außerhalb der Reichweite des Produktivsystems. Ransomware verschlüsselt in der Regel alles, was vom befallenen System aus erreichbar ist – auch angebundene Sicherungen. Über S3 Object Storage mit Object Lock werden Sicherungen unveränderlich abgelegt: Sie lassen sich innerhalb der Aufbewahrungsfrist weder überschreiben noch löschen, auch nicht mit gestohlenen Zugangsdaten. Wie das für Praxen und Kliniken aussieht, zeigt Backup für Patientendaten.

centron verantwortet Plattform und Betrieb: Rechenzentren, Virtualisierung, Netzwerk, Monitoring, Logging, Backup der Plattform sowie Incident-, Change-, Notfall- und Dienstleistermanagement. In Ihrer Verantwortung bleiben Ihre Betriebssysteme, Ihre Anwendungen, Ihre fachlichen Prozesse und Ihre Inhalte, also auch die Patientendaten selbst. Diese Grenze ist im Geltungsbereich unserer ISO-27001-Zertifizierung ausdrücklich festgehalten und damit im Audit belegbar.

Das centron Solution-Team arbeitet Hand in Hand mit Ihrer IT. Die Migration folgt einem detaillierten Projektplan, um Ausfallzeiten zu vermeiden und die Integrität Ihrer Datenbanken zu wahren.

Ja. Bei centron haben Sie direkten Zugriff auf kompetente Ansprechpartner (Level 3), die Ihre Infrastruktur-Umgebung genau kennen und Sie auf Augenhöhe beraten.

Ja. Hersteller von Digitalen Gesundheitsanwendungen betreiben ihre Lösung auf der zertifizierten Plattform. Den Nachweis gegenüber dem BfArM führt der Hersteller selbst; centron liefert dafür die Zertifikate mit Geltungsbereich, die TOM-Dokumentation und den Auftragsverarbeitungsvertrag. Welche Nachweise Ihre Anwendung im Einzelnen benötigt, hängt von ihrem Schutzbedarf ab.

Ein IT-Dienstleister, der Berufsgeheimnisträger bei der Datenverarbeitung unterstützt, ist sonstige mitwirkende Person nach § 203 Abs. 3 StGB. Die dabei eingesetzten Personen sind zur Geheimhaltung zu verpflichten – bei centron ist das über entsprechende Verpflichtungen der Mitarbeiter und die dokumentierten technischen und organisatorischen Maßnahmen umgesetzt.

Nein. Kundendaten werden ausschließlich in deutschen Rechenzentren verarbeitet, ohne Drittlandübermittlung. Deployment-Standort für Cloud-Workloads ist das eigene Rechenzentrum in Hallstadt bei Bamberg. centron ist ein deutsches Unternehmen ohne ausländische Muttergesellschaft.