Datenschutz
HIPAA
HIPAA (Health Insurance Portability and Accountability Act)
HIPAA legt die US-Anforderungen zum Schutz von Gesundheitsdaten fest. Wir helfen Ihnen, die Schutzmaßnahmen der Security Rule und der Privacy Rule umzusetzen und die Nachweise aufzubauen, mit denen Sie Ihre Compliance belegen.
Was HIPAA ist
HIPAA ist ein US-Bundesgesetz, das regelt, wie geschützte Gesundheitsdaten (PHI) gehandhabt werden. Die Privacy Rule steuert, wie PHI genutzt und offengelegt werden dürfen, während die Security Rule administrative, physische und technische Schutzmaßnahmen für elektronische PHI festlegt. Die Breach Notification Rule regelt, was geschehen muss, wenn geschützte Informationen offengelegt werden.
HIPAA ist eine vom US-Gesundheitsministerium (Department of Health and Human Services) durchgesetzte Vorschrift und kein Standard, gegen den Sie zertifiziert werden. Es gibt kein offizielles HIPAA-Zertifikat. Die Compliance wird durch eine dokumentierte Risikoanalyse, umgesetzte Schutzmaßnahmen, Richtlinien, Schulungen und Business-Associate-Agreements mit den Dienstleistern nachgewiesen, die in Ihrem Auftrag PHI verarbeiten.
Der Aufbau des Standards
Privacy Rule
Legt nationale Standards dafür fest, wie geschützte Gesundheitsdaten genutzt und offengelegt werden dürfen, und gibt Einzelpersonen Rechte über ihre Unterlagen, einschließlich Zugang und Berichtigung.
Security Rule
Legt die Schutzmaßnahmen fest, die elektronische geschützte Gesundheitsdaten absichern, und ist in administrative, physische und technische Schutzmaßnahmengruppen gegliedert.
Security Rule · administrative Schutzmaßnahmen
Decken die Governance-Seite ab, einschließlich der erforderlichen Risikoanalyse, der Schulung der Belegschaft, des Zugriffsmanagements und der Notfallplanung.
Security Rule · physische Schutzmaßnahmen
Behandeln den physischen Zugang zu Einrichtungen, Arbeitsplätzen und Geräten sowie Medienkontrollen für die Entsorgung und Wiederverwendung von Hardware.
Security Rule · technische Schutzmaßnahmen
Behandeln Zugriffskontrolle, Audit-Protokollierung, Integritätsschutz und Übertragungssicherheit für Systeme, die elektronische PHI speichern oder bewegen.
Breach Notification Rule
Definiert, was als Verletzung ungeschützter PHI gilt, und die Benachrichtigungen, die betroffenen Personen, der Aufsichtsbehörde und bei größeren Verletzungen den Medien geschuldet werden.
Enforcement Rule
Legt fest, wie das Office for Civil Rights Beschwerden untersucht, und die Bußgeldstufen, die für Verstöße gelten.
HITECH und die Omnibus Rule
Spätere Änderungen, die die direkte Haftung auf Geschäftspartner ausweiteten und die Bestimmungen zu Verletzungen und Durchsetzung verschärften.
Wer es braucht
- Betroffene Einrichtungen (Covered Entities) wie Gesundheitsdienstleister, Krankenversicherungen und Clearingstellen
- Geschäftspartner (Business Associates), einschließlich SaaS- und Cloud-Anbieter, die PHI für eine Covered Entity verarbeiten
- Jedes Unternehmen, das US-Gesundheitsdaten verarbeitet und aufgefordert wird, ein Business-Associate-Agreement zu unterzeichnen
Was Sie erhalten
- Eine PHI-Datenkarte und eine dokumentierte Risikoanalyse gemäß Security Rule
- Administrative, physische und technische Schutzmaßnahmen mit begleitenden Richtlinien
- Penetrationstest-Nachweise für Systeme, die elektronische PHI verarbeiten
- Ein Nachweispaket zur Compliance und Unterstützung bei Business-Associate-Agreements
Die Zeitpläne hängen von Ihrem Geltungsbereich, den Systemen, die mit PHI in Berührung kommen, und Ihren bestehenden Schutzmaßnahmen ab. Wir legen den Umfang vorab ehrlich fest, statt eine feste Anzahl von Wochen zu versprechen.
Aktuelle Version
HIPAA wurde 1996 erlassen, wobei die Privacy Rule, die Security Rule und die Breach Notification Rule durch spätere Rechtsetzung hinzugefügt und durch den HITECH Act von 2009 sowie die Omnibus Rule von 2013 gestärkt wurden. Die heute geltende Fassung beruht weiterhin auf diesen Regeln, verwaltet vom Office for Civil Rights innerhalb des US-Gesundheitsministeriums. Eine vorgeschlagene Aktualisierung der Security Rule wird derzeit geprüft, veröffentlicht als Notice of Proposed Rulemaking, die die Cybersicherheitserwartungen für elektronische PHI stärken und konkreter machen würde; sie ist noch nicht endgültig, und die bestehende Security Rule bleibt der Standard, an dem Sie gemessen werden. Behandeln Sie den Vorschlag als eine Entwicklungsrichtung, auf die Sie sich vorbereiten sollten, und nicht als geänderte Verpflichtung, und halten Sie Ihre Risikoanalyse und Schutzmaßnahmen in der Zwischenzeit aktuell.
Was es kostet
Es gibt kein HIPAA-Zertifikat zu kaufen, denn HIPAA ist eine Vorschrift, deren Einhaltung Sie nachweisen, und kein Schema, gegen das eine akkreditierte Stelle Sie zertifiziert. Ihre Kosten bestehen aus unserem abgegrenzten Beratungs- und Umsetzungshonorar, das vorab beziffert wird, sobald wir Ihre Größe, die Systeme, die mit PHI in Berührung kommen, und Ihren Ausgangspunkt verstanden haben, zuzüglich jeglicher unabhängiger Bewertung, Prüfung, Penetrationstests oder Rechts- und Datenschutzberatung, die Sie hinzuziehen möchten und die diese Parteien separat zu ihren eigenen Bedingungen bepreisen. tr3labs ist niemals die zertifizierende, prüfende oder regulierende Stelle; ein Kunde oder ein Dritter kann eine HIPAA-Bewertung gegen Sie durchführen, und die Kosten dieses Auftrags obliegen ihm. Wir legen den Umfang gemeinsam mit Ihnen fest, statt blind zu kalkulieren.
Wie tr3labs Sie dorthin bringt
Geltungsbereich und Risikoanalyse
Wir ermitteln, wo PHI gespeichert sind und wie sie fließen, führen die von der Security Rule geforderte Risikoanalyse durch und messen Ihre bestehenden Schutzmaßnahmen an der Privacy Rule, der Security Rule und der Breach Notification Rule.
Schutzmaßnahmen aufbauen
Wir unterstützen Sie bei der Umsetzung der administrativen, physischen und technischen Schutzmaßnahmen, erstellen die erforderlichen Richtlinien, begleiten Ihre Schulungen und bringen Ihre Business-Associate-Agreements in Ordnung.
Testen und nachweisen
Wir führen Penetrationstests und Sicherheitsüberprüfungen an den Systemen durch, die elektronische PHI enthalten, damit Ihre technischen Schutzmaßnahmen belegt und nicht nur behauptet werden.
Unterstützung bei Readiness und Attestierung
Wir stellen die Dokumentation zusammen, die Ihre Compliance belegt, und bereiten Sie darauf vor, souverän auf Kunden-Due-Diligence oder eine HIPAA-Bewertung durch Dritte zu reagieren.
HIPAA und SOC 2 im Vergleich
Beide werden angesprochen, wenn ein Käufer prüft, ob seine Daten bei Ihnen sicher sind, daher erhalten Gesundheitsunternehmen oft Anfragen zu jedem einzelnen und bringen sie durcheinander.
| HIPAA | SOC 2 | |
|---|---|---|
| Umfasst | US-amerikanische geschützte Gesundheitsdaten | Sicherheits- und zugehörige Trust-Kriterien für einen Dienst |
| Wer danach fragt | US-Gesundheitsaufsichtsbehörden und Partner, die PHI handhaben | Unternehmenskäufer, die eine Lieferanten-Due-Diligence durchführen |
| Kernidee | Rechtliche Verpflichtung zum Schutz von Gesundheitsdaten | Unabhängiger Bericht über Ihre Kontrollen |
| Prüfmodell | Kein Zertifikat; die Compliance wird nachgewiesen | Bericht, der von einer lizenzierten CPA-Firma ausgestellt wird |
| Oft zusammen mit | Business-Associate-Agreements | ISO 27001 und Lieferanten-Sicherheitsüberprüfungen |
HIPAA FAQ
- Gibt es ein offizielles HIPAA-Zertifikat?
- Nein. HIPAA ist eine vom US-Gesundheitsministerium durchgesetzte Vorschrift und kein zertifizierbarer Standard, daher gibt es kein offizielles Zertifikat. Die Compliance wird durch eine dokumentierte Risikoanalyse, umgesetzte Schutzmaßnahmen und Nachweise belegt. Seien Sie vorsichtig bei jedem, der ein HIPAA-Zertifikat als Beleg verkauft.
- Was ist ein Business-Associate-Agreement?
- Es ist ein von HIPAA vorgeschriebener Vertrag zwischen einer Covered Entity und einem Dienstleister, der in deren Auftrag geschützte Gesundheitsdaten verarbeitet. Er legt die Verantwortlichkeiten jeder Partei für den Schutz dieser Daten fest. Wir helfen Ihnen, die richtigen Vereinbarungen mit den betroffenen Dienstleistern abzuschließen.
- Verlangt HIPAA Penetrationstests?
- HIPAA benennt keinen bestimmten Test, aber die Security Rule verlangt, dass Sie Risiken für elektronische PHI bewerten und angemessene technische Schutzmaßnahmen anwenden. Penetrationstests sind ein bewährtes Mittel, um nachzuweisen, dass diese Schutzmaßnahmen funktionieren, und unsere Tests unterstützen genau das.
Die Leistungen, die Sie dorthin bringen
Verwandte Standards
Weiterführende Artikel
Die OWASP LLM Top 10, erklärt: Ein verständlicher Leitfaden für Teams, die KI-Funktionen ausliefern
Ein klarer, praxisnaher Durchgang durch die OWASP Top 10 der Risiken für Anwendungen mit großen Sprachmodellen, mit einer verständlichen Beschreibung und einer konkreten Gegenmaßnahme für jedes Risiko, gerichtet an Teams, die zum ersten Mal KI-Funktionen hinzufügen.
9 Min. Lesezeit
Wie Sie einen Penetrationstest-Bericht (VAPT) lesen: ein verständlicher Leitfaden für Teams
Eine praxisnahe Erläuterung, was in einen Penetrationstest-Bericht gehört, Abschnitt für Abschnitt, damit Gründerinnen und Gründer sowie Engineering-Teams ihn souverän lesen und auf seiner Grundlage handeln können.
8 Min. Lesezeit
SOC 2 vs. ISO 27001: ein ehrlicher Vergleich als Entscheidungshilfe
Ein verständlicher Leitfaden zu den tatsächlichen Unterschieden zwischen SOC 2 und ISO 27001: was jeder Standard ist, wer welchen verlangt, wie die Prüfungen ablaufen, was Sie am Ende in der Hand halten und ob Sie beides machen sollten.
8 Min. Lesezeit