ISO 27001 für Gesundheitswesen: Zertifikat per Online-Selbstbeurteilung

Gesundheitsdaten gehören zu den sensibelsten Daten, die ein Unternehmen halten kann. Ein Verlust trifft Menschen direkt und lässt sich nicht rückgängig machen. Darum prüfen Spitäler, Kliniken, Versicherer und Praxisgruppen ihre Lieferanten genau, bevor Daten fliessen.

Als Softwareanbieter, Labor, Abrechnungsstelle oder IT-Betreuer einer Praxis kennen Sie das Ergebnis: Lieferantenfragebögen mit Dutzenden Fragen zu Zugriffsrechten, Backups und Vorfällen. Jeder Kunde stellt sie anders, und jeder will Antworten, die sich belegen lassen. Ein ISO-27001-Zertifikat beantwortet einen grossen Teil davon mit einem einzigen Dokument.

Auch in Ausschreibungen taucht der Nachweis auf. Manche Ausschreibungen nennen ISO 27001 als Eignungskriterium, andere bewerten es als Pluspunkt. Wer das Zertifikat schon hat, muss nicht erst während der Angebotsfrist damit beginnen.

• Standard ISO 27001:2022 im Überblick

ISO 27001 legt fest, wie ein Informationssicherheits-Managementsystem (ISMS) aufgebaut ist. Den Kern bildet die Risikobewertung. Sie bestimmt, welche Kontrollen aus Anhang A Sie umsetzen und warum. Die Ausgabe 2022 hat die Kontrollen überarbeitet, unter anderem für Cloud-Dienste, Datenschutz und Cyberrisiken.

Patientendossier

Behandlungsdaten dürfen nur die Personen einsehen, die an der Behandlung beteiligt sind. Das Risiko ist unberechtigte Einsicht, etwa durch geteilte Passwörter oder zu weit gefasste Rollen.

Laborwerte und Bilddaten

Befunde werden übermittelt, gespeichert und über Jahre aufbewahrt. Verschlüsselung, Zugriffsprotokolle und eine getestete Wiederherstellung gehören zu den Kontrollen, die Sie hier begründen.

Terminverwaltung und Kommunikation

Terminbestätigungen, Patientenportale und E-Mails enthalten oft mehr Angaben als nötig. Ein falsch adressiertes Schreiben ist ein Sicherheitsvorfall, den das ISMS erfassen muss.

Praxissoftware und Fernwartung

Hersteller greifen für Updates und Support aus der Ferne auf Systeme zu. Sie legen fest, wer wann Zugang erhält und wie dieser Zugang protokolliert wird.

Cloud-Hosting

Wird die Fachapplikation bei einem externen Anbieter betrieben, bewerten Sie dessen Sicherheitsniveau und regeln die Zuständigkeiten vertraglich.

Externe Dienstleister

Abrechnung, Schreibdienste und IT-Support sehen Patientendaten, ohne zu Ihrem Team zu gehören. Das ISMS verlangt, dass Sie diese Beziehungen steuern.

Die Anforderungen des Standards sind abstrakt formuliert. Die folgenden Beispiele zeigen, wie sie im Alltag eines Anbieters oder einer Gesundheitseinrichtung aussehen.

1. 01

   Informationssicherheitsrisiken bewerten

   Ein Anbieter von Praxissoftware listet auf, welche Daten wo liegen, und bewertet für jede Ablage Eintrittswahrscheinlichkeit und Schaden. Die Datenbank mit Behandlungsdaten steht dabei oben auf der Liste.

2. 02

   Sicherheitspolitik und -ziele festlegen

   Ein Labor hält schriftlich fest, wer Befunde einsehen darf und wie schnell die Befunddatenbank nach einem Ausfall wieder laufen muss. Die Geschäftsleitung unterschreibt das Dokument.

3. 03

   Sicherheitskontrollen implementieren

   Rollenbasierter Zugriff auf das Dossiersystem, Zwei-Faktor-Anmeldung für den Fernzugang und verschlüsselte Notebooks für Mitarbeitende, die Patienten zu Hause besuchen.

4. 04

   Erklärung zur Anwendbarkeit erstellen

   Die SoA führt jede Kontrolle auf und begründet, ob sie gilt. Wer keine Fernwartung durch Dritte zulässt, schliesst die entsprechende Kontrolle mit dieser Begründung aus.

5. 05

   Mitarbeitende sensibilisieren und schulen

   Empfang, Pflege und Administration lernen, Phishing-Mails zu erkennen, Bildschirme zu sperren und am Telefon keine Befunde an Unbekannte herauszugeben.

6. 06

   Sicherheitsvorfälle managen

   Ein Befund geht an die falsche Adresse. Der Vorfall wird erfasst, bewertet und die Ursache behoben, zum Beispiel durch eine Adressprüfung im Versandprozess.

Anhang A der Ausgabe 2022 ordnet die Kontrollen in vier Themen. Welche davon für Sie zentral sind, ergibt sich aus Ihrer Risikobewertung. Die Tabelle zeigt, wo Gesundheitsunternehmen häufig ansetzen.

Sie beantworten online 48 Ja/Nein-Fragen zu ISO 27001:2022. 13 davon sind zwingende Anforderungen des Standards und müssen alle mit Ja beantwortet sein. Von den übrigen 35 Fragen brauchen Sie mindestens 24 Ja-Antworten. Ein Konto benötigen Sie weder für die Selbstbeurteilung noch für den Kauf.

Das Zertifikat wird von G6 Agency AG unter Lizenz von SICE (Swiss Institute of Certification and Education) ausgestellt. SICE prüft jede Selbstbeurteilung, bevor das Zertifikat erteilt wird. Nach bestandener Beurteilung und Zahlung erhalten Sie das Zertifikat innerhalb von 4 Stunden.

Es kostet 849 CHF im ersten Jahr, danach 569 CHF pro Jahr inklusive jährlichem Online-Re-Audit. Das Zertifikat gilt 3 Jahre. Auf dem PDF finden Sie Zertifikatsnummer und QR-Code. Ihr Auftraggeber prüft damit auf der öffentlichen Verifizierungsseite, ob das Zertifikat echt ist.

• Kostenlose Selbstbeurteilung starten
• Preise und Abo im Detail
• So funktioniert die Zertifizierung

Beim klassischen Weg prüft eine Zertifizierungsstelle Ihr Unternehmen vor Ort. Das bindet Personal über mehrere Tage und braucht Vorlauf für die Terminplanung. Beim Zertify-Weg entfällt der Vor-Ort-Audit. Die Grundlage ist Ihre Selbstbeurteilung, die jedes Jahr per kurzem Online-Re-Audit bestätigt wird.

Welcher Weg passt, entscheidet in erster Linie Ihr Auftraggeber. Lesen Sie die Ausschreibungsunterlagen oder fragen Sie den Einkauf, welche Art von Nachweis verlangt ist. Für Unternehmen, die einen Lieferantenfragebogen rasch beantworten oder einen ersten Nachweis vorlegen wollen, ist der Online-Weg oft der kürzere.

• Zertifizierungswege vergleichen
• Zertifizierung ohne Vor-Ort-Audit
• ISO für kleine und mittlere Unternehmen