ISO 27018 Cloud-Datenschutz
ISO 27018 für Gesundheitswesen: das Zertifikat für Cloud-Anbieter
Wer Patientendaten in der Public Cloud verarbeitet, muss gegenüber Spitälern, Praxen und Laboren belegen, wie er sie schützt. ISO 27018 liefert dafür den Rahmen. Mit Zertify beantworten Sie die Selbstbeurteilung online und erhalten ein öffentlich prüfbares Zertifikat.
01: Nachfrage
Warum Spitäler und Praxen nach ISO 27018 fragen
Ein Softwareanbieter, der Patientendaten in der Cloud verarbeitet, ist Auftragsverarbeiter. Spital, Arztpraxis, Spitex-Organisation oder Labor bleiben für die Daten verantwortlich. Sie müssen nachweisen können, dass ihr Dienstleister sorgfältig damit umgeht.
Die Norm taucht an drei Stellen auf: im Lieferantenfragebogen der Einkaufsabteilung, in der Ausschreibung für eine Praxissoftware oder ein Terminportal und im Kundenaudit nach Vertragsabschluss. Gesundheitsdaten gelten nach DSGVO und Schweizer DSG als besonders schützenswert. Eine Zusicherung im Vertrag genügt den Auftraggebern deshalb oft nicht.
ISO 27018:2019 erweitert ISO 27001 um Datenschutzkontrollen für die Public Cloud. Wer auf die Frage nach der Zertifizierung ein Zertifikat mit Nummer und Prüfseite vorlegt, erspart dem Gegenüber die Rückfragen.
02: Risiken
Welche Prozesse und Risiken die Norm im Gesundheitswesen abdeckt
Die Anforderungen von ISO 27018 lassen sich direkt auf typische Abläufe im Gesundheitswesen übertragen. Die Tabelle zeigt fünf davon.
| Ablauf | Risiko | Anforderung |
|---|---|---|
| Patientenakte in einer Praxissoftware | Daten werden für andere Zwecke genutzt, etwa für Produktanalysen | Zweckbindung: Verarbeitung nur nach Weisung des Kunden |
| Terminbuchung und Erinnerungen | Kontaktdaten bleiben nach Vertragsende gespeichert | Löschung und Rückgabe der Daten |
| Befundübermittlung über eine Laborplattform | Hosting- und Versanddienste sind dem Kunden nicht bekannt | Unterauftragnehmer offenlegen und vertraglich binden |
| Videosprechstunde | Eine Datenpanne wird zu spät gemeldet | Benachrichtigung bei Datenschutzverletzungen |
| Neue Funktion mit Gesundheitsdaten | Risiken werden vor dem Start nicht bewertet | Datenschutz-Folgenabschätzung |
Dazu kommt die Transparenz: Der Kunde muss wissen, wo und durch wen seine Daten verarbeitet werden.
03: Umsetzung
So erfüllen Anbieter im Gesundheitswesen die Anforderungen in der Praxis
Die Norm schreibt keine Produkte vor. Sie verlangt, dass Sie die Kontrollen festlegen, umsetzen und belegen können. Beispiele aus dem Alltag eines Cloud-Anbieters:
- Zweckbindung
- Ein Anbieter von Praxissoftware verarbeitet Patientendaten nur, um den Dienst zu erbringen. Nutzungsdaten für die Produktentwicklung hält er getrennt von Patientendaten. Werbung auf Basis dieser Daten schliesst er aus.
- Löschung und Rückgabe
- Kündigt eine Praxis, erhält sie einen Export in einem dokumentierten Format. Danach löscht der Anbieter die Daten, Sicherungskopien eingeschlossen, innerhalb einer festgelegten Frist.
- Unterauftragnehmer
- Eine Laborplattform führt eine Liste ihrer Rechenzentrums- und Versanddienste. Kunden können sie einsehen und werden vor einem Wechsel informiert.
- Meldung von Datenpannen
- Der Support erkennt einen Vorfall und gibt ihn an die Datenschutzverantwortliche weiter. Sie bewertet ihn, und der Kunde wird so früh informiert, dass das Spital seine eigenen Pflichten erfüllen kann.
- Transparenz
- Der Anbieter beschreibt in den Vertragsunterlagen, an welchen Standorten Patientendaten liegen und welche Rollen Zugriff haben.
- Folgenabschätzung
- Vor der Einführung eines KI-gestützten Befundassistenten bewertet das Team die Risiken für die betroffenen Personen und hält das Ergebnis schriftlich fest.
04: Vorbereitung
Was Sie vor der Selbstbeurteilung klären sollten
Die meisten Antworten stecken bereits in Ihren Verträgen und Prozessen. Fünf Punkte sollten Sie vorab zusammentragen:
Datenflüsse erfassen
Notieren Sie, welche Patientendaten in welches System gelangen und wer darauf zugreift.
Rolle festhalten
Klären Sie je Dienst, ob Sie Auftragsverarbeiter sind, und ob Ihre Verträge die Weisungen des Kunden abbilden.
Unterauftragnehmer auflisten
Halten Sie Hosting, Support-Tools und Versanddienste mit Standort und Vertrag fest.
Löschung und Rückgabe beschreiben
Legen Sie schriftlich fest, wie ein Kunde seine Daten erhält und bis wann sie gelöscht sind.
Meldeweg für Datenpannen definieren
Bestimmen Sie, wer einen Vorfall bewertet und wer den Kunden informiert.
Fehlt einer dieser Punkte, schliessen Sie die Lücke vor der Beurteilung. Die Fragen zeigen Ihnen, wo sie liegt.
05: Zertify
ISO 27018 mit Zertify erhalten
Die Selbstbeurteilung für ISO 27018 umfasst 32 Ja-Nein-Fragen. 11 davon sind zwingende Anforderungen der Norm und müssen alle mit Ja beantwortet werden. Von den übrigen 21 Fragen müssen mindestens 14 mit Ja beantwortet sein. Wer besteht und bezahlt, erhält das Zertifikat innerhalb von 4 Stunden.
Das Zertifikat wird von der G6 Agency AG unter Lizenz des SICE (Swiss Institute of Certification and Education) ausgestellt. Das SICE prüft jede Beurteilung, bevor das Zertifikat ausgegeben wird. Es gibt keinen Audit vor Ort. Jedes Zertifikat lässt sich öffentlich über Nummer und QR-Code auf dem PDF verifizieren. Ihr Auftraggeber kann die Echtheit also selbst prüfen, ohne bei Ihnen nachzufragen.
Der Preis beträgt 799 CHF (799 €) im ersten Jahr, danach 529 CHF (529 €) pro Jahr inklusive dem jährlichen Online-Re-Audit. Das Zertifikat ist 3 Jahre gültig. Die Zahlung läuft als jährliches Abonnement, das Sie im Kundenkonto jederzeit auf das Ende des laufenden Jahres kündigen können. Mit der Kündigung endet das Zertifikat mit dem bezahlten Jahr. Bei Kunden in der Schweiz und in Liechtenstein sind 8,1 % MwSt. enthalten. Zum Kauf brauchen Sie kein Konto.
Setzen Sie mehrere Normen ein, etwa zusätzlich ISO 27001, gilt ein Rabatt von 20 % bei zwei Normen und 30 % ab drei Normen, auch auf die jährliche Gebühr. Verlangt ein Auftraggeber ausdrücklich einen Audit vor Ort durch eine Zertifizierungsstelle, finden Sie den Vergleich der Wege im Leitfaden.
06: Vergleich
Wann Sie die Wege zur Zertifizierung vergleichen sollten
Prüfen Sie vor dem Start die Anforderung in der Ausschreibung oder im Lieferantenfragebogen. Steht dort lediglich ein Zertifikat nach ISO 27018, reicht in vielen Fällen ein prüfbares Zertifikat mit Nummer. Verlangt der Auftraggeber eine bestimmte Art von Zertifizierung, klären Sie das vorher mit dem Einkauf.
Der Leitfaden zu den Zertifizierungswegen und der Leitfaden zur Zertifizierung ohne Audit vor Ort helfen bei dieser Einordnung.
07: FAQ
Häufige Fragen zu ISO 27018 im Gesundheitswesen
08: Leitfaden
Weiterführende Seiten
Prüfen Sie, ob Ihr Unternehmen ISO 27018 erfüllt
Beantworten Sie die 32 Fragen der Selbstbeurteilung und sehen Sie sofort, wo Sie stehen.
Kostenlos und ohne Registrierung.