Beschaffung & Vergaberecht
Beschaffung & Vergaberecht
Anlage 1 der IT-Sicherheitsrichtlinie: welche Anforderungen an der Hardware hängen
|
4
Lesezeit
Die IT-Sicherheitsrichtlinie nach § 75b SGB V wird in Praxen meist als Organisationsthema behandelt: Schulungen, Passwortregeln, Verantwortlichkeiten. Ein erheblicher Teil von Anlage 1 lässt sich aber gar nicht organisatorisch lösen, sondern nur mit dem passenden Gerät.
Wer das beim Kauf mitdenkt, spart sich später Nachrüstung, Sonderkonfiguration und Diskussionen mit dem Praxis-IT-Dienstleister.
Wofür Anlage 1 gilt
Anlage 1 enthält die Basisanforderungen und gilt für Praxen mit bis zu fünf ständig mit der Datenverarbeitung betrauten Personen. Die Anlagen 2 bis 5 legen zusätzliche Anforderungen für mittlere und große Praxen fest, für medizinische Großgeräte und für dezentrale Komponenten der Telematikinfrastruktur.
Die Anforderungen sind nummeriert und in Zielobjekte gegliedert, von Personal über Netzwerksicherheit und Endgeräte bis zu Wechseldatenträgern und Cloud-Anwendungen. Das macht die Prüfung überschaubar, sobald man die hardwarenahen Punkte herauszieht.
Netzübergang und Netzdokumentation
Anforderung 11 verlangt, den Übergang zu anderen Netzen und insbesondere zum Internet durch eine Firewall zu schützen. Die KBV empfiehlt ausdrücklich eine Hardware-Firewall, die nach den eigenen Anforderungen konfiguriert und gewartet wird.
Ein Router mit aktivierter Firewall-Funktion aus dem Consumer-Segment erfüllt diesen Punkt in der Praxis selten überzeugend, weil sich eingehende wie ausgehende Verbindungen dort kaum sauber auf erlaubte Ziele und Protokolle begrenzen lassen.
Anforderung 12 verlangt zusätzlich einen Netzplan mit der logischen Struktur, Subnetzen, Zonierung und Segmentierung. Anforderung 13 fordert, alle Default-Passwörter auf Netzkomponenten zu ändern, mit mindestens zwölf Zeichen und drei verschiedenen Zeichenarten.
Geräte ohne Updates: ausmustern oder trennen
Die Anforderungen 16 und 17 sind die härtesten in Anlage 1. Hardware, Betriebssysteme, Anwendungen und Dienste ohne Sicherheitsupdates müssen identifiziert und anschließend ausgemustert oder in einem eigenen Netzwerksegment separiert betrieben werden.
Das betrifft nicht nur Praxisrechner. Ein Etikettendrucker mit Netzwerkanschluss, ein älteres Anmeldeterminal oder ein Bildschirm mit eigener Firmware fallen unter dieselbe Regel, sobald der Hersteller den Support beendet hat.
Was Anlage 1 vom Arbeitsplatz verlangt
Anforderung 18 sieht vor, Mikrofon und Kamera am Rechner grundsätzlich deaktiviert zu lassen und nur bei Bedarf direkt am Gerät zu aktivieren. Bei der Anschaffung soll darauf geachtet werden, dass die Kamera abgedeckt und das Mikrofon ausgeschaltet werden kann.
Das ist ein reines Kaufkriterium. Ein Monitor mit mechanischer Kameraabdeckung und ein Gerät mit Aktivitätsdiode erfüllen es ab Werk, ein nachträglicher Klebestreifen ist die schlechtere Lösung.
Anforderung 19 verlangt, den Zugang nach Ende der Nutzung zu sperren oder sich abzumelden. In einem Behandlungszimmer mit häufigem Personenwechsel ist das eher eine Frage der Eingabegeräte und der Sperrzeiten als der Disziplin.
Die Anforderungen 20 bis 25 betreffen Virenschutz und Datensicherung, einschließlich Schutz der Sicherung vor unbefugtem Zugriff, Festlegung der Sicherungsart und Rücksicherungstest. Die KBV nennt als Beispiel die 3-2-1-Regel: drei Kopien auf zwei unterschiedlichen Medien, davon eine außer Haus.
Für Windows-Arbeitsplätze kommt Anforderung 27 hinzu, die Synchronisierung von Nutzerdaten mit Microsoft-Cloud-Diensten vollständig zu deaktivieren, samt Deinstallation von OneDrive.
Tablets und Smartphones in der Praxis
Die Anforderungen 30 bis 33 gelten für jedes dienstlich genutzte mobile Gerät. Verlangt werden SIM-PIN, eine dokumentierte sichere Grundkonfiguration mit deaktivierten, nicht benötigten Schnittstellen und ein angemessen komplexer Gerätesperrcode.
Konkret gefordert sind außerdem eine vorgeschriebene Bildschirmsperre, keine Anzeige vertraulicher Informationen auf dem Sperrbildschirm, eine kurze automatische Sperrzeit und restriktive Datenschutzeinstellungen für Kamera, Mikrofon sowie Ortungs- und Gesundheitsdaten.
Das trifft direkt auf das Anamnese-Tablet im Wartezimmer. Ein Gerät, das für die Selbstauskunft von Patientinnen und Patienten genutzt wird, braucht neben der Diebstahlsicherung eine Konfiguration, die zwischen zwei Nutzungen keinen Rest an Daten sichtbar lässt.
Das Bundle Wartezimmer & Anamnese ist genau für diesen Einsatz zusammengestellt und enthält ab 641,60 Euro das iPad mit Diebstahlsicherung, Schutzhülle und Etikettendrucker. Die Konfiguration nach Anforderung 31 bis 33 bleibt Aufgabe der Praxis oder des IT-Dienstleisters.
Wechseldatenträger, der unterschätzte Punkt
Die Anforderungen 36 bis 39 regeln USB-Sticks, externe Festplatten und Versanddatenträger. Jeder Wechseldatenträger ist bei jeder Verwendung mit einem aktuellen Schutzprogramm zu prüfen und nach der Verwendung sicher und vollständig zu löschen.
Beim Versand soll die Kennzeichnung eindeutig sein, ohne für Dritte auf den Inhalt schließen zu lassen. Die KBV nennt als Beispiel eine Kennung statt einer Beschriftung wie "onkologischer Befund Patient XY".
Für Cloud-Anwendungen gilt Anforderung 50: Werden Sozial- oder Gesundheitsdaten in der Cloud verarbeitet, muss der Anbieter über ein aktuelles C5-Testat nach § 393 SGB V in Verbindung mit § 384 SGB V verfügen.
Wie Sie den Hardware-Teil in einem Durchgang erledigen
Gehen Sie raumweise vor, nicht anforderungsweise. Empfang, Behandlungszimmer, Wartezimmer und Telemedizin haben jeweils andere Anforderungen, und in dieser Reihenfolge lässt sich der Bestand in zwei Stunden erfassen.
Die vier Bundles auf praxisdigital.shop sind nach genau dieser Logik geschnitten, von "Empfang & Anmeldung" ab 2.242,38 Euro über "Behandlungszimmer" ab 1.499,40 Euro bis "Telemedizin & Videosprechstunde" ab 2.269,91 Euro. Eine Übersicht der Zusammenstellungen finden Sie unter Bundles.
Nächster Schritt
Nehmen Sie sich die nummerierte Liste der KBV und markieren Sie die Anforderungen, die an einem Gerät hängen. Alles, was übrig bleibt, ist Organisation und lässt sich mit den Musterdokumenten der KBV erledigen.
Für die Positionen, die einen Austausch bedeuten, stellen Sie den Warenkorb raumweise im Shop zusammen. Die Lieferung erfolgt bundesweit in drei bis sieben Tagen, bei Praxisausfall steht der Vor-Ort-Service bereit.
Quellen: KBV: Anlage 1, Anforderungen für Praxen, KBV: IT-Sicherheit in der Praxis, KBV: IT-Sicherheitsrichtlinie für Praxen mit neuen Anforderungen, BSI: Hinweise zur IT-Sicherheitsrichtlinie nach § 75b SGB V, § 75b SGB V im Volltext. Redaktion: GFKD AG.
Die IT-Sicherheitsrichtlinie nach § 75b SGB V wird in Praxen meist als Organisationsthema behandelt: Schulungen, Passwortregeln, Verantwortlichkeiten. Ein erheblicher Teil von Anlage 1 lässt sich aber gar nicht organisatorisch lösen, sondern nur mit dem passenden Gerät.
Wer das beim Kauf mitdenkt, spart sich später Nachrüstung, Sonderkonfiguration und Diskussionen mit dem Praxis-IT-Dienstleister.
Wofür Anlage 1 gilt
Anlage 1 enthält die Basisanforderungen und gilt für Praxen mit bis zu fünf ständig mit der Datenverarbeitung betrauten Personen. Die Anlagen 2 bis 5 legen zusätzliche Anforderungen für mittlere und große Praxen fest, für medizinische Großgeräte und für dezentrale Komponenten der Telematikinfrastruktur.
Die Anforderungen sind nummeriert und in Zielobjekte gegliedert, von Personal über Netzwerksicherheit und Endgeräte bis zu Wechseldatenträgern und Cloud-Anwendungen. Das macht die Prüfung überschaubar, sobald man die hardwarenahen Punkte herauszieht.
Netzübergang und Netzdokumentation
Anforderung 11 verlangt, den Übergang zu anderen Netzen und insbesondere zum Internet durch eine Firewall zu schützen. Die KBV empfiehlt ausdrücklich eine Hardware-Firewall, die nach den eigenen Anforderungen konfiguriert und gewartet wird.
Ein Router mit aktivierter Firewall-Funktion aus dem Consumer-Segment erfüllt diesen Punkt in der Praxis selten überzeugend, weil sich eingehende wie ausgehende Verbindungen dort kaum sauber auf erlaubte Ziele und Protokolle begrenzen lassen.
Anforderung 12 verlangt zusätzlich einen Netzplan mit der logischen Struktur, Subnetzen, Zonierung und Segmentierung. Anforderung 13 fordert, alle Default-Passwörter auf Netzkomponenten zu ändern, mit mindestens zwölf Zeichen und drei verschiedenen Zeichenarten.
Geräte ohne Updates: ausmustern oder trennen
Die Anforderungen 16 und 17 sind die härtesten in Anlage 1. Hardware, Betriebssysteme, Anwendungen und Dienste ohne Sicherheitsupdates müssen identifiziert und anschließend ausgemustert oder in einem eigenen Netzwerksegment separiert betrieben werden.
Das betrifft nicht nur Praxisrechner. Ein Etikettendrucker mit Netzwerkanschluss, ein älteres Anmeldeterminal oder ein Bildschirm mit eigener Firmware fallen unter dieselbe Regel, sobald der Hersteller den Support beendet hat.
Was Anlage 1 vom Arbeitsplatz verlangt
Anforderung 18 sieht vor, Mikrofon und Kamera am Rechner grundsätzlich deaktiviert zu lassen und nur bei Bedarf direkt am Gerät zu aktivieren. Bei der Anschaffung soll darauf geachtet werden, dass die Kamera abgedeckt und das Mikrofon ausgeschaltet werden kann.
Das ist ein reines Kaufkriterium. Ein Monitor mit mechanischer Kameraabdeckung und ein Gerät mit Aktivitätsdiode erfüllen es ab Werk, ein nachträglicher Klebestreifen ist die schlechtere Lösung.
Anforderung 19 verlangt, den Zugang nach Ende der Nutzung zu sperren oder sich abzumelden. In einem Behandlungszimmer mit häufigem Personenwechsel ist das eher eine Frage der Eingabegeräte und der Sperrzeiten als der Disziplin.
Die Anforderungen 20 bis 25 betreffen Virenschutz und Datensicherung, einschließlich Schutz der Sicherung vor unbefugtem Zugriff, Festlegung der Sicherungsart und Rücksicherungstest. Die KBV nennt als Beispiel die 3-2-1-Regel: drei Kopien auf zwei unterschiedlichen Medien, davon eine außer Haus.
Für Windows-Arbeitsplätze kommt Anforderung 27 hinzu, die Synchronisierung von Nutzerdaten mit Microsoft-Cloud-Diensten vollständig zu deaktivieren, samt Deinstallation von OneDrive.
Tablets und Smartphones in der Praxis
Die Anforderungen 30 bis 33 gelten für jedes dienstlich genutzte mobile Gerät. Verlangt werden SIM-PIN, eine dokumentierte sichere Grundkonfiguration mit deaktivierten, nicht benötigten Schnittstellen und ein angemessen komplexer Gerätesperrcode.
Konkret gefordert sind außerdem eine vorgeschriebene Bildschirmsperre, keine Anzeige vertraulicher Informationen auf dem Sperrbildschirm, eine kurze automatische Sperrzeit und restriktive Datenschutzeinstellungen für Kamera, Mikrofon sowie Ortungs- und Gesundheitsdaten.
Das trifft direkt auf das Anamnese-Tablet im Wartezimmer. Ein Gerät, das für die Selbstauskunft von Patientinnen und Patienten genutzt wird, braucht neben der Diebstahlsicherung eine Konfiguration, die zwischen zwei Nutzungen keinen Rest an Daten sichtbar lässt.
Das Bundle Wartezimmer & Anamnese ist genau für diesen Einsatz zusammengestellt und enthält ab 641,60 Euro das iPad mit Diebstahlsicherung, Schutzhülle und Etikettendrucker. Die Konfiguration nach Anforderung 31 bis 33 bleibt Aufgabe der Praxis oder des IT-Dienstleisters.
Wechseldatenträger, der unterschätzte Punkt
Die Anforderungen 36 bis 39 regeln USB-Sticks, externe Festplatten und Versanddatenträger. Jeder Wechseldatenträger ist bei jeder Verwendung mit einem aktuellen Schutzprogramm zu prüfen und nach der Verwendung sicher und vollständig zu löschen.
Beim Versand soll die Kennzeichnung eindeutig sein, ohne für Dritte auf den Inhalt schließen zu lassen. Die KBV nennt als Beispiel eine Kennung statt einer Beschriftung wie "onkologischer Befund Patient XY".
Für Cloud-Anwendungen gilt Anforderung 50: Werden Sozial- oder Gesundheitsdaten in der Cloud verarbeitet, muss der Anbieter über ein aktuelles C5-Testat nach § 393 SGB V in Verbindung mit § 384 SGB V verfügen.
Wie Sie den Hardware-Teil in einem Durchgang erledigen
Gehen Sie raumweise vor, nicht anforderungsweise. Empfang, Behandlungszimmer, Wartezimmer und Telemedizin haben jeweils andere Anforderungen, und in dieser Reihenfolge lässt sich der Bestand in zwei Stunden erfassen.
Die vier Bundles auf praxisdigital.shop sind nach genau dieser Logik geschnitten, von "Empfang & Anmeldung" ab 2.242,38 Euro über "Behandlungszimmer" ab 1.499,40 Euro bis "Telemedizin & Videosprechstunde" ab 2.269,91 Euro. Eine Übersicht der Zusammenstellungen finden Sie unter Bundles.
Nächster Schritt
Nehmen Sie sich die nummerierte Liste der KBV und markieren Sie die Anforderungen, die an einem Gerät hängen. Alles, was übrig bleibt, ist Organisation und lässt sich mit den Musterdokumenten der KBV erledigen.
Für die Positionen, die einen Austausch bedeuten, stellen Sie den Warenkorb raumweise im Shop zusammen. Die Lieferung erfolgt bundesweit in drei bis sieben Tagen, bei Praxisausfall steht der Vor-Ort-Service bereit.
Quellen: KBV: Anlage 1, Anforderungen für Praxen, KBV: IT-Sicherheit in der Praxis, KBV: IT-Sicherheitsrichtlinie für Praxen mit neuen Anforderungen, BSI: Hinweise zur IT-Sicherheitsrichtlinie nach § 75b SGB V, § 75b SGB V im Volltext. Redaktion: GFKD AG.
