Was ist HIPAA? Wie werden Sie HIPAA-konform?

Der Health Insurance Portability and Accountability Act (HIPAA) ist ein US-Bundesgesetz, das nationale Standards für den Schutz geschützter Gesundheitsinformationen (Protected Health Information, PHI) festlegt und die betroffenen Einrichtungen zur Implementierung administrativer, physischer und technischer Sicherheitsvorkehrungen verpflichtet.

HIPAA verpflichtet die betroffenen Einrichtungen, also Gesundheitsdienstleister, Kostenträger und deren Geschäftspartner, geschützte Gesundheitsdaten durch administrative, physische und technische Sicherheitsvorkehrungen zu schützen. Die Einhaltung der Vorschriften umfasst die Implementierung von Zugriffskontrollen, Protokollierung von Audits, Verschlüsselung bei der Übertragung und Schulung der Mitarbeiter sowie regelmäßige Risikobewertungen, um die Wirksamkeit dieser Sicherheitsvorkehrungen zu gewährleisten.

Wichtige Erkenntnisse

• PHI steht für Protected Health Information (geschützte Gesundheitsinformationen) und nicht für Public Health Information (öffentliche Gesundheitsinformationen). Es umfasst alle individuell identifizierbaren Gesundheitsdaten, die eine betroffene Einrichtung erstellt, empfängt, verwaltet oder übermittelt.
• Zu den erfassten Einrichtungen gehören alle, die Behandlungen durchführen, Zahlungen abwickeln oder den Betrieb des Gesundheitswesens unterstützen, sowie deren Geschäftspartner und Subunternehmer.
• Die Sicherheitsregel des HIPAA unterteilt die Anforderungen in drei Kategorien: physische, administrative und technische Sicherheitsvorkehrungen.
• Technische Sicherheitsvorkehrungen erfordern Zugriffskontrolle, Prüfkontrollen, Integritätskontrollen und Übertragungssicherheit für elektronische Gesundheitsdaten (e-PHI).
• Ein benannter Sicherheitsbeauftragter muss für die Umsetzung der HIPAA-Sicherheitsrichtlinien und -verfahren einer Organisation verantwortlich sein.

Wer gilt als HIPAA-pflichtige Einrichtung?

Als betroffene Einrichtung gilt jede Person, die Behandlungen durchführt, Zahlungen entgegennimmt oder im Gesundheitswesen tätig ist, einschließlich ihrer Geschäftspartner. Dies umfasst Krankenhäuser, Versicherer, Abrechnungsunternehmen und alle Dienstleister, die im Auftrag einer betroffenen Einrichtung geschützte Gesundheitsdaten (PHI) verarbeiten. Alle diese Einrichtungen müssen eigenständig die Bestimmungen des HIPAA einhalten.

Welche physischen Sicherheitsvorkehrungen schreibt HIPAA vor?

• Zugang und Kontrolle der Anlagen: Beschränkung des physischen Zugangs zu den Anlagen bei gleichzeitiger Gewährleistung des Zugangs für autorisiertes Personal.
• Sicherheit von Arbeitsplätzen und Geräten: Regelungen für die ordnungsgemäße Nutzung von Arbeitsplätzen und elektronischen Medien sowie Richtlinien für die Übertragung, Entfernung, Entsorgung und Wiederverwendung dieser Medien.

Welche administrativen Sicherheitsvorkehrungen schreibt HIPAA vor?

• Sicherheitsmanagementprozess: Risiken für PHI identifizieren und analysieren, dann Maßnahmen ergreifen, um diese auf ein angemessenes Niveau zu reduzieren.
• Sicherheitspersonal: Benennen Sie einen Verantwortlichen für die Entwicklung und Umsetzung der Sicherheitsrichtlinien.
• Informationszugriffsmanagement: Zugriff auf geschützte Gesundheitsdaten (PHI) nur dann genehmigen, wenn dies für die Rolle der Person angemessen ist.
• Mitarbeiterschulung: Überwachung und Schulung aller Personen, die mit PHI arbeiten.
• Evaluierung: Regelmäßig wird geprüft, inwieweit die Richtlinien den Anforderungen der Sicherheitsregel entsprechen.

Welche technischen Sicherheitsvorkehrungen schreibt HIPAA vor?

Sichern	Anforderung
Zugriffskontrolle	Nur autorisierte Personen haben Zugriff auf elektronische Gesundheitsdaten (e-PHI).
Prüfungskontrollen	Hardware-, Software- oder Verfahrensmechanismen erfassen und untersuchen den Zugriff auf elektronische Gesundheitsdaten.
Integritätskontrollen	Die Richtlinien bestätigen, dass elektronische Gesundheitsdaten nicht unsachgemäß verändert oder vernichtet wurden.
Übertragungssicherheit	Technische Maßnahmen schützen elektronische Gesundheitsdaten (ePHI) während der Übertragung über ein elektronisches Netzwerk, typischerweise durch TLS-Verschlüsselung.

Wie Verschlüsselungsberatung hilft

Die Compliance-Beratungsdienste und Cloud-Datenschutzdienste von Encryption Consulting unterstützen betroffene Einrichtungen und Geschäftspartner bei der Verschlüsselung von geschützten Gesundheitsdaten (PHI) im Ruhezustand und während der Übertragung, der Durchsetzung von Zugriffskontrollen und der Dokumentation der technischen Sicherheitsvorkehrungen gemäß HIPAA-Sicherheitsrichtlinie. Die Dienstleistungen basieren auf ISO/IEC 27001:2022- und SOC 2-zertifizierten Verfahren.

Häufig gestellte Fragen

Wofür steht PHI?

PHI steht für Protected Health Information (geschützte Gesundheitsinformationen): individuell identifizierbare Gesundheitsdaten, die von einer Einrichtung oder einem Geschäftspartner gemäß HIPAA erstellt, empfangen, verwaltet oder übermittelt werden. Die Datenschutzbestimmungen des HIPAA gewährleisten den Schutz dieser Daten auf Bundesebene und erlauben gleichzeitig die für die Behandlung und andere zulässige Zwecke erforderliche Weitergabe.

Wer muss die HIPAA-Bestimmungen einhalten?

Verantwortliche Einrichtungen, d. h. alle, die Behandlungen durchführen, Zahlungen abwickeln oder den Betrieb des Gesundheitswesens unterstützen, müssen die Bestimmungen des HIPAA einhalten, ebenso wie ihre Geschäftspartner und deren Subunternehmer. Den Status als verantwortliche Einrichtung können Sie den offiziellen Richtlinien der CMS entnehmen.

Welche drei Kategorien von Schutzmaßnahmen umfasst HIPAA?

Die Sicherheitsregel des HIPAA gliedert die Anforderungen in physische Schutzmaßnahmen (Sicherheit von Einrichtungen und Geräten), administrative Schutzmaßnahmen (Risikomanagement und Mitarbeiterschulung) und technische Schutzmaßnahmen (Zugriffskontrolle, Auditkontrollen, Integritätskontrollen und Übertragungssicherheit).

Ist nach HIPAA eine Verschlüsselung erforderlich?

Die Sicherheitsregel des HIPAA verlangt Übertragungssicherheit zum Schutz von e-PHI über ein elektronisches Netzwerk, und Verschlüsselung ist der Standardweg, mit dem Organisationen diese Anforderung erfüllen. Allerdings behandelt HIPAA dies als eine adressierbare und nicht als eine streng vorgeschriebene technische Spezifikation, was bedeutet, dass sie implementiert werden muss, es sei denn, es ist eine dokumentierte gleichwertige Alternative vorhanden.

Schützen Sie PHI in Ihrer gesamten Organisation

Gehen Sie den nächsten Schritt

Encryption Consulting unterstützt Organisationen im Gesundheitswesen und deren Geschäftspartner bei der Verschlüsselung von Patientendaten im Ruhezustand und während der Übertragung sowie bei der Dokumentation der von der HIPAA-Sicherheitsrichtlinie geforderten Sicherheitsvorkehrungen. Vereinfachen Sie Ihren Compliance-Prozess mit unseren Compliance-Beratungsdiensten.