Sommer, SGB V § 393 Cloud-Einsatz im Gesundheitswesen; V ... / 2.3 Voraussetzungen (Abs. 3)

Rz. 5

Daten dürfen im Cloud-Dienst nur verarbeitet werden, wenn

• nach dem Stand der Technik angemessene technische und organisatorische Maßnahmen zur Gewährleistung der Informationssicherheit ergriffen worden sind,
• ein aktuelles C5-Testat der datenverarbeitenden Stelle vorliegt und
• die im Prüfbericht des Testats enthaltenen, korrespondierenden Kriterien für Kunden umgesetzt sind.

Angemessene technische und organisatorische Maßnahmen (Nr. 1) sind fortlaufend zu prüfen und anzupassen (nach dem Stand der Technik). Welche Maßnahmen angemessen sind, richtet sich nach Abs. 5. Cloud-Systeme (Komponenten, Prozesse) und Cloud-Technik sind nach dem C5-Standard des BSI (§ 384 Nr. 6) unabhängig geprüft und testiert (Nr. 2). Die in der Berichterstattung zur C5-Testierung regelmäßig enthaltenen Auflagen zu Konfiguration und Betrieb der testierten Systeme (Endnutzer-Kontrollen) müssen verpflichtend umgesetzt werden (Nr. 3).

Rz. 6

Der C5-Kriterienkatalog und das jeweilige C5-Testat enthalten auch sog. "Korrespondierende Kriterien für Kunden". Die Aufrechterhaltung der Informationssicherheit eines Cloud-Dienstes obliegt nicht alleine dem Cloud-Anbieter. Auch die Kunden müssen den Mitwirkungspflichten in ihrem Verantwortungsbereich nachkommen. Bei Cloud-Diensten für Infrastruktur sind Kunden typischerweise selbst dafür verantwortlich, z. B. Sicherheitsaktualisierungen für das von Ihnen genutzte Betriebssystem einzuspielen, wohingegen diese Verantwortung bei der Nutzung eines Cloud-Dienstes für eine Software typischerweise beim Cloud-Anbieter liegt. Im C5-Testat können für einzelne C5-Kriterien korrespondierende Kriterien für Kunden festgelegt sein, die aufzeigen sollen, wo potenziell Mitwirkungspflichten bestehen.

Die Leistungserbringer sind zur Einhaltung der korrespondierenden Kriterien fü...