C5-Testat als Schlüssel zur Compliance
Mit dem Digital-Gesetz wurde die Nutzung von Cloud-Diensten im Gesundheitswesen erlaubt – jedoch unter strengen Voraussetzungen. Cloud-Anbieter dürfen ihre Dienste nur bereitstellen, wenn sie ein C5-Testat des Bundesamtes für Sicherheit in der Informationstechnik (BSI) vorlegen. Nutzt ein Cloud-Anbieter die Dienste Dritter, ist zu prüfen, inwieweit ein C5-Testat erforderlich ist.
C5-Testat
Nach § 393 Abs. 3 Nr. 2 des 5. Sozialgesetzbuches (SGB V) müssen Cloud-Anbieter für ihre Cloud-Systeme und ‑Technologien ein C5-Testat vorlegen. Das Testat bestätigt, dass alle relevanten Sicherheits- und Datenschutzanforderungen erfüllt sind. Grundlage des Testats ist der Kriterienkatalog C5:2020 des BSI, der insgesamt 125 Kriterien aus 17 Themenbereichen umfasst und in Basis- und Zusatzanforderungen unterteilt ist.
Wer ist verpflichtet?
Primärer Adressat der Verpflichtung aus dem SGB V sind Cloud-Anbieter. Diese greifen häufig für verschiedene Komponenten auf Dienstleistungen Dritter zurück. Hierbei wird diskutiert, ob ein Cloud-Anbieter ein Testat des Drittanbieters oder zusätzlich ein eigenes Testat vorlegen muss. Auch wenn der Wortlaut der Norm offen formuliert ist und hierzu unterschiedliche Auffassungen vertreten werden, ergibt sich aus dem Sinn und Zweck der Regelung, einen umfassenden Schutz der Daten gewährleisten zu wollen, sowie aus dem C5-Kriterienkatalog, der eigene Vorgaben für den Einsatz von Subdienstleistern enthält, eine Gesamtlösung. Danach müssen sowohl der Cloud-Anbieter als auch die eingesetzten Subdienstleister ein C5-Testat vorweisen.
Umsetzung in der Praxis
Cloud-Anbieter haben zwei Möglichkeiten, ein C5-Testat vorzulegen: Bei der Carve-in Methode integriert der Anbieter die Sicherheitsmaßnahmen des Subdienstleisters in seine eigene C5-Prüfung. Bei der Carve-out Methode werden die Sicherheitsmaßnahmen des Drittanbieters ausgenommen und durch ein Testat des Drittanbieters nachgewiesen. In der Praxis empfiehlt sich die Carve-Out-Methode. Diese ermöglicht es Cloud-Anbietern, sich auf die eigenen Sicherheitsmaßnahmen zu konzentrieren, was Vorteile wie Kosten- und Aufwandsminimierung mit sich bringt.
Mit der C5-Gleichwertigkeitsverordnung können sogar nun auch alternative Sicherheitszertifikate als gleichwertig zum C5-Testat anerkannt werden. Mögliche Alternativen sind etwa ISO/IEC 27001, ISO 27001 (basierend auf dem IT-Grundschutz des BSI) oder Cloud Controls Matrix Version 4.0. Zusätzliche Voraussetzung ist die Vorlage eines detaillierten Maßnahmenplans.
Weitere Anforderung: Drittlandtransfer
Datenverarbeitung. Gesundheitsdaten dürfen nur innerhalb der EU, des Europäischen Wirtschaftsraums, der Schweiz oder in Ländern mit EU-Angemessenheitsbeschluss verarbeitet werden. Für US-amerikanische Cloud-Anbieter ist auch bei Vorliegen des aktuellen Angemessenheitsbeschlusses zusätzlich eine Zertifizierung nach dem Data Privacy Framework Program erforderlich.
Fazit
Cloud-Anbieter benötigen ein eigenes C5-Testat. Zusätzlich ist die C5-Zertifizierung der Subdienstleister zu prüfen. Einen Überblick, welche Anbieter über ein C5-Testat verfügen, bietet die privat geführte Liste „BSI C5 Attestations“.
zurück