Sommer, SGB V § 393 Cloud-Einsatz im Gesundheitswesen; V ... / 2.3 Voraussetzungen (Abs. 3)

Rz. 5

Daten dürfen im Cloud-Dienst nur verarbeitet werden, wenn

• nach dem Stand der Technik angemessene technische und organisatorische Maßnahmen zur Gewährleistung der Informationssicherheit ergriffen worden sind,
• ein aktuelles C5-Testat der datenverarbeitenden Stelle vorliegt und
• die im Prüfbericht des Testats enthaltenen, korrespondierenden Kriterien für Kunden umgesetzt sind.

Angemessene technische und organisatorische Maßnahmen (Nr. 1) sind fortlaufend zu prüfen und anzupassen (nach dem Stand der Technik). Welche Maßnahmen angemessen sind, richtet sich nach Abs. 5. Cloud-Systeme (Komponenten, Prozesse) und Cloud-Technik sind nach dem C5-Standard des BSI (§ 384 Nr. 6) unabhängig geprüft und testiert (Nr. 2). Die in der Berichterstattung zur C5-Testierung regelmäßig enthaltenen Auflagen zu Konfiguration und Betrieb der testierten Systeme (Endnutzer-Kontrollen) müssen verpflichtend umgesetzt werden (Nr. 3).

Rz. 6

Der C5-Kriterienkatalog und das jeweilige C5-Testat enthalten auch sog. "Korrespondierende Kriterien für Kunden". Die Aufrechterhaltung der Informationssicherheit eines Cloud-Dienstes obliegt nicht alleine dem Cloud-Anbieter. Auch die Kunden müssen den Mitwirkungspflichten in ihrem Verantwortungsbereich nachkommen. Bei Cloud-Diensten für Infrastruktur sind Kunden typischerweise selbst dafür verantwortlich, z. B. Sicherheitsaktualisierungen für das von Ihnen genutzte Betriebssystem einzuspielen, wohingegen diese Verantwortung bei der Nutzung eines Cloud-Dienstes für eine Software typischerweise beim Cloud-Anbieter liegt. Im C5-Testat können für einzelne C5-Kriterien korrespondierende Kriterien für Kunden festgelegt sein, die aufzeigen sollen, wo potenziell Mitwirkungspflichten bestehen.

Die Leistungserbringer sind zur Einhaltung der korrespondierenden Kriterien für Kunden (auch bezeichnet als Endkunden- oder Endnutzer-Kontrolle) vor dem Einsatz von Cloud-Diensten verpflichtet. Die Möglichkeit zu einer niedrigschwelligen Endkunden-Kontrolle soll vom Prozess her von der datenverarbeitenden Stelle, d. h. dem Cloud-Dienstleister, nachgehalten werden. Denn die Leistungserbringer sollen nicht damit überfordert und belastet werden, den C5-Bericht ihres Cloud-IT-Dienstleisters auszuwerten und aufwändige Endkunden-Kontrollen vorzunehmen.

Die Cloud-IT-Dienstleister selbst werden daher verpflichtet, ihren Prüfbericht des Testats in Form einer einfach verständlichen, möglichst kurzen Kontroll-/Check-/Prüfliste aufzuarbeiten, damit für die Leistungserbringer schnell und einfach erkennbar wird, zu welchen Voraussetzungen die Cloud-Dienste des Anbieters eingesetzt werden können (z. B. Voraussetzungen wie Passwörter, Verschlüsselung, etc.). Diese Prozessänderung und -vereinfachung zugunsten der Leistungserbringer ist geboten, damit die C5-Testierung die volle Wirkung entfalten kann und Unsicherheiten genommen werden (BT-Drs. 20/9788 S. 192 f.).