Fachbeiträge & Kommentare zu IT-Sicherheit

Blattert, Strategien gegen Cyberangriffe und Stärkung der IT-Sicherheit, StuB 1/2024, S. 40.mehr

Arbeiten mit einer offenen IT-Struktur, E-Mail-Verkehr, Online-Banking, Kundenportale, Internetrecherche etc. machen das Unternehmen angreifbar (Cyber-Attacke auf Hard- und Software, Malware, Cyber-Hacking und Pishing). Eine wirksame IT-Sicherheit ist kosten- und personalintensiv und stellt kleinere und mittlere Unternehmen vor Finanzierungsprobleme. Neben Eigenschäden sowie ...mehr

Ein Fachinformatiker kann praktisch in allen Branchen eingesetzt werden. Entsprechend seiner Ausbildung in den Fachrichtungen Anwendungsentwicklung und Systemintegration ist das Aufgabenspektrum von Fachinformatikern wie folgt zu differenzieren: Generelle Aufgaben: Analyse von Anforderungen des Kunden, themenorientierte Beratung und Schulung der Kunden über Nutzungsmöglichkeite...mehr

0 Rechtsentwicklung Rz. 1 Die Vorschrift wurde durch Art. 1 Nr. 31 des Gesetzes zum Schutz elektronischer Patientendaten in der Telematikinfrastruktur (Patientendaten-Schutz-Gesetz – PDSG) v. 14.10.2020 (BGBl. I S. 2115) mit Wirkung zum 20.10.2020 zunächst mit der Nummer 391 in das SGB V eingefügt. Das PDSG hat mit den neuen Kapiteln 11 und 12 die bisherigen Regelungen zur Te...mehr

0 Rechtsentwicklung Rz. 1 Art. 1 Nr. 90 des Gesetzes zur Beschleunigung der Digitalisierung des Gesundheitswesens (Digital-Gesetz – DigiG) v. 22.3.2024 (BGBl. I Nr. 101) hat die Vorschrift mit Wirkung zum 26.3.2024 in das SGB eingefügt. Die Vorschrift basiert auf § 75b (alt). Neben einer redaktionellen Überarbeitung wird die Security-Awareness im Gesundheitswesen gestärkt, in...mehr

0 Rechtsentwicklung Rz. 1 Die Vorschrift wurde durch Art. 1 Nr. 31 des Gesetzes zum Schutz elektronischer Patientendaten in der Telematikinfrastruktur (Patientendaten-Schutz-Gesetz – PDSG) v. 14.10.2020 (BGBl. I S. 2115) mit Wirkung zum 20.10.2020 zunächst mit der Nummer 390 in das SGB V eingefügt. Das PDSG hat mit den neuen Kapiteln 11 und 12 die bisherigen Regelungen zur Te...mehr

Rz. 5 Alle Krankenhäuser (§§ 197 ff.) sind verpflichtet, nach dem Stand der Technik angemessene organisatorische und technische Vorkehrungen zur Vermeidung von Störungen der Verfügbarkeit, Integrität und Vertraulichkeit ihrer informationstechnischen Systeme, Komponenten oder Prozesse zu treffen, die für die Funktionsfähigkeit des jeweiligen Krankenhauses und den Schutzbedarf...mehr

Rz. 5 Alle Krankenkassen (§ 4) sind verpflichtet, nach dem Stand der Technik angemessene organisatorische und technische Vorkehrungen zur Vermeidung von Störungen der Verfügbarkeit, Integrität und Vertraulichkeit ihrer informationstechnischen Systeme, Komponenten oder Prozesse zu treffen, die für die Funktionsfähigkeit der jeweiligen Krankenkasse und die Sicherheit der verar...mehr

Rz. 6 Vorkehrungen nach Abs. 1 sind auch verpflichtende Maßnahmen zur Steigerung der Security-Awareness von Mitarbeitenden. Im alltäglichen Umgang mit IT-Systemen ist Awareness eine elementare Sicherheitsmaßnahme (BSI, www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Informationen-und-Empfehlungen/Empfehlungen-nach-Angriffszielen/Faktor-Mensch/Awareness/awareness_nod...mehr

Rz. 7 Die in der Richtlinie festzulegenden Anforderungen müssen geeignet sein, die primären Schutzziele der Informationssicherheit (Verfügbarkeit, Integrität und Vertraulichkeit) zu gewährleisten und Störungen der informationstechnischen Systeme, Komponenten oder Prozesse der vertragsärztlichen und vertragszahnärztlichen Leistungserbringer zu vermeiden. Dabei sind das Gefährdun...mehr

Rz. 5 Zum Pflichtinhalt der Richtlinie gehören aufgrund der Formulierung "umfasst insbesondere" Anforderungen an die sichere Installation und Wartung von Komponenten und Diensten der Telematikinfrastruktur, die in der vertragsärztlichen und -zahnärztlichen Versorgung eingesetzt werden, und Maßnahmen zur Sensibilisierung von Mitarbeiterinnen und Mitarbeitern zur Informationssic...mehr

Rz. 4 Die fortschreitende Digitalisierung eröffnet neue Potenziale und Synergien entlang der medizinischen Versorgungsprozesse im Gesundheitswesen (BT-Drs. 20/9048 S. 149). Gleichzeitig wächst das Bedrohungspotenzial durch zielgerichtete, technologisch ausgereifte und komplexe Angriffe. Solche Cyberangriffe richten sich nicht nur gegen die unmittelbaren Leistungserbringer, s...mehr

Rz. 3 Die KBV legen in einer für die Betreiber vertragsärztlicher, vertragspsychotherapeutischer und vertragszahnärztlicher Praxen sowie Medizinischer Versorgungszentren verbindlichen Richtlinie die Anforderungen an die IT-Sicherheit in der vertragsärztlichen und -zahnärztlichen Versorgung fest. Die KBV sind damit ermächtigt und verpflichtet, entsprechend zu beschließen und ...mehr

Rz. 2 Die Kassenärztlichen Bundesvereinigungen der Ärzte und Zahnärzte (KBV) legen in einer verbindlichen Richtlinie die Anforderungen zur Gewährleistung der IT-Sicherheit in der vertragsärztlichen und vertragszahnärztlichen Versorgung fest (www.kbv.de/html/it-sicherheit.php; abgerufen: 18.10.2024). Die Richtlinie begegnet der aktuellen Situation und Entwicklung, in der info...mehr

2.1 IT-Sicherheit (Abs. 1) Rz. 5 Alle Krankenhäuser (§§ 197 ff.) sind verpflichtet, nach dem Stand der Technik angemessene organisatorische und technische Vorkehrungen zur Vermeidung von Störungen der Verfügbarkeit, Integrität und Vertraulichkeit ihrer informationstechnischen Systeme, Komponenten oder Prozesse zu treffen, die für die Funktionsfähigkeit des jeweiligen Krankenh...mehr

Rz. 13 Krankenkassen (§ 4) gehören zur kritischen Infrastruktur (§ 10 BSI-Gesetz i. V. m. § 7 Abs. 6, 7 BSI-Kritisverordnung; Ausnahmen: kleinere Krankenkassen, die den Schwellenwert von 500.000 Versicherten nicht erreichen). Sie sind nach § 8a BSI-Gesetz verpflichtet, Sicherheitsstandards einzuhalten. Kleinere Krankenkassen oder ausgelagerte Betriebe oder Betriebsteile unte...mehr

Rz. 9 Krankenhäuser (§ 108) gehören zur kritischen Infrastruktur (§ 10 BSI-Gesetz i. V. m. § 6 BSI-Kritisverordnung; Ausnahmen: kleinere Krankenhäuser, die den Schwellenwert von 30.000 stationären Fallzahlen jährlich nicht erreichen). Ihre Betreiber sind nach § 8a BSI-Gesetz verpflichtet, Sicherheitsstandards einzuhalten. Kleinere Krankenhäuser oder ausgelagerte Betriebe ode...mehr

Rz. 8 Die Krankenkassen sind verpflichtet, den branchenspezifischen Sicherheitsstandard für die informationstechnische Sicherheit der Krankenkassen in der jeweils gültigen Fassung anwenden (Rz. 6). Die Vorschrift lässt auch andere Lösungen zu. Die Eignung des Sicherheitsstandards wird vom BSI festgestellt (§ 8a Abs. 2 des BSI-Gesetz).mehr

Rz. 14 Bundesamt für Sicherheit in der Informationstechnik, Hinweise zur IT-Sicherheitsrichtlinie nach § 75b SGB V.mehr

Rz. 14 Sollten sich Krankenkassen bei ihren Aufgaben Dritter bedienen, sind für deren informationstechnische Systeme vertragliche Vereinbarungen zu treffen, die eine verbindliche Umsetzung des B3S-GKV/PV (Rz. 6) durch diese Dienstleister sicherstellt.mehr

Rz. 10 Bundesamt für Sicherheit in der Informationstechnik, Orientierungshilfe zum Einsatz von Systemen zur Angriffserkennung, www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/KRITIS/oh-sza.html. DKG, Informationssicherheit im Krankenhaus – Branchenspezifischer Sicherheitsstandard (B3S).mehr

2.1 Richtlinie (Abs. 1) Rz. 3 Die KBV legen in einer für die Betreiber vertragsärztlicher, vertragspsychotherapeutischer und vertragszahnärztlicher Praxen sowie Medizinischer Versorgungszentren verbindlichen Richtlinie die Anforderungen an die IT-Sicherheit in der vertragsärztlichen und -zahnärztlichen Versorgung fest. Die KBV sind damit ermächtigt und verpflichtet, entsprech...mehr

Rz. 1 Art. 1 Nr. 90 des Gesetzes zur Beschleunigung der Digitalisierung des Gesundheitswesens (Digital-Gesetz – DigiG) v. 22.3.2024 (BGBl. I Nr. 101) hat die Vorschrift mit Wirkung zum 26.3.2024 in das SGB eingefügt. Die Vorschrift basiert auf § 75b (alt). Neben einer redaktionellen Überarbeitung wird die Security-Awareness im Gesundheitswesen gestärkt, indem Mitarbeitende f...mehr

2.1 IT-Sicherheit (Abs. 1) Rz. 5 Alle Krankenkassen (§ 4) sind verpflichtet, nach dem Stand der Technik angemessene organisatorische und technische Vorkehrungen zur Vermeidung von Störungen der Verfügbarkeit, Integrität und Vertraulichkeit ihrer informationstechnischen Systeme, Komponenten oder Prozesse zu treffen, die für die Funktionsfähigkeit der jeweiligen Krankenkasse un...mehr

Rz. 11 Die informationstechnischen Systeme der Ärzte, Psychotherapeuten und Zahnärzte (Praxisinformationssysteme, PIS) werden überwiegend von Dienstleistern hergestellt und gewartet. Die KBV sind verpflichtet, die Mitarbeitenden der Dienstleister zu zertifizieren (Satz 1, www.kbv.de/html/it-sicherheit.php; abgerufen: 18.10.2024). Das Zertifikat ist zu beantragen (www.kbv.de/...mehr

Rz. 10 Die Richtlinie ist für die an der vertragsärztlichen und vertragszahnärztlichen Versorgung teilnehmenden Leistungserbringer verbindlich (Satz 1). Die Regelung erfasst auch vertragspsychotherapeutische Leistungserbringer oder Medizinische Versorgungszentren. Die Richtlinie ist nicht für die ambulante vertragsärztliche und vertragszahnärztliche Versorgung im Krankenhaus...mehr

Rz. 8 Die Krankenhäuser können die Verpflichtungen nach den Abs. 1 und 2 insbesondere erfüllen, indem sie einen branchenspezifischen Sicherheitsstandard für die informationstechnische Sicherheit der Gesundheitsversorgung im Krankenhaus in der jeweils gültigen Fassung anwenden. Dessen Eignung muss vom BSI nach § 8a Abs. 2 BSI-Gesetz festgestellt werden. Einen entsprechenden I...mehr

Rz. 9 Die Krankenkassen wirken verpflichtend in einem gemeinsamen bestehenden oder zu schaffenden Branchenarbeitskreis an der Entwicklung des branchenspezifischen Sicherheitsstandards für die informationstechnische Sicherheit der Krankenkassen (Abs. 3) mit (Satz 1). Sie werden im Arbeitskreis durch ihre Verbände und den Spitzenverband Bund der Krankenkassen (GKV-Spitzenverba...mehr

Rz. 1 Die Vorschrift wurde durch Art. 1 Nr. 31 des Gesetzes zum Schutz elektronischer Patientendaten in der Telematikinfrastruktur (Patientendaten-Schutz-Gesetz – PDSG) v. 14.10.2020 (BGBl. I S. 2115) mit Wirkung zum 20.10.2020 zunächst mit der Nummer 390 in das SGB V eingefügt. Das PDSG hat mit den neuen Kapiteln 11 und 12 die bisherigen Regelungen zur Telematikinfrastruktu...mehr

Rz. 4 Die Norm stellt alle Krankenhäuser unter ein IT-Sicherheitsregime, um die Sicherheit der informationstechnischen Systeme in den Krankenhäusern dauerhaft zu gewährleisten. Sie dient letztlich der Patientensicherheit. Die Deutsche Krankenhausgesellschaft (DKG) unterstützt diesen Prozess durch einen branchenspezifischen Sicherheitsstandard (B3S) i. S. d. § 8a BSI-Gesetz (...mehr

Rz. 9 Die in der Richtlinie festzulegenden Anforderungen sowie deren Anpassungen erfolgen im Einvernehmen (Zustimmung) mit dem BSI sowie im Benehmen (Anhörung, Erwägung) mit dem Bundesbeauftragten für den Datenschutz und die Informationsfreiheit (BfDI), der Bundesärztekammer, der Bundeszahnärztekammer, der Deutschen Krankenhausgesellschaft und den für die Wahrnehmung der Interess...mehr

Rz. 1 Die Vorschrift wurde durch Art. 1 Nr. 31 des Gesetzes zum Schutz elektronischer Patientendaten in der Telematikinfrastruktur (Patientendaten-Schutz-Gesetz – PDSG) v. 14.10.2020 (BGBl. I S. 2115) mit Wirkung zum 20.10.2020 zunächst mit der Nummer 391 in das SGB V eingefügt. Das PDSG hat mit den neuen Kapiteln 11 und 12 die bisherigen Regelungen zur Telematikinfrastruktu...mehr

Rz. 7 Organisatorische und technische Vorkehrungen nach Abs. 1 sind angemessen, wenn der dafür erforderliche Aufwand nicht außer Verhältnis zu den Folgen eines Ausfalls oder einer Beeinträchtigung des Krankenhauses oder dem Schutzbedarf der verarbeiteten Patienteninformationen steht. Der Aufwand zur Implementierung und Aufrechterhaltung geforderter Maßnahmen hängt maßgeblich...mehr

Rz. 7 Organisatorische und technische Vorkehrungen nach Abs. 1 sind angemessen, wenn der dafür erforderliche Aufwand nicht außer Verhältnis zu den Folgen eines Ausfalls oder einer Beeinträchtigung der Arbeitsprozesse der Krankenkasse oder der Sicherheit der verarbeiteten Versicherteninformationen steht. Der Aufwand zur Implementierung und Aufrechterhaltung geforderter Maßnah...mehr

Rz. 8 Die in der Richtlinie festzulegenden Anforderungen müssen dem Stand der Technik entsprechen, sind jährlich inhaltlich zu überprüfen und zu korrigieren sowie spätestens alle 2 Jahre an den Stand der Technik und an das Gefährdungspotenzial anzupassen. Die dynamische Vorgabe ("Stand der Technik") erfordert bereits eine laufende Fortschreibung der Richtlinie an eine sich ständ...mehr

Die Wahrung des Steuergeheimnisses behält auch bei der vorausgefüllten Steuererklärung oberste Priorität. Die Finanzverwaltung hat sich deshalb in Bezug auf die IT-Sicherheit nach der internationalen Norm für Informationssicherheits-Management (ISMS), der ISO 27001, zertifizieren lassen. Grundlage für die Zertifizierung ist der IT-Grundschutz-Katalog des Bundesamts für Siche...mehr

mehr

mehr

Zusammenfassung Knapp ein Jahr nach dem "ersten Cyber-Urteil" des LG Tübingen entschied das LG Kiel am 23.5.2024, dass der Cyberversicherer eine Police wirksam wegen arglistiger Täuschung anfechten kann, wenn der Versicherungsnehmer die vorvertraglichen Risikofragen "ins Blaue hinein" falsch beantwortet. Sachverhalt Die Klägerin schloss im März 2020 bei der Beklagten eine Cybe...mehr

Zusammenfassung Die IT-Sicherheit ist in Unternehmen aller Art und Größe von elementarer Bedeutung. Mit geeigneten Schutzvorkehrungen und Sicherheitsmaßnahmen muss gewährleistet sein, dass die Verarbeitung, Archivierung und Übermittlung von Daten allen internen und externen Risiken und Gefahren zum Trotz stets sicher und regelkonform erfolgt. Anhand der 11 Checklisten, die in...mehr

Die IT-Sicherheit ist in Unternehmen aller Art und Größe von elementarer Bedeutung. Mit geeigneten Schutzvorkehrungen und Sicherheitsmaßnahmen muss gewährleistet sein, dass die Verarbeitung, Archivierung und Übermittlung von Daten allen internen und externen Risiken und Gefahren zum Trotz stets sicher und regelkonform erfolgt. Anhand der 11 Checklisten, die in diesem Beitrag...mehr

IT-Sicherheit muss sein: Nicht nur in börsennotierten Unternehmen, sondern auch in GmbHs, AGs und anderen Kapitalgesellschaften sind Vorstände und Geschäftsführer für die IT-Sicherheit persönlich haftbar. Der Gesetzgeber schreibt außerdem die Rechtskonformität sämtlicher Unternehmensabläufe vor. Und dann sind da ja auch noch die Banken und die ISO-Zertifizierung, die auch an...mehr

Das IT-Sicherheitsbewusstsein und der Wille zur IT-Compliance auch in den Geschäftsleitungen kleinerer Unternehmen sind deutlich gestiegen. Was allerdings häufig fehlt, ist eine Infrastruktur, die die IT-Sicherheits- und Compliance-Maßnahmen nachhaltig macht. Viel zu oft bleibt es beim Einsatz von Einzelmaßnahmen, die auf Dauer nur einen sehr geringen Schutzfaktor haben. So ...mehr

mehr

Die drei Grundfragen, die sich den meisten Unternehmen in Bezug auf die IT-Sicherheit stellen, lauten: Welches Sicherheitsniveau ist angemessen? Wie lässt es sich erreichen? Wie kann man es aufrechterhalten? Das größte Problem dabei sind nicht die konkreten Sicherheitsmaßnahmen, sondern deren Angemessenheit. Mit einem großen personellen und finanziellen Aufwand lässt sich beinah...mehr

Grundlage aller IT-Sicherheitsmaßnahmen muss die genaue Feststellung des Schutzbedarfs sein. Nur wer weiß, was geschützt werden soll, kann adäquate Schutzmaßnahmen treffen. Der Aufwand des Schutzes muss sich aber immer am Wert der Daten orientieren, die geschützt werden müssen. Bei der Feststellung des Schutzbedarfs müssen immer auch die eigentlichen Schutzziele mit bedacht w...mehr

Im betriebswirtschaftlichen Jargon werden gerne Anglizismen verwendet. Ein Begriff, der mittlerweile nicht mehr wegzudenken ist, lautet Compliance. Gemeint ist damit die Rechtskonformität, also die Umsetzung und das Befolgen aller gesetzlichen und vertraglichen Regelungen und Verpflichtungen. Betroffen vom Compliance-Gebot sind alle Kapitalgesellschaften – also auch kleine G...mehr

Eine eindeutige gesetzliche Haftung für die IT-Sicherheit in Unternehmen folgt aus gesetzlichen Regelungen, die greifen, wenn Unternehmensdaten an die Öffentlichkeit gelangen, schwere wirtschaftliche Schäden durch die mutwillige oder fahrlässige Zerstörung von Unternehmensdaten entstehen oder z. B. vom E-Mail-Server des Unternehmens Massen-Mails mit Viren verschickt werden. O...mehr

Auf den ersten Blick eindeutiger ist die Haftung bei Fällen mangelnder IT-Sicherheit geregelt, die unter das Strafgesetzbuch ( StGB) fallen. Dort gibt es etwa im § 203 für Ärzte, Rechtsanwälte und andere bestimmte Berufsgruppen Sonderregelungen, die auch Freiheitsstrafen vorsehen, wenn vertrauliche Angaben von Patienten, Mandanten oder Klienten ohne deren Einwilligung in die ...mehr

Die folgenden Checklisten fassen in kurzen Fragen, die Sie nur mit Ja, Nein oder Prüfen zu beantworten brauchen, die wichtigsten Sicherheitsanforderungen und -maßnahmen zusammen. Anhand Ihrer Antworten erhalten Sie ein genaues Bild über den aktuellen Zustand sowie über die Schwachstellen der IT-Sicherheit und der IT-Compliance in Ihrem Unternehmen. Hinweis Die Checklisten ent...mehr