gms | German Medical Science

Einleitung: 2001 eröffnete der Gesetzgeber die Möglichkeit eines Datenschutzaudits durch die Novellierung des Bundesdatenschutzgesetzes [1]. 2007 veröffentlichte das Bundesinnenministerium einen Gesetzesentwurf für ein Bundesdatenschutzauditgesetz [2]. Im Gesetzesentwurf ist ausdrücklich die Freiwilligkeit eines Datenschutzaudits ausgewiesen. Die Freiwilligkeit dürfte sich im medizinischen Umfeld als ähnlich freiwillig wie der Einsatz eines Virenscanners oder einer Firewall gestalten. Andererseits bietet ein Audit auch vielfältige Chancen.

Material und Methode: Beim Audit soll das Datenschutzkonzept sowie die entsprechende Datenverarbeitungstechnik bzgl. der Einhaltung der gesetzlichen Vorschriften bewertet werden. Letztlich beinhaltet dies die Überprüfung der kompletten Datenschutzorganisation, d.h. der Umsetzung der technischen und organisatorischen Maßnahmen zum Schutz der Daten. Dies beinhaltet auch eine Überprüfung der IT-Sicherheitsstruktur. Die grundlegenden Normen werden hier vorgestellt.

Ergebnisse: Die Überprüfung muss hier anhand anerkannter Normen erfolgen. Die DIN ISO/IEC 27001 definiert die Zertifizierungsanforderungen an ein Informationssicherheits-Managementsystems (ISMS), die DIN ISO/IEC 27002 dient als Leitfaden zur Implementierung eines ISMS [3], [4]. Die ISO/IEC 27005 behandelt das Risikomanagement und in der ISO/IEC 27006 sind die Richtlinien für die Akkreditierung von Organisationen als Zertifizierungsstelle ausgearbeitet [5], [6].

Für das Gesundheitswesen von besonderem Interesse ist die DIN EN ISO 27799 „Medizinische Informatik - Sicherheitsmanagement im Gesundheitswesen bei Verwendung der ISO/IEC 27002“, die in der überarbeiteten Form voraussichtlich im Oktober 2008 zur Verfügung steht. Mit dieser Norm existiert ein praktisches Arbeitshandbuch für die Umsetzung der DIN ISO/IEC 27002, d.h. für die Einführung eines ISMS, entsprechend den Anforderungen im Gesundheitswesen [7].

Diskussion: Ein umfassend ausgefallenes Audit bietet den Vorteil, dass ein externer, kritischer Blick auf die Sicherheitsvorkehrungen geworfen wird und evtl. vorhandene Sicherheitslücken können aufgedeckt werden. Zugleich wird die Geschäftsführung hinsichtlich der Datensicherheit – dies betrifft neben den Patientendaten natürlich auch die Daten der Mitarbeiter – sensibilisiert. So betrachtet ist ein Audit ein Gewinn für das deutsche Gesundheitswesen. Als Nebeneffekt bekommt die auditierte Institution zudem noch ein Zertifikat, was als Marketing-Instrument verwendet werden kann.