Vorhaben besprechen

TOOLBOX · COMPLIANCE & NIS2

REIFEGRADCHECKORDINATIONEN.

Gesundheitsdaten verlangen besonderen Schutz. 12 Fragen für Ordinationen und Arztpraxen nach GTelG 2012, ÄrzteG und BSI-Grundschutz, sofort ein Reifegrad mit Maßnahmen und Quellen.

12 Fragen für Ordinationen

0 von 12 beantwortet

Bleibt in Ihrem Browser: Ihre Antworten werden nicht gesendet und nicht gespeichert. Nach dem Schließen der Seite sind sie weg; drucken Sie den Bericht oder speichern Sie ihn als PDF.

Antworten Sie je Maßnahme mit Ja, Teilweise oder Nein. Unter jeder Frage steht, was „Ja“ bedeutet. Wenn Sie es nicht wissen, wählen Sie Nein: Eine Maßnahme, die niemand bestätigen kann, zählt nicht als umgesetzt.

  1. Frage 1: Meldet sich jede Person mit eigenem Konto an Arztsoftware und PC an, und sieht jede Rolle, etwa Empfang oder Assistenz, nur die Daten, die sie für ihre Aufgabe braucht?

    Konten und ZugängeWichtige Maßnahme

    Ja heißt: keine gemeinsamen Konten am Empfang, Rechte nach Rolle, voreingestellte Passwörter geändert, und beim Austritt werden Konten sofort gesperrt.

  2. Frage 2: Sperren sich die Bildschirme am Empfang und in den Behandlungsräumen automatisch, wenn niemand davor sitzt?

    Konten und ZugängeGrundlage

    Ja heißt: Die Sperre greift nach kurzer Zeit von selbst und lässt sich nur mit Anmeldung lösen; das Team sperrt beim Verlassen auch selbst.

  3. Frage 3: Ist für E-Mail, Cloud-Dienste, Zugriffe von außen und die Fernwartung durch Anbieter eine Anmeldung mit zweitem Faktor eingerichtet?

    Konten und ZugängeSchlüsselmaßnahme

    Ja heißt: Neben dem Passwort ist für alle diese Zugänge ein zweiter Faktor nötig, etwa eine Bestätigung in einer App oder ein Sicherheitsschlüssel.

  4. Frage 4: Haben Sie Ihre Datensicherheitsmaßnahmen in einem IT-Sicherheitskonzept dokumentiert?

    OrganisationGrundlage

    Ja heißt: Schriftlich festgehalten ist, welche Maßnahmen nach Art. 32 DSGVO und GTelG 2012 getroffen sind, wer worauf zugreifen darf und wie Gesundheitsdaten übermittelt werden.

  5. Frage 5: Verlassen Gesundheitsdaten die Ordination nur geschützt: über abgesicherte Netze oder vollständig verschlüsselt, und in Cloud-Speichern nur verschlüsselt?

    Daten und SicherungWichtige Maßnahme

    Ja heißt: keine Befunde als gewöhnliche E-Mail, und Gesundheitsdaten in Cloud-Speichern eines Dienstleisters sind nach dem Stand der Technik verschlüsselt. Nutzen Sie keine Cloud-Speicher für Gesundheitsdaten, zählt nur die Übermittlung.

  6. Frage 6: Werden Arztsoftware und Dokumentation regelmäßig gesichert, liegt eine Kopie getrennt und vor Überschreiben geschützt, und testen Sie die Wiederherstellung?

    Daten und SicherungSchlüsselmaßnahme

    Ja heißt: Es gibt einen Sicherungsplan, eine Kopie liegt räumlich getrennt und kann nicht überschrieben werden, und die Rücksicherung wird regelmäßig getestet, zuletzt erfolgreich.

  7. Frage 7: Werden Betriebssysteme, Arztsoftware und Netzgeräte nach einem festgelegten Ablauf zeitnah aktualisiert, mit klarer Zuständigkeit?

    Systeme und NetzSchlüsselmaßnahme

    Ja heißt: Es ist festgelegt, wer Updates bewertet und einspielt, der Erfolg wird kontrolliert, und Geräte ohne Herstellerunterstützung werden ersetzt, sofern sie sich nicht nachweislich sicher weiterbetreiben lassen.

  8. Frage 8: Sind das WLAN für Patientinnen und Patienten, die Praxis-PCs und vernetzte Medizingeräte in getrennten Netzbereichen, und kontrolliert eine Firewall die Übergänge?

    Systeme und NetzWichtige Maßnahme

    Ja heißt: Das Gäste-WLAN hat ein eigenes Netzsegment ohne Zugang zum Praxisnetz, Geräte mit unterschiedlichem Sicherheitsniveau sind getrennt, und eine Firewall lässt nur erlaubte Verbindungen durch.

  9. Frage 9: Verbindet sich Ihr Software-Anbieter zur Fernwartung nur nach Ihrer Zustimmung, und ist die Fernwartung samt Auftragsverarbeitung vertraglich geregelt?

    DienstleisterSchlüsselmaßnahme

    Ja heißt: Die Fernwartungssoftware baut eine Verbindung erst nach Ihrer Zustimmung auf, die Verbindung wird danach getrennt, und mit dem Anbieter gibt es einen Vertrag zur Sicherheit und zur Auftragsverarbeitung.

  10. Frage 10: Werden alte PCs, Festplatten, Drucker und Smartphones mit Patientendaten vor der Entsorgung nachweislich sicher gelöscht oder vernichtet?

    Daten und SicherungGrundlage

    Ja heißt: Es gibt einen geregelten Ablauf zum Löschen oder Vernichten, auch für Datenträger in Druckern und Multifunktionsgeräten, und er wird dokumentiert.

  11. Frage 11: Wird das Team regelmäßig zu Informationssicherheit geschult, etwa zu Phishing und zur Weitergabe von Patientendaten?

    MenschenWichtige Maßnahme

    Ja heißt: neue Mitarbeitende werden eingewiesen, und alle werden regelmäßig entsprechend ihren Aufgaben geschult.

  12. Frage 12: Ist festgelegt, was als Sicherheitsvorfall gilt, wer dann entscheidet und wer zu informieren ist, einschließlich der Meldung an die Datenschutzbehörde?

    Vorfall und NotfallWichtige Maßnahme

    Ja heißt: Eine kurze, allen bekannte Regelung nennt Zuständige, aktuelle Kontakte, auch die Ihres Software-Anbieters, und die Schritte bei einer Datenpanne.

0 von 12 beantwortet

SO RECHNET DER CHECK

Nachvollziehbar
statt Bauchgefühl.

12 Fragen, höchstens 25 Punkte. Die Maßnahmen stützen sich auf die genannten Quellen, einzelne Umsetzungsbeispiele sind Empfehlungen von TOMORIS; Gewichte und Stufen sind eine Einschätzung von TOMORIS nach der Wirkung einer Maßnahme.

  • 01

    Antworten werden Punkte

    Ja zählt 1, Teilweise 0,5 und Nein 0 Punkte, jeweils mal dem Gewicht der Frage. Wissen Sie es nicht, wählen Sie Nein.

  • 02

    Gewicht nach Wirkung

    Schlüsselmaßnahme (3, hier 4×): Schützt unmittelbar vor den schwersten Folgen eines Angriffs oder Ausfalls: Datenverlust, Stillstand oder die Übernahme von Konten und Zugängen. Wichtige Maßnahme (2, hier 5×): Macht einen Vorfall unwahrscheinlicher oder begrenzt sein Ausmaß und seine Dauer. Grundlage (1, hier 3×): Organisatorische Voraussetzung, die über die anderen Maßnahmen wirkt, etwa Verantwortung, Überblick oder Dokumentation.

  • 03

    Prozent und Stufe

    Erreichte durch mögliche Punkte, abgerundet auf ganze Prozent. Stufe 1 Einstieg: 0 bis 39 Prozent. Stufe 2 Grundlagen: 40 bis 69 Prozent. Stufe 3 Fortgeschritten: 70 bis 89 Prozent. Stufe 4 Etabliert: ab 90 Prozent.

  • 04

    Schlüsselmaßnahmen begrenzen

    Ist eine Schlüsselmaßnahme mit Nein beantwortet, bleibt der Reifegrad bei höchstens Stufe 2, auch wenn die Prozentzahl höher liegt. Der Bericht nennt die offenen Maßnahmen nach Gewicht sortiert.

GRUNDLAGE

Worauf die
Fragen beruhen.

Gesundheitsdaten sind besondere Kategorien personenbezogener Daten (Art. 9 DSGVO). Ärztinnen und Ärzte und ihre Hilfspersonen sind zur Verschwiegenheit verpflichtet (§ 54 Abs. 1 ÄrzteG 1998); die Dokumentation ist mindestens zehn Jahre aufzubewahren (§ 51 Abs. 3).

Für Gesundheitsdiensteanbieter regelt das Gesundheitstelematikgesetz 2012 die Datensicherheit bei der elektronischen Übermittlung von Gesundheitsdaten und verlangt, alle Datensicherheitsmaßnahmen auf Basis eines IT-Sicherheitskonzepts zu dokumentieren (§§ 3 bis 8 GTelG 2012).

Für die technischen Maßnahmen dient das IT-Grundschutz-Kompendium des BSI in der Edition 2023 als Vorbild. Es ist ein Regelwerk des deutschen BSI und in Österreich keine Rechtspflicht. Ob das NISG 2026 für Ihre Einrichtung gilt, hängt von Tätigkeit und Größe ab; das prüfen Sie mit dem NIS2-Check.

Mehr zur Branche Gesundheit & Ordinationen · NIS2-Betroffenheitscheck · Alle Downloads

FRAGEN

Gut zu wissen.

Wie wird der Reifegrad berechnet?

Jede Antwort bringt Punkte: Ja 1, Teilweise 0,5, Nein 0, multipliziert mit dem Gewicht der Frage (Schlüsselmaßnahme 3, wichtige Maßnahme 2, Grundlage 1). Diese Checkliste hat 12 Fragen und höchstens 25 Punkte. Die erreichten Punkte ergeben einen Prozentwert, abgerundet; daraus folgt die Stufe: Stufe 1 Einstieg 0 bis 39 Prozent, Stufe 2 Grundlagen 40 bis 69 Prozent, Stufe 3 Fortgeschritten 70 bis 89 Prozent, Stufe 4 Etabliert ab 90 Prozent. Ist eine Schlüsselmaßnahme mit Nein beantwortet, bleibt der Reifegrad bei höchstens Stufe 2.

Woher stammen die Fragen?

Aus dem Gesundheitstelematikgesetz 2012, dem Ärztegesetz 1998, der DSGVO und dem IT-Grundschutz-Kompendium des BSI in der Edition 2023. Das Kompendium ist ein Regelwerk des deutschen BSI und in Österreich keine Rechtspflicht; es dient als Vorbild für die technischen Maßnahmen. Jede Frage nennt ihre Fundstelle.

Was verlangt das GTelG 2012 von einer Ordination?

Gesundheitsdiensteanbieter dürfen Gesundheitsdaten nur elektronisch übermitteln, wenn die Identität der Patientinnen und Patienten und der beteiligten Gesundheitsdiensteanbieter, deren Rollen sowie Vertraulichkeit und Integrität gewährleistet sind (§ 3 Abs. 4). Die Vertraulichkeit sichern Netze, die nach dem Stand der Technik abgesichert sind und zumindest kryptographische oder bauliche Schutzmaßnahmen, einen Zugang nur für eine geschlossene oder abgrenzbare Benutzergruppe und eine Authentifizierung vorsehen, oder Verfahren, die die vollständige Verschlüsselung bewirken (§ 6 Abs. 1). In Cloud-Speichern eines Auftragsverarbeiters dürfen Gesundheitsdaten nur verschlüsselt liegen (§ 6 Abs. 3). Alle Datensicherheitsmaßnahmen sind auf Basis eines IT-Sicherheitskonzepts zu dokumentieren (§ 8 Abs. 1).

Gilt NIS2 für Ordinationen?

Das hängt von Tätigkeit und Größe ab. Gesundheitsdienstleister stehen in Anlage 1 des NISG 2026; erfasst sind sie in der Regel, wenn sie mindestens ein mittleres Unternehmen sind, also ab 50 Beschäftigten oder mit mehr als 10 Millionen Euro Jahresumsatz und Jahresbilanzsumme, wobei Partner- und verbundene Unternehmen grundsätzlich mitzählen (§§ 24 und 25). In Ausnahmefällen kann die Cybersicherheitsbehörde auch kleinere Einrichtungen per Bescheid einstufen (§ 26). Ob das für Ihre Einrichtung zutrifft, prüfen Sie mit dem NIS2-Betroffenheitscheck.

Ist das Ergebnis ein Nachweis oder eine Rechtsberatung?

Nein. Der Check ist eine Selbsteinschätzung anhand Ihrer Antworten. Er ersetzt kein Audit und keine Rechtsberatung und weist nicht nach, dass gesetzliche oder berufsrechtliche Anforderungen erfüllt sind. Die Gewichte und Stufen sind eine Einschätzung von TOMORIS; die Maßnahmen stützen sich auf die genannten Quellen, einzelne Umsetzungsbeispiele sind Empfehlungen von TOMORIS.

Werden meine Antworten übertragen oder gespeichert?

Nein. Fragebogen und Auswertung laufen vollständig in Ihrem Browser; Ihre Antworten werden weder an TOMORIS noch an Dritte übertragen und nicht gespeichert, auch nicht auf Ihrem Gerät. Erst wenn Sie „Ergebnis besprechen“ wählen, übernimmt das Kontaktformular Branche und Reifegradstufe als Thema, Ihre einzelnen Antworten nicht.

Wie speichere ich den Bericht als PDF?

Im Bericht „Drucken oder als PDF“ wählen und im Druckdialog als Drucker „Als PDF speichern“ oder „Microsoft Print to PDF“ einstellen. Gedruckt wird nur der Bericht, im dunklen Modus hell.

TOOLBOX

Weitere
Werkzeuge.

IHR NÄCHSTER SCHRITT

Ergebnis da.
Und jetzt?

Wir ordnen Befunde ein, priorisieren nach Risiko und setzen auf Wunsch um: einmalig mit EXPERTS oder laufend im Betrieb mit GRID.

Ergebnis besprechen