SecureSlate für das Gesundheitswesen
Für HIPAA gibt es kein Zertifikat. Ihre Kunden wollen trotzdem Nachweise.
Deshalb fragen Klinikverbünde, Kostenträger und deren Sicherheitsteams nach den Nachweisen, die es gibt: einem SOC-2-Bericht, einem HITRUST-Assessment, einem ausgefüllten Fragebogen und einem BAA, hinter dem Sie stehen können. SecureSlate baut das Programm auf, das all das liefert, mit einem persönlichen Compliance-Lead zum Festpreis.
Warum jetzt
Wer mit Patientendaten arbeitet, hat Pflichten, für die niemand ein Abzeichen verteilt.
Drei Dinge gelten für jede Organisation, die mit geschützten Gesundheitsdaten (PHI) arbeitet, unabhängig von ihrer Größe.
Es gibt kein HIPAA-Zertifikat, das Sie verschicken könnten
Das US-Gesundheitsministerium HHS setzt die Regeln über sein Office for Civil Rights durch. Zertifiziert wird dabei niemand. Sie können ein wirklich konformes Programm betreiben und haben trotzdem nichts, was Sie an die E-Mail anhängen könnten. Kunden schließen diese Lücke, indem sie einen SOC-2-Bericht, ein HITRUST-Assessment oder einen Fragebogen mit dreihundert Zeilen verlangen.
Das BAA endet nicht bei Ihnen
Sie unterzeichnen mit Ihrem Kunden ein Business Associate Agreement und schulden anschließend jedem Unterauftragnehmer, der mit geschützten Gesundheitsdaten in Berührung kommt, gleichwertige Vereinbarungen: Ihrem Cloud-Anbieter, Ihrem Logging, Ihren Support-Tools, Ihrem Modellanbieter. Jeder neu hinzugefügte Anbieter verlängert unbemerkt eine Kette, für die Sie verantwortlich sind.
Die Meldefrist läuft, bevor Sie verstehen, was passiert ist
Die Breach Notification Rule gibt Ihnen ab Entdeckung sechzig Tage, um betroffene Personen zu benachrichtigen. Betrifft ein Vorfall fünfhundert oder mehr Personen in einem Bundesstaat, müssen innerhalb dieser Frist auch HHS und die Medien informiert werden. Am ersten Tag eines Vorfalls wurden die nötigen Nachweise entweder bereits gesammelt oder eben nicht.
So sehen Nachweise aus
Vier Dinge, nach denen Kunden fragen, und was jedes davon tatsächlich leistet.
Die meiste Verwirrung bei Compliance im Gesundheitswesen entsteht, weil diese vier als austauschbar gelten. Das sind sie nicht, und wer weiß, welches davon der Kunde meint, spart ein Quartal.
Die Pflicht
HIPAA
Administrative, physische und technische Schutzmaßnahmen, eine Privacy Rule, die die Nutzung von PHI auf das notwendige Minimum begrenzt, und eine Risikoanalyse, die Sie aktuell halten sollen, statt sie einmal abzulegen. Wir setzen das um und dokumentieren es so, dass hinter jeder Frage einer Behörde oder eines Kunden eine Antwort steht. Das Ergebnis ist das Programm selbst.
Der Nachweis, den die meisten Kunden akzeptieren
SOC 2 Type II
Ein unabhängiger Prüfer testet Ihre Kontrollen über einen Zeitraum hinweg und gibt ein Urteil ab, das Sie tatsächlich an einen Einkauf schicken können. Das Kontrollset überschneidet sich stark mit der HIPAA Security Rule, sodass ein einziges Programm beides liefert, statt zwei parallel zu betreiben.
Was große Kunden als Nächstes verlangen
HITRUST
Klinikverbünde und Kostenträger verlangen oft HITRUST, sobald der Vertragswert steigt. Das CSF kennt verschiedene Assessment-Stufen. Richtig ist also, die Stufe an das anzupassen, was der Kunde tatsächlich verlangt, statt mit der aufwendigsten zu beginnen und doppelt zu bezahlen.
Wenn PHI auf Ihre Modelle trifft
ISO 42001
Sobald eine klinische oder administrative Funktion auf einem Modell läuft, fragen Kunden, was darin mit Patientendaten geschieht: Nutzung für das Training, De-Identifizierung und ob der Modellanbieter als Unterauftragnehmer unter Ihr BAA fällt. ISO 42001 beantwortet das in einer Form, die der Einkauf kennt, und baut auf einem bestehenden Programm auf, statt neu anzufangen.
So funktioniert es
Wir betreiben das Programm. Ihr medizinisches Personal und Ihre Entwickler behalten ihre Woche.
Vier Phasen vom ersten Gespräch bis zum Nachweis, den ein Klinikverbund akzeptiert, mit einer namentlich verantwortlichen Person in jeder Phase.
Scoping entlang der Orte, an denen PHI tatsächlich liegt
Wir klären, ob Sie Covered Entity oder Business Associate sind, verfolgen, wo geschützte Gesundheitsdaten in Ihre Systeme gelangen und wo sie gespeichert werden, und sehen uns an, wer Nachweise von Ihnen verlangt. Das bestimmt Ihren Scope, nicht eine Standardempfehlung.
Risikoanalyse und ein datierter Maßnahmenplan
Die Risikoanalyse nach der Security Rule ist das Dokument, auf das sich alles andere bezieht, und das Erste, wonach ein Ermittler fragt. Ihr Compliance-Lead führt sie anhand Ihrer tatsächlichen Architektur durch und übergibt einen Plan mit namentlich Verantwortlichen, bevor die Umsetzung beginnt.
Wir setzen um, Sie geben frei
Schutzmaßnahmen eingerichtet, Richtlinien so geschrieben, wie Ihre Organisation tatsächlich arbeitet, die BAA-Kette mit Ihrer Anbieterliste abgeglichen, Zugriffe auf PHI protokolliert und regelmäßig überprüft, und Nachweise, die laufend aus den Systemen gesammelt werden, die Sie bereits nutzen.
Audit, und danach am Laufen halten
Wir führen den Readiness-Review durch, koordinieren Ihren Prüfer und begleiten die Prüfung vor Ort. Danach läuft das Programm weiter, sodass die Aktualisierung der Risikoanalyse, die Zugriffsprüfungen und die Mitarbeiterschulungen planmäßig stattfinden, statt erst im Monat, bevor jemand fragt.
Was enthalten ist
Die Arbeit eines HIPAA Security Officers, für Sie erledigt.
Die Expertenarbeit, die Plattform und die Sicherheitsscans kommen gemeinsam zu einem Festpreis.
Ein Compliance-Lead, der das schon gemacht hat
Ein erfahrener Praktiker, der das Programm von Anfang bis Ende verantwortet, in Ihrem Slack arbeitet, die technisch werdenden Sicherheitsgespräche übernimmt und Ihrem Prüfer direkt antwortet. Sie bekommen eine HIPAA-Sicherheitsfunktion, ohne dafür eine Stelle auszuschreiben.
Eine Risikoanalyse, die aktuell bleibt
Die Security Rule erwartet, dass Ihre Risikoanalyse Ihre heutige Umgebung abbildet, nicht die von vor zwei Jahren. Risiken werden bewertet, bis zur Behandlung verfolgt und bei Änderungen Ihrer Systeme neu betrachtet, damit das Dokument standhält, wenn jemand es sehen will.
Die BAA-Kette, abgeglichen
Jeder Unterauftragnehmer, der mit PHI in Berührung kommt, braucht eine Vereinbarung, und die Liste ändert sich, sobald jemand ein neues Tool einführt. Wir halten Anbieterinventar, Due Diligence und unterzeichnete Vereinbarungen miteinander im Einklang, damit die Kette hält, wenn ein Kunde sie prüft.
Zugriff auf PHI, geprüft und belegt
Wer Patientendaten erreichen kann, warum diese Person das noch braucht, und der Beleg, dass jemand es geprüft hat. Regelmäßige Zugriffsprüfungen und rollenbasierte Kontrollen laufen als Prozess mit Ergebnis. Genau das wird aus dem Minimum-Necessary-Standard, wenn das Audit kommt.
Fragebogen-Automatisierung
Sicherheitsprüfungen im Gesundheitswesen sind lang und wiederholen sich. Importieren Sie den Fragebogen, den ein Klinikverbund geschickt hat, erhalten Sie Antwortentwürfe aus Ihren eigenen Richtlinien und Nachweisen, und prüfen, genehmigen und exportieren Sie sie, statt jedes Quartal dieselben Antworten neu zu tippen.
Ein Trust Center, das Ihre Kunden selbst nutzen
Veröffentlichen Sie Ihren Sicherheitsstatus, Zertifizierungen, Unterauftragsverarbeiter und Dokumente auf einer aktuellen Seite, die Sie auf Ihrer Website und in Vertriebs-E-Mails verlinken. Weil es kein Zertifikat zum Anhängen gibt, ist das der Link, den Sie stattdessen verschicken.
Technische Schutzmaßnahmen
Ihre Risikoanalyse muss Ihre Schwachstellen benennen. Diese Scans finden sie.
Die Scans sind Teil des Engagements und kein separates Abonnement, denn nach den Systemen, durch die PHI fließt, fragt eine Behörde zuerst.
Code-Sicherheitsscans
Die Anwendungen, die Patientendaten verarbeiten, werden laufend gescannt. Befunde werden nach CWE klassifiziert und nach Schweregrad sortiert, und jeder zeigt auf die betroffene Zeile, mit einer Korrektur, die Ihre Entwickler umsetzen können.
Erkennung von Secrets
Ein geleakter Zugangsschlüssel in einem Repository ist ein direkter Weg zu einem System mit PHI. Offengelegte Schlüssel und Tokens werden gefunden und auf Datei und Zeile genau lokalisiert, damit der Widerruf in Stunden geschieht und nicht erst, nachdem jemand anderes sie gefunden hat.
Abhängigkeits- und Lizenzrisiken
Eine SBOM für jedes Repository, mit verständlich markierten Open-Source-Lizenzen, die echte Pflichten auslösen. Der Einkauf von Klinikverbünden fragt zunehmend nach dem Komponenteninventar, und hier kommt es her.
Veraltete Software und End-of-Life
Nicht mehr gewartete Frameworks und Laufzeitumgebungen sind der Befund, der in fast jeder Risikoanalyse im Gesundheitswesen auftaucht. Jeder wird ab dem Ende des Supports datiert, bis zur Datei zurückverfolgt, die die Version festlegt, und mit dem Upgrade-Ziel versehen.
Überwachung der öffentlichen Angriffsfläche
Patientenportale, Seiten zur Terminbuchung und die Subdomains, an deren Einrichtung sich niemand erinnert, werden regelmäßig und bei jedem Release gescannt. Befunde kommen verständlich erklärt und mit einer empfohlenen Korrektur.
Dark-Web-Überwachung
Zugangsdaten Ihrer Mitarbeitenden werden mit bekannten Datenlecks abgeglichen, mit Angaben dazu, was offengelegt wurde, wann und ob es verifiziert ist. Wiederverwendete Passwörter von Mitarbeitenden sind ein häufiger erster Schritt bei Vorfällen im Gesundheitswesen.
Frameworks
Ein Kontrollset, abgebildet auf das Framework, das der Vertrag nennt.
Die Schutzmaßnahmen nach HIPAA überschneiden sich stark mit SOC 2 und ISO 27001, und HITRUST baut auf demselben Fundament auf. Einmal umgesetzt, wird das zweite Framework zu einer Erweiterung statt zu einem zweiten Programm. Diese Seiten zeigen, was jedes davon umfasst.
Kundenstimmen
Teams, die dieselben Pflichten nachweisen mussten
Was Verantwortliche sagen, seit ihr Programm nicht mehr auf Last-Minute-Einsätzen beruht. Die Zitate sind im englischen Original.
HIPAA isn’t something you do once. SecureSlate connected our tools, owners, and evidence so we can prove our program without the constant scramble, and we get 50+ hours a week back.
Edward CEO at HealthHaven
We always knew the next step. SecureSlate made GDPR and Cyber Essentials feel manageable for a non-security team, and we reclaimed 200+ hours while getting ready in under seven weeks.
Catherine Director at Quality Early Years
We needed compliance that scaled with us. SecureSlate cut compliance costs while improving audit readiness. The ROI showed up immediately.
Michael CTO at Echonet
Warum Teams abwarten
Die Pflichten gelten bereits. Nur der Nachweis ist optional, und das nur, bis jemand danach fragt.
„Wir haben BAAs unterschrieben. Damit sind wir abgedeckt.“
Ein BAA ist ein Vertrag, keine Kontrolle. Er verpflichtet Sie zu Schutzmaßnahmen, die die Security Rule ohnehin verlangt, und setzt keine davon um. Wenn ein Kunde oder ein Ermittler nach Ihrer Risikoanalyse und Ihren Zugriffsprotokollen fragt, ist die unterschriebene Vereinbarung der Grund für die Frage, nicht die Antwort darauf.
„Bisher hat niemand nach SOC 2 gefragt.“
Das ändert sich, sobald Sie an einen Klinikverbund verkaufen. Weil HIPAA kein Zertifikat hervorbringt, greift der Einkauf auf SOC 2 zurück, und die Anfrage kommt meist mit wenigen Wochen Vorlauf statt mit den Monaten, die ein erster Prüfzeitraum braucht.
„Wir sind Business Associate, also sind unsere Pflichten geringer.“
Business Associates haften seit Inkrafttreten der Omnibus Rule direkt nach der Security Rule und der Breach Notification Rule. Die Pflichten sind nicht geringer. Sie sind nur weniger sichtbar, bis ein Vorfall sie sichtbar macht.
„HITRUST können wir nicht rechtfertigen.“
Dann fangen Sie nicht damit an. HITRUST hat Assessment-Stufen, damit der Aufwand zur Anforderung passt, und die meisten Unternehmen brauchen SOC 2 mit integriertem HIPAA-Mapping lange bevor jemand r2 verlangt. Wir richten den Scope am Kunden aus, der tatsächlich fragt, nicht am größtmöglichen Engagement.
FAQ
Was Teams im Gesundheitswesen fragen, bevor sie starten.
Nein. HHS zertifiziert keine Organisationen nach HIPAA, und jeder Anbieter, der Ihnen ein HIPAA-Zertifikat verkauft, verkauft seine eigene Meinung. Was es gibt, ist ein belastbares Programm: eine aktuelle Risikoanalyse, umgesetzte Schutzmaßnahmen, unterzeichnete BAAs, Mitarbeiterschulungen und Aufzeichnungen, die zeigen, dass all das funktioniert. Kunden, die einen unabhängigen Nachweis wollen, fragen nach SOC 2 oder HITRUST, weshalb wir diese meist parallel umsetzen.
Die Security Rule gilt für Sie direkt, ebenso die Meldepflichten bei Datenschutzverletzungen und die Teile der Privacy Rule, die Ihr BAA an Sie weitergibt. Außerdem schulden Sie Ihren eigenen Unterauftragnehmern, die PHI verarbeiten, gleichwertige Vereinbarungen. Der praktische Unterschied: Ihre Pflichten kommen sowohl über Verträge mit Ihren Kunden als auch über die Regulierung, und beides muss erfüllt sein.
Sie dienen unterschiedlichen Zwecken, und die Arbeit überschneidet sich stark. HIPAA ist die gesetzliche Pflicht und bringt keinen externen Nachweis hervor. SOC 2 ist ein unabhängiges Audit, das einen Bericht liefert, den Sie an einen Kunden schicken können. Weil sich die Kontrollsets stark überschneiden, bauen wir ein Programm auf und erfüllen damit beides, statt zwei Projekte mit getrennten Nachweisen zu betreiben.
Meist dann, wenn ein großer Klinikverbund oder Kostenträger es zur Vertragsbedingung macht. Bis dahin genügt den meisten Kunden SOC 2 mit integriertem HIPAA-Mapping, zu geringeren Kosten. Wird HITRUST dann notwendig, erlauben die Assessment-Stufen, die Anforderung in der passenden Tiefe zu erfüllen, und die bereits umgesetzten Kontrollen fließen direkt ein.
Zuerst ändern sich die Fragen, die Sie bekommen. Rechnen Sie damit, dass Kunden wissen wollen, ob PHI für das Training genutzt wird, wie Datensätze de-identifiziert werden und ob Ihr Modellanbieter ein durch ein BAA abgedeckter Unterauftragnehmer ist. Darauf braucht Ihre Anbieterdokumentation echte Antworten. ISO 42001 bietet einen anerkannten Weg, die Governance darüber nachzuweisen, und baut auf einem bestehenden HIPAA- und SOC-2-Programm auf, statt bei null anzufangen.
Wir gleichen Ihr Anbieterinventar mit Ihren unterzeichneten Vereinbarungen ab, markieren jeden Dienst mit Zugriff auf PHI, für den keine vorliegt, und halten die Liste aktuell, wenn Ihr Team neue Tools einführt. Ihre Angaben zu Unterauftragsverarbeitern bleiben in Ihrem Trust Center veröffentlicht, sodass Kunden sie prüfen können, ohne Ihr Team anzuschreiben.
Unsere Kunden haben die Audit-Bereitschaft für ISO 27001 in weniger als sieben Wochen erreicht, und die HIPAA-Bereitschaft bewegt sich in einem ähnlichen Rahmen, weil Risikoanalyse und Schutzmaßnahmen den Großteil der Arbeit ausmachen. Der Preis ist fest und wird vor Beginn vereinbart. Er umfasst die Plattform, die Expertenarbeit und die Sicherheitsscans. Prüfungsgebühren gehen direkt an Ihren unabhängigen Prüfer, und wir sagen Ihnen vorab, womit Sie rechnen müssen.
Geben Sie Ihren Kunden etwas in die Hand
Sagen Sie uns, wo PHI liegt und wer Nachweise von Ihnen verlangt. Sie gehen aus dem Gespräch mit einem Scope, einem Zeitplan und einem Festpreis, ob Sie mit uns arbeiten oder nicht.
