C5-Typ2-Testat im Gesundheitswesen: Cloud-Anbieter sind jetzt in der Pflicht
Was ist das C5-Testat und warum wird es relevant?
Im Zeitalter der Digitalisierung sind Cloud-Dienste im Gesundheitswesen längst etabliert. Besonders im Umgang mit sensiblen Sozial- und Gesundheitsdaten gelten dabei strenge gesetzliche Vorgaben, die sowohl Datenverantwortliche als auch Dienstleister vor große Aufgaben stellen. Ab dem 1. Juli 2025 müssen Cloud-Anbieter, die entsprechende Daten im deutschen Gesundheitswesen verarbeiten, ein sogenanntes C5-Typ2-Testat vorweisen. Bis dahin reichte für die Zulässigkeit ein einfaches C5-Typ1-Testat aus. Das neue Testat dient dem erhöhten Schutz von Patienten- und Gesundheitsdaten und ist verpflichtend für alle, die auf Cloud-Lösungen setzen.
Wen betrifft die neue Regelung?
Die gesetzlichen Vorgaben richten sich an sämtliche Leistungserbringer im Gesundheitswesen gemäß §§ 69 bis 140h SGB V. Dazu zählen Vertragsärzte, Krankenhäuser, Heilmittelerbringer (wie Physiotherapeuten), Hilfsmittelerbringer (z.B. Anbieter medizinischer Hilfsmittel), Apotheken, pharmazeutische Unternehmen sowie weitere Leistungserbringer wie Rettungsdienste oder Einrichtungen der häuslichen Krankenpflege. Wer in diesen Bereichen tätig ist und Cloud-Lösungen nutzt, muss spätestens ab Juli 2025 ein gültiges C5-Typ2-Testat vorlegen können.
SaaS als häufigster Anwendungsfall – was gilt hier?
Bei Cloud-Diensten handelt es sich häufig um Software-as-a-Service-Angebote (SaaS). Diese Lösungen bieten komplette Software-Anwendungen, die über das Internet bereitgestellt werden. Die Anbieter kümmern sich um die Wartung, Updates und Sicherheit – der Einsatz ist für die Praxis besonders effizient.
Doch gerade bei diesen Angeboten ist nun die Testierung nach dem C5-Typ2-Standard entscheidend. Denn bislang reichte eine Angemessenheitsprüfung der technischen und organisatorischen Maßnahmen aus (C5-Typ1-Testat). Mit dem Wechsel zum Typ2-Testat ist nun zusätzlich die Wirksamkeit der Maßnahmen über einen längeren Zeitraum nachzuweisen.
Herausforderungen, Übergangsfristen & Handlungsempfehlungen für Anbieter und Nutzer
Was passiert, wenn kein C5-Typ2-Testat vorliegt?
Kann ein Hersteller oder Cloud-Anbieter zum Stichtag kein C5-Typ2-Testat vorweisen, droht der Ausschluss vom Markt. Gemäß der aktuellen Verordnung genügt in bestimmten Fällen vorübergehend auch eine alternative Zertifizierung, zum Beispiel nach ISO/IEC 27001, ISO 27001 auf Basis des BSI IT-Grundschutzes oder nach der Cloud Controls Matrix (CCM) in der jeweils gültigen Fassung. Notwendig ist jedoch zusätzlich eine detaillierte Dokumentation darüber, welche Anforderungen aus dem C5-Standard noch offen sind sowie ein Maßnahmen- und Zeitplan zur vollständigen Umsetzung. Spätestens innerhalb von 24 Monaten muss jedoch das C5-Typ2-Testat nachgereicht werden.
Welche Anforderungen bestehen an Unterauftragnehmer?
Nutzen Hersteller von SaaS-Lösungen Cloudangebote Dritter, werden diese zum Unterauftragnehmer. Auch in diesem Fall ist das Testat nachzuweisen. Ob die Vorlage des C5-Typ2-Testats des Cloud-Anbieters genügt oder ein eigenes Testat notwendig ist, ist praxisabhängig. In jedem Fall empfehlen sich klare vertragliche Regelungen sowie Transparenz darüber, wer in der Verarbeitungskette für welchen Bereich der Datensicherheit verantwortlich ist. Kliniken und Praxen sollten sich bei ihren Dienstleistern aktiv erkundigen und Testate regelmäßig abfragen und dokumentieren.
Handlungsempfehlungen für Gesundheitsbetriebe und Dienstleister
Die Umsetzung der neuen Vorgaben ist für alle Leistungserbringer im Gesundheitswesen nicht optional, sondern zwingend vorgeschrieben. Jetzt ist der optimale Zeitpunkt, um alle bestehenden Verträge mit SaaS- oder Cloud-Anbietern sowie deren Testate zu prüfen. Liegt noch kein C5-Typ2-Testat vor, fragen Sie nach dem Stand der Maßnahmenplanung und fordern Sie einen verbindlichen Zeitplan. Anbieter sind aufgefordert, alle gegenüber ihren Kunden erbrachten Nachweise zu dokumentieren, regelmäßig auf Aktualität zu prüfen und bei der Umsetzung rechtssicher nachzusteuern.
Fazit und nächster Schritt
Die Pflicht zum C5-Typ2-Testat sorgt für mehr Sicherheit und Transparenz, stellt aber insbesondere kleinere Anbieter vor große Herausforderungen. Frühzeitige Planung, lückenlose Dokumentation und ein enger Dialog zwischen allen Beteiligten sind jetzt entscheidend. Nur so können Cloud-Lösungen auch weiterhin sicher im Gesundheitswesen genutzt werden, ohne dass es zu rechtlichen oder betrieblichen Risiken kommt.
Sie sind sich nicht sicher, ob Sie oder Ihre Dienstleister die Anforderungen erfüllen? Oder benötigen Sie Unterstützung bei der Umsetzung des C5-Typ2-Testats? Kontaktieren Sie uns gerne – wir helfen Ihnen kompetent und individuell weiter!
#C5Testat #C5Typ2 #Datenschutz #CloudSecurity #Gesundheitswesen #SaaS #BSI #ITSecurity #Patientendaten #DigitalHealth #Compliance #ISO27001 #CloudComputing #Datensicherheit #GesetzlichePflichten #HealthcareIT