Ein Cloud-Anbieter wirbt mit einem C5-Testat, aber bezieht sich das Testat tatsächlich auf den Dienst, mit dem Ihre Patient:innendaten verarbeitet werden?

‍

Diese Frage ist für Praxen, Kliniken und andere Leistungserbringer relevant. Denn wer Patient:innendaten durch einen externen Dienstleister verarbeiten lässt, muss sich auch mit der Sicherheit des eingesetzten Dienstes auseinandersetzen. Gleichzeitig können Auftraggeber die Systeme und Prozesse eines Cloud-Anbieters kaum selbst technisch überprüfen.

C5 schafft dafür eine unabhängige Informationsgrundlage. Doch ein C5-Logo oder der Hinweis „Unsere Rechenzentren sind C5-testiert“ sagt allein noch nicht, ob der vorgelegte Nachweis zu Ihrem konkreten Einsatz passt.

‍

In diesem Beitrag geht es um die praktische Frage: Wie können Sie den C5-Nachweis eines Cloud-Anbieters einordnen, bevor Sie Patient:innendaten mit dessen Dienst verarbeiten?

‍

Warum es sich lohnt, beim C5-Nachweis genauer hinzuschauen

§ 393 SGB V regelt den Einsatz von Cloud-Computing für Gesundheits- und Sozialdaten. Für die IT-Sicherheit spielt dabei ein aktuelles BSI C5-Testat beziehungsweise ein unter den gesetzlichen Voraussetzungen gleichwertiger Sicherheitsnachweis eine zentrale Rolle.

-> Entscheidend ist der Prüfungsumfang des angeführten C5-Testats.

‍

Das Bundesgesundheitsministerium erläutert, dass der C5-Nachweis die zur Erbringung des Cloud-Dienstes eingesetzten Cloud-Systeme (Software) und die zugrunde liegende Technik (Hardware) erfassen muss.

Deshalb ist beispielsweise die Aussage „Unsere Anwendung läuft in einem C5-testierten Rechenzentrum“ für sich genommen noch keine vollständige Antwort auf die Frage, welcher Nachweis für den von Ihnen genutzten Cloud-Dienst vorliegt.

‍

Die KBV (Kassenärztliche Vereinigung Bayerns) gibt Praxen dazu einen sehr konkreten Hinweis¹: „Fragen Sie den Anbieter nach dem Testat der Cloud-Anwendung.“

Aber was sollten Sie sich dabei konkret ansehen?

Ihre C5-Prüfcheckliste

✓ 1. Welcher Dienst wurde tatsächlich geprüft?

Anbieter sagt:

„Wir sind C5-testiert.“

‍

Prüfen Sie:
☐ Welcher konkrete Cloud-Dienst steht im Prüfbericht?
☐ Ist das die Anwendung, die Sie tatsächlich einsetzen möchten?
☐ Welche Systeme und Komponenten gehören zum Prüfungsumfang?

‍

Fragen Sie den Anbieter:
„Können Sie uns zeigen, für welchen konkreten Cloud-Dienst Ihr C5-Testat ausgestellt wurde?“

‍

⚠️ Besonders aufmerksam werden bei: „Unser Rechenzentrum ist C5-testiert.“

Das kann ein wichtiger Sicherheitsnachweis für die eingesetzte Infrastruktur sein. Entscheidend ist für Ihren Einsatz aber, ob die vorgelegten Nachweise insgesamt die nach § 393 SGB V relevanten Cloud-Systeme und die zugrunde liegende Technik erfassen.

Deshalb nachfragen:
„Welcher C5-Nachweis liegt für die Cloud-Anwendung vor, mit der unsere Patient:innendaten verarbeitet werden?“

‍

✓ 2. Ist der Nachweis aktuell – und Typ I oder Typ II?

Nicht jedes C5-Testat sagt dasselbe aus.

Typ I betrachtet die Sicherheitsmaßnahmen zu einem bestimmten Stichtag.
Typ II betrachtet zusätzlich, ob diese Maßnahmen während eines Prüfungszeitraums tatsächlich wirksam angewendet wurden.

‍

Prüfen Sie:
☐ Typ I oder Typ II?
☐ Welcher Stichtag beziehungsweise Prüfungszeitraum wird genannt?
☐ Falls kein aktuelles Typ-II-Testat vorliegt: Auf welchen gesetzlich vorgesehenen Nachweis stützt sich der Anbieter stattdessen?

‍

Fragen Sie den Anbieter:
„Welcher aktuelle Sicherheitsnachweis liegt für unseren Cloud-Dienst nach § 393 SGB V vor?“

Warum ist das wichtig?Seit dem 1. Juli 2025 ist grundsätzlich ein aktuelles Typ-II-Testat vorgesehen. § 393 SGB V lässt jedoch unter bestimmten Voraussetzungen auch gleichwertige Sicherheitsnachweise zu. Welche alternativen Standards und Voraussetzungen dafür gelten, konkretisiert die C5-Gleichwertigkeitsverordnung.

‍

✓ 3. Was umfasst der Prüfungsbericht und was nicht?

Ein C5-Testat ist kein pauschales Sicherheitssiegel für ein ganzes Unternehmen. Im Prüfbericht wird der konkrete Cloud-Dienst beschrieben. Diese Systembeschreibung hilft dabei zu verstehen, welche Systeme, Prozesse und Beteiligten zum betrachteten Dienst gehören.

‍

Prüfen Sie:
☐ Was gehört zum beschriebenen Cloud-Dienst?
☐ Gibt es Einschränkungen oder ausdrücklich nicht einbezogene Bereiche?
☐ Welche externen Dienstleister spielen bei der Bereitstellung eine wesentliche Rolle?

‍

Fragen Sie den Anbieter:
„Welche Bestandteile unseres Dienstes sind vom Prüfungsumfang erfasst – und welche nicht?“

‍

✓ 4. Welche Unterdienstleister sind beteiligt?

Cloud-Dienste bestehen häufig aus einer Lieferkette. Ein SaaS-Anbieter kann beispielsweise selbst einen Cloud-Infrastrukturprovider oder weitere technische Dienstleister einsetzen.

Auch C5 berücksichtigt solche Abhängigkeiten und enthält Anforderungen an die Steuerung und Überwachung von Dienstleistern und Lieferanten.

‍

Prüfen Sie:
☐ Welche wesentlichen Unterdienstleister werden eingesetzt?
☐ Welche Aufgaben übernehmen sie?
☐ Wie werden diese Dienstleister vom Anbieter sicherheitsseitig gesteuert und überwacht?
☐ Ist aus dem Bericht erkennbar, wie sie bei der Prüfung berücksichtigt wurden?

‍

Fragen Sie den Anbieter:
„Welche wesentlichen Unterdienstleister sind an unserem Cloud-Dienst beteiligt und wie prüfen und überwachen Sie deren Sicherheitsanforderungen?“

‍

✓ 5. Wo können Ihre Daten verarbeitet werden?

Für Gesundheits- und Sozialdaten gelten beim Cloud-Einsatz besondere Anforderungen an die zulässigen Verarbeitungsorte.

Deshalb sollten Sie nicht nur nach dem Standort des Rechenzentrums fragen.

‍

Prüfen Sie:
☐ In welchen Ländern werden Ihre Daten gespeichert?
☐ In welchen Ländern findet darüber hinaus eine Verarbeitung statt?
☐ Von wo können beispielsweise Support- oder Wartungszugriffe erfolgen?

‍

Fragen Sie den Anbieter:
„In welchen Ländern können unsere Daten im Rahmen des Dienstes verarbeitet oder eingesehen werden?“

‍

✓ 6. Welche Sicherheitsaufgaben bleiben bei Ihnen?

Ein C5-Testat bedeutet nicht, dass der Anbieter sämtliche Sicherheitsaufgaben übernimmt.

Im Prüfbericht können deshalb sogenannte korrespondierende Kriterien für Kunden enthalten sein. Sie beschreiben Sicherheitsmaßnahmen und Voraussetzungen, die auf Kundenseite umgesetzt werden müssen und damit Teil der sicheren Nutzung des Cloud-Dienstes sind.

Das können je nach Dienst beispielsweise Vorgaben zur Benutzerverwaltung, zu Zugriffsrechten oder zu Sicherheitseinstellungen sein.

‍

Prüfen Sie:
☐ Welche Kundenanforderungen nennt der Bericht?
☐ Wer ist intern für deren Umsetzung verantwortlich?
☐ Sind die notwendigen technischen Funktionen beim Dienst aktiviert?

‍

Fragen Sie den Anbieter:
„Welche im C5-Bericht genannten Sicherheitsmaßnahmen müssen wir als Kund:in selbst umsetzen?“

‍