Durch das Krankenhauszukunftsgesetz (KHZG) hat der Bund beträchtliche Mittel in Höhe von 4,3 Milliarden Euro für die Modernisierung von Krankenhäusern bereitgestellt. Dennoch wird klar, dass die Hauptziele dieser Initiative, nämlich die Förderung der Digitalisierung im Healthcare-Bereich und Stärkung der Resilienz gegenüber Gesundheitskrisen, nicht allein durch staatliche Gelder erreicht werden können: Der Erfolg digitaler Transformationsprojekte hängt wesentlich von der Auswahl der richtigen IT-Technologien und dem spezifischen Fachwissen von Dienstleistern ab. Und das gilt längst nicht mehr nur in Sachen Datenschutz und Datensicherheit. 


Ein Blogbeitrag von Thomas Chudo, Senior Manager (Public/Health), noris network AG 

Elektronische Patientenakten, Roboter für Operationen, Videokonferenzsysteme für Ferndiagnosen – die finanzielle Unterstützung des Bundes im Rahmen des KHZG schafft Anreize für Krankenhäuser, in digitale Transformationsprojekte zu investieren. Dennoch scheint die zu Beginn des Jahres 2021 gestartete Initiative nur langsam voranzukommen. Dies ergab zumindest eine Umfrage, die Bitkom in Zusammenarbeit mit dem Ärzteverband Hartmannbund unter rund 530 Ärzten verschiedener Fachrichtungen durchgeführt hatte. Laut dieser Erhebung betrachten die meisten Ärzte, die bereits Gesundheits-Apps verschrieben haben oder dies in Erwägung ziehen, diese zwar als sinnvolle Ergänzung zum herkömmlichen medizinischen Angebot (68 Prozent). 29 Prozent sind sogar der Ansicht, dass digitale Gesundheits-Apps in bestimmten Fällen konventionelle Therapien ersetzen können.
 

Informationsdefizit hemmt Digitalisierungsprojekte 

Gleichzeitig besteht unter Ärzten in Deutschland insgesamt ein erheblicher Informationsbedarf in Bezug auf den Nutzen und die Anwendungsbereiche von Gesundheits-Apps. Die Mehrheit der Mediziner, die bereits digitale Gesundheitsanwendungen verschreiben oder dies in Zukunft tun werden, wünscht sich laut Erhebung eine zentrale Plattform, auf der sie und ihre Patienten Informationen über verfügbare digitale Gesundheitsanwendungen finden können. Andererseits fehlt jedem zehnten Arzt grundsätzlich das Verständnis für das Konzept einer digitalen Gesundheitsanwendung. Weitere 15 Prozent antworteten auf die Frage, ob sie eine solche App bereits verschrieben haben oder künftig verschreiben möchten, mit „weiß nicht“. Dr. Klaus Reinhardt, der Bundesvorsitzende des Hartmannbundes, betonte damals die Notwendigkeit, Ärzte besser über die Möglichkeiten digitaler Gesundheitsanwendungen zu informieren.
 

Gesundheitswesen: Schuster, bleib bei Deinen Leisten 

Ein Satz, der bezeichnend und leicht verständlich ist: Gesundheitseinrichtungen haben andere Hauptaufgaben als die Konfiguration von Netzwerkkomponenten, das Management von IT-Ressourcen mit Load-Balancing oder die Gewährleistung von Datensicherheit und Datenschutz. Für Planer im Gesundheitswesen gestaltet sich bereits die Suche nach geeigneten IT-Partnern anspruchsvoll. Dies resultiert teilweise aus der Tatsache, dass große Cloud-Anbieter wie Amazon Web Services (AWS), Microsofts Azure oder die Google Cloud zwar in technischer Hinsicht eine robuste IT-Infrastruktur bieten können, jedoch mit Einschränkungen im Hinblick auf Datensicherheits- und Datenschutzaspekte aufgrund amerikanischer Gesetze wie dem USA Patriot Act, wodurch die volle Kontrolle über sensible Informationen wie Patientendaten nicht mehr gewährleistet ist. Sprich: Einrichtungen aus dem Gesundheitswesen sind dringend darauf angewiesen, bei der Wahl des IT-Partners die Standortwahl zu berücksichtigen, ohne dabei auf die essenziellen Aspekte Sicherheit, Verfügbarkeit und Integrität verzichten zu können.
 

Healthcare-Branche ist auf deutsche Anbieter angewiesen 

Unabdingbar neben dem Standort Deutschland ist deshalb die Einhaltung angemessener Schutzkriterien und die Bestätigung eines hohen IT-Sicherheitsniveaus durch anerkannte Zertifizierungsstellen wie dem Bundesamt für Sicherheit in der Informationstechnik (BSI) oder dem TÜV. Dies schließt neben der internationalen Cyber-Security-Zertifizierung ISO 27001 für Informationssicherheits-Managementsysteme (ISMS) insbesondere den BSI C5-Kriterienkatalog (Cloud Computing Compliance Criteria Catalogue) ein. Dieser Katalog legt die Mindestanforderungen für sicheres Cloud Computing fest und richtet sich primär an professionelle Cloud-Anbieter, ihre Prüfer und Kunden. Die Zielsetzung einer Zertifizierung von Rechenzentrumsbetreibern gemäß dem C5-Kriterienkatalog besteht darin, die Informationssicherheit eines Cloud-Dienstes auf der Grundlage einer standardisierten Prüfung transparent darzustellen. Besonders hervorzuheben ist beispielsweise das TÜViT TSI Level 4-Zertifikat, das auch der Nürnberger Rechenzentrumsbetreiber und IT-Dienstleister noris network vorweisen kann. Es steht für höchste Schutzanforderungen und maximale Verfügbarkeit, was es gerade für das Gesundheitswesen besonders geeignet macht.
 

Georedundanz schützt im Katastrophenfall 

Ein weiterer essenzieller Gesichtspunkt bei der Auswahl des geeigneten Rechenzentrumsanbieters betrifft die Verfügbarkeit und die Sicherheit im Falle einer Katastrophe. Für IT-Verantwortliche im Gesundheitswesen bedeutet dies, nach Rechenzentren Ausschau zu halten, die die Redundanz von Daten und Anwendungen über zwei oder mehr Rechenzentren gewährleisten können, ohne dabei Abstriche bei der Sicherheit in Kauf nehmen zu müssen. Hierbei spielt die Georedundanz eine zentrale Rolle. Sie richtet sich nach Kriterien des Bundesamts für Sicherheit in der Informationstechnik (BSI), die speziell im Jahr 2018 für Behörden oder Unternehmen mit hohen oder sehr hohen Anforderungen an die Verfügbarkeit bei der Planung von Rechenzentrumsstandorten entwickelt wurden. Demnach müssen zwischen zwei Rechenzentren mindestens 100 Kilometer, in potenziellen Risikoszenarien sogar 200 Kilometer oder mehr liegen. Damit lässt sich gewährleisten, dass selbst im Fall eines vollständigen Ausfalls eines Rechenzentrums bei einer Katastrophe das andere den gesamten IT-Betrieb übernehmen kann.
 

SIEM im SOC: Sicherheit rund um die Uhr 

Speziell für die hochkomplexe Welt des Security Information and Event Management (SIEM) hat sich zudem ein Security Operation Center (SOC) bewährt. Das SOC bei Anbietern wie noris network beherbergt ein Expertenteam, das Cybersecurity-Vorfälle für Einrichtungen aus dem Gesundheitswesen 365 Tage im Jahr rund um die Uhr überwacht, identifiziert, analysiert und behebt. Die Zuständigkeit des SOCs erstreckt sich nicht nur auf die Erkennung von Bedrohungen, sondern beinhaltet auch die detaillierte Analyse, die Herkunftsforschung, die Berichterstattung über aufgedeckte Schwachstellen und proaktive Maßnahmen zur Vermeidung ähnlicher Vorfälle in der Zukunft. Das Team reagiert in Echtzeit auf Vorfälle und sucht kontinuierlich nach Wegen zur Optimierung des Sicherheitsstatus von Krankenhäusern. Diese Dienstleistung bringt insbesondere dann Vorteile, wenn äußerst schutzbedürftige Daten wie Patienteninformationen vorhanden sind und hat sich unter anderem bereits im Bankenwesen und öffentlichen Einrichtungen etabliert.
 

Paragraf 75c SGV sorgt für Handlungsbedarf 

Denn klar ist: Ab dem 1. Januar 2022 sind Spitäler „dazu verpflichtet, nach dem Stand der Technik angemessene organisatorische und technische Vorkehrungen zur Vermeidung von Störungen der Verfügbarkeit, Integrität und Vertraulichkeit sowie der weiteren Sicherheitsziele ihrer informationstechnischen Systeme, Komponenten oder Prozesse zu treffen, die für die Funktionsfähigkeit des jeweiligen Krankenhauses und die Sicherheit der verarbeitenden Patienteninformationen maßgeblich sind“. Der im typischen Behördendeutsch formulierte Paragraf 75c SGV 5 des Patientenschutzgesetzes für die IT-Sicherheit in Krankenhäusern in anderen Worten: Kommen Patienten durch erhebliche Störungen oder gar Ausfälle der stationären medizinischen Versorgung zu Schaden, drohen künftig ernste rechtliche Konsequenzen für Krankenhausträger, seine Organe und sogar verantwortliche Mitarbeiter. Voraussetzung dafür ist, dass das geforderte Mindestniveau an Informationssicherheit unterschritten worden ist.

Das Krankenhauszukunftsgesetz (KHZG) hat folgende Ziele: 

1. Förderung der Digitalisierung: Das Gesetz sieht finanzielle Unterstützung für Krankenhäuser vor, um ihre digitale Infrastruktur zu verbessern. Dies umfasst die Einführung der elektronischen Patientenakte, die Digitalisierung von Arbeitsabläufen und die Verbesserung der Telemedizin.
2. Verbesserung der Notfallversorgung: Ein weiteres Ziel des Gesetzes ist die Stärkung der Notfallversorgung in Krankenhäusern. Dazu gehören die Schaffung von Notaufnahmestationen und die bessere Vernetzung von Krankenhäusern, um eine effizientere Patientenversorgung zu gewährleisten.
3. Investitionen in die bauliche Infrastruktur: Das KHZG ermöglicht Krankenhäusern auch Investitionen in die Modernisierung ihrer baulichen Infrastruktur, um den steigenden Anforderungen gerecht zu werden.
4. Verbesserung der Patientenversorgung: Das Gesetz zielt darauf ab, die Qualität der medizinischen Versorgung in Krankenhäusern zu steigern und die Arbeitsbedingungen für das medizinische Personal zu verbessern.

Ein Blogbeitrag von Thomas Chudo, Senior Manager (Public/Health), noris network AG