{"id":3577833,"date":"2023-03-13T16:13:00","date_gmt":"2023-03-13T15:13:00","guid":{"rendered":"https:\/\/www.johner-institut.de\/blog\/?p=3577833"},"modified":"2025-03-21T13:13:56","modified_gmt":"2025-03-21T12:13:56","slug":"datensicherheit-und-datenschutz-fuer-diga","status":"publish","type":"post","link":"https:\/\/www.johner-institut.de\/blog\/regulatory-affairs\/datensicherheit-und-datenschutz-fuer-diga\/","title":{"rendered":"Wie Sie die Anforderungen an die Datensicherheit und den Datenschutz f\u00fcr DiGA erf\u00fcllen"},"content":{"rendered":"\n

Die Anforderungen an die Datensicherheit und den Datenschutz von DiGA<\/strong> (Digitalen Gesundheitsanwendungen) gehen weit \u00fcber den Fragenkatalog der DiGAV hinaus. Unz\u00e4hlige weitere Vorschriften machen es den Herstellern (nicht nur) digitaler Gesundheitsanwendungen immer schwerer, den \u00dcberblick im regulatorischen Dschungel zu bewahren<\/strong>.<\/p>\n\n\n\n

Dabei sollten Hersteller m\u00f6glichst keine Anforderungen \u00fcbersehen<\/strong>. Andernfalls drohen Probleme bei der Zulassung ihrer Produkte.<\/p>\n\n\n\n

Doch ein Vorgehensmodell schafft Klarheit<\/strong> und hilft nicht nur, Probleme zu vermeiden, sondern auch die Forderungen von Hunderten Seiten an Regularien zu konsolidieren. Dieses Vorgehensmodell k\u00f6nnen alle Medizinproduktehersteller anwenden, auch jene von SaMD (Software as Medical Device).<\/p>\n\n\n\n\n\n\n\n

1. Regulatorische Anforderungen an die Datensicherheit und den Datenschutz f\u00fcr DiGA<\/h2>\n\n\n\n

1.1 \u00dcberblick \u00fcber Regularien und Anforderungen<\/h3>\n\n\n\n

Die Anzahl der Regularien mit Anforderungen an die Datensicherheit und den Datenschutz f\u00fcr digitale Gesundheitsanwendungen ist immens. Tabelle 1 benennt die wichtigsten. Die nachfolgen Abschnitte stellen diese Anforderungen detaillierter vor.<\/p>\n\n\n\n

K\u00fcrzel<\/strong><\/td>Titel<\/strong><\/td>Kommentare, verpflichtend?<\/strong><\/td>Verbindlichkeit<\/strong><\/td>Seiten<\/strong><\/td><\/tr>
MDR<\/td>Medizinprodukte-Verordnung 2017\/745<\/td>Die EU-Verordnungen bilden den rechtlichen Rahmen f\u00fcr alle Medizinprodukte. Die Anforderungen an die IT-Sicherheit sind sehr allgemein gehalten.<\/td>Muss<\/td>175<\/td><\/tr>
DVG<\/td>Digitale-Versorgung-Gesetz<\/a><\/td>Nur allgemeine Forderung nach Datenschutz und Datensicherheit<\/td>Muss<\/td>23<\/td><\/tr>
DiGAV<\/td>Digitale-Gesundheitsanwendungen-Verordnung<\/a><\/td>Forderungen an Produkt und Organisation v.a. in \u00a7 4 und Anlage 1<\/td>Muss<\/td>31<\/td><\/tr>
Pr\u00fcfkriterien BfArM<\/td>Von digitalen Gesundheitsanwendungen (DiGA) und digitalen Pflegeanwendungen (DiPA) nachzuweisende Anforderungen an den Datenschutz (BfArM)<\/a><\/td>Zentrales Dokument<\/td>Muss<\/td>80<\/td><\/tr>
BSI 200-1<\/td>BSI-Standard 200-1, Managementsysteme f\u00fcr die Informationssicherheit<\/td>Entspricht am ehesten der ISO 27001<\/td>Kann, ist aber Voraussetzung f\u00fcr BSI 200-2<\/td>48<\/td><\/tr>
BSI 200-2<\/td>BSI-Standard 200-2, IT-Grundschutz-Methodik<\/td>Die DiGAV verlangt ein Informationssicherheits-managementsystem (ITSM) gem\u00e4\u00df BS 200-2 oder gem\u00e4\u00df ISO 27001. Der BSI 200-2 beschreibt, wie man ein ITSM einf\u00fchrt.<\/td>Muss ab 02.01.2022, alternativ ISO 27001<\/td>180<\/td><\/tr>
BSI TR-03161 1-3<\/a><\/td>Sicherheitsanforderungen an digitale Gesundheitsanwendungen<\/td>Dieses technische Regelwerk betrifft mobile Anwendungen, Web-Anwendungen und Hintergrundsysteme.
Die ersten Zertifizierungsstellen sind akkreditiert (Beispiel T\u00dcVIT<\/a>).<\/td>		Muss ab Januar 2025. Hier ist der Ablauf der Zertifizierung etwas genauer beschrieben<\/a>.<\/td>28<\/td><\/tr>
ISO 27001:2017<\/td>Informationstechnik \u2013 Sicherheitsverfahren \u2013 Informationssicherheitsmanagementsysteme \u2013 Anforderungen<\/td>Anforderungen an ein Managementsystem vergleichbar der ISO 9001 und ISO 13485, aber mit Fokus auf IT-Sicherheit<\/td>Muss ab 02.01.2022, alternativ: BSI 200-2<\/td>35<\/td><\/tr>
ISO\/IEC 82304-1<\/td>Gesundheitssoftware \u2013 Teil 1: Allgemeine Anforderungen f\u00fcr die Produktsicherheit<\/td>Diese Norm ist zur Harmonisierung unter der MDR vorgesehen.<\/td>Soll (k\u00fcnftig)<\/td>31<\/td><\/tr>
ISO\/IEC 82304-2<\/td>Health Software \u2013 Part 2: Health and wellness apps \u2013 Quality and reliability<\/td>Diese Norm ist noch in der Entwicklung, k\u00f6nnte aber Stand der Technik werden. Es soll ein Ampelsystem werden (wie beim \u201eEnergieausweis\u201c von Elektroger\u00e4ten).<\/td>Soll (k\u00fcnftig)<\/td>55<\/td><\/tr>
IEC 81001-5-1<\/td>Safety, security and effectiveness in the implementation and use of connected medical devices or connected health software \u2013 Part 5-1: Security \u2013 Activities in the product lifecycle<\/td>Diese Norm ist g\u00fcltig und zur Harmonisierung unter der MDR vorgesehen.<\/td>Soll (k\u00fcnftig)<\/td>39<\/td><\/tr>
 <\/td> <\/strong><\/td>Summe<\/strong><\/td> <\/strong><\/td>725<\/strong><\/td><\/tr><\/tbody><\/table>
Tab. 1: Wichtige Regularien mit Bezug zur Datensicherheit und zum Datenschutz f\u00fcr DiGA (umfassen mehr als 600 Seiten).<\/figcaption><\/figure>\n\n\n\n
<\/rect><\/rect><\/rect><\/rect><\/rect><\/rect><\/svg><\/div>Weiterf\u00fchrende Informationen<\/span><\/div>\n

Es gibt noch viele weitere Anforderungen an den Datenschutz und die Datensicherheit. Lesen Sie dazu die Artikel zum Datenschutz im Gesundheitswesen<\/a> und zur Datensicherheit im Gesundheitswesen<\/a>.<\/p>\n<\/div>\n\n\n\n

1.2 MDR\/IVDR<\/h3>\n\n\n\n

Im Gegensatz zu den EU-Richtlinien adressieren die EU-Verordnungen (die MDR<\/a> und die IVDR<\/a>) die Informationssicherheit explizit. Allerdings beschr\u00e4nken sie sich auf nur allgemeine Anforderungen:<\/p>\n\n\n\n