Minimalanforderungen IT-Grundschutz für Praxisärztinnen und Praxisärzte

Die zunehmende Digitalisierung und Vernetzung im Gesundheitswesen eröffnet neue Möglichkeiten und trägt damit zur Verbesserung der Behandlungsabläufe und zur Entwicklung der Qualität in der Medizin bei.

Neben den Vorteilen birgt sie jedoch auch Risiken im Bereich des Datenschutzes und der Datensicherheit: Cyberangriffe auf Gesundheitsdaten und auf die ICT-Infrastruktur können die Privatsphäre von Patientinnen und Patienten beeinträchtigen, das Tagesgeschäft einer Arztpraxis stark einschränken, finanziellen Schaden sowie Reputationsschaden nach sich ziehen und nicht zuletzt die Behandlung der Patientinnen und Patienten beeinflussen.

Die Arztpraxis ist für die Gewährleistung des Datenschutzes und der Datensicherheit verantwortlich. Der Gesetzgeber hat medizinische Daten im Bundesgesetz zum Datenschutz (DSG) als besonders schützenswerte Personendaten eingestuft, sodass umfangreiche Massnahmen für einen angemessenen Schutz dieser Daten erforderlich sind. Aufbau, Unterhalt und Wartung einer sicheren ICT-Infrastruktur, die Erarbeitung von Sicherheitsanforderungen und die Sensibilisierung der Mitarbeitenden zugunsten einer neuen Sicherheitskultur sind umfassende Aufgaben, die personelle und finanzielle Ressourcen erfordern.

Um Praxisinhaberinnen und Praxisinhaber zu unterstützen und weil auf Bundesebene
bisher keine Empfehlungen vorliegen, hat die FMH Minimalanforderungen zum IT-Grundschutz für Arztpraxen erarbeitet. Die Minimalanforderungen haben Empfehlungscharakter und beinhalten Anforderungen, die ein Mindestniveau an Sicherheit für Daten, Informationen und die ICT-Infrastruktur sicherstellen.

Die Minimalanforderungen werden in einer grafischen Übersicht (D1), einem 11-Punkte Programm (D2) und in einem Dokument mit detaillierten Empfehlungen und Massnahmen (D3) beschrieben. Die Zielgruppen sind je nach Dokument unterschiedlich: Das D1- und D2-Dokument richtet sich jeweils an Praxisinhaber/innen sowie Praxismitarbeiter/innen. Sie geben eine Übersicht über die wichtigsten Empfehlungen zum IT-Grundschutz in Arztpraxen und über die dazugehörigen Massnahmen. Das D3-Dokument enthält umfangreichere Empfehlungen und Massnahmen und richtet sich primär an ICT-Dienstleister/innen (beauftragte Dritte oder interne Verantwortliche).