Kurze Antwort: ISO/IEC 27001 legt ein Informationssicherheits-Managementsystem (ISMS) fest: wie eine Organisation ihre Informationsrisiken identifiziert, Kontrollen auswählt, diese umsetzt und verbessert, wobei ein Auditor das Ergebnis zertifiziert. Sein Begleitstandard ISO/IEC 27002 beschreibt die Kontrollen selbst. ISO 27799 (Gesundheitsinformatik: Informationssicherheitsmanagement im Gesundheitswesen unter Verwendung von ISO/IEC 27002) greift diese Kontrollen auf und erläutert, wie sie auf personenbezogene Gesundheitsinformationen angewendet werden: Mindestanforderungen, gesundheitsspezifische Risiken und Kontrollen, die ein Krankenhaus oder ein Anbieter von Gesundheitssoftware als zwingend und nicht als optional behandeln sollte. Sie zertifizieren sich nach 27001; Sie nutzen 27799, um zu entscheiden, was das Zertifikat abdecken muss, wenn es sich bei den Daten um Gesundheitsdaten handelt. Krankenhäuser und nationale Programme verlangen zunehmend das Zertifikat plus Nachweis, dass die gesundheitsspezifischen Aspekte berücksichtigt wurden, oder ein nationales Schema, das diese integriert.
ISO/IEC 27001:2022 in einem Absatz
ISO/IEC 27001:2022 ist der international zertifizierbare Standard für ein Informationssicherheits-Managementsystem. Die Abschnitte 4 bis 10 legen Anforderungen an Kontext, Führung, risikobasierte Planung, Unterstützung, Betrieb, Leistungsbewertung und Verbesserung fest; Anhang A listet 93 Kontrollen in vier Themenbereichen auf, die in einer Erklärung zur Anwendbarkeit ausgewählt und begründet werden. Die Zertifizierung umfasst eine zweistufige Prüfung, jährliche Überwachung und eine Rezertifizierung alle drei Jahre.
Der Standard hat zehn Klauseln; die Klauseln 4 bis 10 sind die Anforderungen: Kontext und Geltungsbereich, Führung, Planung (Risikobewertung und -behandlung, Ziele), Unterstützung (Ressourcen, Kompetenz, Dokumentation), Betrieb, Leistungsbewertung (Überwachung, interne Audits, Managementbewertung) und Verbesserung. Anhang A listet 93 Kontrollen in vier Themenbereichen (organisatorisch, Personal, physisch, technologisch) auf, die 2022 gegenüber den 114 Kontrollen der Ausgabe von 2013 neu organisiert wurden, mit neuen Kontrollen für Bedrohungsintelligenz, Cloud-Dienste, IT-Bereitschaft für Geschäftskontinuität, Datenmaskierung, Verhinderung von Datenlecks, Überwachung, Webfilterung und sichere Codierung. Sie müssen nicht jede Kontrolle implementieren; Sie müssen in einer Erklärung zur Anwendbarkeit begründen, welche Sie anwenden und warum die anderen nicht relevant sind. Die Zertifizierung erfolgt durch ein Audit der Stufe 1 und Stufe 2, gefolgt von jährlichen Überwachungsaudits und einer Rezertifizierung alle drei Jahre.
Was ISO 27799 hinzufügt
ISO 27799 ergänzt die Kontrollen von ISO/IEC 27002 um gesundheitsspezifische Leitlinien: Für persönliche Gesundheitsinformationen macht es mehrere Kontrollen obligatorisch, darunter die eindeutige Benutzeridentifizierung, die rollen- und beziehungsbasierte Zugriffskontrolle, die Protokollierung jedes Zugriffs auf Gesundheitsakten, die Verschlüsselung auf mobilen Geräten und während der Übertragung, die sichere Entsorgung, das Vorfallmanagement und die Geschäftskontinuität. Außerdem beschreibt es spezifische Bedrohungen für Gesundheitsorganisationen.
27799 (aktuelle Ausgabe 2016) geht die Kontrollen von 27002 durch und gibt für jede an, was Gesundheitseinrichtungen tun sollten. Es hebt mehrere von "sollte in Betracht gezogen werden" auf "muss": eine dokumentierte Informationssicherheitspolitik, die speziell auf Gesundheitsinformationen zugeschnitten ist; eindeutige Benutzeridentifizierung (keine gemeinsamen Konten in klinischen Systemen); Zugriffskontrolle basierend auf Rolle und Behandlungsbeziehung; Audit-Protokollierung jedes Zugriffs auf personenbezogene Gesundheitsinformationen, die aufbewahrt und überprüft werden können; Verschlüsselung von Gesundheitsinformationen auf mobilen Geräten und während der Übertragung; sichere Entsorgung; Incident-Management, das Datenschutzverletzungen einschließt; und Geschäftskontinuität, da ein nicht verfügbarer Datensatz einen Patienten schädigen kann. Es erklärt auch gesundheitsspezifische Bedrohungen: Insider-Browsing von Aufzeichnungen bekannter Personen, Fehlzuordnung zwischen Patienten, die Schwachstelle von Forschungsextrakten und die langen Aufbewahrungsfristen, die alte Daten exponiert halten.
Die beiden zusammen und die Nachbarn
ISO/IEC 27001 und ISO 27799 arbeiten zusammen: 27001 ist das zertifizierbare Managementsystem und 27799 die Leitlinie für den Gesundheitssektor, welche Kontrollen einzubeziehen sind. Benachbarte Standards und Systeme decken weitere Bedürfnisse ab: ISO 27701 für den Datenschutz, ISO 27017 und 27018 für die Cloud, SOC 2 und HITRUST für US-Kunden, HDS (Frankreich), C5 (Deutschland), das NHS DSPT (England) und ENS (Spanien) für die nationale Beschaffung.
| Standard oder Schema | Typ | Verwenden Sie es für |
|---|---|---|
| ISO/IEC 27001:2022 | Zertifizierbare ISMS-Anforderungen | Das Zertifikat, das Krankenhäuser und Ausschreibungen verlangen |
| ISO/IEC 27002:2022 | Leitfaden für Kontrollen | Implementierung der Kontrollen aus Anhang A |
| ISO 27799:2016 | Leitfaden für den Gesundheitssektor | Festlegung des Umfangs und Begründung von Kontrollen für Gesundheitsdaten; Nachweis bei Due Diligence |
| ISO/IEC 27701:2019 | Datenschutzerweiterung für 27001/27002 | Nachweis des DSGVO-konformen Datenschutzes als Controller und Prozessor |
| ISO/IEC 27017 und 27018 | Leitfaden für Cloud-Sicherheit und Cloud-Datenschutz | Cloud-Anbieter und SaaS, die personenbezogene Daten verarbeiten |
| SOC 2 (AICPA) | US-Attestierungsbericht (Typ I oder II) zu Vertrauenskriterien | US-Kunden und Investoren; kein Zertifikat |
| HITRUST CSF | US-Gesundheitsrahmenwerk und Zertifizierung | US-Gesundheitssysteme und Kostenträger, die es verlangen |
| HDS (Frankreich) | Obligatorische Zertifizierung für das Hosting von Gesundheitsdaten in Frankreich | Jeder Anbieter, der französische Gesundheitsdaten hostet; basiert auf 27001 |
| C5 (Deutschland) | BSI Cloud-Attestierung | Deutscher öffentlicher Sektor und Krankenhausbeschaffung |
| NHS DSPT (England) | Jährliches Self-Assessment-Toolkit | Jeder Lieferant für den NHS |
| ENS (Spanien) | Nationales Sicherheitsframework | Spanische öffentliche Sektorsysteme |
| IEC 81001-5-1 | Sicherer Produktlebenszyklus für Gesundheitssoftware | Cybersicherheit für Medizinprodukte-Software, neben IEC 62304 |
Die meisten dieser Standards überschneiden sich stark mit dem Kontrollsatz von 27001; Organisationen ordnen einmal zu und verwenden die Nachweise wieder. Mehrere nationale Programme (HDS, C5, ENS) basieren auf 27001 und fügen Sektor- oder Länderanforderungen hinzu, weshalb 27001 das sinnvolle erste Zertifikat für ein Health-Tech-Unternehmen ist, das in Europa verkauft.
Was zertifiziert werden soll und wann
Für ein Health-Tech-Unternehmen, das in Europa verkauft, ist die übliche Vorgehensweise, zuerst ISO/IEC 27001 zu zertifizieren, bezogen auf die Plattform und die Teams, die sie betreiben. Dies geschieht, nachdem die Gesundheitskontrollen aus ISO 27799 implementiert wurden (protokollierte Zugriffe pro Datensatz, beziehungsbasierter Zugriff, Verschlüsselung, keine gemeinsamen Konten, getestete Wiederherstellungen). Danach werden ISO 27701, HDS, C5 oder SOC 2 hinzugefügt, wenn ein Markt dies verlangt.
- Umfang eng und ehrlich definieren: die Plattform und die Teams, die sie betreiben, nicht die Laptops des gesamten Unternehmens, es sei denn, sie berühren die Daten. Krankenhäuser lesen die Umfangsdefinition.
- Gesundheitsspezifische Aspekte bereits vor der Zertifizierung umsetzen: Zugriffsprotokolle pro Patientenakte, rollen- und beziehungsbasierter Zugriff, durchgängige Verschlüsselung, keine gemeinsamen Konten, getestete Wiederherstellungen. Die Sicherheitsfragebögen von Krankenhäusern fragen danach; 27799 ist die Checkliste.
- Zuerst 27001 zertifizieren, dann 27701 hinzufügen, wenn Sie als Controller und Prozessor für viele Kunden verarbeiten, und HDS oder C5 hinzufügen, wenn ein Markt dies verlangt, SOC 2, wenn US-Kunden dies tun.
- Den Bezug zur DSGVO sichtbar halten: Artikel 32 fordert Sicherheit, die dem Risiko angemessen ist, und ein 27001-Zertifikat mit einem auf 27799 basierenden Umfang ist der anerkannte Weg, dies nachzuweisen. Der Maßnahmenabschnitt der DPIA und der Risikobehandlungsplan des ISMS sollten dieselbe Liste sein. Siehe DPIA für eine Gesundheits-App.
- NIS2 (für in den Geltungsbereich fallende Unternehmen) und die vorgeschlagene Aktualisierung der HIPAA Security Rule lesen sich wie ISO 27001 Anhang A mit obligatorischer Multi-Faktor-Authentifizierung und Vorfallberichterstattung; ein ISMS beantwortet alle drei. Siehe NIS2 für Krankenhäuser und Anbieter.
Bei Anpheros
Anpheros betreibt sein Sicherheitsprogramm nach der Struktur von ISO 27001 mit den von 27799 als zwingend eingestuften Gesundheitskontrollen: protokollierte Zugriffe pro Datensatz, die die Person lesen kann, Zugriff nach Zustimmung und Zeit begrenzt, Verschlüsselung im Ruhezustand und während der Übertragung, Hosting in der EU, keine gemeinsamen Konten, getestete Backups und ein Prozess für Vorfälle mit der 72-Stunden-Frist der DSGVO. Die Entwickler-Website dokumentiert die Plattform-Sicherheit und das Audit, das im Sicherheitsbericht vom Oktober 2026 zu finden ist.
Diese Seite erklärt die Regulierung für Produkt- und Ingenieurteams. Sie stellt keine Rechtsberatung dar; die unter Quellen verlinkten Texte sind maßgeblich, und Ihr Datenschutzbeauftragter, Ihre benannte Stelle oder Ihr Rechtsberater entscheiden für Ihren Fall. Zuletzt überprüft: Oktober 2026.
Verwandte Seiten
- NIS2 für Krankenhäuser und Health-Tech-Anbieter
- DPIA für eine Gesundheits-App
- HIPAA vs. DSGVO
- Wer hat meine Krankenakte eingesehen?
- Übersicht über die Regulierung von Gesundheitsdaten
- Plattform-Sicherheit (Entwickler-Website)
Quellen
- ISO/IEC 27001:2022
- ISO/IEC 27002:2022
- ISO 27799:2016, Gesundheitsinformatik: Informationssicherheitsmanagement im Gesundheitswesen unter Verwendung von ISO/IEC 27002
- ISO/IEC 27701:2019
- ANS (Frankreich): HDS-Zertifizierung
- BSI (Deutschland): C5-Kriterienkatalog
- NHS England: Data Security and Protection Toolkit
Häufige Fragen
Kann ich mich nach ISO 27799 zertifizieren lassen?
Nein. 27799 ist ein Leitfaden; Zertifizierungsstellen zertifizieren ISO/IEC 27001. Sie können den Umfang und die Erklärung zur Anwendbarkeit von 27001 so gestalten, dass sie auf 27799 verweisen, damit das Zertifikat nachweislich gesundheitsspezifische Kontrollen abdeckt.
Ist SOC 2 gleichwertig mit ISO 27001?
Sie überschneiden sich, unterscheiden sich aber in ihrer Art: SOC 2 ist ein Prüfbericht über Kontrollen über einen Zeitraum anhand von Vertrauenskriterien, der in den USA üblich ist; 27001 ist ein zertifiziertes Managementsystem, das in Europa und international üblich ist. Viele Health-Tech-Unternehmen besitzen beides.
Benötige ich HDS, um französische Kliniken zu beliefern?
Wenn Sie Gesundheitsdaten für französische Leistungserbringer hosten, ja: Die HDS-Zertifizierung ist eine gesetzliche Anforderung gemäß dem französischen Gesetz über das öffentliche Gesundheitswesen, und die meisten französischen Kunden werden ohne sie keinen Vertrag abschließen. Sie baut auf 27001 auf, also beginnen Sie damit.
Wie lange dauert ISO 27001?
Für einen fokussierten Umfang mit einem engagierten Team dauert es sechs bis zwölf Monate vom Start bis zum Zertifikat, wobei die meiste Zeit für die Umsetzung der Kontrollen und die Sammlung von Nachweisen aufgewendet wird. Das Audit selbst dauert einige Tage.
Kostenlos in der Sandbox testen
Ihr erster FHIR-Aufruf in 5 Minuten. Eine HL7 FHIR R4 API mit der Zustimmung des Patienten: probieren Sie sie in der Sandbox aus und verbinden Sie dann Ihre eigene App oder Ihr Kliniksystem.
Kostenlos · 30 synthetische Patienten · keine Karte
Anpheros entwickelt eine Patientenakte, die der Patient kontrolliert und mit jeder Klinik teilen kann, auf einer HL7 FHIR R4-Plattform mit Sitz in der EU. Diese Anleitungen helfen Ihnen, Ihre Gesundheit zu verstehen und zu organisieren; sie ersetzen nicht Ihren Arzt.
Über Anpheros →