IT-Sicherheitsverantwortung in der Arztpraxis: Rollen, Zuständigkeiten & Sicherheitsrichtlinien

Auf einen Blick (TL;DR): Die Gesamtverantwortung für die IT-Sicherheit bleibt immer beim Praxisinhaber, auch dann, wenn die Technik komplett ausgelagert ist. Die FMH-Empfehlung 1 des IT-Grundschutz, die erste von 11 Empfehlungen, verlangt, dass zwei Rollen klar besetzt sind: ein DSDS-Verantwortlicher (Datenschutz und Datensicherheit) und ein ICT-Betriebsverantwortlicher, beide mit Stellvertretung. Wer was tut, wer kontrolliert und welche Nachweise bei Auslagerung quartalsweise auf den Tisch müssen, darum geht es hier. Mehr zum gesamten Rahmen im Hub IT-Grundschutz.

> Hinweis: Dieser Artikel ordnet die organisatorischen Pflichten ein. Die konkrete technische Umsetzung, Härtung, Backup-Konzept, Monitoring, gehört in die Hände eines qualifizierten IT-Partners, der die Vorgaben Ihres DSDS-Verantwortlichen umsetzt und dokumentiert.

Wer trägt die IT-Sicherheitsverantwortung in der Arztpraxis?

Kurz: Sie als Praxisinhaberin oder Praxisinhaber. Das revidierte Datenschutzgesetz (revDSG), seit dem 1. September 2023 in Kraft, nennt diejenige Person, die über Zweck und Mittel der Datenbearbeitung entscheidet, den «Verantwortlichen», und in der Arztpraxis sind das fast immer die Inhaber selbst. Diese Rolle lässt sich delegieren, abgeben lässt sie sich nicht. Auch die FMH hält in ihrer Empfehlung unmissverständlich fest: «Die Arztpraxis ist für die Gewährleistung des Datenschutzes und der Datensicherheit verantwortlich.» Und weiter: «Die Praxisinhaberin ist gleichzeitig die Inhaberin der Daten und somit verantwortlich für deren Sicherheit und deren Schutz.»

Das ist kein juristisches Detail. Im revDSG kann bei vorsätzlichen Verstössen die *natürliche Person* gebüsst werden, nicht in erster Linie das Unternehmen. Der EDÖB formuliert es zu den Strafbestimmungen so: «Die Höchststrafe beträgt 250 000 Franken», und: «Es werden in erster Linie natürliche Personen bestraft.» Diese Busse von bis zu CHF 250'000 (etwa nach Art. 61 DSG bei verletzten Sorgfaltspflichten) trifft die verantwortliche Person also persönlich und lässt sich, anders als in der EU, nicht einfach auf die Firma abwälzen. Ist nach einem Vorfall niemand benennbar, der für die IT-Sicherheit zuständig war, landet die Frage automatisch bei der Praxisleitung. Deshalb beginnt der FMH-IT-Grundschutz nicht mit Firewalls, sondern mit Zuständigkeiten: Von den 11 Minimalanforderungen (aktuelle Version 2023) trägt die Empfehlung 1 nicht umsonst den Titel «Verantwortlichkeiten bestimmen und Vorgaben erlassen».

In der Praxis sieht das so aus: Sie behalten die Gesamtverantwortung, benennen aber Personen, die sich im Alltag kümmern, intern oder extern. Die FMH unterscheidet dafür zwei Rollen, und die zu vermischen ist ein häufiger Fehler.

Vergrössern

Welche zwei Sicherheitsrollen muss die Praxis trennen?

Der Grundgedanke der FMH-Empfehlung 1 ist eine saubere Trennung zwischen «Was muss geschützt werden?» und «Wie wird es technisch betrieben?».

Der DSDS-Verantwortliche (Datenschutz & Datensicherheit)

Diese Rolle gibt die Richtung vor. Laut FMH umfasst das Aufgabenspektrum des DSDS-Verantwortlichen «sowohl den Erlass als auch die Umsetzung» von Sicherheitsanforderungen rund um den Umgang mit Daten, den Datenaustausch sowie den Schutz von Endgeräten und Netzwerk. Er legt also fest, welche Sicherheitsvorgaben in der Praxis gelten, erlässt die internen Handlungsanweisungen und überwacht, dass sie eingehalten werden. Was er ausdrücklich *nicht* selbst tun muss: Server konfigurieren oder Backups einrichten.

Diese Rolle kann, so die FMH ausdrücklich, «durch die Praxisinhaberin selbst, den externen ICT-Dienstleister oder einen Praxismitarbeitenden» übernommen werden. In der Praxis ist das oft eine erfahrene MPA mit Affinität zum Thema oder ein externer IT-Dienstleister im Rahmen eines Mandats.

Der ICT-Betriebsverantwortliche

Diese Rolle setzt um. Der ICT-Betriebsverantwortliche baut die Infrastruktur auf, betreibt und wartet sie: Praxisserver, Netzwerk, Geräte, Updates, Backups. Er handelt nach den Vorgaben des DSDS-Verantwortlichen. Bei den meisten kleineren und mittleren Praxen ist das der ausgelagerte IT-Partner.

Das Verhältnis der beiden ist also ein Auftragsverhältnis im weiteren Sinn: Der eine definiert die Anforderung, der andere implementiert sie technisch, und meldet zurück. Wichtig ist, dass beide Rollen eine Stellvertretung haben. Fällt die zuständige MPA wochenlang aus oder ist der Inhaber in den Ferien, darf die Sicherheit nicht stillstehen.

Ob diese Rollen auf zwei Personen oder formell auf eine fallen, ist eine Frage der Praxisgrösse: In einer Einzelpraxis kann der Inhaber zugleich DSDS-Verantwortlicher sein und den Betrieb an den IT-Partner geben. Entscheidend ist, dass die Aufgaben benannt und schriftlich zugeordnet sind, nicht, dass möglichst viele Köpfe beteiligt sind.

Wie werden aus Sicherheitsregeln Handlungsanweisungen?

Eine Sicherheitsrichtlinie, die in einem PDF auf dem Server schlummert, schützt niemanden. Der praktische Sinn der Vorgaben liegt darin, dass das Team im Alltag weiss, was zu tun ist, und was nicht.

Bewährt hat sich, die Vorgaben in konkrete Handlungsanweisungen zu übersetzen, die kurz und alltagsnah sind:

Diese Anweisungen gehören in die Einarbeitung jeder neuen MPA. Ein kurzes jährliches Auffrischen, zehn Minuten in einer Teamsitzung, wirkt erfahrungsgemäss mehr als ein dickes Reglement, das niemand liest.

Warum müssen Daten klassifiziert werden?

Bevor man Schutzmassnahmen festlegt, muss klar sein, *was* man schützt. Die FMH bringt diesen Grundsatz in der Empfehlung zum Inventar auf den Punkt: «Es kann nur geschützt werden, was bekannt ist.» Genau deshalb empfiehlt sie, die Daten der Praxis vorab in Klassen einzuteilen. Das klingt theoretisch, ist aber der schnellste Weg zu sinnvollen Prioritäten, denn eine Lieferanten-Rechnung verlangt nicht denselben Schutz wie ein psychiatrischer Verlaufsbericht.

Vergrössern

Eine pragmatische Einteilung für die Arztpraxis:

Patientendaten zählen nach revDSG zu den «besonders schützenswerten Personendaten» und unterliegen zusätzlich dem ärztlichen Berufsgeheimnis, sie stehen damit immer zuoberst. Genau deshalb verlangt das Gesetz angemessene Schutzmassnahmen: Art. 8 DSG verpflichtet Verantwortliche und Auftragsbearbeiter, durch «geeignete technische und organisatorische Massnahmen» eine dem Risiko angemessene Datensicherheit zu gewährleisten (Art. 8 DSG, Fedlex). Welche Massnahmen konkret in Frage kommen, von Verschlüsselung über Authentifizierung bis Zugriffskontrolle, beschreibt der TOM-Leitfaden des EDÖB ausführlich. Wie Patientendaten im Alltag korrekt abgelegt, verschlüsselt und zugriffsbeschränkt werden, vertieft der Ratgeber Patientendaten sicher verwalten. Die Klassifizierung ist die Grundlage dafür, etwa Zugriffsrechte sinnvoll zu vergeben: Nicht jede Person am Empfang muss jede Krankengeschichte öffnen können.

Wie überwacht und überprüft man die Einhaltung?

Vorgaben aufzustellen ist das eine. Sie auch durchzusetzen, das andere. Die Überwachung ist Aufgabe des DSDS-Verantwortlichen, und sie muss nicht aufwendig sein, aber regelmässig stattfinden.

Mindestens einmal pro Jahr gehört das Sicherheitsdispositiv auf den Prüfstand. Die FMH nennt dafür unter anderem:

Halten Sie das Ergebnis kurz schriftlich fest, mit Datum und Verantwortlichem. Das ist keine Bürokratie: Im Ereignisfall, oder bei einer Anfrage des Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB), ist ein datiertes Protokoll Gold wert. Es zeigt, dass die Praxis ihre Sorgfaltspflicht ernst nimmt.

Ein Wort zum Verzeichnis der Bearbeitungstätigkeiten: Art. 12 DSG verpflichtet grundsätzlich jeden Verantwortlichen, ein solches Verzeichnis zu führen. Der Bundesrat hat zwar Unternehmen mit weniger als 250 Mitarbeitenden und «geringem Risiko» davon ausgenommen (Art. 12 Abs. 5 DSG), bei den besonders schützenswerten Gesundheitsdaten einer Praxis läuft diese Befreiung aber meist ins Leere. Ein schlankes Verzeichnis zu führen, ist deshalb der sichere Weg.

Welche Nachweise sollten Sie bei Auslagerung verlangen?

Die meisten Praxen betreiben ihre IT nicht selbst, das ist völlig in Ordnung. Auslagern heisst aber nicht «abgeben und vergessen»: Die Verantwortung bleibt bei Ihnen, also brauchen Sie regelmässig Belege, dass der Partner liefert, was vereinbart ist.

Die FMH verlangt in Empfehlung 11 («Externe Dienstleister beauftragen und überwachen»), die Zusammenarbeit «durch monatliche oder nach Bedarf erstellte Rapporte zu überwachen» und die nötigen Nachweise vertraglich festzuhalten. In der Praxis hat sich ein fixer Rhythmus bewährt, realistisch ist für die meisten Praxen mindestens quartalsweise ein Set aus drei Belegen:

Diese drei Punkte gehören in den Vertrag, idealerweise mit einem definierten Service Level Agreement (SLA). Worauf man bei der Auswahl sonst noch achten sollte, Datenstandort Schweiz, Auftragsbearbeitungsvertrag nach revDSG, Zertifizierungen, steht im Ratgeber IT-Dienstleister & Cloud für die Arztpraxis.

Ein seriöser Partner liefert diese Reportings von sich aus. Wer bei «Können Sie mir die letzte Backup-Bestätigung zeigen?» ins Schwimmen gerät, sagt damit schon einiges aus.

Das Wichtigste in Kürze

Häufig gestellte Fragen (FAQ)