Die UIMC/UIMCert informiert:
Mit der Verordnung über gleichwertige Sicherheitsnachweise zum C5-Standard für Cloud-Computing-Dienste im Gesundheitswesen (C5GleichwV), die im März 2025 verkündet wurde und mit Wirkung zum 1. Juli 2024 in Kraft trat, konkretisiert das Bundesministerium für Gesundheit die Regelung des § 393 Abs. 4 SGB V.
Inhalte der C5GleichwV
Die Verordnung legt fest, unter welchen Voraussetzungen bestimmte Zertifikate oder Testate als gleichwertiger Sicherheitsnachweis zum C5-Standard anerkannt werden können. Dazu zählen insbesondere:
- DIN EN ISO/IEC 27001:2022
- ISO/IEC 27001 auf Basis von IT-Grundschutz
- Cloud Controls Matrix (CCM) Version 4.0
Die Anerkennung erfolgt jedoch nicht automatisch. Voraussetzung ist insbesondere eine Dokumentation der noch bestehenden Abweichungen zu den C5-Basiskriterien sowie ein Maßnahmenplan zu deren Beseitigung innerhalb der gesetzlich vorgesehenen Fristen.
C5GleichwV: Was tun?
Unternehmen sollten daher prüfen:
- ob ihre Cloud-Dienste überhaupt in den Anwendungsbereich des § 393 SGB V fallen;
- welche Systeme und Unterauftragnehmer vom Nachweis erfasst sind;
- ob vorhandene Zertifizierungen die Anforderungen der Verordnung tatsächlich erfüllen;
- welche zusätzlichen technischen und organisatorischen Maßnahmen erforderlich sind.
Rechlicher Rahmen zur Anerkennung
Die C5GleichwV schafft damit einen rechtlichen Rahmen für die Anerkennung bestimmter alternativer Sicherheitsnachweise. Sie ersetzt jedoch nicht die Prüfung der übrigen datenschutz- und sicherheitsrechtlichen Anforderungen, insbesondere nach DSGVO, BDSG und den einschlägigen Vorschriften des Sozialrechts
