Der ENISA-Bericht kommt zu dem Zeitpunkt, zu dem die Europäische Kommission in diesem Jahr die Initiative „Europäischer Raum für Gesundheitsdaten“ vorantreibt, um den sicheren Austausch von Patientendaten und den Zugang zu Gesundheitsdaten zu fördern.
Die COVID-19-Pandemie hat gezeigt, dass der Bedarf an effizienten und sicheren digitalen Gesundheitsdiensten gestiegen ist. Cloud-Lösungen ermöglichen eine flexible und rasche Einführung der elektronischen Speicherung von Daten und elektronischer Kommunikation wie Telemedizin. Allerdings haben die Komplexität der Rechtssysteme und der neuen Technologien sowie die Bedenken hinsichtlich der Sicherheit sensibler Patientendaten den Gesundheitssektor bei der Einführung von Cloud-Diensten gebremst.
Der Bericht trägt diesen Bedenken Rechnung, indem er Sicherheitsleitlinien für drei Hauptbereiche enthält, in denen Cloud-Dienste vom Gesundheitssektor genutzt werden, und zwar für:
- Elektronische Patientenakte (EHR), d. h. Systeme mit Schwerpunkt auf der Erhebung, Speicherung, Verwaltung und Übermittlung von Gesundheitsdaten wie Patienteninformationen und Ergebnissen medizinischer Untersuchungen;
- Fernbetreuung, d. h. die Teilmenge der Telemedizin, die Fernkonsultationen von Patienten und Ärzten unterstützt;
- Medizinprodukte, d. h. Cloud-Dienste, die den Betrieb von Medizinprodukten unterstützen, z. B. Bereitstellung von Daten über Medizinprodukte für verschiedene Interessenträger oder für die Produktüberwachung.
Für jeden dieser Anwendungsfälle werden in dem Bericht die wichtigsten Faktoren hervorgehoben, die bei der Durchführung der einschlägigen Risikobewertung durch die Gesundheitseinrichtungen zu berücksichtigen sind, z. B. im Hinblick auf das Risiko für sensible Patientendaten oder die Verfügbarkeit eines medizinischen Dienstes. Diese Leitlinien sind jedoch nur ein erster Schritt für die Gesundheitsdienstleister, sich sicher an die Cloud anzupassen. Mehr Unterstützung ist erforderlich, z. B. etablierte Industriestandards für die Cloud-Sicherheit, spezifische Vorgaben der nationalen und EU-Behörden und weitere Leitlinien der Datenschutzbehörden für die Übermittlung von Gesundheitsdaten in die Cloud.
In dem Bericht wird auch eine Reihe von Sicherheitsmaßnahmen vorgeschlagen, die die Gesundheitseinrichtungen bei der Planung ihres Übergangs zu Cloud-Diensten umsetzen müssen, wie z. B. die Einrichtung von Verfahren für das Störfallmanagement, die Festlegung von Anforderungen an die Datenverschlüsselung und die Gewährleistung der Datenübertragbarkeit und Interoperabilität. Die vorgeschlagenen Maßnahmen werden unter Berücksichtigung des Entwurfs des möglichen EU-Systems für die Cybersicherheitszertifizierung von Cloud-Diensten (EUCS) vorgeschlagen, um die Kompatibilität und die Erfassung der Anforderungen zu gewährleisten. Der Entwurf des Systems der Agentur ist Teil des Rahmens für die Cybersicherheitszertifizierung, mit dem das Vertrauen in IKT-Produkte, -Dienste und -Prozesse in ganz Europa gestärkt werden soll. Der Entwurf der Regelung steht bis zum 7. Februar 2021 zur öffentlichen Konsultation zur Verfügung.