Neue HIPAA-Regeln schreiben MFA und Verschlüsselung für elektronische Gesundheitsdaten vor – ist Ihre Organisation bereit?

Die HIPAA-Sicherheitsrichtlinie wird umfassend aktualisiert – eine der größten Aktualisierungen seit Jahren. Am 27. Dezember 2024 schlug das Office for Civil Rights (OCR) neue Cybersicherheitsanforderungen vor, die elektronische geschützte Gesundheitsdaten (ePHI) vor der zunehmenden Welle von Cyberbedrohungen schützen sollen.

Diese Aktualisierungen wurden am 6. Januar 2025 veröffentlicht und leiteten eine 60-tägige öffentliche Kommentierungsfrist ein. Nach Ablauf dieser Frist wird das OCR die eingegangenen Rückmeldungen prüfen, die vorgeschlagene Regelung gegebenenfalls überarbeiten und sie zur Genehmigung freigeben. Nach Genehmigung und Veröffentlichung enthält die Regelung ein Inkrafttretensdatum und einen Zeitplan für die Einhaltung der Vorschriften. Sofern es zu keinen größeren Verzögerungen kommt, könnte die endgültige Regelung Ende 2025 oder Anfang 2026 in Kraft treten. Sie wird ein Inkrafttretensdatum und eine Frist für die Einhaltung der Vorschriften enthalten (in der Regel 6–24 Monate nach Veröffentlichung).

Die Änderungen zielen darauf ab, einen besseren Datenschutz und klarere Compliance-Vorgaben zu etablieren. Dies geschieht zusätzlich zur verpflichtenden Durchsetzung kritischer Sicherheitsmaßnahmen.

Diese Maßnahmen umfassen:

• Multi-Faktor-Authentifizierung (MFA) für alle Systeme, die auf elektronische Gesundheitsdaten zugreifen
• Verschlüsselung von elektronischen Gesundheitsdaten im Ruhezustand und während der Übertragung
• Technologie-Asset-Inventare und Netzwerk-Mapping zur Verfolgung von ePHI-Bewegungen
• Strengere und detailliertere Risikoanalyseanforderungen

Verantwortliche für Datensicherheit müssen nachweisen, dass elektronische Gesundheitsdaten (ePHI) jederzeit und überall angemessen geschützt sind. Vielen Organisationen fehlt jedoch der Überblick über ihre Daten und die Personen, die darauf zugreifen.

Die Frage lautet also: Wie kann man Datenschutz gewährleisten und die Einhaltung von Vorschriften nachweisen, wenn man nicht weiß, wo sich die elektronischen Gesundheitsdaten (ePHI) befinden? Man kann nicht schützen, was man nicht kennt, und man kann die Multi-Faktor-Authentifizierung (MFA) nicht durchsetzen, wenn man nicht weiß, wer auf ePHI zugreift.

Die neuen HIPAA-Sicherheitsanforderungen im Detail erklärt

1. Multi-Faktor-Authentifizierung (MFA) ist jetzt erforderlich

Die Multi-Faktor-Authentifizierung (MFA) ist keine Empfehlung mehr, sondern Pflicht für jedes System, das Zugriff auf elektronische Gesundheitsdaten (ePHI) gewährt. Dies gilt für lokale, Cloud- und Drittanbietersysteme, die von betroffenen Einrichtungen und Geschäftspartnern genutzt werden.

Was Sie tun müssen:

• Implementieren Sie die Multi-Faktor-Authentifizierung für alle Konten, die auf elektronische Gesundheitsdaten zugreifen.
• Überwachen Sie den Zugriff auf verdächtige Aktivitäten.
• Erzwingen Sie eine rollenbasierte Zugriffskontrolle, um unnötige Zugriffe einzuschränken

So hilft Cyera: Um die Multi-Faktor-Authentifizierung (MFA) durchzusetzen, müssen Sie Ihre Daten zunächst ermitteln und klassifizieren, um zu verstehen, wo sich Ihre elektronischen Gesundheitsdaten (ePHI) befinden. Mit diesen Informationen, die Ihnen die Ermittlungs- und Klassifizierungsfunktionen von Cyera in Verbindung mit unserem Identitätsmodul liefern, erhalten Sie Klarheit darüber, wo Ihre ePHI gespeichert sind und wer – oder was – Zugriff darauf hat.

2. Die Verschlüsselung muss sowohl im Ruhezustand als auch während der Übertragung durchgesetzt werden.

Verschlüsselung ist eine bewährte Vorgehensweise in der Branche, aber jetzt ist sie durch HIPAA ausdrücklich vorgeschrieben. Elektronische Gesundheitsdaten (ePHI) müssen standardmäßig verschlüsselt werden – unabhängig davon, ob sie strukturiert, semistrukturiert oder unstrukturiert sind.

Auch wenn die Art der Verschlüsselung nicht explizit angegeben ist, muss sie angemessen und sachgerecht sein, zum Beispiel:

• Anwendung der AES-256-Verschlüsselung für ruhende Daten
• Verwendung von TLS 1.2+ Verschlüsselung für Daten während der Übertragung
• Sicherstellen, dass Cloud-Anbieter und Drittanbieter die Verschlüsselungsrichtlinien einhalten

Der letzte oben genannte Punkt bedeutet erhöhte Sorgfaltspflichten bei der Zusammenarbeit mit Dritten. Dies führt zu Prozessänderungen, einschließlich Risikobewertungen von Drittanbietern, sowie zu aktualisierten Vertragsklauseln, um eine ordnungsgemäße Datenverarbeitung zu gewährleisten.

Wie Cyera hilft: Verstehen, wo Ihre elektronischen Gesundheitsdaten (ePHI) gespeichert sind ist der erste Schritt zur Überprüfung der Verschlüsselung. Cyeras DSPM Die Lösung bietet umfassende Einblicke in Ihre Datenspeicher und liefert detaillierte Metadaten, die Ihnen bei der Bewertung kritischer Sicherheitsmaßnahmen, einschließlich der Verschlüsselung, helfen.

Die Transparenz der Verschlüsselung kann je nach Speichersystem variieren. Bei lokalen Daten ist die Verschlüsselung oft komplex: Zwar verschlüsselt ein Speichersystem die Festplatte, dies bedeutet jedoch nicht zwangsläufig, dass auch die Daten selbst verschlüsselt sind. Die Festplattenverschlüsselung schützt primär vor physischem Diebstahl und weniger vor der Sicherung ruhender Daten. Cyera unterstützt Sie dabei, diese Komplexität zu bewältigen und sicherzustellen, dass Ihre Verschlüsselungsmaßnahmen den Sicherheits- und Compliance-Standards entsprechen.

3. Organisationen müssen alle Technologie-Assets und Datenbewegungen nachverfolgen.

Die neue Regelung bringt eine weitere wichtige Anforderung mit sich: Jede Organisation muss ein aktuelles Verzeichnis aller Technologie-Assets führen, die elektronische Gesundheitsdaten (ePHI) verarbeiten, speichern oder übertragen. Dies umfasst die Erstellung einer Netzwerkkarte, die den Datenfluss von ePHI zwischen internen Systemen und externen Partnern nachverfolgt.

Diese Anforderung ähnelt der PCI-Konformität, bei der Organisationen die Architektur und die Komponenten ihrer Karteninhaberdatenumgebung klar dokumentieren müssen. Gemäß den neuen HIPAA-Regeln müssen betroffene Einrichtungen nun eine klar definierte Umgebung für Inhaber und Verarbeiter elektronischer Gesundheitsdaten (ePHI) einrichten.

Entscheidend ist, dass elektronische Gesundheitsdaten (ePHI) ausschließlich innerhalb dieser festgelegten und dokumentierten Umgebung gespeichert, verarbeitet oder übertragen werden. Gelangen ePHI aus dieser kontrollierten Umgebung in einen Bereich außerhalb des Geltungsbereichs innerhalb des Unternehmens, muss auch diese Umgebung die in der Regelung festgelegten Mindestsicherheitsanforderungen erfüllen und unterliegt der Prüfung.

Was Sie tun müssen:

• Identifizieren und dokumentieren Sie alle Systeme, Geräte und Anwendungen, die elektronische Gesundheitsdaten speichern oder verarbeiten.
• Erstellen Sie eine Übersicht darüber, wie elektronische Patientendaten (ePHI) innerhalb interner und externer Umgebungen übertragen werden.
• Überprüfen und aktualisieren Sie dieses Inventar mindestens jährlich – oder nach größeren Änderungen.

Wie Cyera hilft: Viele Unternehmen haben im Laufe der Jahre den Überblick über ihre sensibelsten Daten, darunter auch elektronische Patientenakten (ePHI), verloren. Cyera bietet hier die Lösung. Durch die Anbindung an Ihre Datenquellen erkennt, inventarisiert und klassifiziert Cyera Daten automatisch, hochpräzise, ​​skalierbar und schnell – sogar Schattendaten, deren Existenz Ihnen möglicherweise gar nicht bewusst ist. Mithilfe von KI kann Cyera sogar unternehmensspezifische ePHI-Datentypen aufdecken, die mit herkömmlichen Methoden wie regulären Ausdrücken (RegEx) und Mustererkennung nicht möglich sind.

4. Die Risikoanalyse muss umfassender sein.

HIPAA Risikobewertungen waren schon immer erforderlich, doch die neue Regelung bedeutet, dass eine allgemeine Sicherheitsrisikobewertung nicht mehr ausreicht. Die neue Regelung verlangt detailliertere Bewertungen von Cyberbedrohungen, Schwachstellen und Schutzmaßnahmen speziell zum Schutz elektronischer geschützter Gesundheitsdaten (ePHI).

Was Sie tun müssen:

• Überprüfen Sie Ihr Technologie-Asset-Inventar und Ihre Netzwerkkarte.
• Identifizieren Sie alle realistischen Bedrohungen für die Vertraulichkeit, Integrität und Verfügbarkeit von elektronischen Gesundheitsdaten.
• Schwachstellen in elektronischen Systemen und Netzwerken bewerten
• Risikostufen anhand der Eintrittswahrscheinlichkeit und der potenziellen Auswirkungen bestimmen

Dies ist auch keine einmalige Prüfung – es bedarf einer kontinuierlichen Überwachung und Risikominderung, um die Einhaltung der Vorschriften zu gewährleisten.

Wie Cyera hilft: Cyera bietet detaillierte Datenrisikoanalysen, indem wir Ihren Reifegrad der Datensicherheit anhand von Governance-, Datenschutz-, Sicherheits- und Compliance-Kontrollen ermitteln, klassifizieren und bewerten. Mit dieser Analyse identifizieren wir Risiken und liefern tiefere Einblicke in die Wirksamkeit kritischer Datensicherheitskontrollen. Die Analyse umfasst eine virtuelle, vom CISO geleitete Reifegradbewertung mithilfe des Capability Maturity Model Integration (CMMI), um Ihnen zu helfen, Ihre Datensicherheitslage im Hinblick auf HIPAA und andere regulatorische Rahmenbedingungen zu verstehen.

5. Adressierbare Sicherheitsmaßnahmen müssen gerechtfertigt sein

HIPAA ermöglicht durch „adressierbare“ Sicherheitsmaßnahmen (manchmal auch kompensierende Kontrollen genannt) einen gewissen Spielraum. Das bedeutet, dass die Mindestanforderungen an Kontrollen durch verschiedene Ansätze erfüllt werden können, darunter Design, Architektur oder eine Kombination komplementärer Kontrollen, die zusammenwirken, um die regulatorischen Standards zu erfüllen oder zu übertreffen. Die neue Regelung stellt klar, dass Organisationen ihre Gründe für die alternative Maßnahme vollständig dokumentieren und eine detaillierte Begründung liefern müssen.

Was Sie tun müssen:

• Stellen Sie sicher, dass jede Abweichung von den Standard-Sicherheitskontrollen gründlich dokumentiert wird.
• Identifizieren Sie gegebenenfalls akzeptable alternative Sicherheitsmaßnahmen.
• Seien Sie darauf vorbereitet, Ihre Sicherheitsentscheidungen bei Audits zu verteidigen.

So hilft Cyera: Cyera bietet detaillierte Metadaten zu Ihren Datenspeichern, einschließlich der vorhandenen – oder fehlenden – Sicherheitsmaßnahmen. Dies, zusammen mit dem Datenrisikobewertungsdienst, schafft Transparenz bei der Umsetzung Ihrer Kontrollmaßnahmen im Umgang mit elektronischen Gesundheitsdaten (ePHI).

Eine starke Datensicherheitsarchitektur vereinfacht die Einhaltung der Vorschriften.

Die neuen HIPAA-Anforderungen spiegeln einen Wandel wider: Gesundheitsorganisationen müssen ihre Datensicherheitsprogramme verbessern. Organisationen, die einen datenzentrierten Ansatz verfolgen, optimieren die HIPAA-Konformität und reduzieren gleichzeitig das Risiko von Datenschutzverletzungen, Bußgeldern und Reputationsschäden.

Ist Ihre Organisation auf diese HIPAA-Änderungen vorbereitet? Jetzt ist der richtige Zeitpunkt, um zu überprüfen, wie Sie elektronische Gesundheitsdaten (ePHI) erfassen, sichern und deren Schutz durchsetzen. Fordern Sie noch heute eine Demo an. um zu sehen, wie Cyera helfen kann.