HIPAA-Konformität für MSPs: Was ändert sich und was müssen Sie jetzt tun?

HIPAA, das „Health Insurance Portability and Accountability Act“, ist eines der bekanntesten Compliance-Rahmenwerke in den USA und eines der folgenreichsten für MSPs, die Kunden aus dem Gesundheitswesen betreuen. Wenn Ihr MSP die IT für Krankenhäuser, Kliniken, Zahnarztpraxen, Anbieter psychischer Gesundheitsdienste, Krankenversicherer oder andere Organisationen verwaltet, die geschützte Gesundheitsdaten (PHI) verarbeiten, ist die Einhaltung der HIPAA-Vorschriften keine Option. Es handelt sich um eine gesetzliche Verpflichtung, die sich direkt aus dem Dienstleistungsverhältnis ergibt.

Laut dem „Kaseya State of the MSP Report 2026“ gaben 71 % der MSPs an, im Vergleich zum Vorjahr ein Umsatzwachstum im Bereich Cybersicherheit verzeichnet zu haben, wobei HIPAA-Compliance-Dienstleistungen einen wesentlichen Beitrag für MSPs leisten, die Kunden aus dem Gesundheitswesen betreuen. Laden Sie den vollständigen Bericht herunter.

Noch wichtiger ist: Die HIPAA-Vorschriften ändern sich. Am 27. Dezember 2024 veröffentlichte das HHS Office for Civil Rights einen Entwurf für eine neue Verordnung, der – sofern er in Kraft tritt – die bedeutendste Aktualisierung der HIPAA-Sicherheitsvorschriften seit 2003 darstellen wird. MSPs und IT-Teams im Gesundheitswesen, die wissen, was auf sie zukommt, können sich proaktiv vorbereiten, anstatt in Hektik zu verfallen, wenn die endgültige Verordnung in Kraft tritt.

HIPAA-Konformität als Managed Service bereitstellen

Compliance Manager GRC bietet eine Bewertung der Lücken in Bezug auf die HIPAA-Sicherheitsvorschriften, einen Workflow für die Risikoanalyse, Unterstützung bei der Dokumentation von BAA-Vereinbarungen sowie die Erfassung technischer Nachweise in allen von Ihnen verwalteten Umgebungen.

Entdecken Compliance Manager GRC

Was ist HIPAA?

HIPAA ist ein 1996 verabschiedetes US-Bundesgesetz, das vom HHS Office for Civil Rights (OCR) verwaltet wird. Es legt Datenschutz- und Sicherheitsstandards für geschützte Gesundheitsdaten (Protected Health Information, PHI) fest, d. h. für individuell identifizierbare Gesundheitsdaten, die sich auf den vergangenen, gegenwärtigen oder zukünftigen Gesundheitszustand einer Person, ihre medizinische Behandlung oder die Bezahlung von Gesundheitsleistungen beziehen.

Das Gesetz gilt für „betroffene Einrichtungen“ (Gesundheitsdienstleister, Krankenkassen und Clearingstellen im Gesundheitswesen) und – was besonders wichtig ist – für deren „Geschäftspartner“ – also jede Organisation, die im Auftrag einer betroffenen Einrichtung geschützte Gesundheitsdaten (PHI) erstellt, entgegennimmt, verwaltet oder übermittelt.

Für IT-Fachkräfte ist die Sicherheitsvorschrift des HIPAA, die sich auf elektronische geschützte Gesundheitsdaten (ePHI) bezieht, der für den Betrieb relevanteste Bestandteil. Sie verpflichtet betroffene Einrichtungen und Geschäftspartner dazu, administrative, physische und technische Sicherheitsmaßnahmen zu ergreifen, um die Vertraulichkeit, Integrität und Verfügbarkeit von ePHI zu gewährleisten.

Für wen gilt das HIPAA-Gesetz, einschließlich MSPs?

Betroffene Einrichtungen sind Gesundheitsdienstleister, die übliche elektronische Transaktionen (Abrechnungen, Überweisungen, Berechtigungsprüfungen) durchführen, Krankenkassen sowie Clearingstellen im Gesundheitswesen.

Geschäftspartner sind alle Personen oder Organisationen, die im Auftrag einer betroffenen Einrichtung Aufgaben im Zusammenhang mit geschützten Gesundheitsdaten (PHI) wahrnehmen. Dazu zählen IT-Dienstleister, Cloud-Dienste, die geschützte Gesundheitsdaten hosten, Abrechnungsunternehmen, Anwaltskanzleien, die sich mit Gesundheitsangelegenheiten befassen, sowie Managed-Service-Provider.

Ein MSP, der IT-Dienstleistungen für eine betroffene Einrichtung erbringt – sei es durch die Verwaltung von Systemen, die geschützte Gesundheitsdaten (PHI) enthalten, die Bereitstellung von Backups, die PHI umfassen, das Anbieten von Fernzugriff auf klinische Systeme oder die Verwaltung der Netzwerksicherheit –, gilt als Geschäftspartner und unterliegt unmittelbar den Anforderungen der HIPAA-Sicherheitsvorschrift.

Auch Subunternehmer von Geschäftspartnern gelten als Geschäftspartner. Wenn ein MSP einen Cloud-Backup-Anbieter zur Speicherung von PHI-Backups nutzt, ist dieser Anbieter ebenfalls ein Geschäftspartner der betroffenen Einrichtung. Die HIPAA-Verpflichtungen gelten entlang der gesamten Lieferkette.

Die drei HIPAA-Vorschriften, die IT-Teams kennen müssen

Die Datenschutzverordnung regelt, wie geschützte Gesundheitsdaten (PHI) verwendet und weitergegeben werden dürfen. Es handelt sich dabei in erster Linie um eine politische und administrative Angelegenheit, doch IT-Teams müssen sie verstehen, um Zugriffskontrollen und die Protokollierung von Weitergaben korrekt zu konfigurieren.

Die Sicherheitsvorschrift (45 CFR Teile 160 und 164) ist die wichtigste technische Compliance-Anforderung. Sie verpflichtet betroffene Einrichtungen und Geschäftspartner zur Umsetzung von Schutzmaßnahmen in drei Kategorien:

• Administrative Sicherheitsmaßnahmen: Risikoanalyse, Risikomanagement, Schulung der Mitarbeiter, Verfahren zur Zugriffskontrolle, Verfahren zur Reaktion auf Vorfälle.
• Physische Sicherheitsmaßnahmen: Zugangskontrollen zu den Räumlichkeiten, Richtlinien zur Nutzung von Arbeitsplätzen und zur Sicherheit sowie Kontrollen von Geräten und Datenträgern.
• Technische Sicherheitsmaßnahmen: Zugriffskontrollen (eindeutige Benutzer-IDs, Notfallzugriff, automatische Abmeldung, Verschlüsselung), Überwachungsmaßnahmen (Aktivitätsprotokolle für Hardware und Software), Integritätskontrollen (Sicherstellung, dass ePHI nicht unzulässig verändert wurde) und Übertragungssicherheit (Verschlüsselung von ePHI während der Übertragung).

Die Vorschrift zur Benachrichtigung bei Datenschutzverletzungen verpflichtet betroffene Einrichtungen, betroffene Personen, das HHS und in einigen Fällen auch die Medien innerhalb von 60 Tagen nach Feststellung einer Verletzung ungesicherter PHI zu benachrichtigen. Geschäftspartner müssen die betroffene Einrichtung unverzüglich und innerhalb von 60 Tagen nach Feststellung einer Verletzung, die die PHI der betroffenen Einrichtung betrifft, benachrichtigen.

Die vorgeschlagene Aktualisierung der Sicherheitsvorschriften: Was MSPs beachten müssen

Der im Dezember 2024 veröffentlichte Entwurf für eine neue Verordnung (Notice of Proposed Rulemaking, NPRM) stellt die bedeutendste vorgeschlagene Änderung der HIPAA-Sicherheitsvorschrift seit über zwei Jahrzehnten dar. Das HHS hatte den Mai 2026 als Zieltermin für die Verabschiedung der endgültigen Verordnung vorgesehen, doch da im Rahmen der Stellungnahmefrist fast 5.000 Rückmeldungen eingingen, könnte sich der endgültige Zeitplan verschieben. Die derzeitige Regierung wird entscheiden, ob und wie die Verordnung endgültig verabschiedet wird.

Die Richtung, in die es geht, ist klar, unabhängig vom endgültigen Zeitplan, und die Durchsetzungsmaßnahmen der OCR räumen diesen Bereichen Priorität ein, unabhängig davon, ob die formelle Aktualisierung bereits abgeschlossen ist.

Das Ende der „optionalen“ Spezifikationen. Die größte strukturelle Änderung im Regelungsentwurf ist die Aufhebung der Unterscheidung zwischen „vorgeschriebenen“ und „optionalen“ Umsetzungsspezifikationen. Nach den geltenden Vorschriften ermöglichen optionale Spezifikationen es Organisationen, zu dokumentieren, warum eine Kontrollmaßnahme für ihre Umgebung nicht geeignet ist. Der Regelungsentwurf hebt diese Flexibilität für fast alle Spezifikationen auf. Kontrollmaßnahmen wie MFA und Verschlüsselung würden ohne Ausnahmeregelungen verbindlich vorgeschrieben.

Multi-Faktor-Authentifizierung (MFA) für jeden Zugriff auf ePHI-Systeme. Der Vorschlag würde eine Multi-Faktor-Authentifizierung für jeden Zugriff auf Systeme vorschreiben, die ePHI erstellen, empfangen, verwalten oder übertragen, einschließlich Fernzugriff und Zugriff vor Ort. Damit würde eine häufige Lücke geschlossen, bei der kleinere betroffene Einrichtungen und Geschäftspartner die MFA im Rahmen des „addressable standard“ als „nicht angemessen“ dokumentierten.

Verschlüsselung im Ruhezustand und während der Übertragung. Die Verschlüsselung von ePHI würde von einer empfohlenen zu einer vorgeschriebenen Maßnahme werden, ohne Ausnahmen. Verschlüsselte ePHI, die verloren gehen oder gestohlen werden, fallen nach den geltenden Vorschriften bereits unter die Safe-Harbor-Ausnahme von der Meldepflicht bei Datenschutzverletzungen. Die Einführung einer Verschlüsselungspflicht verankert gesetzlich, was die bewährte Praxis bereits verlangt.

Netzwerksegmentierung. Vorgeschlagene Anforderung zur Isolierung von Systemen, die ePHI verarbeiten, vom restlichen Netzwerk, einschließlich der Trennung von IoT-Geräten, Gebäudesystemen und vernetzten medizinischen Geräten. Dies ist relevant für MSPs, die Gesundheitsumgebungen verwalten, die organisch gewachsen sind und eine nicht segmentierte Infrastruktur aufweisen.

Schwachstellenscans und Penetrationstests. Der Vorschlag sieht vor, dass mindestens alle sechs Monate automatisierte Schwachstellenscans und jährlich Penetrationstests an ePHI-Systemen durchgeführt werden, die von qualifizierten Cybersicherheitsexperten durchgeführt werden und bei denen die Ergebnisse sowie die Korrekturmaßnahmen schriftlich dokumentiert werden.

Anforderungen an Datensicherung und Wiederherstellung. Es gelten nun klarere Anforderungen an die Sicherung von ePHI, darunter Offline-Sicherungskopien, dokumentierte Wiederherstellungszeitziele sowie besondere Aufmerksamkeit für Sicherungssysteme, die im Visier von Ransomware stehen. Für MSPs, die BCDR im Gesundheitswesen verwalten, bedeutet dies, dass die Sicherungsarchitektur und Wiederherstellungstests zu dokumentierten Nachweisen für die Einhaltung der Vorschriften werden und nicht mehr nur als bewährte betriebliche Vorgehensweise gelten.

Bestandsaufnahme der IT-Ressourcen und Netzwerkkartierung. Dokumentierte Bestandsaufnahme aller IT-Ressourcen, die ePHI erstellen, empfangen, verwalten oder übertragen; diese wird jährlich sowie nach wesentlichen Änderungen der Betriebsumgebung aktualisiert. Tools zur Erfassung von IT-Ressourcen und die Ergebnisse der Netzwerkkartierung, die im RMM-basierten IT-Management bereits zum Standard gehören, gelten gemäß der vorgeschlagenen Regelung als formelle Nachweise für die Einhaltung der Vorschriften.

Verschärfte Anforderungen an die BAA. Der Regelungsvorschlag würde vorsehen, dass in der BAA die technischen Sicherheitsmaßnahmen, die der Geschäftspartner umsetzt, konkret aufgeführt werden müssen und dass jährlich überprüft werden muss, ob diese Sicherheitsmaßnahmen tatsächlich vorhanden sind. Eine unterzeichnete BAA allein würde nicht mehr ausreichen – betroffene Unternehmen müssten über dokumentierte Nachweise verfügen, dass ihre Geschäftspartner ihren Verpflichtungen nachkommen.

Meldung von Datenschutzverletzungen durch Geschäftspartner: 24-Stunden-Meldepflicht. Der Regelungsvorschlag würde Geschäftspartner dazu verpflichten, betroffene Einrichtungen innerhalb von 24 Stunden nach Aktivierung eines Vorfallreaktions- oder Notfallplans zu benachrichtigen, was den derzeitigen Standard „ohne unangemessene Verzögerung innerhalb von 60 Tagen“ erheblich verschärfen würde. Ein MSP, der an einem Freitag um 23 Uhr einen Sicherheitsvorfall entdeckt, der einen Kunden aus dem Gesundheitswesen betrifft, müsste die betroffene Einrichtung noch vor Samstag Mitternacht benachrichtigen.

Für MSPs, die Kunden aus dem Gesundheitswesen betreuen, zeigen bereits die vorgeschlagenen Änderungen, wo Investitionen getätigt werden sollten. Unabhängig davon, ob die endgültige Regelung genau dem Vorschlag entspricht oder nicht, geht die Entwicklung bei der Durchsetzung bereits in diese Richtung.

Geschäftspartnervereinbarungen: Die Grundlage für die Einhaltung der MSP-Vorgaben

Eine „Business Associate Agreement“ (BAA) ist ein gemäß HIPAA vorgeschriebener Vertrag zwischen einer betroffenen Einrichtung und ihren Geschäftspartnern. Ohne eine BAA darf die betroffene Einrichtung keine geschützten Gesundheitsdaten (PHI) rechtmäßig an den MSP weitergeben. Die Tätigkeit als Geschäftspartner ohne bestehende BAA stellt für beide Parteien einen Verstoß gegen das HIPAA dar.

Eine konforme BAA muss Folgendes enthalten:

• Welche geschützten Gesundheitsdaten der Geschäftspartner im Auftrag der betroffenen Einrichtung verarbeitet
• Zulässige Verwendungen und Weitergaben von PHI
• Erforderliche Sicherheitsmaßnahmen unter Bezugnahme auf die HIPAA-Sicherheitsvorschrift
• Meldepflichten und Fristen bei Datenschutzverletzungen
• Verpflichtungen gegenüber nachgelagerten Subunternehmern, einschließlich der Anforderungen im Rahmen der Sub-BAA
• Verpflichtungen bei Vertragsbeendigung: Rückgabe oder Vernichtung von PHI

MSPs, die nicht mit jedem Kunden aus dem Gesundheitswesen, der PHI verarbeitet, eine BAA abgeschlossen haben, verstoßen gegen die Vorschriften. Dies ist einer der am häufigsten angeführten Verstöße gegen die HIPAA-Vorschriften und zugleich einer der am leichtesten zu vermeidenden. In den Durchsetzungsmaßnahmen der OCR aus dem Jahr 2025 wurden Risikoanalysen und Verstöße gegen die BAA-Pflicht ausdrücklich als zentrale Feststellungen in mehreren Vergleichsvereinbarungen mit Geschäftspartnern genannt.

Nach der vorgeschlagenen Regelung müssten die BAA-Vereinbarungen wesentlich konkreter formuliert werden. Anstelle allgemeiner Formulierungen zu Sicherheitsverpflichtungen müssten die BAA-Vereinbarungen die konkret getroffenen technischen Sicherheitsmaßnahmen benennen und eine jährliche Überprüfung der Einhaltung vorsehen. MSPs sollten ihre bestehenden BAA-Vorlagen bereits jetzt anhand der vorgeschlagenen Anforderungen überprüfen.

Compliance Manager GRC Die Lösung von Kaseya unterstützt die Dokumentation von BAA-Vereinbarungen und die Lückenanalyse gemäß der HIPAA-Sicherheitsvorschrift und bietet MSPs damit eine strukturierte Möglichkeit, nachzuverfolgen, welche Kunden BAA-Vereinbarungen benötigen, welche Verpflichtungen bestehen und welche technischen Nachweise zu deren Untermauerung erforderlich sind. Erfahren Sie mehr unter Compliance Manager GRC.

Durchsetzung der HIPAA-Vorschriften: Wie sehen die Strafen aus?

Die zivilrechtlichen Strafen nach dem HIPAA sind nach dem Grad der Schuld gestaffelt und werden jährlich an die Inflation angepasst:

– Stufe 1, „Wusste es nicht“: 100 bis 50.000 Dollar pro Verstoß, jährliche Obergrenze 25.000 Dollar

– Stufe 2, triftiger Grund: 1.000 bis 50.000 Dollar pro Verstoß, jährliche Obergrenze 100.000 Dollar

– Stufe 3, Vorsätzliche Vernachlässigung, korrigiert: 10.000 bis 50.000 Dollar pro Verstoß, jährliche Obergrenze 250.000 Dollar

– Stufe 4, Vorsätzliche Vernachlässigung, nicht behoben: 50.000 US-Dollar pro Verstoß, jährliche Obergrenze 1,5 Millionen US-Dollar

Strafrechtliche Sanktionen gemäß HIPAA können bei vorsätzlichen Verstößen bis zu 250.000 US-Dollar und 10 Jahre Freiheitsstrafe betragen. Die Generalstaatsanwälte der einzelnen Bundesstaaten können zudem parallele Durchsetzungsmaßnahmen nach Landesrecht einleiten, die zusätzliche Strafen und Abhilfemaßnahmen nach sich ziehen können.

Die Durchsetzung der OCR-Vorschriften erreichte im Jahr 2024 einen bedeutenden Meilenstein: 22 Untersuchungen führten zu zivilrechtlichen Geldstrafen oder Vergleichen – damit war dies eines der aktivsten Durchsetzungsjahre seit Beginn der Aufzeichnungen. Allein in den ersten fünf Monaten des Jahres 2025 gab die OCR 10 Vergleichsvereinbarungen bekannt, die sowohl betroffene Einrichtungen als auch Geschäftspartner betrafen.

Ein Befund, der sich bei den jüngsten Durchsetzungsmaßnahmen immer wieder zeigt: das Versäumnis, eine gründliche und dokumentierte Risikoanalyse durchzuführen. Zu den Durchsetzungsmaßnahmen der OCR im Jahr 2025 gehörte ein Vergleich in Höhe von 3 Millionen US-Dollar mit einem Unternehmen für medizinische Abrechnungen, das keine Risikoanalyse durchgeführt hatte, bevor ein Ransomware-Angriff die Daten von 585.000 Personen kompromittierte. Das Unternehmen war ein Geschäftspartner, keine betroffene Einrichtung. Die direkte Haftung von Geschäftspartnern ist eine feststehende Realität der Durchsetzungspraxis und kein theoretisches Risiko.

Aufbau einer HIPAA-konformen MSP-Praxis

Die folgenden Schritte gelten sowohl für die Pflichten eines MSP als Geschäftspartner als auch für die Compliance-Programme, die er im Auftrag seiner Kunden aus dem Gesundheitswesen durchführt.

Schritt 1: Erfassen Sie alle Kunden aus dem Gesundheitswesen, die mit geschützten Gesundheitsdaten (PHI) umgehen. Machen Sie sich klar, für wen Sie tätig sind und welche Daten durch deren Systeme fließen. Davon hängt der Umfang Ihrer Verpflichtungen im Rahmen der BAA sowie Ihres eigenen Compliance-Programms ab.

Schritt 2: Schließen Sie BAA-Vereinbarungen mit allen betroffenen Kunden ab. Falls noch nicht mit jedem Kunden aus dem Gesundheitswesen, der PHI verarbeitet, eine unterzeichnete BAA-Vereinbarung vorliegt, hat dies oberste Priorität.

Schritt 3: Führen Sie eine dokumentierte Risikoanalyse durch. Die HIPAA schreibt eine genaue und gründliche Sicherheitsrisikoanalyse vor, bei der Risiken für ePHI in den von Ihnen verwalteten Systemen identifiziert, deren Eintrittswahrscheinlichkeit und Auswirkungen bewertet und Entscheidungen zum Risikomanagement dokumentiert werden. Dies ist die administrative Grundlage für die Einhaltung der Vorschriften. Ohne eine dokumentierte Risikoanalyse können keine anderen technischen Kontrollmaßnahmen als nachweislich konform angesehen werden. Die Durchsetzungsbilanz der OCR in den Jahren 2024 und 2025 zeigt, dass das Versäumnis einer Risikoanalyse der sicherste Weg zu einem Vergleich ist.

Schritt 4: Setzen Sie die MFA bei jedem Zugriff auf ePHI-Systeme durch. Angesichts der derzeit verfügbaren Leitlinien und des vorgeschlagenen verbindlichen Standards ist die MFA bei jedem Zugriff auf Systeme, die PHI enthalten, für eine nachweisbare Compliance erforderlich. Dies umfasst den Fernzugriff, Administratorkonten sowie alle Portale mit Zugriff auf klinische Systeme.

Schritt 5: Verschlüsselung implementieren. Verschlüsseln Sie ePHI im Ruhezustand auf allen verwalteten Geräten und während der Übertragung über alle Netzwerke hinweg. Verschlüsselte ePHI, die verloren geht oder gestohlen wird, fällt unter die Safe-Harbor-Ausnahme von der Meldepflicht bei Datenschutzverletzungen gemäß der „Breach Notification Rule“ – Verschlüsselung ist sowohl eine Maßnahme zur Einhaltung der Vorschriften als auch ein Instrument zur Risikominderung bei der Reaktion auf Vorfälle.

Schritt 6: Stellen Sie eine HIPAA-konforme Datensicherung sicher. Die Sicherung von ePHI muss über dokumentierte Wiederherstellungsverfahren, getestete Wiederherstellungsfunktionen sowie Offline- oder unveränderliche Kopien verfügen, die auch einem Ransomware-Angriff standhalten. Datto BCDR bietet die technischen Voraussetzungen für MSPs, die Umgebungen im Gesundheitswesen verwalten; die betrieblichen Verfahren müssen dokumentiert und anhand definierter Wiederherstellungszeitziele getestet werden.

Schritt 7: Führen Sie eine Audit-Protokollierung ein. Protokollieren Sie alle Zugriffe auf Systeme, die ePHI enthalten. Überprüfen Sie die Protokolle regelmäßig. Bewahren Sie die Protokolle gemäß den HIPAA-Vorschriften zur Aufbewahrungsfrist mindestens sechs Jahre lang auf.

Schritt 8: Dokumentation und Test der Vorfallreaktion. Der Regelungsvorschlag würde jährliche Tests der formellen Vorfallreaktionspläne vorschreiben. Wenn Sie Ihre Vorfallreaktionsverfahren bereits jetzt dokumentieren und testen, sind Sie der künftigen Anforderung einen Schritt voraus und schließen eine Lücke, auf die die OCR im Rahmen ihrer Durchsetzungsmaßnahmen wiederholt hingewiesen hat.

Compliance Manager GRC Enthält ein Modul zur Bewertung der HIPAA-Sicherheitsvorschriften, mit dem MSPs den Konformitätsstatus anhand der aktuellen Anforderungen überwachen, Risikoanalysen durchführen und dokumentieren, Kontrollmaßnahmen den Sicherheitsvorschriften zuordnen sowie Nachweise für OCR-Audits oder Sicherheitsüberprüfungen bei Kunden erstellen können. Erfahren Sie hier mehr darüber.

Die wichtigsten Erkenntnisse

• MSPs, die Systeme verwalten, die geschützte Gesundheitsdaten (PHI) enthalten, gelten als Geschäftspartner, die unmittelbar den Bestimmungen des HIPAA unterliegen. BAA-Vereinbarungen sind gesetzlich vorgeschrieben, und deren Fehlen ist ein häufiger Grund für Bußgeldbescheide. Die direkte Haftung von Geschäftspartnern wurde in Vergleichen mit der OCR wiederholt festgestellt.
• Mit der für Dezember 2024 vorgeschlagenen Aktualisierung der Sicherheitsvorschriften würden Multi-Faktor-Authentifizierung (MFA), Verschlüsselung, Netzwerksegmentierung, Schwachstellenscans und jährliche Penetrationstests nicht mehr nur als „empfehlenswert“, sondern als verpflichtend gelten. Unternehmen sollten sich unabhängig vom Zeitplan der endgültigen Regelung darauf vorbereiten.
• Verschlüsselte geschützte Gesundheitsdaten (PHI), bei denen es zu einer Datenpanne gekommen ist, können unter die „Safe-Harbor“-Ausnahme von der Meldepflicht für Datenpannen fallen. Die Verschlüsselung ist sowohl eine Compliance-Anforderung als auch ein Instrument zum Risikomanagement im Rahmen der Reaktion auf Vorfälle.
• Die Risikoanalyse bildet die administrative Grundlage für die Einhaltung der HIPAA-Vorschriften. Die Durchsetzungsmaßnahmen der OCR im Jahr 2025 führten zu Vergleichszahlungen in Höhe von 25.000 bis 3 Millionen US-Dollar, wobei in jedem einzelnen Fall das Versäumnis einer Risikoanalyse als zentraler Befund festgestellt wurde.
• Die vorgeschlagene Regelung würde Geschäftspartner dazu verpflichten, betroffene Stellen innerhalb von 24 Stunden nach Aktivierung eines Vorfallreaktionsplans zu benachrichtigen. MSPs benötigen dokumentierte und getestete Vorfallreaktionsverfahren, bevor diese Anforderung in Kraft tritt.