Die HIPAA Security Rule: Risikoanalyse, Safeguards und der Stand der geplanten Novelle

Problem in der Praxis

Deutsche Unternehmen bringen in der Regel ein ISMS nach ISO/IEC 27001 oder BSI IT-Grundschutz mit. Das ist eine gute Grundlage, deckt aber drei HIPAA-spezifische Erwartungen nicht automatisch ab. Erstens muss die Risikoanalyse ausdrücklich die ePHI betreffen, nicht nur die Informationswerte allgemein. Zweitens verlangt die Security Rule, jede "addressable" Spezifikation auf ihre Angemessenheit zu prüfen, und wo sie nicht umgesetzt wird, die Begründung zu dokumentieren und eine gleichwertige Alternative umzusetzen, soweit angemessen; fehlt diese Dokumentation, lässt sich die Abweichung nicht belegen. Drittens gilt eine sechsjährige Aufbewahrung der Dokumentation.

Hinzu kommt die Verunsicherung durch die geplante Novelle: US-Kunden fragen bereits nach Multi-Faktor-Authentifizierung, Verschlüsselung und jährlichen Penetrationstests, und es ist nicht immer klar, was davon geltendes Recht und was Vertragsforderung ist.

CISO-Einordnung

Aufbau der geltenden Security Rule, auf Managementebene:

• Grundpflichten (45 CFR 164.306(a)): Vertraulichkeit, Integrität und Verfügbarkeit aller ePHI; Schutz gegen vernünftigerweise vorhersehbare Bedrohungen und gegen unzulässige Nutzungen und Offenlegungen; Einhaltung durch die Workforce.
• Flexibilität (45 CFR 164.306(b)): Auswahl der Maßnahmen unter Berücksichtigung von Größe, Komplexität und Fähigkeiten, technischer Infrastruktur, Kosten sowie Wahrscheinlichkeit und Kritikalität der Risiken.
• Required und Addressable (45 CFR 164.306(d)): Required ist stets umzusetzen. Addressable heißt prüfen, ob die Spezifikation angemessen ist, sie dann umsetzen oder die Begründung dokumentieren und eine gleichwertige Alternative umsetzen, soweit angemessen.
• Administrative Safeguards (45 CFR 164.308): Security Management Process mit Risikoanalyse, Risikomanagement, Sanktionsregelung und Auswertung der Systemaktivität, eine benannte verantwortliche Person ("security official"), Regeln für Workforce und Zugriffsverwaltung, ein Programm für Security Awareness und Training für die gesamte Workforce einschließlich Management, Verfahren für Sicherheitsvorfälle, Notfallplanung mit Datensicherung, Wiederherstellung und Notbetrieb sowie eine periodische technische und nichttechnische Evaluation.
• Physical Safeguards (45 CFR 164.310): Zutrittskontrolle zu Einrichtungen, Nutzung und Sicherung von Arbeitsplatzrechnern, Kontrolle von Geräten und Medien einschließlich Entsorgung und Wiederverwendung.
• Technical Safeguards (45 CFR 164.312): Zugriffskontrolle mit eindeutiger Benutzerkennung und Notfallzugriff, Audit Controls, Integritätsschutz, Authentifizierung von Personen und Stellen, Übertragungssicherheit. Verschlüsselung ruhender und übertragener ePHI ist in der geltenden Fassung "addressable".
• Dokumentation (45 CFR 164.316): Richtlinien und Verfahren schriftlich, auch elektronisch, Aufbewahrung sechs Jahre ab Erstellung oder letztem Geltungstag, regelmäßige Überprüfung.

Zur Risikoanalyse sagt die HHS-Leitlinie: Die Security Rule schreibt keine bestimmte Methode vor, es gibt keine einzelne Methode, die Compliance garantiert, und als Hilfen dienen NIST SP 800-30 und SP 800-66; für kleine und mittlere Einrichtungen gibt es das Security Risk Assessment Tool von HHS und ONC. Die Pflicht ist die Analyse selbst, nicht ein bestimmtes Werkzeug.

Stand der Novelle: Das OCR hat den Verordnungsvorschlag laut HHS-Merkblatt am 27.12.2024 vorgelegt; im Federal Register erschien er am 06.01.2025 (90 FR 898). Laut HHS-Merkblatt würde er unter anderem die Unterscheidung zwischen required und addressable mit eng begrenzten Ausnahmen aufheben, ein Technologie-Inventar und einen Netzplan mit mindestens jährlicher Überprüfung verlangen, die Risikoanalyse präzisieren, die Wiederherstellung bestimmter Systeme binnen 72 Stunden vorsehen, ein jährliches Compliance-Audit fordern, Business Associates zu einer jährlichen schriftlichen Bestätigung ihrer technischen Safeguards verpflichten, Verschlüsselung ruhender und übertragener ePHI sowie Multi-Faktor-Authentifizierung mit begrenzten Ausnahmen vorschreiben, Schwachstellenscans mindestens halbjährlich und Penetrationstests mindestens jährlich verlangen, Netzsegmentierung fordern und Business Associates verpflichten, die Aktivierung von Notfallplänen binnen 24 Stunden zu melden. HHS stellt ausdrücklich klar, dass während des Verfahrens die geltende Security Rule in Kraft bleibt. Die Unified Agenda führte das Vorhaben (RIN 0945-AA22) im Frühjahr 2025 in der Final Rule Stage mit Termin 05/2026; die Folgeausgabe (pubId 202510) führt es als Long-Term Action mit Final Action 07/2027. Eine Final Rule ist bis zum Stand dieses Artikels nicht veröffentlicht.

Umsetzungsperspektive

• ePHI-Inventar als Ausgangspunkt: Wo entstehen, liegen und fließen ePHI, einschließlich Backups, Logs, Support und Testumgebungen?
• Eine ePHI-bezogene Risikoanalyse erstellen oder die bestehende ISMS-Risikoanalyse ausdrücklich darauf erweitern, mit nachvollziehbarer Methode.
• Jede addressable Spezifikation auf Angemessenheit prüfen; Pflicht ist die Dokumentation der Begründung, wo sie nicht umgesetzt wird. Es ist empfehlenswert, auch die Umsetzungsentscheidungen festzuhalten, weil sie die Angemessenheitsprüfung belegen.
• Einen Security Official benennen und das Schulungsprogramm auf die gesamte Workforce einschließlich Management erstrecken.
• Aufbewahrung von sechs Jahren für Richtlinien, Analysen und Entscheidungen festlegen.
• Novelle vorausschauend behandeln: Wo Vorschlagsinhalte ohnehin dem eigenen Sicherheitsniveau entsprechen (etwa Multi-Faktor-Authentifizierung, Verschlüsselung), sie umsetzen und dokumentieren, ohne sie als Rechtspflicht auszugeben.

Typische Fehler

1. "Addressable" wird als optional verstanden, und für nicht umgesetzte Spezifikationen fehlen dokumentierte Begründung und Alternative.
2. Die Risikoanalyse betrachtet das Unternehmen allgemein, aber nicht die ePHI-Verarbeitung.
3. Ein ISO-27001-Zertifikat wird als Nachweis der Security Rule vorgelegt, ohne HIPAA-spezifische Dokumentation.
4. Dokumentation wird nach Ende eines Kundenvertrags gelöscht, obwohl sechs Jahre Aufbewahrung gelten.
5. Inhalte des Vorschlags von 2025 werden gegenüber Kunden als geltende Pflichten zugesagt oder bestritten, ohne die Rechtslage zu kennzeichnen.

Risiken und Trade-offs

Die Flexibilität der Security Rule ist zugleich ihr Risiko: Wer Maßnahmen nach Kosten und Größe begründet, muss die Begründung so dokumentieren, dass sie einer Prüfung standhält. Eine zu knappe Dokumentation spart Aufwand, kann aber dazu führen, dass faktisch vorhandene Maßnahmen formal als fehlend gelten. Bei der Novelle ist abzuwägen zwischen früher Umsetzung, die Investitionen vorzieht, und Abwarten, das bei einer Final Rule mit kurzer Umsetzungsfrist Druck erzeugen kann. Die Umsetzungsfristen einer künftigen Final Rule sind nicht bekannt.

Entscheidungspunkte

• Ist die ePHI-Verarbeitung vollständig inventarisiert und in der Risikoanalyse abgebildet?
• Ist für jede nicht umgesetzte addressable Spezifikation die Begründung dokumentiert und gegebenenfalls eine Alternative umgesetzt?
• Wer ist Security Official, und wie wird die Schulung der Workforce einschließlich Management nachgewiesen?
• Welche Vorschlagsinhalte setzt das Unternehmen freiwillig vorab um, und wie wird das gegenüber Kunden kommuniziert?

Praktische Empfehlungen

1. Erstellen Sie ein ePHI-Inventar und darauf aufbauend eine dokumentierte Risikoanalyse nach 45 CFR 164.308(a)(1)(ii)(A).
2. Dokumentieren Sie für jede nicht umgesetzte addressable Spezifikation die Begründung und die Alternative; halten Sie die übrigen Angemessenheitsentscheidungen ebenfalls fest.
3. Benennen Sie den Security Official und verankern Sie Schulungen für die gesamte Workforce einschließlich Management.
4. Legen Sie die sechsjährige Aufbewahrung der Security-Rule-Dokumentation fest.
5. Verfolgen Sie das Verfahren RIN 0945-AA22 und kennzeichnen Sie Vorschlagsinhalte in der Kommunikation als solche.

Relevante Normreferenzen

• 45 CFR 164.302 bis 164.316 (Security Rule), insbesondere 164.306 (allgemeine Regeln), 164.308 (administrative), 164.310 (physische), 164.312 (technische Safeguards), 164.316 (Dokumentation).
• 42 U.S.C. 17931 (Geltung für Business Associates).
• HHS OCR, Guidance on Risk Analysis Requirements under the HIPAA Security Rule; NIST SP 800-30 und SP 800-66 als dort genannte Hilfen.
• Notice of Proposed Rulemaking, 90 FR 898 (06.01.2025), RIN 0945-AA22; HHS-Merkblatt vom 27.12.2024; Unified Agenda RIN 0945-AA22.