HIPAA-Audit: So werden Sie HIPAA-konform

Cyber-Angriffe auf Gesundheitsdienstleister nehmen zu, und leider kommt es jedes Jahr zu einer Rekordzahl an aufsehenerregenden Datenschutzverstößen. Um das Ganze noch schlimmer zu machen, kann ein solcher Vorfall eine HIPAA-Prüfung auslösen, deren Scheitern kostspielige Geldstrafen zur Folge haben könnte, die eine Gesundheitsorganisation möglicherweise lahmlegen können.

Wenn Sie nicht sicher sind, ob Ihr Unternehmen ausreichend Zeit, Mühe und Geld in die Compliance investiert hat, sollten Sie jetzt handeln, bevor es zu spät ist. Dieser Artikel bietet einen umfassenden Leitfaden zum Verständnis der Funktionsweise des HIPAA-Auditprozesses und wird Ihnen dabei helfen, mit Bravour zu bestehen.

Was ist ein HIPAA-Audit?

Bei einem HIPAA-Audit handelt es sich um eine Beurteilung der Einhaltung der Datenschutz-, Sicherheits- und Benachrichtigungsregeln bei Verstößen des Health Insurance Portability and Accountability Act (HIPAA) durch ein versichertes Unternehmen oder einen Geschäftspartner.

HIPAA ist ein US-Bundesgesetz, das nationale Standards zum Schutz der Privatsphäre und Sicherheit persönlicher Gesundheitsinformationen (PHI) und elektronischer Gesundheitsinformationen (ePHI) festlegt.

Das Office for Civil Rights (OCR) des Ministeriums für Gesundheit und menschliche Dienste führt offizielle HIPAA-Prüfungen durch und setzt die HIPAA-Vorschriften durch. Der Prüfungsprozess umfasst in der Regel eine gründliche Überprüfung der Richtlinien, Verfahren und Praktiken einer Organisation im Zusammenhang mit der HIPAA-Konformität sowie eine Untersuchung der physischen, technischen und administrativen Sicherheitsmaßnahmen zum Schutz von PHI und ePHI.

Auch externe Prüfer oder interne Revisionsabteilungen können HIPAA-Prüfungen durchführen, diese sind jedoch nicht offiziell und haben nicht das gleiche Gewicht wie eine vom OCR durchgeführte Prüfung. Vielmehr werden diese Audits in der Regel als Teil einer proaktiven Risikomanagementstrategie für die Informationssicherheit eingesetzt, um potenzielle Probleme zu identifizieren und zu beheben, bevor sie zu größeren Problemen eskalieren.

Was löst ein HIPAA-Audit aus?

Die OCR löst in der Regel Prüfungen als Reaktion auf eine Beschwerde oder Verstoßmeldung aus. Stichprobenprüfungen sind selten und aufgrund der begrenzten Ressourcen des OCR normalerweise großen und etablierten Organisationen vorbehalten.

Leider entdeckt das OCR bei Audits häufig Probleme, die nicht der ursprüngliche Auslöser der Untersuchung waren, was die Bedeutung einer aktuellen und gründlichen HIPAA-Compliance-Strategie unterstreicht.

Hier sind die wichtigsten HIPAA-Audit-Auslöser.

1. Beschwerden

Zwei Hauptarten von Beschwerden können ein HIPAA-Audit auslösen: Patienten- und Mitarbeiterbeschwerden.

Patienten können Beschwerden darüber einreichen, dass ihnen der Zugang zu ihren Krankenakten verweigert wird oder sie feststellen, dass ihre PHI missbräuchlich behandelt wurden. Beispielsweise könnte ein Patient einen Social-Media-Beitrag mit seiner Krankenakte im Hintergrund sehen, was eine klare Verletzung seiner Privatsphäre darstellt.

Ein weiterer häufiger Auslöser für eine Prüfung sind verärgerte Mitarbeiter oder Whistleblower. Wenn ein Mitarbeiter beispielsweise den Verdacht hat, dass seine Organisation gegen HIPAA verstößt, kann er eine Prüfung einleiten. Ein ähnliches Szenario kann eintreten, wenn sie merken, dass ihre Kollegen PHI falsch handhaben, oder wenn ihr Arbeitgeber sie auffordert, sich an Aktivitäten zu beteiligen, die gegen HIPAA verstoßen. Die Medien spielen in der Regel eine Schlüsselrolle bei der Sensibilisierung für solche Verstöße.

2. Meldungen von Verstößen

Abgedeckte Unternehmen sowie Geschäftspartner müssen alle Verstöße gegen PHI dem OCR melden. Allerdings lösen nicht alle Verstöße automatisch eine Prüfung aus. Bei der Entscheidung, ob nach einem Verstoß eine Prüfung eingeleitet werden soll, berücksichtigt das OCR in der Regel mehrere Faktoren. Zu diesen Faktoren gehören die Art und das Ausmaß des Verstoßes, die bisherige Compliance-Historie des Unternehmens und die Maßnahmen, die ergriffen wurden, um den Verstoß abzuschwächen und zukünftige Vorfälle zu verhindern.

Hier sind die Hauptursachen für Datenschutzverletzungen im Gesundheitswesen:

• Mitarbeiterfehler: Viele HIPAA-Prüfungen werden durch Fehler von Mitarbeitern ausgelöst, z. B. wenn sie auf einen Phishing-Angriff hereinfallen, keine sicheren Passwörter verwenden oder Patienten die falschen Krankenakten zusenden.
• Fehlverhalten von Mitarbeitern: Mitarbeiter verstoßen manchmal absichtlich gegen HIPAA, sei es zum persönlichen Vorteil oder aus Neugier. Beispiele hierfür sind der Diebstahl von Patientenakten oder der Zugriff darauf ohne entsprechende Genehmigung.
• Fehler Dritter: Wenn bei einem Geschäftspartner ein erheblicher Datenschutzverstoß auftritt, wird auch das betroffene Unternehmen geprüft, da es dafür verantwortlich ist, sicherzustellen, dass seine BAs HIPAA befolgen.
• Sicherheitsvorfälle: Verlorene oder gestohlene Geräte, insbesondere unverschlüsselte, sind ein häufiger Sicherheitsvorfall, der eine HIPAA-Prüfung auslöst. Ein weiterer Auslöser ist ungepatchte Software, die zu Malware- oder Ransomware-Angriffen führt.

3. Vorherige Nichteinhaltung

Wenn eine Organisation zuvor gegen HIPAA verstoßen hat, wird sie wahrscheinlich einer Folgeprüfung unterzogen, um sicherzustellen, dass sie Korrekturmaßnahmen umgesetzt hat und nun die Vorschriften einhält. Das OCR wird einen Corrective Action Plan (CAP) herausgeben, der die spezifischen Maßnahmen beschreibt, die die Organisation ergreifen muss, um die festgestellten Verstöße anzugehen, Risiken zu mindern und Compliance zu erreichen.

Während des Folgeaudits wird das OCR die Umsetzung des CAP durch die Organisation gründlich überprüfen. Sie beurteilen, ob die Organisation die notwendigen Verbesserungen vorgenommen hat, und bewerten die Wirksamkeit der laufenden Compliance der Organisation. Wenn die Verstöße nicht angemessen angegangen werden, wird die OCR wahrscheinlich Bußgelder und weitere Strafen verhängen.

Was wird geprüft?

Praktisch jeder Aspekt der Geschäftstätigkeit einer Organisation unterliegt möglicherweise einer genauen Prüfung während eines HIPAA-Audits. Die Einzelheiten dessen, was ein OCR-Prüfer verlangen kann, hängen von dem Grund ab, der die Prüfung ausgelöst hat.

Im Allgemeinen sollte Ihre Organisation bereit sein, sichtbare und nachweisbare Compliance-Nachweise vorzulegen. Zu den relevanten Beweismitteln gehören:

• Dokumentation von Richtlinien in Bezug auf die Einhaltung der Datenschutz-, Sicherheits- und Benachrichtigungsregeln bei Verstößen.
• Vorfalldokumentation, die alle Vorfälle, Verstöße oder Beschwerden im Zusammenhang mit PHI sowie die Reaktion Ihres Unternehmens aufzeichnet.
• Geschäftspartnervereinbarungen, in denen die Verantwortlichkeiten des Geschäftspartners für den Schutz personenbezogener Daten und die Einhaltung des HIPAA dargelegt werden müssen.

• Administrative Schutzmaßnahmen, wie Verfahren zur Verwaltung der Sicherheit und des Datenschutzes von PHI, einschließlich Schulungen zum Sicherheitsbewusstsein der Belegschaft, Zugangskontrollen und Reaktion auf Vorfälle.
• Physische Schutzmaßnahmen, wie z. B. Zugangskontrollen zur Einrichtung und Arbeitsplatzsicherheit.
• Technische Schutzmaßnahmen wie Zugriffskontrollen, Verschlüsselung und Audit-Protokollierung, die PHI vor unbefugtem Zugriff oder unbefugter Offenlegung schützen.

Der Prüfer kann auch Vor-Ort-Besuche durchführen, um die physischen Sicherheitsmaßnahmen einer Organisation zu bewerten und Mitarbeiter zu befragen, um sicherzustellen, dass sie festgelegte Richtlinien und Verfahren befolgen.

Wie bereitet man sich auf ein HIPAA-Audit vor?

Die Vorbereitung auf ein HIPAA-Audit bedeutet, dass die HIPAA-Vorschriften vollständig eingehalten werden. Um dies zu erreichen, ist mehr als nur die Einführung von Richtlinien erforderlich. Es ist von entscheidender Bedeutung, über ein umfassendes Programm zu verfügen, das konkrete Prozesse umfasst, die Ihre Richtlinien unterstützen.

Darüber hinaus sind Tracking-Mechanismen unerlässlich, um sichtbare und nachweisbare Compliance-Nachweise zu liefern. Sie müssen alle relevanten Informationen erfassen und aufzeichnen, z. B. Mitarbeiterschulungsaufzeichnungen, Risikobewertungsberichte und Protokolle zur Reaktion auf Vorfälle. Sie verwenden diese Daten, um dem OCR nachzuweisen, dass Ihr Unternehmen über ein solides Compliance-Programm verfügt und sich für den Schutz der Privatsphäre und Sicherheit von PHI einsetzt.

Es ist auch wichtig, sich daran zu erinnern, dass die HIPAA-Konformität kein einmaliges Ereignis ist, sondern ein fortlaufender Prozess, der regelmäßige Überwachung, Schulung und Bewertung erfordert. Organisationen sollten wachsam sein, um potenzielle Schwachstellen zu finden und zu beheben und bei Bedarf Richtlinien anzupassen.

Im Folgenden sind die Schritte aufgeführt, die eine Organisation unternehmen muss, um sich auf ein HIPAA-Audit vorzubereiten:

Weisen Sie einen Datenschutz- und Sicherheitsbeauftragten zu

Die Ernennung eines Datenschutzbeauftragten ist für die Einhaltung der Vorschriften unerlässlich. Sie werden:

• Beaufsichtigen Sie alle HIPAA-bezogenen Bemühungen.
• Als Hauptansprechpartner für Patienten, Mitarbeiter und Aufsichtsbehörden fungieren.
• Spielen Sie eine Schlüsselrolle bei der Aus- und Weiterbildung der Belegschaft.
• Überwachen Sie die Datenschutzpraktiken.
• Sicherheitsmaßnahmen entwickeln.
• Planen Sie regelmäßige Richtlinienüberprüfungen.
• Dokumentieren Sie alle Verstöße oder Vorfälle.

Dem Datenschutzbeauftragten steht in der Regel der Informationssicherheitsbeauftragte zur Seite, dessen Aufgabe es ist, das Sicherheitsprogramm des Unternehmens zu überwachen. In einer kleinen Organisation kann eine Person beide Titel tragen.

Führen Sie eine Risikobewertung durch

Während einer HIPAA-Prüfung oder nach einem Verstoß ist eine Risikobewertung das erste Dokument, das Sie einem Prüfer vorlegen müssen. Es beweist Ihr Engagement für die Aufrechterhaltung eines robusten Compliance-Programms und Sicherheitsstatus.

Eine Risikobewertung deckt außerdem etwaige Lücken und Schwachstellen in Ihrem Unternehmen auf, sodass Sie diese proaktiv angehen können, bevor sie zum Problem werden. Wenn Sie die Initiative ergreifen, minimieren Sie das Risiko, dass während eines Audits nicht behobene Schwachstellen aufgedeckt werden.

Angestellten Training

Ein starkes Compliance-Programm setzt gut geschulte und wachsame Mitarbeiter voraus. Alle Mitarbeiter, die mit PHI umgehen, einschließlich Auftragnehmern und Teilzeitmitarbeitern, müssen wissen, wie sie diese während der Lagerung, des Transports und im Ruhezustand schützen können.

Die Aufklärung der Mitarbeiter über Best Practices für die E-Mail-Sicherheit ist für die Aufrechterhaltung der Compliance von größter Bedeutung. Durch die Gewährleistung einer sicheren Kommunikation durch Verschlüsselungsprotokolle wird das Risiko eines unbefugten Zugriffs oder der Offenlegung von ePHI erheblich verringert.

Es ist außerdem von entscheidender Bedeutung, die abgeschlossenen Schulungen der Mitarbeiter zu dokumentieren und neuen Mitarbeitern kurz nach ihrem Dienstantritt eine HIPAA-Schulung anzubieten. Eine jährliche Umschulung ist obligatorisch und Prüfer fordern häufig Zugang zu Schulungsunterlagen der letzten drei bis vier Jahre.

Überprüfen und dokumentieren Sie die HIPAA-Richtlinien und -Verfahren

Es ist von grundlegender Bedeutung, Ihre HIPAA-Compliance-Richtlinien und -Verfahren regelmäßig zu überprüfen und zu aktualisieren, um sicherzustellen, dass sie den sich ändernden Anforderungen entsprechen.

Regelmäßige Überprüfungen tragen außerdem dazu bei, dass Ihr Unternehmen über alle regulatorischen Änderungen oder neue Best Practices auf dem Laufenden bleibt. Darüber hinaus erhalten Sie durch die sorgfältige Dokumentation aller Änderungen an Richtlinien und Verfahren wichtige Beweise für den Fall, dass Sie geprüft werden.

Überprüfen Sie die Vereinbarungen mit Geschäftspartnern

Als versichertes Unternehmen liegt es in Ihrer Verantwortung sicherzustellen, dass die Einhaltung auch auf Ihre Geschäftspartner ausgedehnt wird. Daher ist die regelmäßige Überprüfung und Aktualisierung aller Geschäftspartnerverträge von entscheidender Bedeutung, um dieser Verpflichtung nachzukommen.

Um die Einhaltung sicherzustellen, müssen BAAs die aktuellen HIPAA-Anforderungen genau widerspiegeln und die Verantwortlichkeiten und Pflichten Ihrer Geschäftspartner beim Schutz PHI klar darlegen.

Führen Sie regelmäßige Selbstaudits und Überwachungen durch

Erwägen Sie die Durchführung regelmäßiger Selbstaudits und überprüfen Sie verschiedene Aspekte Ihrer Abläufe, um deren Einhaltung mit HIPAA zu beurteilen. Der Hauptunterschied zwischen Selbstaudits und Risikobewertungen liegt in ihrem Fokus und Umfang.

Ein Selbstaudit ist eine interne Überprüfung, die potenzielle Lücken in den Richtlinien und Verfahren der Organisation aufdeckt. Andererseits ist eine Risikobewertung eine umfassendere Bewertung, die sich auf potenzielle Risiken und Schwachstellen für die Sicherheit von PHI konzentriert.

Nutzen Sie technologische Fortschritte

Um Sicherheitsrisiken zu mindern, können Gesundheitsorganisationen stark von der Investition in eine robuste Zero-Trust-Sicherheitsstrategie profitieren. Zero Trust konzentriert sich auf die Überprüfung und Validierung jedes Benutzers und Geräts, das versucht, auf vertrauliche Daten zuzugreifen, und bietet so eine zusätzliche Schutzebene.

Darüber hinaus sollten Gesundheitsorganisationen der Endpunktsicherheit und der Netzwerksicherheit Priorität einräumen. Diese Maßnahmen stärken die Abwehrkräfte gegen externe Bedrohungen und gewährleisten einen umfassenden Schutz der PHI vor Hackern.

Was Sie sonst noch über HIPAA-Audits wissen sollten

Nicht alle HIPAA-Audits sind gleich. Sie variieren in Umfang, Intensität und Dauer je nach Art und Schwere des untersuchten Problems. Einige Audits sind auf einen bestimmten Bereich beschränkt, während andere möglicherweise umfassender sind und alle Aspekte der HIPAA-Konformität abdecken.

Wie lange dauert ein HIPAA-Audit?

Ein HIPAA-Audit kann je nach folgenden Faktoren mehrere Wochen bis mehrere Monate dauern:

• Der Umfang der Prüfung.
• Die Größe und Komplexität der geprüften Organisation.
• Die Anwesenheit externer Stellen erschwert und verlängert die Untersuchung.

Das OCR informiert in der Regel im Voraus, bevor es ein Audit durchführt. Geprüfte Organisationen werden außerdem über den Zweck, den Umfang und die voraussichtliche Dauer des Audits informiert. Abhängig von der Schwere der identifizierten Probleme kann das OCR auch Folgeaudits durchführen, um sicherzustellen, dass die Organisation die erforderlichen Korrekturmaßnahmen umgesetzt hat.

Wie viel kostet ein HIPAA-Audit?

Wenn eine Organisation von OCR für ein offizielles HIPAA-Audit ausgewählt wird, fallen für die geprüfte Organisation keine direkten Kosten an. Es fallen jedoch indirekte Kosten für die Vorbereitung auf die Prüfung an, etwa für die Einstellung von Beratern, und Opportunitätskosten für die Zuweisung von Personalzeit.

Darüber hinaus kann eine Organisation ein freiwilliges Selbstaudit durch einen externen oder internen Prüfer durchführen. Externe Prüfer berechnen in der Regel Gebühren zwischen einigen Tausend und Zehntausenden Dollar, je nach Umfang der Prüfung und benötigter Zeit.

Was passiert, wenn Sie gegen HIPAA verstoßen?

Ein Verstoß gegen HIPAA zieht erhebliche zivil- und strafrechtliche Bußgelder und Strafen nach sich. Die HIPAA-Bußgelder und -Strafen liegen zwischen 127 und fast 2 Millionen US-Dollar, während vorsätzliche oder fahrlässige Verstöße mit einer Freiheitsstrafe von bis zu 10 Jahren geahndet werden können. Besonders schwerwiegende Verstöße können sowohl zivilrechtliche als auch zivilrechtliche Geldstrafen nach sich ziehen Strafanzeigen sowie Sammelklagen gegen das betroffene Unternehmen oder den Geschäftspartner.

Zusätzlich zu Geldstrafen und rechtlichen Schritten kann das OCR vom Täter auch verlangen, Korrekturmaßnahmen zu ergreifen, um den Verstoß zu beheben und zukünftige Vorfälle zu verhindern. Die OCR gibt häufig Korrekturaktionspläne (CAPs) heraus, die verlangen, dass der Täter neue Richtlinien gemäß den Anweisungen der OCR übernimmt. Diese CAPs beinhalten auch Folgeprüfungen mit strengeren Strafen bei Nichteinhaltung der CAP.

Ein HIPAA-Verstoß schadet auch dem Ruf des Täters, wenn der Vorfall die Aufmerksamkeit der Medien erregt. Negative Publizität führt zu einem Vertrauensverlust bei Patienten und anderen Interessengruppen und kann langfristige Folgen haben. Schließlich können Verstöße gegen HIPAA auch ihre medizinische Zulassung oder Akkreditierung verlieren.

Abschluss

Es ist verständlich, dass man sich vor HIPAA-Prüfungen Sorgen macht. Sie sind jedoch nicht als Bestrafung gedacht, sondern vielmehr als Mittel zur Beurteilung der Compliance einer Organisation. Wenn Sie sich wirklich für die Aufrechterhaltung der Informationssicherheit einsetzen, ist es unwahrscheinlich, dass Sie während einer Prüfung auf größere Probleme stoßen.

Wenn das OCR darüber hinaus Compliance-Probleme feststellt, arbeitet es in der Regel mit der geprüften Organisation zusammen, um einen Korrekturmaßnahmenplan umzusetzen, anstatt eine Geldstrafe zu verhängen. In den allermeisten Fällen stellt das OCR zunächst technische Hilfe und Anleitung zur Verfügung, um die Probleme anzugehen und die allgemeine Compliance zu verbessern.

Dennoch ist die OCR gegenüber einer vorsätzlichen Vernachlässigung des HIPAA nicht nachsichtig und erwartet von den Organisationen einen proaktiven Ansatz. Die jüngsten aufsehenerregenden Datenschutzverstöße im Gesundheitswesen haben die Compliance-Messlatte auf ein neues Niveau gehoben. Zumindest müssen Gesundheitsdienstleister das Vertrauen ihrer Patienten wahren und den Schutz von PHI ernst nehmen. Um diese Erwartungen zu erfüllen, ist es von entscheidender Bedeutung, sich nach Treu und Glauben zu bemühen, die HIPAA-Vorschriften einzuhalten - andernfalls riskieren Sie kostspielige Bußgelder und rechtliche Schritte. Erfahren Sie außerdem mehr über die wichtigsten Unterschiede zwischen HIPAA und HITRUST, zwei wichtigen Rahmenwerken, die die Compliance in der Gesundheitsbranche regeln.