Der Health Insurance Portability and Accountability Act (HIPAA) legt nationale Standards zum Schutz geschuetzter Gesundheitsinformationen fest. Ob Sie eine betroffene Einrichtung, ein Business Associate oder ein Subunternehmer sind, wir helfen Ihnen, die Anforderungen der Privacy Rule, Security Rule und Breach Notification mit klaren Prozessen und pruefungsbereiter Dokumentation umzusetzen.
Der Health Insurance Portability and Accountability Act von 1996 (HIPAA) ist ein Bundesgesetz, das nationale Standards zum Schutz sensibler Patientengesundheitsinformationen vor der Offenlegung ohne Zustimmung oder Wissen des Patienten festgelegt hat.
Durchgesetzt von: U.S. Department of Health and Human Services (HHS) Office for Civil Rights (OCR). HIPAA gilt fuer betroffene Einrichtungen (Gesundheitsdienstleister, Krankenkassen, Abrechnungsstellen), Business Associates und deren Subunternehmer.
Kontrolliert PHI-Nutzung und -Offenlegung
Schuetzt elektronische PHI (ePHI)
Ergaenzt die SOC 2-Zertifizierung und ISO 27001 fuer Informationssicherheit im Gesundheitswesen.
Betroffene Einrichtungen (Covered Entities)
Gesundheitsdienstleister, Krankenkassen, Abrechnungsstellen im Gesundheitswesen, die Gesundheitsinformationen elektronisch uebermitteln
Business Associates
Dritte, die PHI im Auftrag betroffener Einrichtungen erstellen, empfangen, pflegen oder uebermitteln
Subunternehmer
Entitaeten, die PHI im Auftrag von Business Associates erstellen, empfangen, pflegen oder uebermitteln
Gesundheitsdienstleister
Krankenhaeuser, Kliniken, Aerzte, Zahnaerzte, Apotheken, Pflegeheime, ambulante Pflegedienste
Krankenkassen
Krankenversicherungen, HMOs, Arbeitgeber-Gesundheitsplaene, staatliche Gesundheitsprogramme
Gesundheitstechnologie-Anbieter
EHR-Anbieter, Cloud-Speicher, Datenanalyse, Abrechnungsdienste, IT-Support, Berater
Konkrete Funktionen zur Erfuellung der Anforderungen der Privacy Rule, Security Rule und Breach Notification
Identifizieren und dokumentieren Sie alle Systeme, die geschuetzte Gesundheitsinformationen (PHI) erstellen, empfangen, pflegen oder uebermitteln. Die Plattform fuehrt eine vollstaendige PHI-Datenflusskarte, die fuer die Einhaltung der Privacy Rule und die Planung der Reaktion auf Datenschutzverletzungen erforderlich ist.
Adressiert: Privacy Rule: PHI-Identifikation, Mindesterfordernis, Datenfluss-Dokumentation
Verfolgen Sie die Implementierung administrativer, physischer und technischer Schutzmassnahmen, die von der Security Rule gefordert werden. Die Plattform dokumentiert Sicherheitskontrollen, Zugriffskontrollen, Verschluesselungsmassnahmen und Audit-Protokollierung in Ihrer gesamten PHI-Infrastruktur.
Adressiert: Security Rule: Zugriffskontrollen, Verschluesselung, Audit-Kontrollen, Integritaetskontrollen
Fuehren Sie HIPAA-konforme Risikobewertungen durch, die Bedrohungen und Schwachstellen fuer die Vertraulichkeit, Integritaet und Verfuegbarkeit von PHI identifizieren. Die Plattform erstellt Risikodokumentation und verfolgt die von der Security Rule geforderte Behebung.
Adressiert: Security Rule: Risikoanalyse, Risikomanagement, Sicherheitsmanagementprozess
Pflegen Sie erforderliche HIPAA-Richtlinien, -Verfahren und -Dokumentation mit Versionskontrolle und Genehmigungsworkflows. Die Plattform stellt sicher, dass Richtlinien alle Anforderungen der Privacy und Security Rule mit ordnungsgemaessen Ueberpruefungszyklen abdecken.
Adressiert: Privacy & Security Rules: Richtlinien, Verfahren, Dokumentation, Mitarbeiterschulung
Verwalten Sie HIPAA-Verletzungsuntersuchungen mit strukturierten Workflows, die die 60-Tage-Frist der Breach Notification Rule einhalten. Die Plattform verfolgt die Erkennung von Verletzungen, Schadensbewertung, Meldepflichten und OCR-Berichterstattung.
Adressiert: Breach Notification Rule: Erkennung, Bewertung, Benachrichtigung, Dokumentation
Verfolgen Sie alle Business Associates und Subunternehmer mit BAA-Status, Risikobewertungen und laufender Ueberwachung. Die Plattform pflegt die von den Privacy und Security Rules geforderte Drittanbieteraufsicht.
Adressiert: Privacy & Security Rules: BAA-Verfolgung, Lieferantenrisiko, Subunternehmer-Management
Alle PHI-bezogenen Aktivitaeten werden mit Zeitstempeln, zugewiesenen Verantwortlichen und Genehmigungsworkflows verfolgt. Dieser Audit-Trail weist die systematische Compliance nach und unterstuetzt OCR-Untersuchungen oder -Audits.
VerifyWise bietet dedizierte Tools fuer alle HIPAA-Regelanforderungen
HIPAA-Anforderungen
Anforderungen mit dediziertem Tooling
Abdeckung ueber alle Regeln
PHI-Nutzung, Offenlegung, Rechte, Mindesterfordernis
Administrative, physische, technische Schutzmassnahmen
Erkennung, Benachrichtigung, Dokumentation, Minderung
Untersuchungen, Strafen, Compliance, Audits
Nachweispakete fuer OCR-Untersuchungen und Compliance-Ueberpruefungen
Automatisierte Workflows zur Verletzungsmeldung gemaess OCR-Fristen
Business Associates und Subunternehmer mit BAA-Status verfolgen
HIPAA mit KI-Governance-Frameworks fuer klinische KI-Systeme kombinieren
Die wesentlichen Komponenten der HIPAA-Compliance verstehen
Kontrolliert die Nutzung und Offenlegung geschuetzter Gesundheitsinformationen und legt individuelle Rechte fest.
Legt nationale Standards zum Schutz elektronischer geschuetzter Gesundheitsinformationen (ePHI) fest.
Erfordert die Benachrichtigung von Einzelpersonen, HHS und in einigen Faellen der Medien bei PHI-Verletzungen.
Legt Verfahren fuer Untersuchungen, Anhoerungen und die Verhaengung von Geldstrafen fest.
Staerkte HIPAA durch direkte Haftung von Business Associates, erweiterte Meldepflichten und HITECH-Act-Umsetzung.
Administrative, physische und technische Schutzmassnahmen fuer den ePHI-Schutz
Dokumentierte Richtlinien, Verfahren und Prozesse zur Verwaltung der PHI-Sicherheit
Risikoanalyse, Risikomanagement, Sanktionsrichtlinie, Ueberpruefung der Informationssystemaktivitaet
Ernannter Sicherheitsbeauftragter verantwortlich fuer HIPAA-Sicherheit
Autorisierung, Aufsicht, Freigabeverfahren, Kuendigungsverfahren
Zugangsautorisierung, Zugangserstellung, Zugangsaenderung
Sicherheitserinnerungen, Malware-Schutz, Login-Ueberwachung, Passwortverwaltung
Reaktion auf und Meldung von Sicherheitsvorfaellen
Datensicherung, Notfallwiederherstellung, Notfallmodus, Tests, Anwendungs- und Datenkritikalitaet
Regelmaessige technische und nicht-technische Bewertung der Sicherheitsmassnahmen
Schriftliche Vertraege mit zufriedenstellenden Zusicherungen bezueglich des PHI-Schutzes
Physische Massnahmen zum Schutz elektronischer Informationssysteme und Gebaeude
Notfallbetrieb, Gebaeude-Sicherheitsplan, Zugangskontrolle und -validierung, Wartungsaufzeichnungen
Richtlinien und Verfahren fuer Arbeitsplatzfunktionen und -sicherheit
Physische Schutzmassnahmen zur Beschraenkung des Arbeitsplatzzugangs auf autorisierte Benutzer
Entsorgung, Wiederverwendung von Medien, Rechenschaftspflicht, Datensicherung und -speicherung
Technologie und Richtlinien zum Schutz von ePHI und zur Zugangskontrolle
Eindeutige Benutzeridentifikation, Notfallzugang, automatische Abmeldung, Ver- und Entschluesselung
Hardware-, Software- und Verfahrensmechanismen zur Aufzeichnung und Ueberpruefung des ePHI-Zugangs
Richtlinien zur Sicherstellung, dass ePHI nicht unsachgemaess veraendert oder zerstoert wird
Verfahren zur Ueberpruefung von Personen oder Entitaeten, die ePHI-Zugang suchen
Integritaetskontrollen und Verschluesselung fuer die ePHI-Uebertragung ueber Netzwerke
Ein praktischer Weg zur HIPAA-Compliance mit klaren Meilensteinen
Die finanziellen und strafrechtlichen Konsequenzen der Nichteinhaltung verstehen
Nicht gewusst (und bei Anwendung angemessener Sorgfalt nicht gewusst haette)
Spanne
$100 - $50.000
Jahresmax.
$25.000
Vernuenftiger Grund (Verstoss aufgrund von Umstaenden ausserhalb angemessener Kontrolle)
Spanne
$1.000 - $50.000
Jahresmax.
$100.000
Vorsaetzliche Vernachlaessigung (aber innerhalb von 30 Tagen korrigiert)
Spanne
$10.000 - $50.000
Jahresmax.
$250.000
Vorsaetzliche Vernachlaessigung (nicht innerhalb von 30 Tagen korrigiert)
Spanne
$50.000 - $50.000
Jahresmax.
$1.500.000
Wissentliche Beschaffung oder Offenlegung von PHI
Bis zu $50.000 und bis zu 1 Jahr Freiheitsstrafe
Beschaffung von PHI unter Vorspiegelung falscher Tatsachen
Bis zu $100.000 und bis zu 5 Jahre Freiheitsstrafe
Beschaffung oder Offenlegung von PHI mit der Absicht des Verkaufs, der Uebertragung oder der Nutzung fuer kommerziellen Vorteil, persoenlichen Gewinn oder boesartige Schaedigung
Bis zu $250.000 und bis zu 10 Jahre Freiheitsstrafe
Hinweis: Strafen werden pro Verstoss berechnet. Mehrere Verstoesse koennen zu Strafen fuehren, die die jaehrlichen Hoechstbetraege uebersteigen. Das Department of Justice ist fuer die Strafverfolgung von HIPAA-Verstoessen zustaendig.
Zugriff auf gebrauchsfertige HIPAA-Richtlinienvorlagen fuer Privacy Rule, Security Rule und Breach-Notification-Anforderungen
Haeufige Fragen zur HIPAA-Compliance
Starten Sie Ihre Compliance-Reise mit unserer gefuehrten HIPAA-Bewertung und Implementierungstools fuer Organisationen im Gesundheitswesen.