Ein Inspektionsbesuch der Aufsichtsbehörde für Gesundheit und Jugend (IGJ) zum Bewertungsrahmen für digitale Gesundheitsversorgung ist für viele Gesundheitsorganisationen noch Neuland. Was genau erwartet die Aufsichtsbehörde? Wie bereitet man sich darauf vor? Und was passiert, wenn man nicht alle Erwartungen erfüllt? Anja Oosting, Datenschutz- und Sicherheitsbeauftragte bei Icare, kann sich noch gut an den Besuch erinnern. Es war ein Weckruf – und letztendlich der Anstoß für eine grundlegende Verbesserung.
Dieser Artikel gibt Ihnen einen Einblick in die Erwartungen der IGJ, den Ablauf eines solchen Besuchs und wie Icare diesen Verbesserungsbedarf in ein funktionierendes System umgesetzt hat. Vom Papier zur Praxis. Von der Richtlinie zur Umsetzung.
Was ist der Bewertungsrahmen für die digitale Gesundheitsversorgung?
Die IGJ legt den Begriff „digitale Pflege“ weiter aus, als viele Organisationen erwarten. Anja: „Die Definition umfasst alle IT-Ressourcen, die zur Unterstützung der Pflege im Rahmen des primären Prozesses eingesetzt werden. Das kann also die Patientenakte sein, das kann die Hausautomation sein, aber dazu gehören beispielsweise auch das E-Mail-System und das Dienstplan-System.“
Es geht also nicht nur um die elektronische Patientenakte oder die Medikamenten-App. Es geht um jedes digitale Tool, das man zur Erbringung oder Organisation von Pflege einsetzt. Von der Planung von Hausbesuchen bis hin zur Kommunikation zwischen Kollegen. Von Sensoren in Pflegeheimen bis hin zum Laptop, mit dem eine Pflegekraft ihre Berichte erstellt.
Dieser weitreichende Anwendungsbereich hat Konsequenzen. Das bedeutet, dass praktisch jede Funktion in Ihrer Organisation mit der digitalen Gesundheitsversorgung zu tun hat – und somit auch mit den damit verbundenen Sicherheitsanforderungen. Der Rezeptionist, der den Terminkalender verwaltet, der IT-Administrator, der die Systeme wartet, der Pflegekoordinator, der Dienstpläne erstellt.
Der Bewertungsrahmen selbst basiert auf bestehenden Normen: der NEN 7510, der DSGVO und dem Gesetz über den medizinischen Behandlungsvertrag. Es handelt sich also nicht um eine willkürliche Liste von Anforderungen, sondern um eine Umsetzung von Normen und Rechtsvorschriften in konkrete Bewertungskriterien. Das macht ihn gleichzeitig hilfreich und anspruchsvoll.
Kundenbeispiel
Icare ist Teil von Espria, einer der größten Gesundheitsorganisationen der Niederlande. Mit FullyInControl stellen sie von einer fragmentierten GRC-Landschaft – in der Prozesse, Risiken und Audits in einer Vielzahl einzelner Systeme und Tabellenkalkulationen verwaltet wurden – auf einen soliden, integrierten Ansatz zur Gewährleistung von Qualität, Informationssicherheit und Compliance um.
Worauf die IGJ wirklich achtet
Der Bewertungsrahmen umfasst fünf Themenbereiche, die an die Norm NEN 7510 angelehnt sind: (1) gute Unternehmensführung und verantwortungsbewusste Innovation, (2) Einführung und Nutzung digitaler Gesundheitsdienste, (3) Information, Einbeziehung und Unterstützung von Patienten, (4) Zusammenarbeit im Netzwerk und elektronischer Datenaustausch sowie (5) Informationssicherheit und Kontinuität.
Die IGJ schaut jedoch weit über die bloße Existenz von Richtlinien auf dem Papier hinaus. Anja: „Sie legen den Fokus vor allem auf den lernorientierten Charakter des Qualitätssystems und darauf, inwieweit der Plan-Do-Check-Act-Zyklus für strukturelle Verbesserungen genutzt wird.“
Das ist ein entscheidender Aspekt. Man kann über hervorragende Richtlinien, umfassende Verfahren und detaillierte Risikoanalysen verfügen. Wenn diese jedoch nicht zu tatsächlichen Verbesserungen in der Praxis führen, verfehlt man das Ziel. Die IGJ möchte sehen, dass das System lebt und sich auf den täglichen Ablauf auswirkt. Der Schwerpunkt liegt auf der Nachweisbarkeit eines funktionierenden und lernenden Qualitätsmanagementsystems.
Wie der Besuch der IGJ bei Icare verlief
Alle fünf Themen wurden behandelt, jedoch nicht als abstrakte Theorie. Anja: „Alles wird mit aktuellen Themen verknüpft. Die Zusammenarbeit innerhalb der Versorgungskette, die Hausautomation in Pflegeheimen – all das wird wirklich anhand dessen geprüft, was sie innerhalb der Organisation erleben.“
Die Inspektoren betrachten konkrete Praxissituationen. Wie ist die Bildüberwachung organisiert? Wie arbeiten Sie mit Hausärzten, Krankenhäusern und anderen Pflegeeinrichtungen zusammen? Welche Hausautomationssysteme nutzen Sie und wie wird der Datenschutz gewährleistet? Es handelt sich nicht um theoretische Fragen, sondern um gezielte Nachfragen zu Ihrer spezifischen Situation.
Darüber hinaus hat der Besuch auch eine strategische Komponente. Die IGJ möchte wissen, welche Vision die Organisation in Bezug auf die Digitalisierung verfolgt. Wohin geht die Reise? Wie sehen Sie die Rolle der Technologie im Gesundheitswesen? Wie können Sie weiterhin innovativ sein, ohne Abstriche bei der Sicherheit zu machen?
Der Verbesserungsbedarf war klar. Anja: „Wir konnten nicht nachweisen, dass wir über ein funktionierendes und lernendes Instrument verfügten. Die Richtlinien waren vorhanden, die Verfahren waren festgelegt, aber die Umsetzung und die Sicherung fehlten.“
Das ist die Umsetzungslücke, mit der viele Organisationen zu kämpfen haben. Der Unterschied zwischen „haben“ und „tun“. Zwischen Dokumentation und Umsetzung. Zwischen Richtlinien auf dem Papier und der Umsetzung in der Praxis. Man beweist, was man sagt: Man hat Richtlinien, man hat sie umgesetzt, und man kann dies nachweisen.
Der Weg vom Verbesserungsvorschlag zum funktionierenden System
Ein engagiertes Team ist unerlässlich. Anja ist sich sicher: „Das ist nicht nur die Aufgabe eines Datenschutzbeauftragten oder eines IT-Managers. Die Norm NEN 7510 ist keine freiwillige Angelegenheit. Jede Organisation muss diese Norm erfüllen. Das liegt in der Verantwortung der Geschäftsleitung.“ Ohne die aktive Einbindung der Geschäftsleitung und des Managements bleibt ein ISMS reine Theorie. Konkret bedeutet diese Einbindung: die Bedeutung des Themas zu vermitteln, Zeit und Ressourcen bereitzustellen und sich am Fortschritt zu beteiligen.
Machen Sie es nachweisbar. Icare erkannte, dass man dies nicht weiterhin mit Excel-Tabellen, Word-Dokumenten und einzelnen E-Mails bewältigen kann. Das Unternehmen investierte in ein System, das automatisch signalisiert, wann Richtlinien überarbeitet werden müssen, einen Überblick über alle Risiken, Maßnahmen und deren Status bietet und nachweisbar macht, wer wofür verantwortlich ist.
Schaffen Sie eine feste Struktur. Belinda Kramer, Bereichsleiterin bei Icare: „Wir haben jeden Monat einen Termin im Kalender eingeplant, um gemeinsam zu prüfen: Sehen wir noch irgendwo Risiken? Gibt es Themen, die wir angehen müssen?“ Diese Gespräche werden nun durch aktuelle Daten und Übersichten gestützt, anstatt dass jemand Informationen manuell aus verschiedenen Quellen zusammentragen muss.
Investieren Sie in maßgeschneiderte Sensibilisierungsmaßnahmen. Nicht jeder Mitarbeiter im Gesundheitswesen muss den Begriff NEN 7510 kennen. Aber sie müssen verstehen, was Datenschutz bedeutet, was eine Datenpanne ist und wann sie in Akten einsehen dürfen und wann nicht. Icare setzt auf Microlearning mit spielerischem Element. Belinda: „Das fühlt sich auch sehr gut an. Da denkt man: Ich habe auch ein bisschen Ahnung davon.“ Diese Kompetenzerfahrung ist entscheidend: von Unsicherheit zu Vertrauen.
Was das für dein Unternehmen bedeutet
Der IGJ-Bewertungsrahmen muss keine Bedrohung darstellen. Er kann ein Hilfsmittel sein, um Ihre Organisation strukturell zu verbessern. Das erfordert jedoch Taten: das Engagement der Geschäftsleitung, ein engagiertes Team, strukturelle Aufmerksamkeit und die richtigen Instrumente, um dies zu sichern. Nicht die Checkliste für die Inspektion, sondern die Art und Weise, wie Sie Ihre Pflegeprozesse kontinuierlich verbessern.
Und wie Belinda es auf den Punkt bringt: „Man muss einfach damit anfangen. Man ist damit nie fertig, aber man muss einfach anfangen.“
Möchtest du mehr darüber erfahren, wie man ein ISMS im Gesundheitswesen praktisch umsetzt?
Die Erfahrungen und Erkenntnisse in diesem Artikel basieren auf unserem Webinar mit Icare, in dem Anja Oosting (Datenschutz- und Sicherheitsbeauftragte), Belinda Kramer (Bereichsleiterin) und Bart Claassen (Implementierungsspezialist) ihre praktischen Erfahrungen teilen.
Sehen Sie sich das gesamte Webinar an: Zertifizierung von A bis Z
Möchten Sie wissen, wie Ihnen Tools wie „Fully in Control“ dabei helfen, von einer bloßen Richtlinie auf Papier zu einem funktionierenden, nachweisbaren System zu gelangen?
Laden Sie unser Whitepaper herunter: Von der Compliance zur Kontrolle