BSI TR-03161: Zertifizierung der Datensicherheit erklärt

Was ist die BSI TR-03161?

Du entwickelst eine digitale Gesundheitsanwendung und liest überall denselben Begriff: BSI TR-03161. Ein Zertifikat, ohne das nichts mehr geht.

Die BSI TR-03161 ist eine Technische Richtlinie des Bundesamt für Sicherheit in der Informationstechnik (BSI), die deutsche Behörde für IT-Sicherheit. Sie definiert Sicherheitsanforderungen an Anwendungen im Gesundheitswesen und verfolgt drei Schutzziele: Vertraulichkeit, Integrität und Verfügbarkeit von Gesundheitsdaten (1). Klingt abstrakt. Ist es nicht. Ein einmal offengelegte Gesundheitsdaten lassen sich, anders als ein gestohlenes Passwort, nicht zurückholen.

In diesem Artikel bekommst du alle Informationen zu der TR-03161 einfach erklärt.

Für wen gilt die BSI TR-03161?

Grundsätzlich richtet sich die TR-Familie an Hersteller*innen von Anwendungen im Gesundheitswesen. Sie kann darüber hinaus für jede Anwendung herangezogen werden, die sensible Daten verarbeitet oder speichert, unabhängig von Risikoklasse oder Erstattungsstatus (1).

Verpflichtend nachweisen musst du die Erfüllung der Anforderungen nur, wenn du eine DiGA (Digitale Gesundheitsanwendung) oder eine DiPA (Digitale Pflegeanwendung) herstellst. Grundlage sind § 139e Absatz 10 SGB V (Fünftes Buch Sozialgesetzbuch) für DiGA und § 78a Absatz 7 SGB XI für DiPA (2). Im Gesetzestext selbst liest sich das so: Das BSI legt die nachzuweisenden Anforderungen an die Datensicherheit fest und bietet dafür ein Prüf- und Zertifizierungsverfahren an. Der Nachweis muss vom Hersteller spätestens ab dem 1. Januar 2025 unter Vorlage eines entsprechenden Zertifikats geführt werden (5).

Seit diesem Stichtag gilt also: Ohne Zertifikat auf Basis der TR-03161 gibt es keinen Verbleib und keine Neuaufnahme im DiGA beziehungsweise DiPA Verzeichnis. Die Erste Verordnung zur Änderung der DiGAV und die Änderung des § 139e SGB V haben die Prüfung an dieser Stelle verschärft und die Vorlage eines konkreten Datensicherheitszertifikats zur Pflicht gemacht (2). Für den Übergang gab es Sonderregeln, die inzwischen bereits abgelaufen sind.

Wie verläuft der Zertifizierungsprozess?

Prozessphasen

1. In der Vorbereitungsphase klärst du alles, was vor der eigentlichen Prüfung stehen muss: Auswahl der Prüfstelle, Abstimmung des Evaluierungsplans, Eröffnung des Zertifizierungsverfahrens.
2. In der Prüfphase führt das beauftragte Prüflabor die Konformitätsprüfung durch und dokumentiert die Ergebnisse in einem Prüfbericht. Ist dieser unvollständig oder nachbesserungsbedürftig, fordert die Zertifizierungsstelle eine korrigierte Fassung an.
3. In der Zertifizierungsphase fällt die Entscheidung. Sind die Kriterien erfüllt, wird das Zertifikat erteilt. Fällt die Entscheidung negativ aus, brauchst du für eine erneute Prüfung einen komplett neuen Antrag.

Zeitrahmen

Die Gesamtdauer einer Konformitätsprüfung kann nicht pauschal genannt werden, weil zu viele Faktoren hineinspielen. Allerdings die Bestätigung eines eingereichten Prüfberichts durch das BSI dauert im Regelfall durchschnittlich rund drei Wochen (3). Wie lange Vorbereitungs- und Prüfphase insgesamt dauern, hängt vom Prüflabor, vom Umfang deiner Anwendung und von der Qualität deiner Unterlagen ab. Plane hier lieber großzügig.

Kosten

Zunächst gibt es die Kosten der neutralen Prüfstelle. Die legt jede Prüfstelle selbst fest, je nach Abrechnungsmodell und Prüfgegenstand. Darüberhinaus gibt es die Gebühren des BSI selbst, geregelt über die Besondere Gebührenverordnung des BMI (Bundesministerium des Innern), Abschnitt 7 Nummer 1.3 (3).

Gültigkeitsdauer

Fünf Jahre, formal befristet. Aber: Das Zertifikat gilt ausschließlich für exakt die geprüfte Produktversion. Jede Änderung erzeugt formal eine neue Version, für die das bestehende Zertifikat nicht mehr gilt (3). Für Produkte mit kurzen Releasezyklen kann das ein Problem darstellen.

Nachträgliche Produktänderungen

Kannst du eine Auswirkung auf die TR-Konformität nicht ausschließen, brauchst du eine Rezertifizierung. Kannst du sie eindeutig ausschließen, reicht ein Maintenanceverfahren. Die Zertifizierungsstelle entscheidet das anhand deiner Änderungsdokumentation und Auswirkungsanalyse (3).