HIPAA-Sicherheitsregel aus der Perspektive des NIST CSF 2.0

Die HIPAA-Sicherheitsregel ist kurz und bewusst flexibel gehalten: administrative, physische und technische Schutzmaßnahmen für elektronisch geschützte Gesundheitsinformationen, mit Standards und Implementierungsspezifikationen, die als erforderlich oder adressierbar gekennzeichnet sind. NIST CSF 2.0 ist breiter angelegt. Sicherheitsteams im Gesundheitswesen nutzen CSF zunehmend, um ihr Programm zu steuern und gegenüber Vorständen zu berichten, und leiten davon dann den Nachweis der HIPAA-Konformität ab. Wie gut funktioniert das?

Die zentrale Kennzahl

Von den 69 HIPAA-Normen und Spezifikationen sind 38 (55%) auf etwas in NIST CSF 2.0 zugeordnet, 29 sind nur lose verwandt und 2 haben keine Zuordnung in unseren Daten. Lückenbericht öffnen →

Nahezu jede Anforderung der Sicherheitsregel lässt sich einem CSF-2.0-Ergebnis zuordnen. Viele dieser Verknüpfungen stammen aus dem eigenen Crosswalk des NIST von der HIPAA-Sicherheitsregel zu SP 800-53, dem ControlMapping bis zu CSF folgt.

Nach Schutzmaßnahmen

HIPAA-Abschnitt	Zugeordnet	Lose verwandt	Keine Zuordnung
§164.308 Administrative safeguards	19 von 30	11	0
§164.310 Physical safeguards	9 von 12	2	1
§164.312 Technical safeguards	7 von 12	5	0
§164.314 Organizational requirements	1 von 10	8	1
§164.316 Policies and documentation	2 von 5	3	0

Haben NIST CSF 2.0, benötigen HIPAA. Anforderung für Anforderung: Lückenbericht öffnen →

Die zwei Punkte ohne Zuordnung

Die Anforderungen ohne Zuordnung in unseren Daten sind eng gefasst: die Spezifikation zur Wiederverwendung von Medien (Entfernen von ePHI, bevor elektronische Medien wiederverwendet werden) und eine Spezifikation zu Verträgen mit Geschäftspartnern. Beide haben in einem ausgereiften Programm offensichtliche Entsprechungen (Verfahren zur Datenvernichtung und Lieferantenverträge), doch kein CSF-Ergebnis benennt sie direkt, und wir haben dafür keine redaktionellen Verknüpfungen ergänzt. Es lohnt sich, sie ausdrücklich in Ihrem HIPAA-Maßnahmenset aufzuführen.

Was CSF über HIPAA hinaus bietet

Von den 106 NIST CSF 2.0-Unterkategorien sind 63 (59%) auf etwas in HIPAA zugeordnet, 27 sind nur lose verwandt und 16 haben keine Zuordnung in unseren Daten. Lückenbericht öffnen →

Die Gegenrichtung zeigt, was ein reines HIPAA-Programm übersieht. Die CSF-Ergebnisse ohne HIPAA-Zuordnung konzentrieren sich auf die Funktion Govern, die CSF 2.0 im Jahr 2024 ergänzt hat: organisatorischer Kontext, Risikostrategie und Risikobereitschaft, Lieferkettenrisikomanagement als Bestandteil des Programms sowie Überwachung. Die Sicherheitsregel verlangt Risikoanalyse und Risikomanagement, sagt aber wenig darüber, wie die Organisation ihre Risikostrategie festlegt oder Drittparteirisiken systematisch steuert. Die Einführung von CSF schließt diese Lücken.

Wichtigste Erkenntnisse

• Ein Programm nach NIST CSF 2.0 deckt nahezu jeden Standard und jede Implementierungsspezifikation der HIPAA-Sicherheitsregel ab.
• Die Ausnahmen sind eng gefasst (Wiederverwendung von Medien und eine Spezifikation zu Verträgen mit Geschäftspartnern) und leicht zu ergänzen.
• CSF ergänzt Governance, die HIPAA fehlt, insbesondere Risikostrategie und Lieferkettenrisikomanagement.
• Führen Sie die HIPAA-Risikoanalyse als eigenständiges, dokumentiertes Ergebnis, unabhängig davon, welches Framework Sie einsetzen.

CSF zur Steuerung eines HIPAA-Programms nutzen

1. Erstellen Sie Ihre Current- und Target-Profile in CSF 2.0 und vermerken Sie bei jeder Subkategorie, welchen Standard der Sicherheitsregel sie unterstützt.
2. Führen Sie die HIPAA-Risikoanalyse (§164.308(a)(1)(ii)(A)) als eigenständiges, dokumentiertes Ergebnis. Sie ist der Eckpfeiler der Sicherheitsregel und das Erste, was HHS-Ermittler anfordern.
3. Dokumentieren Sie für jede Implementierungsspezifikation die Entscheidungen zu erforderlich versus adressierbar mit Begründung, bis die vorgeschlagenen Regeländerungen abgeschlossen sind.
4. Berichten Sie an die Führungsebene in CSF-Begriffen, an Auditoren und Ermittler in HIPAA-Begriffen, jeweils auf Basis desselben Maßnahmensets.

Der CSF-2.0-→-HIPAA-Lückenbericht listet jeden Standard und jede Spezifikation mit ihren CSF-Ergebnissen auf, und der Vergleich NIST CSF vs. HIPAA deckt beide Richtungen ab. Der auf dieser Website angezeigte Text der Sicherheitsregel stammt aus NIST SP 800-66r2.

Fragen

Erfüllt die NIST-CSF-Konformität die HIPAA-Anforderungen?

Kein Framework „erfüllt“ HIPAA für sich allein: Durchgesetzt wird die Sicherheitsregel selbst vom HHS. Ein CSF-2.0-Programm adressiert jedoch nahezu jede Anforderung der Sicherheitsregel, und das HHS verweist für die Umsetzung auf NIST-Leitlinien (SP 800-66).

Ändert sich die HIPAA-Sicherheitsregel?

Das HHS hat im Januar 2025 umfangreiche Änderungen vorgeschlagen, unter anderem die Abschaffung der Unterscheidung zwischen erforderlichen und adressierbaren Spezifikationen. Prüfen Sie den aktuellen Stand, bevor Sie sich auf diese Unterscheidung verlassen.

Erkennt das HHS NIST CSF für HIPAA an?

Das HHS veröffentlicht NIST SP 800-66 als Leitfaden zur Umsetzung der Sicherheitsregel und hat anerkannte Sicherheitspraktiken, etwa das NIST Cybersecurity Framework, als relevant bezeichnet, wenn es Durchsetzungsmaßnahmen prüft. Die Nutzung von CSF ersetzt jedoch nicht die eigenen Anforderungen der Sicherheitsregel, einschließlich der dokumentierten Risikoanalyse.