Sicherungen und Dokumentenarchiv
Laufende Sicherung für die Rückkehr nach einer Störung, ein getrenntes Archiv für die gesetzlichen Fristen und ein regelmäßiger Rücksicherungstest mit Zeitmessung, denn es zählt, ob die Daten zurückkommen.
In den meisten Branchen ist IT eine interne Angelegenheit: Nimmt ein Unternehmen das Risiko in Kauf, fragt niemand nach. Im Gesundheitswesen ist das anders, denn Verfügbarkeit der Systeme, Ort der Aufbewahrung und Dauer der Archivierung ergeben sich unmittelbar aus dem Gesetz. Diese Seite spricht nicht allgemein über Zuverlässigkeit, sondern zeigt, welche Fristen bereits laufen und was daraus für den Server in Ihrem Haus folgt.
Wir sind nicht der Hersteller Ihrer Praxis- oder Kliniksoftware und zertifizieren keine Medizinprodukte. Wir verantworten die Schicht unter der Anwendung, also Server, Netzwerk, Sicherungen, Konten und Verfügbarkeit, sowie das Gespräch mit dem Softwarehersteller, wenn ein Problem an der Grenze liegt. Diese Aufteilung beschreiben wir unter Serveradministration.
Die Novelle des polnischen Gesetzes über das nationale Cybersicherheitssystem, mit der die NIS2-Richtlinie umgesetzt wird, trat am 3. April 2026 in Kraft. Das Gesundheitswesen ist darin ausdrücklich als Sektor genannt, und die nächste Frist liegt nicht in ferner Zukunft.
Eine medizinische Einrichtung, die kein Unternehmer ist, etwa eine öffentliche Ambulanz, gilt bei 50 bis 249 Beschäftigten als wichtige und ab 250 als wesentliche Einrichtung. Bei Unternehmern entscheidet die Betriebsgröße: mittel bedeutet wichtig, groß bedeutet wesentlich. Die Selbsteinschätzung nimmt man selbst vor, eine Benachrichtigung kommt nicht.
Das Gesetz nennt gesondert Leistungserbringer, die als Unterauftragnehmer für wesentliche oder wichtige Einrichtungen im Gesundheitssektor tätig sind. Ein kleines Diagnostiklabor oder eine Praxis, die Leistungen für ein Krankenhaus erbringt, kann damit unter die Pflichten fallen, obwohl sie die Beschäftigtenschwelle selbst nicht erreicht.
Eintrag im KSC-Verzeichnis bis 3. Oktober 2026. Anbindung an das System S46 und Umsetzung der Pflichten, darunter ein Informationssicherheits-Managementsystem und die Meldung von Vorfällen, bis 3. April 2027. Das erste Pflichtaudit für wesentliche Einrichtungen bis 3. April 2028, danach mindestens alle drei Jahre.
Ehrlich gesagt: Die Einhaltung dieses Gesetzes besteht überwiegend aus Dokumenten, Verfahren und Entscheidungen der Leitung, nicht aus Technik, und diesen Teil kann niemand für die Einrichtung erledigen. Wir übernehmen die technische Seite, also das, was ein Prüfer tatsächlich in den Systemen ansieht: Sicherungen, Konten, Updates, Netztrennung und die Spur der Zugriffe. Den Ausgangszustand halten wir in einem IT-Audit fest.
Das ist das Missverständnis, dem wir am häufigsten begegnen. Die nationale Plattform P1 ist kein Archiv der Einrichtung und speichert die Inhalte der Dokumente nicht. Das verändert die Bedeutung des Wortes Verfügbarkeit in dieser Branche.
Die elektronische Patientendokumentation bleibt im Repositorium der Einrichtung, an das nationale System geht die Information, dass ein Dokument existiert und wo es zu finden ist. Eine andere Einrichtung holt es anschließend direkt bei Ihnen ab, Ihr Server ist damit Teil des öffentlichen Dokumentenflusses und nicht bloß internes Gerät.
Daten zu einem medizinischen Ereignis werden unverzüglich übermittelt, spätestens zwei Tage nach dessen Abschluss, bei stationärer Behandlung binnen zwei Tagen nach Aufnahme. Rezepte und Überweisungen laufen in Echtzeit, eine Leitungsstörung in der Praxis ist deshalb sofort spürbar und nicht erst am Folgetag.
Die Pflicht zur elektronischen Dokumentation und zur Meldung von Ereignissen trifft den Leistungserbringer unabhängig davon, ob die Leistung öffentlich finanziert oder privat bezahlt wird. Eine rein privat abrechnende Praxis unterliegt denselben Regeln wie eine Ambulanz mit Vertrag.
Die praktische Folge für die Infrastruktur: Internetleitung und der Server mit dem Repositorium sind keine Bequemlichkeit mehr, sondern Voraussetzung für die Erfüllung einer gesetzlichen Pflicht. Deshalb beginnen wir in Einrichtungen meist mit einer zweiten Leitung eines anderen Anbieters samt automatischer Umschaltung und mit Notstrom für Server und Empfang, was wir unter Aufbau des Firmennetzes beschreiben.
Artikel 29 des polnischen Patientenrechtegesetzes gibt Aufbewahrungsfristen vor, die jeden Server, jedes System und jedes Dateiformat überdauern. Genau diese Anforderung wird beim Softwarewechsel am häufigsten übersehen.
Grundsätzlich 20 Jahre ab Ende des Jahres, in dem der letzte Eintrag erfolgte. Die Ausnahmen gehen in beide Richtungen: 30 Jahre bei Tod durch Körperverletzung oder Vergiftung sowie für Daten zur Rückverfolgung von Blut, 22 Jahre für Kinder unter zwei Jahren, 10 Jahre für Röntgenbilder außerhalb der Patientenakte und 5 Jahre für Überweisungen.
Eine Sicherung dient der Rückkehr nach einer Störung und hält meist Wochen oder Monate vor. Dokumentation von vor neunzehn Jahren muss heute lesbar sein, es braucht also einen getrennten Bestand, bewusst von der laufenden Sicherung abgesetzt, mit festgehaltenem Format und Leseweg.
Beim Umstieg auf neue Praxissoftware endet die Aufbewahrungspflicht nicht mit dem alten Vertrag. Vorab ist zu klären, ob die Daten in das neue System übergehen oder ein Archiv im alten Format bleibt, und ob es sich ohne eine Lizenz lesen lässt, die niemand mehr bezahlt.
Bei Bildgebung kommt die Größe hinzu, denn Untersuchungen im DICOM-Format wachsen schneller als die übrige Dokumentation und übersteigen nach einigen Jahren alles andere zusammen. Wie sich laufende Sicherung und Archiv trennen lassen, steht unter Backup und Archivierung.
Sechs Bereiche, mit denen das Gespräch meist beginnt. Unter jedem steht ein Verweis auf die Seite mit den Einzelheiten.
Laufende Sicherung für die Rückkehr nach einer Störung, ein getrenntes Archiv für die gesetzlichen Fristen und ein regelmäßiger Rücksicherungstest mit Zeitmessung, denn es zählt, ob die Daten zurückkommen.
Zweite Leitung mit automatischer Umschaltung, Notstrom für Empfang und Server sowie die Trennung vernetzter Medizingeräte von den Rechnern der Mitarbeitenden.
Personalisierte Konten statt eines gemeinsamen Passworts am Empfang, zweiter Faktor für Mail und Systeme sowie eine lesbare Spur, wer in eine Patientenakte gesehen hat.
Das Monitoring läuft rund um die Uhr, telefonische Bereitschaft ist eine eigene Vertragsvariante. Wir sagen offen, was nachts geschieht, statt überall 24/7 zu schreiben.
Updates in Fenstern außerhalb der Sprechzeiten, Kontrolle des Plattenplatzes gegenüber wachsenden Bilddaten und Nachhalten der Supportfristen des Hardwareherstellers.
Den Datenaustausch zwischen Labor, Praxissoftware und Bildgebung bauen wir auf dem Server der Einrichtung, damit Patientendaten nicht über einen externen Dienst laufen.
Was wir nicht tun: Wir sind nicht der Hersteller der Praxis- oder Kliniksoftware, wir führen kein juristisches DSGVO-Audit durch, das gehört zu einer Kanzlei, und wir machen keine Penetrationstests mit Bericht für externe Prüfer. Für Letzteres arbeiten wir mit einem darauf spezialisierten Team zusammen.
Die Arbeit in einer laufenden Ambulanz hat eigene Regeln, denn der Empfang lässt sich nicht für einen Nachmittag abschalten. Deshalb geht es in der ersten Etappe ausschließlich ums Hinsehen.
Dreißig Minuten darüber, wo Sie stehen und was am meisten drückt. Wir kommen mit einer Seite Risiken zurück, nach Dringlichkeit geordnet. Ohne NDA, ohne Verpflichtung, die Liste bleibt bei Ihnen, wie Sie sich auch entscheiden.
Was im Serverraum steht, wo das Repositorium liegt, wie die Sicherungen aussehen und wer Zugriff auf die Dokumentation hat. Dabei klären wir, ob die Einrichtung unter das Cybersicherheitsgesetz fällt und in welcher Kategorie.
Zuerst beheben wir, was Datenverlust oder einen Ausfall des Empfangs droht. Arbeiten mit Unterbrechung planen wir außerhalb der Sprechzeiten und stimmen sie mit der Leitung ab, statt sie einseitig einzutragen.
Anliegen des Personals, Updates in Wartungsfenstern, Rücksicherungstests und einmal im Monat ein Bericht. Einmal im Jahr sehen wir die Fristen durch: Hardwaresupport, Lizenzen und was sich in den Vorschriften geändert hat.
Seiten, die im Gespräch mit medizinischen Einrichtungen wiederkehren.
Wählen Sie Ihre Branche und sehen Sie, wie umfassender IT-Support und IT-Outsourcing für KMU Ihrem Unternehmen helfen können.
Das hängt von Rechtsform und Größe ab, bei Unterauftragsverhältnissen zusätzlich davon, für wen Sie arbeiten. Ein Leistungserbringer, der kein Unternehmer ist, gilt ab 50 Beschäftigten als wichtig und ab 250 als wesentlich; bei Unternehmern entscheidet die Betriebsgröße. Unterauftragnehmer sind gesondert genannt, die Beschäftigtenschwelle allein klärt die Frage also nicht.
Die Vorschriften verbieten die Cloud nicht, verlangen aber eine bewusste Entscheidung darüber, wo die Daten liegen und wer sie erreicht. In der Praxis setzt sich meist eine gemischte Lösung durch: Mail und Büroarbeit in der Cloud, das Dokumentenrepositorium und die Bildgebung auf einem Server vor Ort, weil dort Zugriffsgeschwindigkeit und Dateigröße zählen.
Zuerst klären wir, ob das Problem in der Umgebung oder in der Anwendung selbst liegt, denn das ändert die Zuständigkeit. Server, Datenbank, Netz und Sicherungen übernehmen wir, bei einem Fehler im Programm wenden wir uns an dessen Hersteller und führen den Fall, statt Sie zwischen zwei Firmen zu schicken. Die Aufteilung steht von Beginn an im Vertrag.
Das Monitoring läuft rund um die Uhr, telefonische Bereitschaft außerhalb der Arbeitszeit ist eine eigene, kostenpflichtige Vertragsvariante, die wir nicht jedem voreinstellen. In einer Ambulanz mit Betrieb von sieben bis achtzehn Uhr genügt meist ein früherer Start des Technikers; nächtliche Bereitschaft lohnt dort, wo tatsächlich nachts behandelt wird.
Grundsätzlich 20 Jahre ab Ende des Jahres des letzten Eintrags. Kürzer bei Überweisungen, nämlich 5 Jahre, und bei Röntgenbildern außerhalb der Patientenakte, nämlich 10 Jahre. Länger: 22 Jahre für Kinder unter zwei Jahren und 30 Jahre bei Tod durch Körperverletzung oder Vergiftung sowie für Daten zur Rückverfolgung von Blut.
Für die täglichen Anliegen des Personals oft ja, und wir raten niemandem, jemanden abzugeben, der das Haus kennt. Schwieriger wird es, wenn eine Person zugleich Empfang, Repositoriumsserver, Sicherungen und nun auch noch das Cybersicherheitsgesetz stemmen soll. Üblich ist die Aufteilung: Ihre Person bei den Menschen, wir bei der Serverschicht.
Gesundheitsdaten sind eine besondere Kategorie, bei einer Verletzung mit Risiko für die Rechte der Patienten soll die Meldung an die Aufsichtsbehörde binnen 72 Stunden nach Feststellung erfolgen, bei hohem Risiko sind zusätzlich die Betroffenen zu informieren. Parallel meldet eine vom Cybersicherheitsgesetz erfasste Einrichtung den Vorfall an das zuständige CSIRT-Team.
Ja, und wir beginnen mit einer Bestandsaufnahme, damit beide Seiten wissen, was wir vorgefunden haben. Das schützt auch Sie, denn der häufigste Streit bei der Übernahme einer Umgebung ist die Frage, ob etwas schon vorher defekt war. Übergänge planen wir außerhalb der Sprechzeiten, die übergeordneten Passwörter bleiben auf Ihrer Seite.
Das erste Treffen dauert 30 Minuten und verpflichtet zu nichts. Wir sagen Ihnen klar, ob wir helfen können und was wir vorschlagen würden.
2019 - 2024 Interactive Workspace Sp. z o.o. - Wszystkie prawa zastrzeżone.