DIN EN IEC 80001-1:2023-02

Gesundheitsversorgungsorganisationen sind auf sichere, effektive und geschützte Systeme als geschäftskritische Faktoren angewiesen. Ein ineffizientes Management bei der Verwendung eingebundener Systeme kann die Fähigkeit zur Bereitstellung der Gesundheitsdienstleistungen gefährden. Dieses Dokument legt die allgemeinen Anforderungen an Organisationen bei der Anwendung des Risikomanagements vor, während und nach der Zusammenführung der Einbindung eines IT-Systems im Gesundheitswesen in eine IT-Infrastruktur im Gesundheitswesen fest, indem es die Schutzzielsicherheit, Effektivität und Daten- und Systemsicherheit berücksichtigt und gleichzeitig die erforderlichen Akteure einbezieht. Eingebundene Systeme zur Bereitstellung von Gesundheitsdienstleistungen, umfassen in der Regel mehrere Softwareanwendungen, verschiedene Medizinprodukte und komplexe IT-Systeme im Gesundheitswesen, die auf einer gemeinsamen Infrastruktur basieren. Diese IT-Infrastrukturen im Gesundheitswesen werden häufig sowohl für klinische (zum Beispiel Systeme zur Überwachung von Patienten) als auch für nicht-klinische Organisationsfunktionen (zum Beispiel Abrechnung, Zeitplanung, soziale Netzwerke, Multimedia, gemeinsame Datennutzung) verwendet. Bei diesen eingebundenen Systemen kann es sich um kleine Netzwerke von Abteilungen bis hin zu großen integrierten Infrastrukturen handeln, die sich über mehrere Standorte erstrecken, sowie um cloudbasierte Dienste, die von Dritten betrieben werden. Die Anforderungen in diesem Dokument richten sich an diverse Akteure, die an der Anwendung des Risikomanagements auf Systeme wie IT-Systeme im Gesundheitswesen und/oder IT-Infrastrukturen im Gesundheitswesen beteiligt sind. Die Anforderungen in diesem Dokument gelten für Gesundheitsversorgungsorganisationen und andere Organisationen, die die Konformität mit diesem Rahmenkonzept des Risikomanagements anstreben. Anforderungen, die nur für Gesundheitsversorgungsorganisationen gelten, sind eindeutig gekennzeichnet. Gegenüber DIN EN 80001-1 (VDE 0756-1):2011-11 wurden folgende Änderungen vorgenommen: a) angepasste Struktur zur besseren Abstimmung auf ISO 31000; b) Festlegung von Anforderungen an Organisationen für die Anwendung des Risikomanagements; c) Vermittlung des Nutzens, der Absicht und des Zwecks des Risikomanagements durch Grundsätze, die die Sicherstellung der Schutzziele bei der Implementierung und Verwendung von eingebundener Gesundheitssoftware und/oder von eingebundenen IT-Systemen im Gesundheitswesen unterstützen.