Centers for Medicare and Medicaid Services (CMS)

Das CMS ist eine Betriebseinheit des US-Gesundheitsministeriums (HHS) mit Sitz in Baltimore, Maryland. Es wurde 1977 als Health Care Financing Administration gegründet und 2001 umbenannt. Über seine Programme ist das CMS der größte einzelne Einkäufer von Gesundheitsleistungen in den Vereinigten Staaten. Seine Regeln wirken deshalb als faktischer Maßstab für Krankenhäuser, Ärzte, Krankenversicherungen und deren Dienstleister.

Das CMS entscheidet, was seine Programme abdecken, legt die Vergütungspolitik fest und veröffentlicht die Bedingungen, die Leistungserbringer zur Teilnahme erfüllen müssen. Außerdem sammelt es große Mengen an Abrechnungs- und Versichertendaten. Diese Daten und die daran geknüpften Bedingungen machen das CMS für die Datensicherheit relevant.

Am besten versteht man das CMS über seine Programme:

Das CMS hat außerdem einen weniger sichtbaren Auftrag: die administrative Vereinfachung nach HIPAA. Das Gesetz verpflichtete das HHS, elektronische Transaktionen im Gesundheitswesen zu standardisieren, und das CMS entwickelt und pflegt diese Standards. Dazu gehören Transaktionsformate für Abrechnungen, Leistungsberechtigung und Zahlungen, Codesysteme wie ICD-10 und HCPCS, die Diagnosen und Leistungen ein gemeinsames Vokabular geben, sowie die National Provider Identifier, die jedem abgedeckten Leistungserbringer zugewiesen wird.

Die Durchsetzung ist eine eigene Frage. Ursprünglich war das CMS auch für die HIPAA Security Rule zuständig. Seit dem HITECH Act von 2009 setzt das HHS Office for Civil Rights die Privacy- und Security-Regeln sowie die Meldepflicht bei Datenpannen durch. Das CMS bleibt der Verwalter der Transaktions- und Codestandards. Organisationen, die Transaktionen mit dem CMS oder seinen Auftragnehmern austauschen, darunter abgedeckte Stellen, müssen diese Anforderungen weiterhin erfüllen.

Pflichten aus dem Umfeld des CMS erreichen Organisationen über mehrere Kanäle. Die meisten davon enthalten Erwartungen an die Sicherheit:

1. 1

   Teilnahmebedingungen

   Schutzmaßnahmen für Patientendaten, die durch Prüfungen und Audits kontrolliert werden.

2. 2

   Einhaltung bei Transaktionen

   Nicht konforme Abrechnungen werden abgelehnt, daher ist es eine Frage des Umsatzes.

3. 3

   Datennutzungsvereinbarungen

   Legen Zugriff, Speicherort und Schutz der CMS-Daten fest.

4. 4

   Meldung von Sicherheitsvorfällen

   Der Verlust von Patientendaten löst Meldungen aus, und Vorfälle in CMS-Systemen müssen gemeldet werden.

Für ein Sicherheitsteam laufen die vom CMS ausgelösten Pflichten auf einen bekannten Satz von Kontrollen hinaus. Die HIPAA Security Rule ist für teilnehmende Leistungserbringer der maßgebliche Rahmen. Sie erwartet eine dokumentierte Risikoanalyse, rollenbasierte Zugriffsverwaltung, Audit-Kontrollen für Systeme, die geschützte Gesundheitsinformationen verarbeiten, Integritätsschutz und Übertragungssicherheit. Datennutzungsvereinbarungen ergänzen Regeln zu Speicherort, Verschlüsselung, Zugriffsprotokollierung und dazu, wer mit den Daten arbeiten darf.

Der Umfang zählt genauso wie der Inhalt. Gesundheitseinrichtungen betreiben klinische Systeme, Abrechnungsplattformen und Forschungsumgebungen. Ihre Mitarbeitenden bewegen Patientendaten über E-Mail, Dateien, Cloud-Dienste und mobile Geräte. Die Erwartungen des CMS zu erfüllen heißt deshalb, zu wissen, wo regulierte Daten liegen, die Kanäle zu kontrollieren, über die sie abfließen können, und Protokolle so vollständig zu führen, dass sie für eine Prüfung oder Untersuchung reichen.

Das CMS veröffentlicht Regeln nicht nur, es setzt sie auch durch. Die Behörde kann zivilrechtliche Geldstrafen verhängen, von der Verletzung von Teilnahmebedingungen bis zum Missbrauch von Daten aus Bundesprogrammen. Die Beträge werden jährlich an die Inflation angepasst. Gemeinsam mit dem HHS Office of Inspector General kann das CMS Leistungserbringer außerdem von den Bundesgesundheitsprogrammen ausschließen. Für viele ist dieser Ausschluss härter als jede Geldbuße.

Verstöße gegen HIPAA ahndet das Office for Civil Rights nach einer abgestuften Skala, die das Verschulden berücksichtigt, von unbeabsichtigten Verstößen bis zur vorsätzlichen, nicht korrigierten Nachlässigkeit. Auch Generalstaatsanwälte der Bundesstaaten können im Namen ihrer Einwohner handeln. Ein Datenschutzvorfall, etwa der Abfluss von Patientenakten, kann gleichzeitig CMS-Regeln, die HIPAA-Durchsetzung und staatliche Meldegesetze auslösen. Kontrollen und Reaktion auf Vorfälle werden deshalb auf alle drei ausgelegt.

Beginnen Sie damit, herauszufinden, wo regulierte Patienten- und Versichertendaten liegen, denn jede der oben beschriebenen Pflichten hängt davon ab. Mit der Datenklassifizierung kennzeichnet man diese Daten, danach folgen die Kanäle, über die sie abfließen können: E-Mail, Dateifreigaben, Cloud-Dienste und mobile Geräte.

Kontrollen und Protokolle ergeben sich aus dieser Übersicht. Richtlinien, die alles auf einmal erfassen, blockieren am Ende die normale Arbeit und werden abgeschaltet.