Lei, diretiva e anexos: como tudo se encaixa
A lei em si não traz detalhes técnicos. O § 390 SGB V incumbe a Associação Federal dos Médicos Credenciados e a Associação Federal dos Cirurgiões-Dentistas Credenciados de fixar os requisitos em uma diretiva, em acordo com o BSI e alinhada com outras entidades. A diretiva precisa ser adaptada ao estado da técnica e, por isso, é atualizada regularmente. Para consultórios médicos e de psicoterapia vale a diretiva da KBV; para consultórios odontológicos, a da KZBV. As duas seguem a mesma ideia básica, mas diferem na estrutura e nos detalhes. O que conta é sempre a versão da sua associação federal.
A diretiva da KBV se divide em um texto principal e anexos. Os anexos contêm os requisitos propriamente ditos, escalonados por tipo de consultório: o que vale para todos os consultórios, o que se soma nos consultórios médios e o que os grandes consultórios precisam cumprir a mais. Outros anexos tratam dos grandes equipamentos médicos e dos componentes descentralizados da infraestrutura telemática. Os requisitos são cumulativos; um grande consultório cumpre, portanto, também todos os requisitos dos tipos menores.
A última versão revisada da KBV entrou em vigor em 1º de abril de 2025, e os novos requisitos precisavam ser implementados em até seis meses. Os focos da revisão são a conscientização e o treinamento da equipe do consultório, os backups e a configuração segura do e-mail. O Sightadel reproduz os requisitos em 49 controles e mostra apenas os que se aplicam ao perfil do seu consultório. Quando sai uma nova versão, os controles são adaptados e as suas evidências anteriores são mantidas.
Qual é o tipo do seu consultório?
A classificação é o primeiro e mais importante passo, porque determina quantos requisitos se aplicam. O decisivo não é o número total de colaboradores nem a carga horária, mas o número de pessoas que trabalham permanentemente com o tratamento de dados de pacientes. Contam tanto os médicos quanto as atendentes na recepção. O pessoal de limpeza sem acesso aos sistemas não conta.
Até cinco dessas pessoas, trata-se de um consultório no sentido da diretiva. Com seis a vinte pessoas, é um consultório médio. Acima disso, ou quando os dados são tratados em volume considerável, por exemplo em grandes centros médicos (MVZ) ou laboratórios, é um grande consultório. Independentemente disso, somam-se os anexos para grandes equipamentos e componentes telemáticos, se você os usar.
No Sightadel, você define esses dados no perfil do consultório. Daí resulta automaticamente quais controles aparecem. Se o porte mudar, por exemplo com novos colegas ou uma fusão, você ajusta o perfil e os requisitos adicionais ficam visíveis como pontos em aberto. Registre a justificativa da sua classificação, para que ela seja compreensível mais tarde.
Custos e esforço para o consultório
Para o § 390 SGB V não existe preço de tabela no Sightadel. O preço depende do tipo de consultório e do escopo e é informado sob consulta. Prestadores de serviços de TI que atendem vários consultórios recebem uma proposta própria. Você pode testar o Sightadel grátis por 14 dias sem informar dados de pagamento; tudo o que você criar passa para o plano pago.
Os custos maiores costumam surgir na tecnologia e no prestador. Itens típicos são um firewall adequado, a substituição de equipamentos antigos sem suporte do fabricante, backups com uma cópia fora da rede do consultório, a criptografia de equipamentos e mídias de armazenamento e o tempo de trabalho do prestador de serviços de TI para configuração e documentação. Esses custos são cobrados diretamente pelos respectivos fornecedores. Se você procura um firewall de hardware, fale com a gente sobre o pacote adequado.
O esforço interno no consultório é razoável, se for planejado: uma pessoa responsável que acompanha o status, um levantamento em conjunto com o prestador, uma orientação da equipe e a revisão periódica. O que costuma ser subestimado é o tempo necessário para obter as evidências do prestador. Um acesso próprio para o prestador no Sightadel encurta esse caminho.
Responsabilidade, proteção de dados e consequências das lacunas
A diretiva em si não tem um regime próprio de multas, e não está prevista uma fiscalização regular dos consultórios pelas associações regionais de médicos credenciados. Concluir daí que a obrigação não é vinculante seria um erro. A diretiva é vinculante para os consultórios médicos e odontológicos que atendem pelo seguro de saúde público e concretiza o que se considera segurança adequada.
Isso se torna relevante sobretudo após um incidente. Se um consultório for vítima de ransomware ou se dados de pacientes caírem em mãos erradas, a autoridade supervisora de proteção de dados verifica se tinham sido tomadas medidas técnicas e organizacionais adequadas nos termos do art. 32 do GDPR. A diretiva é uma referência óbvia para isso. Somam-se possíveis obrigações de notificação nos termos do GDPR, pedidos de pacientes, questões de sigilo médico e, eventualmente, consequências perante as seguradoras.
Por outro lado, quem consegue comprovar que os requisitos estavam implementados, os backups testados e a equipe orientada fica em melhor posição em cada uma dessas conversas. Por isso vale a pena ter um status de evidências organizado e datado. A avaliação jurídica de cada caso concreto deve ser feita com a sua assessoria jurídica ou com o seu conselho profissional; o Sightadel não presta assessoria jurídica.
Trabalho em conjunto com o prestador de serviços de TI
A maioria dos consultórios não implementa a diretiva sozinha, mas com um prestador de serviços de TI ou com o fornecedor do seu software de gestão do consultório. Isso faz sentido, mas não transfere a responsabilidade. O responsável continua sendo o titular do consultório. Por isso, é importante uma divisão clara: o que o prestador configura, o que ele documenta e o que o próprio consultório precisa fazer, como orientações, plano de emergência e regras de acesso.
A KBV certifica prestadores de serviços de TI que apoiam os consultórios na implementação. Um prestador certificado conhece os requisitos. A certificação, porém, se refere ao prestador, não ao seu consultório, e não substitui uma evidência própria. Pergunte quais controles o prestador assume e quais evidências ele entrega a você.
No Sightadel, o prestador recebe um acesso próprio. Ele registra o conjunto de regras do firewall, os níveis de atualização, os registros de backup e o inventário de equipamentos diretamente nos controles correspondentes. Você vê a qualquer momento o que está feito e o que falta. Se um prestador atende vários consultórios, ele trabalha em todos com a mesma estrutura. Um contrato de operador de dados com o prestador também faz parte das evidências.
Manter o status: revisão periódica no dia a dia do consultório
Muitos requisitos não são tarefas pontuais. As atualizações precisam ser instaladas continuamente, os backups testados regularmente, os novos colaboradores orientados e as contas de quem sai bloqueadas. Se a tecnologia mudar, por exemplo com um novo grande equipamento, um novo conector ou uma mudança de endereço, a rede e a documentação precisam ser atualizadas.
Um ritmo fixo tem dado bons resultados. Mensalmente, o prestador verifica as atualizações e os backups; trimestralmente, uma restauração é testada por amostragem; anualmente, a equipe é orientada, a documentação de emergência atualizada e o status geral revisado. Para consultórios maiores, uma revisão anual está expressamente prevista.
No Sightadel, cada evidência tem uma data de validade. Quando ela vence, o Sightadel lembra a pessoa responsável e o prestador antes que surja uma lacuna. A folha de evidências com o status atual pode ser gerada, assinada e arquivada a qualquer momento. Quando a diretiva é atualizada, você vê quais controles foram acrescentados.
Quem quer ir além do mínimo obrigatório, por exemplo um grande centro médico que possa estar sujeito à NIS2, constrói sobre as mesmas evidências. O firewall, os backups, o plano de emergência e a orientação contam no Sightadel também para o GDPR, a NIS2 e a ISO 27001, sem serem arquivados em duplicidade.
