Soluções sob medida para empresas de healthtech
Quem desenvolve software para pacientes, médicos ou clínicas trata dados especialmente sensíveis. Os clientes da saúde pedem certificados e relatórios de atestação da nuvem, e os fabricantes de dispositivos médicos podem estar abrangidos pela NIS2. O Sightadel orienta pela proteção de dados, pela ISO 27001, pela NIS2 e pelo BSI C5 e mantém as evidências em uma base comum.
Ponto de partida
As empresas healthtech trabalham com dados que o GDPR trata como categoria especial. Segundo o art. 9 do GDPR, os dados de saúde só podem ser tratados se se aplicar uma das exceções aí previstas, por exemplo o consentimento explícito. Quase sempre se junta uma avaliação de impacto, porque o tratamento tende a implicar um risco elevado para os titulares.
Os clientes são exigentes. Hospitais, consultórios e caixas de seguro saúde avaliam os fornecedores em detalhe. Segundo o § 393 do código alemão da segurança social (SGB V), os prestadores de cuidados de saúde e as caixas só podem tratar dados de saúde na nuvem se existir um relatório de atestação C5 atual. Para o software como serviço, isso significa muitas vezes que a pergunta pela atestação surge nas vendas.
Se o seu software for um dispositivo médico, valem ainda o Regulamento Europeu de Dispositivos Médicos (MDR) e os seus requisitos de segurança informática. Os fabricantes de dispositivos médicos constam também do anexo 2 da BSIG e, a partir do médio porte, são entidades importantes. O Sightadel não cobre o Regulamento Europeu de Dispositivos Médicos (MDR). A segurança da informação por trás você gerencia com a ISO 27001 sobre a mesma base que todo o resto.
Por que agora
Desde 1º de julho de 2025, o § 393 SGB V exige em princípio uma atestação C5 do tipo 2. Para sistemas novos colocados no mercado depois de 30 de junho de 2025, basta o tipo 1 nos primeiros 18 meses.
Hospitais e caixas de seguro saúde põem muitas vezes a ISO 27001 ou evidências comparáveis como condição. Sem certificado fica de fora.
Com a finalidade prevista, uma app pode se tornar um dispositivo médico. A empresa passa então, como fabricante, para o anexo 2 da BSIG, a partir de 50 funcionários ou mais de 10 milhões de euros de faturamento e de balanço patrimonial.
Os fabricantes de aplicações de saúde digitais (DiGA) comprovam desde 1º de janeiro de 2025 a segurança dos dados com um certificado do BSI e desde 1º de agosto de 2024 a proteção de dados com um certificado nos termos do art. 42 do GDPR.
Cada novo tratamento precisa de um fundamento jurídico nos termos do art. 9 do GDPR e, em geral, de uma avaliação de impacto antes de entrar em produção.
Na due diligence, investidores e parceiros farmacêuticos perguntam por proteção de dados, certificados e incidentes. Um SGSI bem mantido responde a isso sem horas extras.
Frameworks relevantes
Resumido com nossas próprias palavras, não constitui consultoria jurídica. Vale o texto original na versão em vigor.
Os dados de saúde são categorias especiais nos termos do art. 9 do GDPR. É preciso uma exceção à proibição de tratamento, uma avaliação de impacto nos termos do art. 35 do GDPR em caso de tratamento em grande escala e, em geral, um encarregado de proteção de dados (DPO). Como operador de consultórios ou clínicas somam-se contratos nos termos do art. 28 do GDPR.
Ver framework →A evidência habitual de segurança da informação junto a clínicas, caixas e parceiros. Um SGSI segundo a ISO 27001 é ao mesmo tempo uma boa base para o C5, a NIS2 e os requisitos de segurança do software de dispositivos médicos.
Ver framework →Previsto no § 393 SGB V para o tratamento na nuvem de dados sociais e de saúde por prestadores de cuidados de saúde e caixas. Se operar o seu software como serviço na nuvem para estes clientes, é muitas vezes exigida uma atestação própria. É emitida por um auditor segundo a ISAE 3000.
Ver framework →Os fabricantes de dispositivos médicos e de dispositivos médicos para diagnóstico in vitro constam do anexo 2 da BSIG e, a partir do médio porte, são entidades importantes. O software pode ser ele próprio um dispositivo médico. Os fornecedores de serviços de nuvem pertencem às infraestruturas digitais do anexo 1. O enquadramento é uma questão jurídica para a sua assessoria.
Ver framework →Para fornecedores cujo produto usa IA, por exemplo para avaliar resultados clínicos. Um sistema de gestão segundo a ISO 42001 descreve como os modelos são escolhidos, como os dados são usados e como os riscos são avaliados, e tem a mesma estrutura que a ISO 27001.
Ver framework →Ordem recomendada
Que dados de saúde trata, para quê e com que fundamento nos termos do art. 9 do GDPR? É responsável pelo tratamento ou operador? Daí resultam a avaliação de impacto, os contratos e as obrigações de informação.
Seu software é um dispositivo médico? Está abrangido pela NIS2? Seus clientes exigem uma atestação C5? As respostas definem a ordem. A avaliação jurídica cabe à sua assessoria.
Análise de riscos, políticas, acessos, desenvolvimento seguro, registro de eventos, backups e gestão de incidentes. O SGSI suporta depois o C5, a NIS2 e os requisitos dos clientes.
Para uma atestação C5 do tipo 2 conta que os controles tenham sido eficazes durante meses. Revisões de acessos, alterações e treinamentos precisam de evidências contínuas.
O certificado, a atestação e a documentação de proteção de dados vêm de entidades independentes. Depois mostra a situação no Trust Center, para que clínicas e parceiros encontrem as respostas sozinhos.
Foco
Com dados de saúde, autoridades, clientes e pacientes perguntam com mais detalhe. Quatro pontos devem estar esclarecidos e documentados antes do lançamento.
Consentimento explícito, contrato de tratamento ou uma base legal: para cada tratamento de dados de saúde está definido que exceção do art. 9 do GDPR se aplica. Isto vale também para análises e melhoria do produto.
As novas funções com dados de saúde recebem uma avaliação de impacto antes de entrarem em produção. Fica como evidência com data e é revista quando há alterações.
Onde estão os dados, quem pode acessá-los, que atestações têm os prestadores? As clínicas fazem estas perguntas antes de assinar. O módulo Fornecedores tem as respostas prontas com evidências.
Um incidente pode desencadear notificações à autoridade de proteção de dados, aos clientes e, havendo obrigação NIS2, ao BSI. O processo com prazos e responsabilidades está definido de antemão.
Como o Sightadel ajuda
O GDPR, a ISO 27001, o C5 e a NIS2 são trabalhados pergunta a pergunta. Onde os requisitos coincidem, uma evidência fica vinculada a vários frameworks.
Saiba mais →Avaliações de impacto, contratos, treinamentos e evidências técnicas estão na biblioteca de evidências com versão e data de validade. Assim não falta nenhuma evidência no período de auditoria de uma atestação C5.
Saiba mais →A plataforma de nuvem, a hospedagem e outros prestadores constam de uma lista com localização, contrato, atestações e risco. Evidências vencidas são detectadas antes de um cliente perguntar.
Saiba mais →Certificados, atestações, documentos aprovados e operadores em uma página própria. Clínicas e parceiros encontram as respostas sozinhos.
Saiba mais →As lacunas das avaliações e das avaliações de impacto viram tarefas com prazo e pessoa responsável, também para desenvolvimento e operações.
Saiba mais →Requisitos para os quais não há módulo pronto, por exemplo critérios do seu pedido como DiGA ou catálogos de grupos hospitalares, são criados como framework próprio.
Saiba mais →Esforço e duração
Os intervalos são valores de experiência, não um compromisso. O que mais influencia é o número de tratamentos com dados de saúde, o porte do escopo e se o seu software está classificado como dispositivo médico.
O que você licencia · normalmente Professional
Uma empresa healthtech típica gerencia a ISO 27001 e o GDPR na edição Professional. Esta inclui dez usuários, dez ativos e 25 fornecedores, o suficiente para desenvolvimento, operações, proteção de dados e alta direção. Licença para a ISO 27001: a partir de € 750 por mês. Se a ISO 27001 estiver incluída, o GDPR e o C5 custam menos de forma permanente. O BSI C5 é acrescentado quando os clientes da saúde o exigem.
Licença por framework, prazo mínimo de um ano, pagamento mensal ou anual. Todos os preços, descontos e uma calculadora estão na página de preços. Os custos de um organismo de certificação ou de auditoria são cobrados à parte.
Perguntas e respostas
Mais em nossas perguntas frequentes ou diretamente pelo nosso formulário de contato.
Não. Esta página é voltada para empresas que desenvolvem ou operam software para o setor da saúde. Para consultórios e MVZ há uma página de solução própria sobre o § 390 SGB V, a proteção de dados e a NIS2.
Depende dos seus clientes e da sua arquitetura. O § 393 SGB V é dirigido a prestadores de cuidados de saúde e caixas que tratam dados de saúde na nuvem. Se operar para isso um serviço na nuvem, estes clientes perguntam pela sua atestação. A atestação do seu fornecedor de hospedagem cobre só a parte deste.
Quem decide é a finalidade prevista pelo fabricante nos termos do Regulamento Europeu de Dispositivos Médicos (MDR). Software destinado, por exemplo, ao diagnóstico, ao monitoramento ou ao tratamento de doenças pode ser um dispositivo médico. A classificação deve ser esclarecida com a sua assessoria regulatória. O Sightadel não cobre o Regulamento Europeu de Dispositivos Médicos (MDR) como framework.
Segundo o § 139e SGB V, os fabricantes comprovam a segurança dos dados desde 1º de janeiro de 2025 com um certificado do BSI; a base é a diretriz técnica TR-03161. A proteção de dados eles a comprovam desde 1º de agosto de 2024 com um certificado nos termos do art. 42 do GDPR. O Sightadel não emite nenhum destes certificados. Um SGSI segundo a ISO 27001 ajuda a preparar as avaliações.
Os fabricantes de dispositivos médicos e de dispositivos médicos para diagnóstico in vitro constam do anexo 2 da BSIG. A partir de 50 funcionários ou mais de 10 milhões de euros de faturamento e de balanço patrimonial são entidades importantes. Se o seu software não for um dispositivo médico, pode ser considerada uma classificação como serviço de nuvem. A avaliação de cada caso deve ser esclarecida com a sua assessoria.
Nem sempre. O art. 9 do GDPR prevê várias exceções, por exemplo o consentimento explícito ou o tratamento para efeitos de prestação de cuidados de saúde com base no direito ou em um contrato com um profissional de saúde. A exceção aplicável depende do tratamento e deve constar do seu registro.
Muitos requisitos se sobrepõem, por exemplo em acessos, criptografia, registro de eventos e fornecedores. No Sightadel, uma evidência fica vinculada aos dois frameworks. O certificado e a atestação continuam a ser avaliações separadas, com auditores próprios.
14 dias, acesso completo, sem dados de pagamento. Tudo o que você configurar continua valendo no plano pago.
