Soluções à medida para empresas de healthtech
Quem desenvolve software para doentes, médicos ou clínicas trata dados especialmente sensíveis. Os clientes da saúde pedem certificados e relatórios de atestação da nuvem, e os fabricantes de dispositivos médicos podem estar abrangidos pela NIS2. O Sightadel guia pela proteção de dados, pela ISO 27001, pela NIS2 e pelo BSI C5 e mantém as evidências numa base comum.
Ponto de partida
As empresas healthtech trabalham com dados que o RGPD trata como categoria especial. Segundo o art. 9.º do RGPD, os dados de saúde só podem ser tratados se se aplicar uma das exceções aí previstas, por exemplo o consentimento explícito. Quase sempre se junta uma avaliação de impacto, porque o tratamento é suscetível de implicar um risco elevado para os titulares.
Os clientes são exigentes. Hospitais, consultórios e caixas de seguro de saúde avaliam os fornecedores a fundo. Segundo o § 393 do código alemão da segurança social (SGB V), os prestadores de cuidados de saúde e as caixas só podem tratar dados de saúde na nuvem se existir um relatório de atestação C5 atual. Para o software como serviço, isso significa muitas vezes que a pergunta pela atestação surge nas vendas.
Se o seu software for um dispositivo médico, aplicam-se ainda o Regulamento relativo aos dispositivos médicos e os seus requisitos de segurança informática. Os fabricantes de dispositivos médicos constam também do anexo 2 da BSIG e, a partir da média dimensão, são entidades importantes. O Sightadel não cobre o Regulamento relativo aos dispositivos médicos. A segurança da informação por trás gere-a com a ISO 27001 sobre a mesma base que tudo o resto.
Porquê agora
Desde 1 de julho de 2025, o § 393 SGB V exige em princípio uma atestação C5 do tipo 2. Para sistemas novos colocados no mercado depois de 30 de junho de 2025, basta o tipo 1 nos primeiros 18 meses.
Hospitais e caixas de seguro de saúde põem muitas vezes a ISO 27001 ou evidências comparáveis como condição. Sem certificado fica de fora.
Com a finalidade prevista, uma app pode tornar-se um dispositivo médico. A empresa passa então, como fabricante, para o anexo 2 da BSIG, a partir de 50 trabalhadores ou mais de 10 milhões de euros de volume de negócios e de balanço total.
Os fabricantes de aplicações de saúde digitais (DiGA) comprovam desde 1 de janeiro de 2025 a segurança dos dados com um certificado do BSI e desde 1 de agosto de 2024 a proteção de dados com um certificado nos termos do art. 42.º do RGPD.
Cada novo tratamento precisa de um fundamento jurídico nos termos do art. 9.º do RGPD e, em regra, de uma avaliação de impacto antes de entrar em produção.
Na due diligence, investidores e parceiros farmacêuticos perguntam por proteção de dados, certificados e incidentes. Um SGSI bem mantido responde a isso sem turnos extra.
Frameworks relevantes
Resumido por palavras nossas, não constitui aconselhamento jurídico. Prevalece o texto original na versão em vigor.
Os dados de saúde são categorias especiais nos termos do art. 9.º do RGPD. É precisa uma exceção à proibição de tratamento, uma avaliação de impacto nos termos do art. 35.º do RGPD em caso de tratamento em grande escala e, em regra, um encarregado da proteção de dados. Como subcontratante de consultórios ou clínicas juntam-se acordos nos termos do art. 28.º do RGPD.
Ver framework →A evidência habitual de segurança da informação perante clínicas, caixas e parceiros. Um SGSI segundo a ISO 27001 é ao mesmo tempo uma boa base para o C5, a NIS2 e os requisitos de segurança do software de dispositivos médicos.
Ver framework →Previsto no § 393 SGB V para o tratamento na nuvem de dados sociais e de saúde por prestadores de cuidados de saúde e caixas. Se operar o seu software como serviço na nuvem para estes clientes, é muitas vezes exigida uma atestação própria. É emitida por um auditor segundo a ISAE 3000.
Ver framework →Os fabricantes de dispositivos médicos e de dispositivos médicos para diagnóstico in vitro constam do anexo 2 da BSIG e, a partir da média dimensão, são entidades importantes. O software pode ser ele próprio um dispositivo médico. Os fornecedores de serviços de nuvem pertencem às infraestruturas digitais do anexo 1. O enquadramento é uma questão jurídica para a sua assessoria.
Ver framework →Para fornecedores cujo produto usa IA, por exemplo para avaliar resultados clínicos. Um sistema de gestão segundo a ISO 42001 descreve como os modelos são escolhidos, como os dados são usados e como os riscos são avaliados, e tem a mesma estrutura que a ISO 27001.
Ver framework →Ordem recomendada
Que dados de saúde trata, para quê e com que fundamento nos termos do art. 9.º do RGPD? É responsável pelo tratamento ou subcontratante? Daí resultam a avaliação de impacto, os acordos e as obrigações de informação.
O seu software é um dispositivo médico? Está abrangido pela NIS2? Os seus clientes exigem uma atestação C5? As respostas definem a ordem. A avaliação jurídica cabe à sua assessoria.
Análise de riscos, políticas, acessos, desenvolvimento seguro, registo de eventos, cópias de segurança e gestão de incidentes. O SGSI suporta depois o C5, a NIS2 e os requisitos dos clientes.
Para uma atestação C5 do tipo 2 conta que os controlos tenham sido eficazes durante meses. Revisões de acessos, alterações e formações precisam de evidências contínuas.
O certificado, a atestação e a documentação de proteção de dados vêm de entidades independentes. Depois mostra o ponto de situação no Trust Center, para que clínicas e parceiros encontrem as respostas por si.
Foco
Com dados de saúde, autoridades, clientes e doentes perguntam com mais detalhe. Quatro pontos devem estar esclarecidos e documentados antes do arranque.
Consentimento explícito, contrato de tratamento ou uma base legal: para cada tratamento de dados de saúde está definido que exceção do art. 9.º do RGPD se aplica. Isto vale também para análises e melhoria do produto.
As novas funções com dados de saúde recebem uma avaliação de impacto antes de entrarem em produção. Fica como evidência com data e é revista quando há alterações.
Onde estão os dados, quem lhes pode aceder, que atestações têm os prestadores? As clínicas fazem estas perguntas antes de assinar. O módulo Fornecedores tem as respostas prontas com evidências.
Um incidente pode desencadear notificações à autoridade de proteção de dados, aos clientes e, havendo obrigação NIS2, ao BSI. O processo com prazos e responsabilidades está definido de antemão.
Como o Sightadel ajuda
O RGPD, a ISO 27001, o C5 e a NIS2 são trabalhados pergunta a pergunta. Onde os requisitos coincidem, uma evidência fica ligada a vários frameworks.
Saber mais →Avaliações de impacto, acordos, formações e evidências técnicas estão na biblioteca de evidências com versão e data de validade. Assim não falta nenhuma evidência no período de auditoria de uma atestação C5.
Saber mais →A plataforma de nuvem, o alojamento e outros prestadores constam de uma lista com localização, acordo, atestações e risco. Evidências caducadas são detetadas antes de um cliente perguntar.
Saber mais →Certificados, atestações, documentos aprovados e subcontratantes numa página própria. Clínicas e parceiros encontram as respostas por si.
Saber mais →As lacunas das avaliações e das avaliações de impacto tornam-se tarefas com prazo e pessoa responsável, também para desenvolvimento e operações.
Saber mais →Requisitos para os quais não há módulo pronto, por exemplo critérios do seu pedido como DiGA ou catálogos de grupos hospitalares, são criados como framework próprio.
Saber mais →Esforço e duração
Os intervalos são valores de experiência, não um compromisso. O que mais influencia é o número de tratamentos com dados de saúde, a dimensão do âmbito e se o seu software está classificado como dispositivo médico.
O que licencia · tipicamente Professional
Uma empresa healthtech típica gere a ISO 27001 e o RGPD na edição Professional. Esta inclui dez utilizadores, dez ativos e 25 fornecedores, o suficiente para desenvolvimento, operações, proteção de dados e gestão de topo. Licença para a ISO 27001: a partir de 750 € por mês. Se a ISO 27001 estiver incluída, o RGPD e o C5 custam menos de forma permanente. O BSI C5 é acrescentado quando os clientes da saúde o exigem.
Licença por framework, duração mínima de um ano, pagamento mensal ou anual. Todos os preços, descontos e uma calculadora estão na página de preços. Os custos de um organismo de certificação ou de auditoria acrescem à parte.
Perguntas e respostas
Mais nas nossas perguntas frequentes ou diretamente através do nosso formulário de contacto.
Não. Esta página destina-se a empresas que desenvolvem ou operam software para o setor da saúde. Para consultórios e MVZ há uma página de solução própria sobre o § 390 SGB V, a proteção de dados e a NIS2.
Depende dos seus clientes e da sua arquitetura. O § 393 SGB V dirige-se a prestadores de cuidados de saúde e caixas que tratam dados de saúde na nuvem. Se operar para isso um serviço na nuvem, estes clientes perguntam pela sua atestação. A atestação do seu fornecedor de alojamento cobre só a parte deste.
Decide-o a finalidade prevista pelo fabricante nos termos do Regulamento relativo aos dispositivos médicos. Software destinado, por exemplo, ao diagnóstico, à monitorização ou ao tratamento de doenças pode ser um dispositivo médico. A classificação esclarece com a sua assessoria regulamentar. O Sightadel não cobre o Regulamento relativo aos dispositivos médicos como framework.
Segundo o § 139e SGB V, os fabricantes comprovam a segurança dos dados desde 1 de janeiro de 2025 com um certificado do BSI; a base é a diretriz técnica TR-03161. A proteção de dados comprovam-na desde 1 de agosto de 2024 com um certificado nos termos do art. 42.º do RGPD. O Sightadel não emite nenhum destes certificados. Um SGSI segundo a ISO 27001 ajuda a preparar as avaliações.
Os fabricantes de dispositivos médicos e de dispositivos médicos para diagnóstico in vitro constam do anexo 2 da BSIG. A partir de 50 trabalhadores ou mais de 10 milhões de euros de volume de negócios e de balanço total são entidades importantes. Se o seu software não for um dispositivo médico, pode ser considerada uma classificação como serviço de nuvem. A avaliação de cada caso esclarece com a sua assessoria.
Nem sempre. O art. 9.º do RGPD prevê várias exceções, por exemplo o consentimento explícito ou o tratamento para efeitos de prestação de cuidados de saúde com base no direito ou num contrato com um profissional de saúde. A exceção aplicável depende do tratamento e deve constar do seu registo.
Muitos requisitos sobrepõem-se, por exemplo em acessos, cifragem, registo de eventos e fornecedores. No Sightadel, uma evidência fica ligada aos dois frameworks. O certificado e a atestação continuam a ser avaliações separadas, com auditores próprios.
14 dias, acesso completo, sem dados de pagamento. Tudo o que configurar mantém-se no plano pago.
