Prüfung & Zertifizierung nach BSI TR-03161 – Anforderungen an Gesundheitsanwendungen

Individuelles Angebot anfordern

Die IT-Sicherheit Ihrer Gesundheitsanwendung nach BSI TR-03161 geprüft

Gesundheitsanwendungen speichern und verarbeiten eine Menge an sensiblen sowie besonders schützenswerten Daten. Werden diese durch Angreifer:innen offengelegt oder gar manipuliert, kann dies verheerende Folgen nach sich ziehen.

Für Hersteller von Gesundheitsanwendungen ist es daher besonders wichtig, grundlegende Sicherheitsstandards  wie sie in der Technischen Richtlinie BSI TR-03161 definiert sind  von Anfang an mitzudenken und entsprechend umzusetzen.

Unsere IT-Sicherheitsexpert:innen prüfen Ihre Gesundheitsanwendung nach den Anforderungen der BSI TR-03161 und begleiten Sie auf dem Weg zur erfolgreichen Zertifizierung. 
 

  Absicherung Ihrer Gesundheitsanwendung gegen Angriffe

Mit der Erfüllung der Sicherheitsanforderungen nach BSI TR-03161 schützen Sie Ihre Gesundheitsanwendung vor Datendiebstahl, -missbrauch oder -manipulation.
 

  Geforderter Nachweis der Datensicherheit für DiGA-Zulassung

Mit dem Zertifikat nach BSI TR-03161 erfüllen Sie eine der notwendigen Voraus­setzungen für eine Aufnahme Ihrer Anwendung ins DiGA-Verzeichnis.
 

  Umfassender Prüfbericht inkl. Handlungsempfehlungen

Sie erhalten alle Ergebnisse der durchgeführten Prüfungen in Form eines individuellen und leicht verständlichen Abschlussberichtes. 
 

Kostenfreies Whitepaper zur BSI TR-03161

Das Whitepaper zur BSI TR-03161 behandelt Allgemeines zur Technischen Richtlinie, beschreibt den Ablauf einer Zertifizierung sowie einer möglichen Re-Zertifizierung und geht auf häufig gestellte Fragen ein. 

Was ist die BSI TR-03161?

Die Technische Richtlinie BSI TR-03161 zielt darauf ab, die Vertraulichkeit, Integrität und Verfügbarkeit medizinischer Daten, die durch digitale Gesundheitsanwendungen erhoben werden, zu schützen. 

Erarbeitet wurde sie durch das Bundesamt für Sicherheit in der Informations­technik (BSI) und dient Entwicklern von Gesundheits­anwendungen als Leit­faden bei der Erstellung sicherer Lösungen. Dabei definiert sie die Mindest­an­for­derungen an die IT-Sicherheit von mobilen Anwendungen, Web-Anwen­dungen und/oder Hintergrundsystemen, die im Gesundheitswesen zum Einsatz kommen. 

Ihre Vorteile auf einen Blick

Unabhängiger Nachweis über Datensicherheit
Mit dem TR-Zertifikat belegen Sie objektiv, dass Ihre Anwendung die Anforderungen an die IT-Sicherheit erfüllt.
 

Erfüllung der Anforderungen des BfArM
Die Zertifizierung nach TR-03161 ist eine der Voraus­setzungen, um im DiGA-Verzeichnis gelistet zu werden.  
 

Security by Design
Die BSI TR-03161 hilft Ihnen dabei, entsprechende Sicherheitsstandards von Anfang an mitzudenken.
 

Erhöhtes Vertrauen bei Anwender:innen 
Die Umsetzung der Sicherheitsanforderungen führt zu einem stärkeren Vertrauen von Kund:innen in Ihre Anwendung.
 

Schutz vor Reputationsschäden
Mit Erfüllung der Sicherheitsstandards nach TR-03161 beu­gen Sie Angriffen – und damit einhergehenden Schäden – vor. 

Gezielte Verbesserung der IT-Sicherheit
Durch eine Evaluierung nach TR-03161 decken Sie Schwach­stellen auf & erhöhen die Sicherheit Ihrer Anwendung. 

Unsere Leistungen zur BSI TR-03161

„Readiness Check"

In Vorbereitung auf eine Prüfung & Zertifizierung nach BSI TR-03161 bieten wir Ihnen unseren „Readiness Check“ an. Dieser umfasst 2 Stufen: 

Level 1: Prüfung auf Dokumentenbasis

Sie erhalten von uns im Vorfeld eine Checkliste mit allen Anforderungen der TR-03161. Zu diesen geben Sie jeweils ein Statement ab (ggf. mit Verweis auf ent­spre­chende Dokumentationen). Im Anschluss bewerten unsere Expert:innen auf dieser Grundlage, ob die geforderten Kriterien erfüllt oder nicht erfüllt sind. So iden­ti­fi­zie­ren Sie potenzielle Showstopper noch vor der eigentlichen Evaluierung. 

Level 2: Pre-Pentest

Im Vorfeld der TR-03161 Zertifizierung führen wir einen Pre-Pentest durch. Ziel ist es, die umgesetzten Sicherheitsmaßnahmen gemäß des sogenannten „Fixed Timeboxed Prüfansatzes“ zu bewerten und für identifizierte Schwachstellen angemessene Behebungsmaßnahmen vorzuschlagen. Der Pentest stellt eine Kombination aus automatisierten & manuellen Tests dar und erfolgt in Anlehnung an die Prüfanforderungen der TR-03161.

Prüfung nach BSI TR-03161

Unsere IT-Sicherheitsexpert:innen prüfen Ihre Anwendung nach den Sicherheitsanforderungen der BSI TR-03161. Im Rahmen der Prüfung betrachten sie dabei unter anderem: 
 

 Anwendungszweck

■ Architektur

■ Quellcode 

■ Drittanbieter-Software

■ Kryptographische Umsetzung

Authentifizierung

■ Datensicherheit 

■ Kostenpflichtige Ressourcen

■ Netzwerkkommunikation/-sicherheit


Erfüllt Ihre Gesundheitsanwendung die Anforderungen der BSI TR-03161, stellt das Bundesamt für Sicherheit in der Informationstechnik (BSI) das angestrebte Zertifikat aus.

Ablauf einer Zertifizierung nach BSI TR-03161

1.

Antragstellung

In einem ersten Schritt stellen Sie beim Bundesamt für Sicherheit in der Informationstechnik (BSI) einen Antrag auf Zertifizierung

2. 

Workshop/Kick-Off

In einem Kick-Off-Meeting klären wir mit Ihnen die technischen sowie organisatorischen Besonder­heiten & Voraussetzungen der Zertifizierung. 

3. 

Checkliste

Vor Beginn der Evaluierung füllen Sie eine Checkliste aus, mithilfe derer Sie zu allen Anforderungen der TR-03161 ein kurzes Statement abgeben

4.

Evaluierung

Unsere IT-Sicherheitsexpert:innen prüfen den Unter­suchungsgegenstand gemäß TR-03161 (Do­ku­men­ten­prüfungen, Quellcodeanalyse, Penetrations­tests, Schwachstellenanalysen). 

5. 

Bericht

Die Ergebnisse der Evaluierung erhalten Sie in Form eines individuellen Ab­schluss­berichtes, der zudem an das BSI versandt wird.

6. 

Zertifizierung

Nach erfolgreicher Evaluierung bzw. Zertifizierung erhalten Sie ein vom BSI ausgestelltes Zertifikat, das eine formale Gültigkeit von 5 Jahren hat.

Norm-Teile der BSI TR-03161

Die 3 Teile der TR-03161 beschreiben im Wesentlichen jeweils die (technischen) Anforderungen sowie die Prüfaspekte (z.B. Architektur, kryptographische Umsetzung, Netzwerkkommunikation, etc.) an eine digitale Gesundheitsanwendung. 
 
 


Teil 1: Mobile Anwendungen

Teil 1 der BSI TR-03161 richtet sich an Applikationen auf mobilen Endgeräten und beschreibt die Mindest­an­for­derungen, die an einen sicheren Betrieb gestellt werden. Dabei orientiert sich der Normteil an internationalen Standards, wie den „Smartphone Secure Development Guidelines“ [SSDG] und dem „Mobile AppSec Verification Standard“ [MASVS]. 


Teil 2: Web-Anwendungen

Teil 2 der BSI TR-03161 enthält Bedrohungsszenarien und Prüfaspekte in Bezug auf Web-Anwendungen im Gesundheitswesen. Dabei berücksichtigt der Norm­teil internationale Standards, wie den „Application Security Verification Standard“ [ASVS] und den „Web Security Testing Guide“ [WSTG], und definiert Mindest­an­for­derungen für den sicheren Betrieb von Web-An­wen­dungen.


Teil 3: Hintergrundsysteme

Teil 3 der BSI TR-03161 beinhaltet Anforderungen an Hintergrundsysteme – insbesondere an den Einsatz von Cloud Computing – im Gesundheitswesen. Der Normteil deckt die allgemeinen Empfehlungen des BSI zur Absicherung von Hintergrundsystemen sowie internationale Standards wie die OWASP Top 10 ab.

Häufig gestellte Fragen (FAQ):

An wen richtet sich die BSI TR-03161?

Die BSI TR-03161 adressiert in erster Linie Hersteller von Anwendungen im Gesundheitswesen. Darüber hinaus kann sie grundsätzlich auch als Richtlinie für Anwendungen betrachtet werden, die sensible Daten verarbeiten oder speichern.

Welche Anforderungen muss meine Gesundheitsanwendung erfüllen, um im DiGA-Verzeichnis gelistet zu werden?

Um im DiGA-Verzeichnis erstattungsfähiger digitaler Gesundheitsanwendungen gelistet zu werden, müssen folgende Voraussetzungen erfüllt sein:

  • Zulassungsfähiger Penetrationstests für alle Risikoklassen
  • Nachweis über ein Informationssicherheits-Managementsystem (ISMS) – ISMS-Zertifizierung
  • Nachweis der Datensicherheit – Zertifikat gemäß TR-03161
  • Interoperabilität von DiGA mit der ePA
  • Sichere Authentisierung
  • Nachweis des Datenschutzes (ab dem 01.04.2023) –  Zertifikat nach Artikel 42 DSGVO

Mehr erfahren

Welche Gültigkeit hat eine Zertifizierung nach BSI TR-03161?

Ein Zertifikat nach BSI TR-03161 hat eine formale Gültigkeit von 5 Jahren. Jedoch ist ein nach diesem Zertifizierungsprogramm erteiltes Zertifikat ausschließlich für die im Rahmen der Konformitätsprüfung geprüfte Version eines Produkts gültig.

Werden an einem zertifizierten Produkt Änderungen vorgenommen, entstehen neue Versionen/Konfigurationen, für die das erteilte Zertifikat keine Gültigkeit besitzt. Soll die Konfirmität mit den Anforderungen der BSI TR-03161 auch für die Änderung oder Weiterentwicklung eines zertifizierten Produktes bestätigt werden, so kann beim BSI ein Antrag auf Re-Zertifizierung oder Maintenance gestellt werden.

Welche Informationen werden für die Evaluierung nach BSI TR-03161 benötigt?

Je nach Evaluierungsgegenstand werden kundenseitig verschiedene Beistellleistungen/Informationen für die Evaluierung benötigt, darunter zum Beispiel: 

  • (Technische) Beschreibungen / Dokumentation
  • Ggf. Einstiegs-URLs und IP-Adressen der zu testenden Systeme
  • Sofern auch Rollenkonzepte/Berechtigungskomponenten getestet werden sollen, werden mindestens 2 Testkonten (mit unterschiedlichen Berechtigungen)
  • Bei mobile Apps Evaluierungen: Release-Version der App als kompilierte und installierbare (APK / IPA) Datei; Debug-Version der App, mit deaktivierten Sicherheitsmaßnahmen (wie Zertifikats-Pinning, Jailbreak/Root-Detection) als kompilierte und installierbare (APK / IPA) Datei

Warum wir ein starker Partner für Sie sind

Unabhängigkeit

Unsere Mitarbeitenden unterliegen keinen Zielkonflikten, da sie keinen Produktanbietern, Systemintegratoren, Aktionären, Interessensgruppen oder Regierungsstellen verpflichtet sind.

Expertise

Mit uns haben Sie einen der führenden Experten im Bereich Cyber-Security an Ihrer Seite, der vom BSI als IT-Sicherheitsdienstleister für IS-Revision und Penetrationstests zertifiziert ist.

Internationales Expertennetzwerk

Rund um den Globus: Wir unterstützen Sie sowohl national als auch international. Unser globales Expertennetzwerk steht Ihnen in allen IT-Sicherheitsfragen zur Seite.

Branchenerfahrung

Durch jahrelange Erfahrung in den unterschiedlichsten Branchen können wir Unternehmen verschiedenster Industriezweige bedienen.

Auf Sie zugeschnitten

Wir setzen auf individuelle Leistungen – und Lösungen –, die optimal zu Ihrer derzeitigen Unternehmenssituation und Ihren gesetzten Zielen passen.

 

Sie haben Fragen? Wir helfen gerne!

  

Alexander Padberg

Sales Manager

+49 201 8999-614
a.padberg@tuvit.de

Gerald Krebs

Global Account Manager

+49 201 8999-411
g.krebs@tuvit.de