C5-Testat Typ 2 für RayaONE: geprüfte Cloud-Sicherheit in der Teleradiologie
Raya Diagnostics hat für seine Softwareplattform RayaONE ein C5-Testat Typ 2 erhalten. Das Testat bestätigt, dass die geprüften Kontrollen zur Informationssicherheit nicht nur angemessen ausgestaltet und implementiert waren, sondern im festgelegten Prüfungszeitraum auch wirksam angewendet wurden.
Was ist ein C5-Testat?
C5 steht für Cloud Computing Compliance Criteria Catalogue. Der Kriterienkatalog wurde vom Bundesamt für Sicherheit in der Informationstechnik (BSI) entwickelt und beschreibt Mindestanforderungen an die Informationssicherheit von Cloud-Diensten. Er schafft eine standardisierte Grundlage, mit der Organisationen das Sicherheitsniveau eines konkreten Cloud-Dienstes transparent bewerten können.
Ein C5-Testat ist dabei keine klassische Zertifizierung durch das BSI. Es ist ein Bestätigungsvermerk auf Basis einer Prüfung durch Wirtschaftsprüfer. Das BSI entwickelt den Kriterienkatalog, ist aber nicht an der Prüfung oder der Ausstellung des Testats beteiligt.
Was bedeutet C5 Typ 2?
Ein C5-Testat Typ 2 geht über die Betrachtung zu einem einzelnen Stichtag hinaus. Geprüft wird:
- ob die beschriebenen Kontrollen angemessen ausgestaltet sind,
- ob sie implementiert wurden und
- ob sie innerhalb eines festgelegten Prüfungszeitraums wirksam angewendet wurden.
Damit liefert Typ 2 einen belastbaren Nachweis über gelebte Sicherheitsprozesse im laufenden Betrieb. Ein C5-Testat bedeutet jedoch nicht, dass ein Cloud-Dienst frei von jedem Risiko ist. Es schafft vielmehr Transparenz über den geprüften Dienst, seinen Geltungsbereich und die Wirksamkeit der geprüften Kontrollen.
Warum ist C5 Typ 2 für Kliniken relevant?
Kliniken, MVZ und andere Leistungserbringer verarbeiten besonders schützenswerte Gesundheitsdaten. Gleichzeitig werden radiologische Prozesse zunehmend cloudbasiert und standortübergreifend organisiert. Informationssicherheit muss deshalb von Anfang an Teil der digitalen Versorgung sein.
Für den Cloud-Einsatz im Gesundheitswesen ist zudem § 393 SGB V relevant. Seit dem 1. Juli 2025 gilt im Anwendungsbereich der Regelung grundsätzlich ein aktuelles C5-Testat Typ 2 als Nachweis; das Gesetz lässt unter bestimmten Voraussetzungen auch vergleichbare oder höherwertige Nachweise zu. Darüber hinaus müssen die im Prüfbericht genannten korrespondierenden Kriterien auf Kundenseite umgesetzt werden.
Für IT-Verantwortliche schafft ein C5-Prüfbericht damit eine strukturierte Grundlage, um den konkreten Cloud-Dienst, den Prüfungsumfang und die geteilten Verantwortlichkeiten fundiert zu bewerten.
C5-testierte Teleradiologie mit RayaONE
RayaONE ist die eigene, browserbasierte Softwareplattform von Raya Diagnostics. Sie verbindet zentrale Bestandteile des radiologischen Workflows in einem System:
- Bildverteilung,
- Befundung,
- Worklist-Steuerung,
- automatisierte Workflows und
- KI-Integration.
Die Plattform ist aus der täglichen teleradiologischen Praxis entstanden. Sie ermöglicht die Zusammenarbeit über System- und Standortgrenzen hinweg und unterstützt Kliniken dabei, radiologische Kapazitäten sicher und effizient zu vernetzen.
Mit wachsender Vernetzung steigt auch die Verantwortung. Deshalb betrachten wir Informationssicherheit nicht als nachträgliche Ergänzung, sondern als Grundlage für die Entwicklung und den Betrieb von RayaONE.
Das C5-Testat Typ 2 ist die externe Bestätigung dieses Anspruchs. Gleichzeitig bleibt Informationssicherheit eine kontinuierliche Aufgabe, an der wir konsequent weiterarbeiten.
Unser Dank gilt dem gesamten Raya-Team, das die C5-Anforderungen seit Monaten täglich mit Leben füllt. Denn digitale Versorgung braucht mehr als leistungsfähige Technologie: Sie braucht überprüfbares Vertrauen.
Häufige Fragen zum C5-Testat Typ 2
Ist C5 eine Zertifizierung?
Nein. Fachlich korrekt ist die Bezeichnung C5-Testat. Das BSI stellt den Kriterienkatalog bereit, führt die Prüfung aber nicht selbst durch und erteilt kein C5-Zertifikat.
Was ist der Unterschied zwischen C5 Typ 1 und Typ 2?
Typ 1 betrachtet die Angemessenheit und Implementierung der Kontrollen zu einem Stichtag. Typ 2 prüft zusätzlich, ob die Kontrollen über einen festgelegten Zeitraum wirksam angewendet wurden.
Wofür gilt das C5-Testat?
Ein C5-Testat bezieht sich auf den im Prüfbericht definierten Cloud-Dienst und dessen festgelegten Geltungsbereich. Im vorliegenden Fall betrifft das Testat die Softwareplattform RayaONE. Details zum Prüfungsumfang können berechtigten Interessenten im vorgesehenen Verfahren bereitgestellt werden.
Weiterführende Informationen
Weitere Artikel
