OCR Clarifies When SUD Records Can be Used to Verify Medicaid Community Engagement Exclusions

Posted by Steve Alder

The U.S. Department of Health and Human Services (HHS) Office for Civil Rights (OCR) has issued guidance for state Medicaid Agencies clarifying when the Part 2 regulations permit Medicaid applicants’ or beneficiaries’ SUD records to be used to verify an exclusion from the community engagement requirement for Medicaid eligibility.

The Confidentiality of Substance Use Disorder (SUD) Patient Records regulation, 42 CFR part 2 (Part 2), generally applies to federally assisted programs that provide SUD diagnosis, treatment, or referral for treatment, as well as organizations that receive Part 2-covered records such as health plans that pay for SUD treatment and government benefit programs such as Medicaid.

Under the Medicaid program, adult beneficiaries (aged 19-64) are generally required to engage in work, community service, or other activities for 80 hours per month, or be in at least half-time in education, as a condition of eligibility. There are certain exceptions to these requirements, such as individuals with special medical needs, which may include certain individuals with SUD or those participating in SUD treatment programs.

Under federal law, state Medicaid agencies are required to use reliable and available information to verify an applicant’s or beneficiary’s compliance or exclusion, where possible, without requiring the individual to submit additional information. The Centers for Medicaid and Medicare Services (CMS) has been working with OCR, which is responsible for administering and enforcing the Part 2 regulations, to produce technical assistance for state Medicaid agencies on the use of Part 2 records for verification of exclusion from the community engagement requirement.

Get The FREE
HIPAA Compliance Checklist

Immediate Delivery of Checklist Link To Your Email Address

Please Enter Correct Email Address

Your Privacy Respected

HIPAA Journal Privacy Policy

“This OCR guidance will help state Medicaid agencies use information they already have to identify individuals who are excluded from the community engagement requirement, while continuing to protect the confidentiality of SUD patient records as required by Part 2,” said OCR Director Paula M. Stannard. “This new guidance helps ensure that state Medicaid agencies comply with Part 2 while also meeting their obligations to verify Medicaid eligibility — and without imposing unnecessary documentation burdens on eligible applicants and beneficiaries.”

The post OCR Clarifies When SUD Records Can be Used to Verify Medicaid Community Engagement Exclusions appeared first on The HIPAA Journal.

Aktuelle Informationen und mybhv-view.de für umfassende Sicherheit in Ihrem Betrieb gewährleisten

Posted by William Roberts

Aktuelle Informationen und mybhv-view.de für umfassende Sicherheit in Ihrem Betrieb gewährleisten

In der heutigen Geschäftswelt ist die Sicherheit von Daten und Systemen von größter Bedeutung. Unternehmen stehen vor immer komplexeren Herausforderungen, die von Cyberangriffen bis hin zu internen Bedrohungen reichen. Eine umfassende Sicherheitsstrategie ist daher unerlässlich, um den reibungslosen Betrieb zu gewährleisten und das Vertrauen der Kunden zu erhalten. Die Plattform mybhv-view.de bietet hier eine wichtige Unterstützung, indem sie aktuelle Informationen und Ressourcen bereitstellt, die Unternehmen dabei helfen, ihre Sicherheitsmaßnahmen zu verbessern und auf dem neuesten Stand zu halten. Die frühzeitige Erkennung von Schwachstellen und die Implementierung präventiver Maßnahmen sind wesentliche Bestandteile einer erfolgreichen Sicherheitsstrategie.

Die Digitalisierung schreitet in allen Branchen voran, was zu einer steigenden Abhängigkeit von IT-Systemen führt. Diese Entwicklung birgt jedoch auch neue Risiken, die es zu adressieren gilt. Datenschutzverletzungen, Systemausfälle und finanzielle Verluste sind nur einige der potenziellen Folgen einer mangelhaften Sicherheitsinfrastruktur. Es ist daher von entscheidender Bedeutung, dass Unternehmen in die Sicherheit ihrer Systeme und Daten investieren und ein Bewusstsein für die damit verbundenen Risiken schaffen. Eine proaktive Sicherheitsstrategie, die auf aktuellen Informationen und Best Practices basiert, ist der Schlüssel zum Erfolg.

Risikobewertung und Sicherheitskonzept

Eine fundierte Risikobewertung bildet die Grundlage für jedes effektive Sicherheitskonzept. Dabei werden potenzielle Bedrohungen identifiziert und bewertet, um die Wahrscheinlichkeit ihres Eintretens und die möglichen Auswirkungen zu bestimmen. Diese Bewertung sollte regelmäßig aktualisiert werden, um Veränderungen in der Geschäftsumgebung und neue Bedrohungslandschaften zu berücksichtigen. Neben externen Bedrohungen wie Hackern und Viren müssen auch interne Risiken wie menschliches Versagen oder unzureichende Zugriffskontrollen berücksichtigt werden. Ein umfassendes Sicherheitskonzept definiert dann die notwendigen Maßnahmen, um diese Risiken zu minimieren oder zu neutralisieren. Dazu gehören beispielsweise die Implementierung von Firewalls, Intrusion Detection Systems und Verschlüsselungstechnologien.

Schutz kritischer Infrastrukturen

Der Schutz kritischer Infrastrukturen hat in den letzten Jahren an Bedeutung gewonnen. Dazu zählen beispielsweise Energieversorgung, Telekommunikation, Gesundheitswesen und Finanzwesen. Ein Ausfall dieser Systeme kann verheerende Folgen haben, nicht nur für Unternehmen, sondern für die gesamte Gesellschaft. Daher sind diese Infrastrukturen besonders gut zu schützen. Dies erfordert eine enge Zusammenarbeit zwischen Unternehmen, Behörden und Sicherheitsdienstleistern. Regelmäßige Sicherheitsaudits und Penetrationstests sind unerlässlich, um Schwachstellen aufzudecken und zu beheben. Zudem ist es wichtig, dass Mitarbeiter sensibilisiert werden und über die neuesten Bedrohungen informiert sind.

Risikobereich Potenzielle Bedrohungen Bewertung (1-5) Maßnahmen
Netzwerk Hackerangriffe, Malware, DDoS 4 Firewall, Intrusion Detection, regelmäßige Updates
Daten Datenverlust, Diebstahl, Manipulation 5 Verschlüsselung, Backups, Zugriffskontrollen
Mitarbeiter Phishing, Social Engineering, Fahrlässigkeit 3 Schulungen, Sensibilisierung, Richtlinien
Physische Sicherheit Einbruch, Diebstahl, Vandalismus 2 Zugangskontrolle, Überwachung, Alarmanlagen

Die Tabelle zeigt beispielhaft eine Risikobewertung für verschiedene Bereiche eines Unternehmens. Die Bewertung erfolgt auf einer Skala von 1 bis 5, wobei 5 das höchste Risiko darstellt. Die Tabelle dient als Grundlage für die Planung und Umsetzung von Sicherheitsmaßnahmen.

Datenschutz und Compliance

Der Schutz personenbezogener Daten ist ein zentraler Bestandteil der Unternehmenssicherheit. Die Datenschutz-Grundverordnung (DSGVO) stellt hohe Anforderungen an den Umgang mit sensiblen Daten und sieht strenge Sanktionen bei Verstößen vor. Unternehmen müssen sicherstellen, dass sie die Datenschutzbestimmungen einhalten und geeignete Maßnahmen zum Schutz der Privatsphäre ihrer Kunden und Mitarbeiter ergreifen. Dazu gehören beispielsweise die Einholung einer Einwilligung zur Datenverarbeitung, die Gewährleistung der Datensicherheit und die Bereitstellung von Informationen über die Rechte der Betroffenen. Compliance-Managementsysteme können Unternehmen dabei helfen, die Einhaltung der Datenschutzbestimmungen zu gewährleisten und das Risiko von Bußgeldern zu minimieren.

Rechtliche Rahmenbedingungen und Normen

Neben der DSGVO gibt es weitere rechtliche Rahmenbedingungen und Normen, die Unternehmen im Bereich der Datensicherheit beachten müssen. Dazu gehören beispielsweise das Bundesdatenschutzgesetz (BDSG), das IT-Sicherheitsgesetz (IT-SiG) und verschiedene branchenspezifische Vorschriften. Die Einhaltung dieser Vorschriften ist nicht nur eine rechtliche Verpflichtung, sondern auch ein wichtiger Wettbewerbsvorteil. Unternehmen, die ihre Sicherheitsstandards nachweislich erfüllen, genießen ein höheres Vertrauen bei Kunden und Partnern. Regelmäßige Audits und Zertifizierungen können dazu beitragen, das Sicherheitsniveau zu überprüfen und zu verbessern.

  • DSGVO: Datenschutz-Grundverordnung
  • BDSG: Bundesdatenschutzgesetz
  • IT-SiG: IT-Sicherheitsgesetz
  • ISO 27001: Internationaler Standard für Informationssicherheit

Die Liste zeigt einige der wichtigsten rechtlichen Rahmenbedingungen und Normen im Bereich der Datensicherheit. Die Kenntnis und Einhaltung dieser Vorschriften ist für Unternehmen von entscheidender Bedeutung.

Notfallmanagement und Disaster Recovery

Trotz aller Vorsichtsmaßnahmen kann es zu Sicherheitsvorfällen kommen, die den Geschäftsbetrieb beeinträchtigen. Daher ist ein umfassendes Notfallmanagement und Disaster Recovery unerlässlich. Ein Notfallplan definiert die Maßnahmen, die im Falle eines Sicherheitsvorfalls zu ergreifen sind, um den Schaden zu minimieren und den Geschäftsbetrieb schnellstmöglich wiederherzustellen. Dazu gehören beispielsweise die Isolierung betroffener Systeme, die Benachrichtigung relevanter Parteien und die Wiederherstellung von Daten aus Backups. Regelmäßige Notfallübungen sind wichtig, um die Wirksamkeit des Notfallplans zu überprüfen und die Mitarbeiter auf den Ernstfall vorzubereiten. Disaster Recovery bezieht sich auf die Wiederherstellung des Geschäftsbetriebs nach einem schwerwiegenden Ereignis wie einem Naturkatastrophe oder einem großflächigen Systemausfall. Dies erfordert in der Regel die Nutzung von redundanten Systemen und Datenzentren.

Business Continuity Management

Das Business Continuity Management (BCM) geht über das Notfallmanagement und die Disaster Recovery hinaus. Es umfasst alle Maßnahmen, die dazu dienen, die Geschäftskontinuität sicherzustellen, auch unter außergewöhnlichen Umständen. Dazu gehören beispielsweise die Definition kritischer Geschäftsprozesse, die Identifizierung von Abhängigkeiten und die Entwicklung von Alternativlösungen. Ein BCM-System hilft Unternehmen, die Auswirkungen von Störungen zu minimieren und den Geschäftsbetrieb aufrechtzuerhalten. Es ist wichtig, dass das BCM-System regelmäßig überprüft und aktualisiert wird, um Veränderungen in der Geschäftsumgebung zu berücksichtigen.

  1. Risikoanalyse durchführen
  2. Geschäftsprozesse priorisieren
  3. Notfallpläne entwickeln
  4. Notfallübungen durchführen
  5. System regelmäßig überprüfen und aktualisieren

Die Liste zeigt die wichtigsten Schritte bei der Implementierung eines Business Continuity Management-Systems. Ein gut durchdachtes BCM-System ist unerlässlich, um die langfristige Überlebensfähigkeit eines Unternehmens sicherzustellen.

Schulung und Sensibilisierung der Mitarbeiter

Die Mitarbeiter sind oft das schwächste Glied in der Sicherheitskette. Daher ist es von entscheidender Bedeutung, sie für die Risiken von Cyberangriffen und anderen Bedrohungen zu sensibilisieren und sie im sicheren Umgang mit IT-Systemen zu schulen. Regelmäßige Schulungen sollten Themen wie Phishing, Social Engineering, Passwortsicherheit und Datenschutz abdecken. Mitarbeiter sollten auch über die Bedeutung von Software-Updates und die Verwendung von Antivirenprogrammen informiert werden. Eine offene Sicherheitskultur, in der Mitarbeiter Bedenken und Vorfälle melden können, ist ebenfalls wichtig. Ein umfassendes Schulungsprogramm kann dazu beitragen, das Sicherheitsbewusstsein der Mitarbeiter zu erhöhen und die Anfälligkeit für Angriffe zu reduzieren. Die Sicherheit der Unternehmensdaten hängt maßgeblich vom Verhalten der Mitarbeiter ab.

Aktuelle Bedrohungen und zukünftige Trends

Die Bedrohungslandschaft im Bereich der Cybersicherheit ist ständig im Wandel. Neue Angriffsmethoden und Schwachstellen werden regelmäßig entdeckt. Es ist daher wichtig, sich über aktuelle Bedrohungen und zukünftige Trends zu informieren, um die Sicherheitsmaßnahmen entsprechend anzupassen. Zu den aktuellen Bedrohungen gehören beispielsweise Ransomware-Angriffe, bei denen Daten verschlüsselt und Lösegeld gefordert wird, sowie Phishing-Kampagnen, die darauf abzielen, an sensible Informationen zu gelangen. Zukünftige Trends umfassen beispielsweise die Zunahme von Angriffen auf Cloud-Systeme, die Verwendung von künstlicher Intelligenz für Angriffe und die Entwicklung von Quantencomputern, die beste Verschlüsselungstechnologien knacken könnten. Die Plattform mybhv-view.de bietet hier aktuelle Informationen und Analysen, um Unternehmen auf dem Laufenden zu halten und ihnen bei der Vorbereitung auf zukünftige Herausforderungen zu helfen.

Sicherheit als kontinuierlicher Prozess

Sicherheit ist kein einmaliges Projekt, sondern ein kontinuierlicher Prozess, der ständige Aufmerksamkeit und Anpassung erfordert. Unternehmen müssen ihre Sicherheitsmaßnahmen regelmäßig überprüfen und verbessern, um mit den sich ändernden Bedrohungen Schritt zu halten. Dies erfordert eine enge Zusammenarbeit zwischen IT-Sicherheitsexperten, Fachabteilungen und dem Management. Die Investition in die Sicherheit ist eine Investition in die Zukunft des Unternehmens. Die Vermeidung von Sicherheitsvorfällen kann erhebliche Kosten sparen und das Vertrauen der Kunden stärken. Eine proaktive und umfassende Sicherheitsstrategie ist daher unerlässlich für den langfristigen Erfolg eines Unternehmens. Der kontinuierliche Austausch von Informationen und Best Practices, beispielsweise über Plattformen wie mybhv-view.de, trägt dazu bei, das Sicherheitsniveau aller Unternehmen zu erhöhen.

Die Implementierung neuer Technologien, wie beispielsweise Cloud-Dienste oder das Internet der Dinge (IoT), erfordert eine besondere Berücksichtigung der Sicherheitsaspekte. Diese Technologien bieten zwar viele Vorteile, bergen aber auch neue Risiken. Es ist wichtig, dass Unternehmen sich dieser Risiken bewusst sind und geeignete Maßnahmen ergreifen, um sie zu minimieren. Ein ganzheitlicher Ansatz, der die Sicherheit von Anfang an in die Planung und Implementierung neuer Technologien integriert, ist entscheidend für den Erfolg.

The post Aktuelle Informationen und mybhv-view.de für umfassende Sicherheit in Ihrem Betrieb gewährleisten appeared first on HIPAA.com.

Data Breaches Announced by Saber Healthcare & Buchalter

Posted by Steve Alder

Data breaches have been announced by Saber Healthcare in Ohio and Buchalter, a California-headquartered law firm that provides services to Arrowhead Regional Medical Center.  Bright Smile Dental Care in Indiana has fallen victim to a ransomware attack, although unauthorized access to patient data is considered unlikely.

Saber Healthcare

Saber Healthcare, a Beachwood, Ohio-based skilled nursing, long-term, and senior rehabilitation care provider, has started notifying individuals about unauthorized access to one of its computer servers. The incident was identified on July 27, 2026, and immediate action was taken to secure its systems and prevent further unauthorized access. Third-party cybersecurity experts were engaged to assist with the investigation, which indicated that data stored on the server may have been accessed or acquired.

On August 19, 2026, the review of the server was completed, and up-to-date address information was obtained to allow notification letters to be mailed. Data compromised in the incident varies from individual to individual and may include names in combination with one or more of the following: date of birth, driver’s license/state issued identification number, health insurance information, medical information, financial account information, passport number, and/or Social Security number.

Additional network security measures have been implemented, and data security policies and procedures are being reviewed. No evidence has been found to indicate any misuse of the exposed data; however, the affected individuals have been advised to remain vigilant against identity theft and fraud. The number of affected individuals has yet to be publicly disclosed, although based on disclosures to state attorneys general, the incident has affected more than 3,000 individuals.

Get The FREE
HIPAA Compliance Checklist

Immediate Delivery of Checklist Link To Your Email Address

Please Enter Correct Email Address

Your Privacy Respected

HIPAA Journal Privacy Policy

Buchalter, LLP (Arrowhead Regional Medical Center)

Patients of Arrowhead Regional Medical Center (ARMC) in Colton, California, have been affected by a cybersecurity incident at the law firm Buchalter, LLP. Buchalter provides legal services to the hospital and was provided with limited patient data in connection with those services. On August 28, 2026, Buchalter discovered that limited data was accessed by an unauthorized third party. An internal investigation was launched, with assistance provided by third-party cybersecurity experts to determine the nature and scope of the unauthorized activity.

On September 4, 2026, it was confirmed that certain ARMC patients had data compromised in the incident, and on September 21, 2026, contact information was obtained to allow notification letters to be mailed. At the time of issuing the notification letters, no misuse of the affected data had been identified.  The data types involved are detailed in the individual notification letters. Buchalter said it has taken steps to improve data security to prevent similar incidents in the future. The number of affected individuals has not yet been publicly disclosed.

Bright Smile Dental Care

Bright Smile Dental Care, a Fishers, Indiana-based dental practice, has experienced a ransomware attack involving a server containing its practice management, dental imaging, and electronic health record software. The incident was identified on August 3, 2026, and third-party cybersecurity experts were engaged to investigate the incident and mitigate its impact.

Bright Smile Dental Care said patient data on the server was protected with encryption, and the keys to decrypt the data are not believed to have been obtained by the ransomware group. While there is a low likelihood of unauthorized data access, patients have been warned that the server contained their names, dates of birth, addresses, email addresses, phone numbers, insurance information, information about dependents, health information, and in some cases, Social Security numbers.

Notification letters have been mailed to the affected individuals, and complimentary credit monitoring services have been offered to individuals whose Social Security numbers were present on the server. The number of affected individuals has yet to be publicly disclosed.

The post Data Breaches Announced by Saber Healthcare & Buchalter appeared first on The HIPAA Journal.