Каковы правила HIPAA, предусматривающие RPO и RTO для кабинета врача?

Я планирую модернизацию системы в нескольких офисах врачей групповой практики.

Я задаю им вопросы относительно того, каковы могут быть их RTO (Время восстановления) и RPO (Цель восстановления), чтобы я мог сбалансировать их бюджет с этими целями.

Что я хочу узнать от ServerFault, есть ли в HIPAA правила, касающиеся RPO и RTO для медицинских данных пациентов?

Я понимаю, что если офис проверен и пациент выставлен счет за процедуру, но медицинская карта отсутствует, офис может быть оштрафован на сумму до 10000 долларов США на пациента. Я не знаю, является ли это настоящим штрафом, но это заставляет меня включать в расчеты потенциальные штрафы, а не только потенциальную потерю дохода, которую может иметь типичный бизнес.

Спасибо,
Кит