Как понять, что подрядчик разработает безопасный продукт без утечек данных?
Слово "аудит" вам знакомо? Предупредите подрядчика, что по окончанию работ будет проведен аудит безопасности. Ну и наймите хорошего аудитора.
На счет стандартов могу припомнить разве что ISO 9001, который хоть и не заточен конкретно под медицинские, но используется некоторыми фарм-компаниями, например.
Вот само содержимое: guap.ru/guap/standart/kach/gost_r_iso_9001-2015.pdf
если хотите без запар - нанимаете хорошего программиста, который в будущем будет заниматься поддержкой вашего сайта. главное слово тут - хорошего.  ну и собственно на начальном этапе его задачей будет написание и согласование тз с веб студией, которая вам будет разрабатывать сайт.
тобишь разработка сайта будет под надзором вашего программиста - это раз.
в дальнейшем тоже безопасность будет под контролем. потому что им будет заниматься этот программист.