Cybersecurity im Gesundheitswesen Ein Behandlungsplan für den Gesundheitssektor

Anbieter zum Thema

FAST LTA GmbH

FTAPI Software GmbH

Mit dem Aktionsplan zur Cybersicherheit und dem kommenden NIS-2-Umsetzungsgesetz wächst der regulatorische Druck auf den Gesundheitssektor, wirkungsvolle Maßnahmen für die Cybersicherheit zu implementieren. Wie das Beispiel der ePA zeigt, ist Stillhalten keine zielführende Strategie.

Mit der elektronischen Patientenakte (ePA) hat das Thema Cybersicherheit im Gesundheitswesen in den letzten Monaten ein prominentes Gesicht bekommen. Die hitzige Diskussion um die Risiken der volldigitalen Speicherung von Gesundheitsdaten zeigt deutlich, welche Befürchtung für viele Bürger und Bürgerinnen damit verknüpft sind. Gelangen Gesundheits-Informationen durch Datenpannen oder erfolgreiches Hacking an unbefugte Dritte, wird einer der sensibelsten Bereiche privater Lebensgestaltung verletzt. Gerade weil die Zahl der Angriffe in den letzten Jahren stark zugenommen hat, müssen die Ängste ernst genommen werden.

Wie Daten des BSI (Bundesamt für Sicherheit in der Informationstechnik) zeigen, waren 2024 lediglich bei einem Drittel der befragten Gesundheitsinstitutionen die Auflagen der IT-Sicherheitsrichtlinie vollständig umgesetzt. Im Rahmen einer Teststudie CyberPraxMed wurden teils schwerwiegende Sicherheitsmängel in der Software, dem Patchmanagement oder bei Back-Up-Systemen entdeckt.

Widerspruchslösung

Appell an Versicherte vor Start der E-Patientenakte

Es braucht eine wirkungsvolle Zusammenarbeit, damit auch im Gesundheitssektor der Digitalisierungsprozess nicht auf Kosten der Cybersicherheit geht. Das hat die EU im Rahmen ihrer EU-Cybersicherheitsstrategie erkannt. Der im Januar 2025 angekündigte Aktionsplan zur Cybersicherheit von Krankenhäusern und Gesundheitsdienstleistern soll die Resilienz gegen Cyberbedrohungen im Gesundheitswesen erhöhen.

Wie die EU Sicherheitslücken reduzieren will

Prävention, Erkennung, Reaktion & Recovery sowie Abschreckung – anhand dieser vier Säulen sollen Institutionen im Gesundheitsbereich dabei begleitet werden, ein mehrschichtiges Cybersecurity-Ökosystem aufzubauen. Moderne IT soll die veraltete und risikobehaftete Infrastruktur ersetzen. Zudem wird bis 2026 ein EU-weites Frühwarnsystem eingerichtet, um Bedrohungssituationen effektiver erkennen zu können und Gegenmaßnahmen einzuleiten. Notfallteams, die eine sogenannte „Cyber-Reserve“ bilden, sollen für Krisensituationen trainiert werden, um ein gutes Krisenmanagement sicherzustellen.

Verständlicherweise ist der Erfolg dieser europaweiten Bemühungen davon abhängig, dass auch Kliniken und Krankenhäuser in Deutschland ihren Teil dazu beitragen. An der obligatorischen Meldung und einem transparenten Umgang mit Cybervorfällen werden Verantwortliche in Zukunft nicht mehr herumkommen. Und das ist deutlich leichter gesagt als getan. Denn die IT-Infrastruktur in vielen Krankenhäusern ist geprägt von siloartigen Systemen, fehlenden Standards und Personalknappheit. Ein Echtzeit-Management von Cyberincidents ist dann oft reine Zukunftsmusik.

Die neue Regierung wird den Umsetzungsdruck erhöhen

Bei der Umsetzung von NIS-2 hinkt Deutschland im europäischen Vergleich hinterher: durch die vorgezogenen Neuwahlen konnte das parlamentarische Verfahren zur gesetzlichen Umsetzung der Direktive in Deutschland (BIS2UmsuCG) bisher nicht abgeschlossen werden. Nach Recherchen des Tagesspiegels ist das NIS-2-Umsetzungsgesetz jedoch ein Projekt, dass die Regierung Merz in den kommenden Wochen priorisieren wird. Vor diesem Hintergrund zeichnet sich ab, dass deutsche Behörden den Druck auf kritische Infrastruktur weiter erhöhen werden.

Chaos Computer Clubs erläutert Cyberangriffe

Lauterbach bestätigt Sicherheitslücke bei E-Patientenakte

Es lohnt daher, den Blick in europäische Vorreiterstaaten zu werfen. Im Rahmen der NIS2-Implementation in nationales Recht wurden dort eigenständige Behörden (z. B. Centro Nacional de Ciberseguridad in Spanien) und Programme (z. B. CaRE-Programm in Frankreich) aufgelegt, die für Gesundheitseinrichtungen sowohl kontrollierend wie unterstützend tätig sind – etwa um die Einhaltung der Meldepflichten sicherzustellen, regelmäßige Audits umzusetzen und bei der Beschaffung von Tools zu unterstützen. In diesem Sinne könnte das BSI in eine noch aktivere Rolle gedrängt werden, wenn die Anforderungen verschärft und die aktuellen Leitlinien für große Krankenhäuser auf weitere Gesundheitsdienstleister ausgeweitet werden.

Secure by Design als Anforderung an die IT

Auch für die Anbieter von Medizintechnologie, einschließlich der Software- und Hardwarelieferanten sowie der Managed Security Service Providers (MSSPs), wird dieser Wandel deutliche Auswirkungen haben. Die klare Konsequenz muss sein, dass die Anforderung Secure by Design bereits bei der Entwicklung von Lösungen zum entscheidenden Kriterium wird. Dazu bedarf es eines engen Austausches zwischen Krankenhäusern und Technologieanbietern.

Von dieser Art der Zusammenarbeit können alle Beteiligten profitieren. Vor allem lassen sich dadurch viele regulatorische Anforderungen umsetzen – wie etwa beim Echtzeitmonitoring, der Netzwerksicherheit oder bei Backup-Systemen. Je vorausschauender agiert wird, umso weniger Ressourcen müssen nach der Implementation bereitgestellt werden.

Ein gutes Beispiel für diese Art von Security-Mindset zeigt sich im digitalen Vorreiterstaat Estland. Die estnische IT-Behöre RIA (Riigi Infosüsteemi Amet) hat nicht nur eine der strengsten Datenschutzrichtlinien umgesetzt, sondern auch ein Blockchain-basiertes System für die digitalen Gesundheitsakten entwickelt. Damit überfüllt der Staat die neuen Cybersicherheitsanforderungen der EU. Und das ist weitaus zielführender, als der Regulatorik hinterherzulaufen.

(ID:50448288)