Wenn Stunden über Leben entscheiden: Kliniken leiden besonders unter Cyberangriffen – Verfügbarkeit lebenswichtiger Dienste ist kein Luxus, sondern Pflicht.
Artikel 23 und Meldepflichten bei Spitälern – was steht auf dem Spiel
Meldepflichten gemäss Artikel 23 NIS2 verpflichten «wesentliche und wichtige Einrichtungen», schwerwiegende Sicherheitsvorfälle fristgerecht zu melden – mit Erstmeldung, Detailbericht und Abschlussbericht. Für Kliniken bedeutet das: Ein IT-Ausfall im OP-Plan, Datenverlust im Labor oder Cybervorfall in der Infrastruktur kann eine Meldungspflicht auslösen – gegenüber dem nationalen CSIRT (Computer Security Incident Response Team) oder den zuständigen Sicherheitsbehörden. In der Schweiz übernimmt künftig das National Cyber Security Centre (NCSC) eine vergleichbare Rolle: Es fungiert als nationale Meldestelle für Cybervorfälle in kritischen Infrastrukturen. Entsprechende Regelwerke befinden sich derzeit in Ausarbeitung bzw. im Inkrafttreten. (Gesetzliche Grundlagen zur Meldepflicht, NCSC, BSI-Infopaket NIS-2-Meldepflicht)
Das Gesundheits-Threat Landscape Report von ENISA
Der ENISA-Bericht «Health Threat Landscape» (Januar 2021 bis März 2023) zeigt deutlich: 53 % aller gemeldeten Vorfälle im Gesundheitssektor betreffen Gesundheitsanbieter, darunter Spitäler, Zahn- und Pflegeeinrichtungen. Besonders betroffen sind Ransomware-Angriffe (über 50 %) sowie Vorfälle, die Datensicherheit und Dienstverfügbarkeit beeinträchtigen. (ENISA Health Threat Landscape Report)
Fallbeispiel: Barcelona/Klinik-Klinikbetrieb unter Druck
Im März 2023 musste ein Krankenhaus in Barcelona zahlreiche Operationen absagen und Tausende Aussensprechstunden verschieben, nachdem ein Cyberangriff in das System eingedrungen war. Die Angriffe führten zu Verzögerungen in Patientenversorgung und administrativen Abläufen; Meldewege und Notfallpläne halfen, den Schaden zu begrenzen. (ICT&Health – ENISA warnt vor Hacktivismus)
Fallbeispiel Schweiz: Spitalnetz betroffen?
Speziell in der Schweiz gibt es Hinweise darauf, dass Gesundheitsdienstleister zunehmend in den Fokus rücken. Der ENISA-Bericht zählt auch Vorfälle in der Schweiz unter den untersuchten Fällen. Zwar wurde kein bekanntes grösseres Spital komplett lahmgelegt, aber auch kleinere IT-Störungen in Kliniknetzwerken führten zu Ausfällen von Fachabteilungen. Diese Vorfälle verdeutlichen: Kliniken müssen Meldestrukturen (intern/extern) und Notfallpläne prüfen – auch in ihrer Lieferkette und bei Drittanbietern.
Praxis: Wie Kliniken Artikel 23 tauglich implementieren
Ein praktischer Weg besteht aus mehreren Schritten:
1. Vorbereitete Vorfall-Templates: Erstmeldung, Zwischenbericht, Abschluss mit klaren Inhalten (Wann, Was, Wer betroffen, Schaden, betroffene Nutzerzahlen).
2. Zuständigkeiten klären: Intern klar benennen, wer die Meldung freigibt, wer die Kommunikation führt (intern, Behörden, Betroffene).
3. Frühwarnsysteme etablieren: Monitoring-Tools, automatische Alerts, Verfügbarkeit von Logs und Vulnerability-Scans müssen so gestaltet sein, dass ein Vorfall rasch erkannt und bewertet werden kann.
Fazit
Meldpflichten nach Artikel 23 sind keine lästige Formalität, sondern entscheidende Weichen für Patienten-Sicherheit, Rechtssicherheit und Wiederherstellung im Ernstfall. Kliniken, die Meldestrukturen konsequent aufbauen und üben, schützen nicht nur ihren Betrieb, sondern erfüllen gesetzliche Vorgaben proaktiv und wirksam.
CISO as a Service – Ihr nächster Schritt
Wenn Sie Artikel 23 NIS2 effizient umsetzen möchten, hilft unser CISO as a Service-Angebot: Experten begleiten Sie beim Aufbau der Meldeprozesse, Incident-Vorlagen und Trainings – massgeschneidert für Kliniken und medizinische Einrichtungen.
Kontaktieren Sie uns, um einen Termin zu vereinbaren und Ihre NIS2-Meldepflichten sicher und praxisgerecht einzurichten.
Key Take-away – Meldepflicht strukturiert bauen
Erarbeiten Sie Vorlagen für Frühwarnung, Zwischen- und Abschlussberichte, bestimmen Sie Rollen klar und überprüfen Sie Abläufe regelmässig – so minimieren Sie Reaktionszeiten und Risiken.
