Die Krankenhäuser und Klinikgruppen arbeiten heute mit einer großen Zahl externer Dienstleister. Diese Unternehmen betreiben IT-Systeme, warten medizinische Anwendungen, administrieren Netzwerke, hosten Daten oder unterstützen bei Projekten der Informationssicherheit. Viele dieser Partner greifen direkt auf Systeme und Daten des Krankenhauses zu. Damit entsteht ein Risiko, das lange unterschätzt wurde: Ein Krankenhaus kann seine eigene IT gut schützen und trotzdem über einen Dienstleister angreifbar sein.

Genau hier setzt die NIS 2.0 an. Die Richtlinie verlangt von betroffenen Einrichtungen ausdrücklich, Risiken in der Lieferkette zu berücksichtigen. Dazu gehören in erster Linie die Beziehungen zu direkten Dienstleistern und Lieferanten.

Für Krankenhäuser bedeutet das einen Perspektivwechsel. Es reicht nicht mehr, einen Dienstleister einmal auszuwählen und anschließend auf seine Leistung zu vertrauen. Die Verantwortlichen müssen externe Partner risikoorientiert auswählen, vertraglich steuern und während der gesamten Zusammenarbeit überwachen.

Wie groß ist das Risiko wirklich?

Nicht jeder externe Dienstleister stellt das gleiche Risiko dar. Ein Unternehmen, das lediglich Büromaterial liefert, ist aus Sicht der Informationssicherheit anders zu bewerten als ein Dienstleister, der die zentrale Serverlandschaft administriert. Noch kritischer kann ein Anbieter sein, der direkten Zugriff auf klinische Systeme, Patientendaten oder zentrale Kommunikationsinfrastrukturen besitzt.

Deshalb sollte die erste Frage nicht lauten: „Haben wir für diesen Dienstleister einen Vertrag?“

Die wichtigere Frage lautet: „Was passiert, wenn dieser Dienstleister ausfällt oder kompromittiert wird?“

Welche Systeme wären betroffen? Welche Daten könnten in falsche Hände geraten? Wie lange könnte das Krankenhaus auf den Dienst verzichten? Und könnte ein kompromittierter Dienstleister selbst zum Einfallstor für einen Cyberangriff werden?

Diese Fragen führen zu einer risikoorientierten Bewertung. Genau diesen Ansatz verlangt NIS 2.0. Die Sicherheitsmaßnahmen sollen angemessen und verhältnismäßig zu den bestehenden Risiken sein.

Reicht eine Lieferantenliste noch aus?

In vielen Krankenhäusern existiert bereits eine Liste der IT-Dienstleister. Häufig enthält sie den Namen des Unternehmens, den Ansprechpartner und vielleicht noch Informationen zum Vertrag.

Für NIS 2.0 reicht das nicht.

Das Krankenhaus muss verstehen, welche Bedeutung ein Dienstleister für die eigene Informationssicherheit hat. Dazu gehört beispielsweise die Frage, welche Zugriffe bestehen, welche Daten verarbeitet werden und welche Systeme von dem Dienstleister abhängen.

Auch die Abhängigkeit vom Anbieter spielt eine Rolle. Gibt es eine Alternative? Kann das Krankenhaus den Dienst kurzfristig durch einen anderen Anbieter ersetzen? Oder würde ein Ausfall erhebliche Auswirkungen auf den Krankenhausbetrieb haben?

Die EU-Vorgaben nennen deshalb unter anderem die Cybersecurity-Praxis eines Dienstleisters, seine Fähigkeit zur Erfüllung von Sicherheitsanforderungen sowie die Widerstandsfähigkeit seiner Leistungen als relevante Kriterien. Auch das Risiko eines Vendor Lock-in mit der Gefahr einer sehr großen Abhängigkeit vom Dienstleister soll berücksichtigt werden.

Sicherheit muss bereits bei der Auswahl beginnen

Ein häufiger Fehler besteht darin, Sicherheitsanforderungen erst nach der Beauftragung eines Dienstleisters zu diskutieren.

Besser ist ein anderer Weg: Das Krankenhaus definiert zunächst die Anforderungen und bewertet anschließend, welcher Anbieter diese erfüllen kann. Dabei geht es nicht nur um Zertifikate. Ein ISO-27001-Zertifikat kann ein wichtiger Hinweis sein. Es ersetzt aber keine eigene Risikobewertung. Der ISB sollte deshalb gemeinsam mit IT, Einkauf, Datenschutz, den zuständigen Fachbereichen und mit dem KI-Beauftragten festlegen, welche Anforderungen für den jeweiligen Dienstleister gelten. Bei besonders kritischen Leistungen können beispielsweise Anforderungen an Authentifizierung, Protokollierung, Schwachstellenmanagement, Notfallvorsorge oder Meldewege notwendig sein.

So wird aus der Beschaffung ein Teil des Informationssicherheitsprozesses.

Was gehört in einen sicheren Dienstleistervertrag?

Auch ein guter Auswahlprozess verliert an Wirkung, wenn der Vertrag keine ausreichenden Sicherheitsanforderungen enthält.

Die NIS 2.0 beziehungsweise die dazugehörigen Konkretisierungen sehen hier eine Reihe von Punkten vor. Dazu gehören unter anderem

  • Anforderungen an die Informationssicherheit,
  • Regelungen zur Meldung von Sicherheitsvorfällen,
  • Schwachstellenmanagement,
  • Auditrechte und
  • Vorgaben für Subunternehmer.

Auch die Klauseln zur Beendigung eines Vertrags müssen betrachtet werden.

Gerade die Subunternehmer verdienen Aufmerksamkeit. Ein Krankenhaus beauftragt beispielsweise einen IT-Dienstleister. Dieser wiederum nutzt einen Cloud-Anbieter oder weitere externe Spezialisten. Damit entstehen erweiterte Abhängigkeiten. Die Verantwortung des Krankenhauses endet deshalb nicht automatisch beim direkten Vertragspartner.

Warum einmalige Prüfungen nicht genügen

Ein Dienstleister kann heute sicher sein und morgen ein anderes Risikoprofil haben.

Vielleicht verändert er seine technische Infrastruktur oder ein anderer Anbieter übernimmt das Unternehmen. Oder es werden einfach neue Subunternehmer eingesetzt.

Deshalb fordert die europäische Regelung ausdrücklich, die Sicherheitslage von Lieferanten und Dienstleistern regelmäßig zu überwachen und bei wesentlichen Veränderungen oder Vorfällen neu zu bewerten.

In der Praxis bedeutet das: Der ISB braucht einen Überprüfungsprozess und nicht nur einen Fragebogen.

Sinnvoll ist beispielsweise eine risikoorientierte Einteilung der Dienstleister. Kritische Partner werden häufiger überprüft und müssen umfangreichere Nachweise liefern. Bei weniger kritischen Lieferanten kann eine vereinfachte Prüfung ausreichen. So bleibt der Aufwand beherrschbar.

Was wir bei Adiccon in der Praxis sehen

Bei unseren Projekten in Krankenhäusern erleben wir immer wieder, dass die technische Informationssicherheit bereits weit entwickelt ist, während die Steuerung externer Dienstleister noch nicht ausreichend oder gar nicht systematisiert wurde.

Das Problem liegt selten darin, dass überhaupt keine Verträge existieren. Häufig fehlt vielmehr die Verbindung zwischen Dienstleister- und Risikomanagement.

Eine Reihe von Fragen ist zu beantworten:

  • Wer hat den Überblick über alle externen Zugriffe?
  • Welche Dienstleister sind für den Krankenhausbetrieb besonders kritisch?
  • Wer bewertet die Sicherheitsnachweise?
  • Wer verfolgt offene Maßnahmen?
  • Und wer entscheidet, was passiert, wenn ein Dienstleister die Sicherheitsanforderungen nicht erfüllt?

Diese Fragen lassen sich nicht allein durch die IT beantworten.

Aus unserer Erfahrung funktioniert die Steuerung dann besonders gut, wenn der ISB den Prozess fachlich verantwortet und eng mit IT, Einkauf, Datenschutz, den betroffenen Fachbereichen und dem KI-Beauftragten zusammenarbeitet. Das Management muss dabei die kritischen Abhängigkeiten kennen und die notwendigen Entscheidungen treffen können.

Fazit: Externe Dienstleister werden Teil des eigenen Risikoprofils

Die NIS 2.0 verändert damit den Blick auf externe Dienstleister. Sie sind nicht mehr nur Vertragspartner, Kostenfaktoren oder Lieferanten. Wenn sie auf kritische Systeme zugreifen oder wichtige Leistungen für das Krankenhaus erbringen, werden ihre Risiken zu einem Teil des eigenen Risikoprofils.

Für das Krankenhaus-Management entsteht daraus eine klare Aufgabe: Es muss wissen, von welchen externen Partnern der sichere Betrieb abhängt. Und für den ISB entsteht eine ebenso wichtige Aufgabe: Er muss aus dieser Erkenntnis einen belastbaren Prozess machen.

Sichere Dienstleistersteuerung beginnt deshalb nicht mit einem Fragebogen. Sie beginnt mit der Frage, welches Risiko ein externer Partner für den Krankenhausbetrieb tatsächlich darstellt.

Wer diese Frage konsequent beantwortet, schafft nicht nur eine bessere Grundlage für die NIS-2-Umsetzung. Er erhöht zugleich die Widerstandsfähigkeit des gesamten Krankenhauses.

Wenn Sie mehr darüber wissen möchten, wie wir Sie bei dieser wichtigen Thematik konkret unterstützen können, dann nehmen Sie Kontakt zu uns auf: walter.schaefer@adiccon.de oder mobil unter 0160 90997764.