Kliniken und Praxen NIS-2 fristgerecht umsetzen: acht Sofortmaßnahmen

Anbieter zum Thema

Governikus GmbH & Co. KG

Gemäß der europäischen NIS-2-Richtlinie müssen viele Organisationen im Healthcare-Sektor ihr IT-Sicherheitsniveau erhöhen. Auch wenn aktuell das Gesetzgebungsverfahren noch läuft, besteht in vielen Kliniken und Praxen Handlungsbedarf. Denn NIS-2 gilt für mehr medizinische Einrichtungen als die bestehende KRITIS-Regelung. Diese acht Maßnahmen sollten Verantwortliche jetzt ergreifen, um NIS-2 fristgerecht umzusetzen.

Organisationen im medizinischen Sektor sind für Cyberkriminelle ein attraktives Ziel. Aktuelle Vorfälle zeigen nicht nur, wie groß die digitale Abhängigkeit im Gesundheitssektor ist, sondern auch, wie anfällig die gesamte Branche ist. Angesichts dieser Entwicklung hat der Gesetzgeber schon frühzeitig mit KRITIS entsprechende Vorgaben gemacht, um das IT-Sicherheitsniveau in Kliniken zu steigern. Daher sind regulatorische Vorgaben zu IT-Sicherheit nicht wirklich neu. Aber die NIS-2-Direktive weitet den Anwendungsbereich deutlich aus und stellt auch viele kleinere und mittlere Gesundheitsorganisationen vor eine große Herausforderung.

Cybersicherheit

NIS-2-Umsetzungsgesetz und Auswirkungen auf die kommunalen Unternehmen

Hinzu kommt: Viele Unternehmen sind von der NIS-2 nicht direkt betroffen, sondern nur indirekt – etwa, weil sie ein Unternehmen aus einem der von der NIS-2 betroffenen Sektoren beliefern. Diese Unternehmen haben die Pflicht, ihre Lieferkette mit geeigneten Mitteln abzusichern. Die NIS-2 sieht nämlich vor, dass auch diese einen gewissen Sicherheitsstandard erfüllen müssen. Zwar sieht der Artikel 30 des aktuellen dritten Referentenentwurfs des NIS2UmsuCG vor, dass branchenspezifische Sicherheitsvorgaben zulässig sind, diese aber die Anforderungen der NIS-2 nicht unterschreiten darf. Insofern bildet die EU-Verordnung nur einen Mindeststandard, von dem Branchen allenfalls nach oben abweichen dürfen.

Es ist nicht zu erwarten, dass sich bis zum Stichtag des 17. Oktober 2024 hier noch Änderungen ergeben. Alle inhaltlichen Entscheidungen der NIS-2 dürfen derzeit als getroffen betrachtet werden. Sollte ein Unternehmen der Gesundheitsbranche bereits über eine Zertifizierung nach ISO 27001 verfügen, dürfen diese ein wenig aufatmen – deren Lastenhefte sind deutlich überschaubarer als für Unternehmen, die noch keine Schritte in Richtung Compliance eingeleitet haben. Um diese Vorgaben zu erfüllen, sollten betroffene Organisationen zeitnah die folgenden acht Maßnahmen auf den Weg bringen.

Enterprise-Mobility-Management

Optimale Verwaltung und Sicherheit von Geräten im Gesundheitswesen

1. Eine Projektgruppe bilden

Um alle Verantwortlichen miteinander zu vernetzen, braucht es ein NIS-2-Projekt und eine entsprechende Projektgruppe. Teilnehmende Personen sind die Geschäftsleitung, die IT-Verantwortlichen sowie der IT-Sicherheitsverantwortliche und alle Stakeholder, die in dem Kontext relevant sind. Das sollte besser heute als morgen passieren. Um ein gemeinsames Grundverständnis für IT-Sicherheit zu schaffen, sollte diese Gruppe ein Cybersicherheitstraining absolvieren. Ohne dieses Wissen kann die Projektgruppe ihre Aufgabe nicht erfüllen. Wer dieses Grundverständnis bereits hat, kann direkt zu Schritt zwei übergehen.

2. Organisatorische Maßnahmen

Für die Vorgaben der NIS-2-Direktive und deren Umsetzung sind Führungsstäbe persönlich haftbar. Verzichtsvereinbarungen sind laut dem aktuellen Entwurf des NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmuCG: die nationale Gesetzgebung zur EU-Direktive) unwirksam. Das Gesetz nimmt Vorstände und Geschäftsführende in die Pflicht, sich persönlich um das Thema IT-Sicherheit zu kümmern. Auch eine Delegierung innerhalb des Vorstandes ist nicht vollständig möglich. Es gilt also: Mitgefangen, mitgehangen.

3. Ein Informationssicherheits-Managementsystem (ISMS) einführen

Die NIS-2-Umsetzung erfordert ein eigenes ISMS-Projekt. Damit können Verantwortliche einerseits die internen IT-Strukturen in ihrer Organisation dokumentieren und andererseits den Bedarf für zusätzliche Anschaffungen und Dienstleistungen im NIS-2-Kontext ermitteln. Allerdings werden viele Kliniken und Praxen auf externe Beratungen zurückgreifen müssen. Dafür erhält die Projektgruppe im Gegenzug eine fundierte Analyse sowie Klarheit darüber, was zu tun ist.

4. Lieferketten überprüfen

NIS-2 schreibt betroffenen Unternehmen vor, die eigene Lieferkette abzusichern. Dabei ist Folgendes zu beachten: Die Sicherheit der Lieferkette gilt nicht nur für Waren, die per Spedition oder Paketdienst geliefert werden. Auch Software für medizinische Anwendungen oder die Patientenverwaltung zählt dazu. Also müssen Verantwortliche im ersten Schritt die in Bezug auf IT-Sicherheit relevanten Lieferanten identifizieren und die eingesetzten Produkte und Dienstleistungen überprüfen. Der Einkauf ist dabei ein wichtiger Ansprechpartner, denn diese Abteilung wickelt schließlich die Rechnungen für alle Lieferungen ab. Die Basis der Lieferanten dient als Grundlage zur Absicherung der Lieferkette. Hier bieten Zertifikate der Lieferanten eine Option unter mehreren, die gegebenenfalls bestehende branchenspezifische Anforderungen ergänzen. Allerdings müssen Verantwortliche diesen Status immer wieder prüfen. Das ist keine einmalige Sache.

Übrigens: Auch quelloffene Software und Programmbibliotheken anderer Hersteller fallen potenziell unter diese Regelungen; dies kann für Produzenten medizinischer Geräte relevant sein.

Auf der nächsten Seite: Zertifizierungen, Meldeprozesse und Vorbereitungen.

(ID:50065133)