Anbieter zum Thema

Governikus GmbH & Co. KG

5. Cybersicherheits-Zertifizierungen

Cybersicherheitszertifikate spielen eine zentrale Rolle bei der Vertrauensbildung gegenüber Kunden und Partnern. Dabei müssen Verantwortliche zunächst klären, ob Cybersicherheits-Zertifizierungen für ihr Unternehmen als Produzent oder Käufer relevant sind. Stellen Unternehmen ein Produkt her, welches sicherheitszertifiziert sein muss oder haben sie künftig die Pflicht, nur noch Produkte zu kaufen, die entsprechend zertifiziert sind? In Zukunft könnten etwa Kliniken dazu verpflichtet werden, ausschließlich zertifizierte Produkte aus einer bestimmten Kategorie zu erwerben. Wer selbst entsprechende Produkte oder Dienstleistungen anbietet, riskiert ohne Zertifizierungen schlimmstenfalls sogar einen Verkaufsstopp, sofern die Kunden zum Erwerb zertifizierter Produkte aufgefordert werden. Der Haken an der Sache: Aktuell fehlen die entsprechenden Rechtsverordnungen, sodass noch unklar ist, welche Produkte betroffen sein werden und wie sich neue Regelungen in bestehende Regularien einbetten. Potenziell davon betroffene Unternehmen müssen aber schon jetzt Schritte prüfen, um eine erforderliche Sicherheitszertifizierung für ihre Produkte zu erhalten. Und als Käufer von Produkten, die demnächst zertifiziert sein müssen, sollten sich Kliniken auf steigende Kosten einstellen. Denn die verkaufenden Unternehmen werden die Ausgaben für die Zertifizierung umlegen und an ihre Kunden weitergeben.

6. Meldeprozesse definieren

Laut EU-Verordnung muss eine Klinik innerhalb von 24 Stunden nach Bekanntwerden die zuständige Meldestelle über einen möglichen Cybersicherheitsvorfall informieren. Binnen 72 Stunden muss bereits eine Bewertung des Vorfalls vorgelegt werden. Nach einem Monat verlangt die Direktive einen umfassenden Abschluss- oder zumindest einen Zwischenbericht. Hier ist ein Gespräch mit dem Datenschutzbeauftragten über deren Meldeprozess empfehlenswert. Das ist ein ideales Best-Practice-Beispiel, an dem sich die Projektgruppe orientieren kann.

7. Vorbereitung auf regelmäßigen Informationsaustausch

NIS-2 sieht zudem einen regelmäßigen Austausch vor. Dabei handelt es sich konkret um eine Plattform, auf der sich alle betroffenen Unternehmen rund um Cybersicherheit austauschen können. Organisiert wird das Ganze vom BSI, dem Bundesamt für Sicherheit in der Informationstechnik. Kliniken und Gesundheitsorganisationen müssen Personen festlegen, die an dem Format teilnehmen, um eigene Erfahrungen zu teilen und Informationen aus diesem Kreis weiterzugeben. Welche Form diese Informationsbewegungen nehmen können, ist noch nicht abschließend geklärt. Je nach Lesart sind Treffen zwischen Unternehmensvertretungen denkbar, aber auch das Teilen von Threat Intelligence.

8. Registrierung beim BSI

Ob am Anfang oder Ende: Die Organisation muss sich beim BSI als wichtiger oder wesentlicher Betrieb registrieren. Die dafür erforderlichen Daten lassen sich in den meisten Unternehmen schnell zusammentragen. Entscheidend ist dabei auch der Schritt vor der Meldung: nämlich die Einschätzung, ob ein Krankenhaus der NIS-2 überhaupt unterliegt. Allerdings muss das BSI zunächst die personellen und organisatorischen Grundlagen für die Meldestelle schaffen.

Zeit zum Handeln

Auch wenn zurzeit noch nicht alle Fragen bei NIS-2 geklärt sind, sollten betroffene Unternehmen im Medizinsektor sich besser heute als morgen mit den Vorgaben auseinandersetzen. Denn das Umsetzen der zahlreichen Maßnahmen ist kein Sprint, sondern ein Langstreckenlauf.

Datenschutz

Vernetzung von Allem mit Allem – ob das NIS-2 konform klappt?

KRITIS-Dachgesetz

Gesetz für besseren Schutz kritischer Infrastruktur nimmt Gestalt an

(ID:50065133)