Gemäß der europäischen NIS-2-Richtlinie müssen viele Krankenhäuser ihr IT-Sicherheitsniveau erhöhen. Auch wenn aktuell das Gesetzgebungsverfahren noch läuft, besteht in vielen Kliniken Handlungsbedarf. Diese acht Maßnahmen sollten Verantwortliche jetzt ergreifen, um die enge Frist einzuhalten. 

Krankenhäuser sind für Cyberkriminelle ein attraktives Ziel, wie zahlreiche erfolgreiche Attacken in den vergangenen Jahren immer wieder gezeigt haben. Zuletzt traf es etwa das Dreifaltigkeits-Hospital in Lippstadt. Allein unter dem Aspekt der Verfügbarkeit von IT-Systemen kommt IT-Sicherheit eine zentrale Rolle zu. Vor diesem Hintergrund hat der Gesetzgeber schon frühzeitig mit dem KRITIS-Gesetz sowie der KRITIS-Verordnung entsprechende Regeln erlassen, um das Niveau der unter anderem in der IT-Sicherheit des Gesundheitssektors zu steigern. Mit der neuen NIS-2-Direktive geht es einen Schritt weiter, denn die Regelung weitet den Anwendungsbereich deutlich aus. Viele Organisationen mit kleinen IT-Abteilungen stehen jetzt vor einem zeitlichen und organisatorischen Kraftakt. Diese acht Maßnahmen sollten Verantwortliche jetzt auf den Weg bringen, um NIS-2-konform zu werden. 

1. Projektgruppe gründen

Am Anfang steht die Bildung einer NIS-2-Projektgruppe. Teilnehmende Personen sind die Geschäftsleitung, der IT-Verantwortliche sowie der IT-Sicherheitsverantwortliche und alle Akteure, die in dem Kontext relevant sind. Das sollte besser heute als morgen passieren. Diese Projektgruppe sollte mit einem Cybersicherheitstraining starten, damit die alle ein gemeinsames Grundverständnis für IT-Sicherheit erlangen.
 

2. Organisatorische Maßnahmen

NIS-2 verpflichtet Vorstände und Geschäftsführende, sich höchstselbst um das Thema IT-Sicherheit zu kümmern und sich entsprechend - auch im Rahmen passender Schulungen – kundig zu machen. Für die Anforderungen sind Führungsstäbe persönlich haftbar. Verzichtsvereinbarungen sind übrigens dem aktuellen Entwurf des NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmuCG; die nationale Gesetzgebung zur EU-Direktive) unwirksam.
 

3. Einführung eines Informationssicherheits-Managementsystem (ISMS)

Innerhalb des NIS-2-Projektes ist ein eigenes ISMS-Projekt erforderlich. Denn es braucht sowohl eine Dokumentation der internen IT-Strukturen im Klinikum als auch eine Bedarfsermittlung für zusätzliche Anschaffungen und Dienstleistungen im NIS-2-Kontext. Vieles orientiert sich an der ISO-Norm 27001. Viele Krankenhäuser werden dabei externe Beratungsdienstleistungen hinzuziehen müssen, da viele der Vorgaben sich mit eigenen personellen Mitteln kaum werden stemmen lassen. Das gilt umso mehr, als dass die entsprechende Expertise oft gar nicht hausintern vorhanden ist.
 

4. Lieferketten überprüfen

Zur Lieferkette gehören nicht nur Waren, die per Spedition oder Paketdienst geliefert werden. Um diese abzusichern, müssen Verantwortliche alle in Bezug auf IT-Sicherheit relevanten Lieferanten kennen und die eingesetzten Produkte und Dienstleistungen dahingehend prüfen. Die Sicherheit gilt also auch für Software für medizinische Anwendungen oder die Patientenverwaltung. Dazu müssen sich also Verantwortliche einen Überblick über die Lieferkette verschaffen. Der Einkauf kann dabei unterstützen, denn hier werden schließlich die Rechnungen für alle Lieferungen abgewickelt. Diese Übersicht dient als Grundlage zur Absicherung der Lieferkette. Hier bieten Zertifikate der Lieferanten eine Option unter mehreren, die gegebenenfalls bestehende branchenspezifische Anforderungen ergänzen. Allerdings müssen Verantwortliche diesen Status immer wieder prüfen. Das ist keine einmalige Sache.
 

5. Cybersicherheits-Zertifizierungen

Für Klinken ist dieses Thema unter dem Käufer-Aspekt zu betrachten. Es sind künftig Vorgaben denkbar, dass Krankenhäuser nur zertifizierte Produkte beschaffen dürfen. Der Haken an der Sache: Aktuell fehlen die entsprechenden Rechtsverordnungen, sodass noch unklar ist, welche Produkte betroffen sein werden und wie sich neue Regelungen in bestehende Regularien einbetten. Als Käufer von zertifizierten Produkten sollten sich Kliniken aber schon jetzt auf steigende Kosten einstellen, denn die Verkäufer werden die Ausgaben für die Zertifizierung an ihre Kunden weitergeben. Hier ist noch am ehesten mit einer “Gnadenfrist” zu rechnen, da eine Lieferkette sich im Ernstfall nicht über Nacht umstellen lässt.
 

6. Meldeprozesse definieren

Laut EU-Verordnung muss eine Klinik innerhalb von 24 Stunden nach Bekanntwerden die zuständige Meldestelle über einen möglichen Cybersicherheitsvorfall informieren. Binnen 72 Stunden muss bereits zumindest eine Bewertung des Vorfalls abgegeben werden. Nach einem Monat verlangt die Direktive einen umfassenden Abschluss- oder zumindest einen Zwischenbericht. Hier sollten Verantwortliche das Gespräch mit dem Datenschutzbeauftragten über deren Meldeprozess suchen. Das ist ein ideales Best-Practice-Beispiel, an dem sich die Projektgruppe orientieren kann.
 

7. Vorbereitung auf regelmäßigen Austausch

Als nächstes sieht NIS-2 ein Austauschformat vor. Dabei handelt es sich konkret um eine Plattform, auf der sich alle betroffenen Unternehmen rund um Cybersicherheit austauschen können. Organisator ist das Bundesamt für Sicherheit in der Informationstechnik. Betroffene Kliniken müssen Personen festlegen, die an dem Format teilnehmen, um eigene Erfahrungen zu teilen und Informationen aus diesem Kreis weiterzugeben. Welche Form dieser Informationsaustausch annehmen wird, ist noch nicht abschließend geklärt. Je nach Lesart sind Treffen zwischen Unternehmensvertretungen denkbar, aber auch das Teilen von Threat Intelligence.
 

8. Registrierung beim BSI

Ob am Anfang oder Ende: Die Organisation muss sich beim BSI als wichtiger oder wesentlicher Betrieb registrieren. Die dafür erforderlichen Daten lassen sich in den meisten Krankenhäusern schnell zusammentragen. Entscheidend ist dabei auch der Schritt vor der Meldung: nämlich die Einschätzung, ob ein Krankenhaus der NIS-2 überhaupt unterliegt. Allerdings muss das BSI zunächst die personellen und organisatorischen Grundlagen für die Meldestelle schaffen.

Zeit zum Handeln

Auch wenn viele Fragen zu NIS-2 noch nicht beantwortet sind, tun betroffene Krankenhäuser gut daran, sich besser heute als morgen mit den Vorgaben auseinandersetzen. Denn das Umsetzen der zahlreichen Maßnahmen verlangt einen langen Atem.

Quelle: G DATA CyberDefense AG