Lieferantenverträge nach NIS2: die fünf Klauseln, die fehlen

Mitte April 2026 wurde ein Dienstleister angegriffen, über den zahlreiche Kliniken in Deutschland ihre privat- und wahlärztlichen Leistungen abrechnen. An einem einzigen Haus waren rund 30.000 Patientinnen und Patienten betroffen. Die klinischen Systeme dieser Häuser waren zu keinem Zeitpunkt beteiligt. Die Firewall hat gehalten. Die Daten lagen nur eben nicht dahinter.

Was der Fall zeigt

Drei Einzelheiten aus den öffentlichen Mitteilungen der betroffenen Häuser sind lehrreicher als die Schlagzeile.

Das Haus mit den rund 30.000 Betroffenen stoppte nach Bekanntwerden die Datenübertragung an den Dienstleister. Richtig so. Nur heißt das auch: Solange die Verbindung gekappt ist, braucht die Abrechnung einen anderen Weg.

Ein anderes Haus war betroffen, obwohl es gar nicht mehr Kunde war. Die Zusammenarbeit hatte 2024 geendet. Die Daten aus dieser Zeit lagen trotzdem noch beim Dienstleister.

Dasselbe Haus schrieb in seiner Mitteilung, gut fünf Wochen nach dem Angriff, der Dienstleister habe es „am heutigen Tag“ über die Zahl der Betroffenen informiert, und die Anfrage nach Umfang und Art der Daten sei „noch nicht abschließend beantwortet“. Wann genau die Häuser vom Angriff erfahren hatten, geht aus den Mitteilungen nicht hervor.

Keiner dieser drei Punkte ist ein Versäumnis der IT. Alle drei entscheiden sich im Vertrag.

Lieferkette ist ein Pflichtbereich

§ 30 Abs. 2 Nr. 4 BSIG zählt die „Sicherheit der Lieferkette einschließlich sicherheitsbezogener Aspekte der Beziehungen zu unmittelbaren Anbietern oder Diensteanbietern“ zu den Mindestmaßnahmen. Die Verantwortung bleibt beim Haus, auch wenn der Dienst ausgelagert ist, und die Einhaltung ist nach § 30 Abs. 1 zu dokumentieren.

Wie man überhaupt erst herausfindet, welche Dienstleister Daten halten, ins Haus hineinkommen oder Daten durchleiten, haben wir in Welcher Dienstleister hält eigentlich Ihre Patientendaten? beschrieben. Dieser Beitrag setzt dort an, wo die Liste fertig ist: bei der Frage, was in den Verträgen stehen muss.

Vieles davon ist aus dem Datenschutz vertraut. Der Auftragsverarbeitungsvertrag nach DSGVO regelt bereits Weisungen, Unterauftragnehmer, Löschung und Kontrollrechte. Nur ist er in der Praxis oft ein Standardanhang, der nicht nachverhandelt wurde, und er gilt nicht für jeden Dienstleister: Wer ein Medizingerät fernwartet oder ein Netz betreut, wird nicht in jedem Fall als Auftragsverarbeiter eingeordnet; wie das im Einzelfall aussieht, klären Sie mit Ihrem Datenschutzbeauftragten. Einen Zugang zu versorgungskritischen Systemen hat er so oder so.

Die fünf Klauseln

Die folgende Auswahl ist nicht abschließend. Es sind die Punkte, an denen sich in einem Vorfall am meisten entscheidet.

1. Meldepflicht des Dienstleisters, mit Frist und Inhalt. Der Dienstleister muss einen Sicherheitsvorfall, der Ihre Daten oder Ihren Dienst betreffen kann, unverzüglich melden, mit einer festen Höchstfrist in Stunden, nicht in Tagen. Die Frist muss zu Ihren eigenen passen: Nach § 32 Abs. 1 Nr. 1 BSIG ist ein erheblicher Sicherheitsvorfall spätestens 24 Stunden nach Kenntniserlangung erstzumelden. Wann ein Vorfall beim Dienstleister für das Haus selbst meldepflichtig wird, ist im Einzelfall zu klären, aber entscheiden kann das Haus es nur, wenn es rechtzeitig davon weiß. Ebenso wichtig wie die Frist ist der Inhalt: welche Daten, wie viele Betroffene, welche Systeme, und Aktualisierungen in festen Abständen, bis der Umfang geklärt ist. Der Fall oben zeigt, wie lange ein Haus sonst auf diese Antworten wartet. Mehr zu den eigenen Fristen in Meldepflicht in 24 Stunden.

2. Zugänge: wer, wie, protokolliert. Für jeden Dienstleister, der in das Haus hineinkommt, regelt der Vertrag den Weg. Zugänge werden nur auf Anforderung geöffnet, nicht dauerhaft. Jede Person des Dienstleisters meldet sich persönlich an, nicht über ein Sammelkonto, und mit einem zweiten Faktor. Das Haus protokolliert, wer wann verbunden war, und der Dienstleister erkennt diese Protokollierung an. Besonders bei der Fernwartung von Medizintechnik ist das der wirksamste Einzelpunkt, siehe Das Medizingerät im Netz. Das Prinzip ist dasselbe wie bei Notfallzugängen im KIS: nicht der Zugang ist das Problem, sondern der Zugang ohne Spur (Break-Glass-Zugänge).

3. Unterauftragnehmer nur mit Zustimmung. Viele Dienstleister arbeiten selbst mit Dienstleistern: Rechenzentrum, Druckdienst, Support aus einer anderen Gesellschaft. Der Vertrag verpflichtet dazu, diese Kette offenzulegen, neue Unterauftragnehmer vorher anzuzeigen, und die eigenen Pflichten aus dem Vertrag an sie weiterzugeben. Sonst endet Ihre Lieferkette dort, wo Ihr Vertrag endet, und das Risiko nicht.

4. Prüf- und Nachweisrechte. Das Haus muss Nachweise verlangen dürfen: Zertifikate mit Geltungsbereich, Prüfberichte, Ergebnisse von Tests, und im Anlassfall eine Auskunft, die nicht auf den nächsten Jahresbericht wartet. Ein Zertifikat allein reicht dabei selten; entscheidend ist, ob der Geltungsbereich den Dienst umfasst, den Sie beziehen. Ob zusätzlich ein Prüfrecht vor Ort vereinbart wird, hängt davon ab, wie kritisch der Dienst für die Versorgung ist.

5. Ausstieg: Daten zurück, Daten gelöscht, Zugänge zu. Am Vertragsende gibt der Dienstleister die Daten in einem nutzbaren Format zurück, löscht sie danach und bestätigt die Löschung schriftlich. Alle Zugänge in das Haus werden geschlossen, Konten entfernt, Schlüssel und Zertifikate widerrufen. Wie lange der Dienstleister Daten aus gesetzlichen Gründen aufbewahren muss, wird ausdrücklich benannt, statt stillschweigend „alles“ zu behalten. Der Fall vom Frühjahr zeigt, warum diese Klausel keine Formsache ist: Lange nach Vertragsende lagen dort noch Patientendaten eines früheren Kunden.

Was noch dazugehört, ohne eigene Klausel

Zwei Dinge gehören nicht zwingend in den Vertrag, aber in die Planung. Erstens der Weiterbetrieb: Was tut das Haus, wenn es die Verbindung zu einem Dienstleister kappen muss, so wie im Fall oben? Für die Abrechnung ist das unangenehm, für einen Laborverbund oder ein Cloud-PACS ist es eine Frage der Versorgung. Der Ersatzweg gehört in den Notfallplan, siehe BCM im Krankenhaus nach BSI 200-4.

Zweitens eine benannte Ansprechperson auf beiden Seiten, die im Vorfall erreichbar ist. Eine Hotline mit Bürozeiten ist kein Meldeweg.

Bestandsverträge: nicht alle auf einmal

Kein Haus verhandelt seine gesamte Lieferkette in einem Quartal neu, und das ist auch nicht nötig. Die Reihenfolge ergibt sich aus der Liste:

Zuerst die Dienstleister, die Patientendaten bei sich halten: Abrechnung, Archiv, Cloud-Dienste, Labor. Dort ist der mögliche Schaden am größten, und genau dort lag er im Fall vom Frühjahr. Danach die Dienstleister mit Zugang ins Haus, allen voran die Fernwartung. Zuletzt die, die Daten nur durchleiten.

Oft lässt sich das über eine Ergänzungsvereinbarung lösen, die man bei der nächsten Verlängerung oder Vertragsanpassung mitverhandelt. Und bei jeder neuen Beschaffung gehören die fünf Punkte von Anfang an ins Leistungsverzeichnis. Hier zahlt es sich aus, wenn der Informationssicherheitsbeauftragte an Beschaffungen beteiligt ist, siehe Der externe ISB: wann er sich rechnet und wann nicht.

Und auch ehemalige Dienstleister gehören auf die Liste. Die Frage ist einfach: Haben wir die Löschung bestätigt bekommen?

Womit Sie diese Woche anfangen können

Nehmen Sie die Dienstleisterliste aus dem Beitrag Welcher Dienstleister hält eigentlich Ihre Patientendaten? und ergänzen Sie fünf Spalten, eine je Klausel: Meldepflicht mit Frist? · Zugang auf Anforderung und persönlich? · Unterauftragnehmer geregelt? · Nachweisrecht? · Ausstieg geregelt? Jeweils ja, nein oder unklar.

Beginnen Sie mit den fünf Dienstleistern, die die meisten Patientendaten halten, und fügen Sie eine sechste Zeile hinzu: der letzte Dienstleister, von dem Sie sich getrennt haben. Die Tabelle zeigt nach einem Nachmittag, wo Sie nachverhandeln müssen, und in welcher Reihenfolge.

Wenn Sie die Klauseln für Ihr Haus formulieren oder einen Bestandsvertrag gegenlesen lassen wollen: Sprechen Sie uns an.