Welcher Dienstleister hält eigentlich Ihre Patientendaten?

Fragen Sie in einem Krankenhaus, welche externen Dienstleister heute Zugriff auf Patientendaten haben, bekommen Sie fast immer eine Antwort, die mit den großen Namen beginnt und dann leiser wird.

Der KIS-Hersteller, der Laborverbund, die Abrechnung. Danach wird es unsicher. Genau an dieser Stelle setzt NIS2 an, und genau an dieser Stelle wird eine Prüfung konkret.

Warum die Liste fast nie vollständig ist

Die meisten Dienstleisterbeziehungen im Krankenhaus sind nicht über die IT entstanden. Die Spracherkennung für den Arztbrief hat die Fachabteilung beschafft, das Terminportal die Verwaltung, die Fernwartung des CT kam mit dem Gerät. Jeder Vertrag ist für sich richtig. Nur führt niemand sie zusammen.

Dazu kommen Zugänge, die älter sind als der Vertrag, der sie begründet hat: das Systemhaus, das vor Jahren das WLAN gebaut hat, der frühere Archivdienstleister, ein Testzugang aus einer Ausschreibung. Solche Zugänge fallen nicht auf, weil sie nicht benutzt werden. Für einen Angreifer ist genau das ihr Wert.

Was NIS2 mit „Lieferkette“ meint

§ 30 Absatz 2 Nummer 4 BSIG zählt die Sicherheit der Lieferkette ausdrücklich zu den Mindestmaßnahmen, einschließlich der sicherheitsbezogenen Aspekte der Beziehungen zu unmittelbaren Anbietern und Diensteanbietern. Gemeint sind nicht Lieferanten von Verbrauchsmaterial, sondern alle, deren Leistung oder Zugang die Versorgung berührt. Die Verantwortung bleibt beim Haus, auch wenn der Betrieb ausgelagert ist.

Für Patientendaten gibt es diese Pflicht schon länger, nur unter anderem Namen: Die DSGVO verlangt für jede Verarbeitung im Auftrag einen Vertrag nach Art. 28, und die Schweigepflicht nach § 203 StGB regelt, unter welchen Bedingungen Dienstleister überhaupt mitwirken dürfen. Wer hier sauber ist, hat für NIS2 einen großen Teil schon beisammen. Was fehlt, ist meistens die technische Seite: wer tatsächlich wie hineinkommt.

Die drei Arten von Zugriff, die man auseinanderhalten muss

Nicht jeder Dienstleister hat dieselbe Rolle, und die Maßnahmen unterscheiden sich:

1. Dienstleister, die Daten bei sich halten — Cloud-PACS, externe Abrechnung, Archiv. Hier zählt, wo die Daten liegen, wer dort Zugriff hat und was bei einem Vorfall beim Dienstleister passiert.
2. Dienstleister, die in Ihr Haus hineinkommen — Fernwartung, Support, Administration. Hier zählt, ob der Zugang dauerhaft offen ist oder nur auf Anforderung, und ob protokolliert wird, wer wann verbunden war.
3. Dienstleister, die Daten nur durchleiten — Schnittstellen, Kommunikationsdienste, Portale. Sie werden am häufigsten vergessen, weil sie „nur transportieren“.

Die Liste in vier Spalten

Der Überblick, den eine Prüfung sehen will, ist keine Software und keine Richtlinie. Er ist eine Tabelle:

• Dienstleister und Leistung
• welche Daten, und welche der drei Arten von Zugriff
• welcher Zugang: Weg, Konto, dauerhaft oder auf Anforderung
• wer im Haus verantwortlich ist: eine Person, keine Abteilung

Die erste Fassung entsteht nicht in der IT, sondern im Gespräch mit Einkauf, Medizintechnik und Fachabteilungen. Erfahrungsgemäß ist die Liste danach deutlich länger, als alle erwartet haben. Das ist kein schlechtes Zeichen, sondern der Zweck der Übung.

Was danach in den Vertrag gehört

Aus der Liste ergibt sich, welche Verträge nachgeschärft werden müssen. Es geht selten um neue Verträge, meistens um wenige Punkte in bestehenden: eine Meldepflicht des Dienstleisters bei Sicherheitsvorfällen mit einer Frist, die zu Ihren eigenen Meldefristen passt; ein Recht, Nachweise zu verlangen; die Regel, dass Zugänge nur auf Anforderung geöffnet werden; und was mit Daten und Zugängen am Vertragsende geschieht.

Wichtig für die Reihenfolge: erst die Liste, dann die Verträge. Wer mit den Verträgen beginnt, verhandelt mit den Dienstleistern, die er kennt, und übersieht die, um die es eigentlich geht.

Der Einstieg für diese Woche

Nehmen Sie die Fernwartungszugänge. Sie sind die kleinste Gruppe, am leichtesten zu erheben und in einer Prüfung die häufigste Frage. Eine Liste mit Hersteller, Gerät, Zugangsweg und Ansprechpartner ist in wenigen Tagen fertig. Wer anschließend jeden dieser Zugänge von „dauerhaft offen“ auf „auf Anforderung“ umstellt, hat den größten Teil des Risikos in dieser Gruppe bereits beseitigt.

Danach folgen die Dienstleister, die Daten bei sich halten, und zuletzt die Durchleiter. Nach zwei bis drei Wochen haben Sie eine Übersicht, die es in den meisten Häusern bisher nicht gibt, und die Antwort auf die Frage vom Anfang wird nicht mehr leiser.