Sichere Beschaffung im Krankenhaus

Beschaffung ist im Krankenhaus keine nachgelagerte Verwaltungsaufgabe. Mit jeder Entscheidung für ein vernetztes Medizinprodukt, ein klinisches Informationssystem, einen Cloud-Dienst oder eine externe Wartungsleistung entstehen technische und organisatorische Abhängigkeiten, die Patientensicherheit und klinische Verfügbarkeit berühren können. Cybersecurity muss deshalb vom Bedarf bis zur Außerbetriebnahme als Beschaffungskriterium geführt werden.

Dies geht über die generische vertragliche Steuerung eines IT-Dienstleisters hinaus. Bei IoMT- und Medizintechnik stehen zusätzlich sichere Integration, kontrollierbare Fernwartung, validierbare Updates, Kompatibilität mit der Betriebsumgebung und klinische Alternativverfahren im Mittelpunkt. Die aktualisierten ENISA-Leitlinien strukturieren diesen Prozess entlang der Phasen Plan, Source und Manage und beziehen Medizinprodukte, Remote-Care-Systeme, klinische Systeme sowie Cloud- und Managed Services ein.

Regulatorischen Rahmen sauber einordnen

Für deutsche besonders wichtige und wichtige Einrichtungen verlangt § 30 BSIG dokumentierte, angemessene und wirksame Risikomanagementmaßnahmen. Der Mindestkatalog umfasst unter anderem die Bewältigung von Sicherheitsvorfällen, Business Continuity, Lieferkettensicherheit einschließlich direkter Anbieter und Diensteanbieter sowie Sicherheitsmaßnahmen bei Erwerb, Entwicklung und Wartung. Letztere schließen Schwachstellenmanagement und Schwachstellenoffenlegung ausdrücklich ein. Ob ein einzelnes Krankenhaus in den Anwendungsbereich fällt, hängt von gesetzlichen Schwellenwerten, der Einordnung der Einrichtung und gegebenenfalls von der Rolle als Betreiber kritischer Anlagen ab.

Für Medizinprodukte und IVD gelten daneben die jeweiligen produktrechtlichen Anforderungen. Die MDR verpflichtet Hersteller programmierbarer elektronischer Systeme oder Software zu Entwicklung und Herstellung nach dem Stand der Technik, unter Berücksichtigung von Entwicklungslebenszyklus, Risikomanagement, Informationssicherheit sowie Verifizierung und Validierung. Hersteller müssen zudem Mindestanforderungen an Hardware, IT-Netze und IT-Sicherheitsmaßnahmen einschließlich Schutz vor unbefugtem Zugriff festlegen. Diese Herstellerpflichten entbinden Betreiber jedoch nicht davon, die sichere Integration und den sicheren Betrieb im eigenen Haus zu organisieren.

Die ENISA-Beschaffungsleitlinien und die MDCG-Leitlinie sind keine eigenständigen verbindlichen Rechtsnormen. Sie bieten aber eine fachlich konkrete Orientierung für Beschaffungsanforderungen. Der EU-Aktionsplan für Krankenhäuser und Gesundheitsdienstleister ist ebenfalls kein zusätzliches unmittelbar geltendes Beschaffungsrecht. Er bündelt Unterstützungs-, Frühwarn-, Reaktions- und Resilienzmaßnahmen. Der Cyber Resilience Act ist für digitale Produkte außerhalb seiner Ausnahmen ein relevanter Beschaffungskontext; Produkte, auf die MDR oder IVDR Anwendung finden, sind jedoch aus seinem unmittelbaren Anwendungsbereich ausgenommen.

Vor der Ausschreibung: Kritikalität und Betriebsmodell bestimmen

Eine belastbare Ausschreibung beginnt nicht mit einer Liste allgemeiner Zertifikatsanforderungen, sondern mit einer nachvollziehbaren Risiko- und Kritikalitätsbewertung. Zu klären sind insbesondere klinische Funktion, Patientennähe, Datenflüsse, Netzabhängigkeiten, Schnittstellen zu Altsystemen, Cloud-Anteile, Fernwartungsbedarf und die Folgen eines Ausfalls. Ebenso wichtig sind Ersatzgerät, manuelle Alternativprozesse, Wiederanlaufreihenfolge und Kommunikationswege zum Hersteller oder Wartungspartner.

Aus dieser Bewertung sollten differenzierte Beschaffungsanforderungen folgen. Ein patientennahes, vernetztes Medizinprodukt benötigt andere Nachweise und Betriebsfreigaben als ein Standard-Softwaredienst. Auch ein klinisches Kernsystem, ein Managed Service und ein Cloud-Angebot unterscheiden sich hinsichtlich Datenhaltung, Administrationszugriffen, Unterauftragnehmern und Exit-Anforderungen. Ein gemeinsames Freigabemodell von Medizintechnik, IT, Informationssicherheit, Einkauf, Klinikbetrieb, Datenschutz und gegebenenfalls BCM verhindert, dass Beschaffung, Netzfreigabe und Notfallbetrieb isoliert entschieden werden.

Auswahlentscheidung: Sicherheitsnachweise müssen betriebsfähig sein

ENISA empfiehlt vor jeder Beschaffung eine Risikoanalyse und die explizite Bewertung von Lieferketten- und Drittparteirisiken. Bei Lieferanten vernetzter Medizinprodukte und Remote-Care-Systeme können ein zertifizierter oder unabhängig bewerteter Sicherheitsstatus, Sicherheitspraktiken, Incident-Historie und bei kritischen Beschaffungen eine gesonderte Lieferantenrisikobewertung berücksichtigt werden. Entscheidend ist jedoch nicht allein das Vorliegen eines Nachweises, sondern dessen Aussagewert für das konkrete Einsatzszenario.

Für Medizinprodukte empfiehlt ENISA, regulatorische und sicherheitsbezogene Anforderungen bereits in Ausschreibungen zu benennen, MDS2-Sicherheitsinformationen anzufordern und Nachweise zu MDR, einschlägigen Leitlinien, Standards oder Zertifizierungen zu prüfen. MDS2 kann als standardisiertes Sicherheitsprofil die Risikobewertung durch Gesundheitseinrichtungen unterstützen. Ergänzend sind Informationen zu Sicherheitskontrollen, Benutzerrollen, Logging, Netzwerkdatenströmen, Konfigurationsvorgaben, Cloud-Datenhaltung und Sicherheitsmaßnahmen der Betriebsumgebung relevant.

Die MDCG-Leitlinie nennt außerdem Informationen zur Integrität und Validierung von Updates und Patches sowie zur Software Bill of Materials (SBOM), soweit verfügbar. Solche Unterlagen schaffen keine automatische Freigabe. Sie ermöglichen aber, Integrationsannahmen zu prüfen, Risiken nachvollziehbar zu dokumentieren und Verantwortlichkeiten für den Betrieb festzulegen.

Vertrag und SLA: Sicherheitsleistungen konkret steuerbar machen

Der Vertrag muss die im Auswahlprozess geprüften Sicherheitszusagen in überprüfbare Betriebsleistungen überführen. ENISA empfiehlt Klauseln zur zeitnahen Meldung und Behebung von Schwachstellen, zur Entgegennahme von Vulnerability Reports und zur Bereitstellung von Fixes ohne unangemessene Verzögerung. Sicherheits- und Verfügbarkeitsmetriken, Wartungs- und Incident-Notification-Klauseln sowie eindeutige Verfahren für Sicherheitsmeldungen sollten Bestandteil von Vertrag und SLA sein.

In der Praxis sollten risikobasierte Verfahren vereinbart werden: Wer bewertet eine Schwachstelle? Welche Informationen liefert der Hersteller zur Betroffenheit? Wie werden Workarounds, getestete Patches, Change-Freigaben und Kompatibilitätsprüfungen organisiert? Welche Unterstützung ist bei forensischen Untersuchungen verfügbar? Dies ist besonders wichtig, weil das BSIG für erhebliche Sicherheitsvorfälle grundsätzlich eine Erstmeldung innerhalb von 24 Stunden und eine Meldung mit erster Bewertung innerhalb von 72 Stunden nach Kenntniserlangung vorsieht. Lieferanten müssen daher Informationen so bereitstellen können, dass das Krankenhaus seine eigene Lagebewertung und gegebenenfalls Meldeprozesse durchführen kann.

Nicht oder nur eingeschränkt patchbare Geräte sollten nicht pauschal akzeptiert werden. Vor der Beschaffung sind Supportende, Patchfähigkeit, Testmöglichkeiten und Kompatibilitätsabhängigkeiten zu bewerten. Bleibt ein Risiko bestehen, sollten dokumentierte kompensierende Kontrollen vorgesehen werden, etwa Netzsegmentierung, restriktive Kommunikationsregeln, Monitoring oder alternative Betriebsverfahren. Auch Nachunternehmer, Exit- und Deinstallationsanforderungen sowie sichere Datenlöschung gehören in die Beschaffungsakte und den Vertrag.

Fernwartung als kontrollierten Hochrisikoprozess gestalten

Fernwartung kann den klinischen Betrieb unterstützen, erweitert aber die Angriffsfläche. Für Medizinprodukte empfiehlt ENISA vorab genehmigte Zugriffe, die auf das konkret betreute Gerät oder Modul beschränkt sind. Hinzu kommen Multi-Faktor-Authentisierung, verschlüsselte Verbindungen, Protokollierung sowie einmalige und zeitlich begrenzte Sitzungen statt dauerhafter Konten. Nicht regelmäßig benötigte Fernzugänge sollten deaktiviert bleiben.

Organisatorisch braucht dies einen Genehmigungsworkflow mit eindeutigen Verantwortlichkeiten und einen dokumentierten Notfallzugang. Wartungssitzungen müssen mit Gerät, Zweck, Zeitpunkt und durchgeführten Änderungen nachvollziehbar sein. Vor allem bei Patches ist die Betriebsaufgabe geteilt: Die MDCG-Leitlinie beschreibt, dass die Betriebsumgebung Patchen ohne Beeinträchtigung der Interoperabilität ermöglichen soll, während Betreiber Patches für Medizinprodukte und ihre Betriebsumgebung zeitnah und kontrolliert ausbringen sollen.

Vom Vertrag zum evidenzbasierten Betrieb

Mit der Vertragsunterzeichnung endet die Lieferantensteuerung nicht. ENISA empfiehlt, Sicherheitswarnungen der Lieferanten zu überwachen, Patchstände nachzuverfolgen und Wartungsmaßnahmen zu dokumentieren. Ein lieferantenbezogenes Evidenzregister kann Sicherheitsprofile und MDS2-Unterlagen, Konformitäts- und Auditnachweise, SBOM soweit verfügbar, Sicherheitsbulletins, Patchstatus, Wartungsprotokolle, Fernwartungslogs, offene Risiken, Incident-Übungen und End-of-Support-Termine zusammenführen.

Für kritische Systeme sollte zudem geprüft werden, ob der Incident-Response-Plan des Lieferanten mit den eigenen Eskalationswegen und Meldeprozessen zusammenpasst. ENISA empfiehlt bereits in der Auswahlphase, Lieferantenpläne gegen NIS2-Meldezeiten zu bewerten. Regelmäßige Übungen sollten nicht nur technische Wiederherstellung behandeln, sondern auch klinische Ausweichverfahren, Herstellerkommunikation und die Bereitstellung belastbarer Informationen für die eigene Incident-Bewältigung.

Beschaffungs-Checkliste für die Praxis

Plan: Kritikalität, klinische Auswirkungen, Integrationsannahmen, Datenflüsse, Notfallbetrieb und Patchfähigkeit vor der Ausschreibung bewerten.
Source: Sicherheitsprofile, MDS2, relevante regulatorische Nachweise, Supportmodell, Sicherheitspraktiken und Incident-Historie risikobasiert prüfen.
Contract: Sicherheitswarnungen, Schwachstellen-Triage, Fixes, Patch-Tests, Incident-Unterstützung, Fernwartung, Nachunternehmer und Exit nachvollziehbar regeln.
Manage: Sicherheitsbulletins, Patchstatus, Wartungslogs, Fernzugriffe, offene Risiken und Supportenden fortlaufend steuern und belegen.
Resilience: Ersatzverfahren, Wiederanlauf, Failover und Kommunikationswege je kritischem Gerät oder System testen.

Damit wird Beschaffung zu einer wirksamen Cybersecurity-Kontrolle: nicht durch pauschale Selbstauskünfte, sondern durch risikogerechte Anforderungen, überprüfbare Leistungen und eine gemeinsame Verantwortung von Einkauf, Technik, Security und Klinikbetrieb.