Keine Panik: NIS2 im Gesundheitssektor

 

Bei der aktuellen Reform- und Regulierungsflut im Gesundheitswesen, ist es für die Verantwortlichen schwer, den Überblick zu behalten. Und gerade die NIS2-Direktive der EU sorgt derzeit für viele Fragezeichen. Lukas Bosch Senior OT Security Consultant bei Thales Deutschland, nimmt den Vorgaben ihren Schrecken und zeigt Schritt für Schritt auf, was nun zu tun ist.

 

„DIE UHR TICKT!“, „NIS2 – Sie sind betroffen!“, „Sind Sie vorbereitet?“ Kennen Sie diese oder ähnliche Betreffzeilen? Seit am 16. Januar 2023 die NIS2-Direktive der EU erlassen wurde, häufen sich solche Werbeemails in den Postfächern all jener, die „IT“ in ihrer Berufsbezeichnung stehen haben. Doch ist diese Panikmache wirklich angebracht?

Außer Frage steht: Die NIS2-Direktive schlug ein wie eine Bombe. Unzählige Betriebe sind direkt oder indirekt (als Zulieferer) betroffen und müssen jetzt Maßnahmen der Informationssicherheit umsetzen sowie Registrierungs- und Meldepflichten erfüllen. Geschäftsführungen können plötzlich haftbar gemacht werden und müssen sich zum Thema Cybersecurity fortbilden. Wo bisher bei KRITIS-Betreibern „wesentliche“ IT-Systeme gegen Angriffe geschützt sein mussten, müssen nun alle Systeme des jeweiligen Betriebes geschützt sein.

Auch der Gesundheitssektor ist betroffen. Laut einer Schätzung der Deutschen Krankenhausgesellschaft von 2019 sind allein rund 150 Krankenhäuser Betreiber kritischer Infrastruktur (KRITIS). Hinzu kommen Betriebe aus anderen Bereichen wie Apotheken und Labore sowie wichtige und besonders wichtige Einrichtungen.

Wer ist denn jetzt eigentlich betroffen?

Welche Betriebe konkret betroffen sind, ist anhand von bestimmten Kennzahlen wie Umsatz, Versorgung und Anzahl der Mitarbeiter festgeschrieben. Dabei wird zwischen drei Gruppen unterschieden: wichtige und besonders wichtige Einrichtungen, sowie Betreiber kritischer Anlagen. Im Gesundheitssektor sind die Schwellenwerte für KRITIS-Betreiber etwa durch vollstationäre Fallzahlen in Krankenhäusern oder abgegebene Packungen von Apotheken definiert.

Um für den eigenen Betrieb festzustellen, ob man betroffen ist, lohnt es sich, einen Blick auf die offizielle Seite des BSI und ihre Betroffenheitsprüfung oder die Zusammenstellungen von OpenKRITIS zu werfen.

Letztlich ist fast jeder Betrieb in irgendeiner Form von der NIS2-Direktive betroffen – entweder direkt mit Überschreiten der jeweiligen Schwellenwerte oder indirekt als Zulieferer.

Was jetzt zu tun ist

Gerade in einem so sensiblen Bereich wie dem Gesundheitssektor ist es wichtig, jetzt schon aktiv zu werden und nicht erst auf das Inkrafttreten des Umsetzungsgesetzes in Deutschland zu warten, das voraussichtlich im März 2025 kommen soll. Denn mit der verabschiedeten EU-Direktive und den öffentlich zugänglichen Vorabversionen des Umsetzungsgesetztes kann man sich schon jetzt gut auf die notwendigen Maßnahmen vorbereiten.

Falls noch nicht geschehen, sollte der erste Schritt für jedes Unternehmen darin bestehen, zu prüfen, ob man über den entsprechenden Schwellenwerten für (besonders) wichtige oder gar kritische Betriebe liegt.

Anschließend müssen die für die jeweilige Einstufung vorgeschriebenen Maßnahmen umgesetzt werden. Diese umfassen – neben regulatorischen Themen wie Registrierungs-, Nachweis-, und Meldepflichten oder einer Haftung für Geschäftsführer – auch technische und organisatorische Maßnahmen zur Erhöhung der Informationssicherheit:

• Klare Verantwortlichkeiten

Es müssen klare Zuständigkeiten für die verschiedenen Themen der Informationssicherheit und des Risikomanagements definiert und in einem ISMS (Information Security Management System), beziehungsweise BCMS (Business Continuity Management System) dokumentiert werden. Die jeweiligen Verantwortlichen müssen für ihren Bereich geschult werden.

• Bestandsaufnahme

Neben der Aufnahme der eingesetzten Geräte (Asset Management) ist es wichtig, bereits implementierte Sicherheitsmaßnahmen auf ihre Wirksamkeit zu testen und das gesamte Netzwerk auf potenzielle Schwachstellen zu überprüfen. Hierbei helfen zum Beispiel Penetration Tests oder Operational Technology Security Assessments. Die hier festgestellten Schwachstellen und Mängel müssen entsprechend behoben werden.

• Technische Maßnahmen

Neben der Stärkung der einzelnen Systeme sind auch Maßnahmen empfohlen, die das Netzwerk als Ganzes schützen. Dazu gehören Konzepte, wie Zero Trust, Netzwerk Segmentierung und ähnliches In dem vorläufigen Gesetzestext steht die Verpflichtung, Maßnahmen „nach dem Stand der Technik“ umzusetzen. Was Stand der Technik ist, wird beispielsweise vom Bundesverband IT Sicherheit (TeleTrusT) ermittelt.

• Angriffserkennung

Systeme zur Angriffserkennung (SIEM, IDS) sind vor allem für Betreiber kritischer Anlagen vorgeschrieben. Es ist aber allgemein empfehlenswert, ein Incident Management aufzusetzen, dass neben der (rechtzeitigen) Angriffserkennung auch Pläne für verschiedene Vorfälle bereithält, die den Betriebsablauf stören können.

Generell gesprochen sind Betriebe, die unter NIS2 fallen, dazu verpflichtet, angemessene technische und organisatorische Maßnahmen zu treffen, um die Vertraulichkeit, Verfügbarkeit und Integrität (Englisch: Confidentiality, Availability, Integrity; C-I-A) ihrer Daten zu schützen. Das beinhaltet nicht nur die Abwehr von Cyberangriffen, sondern auch Maßnahmen, die die allgemeine Resilienz erhöhen, wie beispielsweise gegen Umwelteinflüsse, Naturkatastrophen oder technische Ausfälle wie den Crowdstrike-Vorfall im Juli dieses Jahrs.

Bei diesen Schritten können externe Dienstleister, beratend zur Seite stehen. Bei Überprüfungen, wie Penetration Tests oder Security Assessments, ist es sogar ratsam, diese von einem unabhängigen Dritten durchführen zu lassen.

Was bedeutet das für mich?

Wenn ein Betrieb über den entsprechenden Schwellenwerten der NIS2-Direktive liegen, sollten die Verantwortlichen jetzt dringend einen Plan entwickeln, wie die entsprechenden Anforderungen umgesetzt werden sollen. Die Geschäftsführung muss zwingend in diesen Plan involviert sein und die jeweiligen Vorkehrungen zur Umsetzung zeitnah getroffen werden. Die meisten organisatorischen und technischen Maßnahmen können tatsächlich auch bereits jetzt umgesetzt werden.

Die gute Nachricht ist: Gerade im Gesundheitssektor gibt es bereits einige Gesetze und Regulierungen zur Informationssicherheit, wie das Krankenhauszukunftsgesetz, die Paragrafen 390 bis 392 des Sozialgesetzbuches 5 oder die branchenspezifischen Sicherheitsstandards (B3S) im Sektor Gesundheit. Wer diese schon erfüllt, hat, was die technischen und organisatorischen Maßnahmen angeht, wenig zu befürchten, da die Forderungen durch NIS2 je nach Stufe nicht wesentlich darüber hinaus gehen. Eine genaue Analyse von SOLL und IST darf natürlich trotzdem nicht fehlen. Und noch einmal der Hinweis zum Thema kritischer Infrastruktur: Wer bisher schon als KRITIS-Betreiber galt, darf sich trotzdem nicht darauf ausruhen: Die Forderungen, die bisher für kritische Systeme galten, gelten jetzt für den gesamten Betrieb.

Und falls eine Einrichtung auch nach sorgsamer Analyse nicht von den NIS2-Vorgaben betroffen ist: Unsere Empfehlung lautet, die aufgeführten technischen und organisatorischen Maßnahmen dennoch unbedingt umzusetzen. Denn unabhängig von allen Gesetzen bleibt letztlich nämlich die Verantwortung, seinen Kunden, Partnern und vor allem Patienten gegenüber, den Betrieb sicher und am Laufen zu halten. Durch die hier wegfallenden regulatorischen NIS2-Vorschriften ist der Aufwand auch geringer, da beispielsweise keine Nachweise erbracht werden müssen.

 

Lukas Bosch ist Senior OT Security Consultant bei Thales Deutschland. Er leitet die Projekte zum Thema OT (Operational Technology) Security in Deutschland und führt mit seinem Team Security Assessments und Beratungsprojekte bei Kunden in der ganzen Welt durch. Dabei bekommt er Einblicke in viele verschiedene Branchen und ihre jeweiligen Sicherheitsanforderungen und Konzepte. Durch die sonstigen Tätigkeiten des Konzerns stehen bei ihm und seinem Team insbesondere auch kritische Infrastrukturen im Fokus. Er hat einen Abschluss als Bachelor of Engineering im Bereich Elektrotechnik von der Dualen Hochschule Stuttgart.