Anhoren
Teilen
Eine aktuelle Umfrage des IT-Sicherheitsanbieters Eset zeigt: Krankenhäuser stärken die IT-Sicherheit, sind bei der Umsetzung von NIS2-Maßnahmen aber noch zu langsam.
Es sind deutliche Worte, die der IT-Sicherheitsanbieter Eset mit Blick auf seine Umfrageergebnisse findet. Das Bild bei der Umsetzung zu NIS2-Maßnahmen sei bestenfalls durchwachsen. Nur rund 36 Prozent der befragten Krankenhäuser gaben an, in den vergangenen zwölf Monaten gezielt KRITIS- oder NIS2-Anforderungen umgesetzt zu haben. Besonders interessant: Mit nur knapp 30 Prozent Zustimmung liegen Universitätskliniken deutlich hinter Fachkliniken (46 Prozent) und Allgemeinkrankenhäusern (38 Prozent).
Immerhin: Fast 52 Prozent der Befragten führen Notfall- und Ransomware-Übungen durch. 48 Prozent investieren in Schulungen in Awareness-Programme und über 36 Prozent modernisieren ihre Netzwerkarchitektur. Dass IT-Sicherheit wichtig ist und Investitionen nötig sind, kommt als durchaus an, was die Expertinnen und Experten bei Eset auch der europäischen NIS2-Verordnung zuschreiben. Sie wirke als Beschleuniger. Kritisch sei allerdings, dass die Umsetzung noch zu fragmentiert sei und einzelne Projekt keine übergreifende Strategie ersetzen.
Herausforderungen sind unterschiedlich
Und auch für die vergleichsweise wenigen NIS2-Projekte im universitären Umfeld hat das Team von Eset eine Erklärung. Universitätsklinika würden sich offensichtlich eher auf operative Maßnahmen konzentrieren, um bei Angriffen gewappnet zu sein, anstatt Regularien umzusetzen. „Die IT-Landschaften der Universitätsklinika sind hochkomplex, heterogen und nicht zuletzt historisch gewachsen. NIS2-Vorschriften in Forschungsnetzen, internationalen Kooperationen und tausenden vernetzten Medizin- und IoMT-Systemen umzusetzen, erscheint schwieriger als die dringende Stärkung der aktuellen Cyber-Resilienz“, heißt es in der Umfrageauswertung. Und das sei auch verständlich, denn Unikliniken seien besonders attraktive Ziele für Angreifer. Dabei geht es denen nicht nur um sensible Patientendaten, sondern auch um die Ergebnisse medizinischer Forschung, geistiges Eigentum und internationale Sichtbarkeit. NIS2 verschärft für diese Einrichtungen daher nicht nur formale Pflichten, sondern auch die operative Realität, ist man bei Eset überzeugt.
Kaum Praxisbezug bei Notfallplänen
Ähnlich differenziert zeige sich laut Umfrage auch das Bild bei Notfallplänen und im Continuity Management. Lediglich 30 Prozent der Häuser verfügen über einen strukturierten Notfallplan für schwere Cyberangriffe wie Ransomware, der vor allem regelmäßig getestet wird. Knapp die Hälfte der Befragten gab an, zwar einen Notfallplan zu haben, diese aber bestenfalls gelegentlich zu testen. Entsprechend stuft auch fast jedes vierte Krankenhaus seine Vorbereitungen nur als ausreichend ein. Ob so eine operative Handlungsfähigkeit im Ernstfall gewährleistet werden kann, ist fraglich.
Und auch in diesem Punkt schneiden die Universitätsklinika schlechter ab. Während 90 Prozent einen Notfallplan haben, wird dieser nur von rund 21 als strukturiert bezeichnet und auch nicht regelmäßig getestet. Vor dem Hintergrund von NIS2 sei das ein zentraler Befund, heißt es von Eset, da ein funktionsfähiges Incident‑ und Krisenmanagement eine der Kernanforderungen der Richtlinie ist. Darunter fallen etwa klar definierte Rollen, Eskalationswege, Meldefristen und Wiederanlaufprozesse.
Die Expertinnen und Experten von Eset glauben anhand der bisher vorliegenden Umfrageergebnisse, dass NIS2 zum Lackmustest für digitale Resilienz in Krankenhäusern werden kann.
