Schweizer Recht ist kein Sonderfall der deutschen Vorlage
Die meisten ISMS-Werkzeuge bilden deutsches Recht ab und behandeln die Schweiz als Variante. Das geht bei Bearbeitungsverzeichnis, Meldefristen und Aufsichtsbehörden schief. ISMShield führt beide Rechtsordnungen getrennt.
30 Tage kostenlos · Datenhaltung in der Schweiz
Abgrenzung
Was in der Schweiz gilt — und was nicht
| Thema | Deutschland | Schweiz |
|---|---|---|
| Cybersicherheit kritischer Infrastrukturen | NIS2 über das BSIG, Aufsicht BSI | Informationssicherheitsgesetz (ISG), Meldung an das BACS |
| Datenschutz | DSGVO und BDSG | Revidiertes Datenschutzgesetz (nDSG), Aufsicht EDÖB |
| Patientendossier | ePA nach SGB V | Elektronisches Patientendossier nach EPDG |
| Medizinprodukte-Vorkommnis | BfArM, 15 Tage nach MPSV/MDR | Swissmedic, eigenes Verfahren |
| Sektorstandard Krankenhaus | B3S der DKG, Nachweis alle zwei Jahre | Kein direktes Gegenstück — kantonale Vorgaben und Branchenempfehlungen |
Ein Werkzeug, das die 72-Stunden-Frist der DSGVO auf das nDSG anwendet oder eine deutsche Behörde für einen Schweizer Vorfall vorschlägt, erzeugt einen falschen Nachweis. Deshalb sind die Frameworks in ISMShield getrennt geführt: eigene Controls, eigene Fristen, eigene Meldewege.
Abdeckung
Schweizer Regelwerke im System
nDSG — revidiertes Datenschutzgesetz
Sechs Bereiche nach Art. 12–29 mit Bezug zum EDÖB: Bearbeitungsverzeichnis, Datensicherheit, Betroffenenrechte, Auftragsbearbeitung, Datenschutz-Folgenabschätzung, Meldung von Verletzungen.
ISG — Informationssicherheitsgesetz
Zwölf Anforderungen mit Bezug zu Art. 74a und der 24-Stunden-Meldung an das BACS. Eigener Timer, getrennt von den deutschen Fristen.
ISO 27001:2022
93 Controls aus Annex A, Statement of Applicability, Kapitel 4–10 — der international anschlussfähige Rahmen für Spitäler ohne gesetzliche Nachweispflicht.
Medizintechnik nach Schweizer Praxis
Geräteregister mit UDI und Wartungsfristen, Vorkommnismeldung an Swissmedic im Meldeworkflow hinterlegt.
Hygiene mit Swissnoso-Bezug
Surveillance nosokomialer Infektionen, MRE-Nachweise und Ausbruchsmanagement — mit den in der Schweiz gebräuchlichen Bezugsrahmen.
Haustechnik nach SN-Normen
Anlagenregister und Prüfkalender mit den Schweizer Normen statt der deutschen DGUV-Vorschriften.
Aus dem ISMShield-Monitor zur Schweiz
Unsere Redaktion verfolgt die schweizerische Regulatorik im Gesundheitswesen eigenständig — nicht als Anhang zur deutschen Lage:
Einwände
Was Schweizer Spitäler zuerst fragen
Gilt NIS2 für Schweizer Spitäler?
Nein. NIS2 ist eine EU-Richtlinie und in Deutschland über das BSIG umgesetzt. Für die Schweiz gilt stattdessen das Informationssicherheitsgesetz mit der Meldepflicht für Cyberangriffe auf kritische Infrastrukturen an das BACS. Wer beides gleichsetzt, arbeitet mit falschen Fristen und falschen Behörden. Die Abgrenzung im Detail: NIS2 und die Schweiz.
Relevant wird NIS2 für Schweizer Häuser dort, wo sie Standorte oder Tochtergesellschaften in der EU betreiben — dann gelten beide Regime nebeneinander.
Was verlangt die Meldepflicht an das BACS?
Betreiber kritischer Infrastrukturen müssen Cyberangriffe dem Bundesamt für Cybersicherheit melden. In ISMShield ist dafür ein eigener Timer hinterlegt, getrennt von den deutschen Fristen. Läuft ein Vorfall in einem Haus mit Standorten in beiden Ländern auf, laufen beide Fristen parallel und werden getrennt dokumentiert.
Wie unterscheidet sich das revidierte DSG von der DSGVO?
Sie ähneln sich in der Struktur, sind aber nicht deckungsgleich — bei Bearbeitungsverzeichnis, Meldepflicht bei Datensicherheitsverletzungen und den Betroffenenrechten gibt es Abweichungen. ISMShield führt beide Regelwerke getrennt: DSGVO mit 16 Controls, nDSG mit eigener Struktur nach Art. 12–29 und Bezug zum EDÖB. Sie werden bewusst nicht ineinander gerechnet.
Deckt ISMShield auch das EPD ab?
Das elektronische Patientendossier bringt eigene Anforderungen an Schnittstellen und Informationssicherheit mit. ISMShield unterstützt die zugehörige Nachweisführung im ISMS; die Zertifizierung der EPD-Gemeinschaft selbst ist ein eigenes Verfahren. Zur Einordnung: EPD-Integration in Informationssysteme.
Lohnt sich eine ISO-27001-Zertifizierung für ein Schweizer Spital?
Sie ist nicht vorgeschrieben, wird aber zunehmend von Partnern und Versicherern erwartet und erleichtert die Nachweisführung gegenüber kantonalen Aufsichten. ISMShield deckt ISO 27001:2022 vollständig ab. Zur Praxis: ISO-27001-Zertifizierung im Spital.
Wo liegen die Daten?
Für Schweizer Kunden ist die Datenhaltung in der Schweiz vorgesehen; die Dedicated Instance bringt eine eigene Datenbank und eine eigene Subdomain mit. Die konkreten Angaben zu Standort, Auftragsbearbeitung und Subdienstleistern erhalten Sie im Discovery Call — wir stellen sie schriftlich zur Verfügung, bevor Sie Daten einspielen.
Bereit, es selbst zu sehen?
30 Tage kostenlos, mit Ihren echten Daten, ohne Kreditkarte. Wenn es nicht passt, exportieren Sie alles und sind wieder raus.