🇨🇭 Dieser Beitrag betrifft die Schweiz. In Deutschland und Österreich gelten andere Gesetze (BSIG/DSGVO bzw. NISG 2024).

Cybersicherheit Schweizer Gesundheitssektor: Was jetzt gilt

Hinweis zur Quelllage: Die angegebene URL (https://ismshield.ai/ch-backlog/ncsc-gdk-mindestanforderungen-gesundheitssektor) war zum Zeitpunkt der Artikelerstellung nicht zugänglich und enthält keine verifizierbaren Inhalte. Dieser Artikel basiert ausschliesslich auf öffentlich verfügbaren, verlinkten Quellen. Alle Rechtsangaben sind mit Prüfmarkern versehen. Für rechtliche Beratung wenden Sie sich an einen Anwalt.

Warum Cybersicherheit im Schweizer Gesundheitssektor gerade jetzt auf der Agenda steht

Spitäler, Kliniken und Gesundheitseinrichtungen in der Schweiz stehen unter wachsendem regulatorischem Druck: Das revidierte Datenschutzgesetz (nDSG) gilt seit September 2023, die Meldepflicht für Cyberangriffe auf kritische Infrastrukturen nach dem Informationssicherheitsgesetz (ISG) ist seit April 2025 in Kraft, und das Bundesamt für Cybersicherheit (BACS, vormals NCSC) intensiviert seine Aktivitäten im Gesundheitsbereich. Gleichzeitig zeigen Vorfälle der vergangenen Jahre — Ransomware-Angriffe auf Schweizer Spitäler inklusive —, dass technische und organisatorische Schutzlücken reale Konsequenzen haben. Dieser Artikel gibt ISBs und IT-Leitungen einen strukturierten Überblick über den aktuellen Regulierungsrahmen, die konkreten Pflichten und die wichtigsten Handlungsschritte.

Rechtlicher Rahmen: Welche Gesetze gelten für wen

Informationssicherheitsgesetz (ISG) und Meldepflicht

Das Informationssicherheitsgesetz (ISG, SR 128) bildet die zentrale Grundlage für Cybersicherheitspflichten des Bundes. Über die neu eingeführte Meldepflicht erfasst es seit 1. April 2025 auch Betreiber kritischer Infrastrukturen. Ein umfassendes gesetzliches ISMS-Pflichtensystem für private Spitäler lässt sich aus dem ISG nicht direkt ableiten; massgeblich ist primär die Meldepflicht.

Seit 1. April 2025 müssen Betreiber kritischer Infrastrukturen Cyberangriffe dem BACS melden. Im Gesundheitsbereich betrifft dies nach aktuellem Verständnis primär Einrichtungen, die als kritische Infrastruktur qualifizieren — im Wesentlichen Spitäler, die auf kantonalen Spitallisten geführt werden.

Wichtige Negativabgrenzung: Arztpraxen, ambulante Einzelpraxen und kleinere Gesundheitseinrichtungen, die nicht als kritische Infrastruktur qualifizieren, fallen nicht unter die ISG-Meldepflicht. Für sie gelten primär die Pflichten aus dem nDSG (Datenschutzverletzungen melden) sowie kantonale Datenschutzbestimmungen.

Datenschutz: nDSG und DSV

Das neue Datenschutzgesetz (nDSG, SR 235.1) gilt seit September 2023 für alle privaten Personen und Bundesorgane, die Personendaten bearbeiten — also grundsätzlich für alle Gesundheitseinrichtungen, die Patientendaten verwalten.

Zentrale Pflichten im Gesundheitskontext: - Verzeichnis der Bearbeitungstätigkeiten (Art. 12 nDSG) - Datenschutz-Folgeabschätzung bei hohem Risiko (Art. 22 nDSG) - Meldung von Datenschutzverletzungen an den EDÖB bei voraussichtlich hohem Risiko (Art. 24 nDSG) - Bussen bei Verletzung bestimmter Pflichten

Elektronisches Patientendossier (EPDG)

Einrichtungen, die am EPD teilnehmen, unterliegen zusätzlichen technischen und organisatorischen Anforderungen.

Kantonale Regelungen

Die kantonalen Gesundheitsgesetze (Spitalgesetze, Patientenrechtsgesetze) enthalten zum Teil eigene Anforderungen an Datensicherheit und IT-Governance. Diese sind kantonal unterschiedlich und müssen für die eigene Einrichtung separat geprüft werden. Gilt dies für alle Kantone gleichermassen? Kantonale Gesetze variieren — Einzelfallprüfung erforderlich

Technische und organisatorische Orientierung: Was sinnvoll ist

In der Schweiz gibt es derzeit keine gesetzlich kodifizierten, einheitlichen Mindestanforderungen speziell für den Gesundheitssektor — vergleichbar etwa mit dem deutschen B3S. Der Regulierungsrahmen setzt sich vielmehr aus mehreren Schichten zusammen, deren Verbindlichkeitsgrade sich erheblich unterscheiden:

  • Die ISG-Meldepflicht (seit 1. April 2025) ist für betroffene Betreiber kritischer Infrastrukturen verbindlich.
  • Der IKT-Minimalstandard des BACS ist eine branchenübergreifende Empfehlung; er ist für Spitäler nicht gesetzlich verbindlich, gilt aber als anerkannter Orientierungsrahmen und kann im Einzelfall faktisch relevante Wirkung entfalten.
  • Das BACS hat allgemeine Empfehlungen und ältere Papiere zum Gesundheitssektor veröffentlicht. Diese haben informativen Charakter, sind aber nicht mit dem IKT-Minimalstandard gleichzusetzen.

Eine eigenständige, umfassende Empfehlungsgrundlage der GDK zur Cybersicherheit, die mit dem IKT-Minimalstandard vergleichbar wäre, ist öffentlich nicht belegbar. Wo die GDK in Empfehlungen zur Spitalplanung auf BACS-Tools verweist, geschieht dies punktuell und ohne kohärentes Anforderungsgerüst.

Die folgenden Massnahmen gelten branchenübergreifend als Stand der Technik und sind für Spitäler und grössere Kliniken als Basisschutz zu verstehen:

1. Netzwerksegmentierung

Medizinische Geräte (Bildgebung, Infusionspumpen, Patientenmonitoring) sollten in separaten Netzwerksegmenten betrieben werden, die vom administrativen IT-Netz getrennt sind. Ein kompromittiertes Büro-Notebook darf nicht direkt auf klinische Systeme zugreifen können.

Konkrete Schritte: - VLAN-Konzept für OT/Medizintechnik erstellen - Firewall-Regeln zwischen Segmenten dokumentieren und regelmässig reviewen - Zugriffe auf klinische Systeme über Jump-Server oder PAM-Lösungen steuern

2. Backup und Wiederherstellbarkeit

Ransomware-Vorfälle zeigen regelmässig, dass Backups entweder nicht existieren, nicht getrennt aufbewahrt wurden oder im Ernstfall nicht wiederherstellbar sind.

Konkrete Schritte: - 3-2-1-Backup-Regel implementieren (3 Kopien, 2 Medien, 1 offline/offsite) - Wiederherstellungstests mindestens halbjährlich dokumentieren - RTO und RPO für kritische Systeme (KIS, PACS, Labor) in der BIA festlegen

3. Identitäts- und Zugriffsmanagement

Privilegierte Konten sind ein primäres Angriffsziel. Multi-Faktor-Authentifizierung (MFA) für alle administrativen Zugänge und Remote-Zugriffe ist nicht verhandelbar.

Konkrete Schritte: - MFA für alle VPN- und Remote-Desktop-Zugänge aktivieren - Privileged Access Management (PAM) für Administratorkonten einführen - Benutzerkonten bei Austritt sofort deaktivieren (Offboarding-Prozess)

4. Patch- und Schwachstellenmanagement

Medizinische Geräte laufen häufig auf veralteten Betriebssystemen, die nicht oder nur eingeschränkt gepatcht werden können. Dies erfordert kompensierende Massnahmen.

Konkrete Schritte: - Asset-Inventar inklusive Medizintechnik aufbauen und aktuell halten - Patch-Prozess mit definierten SLAs für kritische Patches (CVSS ≥ 9.0: innerhalb von X Tagen) - Für nicht patchbare Geräte: Netzwerksegmentierung und Monitoring als kompensierende Massnahme dokumentieren

5. Incident Response und Meldeprozesse

Ein dokumentierter Incident-Response-Plan ist Pflicht — nicht nur aus regulatorischen Gründen, sondern weil im Ernstfall keine Zeit für Ad-hoc-Entscheidungen bleibt.

Konkrete Schritte: - IR-Plan erstellen mit klaren Rollen (wer entscheidet über Abschaltung, wer meldet ans BACS, wer kommuniziert nach aussen) - Meldepflichten einplanen: BACS (ISG, soweit anwendbar), EDÖB (nDSG), ggf. kantonale Behörden - Tabletop-Übungen mindestens einmal jährlich durchführen

ISMS-Grundlage: ISO 27001 und ISO 27799

Für Spitäler und Kliniken, die ein strukturiertes ISMS aufbauen oder zertifizieren lassen wollen, bietet ISO 27001 den anerkannten Rahmen. Die Norm ISO 27799 ergänzt dies spezifisch für Gesundheitsorganisationen mit Empfehlungen zur Bearbeitung von Gesundheitsdaten.

Ein ISMS nach ISO 27001 unterstützt auch die Erfüllung der nDSG-Anforderungen (insbesondere Datenschutz durch Technik, Art. 7 nDSG) und bildet eine dokumentierte Grundlage für Audits und Behördenanfragen.

Wer noch am Anfang steht, kann mit einem strukturierten Self-Assessment beginnen: ismshield.bpcgmbh.com/assessment/

Checkliste: Sofortmassnahmen für ISBs

Massnahme Priorität Hinweis
nDSG-Verzeichnis der Bearbeitungstätigkeiten Hoch Art. 12 nDSG
MFA für alle Remote-Zugänge Hoch Sofortmassnahme
Backup-Recovery-Test dokumentieren Hoch Halbjährlich
Netzwerksegmentierung Medizintechnik Mittel Projektplanung
IR-Plan mit Meldewegen erstellen Hoch BACS + EDÖB
ISO 27001 / ISO 27799 Gap-Analyse Mittel ISMS-Aufbau
Kantonales Recht prüfen Mittel Einzelfallprüfung
  • BACS – Meldepflicht Cyberangriffe: https://www.bacs.admin.ch/bacs/de/home/cyberbedrohungen/meldepflicht.html
  • ISG (SR 128) auf Fedlex: https://www.fedlex.admin.ch/eli/cc/2022/232/de
  • nDSG (SR 235.1) auf Fedlex: https://www.fedlex.admin.ch/eli/cc/2022/491/de
  • EDÖB – Datenschutzverletzungen: https://www.edoeb.admin.ch
  • EPDG auf Fedlex: https://www.fedlex.admin.ch/eli/cc/2017/203/de
  • GDK – Gesundheitsdirektorenkonferenz: https://www.gdk-cds.ch
  • BACS – Empfehlungen für kritische Infrastrukturen: https://www.bacs.admin.ch
  • ISO 27799 (Informationen bei SNV): https://www.snv.ch
  • ISMShield Wissenszentrum: https://ismshield.ai/wissen/
  • ISMShield Self-Assessment: https://ismshield.bpcgmbh.com/assessment/
Kostenlose NIS2-Bestandsaufnahme starten →
Weitere Artikel im Wissensbereich Aktuelle Sicherheitswarnungen für das Gesundheitswesen