🇨🇭 Dieser Beitrag betrifft die Schweiz. In Deutschland und Österreich gelten andere Gesetze (BSIG/DSGVO bzw. NISG 2024).
Hinweis zur Quelllage: Die angegebene URL (https://ismshield.ai/ch-backlog/ncsc-gdk-mindestanforderungen-gesundheitssektor) war zum Zeitpunkt der Artikelerstellung nicht zugänglich und enthält keine verifizierbaren Inhalte. Dieser Artikel basiert ausschliesslich auf öffentlich verfügbaren, verlinkten Quellen. Alle Rechtsangaben sind mit Prüfmarkern versehen. Für rechtliche Beratung wenden Sie sich an einen Anwalt.
Warum Cybersicherheit im Schweizer Gesundheitssektor gerade jetzt auf der Agenda steht
Spitäler, Kliniken und Gesundheitseinrichtungen in der Schweiz stehen unter wachsendem regulatorischem Druck: Das revidierte Datenschutzgesetz (nDSG) gilt seit September 2023, die [[PRÜFEN: Geltungsbereich — Meldepflicht für Cyberangriffe auf kritische Infrastrukturen ist seit April 2025 in Kraft, und da]]s Bundesamt für Cybersicherheit (BACS, vormals NCSC) intensiviert seine Aktivitäten im Gesundheitsbereich. Gleichzeitig zeigen Vorfälle der vergangenen Jahre — Ransomware-Angriffe auf Schweizer Spitäler inklusive —, dass technische und organisatorische Schutzlücken reale Konsequenzen haben. Dieser Artikel gibt ISBs und IT-Leitungen einen strukturierten Überblick über den aktuellen Regulierungsrahmen, die konkreten Pflichten und die wichtigsten Handlungsschritte. [[PRÜFEN: Quellenangabe fehlt — Link auf Fedlex/EDÖB/BACS ergänzen]]
Rechtlicher Rahmen: Welche Gesetze [[PRÜFEN: Geltungsbereich — gelten für wen]] [[PRÜFEN: Quellenangabe fehlt — Link auf Fedlex/EDÖB/BACS ergänzen]]
Informationssicherheitsgesetz (ISG) und Meldepflicht [[PRÜFEN: Adressatenkreis von ISG benennen — wer ist verpflichtet, wer nicht (Negativabgrenzung)?]] [[PRÜFEN: Quellenangabe fehlt — Link auf Fedlex/EDÖB/BACS ergänzen]]
Das Informationssicherheitsgesetz (ISG, SR 128) bildet die zentrale Grundlage für Cybersicherheitspflichten des Bundes und — über die Meldepflicht — auch für Betreiber kritischer Infrastrukturen.
[[PRÜFEN: Gilt die ISG-Meldepflicht für Spitäler auf kantonalen Spitallisten? Quelle: https://www.fedlex.admin.ch/eli/cc/2022/232/de — Art. 74b ISG bzw. zugehörige Ausführungsverordnung; Abgrenzung zu anderen Einrichtungen des Gesundheitswesens unklar]]
Seit April 2025 müssen Betreiber kritischer Infrastrukturen Cyberangriffe dem BACS melden. Im Gesundheitsbereich betrifft dies nach aktuellem Verständnis primär Einrichtungen, die als kritische Infrastruktur qualifizieren — im Wesentlichen Spitäler, die auf kantonalen Spitallisten geführt werden.
Wichtige Negativabgrenzung: Arztpraxen, ambulante Einzelpraxen und kleinere Gesundheitseinrichtungen, die nicht als kritische Infrastruktur qualifizieren, [[PRÜFEN: Geltungsbereich — fallen nicht unter die ISG-Meldepflicht]]. Für sie gelten primär die Pflichten aus dem nDSG (Datenschutzverletzungen melden) sowie kantonale Datenschutzbestimmungen. [[PRÜFEN: Quellenangabe fehlt — Link auf Fedlex/EDÖB/BACS ergänzen]]
[[PRÜFEN: Meldefrist für Cyberangriffe nach ISG/Ausführungsverordnung — genaue Stundenzahl; Quelle: https://www.bacs.admin.ch/bacs/de/home/cyberbedrohungen/meldepflicht.html]]
[[PRÜFEN: Gilt die Meldepflicht auch für Laboratorien, Rettungsdienste oder Pflegeheime mit kritischer Infrastrukturfunktion? Quelle unklar — ggf. beim BACS direkt anfragen]] [[PRÜFEN: Quellenangabe fehlt — Link auf Fedlex/EDÖB/BACS ergänzen]]
Datenschutz: nDSG und DSV
Das neue Datenschutzgesetz (nDSG, SR 235.1) gilt seit September 2023 für alle privaten Personen und Bundesorgane, die Personendaten bearbeiten — also grundsätzlich für alle Gesundheitseinrichtungen, die Patientendaten verwalten.
Zentrale Pflichten im Gesundheitskontext: - Verzeichnis der Bearbeitungstätigkeiten (Art. 12 nDSG) [[PRÜFEN: Schwellenwert für Ausnahmen KMU; Quelle: https://www.fedlex.admin.ch/eli/cc/2022/491/de]] - Datenschutz-Folgeabschätzung bei hohem Risiko (Art. 22 nDSG) - Meldung von Datenschutzverletzungen an den EDÖB bei voraussichtlich hohem Risiko (Art. 24 nDSG) [[PRÜFEN: Meldefrist — «so rasch als möglich» laut Gesetzestext; konkrete Stundenanzahl nicht gesetzlich definiert; Quelle: https://www.fedlex.admin.ch/eli/cc/2022/491/de Art. 24]] - Bussen bei Verletzung bestimmter Pflichten [[PRÜFEN: Bussenhöhe nach Art. 60 nDSG; Quelle: https://www.fedlex.admin.ch/eli/cc/2022/491/de — Busse sieht das Gesetz vor; Höhe hängt vom Einzelfall ab]]
Elektronisches Patientendossier (EPDG)
Einrichtungen, die am EPD teilnehmen, unterliegen zusätzlichen technischen und organisatorischen Anforderungen. [[PRÜFEN: Welche Einrichtungen sind zur EPD-Anbindung verpflichtet und ab wann? Quelle: https://www.fedlex.admin.ch/eli/cc/2017/203/de EPDG Art. 39 KVG i.V.m. EPDG]]
Kantonale Regelungen
Die kantonalen Gesundheitsgesetze (Spitalgesetze, Patientenrechtsgesetze) enthalten zum Teil eigene Anforderungen an Datensicherheit und IT-Governance. Diese sind kantonal unterschiedlich und müssen für die eigene Einrichtung separat geprüft werden. [[PRÜFEN: Gilt dies für alle Kantone gleichermassen? Kantonale Gesetze variieren — Einzelfallprüfung erforderlich]] [[PRÜFEN: Quellenangabe fehlt — Link auf Fedlex/EDÖB/BACS ergänzen]]
Technische und organisatorische Mindestanforderungen: Was sinnvoll ist
Auch wenn es in der Schweiz derzeit keine gesetzlich kodifizierten, einheitlichen Mindestanforderungen speziell für den Gesundheitssektor gibt — vergleichbar etwa mit dem deutschen B3S —, haben BACS und branchennahe Stellen Empfehlungen veröffentlicht. [[PRÜFEN: Hat das BACS gemeinsam mit der GDK spezifische Mindestanforderungen für den Gesundheitssektor publiziert? Quelle: https://www.bacs.admin.ch und https://www.gdk-cds.ch — Stand 20.07.2026 unklar]]
Die folgenden Massnahmen gelten branchenübergreifend als Stand der Technik und sind für Spitäler und grössere Kliniken als Basisschutz zu verstehen:
1. Netzwerksegmentierung
Medizinische Geräte (Bildgebung, Infusionspumpen, Patientenmonitoring) sollten in separaten Netzwerksegmenten betrieben werden, die vom administrativen IT-Netz getrennt sind. Ein kompromittiertes Büro-Notebook darf nicht direkt auf klinische Systeme zugreifen können.
Konkrete Schritte: - VLAN-Konzept für OT/Medizintechnik erstellen - Firewall-Regeln zwischen Segmenten dokumentieren und regelmässig reviewen - Zugriffe auf klinische Systeme über Jump-Server oder PAM-Lösungen steuern
2. Backup und Wiederherstellbarkeit
Ransomware-Vorfälle zeigen regelmässig, dass Backups entweder nicht existieren, nicht getrennt aufbewahrt wurden oder im Ernstfall nicht wiederherstellbar sind.
Konkrete Schritte: - 3-2-1-Backup-Regel implementieren (3 Kopien, 2 Medien, 1 offline/offsite) - Wiederherstellungstests mindestens halbjährlich dokumentieren - RTO und RPO für kritische Systeme (KIS, PACS, Labor) in der BIA festlegen
3. Identitäts- und Zugriffsmanagement
Privilegierte Konten sind ein primäres Angriffsziel. Multi-Faktor-Authentifizierung (MFA) für alle administrativen Zugänge und Remote-Zugriffe ist nicht verhandelbar.
Konkrete Schritte: - MFA für alle VPN- und Remote-Desktop-Zugänge aktivieren - Privileged Access Management (PAM) für Administratorkonten einführen - Benutzerkonten bei Austritt sofort deaktivieren (Offboarding-Prozess)
4. Patch- und Schwachstellenmanagement
Medizinische Geräte laufen häufig auf veralteten Betriebssystemen, die nicht oder nur eingeschränkt gepatcht werden können. Dies erfordert kompensierende Massnahmen.
Konkrete Schritte: - Asset-Inventar inklusive Medizintechnik aufbauen und aktuell halten - Patch-Prozess mit definierten SLAs für kritische Patches (CVSS ≥ 9.0: innerhalb von X Tagen) [[PRÜFEN: Empfiehlt BACS oder eine CH-Stelle konkrete Fristen? Quelle unklar — intern festlegen]] - Für nicht patchbare Geräte: Netzwerksegmentierung und Monitoring als kompensierende Massnahme dokumentieren [[PRÜFEN: Quellenangabe fehlt — Link auf Fedlex/EDÖB/BACS ergänzen]]
5. Incident Response und Meldeprozesse
Ein dokumentierter Incident-Response-Plan ist Pflicht — nicht nur aus regulatorischen Gründen, sondern weil im Ernstfall keine Zeit für Ad-hoc-Entscheidungen bleibt.
Konkrete Schritte: - IR-Plan erstellen mit klaren Rollen (wer entscheidet über Abschaltung, wer meldet ans BACS, wer kommuniziert nach aussen) - Meldepflichten einplanen: BACS (ISG, soweit anwendbar), EDÖB (nDSG), ggf. kantonale Behörden - Tabletop-Übungen mindestens einmal jährlich durchführen
ISMS-Grundlage: ISO 27001 und ISO 27799
Für Spitäler und Kliniken, die ein strukturiertes ISMS aufbauen oder zertifizieren lassen wollen, bietet ISO 27001 den anerkannten Rahmen. Die Norm ISO 27799 ergänzt dies spezifisch für Gesundheitsorganisationen mit Empfehlungen zur Bearbeitung von Gesundheitsdaten.
Ein ISMS nach ISO 27001 unterstützt auch die Erfüllung der nDSG-Anforderungen (insbesondere Datenschutz durch Technik, Art. 7 nDSG) und bildet eine dokumentierte Grundlage für Audits und Behördenanfragen.
Wer noch am Anfang steht, kann mit einem strukturierten Self-Assessment beginnen: ismshield.bpcgmbh.com/assessment/
Checkliste: Sofortmassnahmen für ISBs
| Massnahme | Priorität | Hinweis |
|---|---|---|
| Meldepflicht ISG prüfen: Bin ich betroffen? | Hoch | BACS konsultieren [[PRÜFEN]] |
| nDSG-Verzeichnis der Bearbeitungstätigkeiten | Hoch | Art. 12 nDSG |
| MFA für alle Remote-Zugänge | Hoch | Sofortmassnahme |
| Backup-Recovery-Test dokumentieren | Hoch | Halbjährlich |
| Netzwerksegmentierung Medizintechnik | Mittel | Projektplanung |
| IR-Plan mit Meldewegen erstellen | Hoch | BACS + EDÖB |
| ISO 27001 / ISO 27799 Gap-Analyse | Mittel | ISMS-Aufbau |
| Kantonales Recht prüfen | Mittel | Einzelfallprüfung |
Quellen und weiterführende Links
- BACS – Meldepflicht Cyberangriffe: https://www.bacs.admin.ch/bacs/de/home/cyberbedrohungen/meldepflicht.html
- ISG (SR 128) auf Fedlex: https://www.fedlex.admin.ch/eli/cc/2022/232/de
- nDSG (SR 235.1) auf Fedlex: https://www.fedlex.admin.ch/eli/cc/2022/491/de
- EDÖB – Datenschutzverletzungen: https://www.edoeb.admin.ch
- EPDG auf Fedlex: https://www.fedlex.admin.ch/eli/cc/2017/203/de
- GDK – Gesundheitsdirektorenkonferenz: https://www.gdk-cds.ch
- BACS – Empfehlungen für kritische Infrastrukturen: https://www.bacs.admin.ch
- ISO 27799 (Informationen bei SNV): https://www.snv.ch
- ISMShield Wissenszentrum: https://ismshield.ai/wissen/
- ISMShield Self-Assessment: https://ismshield.bpcgmbh.com/assessment/
Dieser Artikel dient der allgemeinen Information. Er stellt keine Rechts- oder Compliance-Beratung dar. Für rechtliche Fragen konsultieren Sie bitte einen auf Schweizer IT- und Datenschutzrecht spezialisierten Anwalt. Alle mit [[PRÜFEN]] markierten Angaben sind vor Publikation durch die Redaktion zu verifizieren.