🇨🇭 Dieser Beitrag betrifft die Schweiz. In Deutschland und Österreich gelten andere Gesetze (BSIG/DSGVO bzw. NISG 2024).

Digitale Souveränität Gesundheitswesen: Was Spitäler jetzt wissen müssen

Die Schweizer Bundesverwaltung hat im Dezember 2025 verbindliche Leitlinien zur digitalen Souveränität verabschiedet. Auch wenn diese Leitlinien zunächst nur für die zentrale Bundesverwaltung gelten: Sie setzen einen Standard, der im Gesundheitswesen nicht ignoriert werden kann. Spitäler, Kliniken und Gesundheitsorganisationen stehen unter wachsendem Druck, ihre Abhängigkeiten von Cloud-Anbietern, Software-Herstellern und digitalen Infrastrukturen kritisch zu hinterfragen. Wer heute keine Strategie zur digitalen Souveränität entwickelt, riskiert morgen operative, regulatorische und sicherheitstechnische Konsequenzen.

Was bedeutet digitale Souveränität im Schweizer Kontext?

Digitale Souveränität bezeichnet die Fähigkeit einer Organisation, ihre digitalen Systeme, Daten und Prozesse eigenständig zu kontrollieren, zu verstehen und – wenn nötig – unabhängig von Dritten zu betreiben oder zu migrieren. Es geht nicht um Autarkie um jeden Preis, sondern um bewusstes Entscheiden: Wer hat Zugriff auf welche Systeme? Welche Abhängigkeiten sind tragbar? Was passiert, wenn ein Anbieter ausfällt, den Vertrag kündigt oder von einem ausländischen Konzern übernommen wird?

Der Bundesrat hat am 12. Dezember 2025 Leitlinien verabschiedet, die von der Bundeskanzlei in Zusammenarbeit mit den Departementen erarbeitet wurden. Sie sind für die gesamte zentrale Bundesverwaltung verbindlich. Diese Leitlinien gliedern sich typischerweise entlang von Dimensionen wie Datenhoheit, Portabilität, Interoperabilität, Abhängigkeitsmanagement und Beschaffungssteuerung.

[[PRÜFEN: Den genauen Inhalt der Leitlinien (Volltext) beim BIT und auf admin.ch verifizieren, sobald das Dokument öffentlich zugänglich ist. URL: https://www.bit.admin.ch/de/newnsb/JxuzVHViGShum_f1h_WDu]]

Für das Gesundheitswesen ist dieser Impuls aus der Bundesverwaltung ein wichtiges Signal: Was für Bundesämter gilt, dürfte mittelfristig auch in kantonal regulierten Bereichen – und damit in Spitälern – Eingang in Anforderungen und Best Practices finden.

Warum digitale Souveränität im Spital besonders kritisch ist

Spitäler sind keine gewöhnlichen Organisationen. Sie verarbeiten hochsensible Patientendaten, sind rund um die Uhr auf funktionierende IT angewiesen und unterliegen einem dichten Netz von Regulierungen. Gleichzeitig sind viele Schweizer Spitäler in den letzten Jahren massiv auf Cloud-Dienste und externe Software-as-a-Service-Lösungen umgestiegen – oft aus nachvollziehbaren Effizienz- und Kostengründen.

Die Risiken sind real:

Regulatorisches Risiko: Das nDSG (neues Datenschutzgesetz, in Kraft seit September 2023) sowie die Datenschutzverordnung (DSV) verlangen, dass Bearbeitungen von Personendaten – insbesondere besonders schützenswerter Daten wie Gesundheitsdaten – nachvollziehbar, zweckgebunden und kontrollierbar bleiben. Eine Cloud-Lösung, bei der unklar ist, wo Daten physisch gespeichert werden und wer Zugriff hat, ist damit schwer vereinbar. Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) hat seit Inkrafttreten des nDSG mehrfach auf diese Problematik hingewiesen.

Operatives Risiko: Was geschieht, wenn ein Anbieter seinen Dienst einstellt, die Preise vervielfacht oder das Produkt strategisch verändert? Spitäler mit hoher digitaler Abhängigkeit können in solchen Situationen unter erheblichen Druck geraten. Gerade kritische Systeme wie KIS (Klinisches Informationssystem), PACS (Bildarchivierung) oder Laborinformationssysteme sind oft über Jahre schwer migrierbar.

Sicherheitsrisiko: Externe Dienstleister und Softwareanbieter sind ein bevorzugtes Einfallstor für Angreifer. Supply-Chain-Angriffe – bei denen nicht das Spital selbst, sondern sein Anbieter kompromittiert wird – nehmen weltweit zu. Das ISG (Informationssicherheitsgesetz) sowie die seit April 2025 geltende Meldepflicht für Cyberangriffe auf kritische Infrastrukturen beim NCSC/BACS machen deutlich, dass der Gesetzgeber Spitäler als Teil der kritischen Infrastruktur der Schweiz versteht.

EPDG-Kontext: Das Bundesgesetz über das elektronische Patientendossier (EPDG) setzt auf föderierte Strukturen und klare Anforderungen an Zertifizierung und Datenhaltung. Digitale Souveränität ist hier strukturell eingebaut – ein Modell, das auch jenseits des EPDG Orientierung bieten kann.

Die Leitlinien des Bundesrats: Übertragbare Prinzipien für Spitäler

Auch wenn die Bundesrats-Leitlinien vom Dezember 2025 formal nur die zentrale Bundesverwaltung binden, lassen sich aus dem bekannten Rahmen und vergleichbaren internationalen Ansätzen (etwa ENISA, EUCS) mehrere Prinzipien ableiten, die unmittelbar auf Spitäler übertragbar sind:

1. Klassifikation kritischer digitaler Ressourcen Nicht jede Applikation ist gleich kritisch. Spitäler sollten systematisch erheben, welche IT-Systeme und Datenbestände unverzichtbar für die Patientenversorgung sind. Diese Klassifikation ist Voraussetzung für jede weitere Souveränitätsstrategie – und gleichzeitig eine Kernanforderung im Rahmen eines ISMS nach ISO 27001 oder der Business Impact Analyse im BCM.

2. Abhängigkeiten sichtbar machen Ein strukturiertes Drittanbieter-Register (Third-Party-Inventory) listet alle relevanten IT-Dienstleister, Cloud-Anbieter und Softwarehersteller mit Angaben zu Vertragslaufzeiten, Kündigungsfristen, Datenspeicherort und Ersetzbarkeit. Ohne diese Transparenz ist keine fundierte Risikobeurteilung möglich.

3. Portabilität und Exit-Strategien einfordern Schon bei der Beschaffung sollten Spitäler auf Datenportabilität, offene Schnittstellen (APIs) und dokumentierte Migrationspfade bestehen. Proprietäre Datenformate und Lock-in-Mechanismen sind explizit zu adressieren – idealerweise vertraglich.

4. Souveränitätsanforderungen in Ausschreibungen verankern Öffentliche Spitäler unterliegen dem Beschaffungsrecht (BöB, kantonale Submissionsvorschriften). Digitale Souveränität lässt sich als Kriterium in Ausschreibungen integrieren: Datenspeicherort Schweiz oder EU, Zertifizierungsanforderungen, Transparenz über Unterauftragnehmer, Audit-Rechte.

5. Governance verankern Digitale Souveränität ist keine reine IT-Aufgabe. Sie braucht eine Verankerung auf Führungsebene – in der IT-Strategie, im ISMS und in der Beschaffungsstrategie. Der ISB (Informationssicherheitsbeauftragte) sollte aktiv in relevante Beschaffungsentscheide einbezogen werden.

Umsetzung im Spital: Ein pragmatischer Einstieg

Die Umsetzung muss nicht mit einem Grossrojekt beginnen. Ein pragmatischer Einstieg in drei Schritten:

Schritt 1: Bestandsaufnahme und Risikobewertung Erstellen Sie ein Inventar aller extern betriebenen IT-Systeme und Cloud-Dienste. Bewerten Sie für jeden Dienst: Wie kritisch ist er für die Patientenversorgung? Wie hoch ist die Abhängigkeit vom Anbieter? Wo liegen die Daten? Was passiert bei einem Ausfall oder einer Kündigung?

Diese Analyse lässt sich in bestehende ISMS-Prozesse integrieren. Wer noch kein strukturiertes ISMS betreibt, findet mit dem ISMShield.ai-Assessment einen niederschwelligen Einstiegspunkt zur Standortbestimmung.

Schritt 2: Prioritäten setzen Nicht alle Abhängigkeiten sind gleichermassen problematisch. Fokussieren Sie auf die Systeme mit der höchsten Kritikalität und der geringsten Substituierbarkeit. Für diese Systeme entwickeln Sie konkrete Massnahmen: Exit-Strategien, Redundanzen, vertragliche Absicherungen.

Schritt 3: Governance und Prozesse anpassen Verankern Sie Souveränitätskriterien im IT-Beschaffungsprozess. Schulen Sie die zuständigen Personen in Einkauf und IT. Integrieren Sie die regelmässige Überprüfung von Drittanbieter-Abhängigkeiten in das ISMS-Risikomanagement.

Regulatorischer Rahmen: Was Schweizer Spitäler beachten müssen

Für ISB und IT-Leitungen in Schweizer Spitälern ist die regulatorische Gemengelage relevant:

  • nDSG / DSV: Bearbeitung von Gesundheitsdaten durch Dritte erfordert klare Auftragsbearbeiterverträge, Transparenz über Subunternehmer und angemessene technische und organisatorische Massnahmen. Die Aufsicht liegt beim EDÖB.
  • ISG: Das Informationssicherheitsgesetz gilt primär für Bundesorgane, setzt aber Standards, an denen sich auch die Privatwirtschaft orientiert. Spitäler mit Leistungsaufträgen bewegen sich in einem Umfeld, in dem staatliche Anforderungen indirekt wirken.
  • Meldepflicht seit April 2025: Betreiber kritischer Infrastrukturen – zu denen Spitäler zählen können – sind verpflichtet, Cyberangriffe beim NCSC/BACS zu melden. Vorfälle bei Drittanbietern, die Spitalsysteme betreffen, fallen ebenfalls darunter.
  • EPDG: Für die Teilnahme an der EPD-Infrastruktur gelten spezifische Zertifizierungsanforderungen, die implizit Souveränitäts- und Sicherheitsanforderungen adressieren.
  • Kantonale Gesundheitsgesetze: Je nach Kanton bestehen zusätzliche Anforderungen an Datenhaltung, Datenschutz und Informationssicherheit. [[PRÜFEN: Kantonsspezifische Regelungen für den jeweiligen Publikationskontext präzisieren.]]

Hinweis: Dieser Artikel stellt keine Rechtsberatung dar. Für verbindliche rechtliche Einschätzungen wenden Sie sich an eine qualifizierte Rechtsanwältin oder einen qualifizierten Rechtsanwalt.

Stolperfallen in der Praxis

Aus der Beratungspraxis lassen sich typische Fehler benennen:

Souveränität wird mit "On-Premises" gleichgesetzt. Das ist falsch. Auch ein selbst betriebenes Rechenzentrum kann souveränitätsgefährdende Abhängigkeiten enthalten – etwa wenn der Betriebssystemhersteller oder der Supportanbieter kritische Hebel hat. Digitale Souveränität ist ein Kontinuum, keine Binärfrage.

Exit-Strategien werden nicht dokumentiert. Viele Spitäler haben keine schriftlich festgehaltene Strategie, wie sie bei Ausfall oder Kündigung eines kritischen Anbieters vorgehen würden. Das ist ein schwerwiegendes Risiko in der Business Continuity.

Beschaffung läuft ohne ISB-Beteiligung. Wenn IT-Entscheide allein von der Fachabteilung oder dem Einkauf getroffen werden, ohne Sicherheits- und Souveränitätskriterien zu berücksichtigen, entstehen Fakten, die später kaum rückgängig zu machen sind.

Vertragliche Audit-Rechte fehlen. Ohne das Recht, Drittanbieter zu auditieren oder zumindest Zertifizierungsnachweise einzufordern, ist jede Sicherheitsbeurteilung auf Eigenangaben des Anbieters angewiesen. Das reicht nicht.

Datenspeicherort unklar. Gerade bei verschachtelten Cloud-Strukturen (Anbieter A nutzt Infrastruktur von Anbieter B, der seinerseits Rechenzentren in mehreren Ländern betreibt) ist die tatsächliche Datenlokation oft unbekannt. Das ist nDSG-relevant und operativ gefährlich.

Fazit: Jetzt Grundlagen legen

Die Bundesrats-Leitlinien zur digitalen Souveränität vom Dezember 2025 sind ein Signal, das auch im Schweizer Gesundheitswesen ankommen sollte. Digitale Souveränität ist kein Luxus und kein Ideologieprojekt – sie ist eine operative und regulatorische Notwendigkeit.

Spitäler, die heute damit beginnen, ihre Abhängigkeiten zu kartieren, Beschaffungsprozesse anzupassen und Governance-Strukturen zu stärken, werden in einer besseren Position sein: bei der nächsten Regulierungswelle, beim nächsten Ausfall eines kritischen Anbieters und beim nächsten Cybervorfall in der Supply Chain.

Eine strukturierte Standortbestimmung Ihrer aktuellen Sicherheits- und Souveränitätslage bietet das ISMShield.ai-Assessment. Weiterführende Artikel zu Drittanbieter-Risikomanagement, ISMS-Aufbau und Incident Response finden Sie im ISMShield.ai Wissenszentrum.

Kostenlose NIS2-Bestandsaufnahme starten →
Weitere Artikel im Wissensbereich Aktuelle Sicherheitswarnungen für das Gesundheitswesen