🇨🇭 Dieser Beitrag betrifft die Schweiz. In Deutschland und Österreich gelten andere Gesetze (BSIG/DSGVO bzw. NISG 2024).

Von Frank Becker, Externer ISB / DSB, BPC GmbH
Aktualisiert am 04.08.2026

Digitale Souveränität Spital: Leitfaden

Digitale Souveränität ist kein abstraktes Prinzip — sie entscheidet darüber, ob ein Spital im Störfall handlungsfähig bleibt, ob Patientendaten unter kontrollierten Bedingungen verarbeitet werden und ob ein Anbieterwechsel überhaupt möglich ist. Der Bund hat mit der Weisung W012 «Digitale Souveränität der Bundesverwaltung» (Version 1.0, in Kraft seit 1. Januar 2026) ein strukturiertes Bewertungsmodell eingeführt, das Spitäler zwar nicht bindet, aber als methodisches Muster direkt übertragbar ist. Dieser Artikel zeigt, wie CISOs und Informationssicherheitsbeauftragte im Gesundheitswesen dieses Muster für ihre eigene Beschaffungs- und Projektsteuerung nutzen können.

Betrifft mich das?

Für wen gilt die W012 verbindlich? Die Weisung W012 V1.0 ist eine Mantelweisung des Bereichs Digitale Transformation und IKT-Lenkung DTI, gestützt auf Artikel 40 der Digitalisierungsverordnung (DigiV, SR 172.019.1). Sie gilt ausschliesslich für alle unterstellten Verwaltungseinheiten der zentralen Bundesverwaltung — und zwar für alle neuen IKT-Vorhaben, die ab dem 1. Januar 2026 initiiert werden. Bereits laufende Vorhaben unterliegen ihr nicht rückwirkend.

Für Spitäler gilt die W012 nicht. Gesundheitseinrichtungen ausserhalb der Bundesverwaltung fallen nicht in den Geltungsbereich der W012. Auch die dezentrale Bundesverwaltung ist nicht direkt adressiert.

Warum ist der Artikel dennoch relevant? Das Ebenenmodell der W012 nennt auf Ebene 6 («Datenräume») Gesundheit ausdrücklich als Beispiel: «Technische und organisatorische Strukturen, welche die sichere und vertrauenswürdige Bereitstellung, den Austausch und den Bezug von Daten aus verschiedenen Quellen und von verschiedenen Akteuren ermöglicht und regelt (Beispiele: Register, Mobilität, Gesundheit, Finanzen).» Damit ist die konzeptionelle Brücke vom Bundesmodell in den Spitalkontext durch das Primärdokument selbst gezogen — nicht durch Analogieschluss, sondern durch explizite Nennung. Die Übertragbarkeit des Musters ist damit argumentativ belegt; eine rechtliche Bindung entsteht daraus nicht.

Das Ebenenmodell: Wo hat ein Spital Gestaltungsspielraum?

Die W012 stützt sich auf ein neunstufiges technologisches Schichtenmodell, das auf einer Studie der deutschen Akademie der Technikwissenschaften (acatech) basiert. Für die praktische Steuerung relevant sind die Ebenen 3–8, weil dort — laut W012 — eigene Gestaltungsmöglichkeiten bestehen:

Ebene Bezeichnung Spital-Relevanz (Beratungssicht)
3 Kommunikationsinfrastruktur Breitband, Mobilfunk, Glasfaser im Spital
4 IT-Infrastruktur / IaaS Rechenzentrum, Cloud, Storage, VMs
5 Plattformen / PaaS KIS-Plattformen, Kubernetes, Datenwissenschaft
6 Datenräume Gesundheitsdaten, Register, Austauschinfrastruktur
7 Software / SaaS KIS, RIS, PACS, KI-Frameworks, Office
8 Rechts- und Wertesystem Datenschutzrecht, Standards, E-Identity

Die Ebenen 0–2 (Rohmaterialien, Komponenten, Grundversorgung) werden in der W012 nicht behandelt. Aus Beratungssicht ist jedoch festzuhalten: Gerade bei vernetzter Medizintechnik mit proprietären Kommunikationsprotokollen beginnen Souveränitätsfragen bereits auf Ebene 1 (Mikrochips, Mikrocontroller) und Ebene 3 (proprietäre Funknetzwerke). Das W012-Modell adressiert Medizintechnik-Lieferketten nicht, da sein Geltungsbereich auf die zentrale Bundesverwaltung beschränkt ist. Für Spitäler ist diese Dimension daher eine eigenständige Beratungsdimension, die ergänzend zu berücksichtigen ist.

Die sechs Eckwerte als Bewertungsraster

Die W012 definiert zwei übergeordnete und vier spezifische Eckwerte, die zusammen ein zweidimensionales Bewertungsmodell bilden. Das Primärdokument hält ausdrücklich fest, dass diese Eckwerte je nach Vorhaben unterschiedliche Priorität haben und Spannungsfelder erzeugen können, die im Einzelfall abzuwägen sind.

Übergeordnete Eckwerte:

  1. Unabhängigkeit und Kontrolle — Eigenständige Aufgabenerfüllung; Vermeidung oder gezielte Reduktion von Abhängigkeiten von einzelnen Anbietern, Technologien oder proprietären Lösungen. Da vollständige Unabhängigkeit meist nicht realistisch ist, soll zumindest die Kontrollfähigkeit erhalten bleiben — also die Möglichkeit, die Funktionsweise digitaler Ressourcen zu überprüfen.

  2. Kosten und Wirtschaftlichkeit — Effizienter Ressourceneinsatz; Wirtschaftlichkeit nicht nur als Kostenreduktion, sondern auch als nachhaltige Investition verstanden, mit Blick auf kurz- und langfristige Effekte.

Spezifische Eckwerte:

  1. Resilienz — Anwendungen, Infrastrukturen und Prozesse müssen so gestaltet sein, dass sie auch bei Störungen, Angriffen oder Ausfällen funktionsfähig bleiben oder rasch wiederhergestellt werden können.

  2. Datenschutz und Informationssicherheit — Personen- und Geschäftsdaten dürfen nur im Einklang mit rechtlichen Vorgaben bearbeitet und durch geeignete technische und organisatorische Massnahmen vor unbefugtem Zugriff, Verlust oder Manipulation geschützt werden.

  3. Kooperation und Standardisierung — Daten, Wissen, Anwendungen und Infrastrukturen sollen gemeinsam mit vertrauenswürdigen Partnern genutzt werden, idealerweise über standardisierte Schnittstellen und harmonisierte Daten sowie klar definierte Verantwortungen und Abläufe.

  4. Innovation und Zweckmässigkeit — Prozesse und Technologien sollen einfach angewendet werden können und vielfältige Anwendungs- und Skalierungsmöglichkeiten bieten.

Aus Beratungssicht lässt sich dieses Sechser-Raster direkt als Bewertungsmatrix für Spital-Beschaffungen einsetzen: Jedes IKT-Vorhaben — vom KIS-Rollout bis zur Cloud-Migration des PACS — wird entlang dieser sechs Dimensionen bewertet, bevor eine Vergabeempfehlung ausgesprochen wird. Die Eckwerte 1 (Unabhängigkeit/Kontrolle) und 4 (Datenschutz/Informationssicherheit) sind dabei für Spitäler mit besonders schützenswerten Gesundheitsdaten regelmässig dominant — was aber nicht bedeutet, dass die übrigen Eckwerte vernachlässigt werden dürfen. Dieser Ansatz ergänzt die Anforderungen, die wir im Kontext der Cybersicherheit im Schweizer Gesundheitssektor beschrieben haben.

Das HERMES-Muster: Prüfpunkte in jedem Gate

Das tragende Element der W012 für die Projektsteuerung ist der HERMES-Prüfpunkt-Mechanismus. Laut W012 V1.0, Abschnitt 3.1, gilt für die zentrale Bundesverwaltung:

«Die Prüfpunkte MÜSSEN in den Checklisten aller Meilensteine erfasst und durch die Projektleitung bei jedem Meilenstein bearbeitet werden.»

Zusätzlich gilt (Abschnitt 3.3):

«Die Ergebnisse der Beurteilung MÜSSEN dokumentiert werden.»

Und bei strategisch bedeutsamen Vorhaben (Abschnitt 3.3):

«Ergibt die Beurteilung, dass ein Vorhaben Risiken oder Abhängigkeiten von grosser politischer oder strategischer Tragweite aufweist, SOLL die Auftraggeberin den Digitalisierungsrat Bund (DRB) darüber informieren.»

Übertragung auf das Spital (Empfehlung): Wir empfehlen, dieses Muster strukturell auf den Spital-Beschaffungsprozess zu übertragen — nicht als rechtliche Pflicht, sondern als Governance-Mechanismus:

  • Gate-Prüfpunkt: In jeder Projektphase (Vorstudie, Konzept, Realisierung, Einführung) wird ein standardisierter Souveränitäts-Prüfpunkt in die Meilenstein-Checkliste aufgenommen. Die Projektleitung bearbeitet diesen Punkt aktiv — er darf nicht übersprungen werden.
  • Dokumentationspflicht: Das Ergebnis der Souveränitätsbewertung (Ebenenmodell + Eckwerte) wird im Projektdossier festgehalten. Fehlt die Dokumentation, gilt der Gate nicht als bestanden.
  • Eskalation an die Geschäftsleitung: Ergibt die Bewertung ein erhöhtes Souveränitätsrisiko — etwa Lock-in bei einem Einzelanbieter, unklarer Datenspeicherort oder fehlende Exit-Option — wird die Geschäftsleitung (analog zum DRB-Mechanismus des Bundes) informiert und entscheidet über das weitere Vorgehen.

Das 3-Schritte-Vorgehen der W012 (illustriert am Beispiel einer KI-Anwendung für GEVER) zeigt, wie das in der Praxis aussieht: Erstbeurteilung (ist digitale Souveränität betroffen?), Beurteilung entlang Ebenenmodell und Eckwerten, Ableitung von Spannungsfeldern für die Studien- und Konzeptphase. Dieses Vorgehen ist direkt auf eine KIS-Evaluation, eine Cloud-Migration oder die Einführung einer KI-gestützten Diagnostikplattform übertragbar — als Empfehlung, nicht als Rechtspflicht. Wie sich solche Souveränitätsfragen mit KI-spezifischen Transparenzanforderungen überschneiden, zeigt unser Artikel zu den KI-Transparenzpflichten im Gesundheitswesen.

Stolperfallen aus der Beratungspraxis

Die folgenden Punkte basieren auf Beratungserfahrung — sie sind keine Tatsachenbehauptungen über bestimmte Organisationen oder Produkte, sondern Muster, die wir in der Praxis beobachten.

1. Souveränität mit On-Premises gleichgesetzt Ein eigener Server im Keller ist kein Garant für digitale Souveränität. Wenn die Wartung, das Monitoring oder die Softwareaktualisierung ausschliesslich durch einen einzigen Anbieter erbracht werden kann und kein Wechsel möglich ist, besteht faktisch dieselbe Abhängigkeit wie bei einem Cloud-Dienst. Souveränität ist eine Frage der Kontrollfähigkeit, nicht des Standorts.

2. Exit-Strategien nicht dokumentiert Aus Beratungssicht ist die fehlende Dokumentation von Exit-Szenarien eine der häufigsten Lücken. Wer nicht weiss, wie er Daten aus einem System exportiert, welche Formate unterstützt werden und welche Fristen ein Anbieter für die Datenmigration einräumt, hat keine reale Exit-Option — unabhängig davon, was der Vertrag verspricht.

3. Beschaffung ohne ISB-Beteiligung Wenn der Informationssicherheitsbeauftragte erst nach dem Vergabeentscheid einbezogen wird, sind die wesentlichen Souveränitätsfragen (Datenspeicherort, Auditrechte, Subauftragnehmer) bereits durch den Vertrag präjudiziert. Wir empfehlen, den ISB als obligatorischen Stakeholder in jede Gate-Entscheidung einzubinden.

4. Fehlende vertragliche Audit-Rechte Ohne vertraglich gesicherte Audit-Rechte ist die Kontrollfähigkeit — Eckwert 1 der W012 — nicht gewährleistet. Das gilt für Cloud-Dienste ebenso wie für On-Premises-Lösungen mit Fernwartungszugang. Aus Beratungssicht sollte jeder IKT-Vertrag im Spital eine explizite Audit-Klausel enthalten, die auch Subauftragnehmer einschliesst.

5. Unklarer Datenspeicherort bei verschachtelten Cloud-Strukturen Viele SaaS-Anbieter nutzen ihrerseits Cloud-Infrastrukturen (IaaS/PaaS) von Drittanbietern. Ohne vertragliche Festlegung des Datenspeicherorts auf jeder Ebene der Lieferkette ist unklar, wo Patientendaten tatsächlich verarbeitet werden. Das ist nicht nur eine Souveränitätsfrage, sondern auch eine datenschutzrechtliche — relevant im Kontext der BACS-Meldepflicht für Cyberangriffe und der allgemeinen Resilienzanforderungen.

Checkliste: Digitale Souveränität in der Spital-Beschaffung

Die folgende Checkliste ist eine Beratungsempfehlung — sie leitet sich methodisch aus dem W012-Modell ab, begründet aber keine Rechtspflichten für Spitäler.

Vor der Ausschreibung - [ ] Souveränitäts-Erstbeurteilung: Welche Ebenen (3–8) sind betroffen? - [ ] Welche der sechs Eckwerte sind für dieses Vorhaben prioritär? - [ ] ISB und Datenschutzverantwortliche als obligatorische Stakeholder definiert?

Im Ausschreibungsverfahren - [ ] Anforderungen an Datenportabilität und Exportformate spezifiziert? - [ ] Datenspeicherort (inkl. Subauftragnehmer) als Zuschlagskriterium aufgenommen? - [ ] Audit-Rechte (inkl. Subauftragnehmer) als Mindestanforderung definiert? - [ ] Exit-Szenario und Migrationspflichten des Anbieters beschrieben?

Bei jedem Projektmeilenstein (Gate-Prüfpunkt) - [ ] Souveränitätsbewertung entlang Ebenenmodell und Eckwerten durchgeführt? - [ ] Ergebnis im Projektdossier dokumentiert? - [ ] Bei erhöhtem Souveränitätsrisiko: Geschäftsleitung informiert und Entscheid dokumentiert?

Im Betrieb - [ ] Jährliche Überprüfung der Souveränitätsbewertung (Anbieter-Konsolidierungen, neue Subauftragnehmer)? - [ ] Exit-Strategie aktuell und getestet? - [ ] Vertragliche Audit-Rechte wahrgenommen?

Für die strukturierte Umsetzung eines ISMS, das Souveränitätsfragen systematisch einbettet, bietet sich eine Orientierung an ISO 27001 für Spitäler an — der Standard schafft den organisatorischen Rahmen, in dem Souveränitätsprüfpunkte dauerhaft verankert werden können. Unterstützung bei der Strukturierung bietet auch das ISMShield-Assessment.

Quellen

Dieser Artikel stellt keine Rechtsberatung dar. Für rechtliche Beratung wenden Sie sich an einen Anwalt.

Kostenlose NIS2-Bestandsaufnahme starten →
Weitere Artikel im Wissensbereich Aktuelle Sicherheitswarnungen für das Gesundheitswesen