Von Frank Becker, Externer ISB / DSB, BPC GmbH
Aktualisiert am 05.08.2026

Drittanbieter-Risikomanagement Spital

Cloud-Anbieter, Laborsysteme, Medizingeräte-Software, externe Rechenzentren: Listenspitäler vergeben heute einen erheblichen Teil ihrer Datenverarbeitung an Dritte. Gleichzeitig sind sie seit dem 1. April 2025 meldepflichtig für Cyberangriffe — und das Datenschutzgesetz (DSG) verpflichtet sie als Verantwortliche, sich zu vergewissern, dass ihre Auftragsbearbeiter die Datensicherheit tatsächlich gewährleisten können. Dieser Artikel zeigt, welche Rechtsgrundlagen greifen, wo die Grenzen liegen und wie ein belastbares Drittanbieter-Risikomanagement aufgebaut wird.

Betrifft mich das?

Listenspitäler: Meldepflicht ja — ISG-Sicherheitsregime nein

Das Informationssicherheitsgesetz (ISG, SR 128) richtet sich in seinem Kernteil — Art. 2 Abs. 1–4 — an Bundesbehörden und bestimmte Organisationen des Bundes. Ein Listenspital, das auf der kantonalen Spitalliste nach Art. 39 Abs. 1 Bst. e KVG aufgeführt ist, gehört diesem Adressatenkreis nicht an, unabhängig davon, ob es in öffentlicher oder privater Trägerschaft betrieben wird. Die Pflichten aus Art. 8 ISG (laufende Risikobeurteilung) und Art. 9 ISG (vertragliche Überbindung an Dritte) binden ausschliesslich die verpflichteten Behörden und Organisationen nach Art. 2 ISG — also nicht das Listenspital.

Die Meldepflicht bei Cyberangriffen entsteht für Listenspitäler auf einer anderen Rechtsgrundlage: Art. 74b Abs. 1 Bst. f ISG benennt Gesundheitseinrichtungen auf der kantonalen Spitalliste ausdrücklich als meldepflichtige Organisationen. Diese Pflicht gilt seit dem 1. April 2025 und ist eigenständig — sie setzt keine Unterstellung unter Art. 2 ISG voraus.

Ebenso klar abzugrenzen sind die Sicherheitsstufen nach Art. 17 ISG: Sie sind den Informatikmitteln der nach Art. 2 ISG verpflichteten Behörden zugeordnet. Für ein Listenspital begründen sie keine Rechtspflicht. Wer diese Bestimmung aus anderen Quellen kennt und auf das Spital übertragen möchte, sollte wissen: Eine solche Übertragung wäre eine freiwillige Orientierung, keine gesetzliche Anforderung.

DSG und DSV: Volle Geltung für Listenspitäler

Das Bundesgesetz über den Datenschutz (DSG, SR 235.1) gilt für die Bearbeitung von Personendaten natürlicher Personen durch private Personen und Bundesorgane (Art. 2 Abs. 1 DSG). Listenspitäler sind als private Personen im Sinne des DSG erfasst — die Datenschutzverordnung (DSV, SR 235.11) konkretisiert die technischen und organisatorischen Anforderungen. Beide Erlasse sind seit dem 1. September 2023 in Kraft.

Was ist zu tun?

1. Meldepflicht bei Cyberangriffen: 24-Stunden-Frist

Listenspitäler müssen einen Cyberangriff innert 24 Stunden nach Entdeckung dem BACS melden (Art. 74e Abs. 1 ISG), wenn einer der folgenden Tatbestände erfüllt ist (Art. 74d ISG):

Der Angriff gefährdet die Funktionsfähigkeit der kritischen Infrastruktur.
Er hat zu einer Manipulation oder einem Abfluss von Informationen geführt.
Er blieb mehr als 90 Tage unentdeckt, insbesondere wenn Anzeichen auf Vorbereitung weiterer Angriffe bestehen.
Er ist mit Erpressung, Drohung oder Nötigung verbunden.

Die Cybersicherheitsverordnung (CSV, SR 128.51) konkretisiert diese Tatbestände: Die Funktionsfähigkeit gilt als gefährdet, wenn Mitarbeitende oder Dritte von Systemunterbrüchen betroffen sind oder die Organisation ihre Tätigkeiten nur noch mit Notfallplänen aufrechterhalten kann (Art. 14 Abs. 1 CSV). Eine Datensicherheitsverletzung nach Art. 24 DSG löst ebenfalls den Tatbestand «Manipulation oder Abfluss» aus (Art. 14 Abs. 2 Bst. b CSV).

Sind zum Zeitpunkt der Erstmeldung nicht alle Informationen bekannt, gewährt das BACS eine Nachfrist von 14 Tagen zur Ergänzung (Art. 16 Abs. 1 CSV). Die Meldung muss Angaben zur Organisation, zur Art und Ausführung des Angriffs, zu seinen Auswirkungen, zu ergriffenen Massnahmen und zum geplanten weiteren Vorgehen enthalten (Art. 74e Abs. 2 ISG).

Wer einer rechtskräftigen BACS-Verfügung vorsätzlich nicht Folge leistet, riskiert eine Busse bis zu 100 000 Franken (Art. 74h Abs. 1 ISG). Verfolgung und Beurteilung obliegen den Kantonen.

Registrierung nicht vergessen: Listenspitäler müssen sich für die Nutzung des Kommunikationssystems des BACS registrieren und Änderungen der Angaben unverzüglich melden (Art. 9 CSV). Der Meldeprozess kann auch an eine Drittorganisation ausgelagert werden — einzeln oder gemeinsam mit anderen meldepflichtigen Organisationen (Art. 17 Abs. 1 CSV). Erfolgt die Meldung nicht über das BACS-Kommunikationssystem, informiert das BACS die hinterlegte Kontaktperson über Eingang und Inhalt der Meldung (Art. 17 Abs. 2 CSV).

Mehr zu den Meldetatbeständen und zur praktischen Umsetzung finden Sie im Artikel BACS-Meldepflicht für Cyberangriffe: Was Spitäler jetzt wissen müssen.

2. Datenschutzrechtliche Vergewisserungspflicht gegenüber Auftragsbearbeitern

Als Verantwortlicher nach DSG muss das Listenspital sich vergewissern, dass jeder Auftragsbearbeiter in der Lage ist, die Datensicherheit zu gewährleisten (Art. 9 Abs. 2 DSG). Diese Pflicht ist nicht delegierbar: Sie liegt beim Verantwortlichen, nicht beim Auftragsbearbeiter.

Die Bearbeitung darf einem Auftragsbearbeiter nur übertragen werden, wenn die Daten so bearbeitet werden, wie der Verantwortliche selbst es tun dürfte, und keine gesetzliche oder vertragliche Geheimhaltungspflicht entgegensteht (Art. 9 Abs. 1 DSG). Besonders relevant im Spitalkontext: Das Arztgeheimnis und kantonale Datenschutzvorschriften können die Übertragbarkeit einschränken — dies ist im Einzelfall zu beurteilen.

3. Die Unterauftragsbearbeiter-Kette

Ein verbreitetes Risiko in verschachtelten Cloud-Strukturen: Der direkte Auftragsbearbeiter setzt seinerseits Unterauftragsbearbeiter ein — Rechenzentren, Subprozessoren, Infrastrukturdienstleister. Das DSG regelt dies klar: Der Auftragsbearbeiter darf die Bearbeitung nur mit vorgängiger Genehmigung des Verantwortlichen einem Dritten übertragen (Art. 9 Abs. 3 DSG).

Aus Beratungssicht bedeutet das: Ein Prüfrecht, das an der ersten Vertragsstufe endet, erfüllt die datenschutzrechtliche Vergewisserungspflicht bei mehrstufigen Cloud-Strukturen faktisch nicht. Wir empfehlen, in Auftragsbearbeitungsverträgen explizit zu regeln, dass jede Weitergabe an Unterauftragsbearbeiter der vorgängigen Genehmigung bedarf, und das Spital das Recht erhält, die Unterauftragsbearbeiter-Liste einzusehen und Änderungen rechtzeitig zu erhalten.

4. Mindestinhalt von Auftragsbearbeitungsverträgen

Art. 9 Abs. 1 DSV nennt den Mindestinhalt von Datenschutzklauseln — und zwar für die Bekanntgabe von Personendaten ins Ausland nach Art. 16 Abs. 2 DSG, nicht für jeden Auftragsbearbeitungsvertrag. Nicht zu verwechseln mit Art. 9 DSG, der die Auftragsbearbeitung regelt: Die gleiche Artikelnummer in Gesetz und Verordnung betrifft hier verschiedene Gegenstände.

Für Listenspitäler ist das häufig relevant: Verarbeitet der KIS-Betreiber oder der Backup-Dienstleister Daten ausserhalb der Schweiz und liegt für das Zielland kein Angemessenheitsbeschluss vor, kommen die Anforderungen nach Art. 9 Abs. 1 DSV zu den Pflichten aus Art. 9 DSG hinzu. Die Datenschutzklauseln müssen dann mindestens folgende Punkte abdecken:

Anwendung der Grundsätze der Rechtmässigkeit, von Treu und Glauben, der Verhältnismässigkeit, der Transparenz, der Zweckbindung und der Richtigkeit
Kategorien der bekanntgegebenen Personendaten und der betroffenen Personen
Art und Zweck der Bekanntgabe von Personendaten
Gegebenenfalls Namen der Staaten oder internationalen Organe sowie Anforderungen an die Bekanntgabe
Anforderungen an Aufbewahrung, Löschung und Vernichtung
Empfänger oder Empfängerkategorien
Massnahmen zur Gewährleistung der Datensicherheit
Pflicht des Auftragsbearbeiters, Datensicherheitsverletzungen zu melden
Falls die Empfängerinnen und Empfänger selbst Verantwortliche sind: die Pflicht, die betroffenen Personen über die Bearbeitung zu informieren
Rechte der betroffenen Personen (Auskunft, Datenherausgabe, Widerspruch, Berichtigung, Löschung, Rechtsschutz)

Verantwortliche und Auftragsbearbeiter müssen zudem angemessene Massnahmen treffen, um sicherzustellen, dass die Empfänger diese Klauseln tatsächlich einhalten (Art. 9 Abs. 2 DSV).

5. Technische und organisatorische Massnahmen auch beim Auftragsbearbeiter

Die DSV verpflichtet sowohl den Verantwortlichen als auch den Auftragsbearbeiter, den Schutzbedarf der Personendaten zu bestimmen und geeignete technische und organisatorische Massnahmen festzulegen (Art. 1 Abs. 1 DSV). Diese Massnahmen sind über die gesamte Bearbeitungsdauer zu überprüfen und nötigenfalls anzupassen (Art. 1 Abs. 5 DSV).

Konkret verlangt Art. 3 DSV Massnahmen zur Gewährleistung von:

Vertraulichkeit: Zugriffskontrolle (nur benötigte Daten für berechtigte Personen), Zugangskontrolle (Räumlichkeiten und Anlagen), Benutzerkontrolle (kein unbefugter Fernzugriff auf automatisierte Systeme)
Verfügbarkeit und Integrität: Datenträgerkontrolle, Speicherkontrolle, Transportkontrolle, Wiederherstellung nach Zwischenfällen, Systemsicherheit — Betriebssysteme und Anwendungssoftware müssen stets auf dem neusten Sicherheitsstand gehalten und bekannte kritische Lücken geschlossen werden
Nachvollziehbarkeit: Eingabe- und Bekanntgabekontrolle, Erkennung von Datensicherheitsverletzungen und Beseitigung der Folgen

Diese Anforderungen gelten für den Verantwortlichen und den Auftragsbearbeiter gleichermassen. Das Spital muss sich also vergewissern, dass sein Auftragsbearbeiter diese Massnahmen umsetzt — nicht nur vertraglich zusagen, sondern tatsächlich nachweisen.

6. Datensicherheitsverletzungen: Meldekette und Fristen

Stellt der Auftragsbearbeiter eine Verletzung der Datensicherheit fest, meldet er diese so rasch als möglich dem Verantwortlichen (Art. 24 Abs. 3 DSG). Das Listenspital als Verantwortlicher meldet dem EDÖB so rasch als möglich, wenn die Verletzung voraussichtlich zu einem hohen Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Person führt (Art. 24 Abs. 1 DSG). Ist es zum Schutz der betroffenen Personen erforderlich oder verlangt es der EDÖB, sind auch die Betroffenen zu informieren (Art. 24 Abs. 4 DSG).

Die Meldung an den EDÖB muss folgende Angaben enthalten (Art. 15 Abs. 1 DSV): Art der Verletzung, soweit möglich Zeitpunkt und Dauer, Kategorien und ungefähre Anzahl betroffener Personendaten und Personen, Folgen und Risiken für Betroffene, getroffene und geplante Massnahmen sowie Name und Kontaktdaten einer Ansprechperson.

Verletzungen der Datensicherheit müssen dokumentiert werden; die Dokumentation ist ab dem Meldezeitpunkt mindestens zwei Jahre aufzubewahren (Art. 15 Abs. 4 DSV). Der EDÖB kann die Meldung mit Einverständnis des Verantwortlichen zur Analyse an das BACS weiterleiten (Art. 24 Abs. 5bis DSG).

7. Kritikalitätseinstufung von Drittdiensten

Das DSG und die DSV liefern die Schutzziele, an denen sich eine Kritikalitätseinstufung orientieren kann: Vertraulichkeit, Verfügbarkeit, Integrität und Nachvollziehbarkeit (Art. 2 DSV). Aus Beratungssicht empfehlen wir, Drittdienste in drei Stufen einzuteilen — ausdrücklich als Beratungsempfehlung, nicht als Rechtspflicht und ohne Rückgriff auf die ISG-Sicherheitsstufen, die für Listenspitäler keine Rechtswirkung entfalten:

Stufe 1 — Kritisch: Dienste, die besonders schützenswerte Personendaten (Gesundheitsdaten, Diagnosen, Medikation) in grossem Umfang automatisiert bearbeiten oder bei deren Ausfall die Patientenversorgung unmittelbar gefährdet ist. Für diese Dienste empfehlen wir: vorgängige Datenschutz-Folgenabschätzung nach Art. 22 DSG, vertragliches Prüfrecht auf allen Vertragsstufen einschliesslich Unterauftragsbearbeiter, jährliche Überprüfung der Massnahmen, Protokollierung nach Art. 4 DSV.

Stufe 2 — Erhöhter Schutzbedarf: Dienste, die Personendaten bearbeiten, aber nicht primär Gesundheitsdaten, oder bei deren Ausfall der Betrieb mit Notfallplänen aufrechterhalten werden kann. Für diese Dienste empfehlen wir: vollständige Vertragsklauseln nach Art. 9 Abs. 1 DSV, Vergewisserung über die Datensicherheit des Auftragsbearbeiters, zweijährliche Überprüfung.

Stufe 3 — Standardschutz: Dienste ohne Personendatenbearbeitung oder mit ausschliesslich anonymisierten Daten. Für diese Dienste empfehlen wir: Basisanforderungen an Verfügbarkeit und Systemsicherheit, Aufnahme in das Verzeichnis der Bearbeitungstätigkeiten, sofern Personendaten doch anfallen.

Diese Einstufung ist ein Werkzeug zur Priorisierung — sie ersetzt keine rechtliche Beurteilung im Einzelfall.

8. Verzeichnis der Bearbeitungstätigkeiten

Verantwortliche und Auftragsbearbeiter führen je ein Verzeichnis der Bearbeitungstätigkeiten (Art. 12 Abs. 1 DSG). Für Listenspitäler, die besonders schützenswerte Personendaten in grossem Umfang bearbeiten, gilt keine Ausnahme — die Ausnahme für Unternehmen mit weniger als 250 Mitarbeitenden nach Art. 12 Abs. 5 DSG in Verbindung mit Art. 24 DSV greift nicht, wenn besonders schützenswerte Personendaten in grossem Umfang bearbeitet werden oder ein Profiling mit hohem Risiko durchgeführt wird. Das Verzeichnis der Bearbeitungstätigkeiten ist zugleich das Fundament für das Drittanbieter-Risikomanagement: Es zeigt, welche Datenflüsse an welche Auftragsbearbeiter bestehen.

9. BACS-Informationsaustausch nutzen

Listenspitäler können dem BACS Dienstleister melden, die für sie Leistungen im Bereich der Cybersicherheit erbringen und am Informationsaustausch teilnehmen wollen (Art. 10 Abs. 1 CSV). Diese registrierten Dienstleister dürfen die erhaltenen Informationen ausschliesslich zum Schutz kritischer Infrastrukturen verwenden (Art. 11 Abs. 4 CSV). Das BACS stellt Betreiberinnen kritischer Infrastrukturen unentgeltlich ein Kommunikationssystem für den sicheren Informationsaustausch, technische Informationen zu aktuellen Cyberbedrohungen sowie Instrumente zur Erkennung von Cybervorfällen zur Verfügung (Art. 74 Abs. 2 ISG).

Checkliste: Drittanbieter-Risikomanagement für Listenspitäler

[ ] Registrierung beim BACS für das Kommunikationssystem abgeschlossen; Kontaktperson hinterlegt und aktuell (Art. 9 CSV)
[ ] Verzeichnis der Bearbeitungstätigkeiten vollständig und aktuell, alle Auftragsbearbeiter erfasst (Art. 12 DSG)
[ ] Kritikalitätseinstufung aller Drittdienste nach den drei Stufen (Beratungsempfehlung) vorgenommen
[ ] Auftragsbearbeitungsverträge vollständig; bei Auslandbekanntgabe ohne Angemessenheitsbeschluss zusätzlich die Mindestklauseln nach Art. 9 Abs. 1 DSV
[ ] Unterauftragsbearbeiter-Genehmigungspflicht in allen Verträgen verankert; Spital erhält Änderungsmitteilungen (Art. 9 Abs. 3 DSG)
[ ] Prüfrecht erstreckt sich auf alle Vertragsstufen, nicht nur auf den direkten Auftragsbearbeiter
[ ] Vergewisserung über Datensicherheit des Auftragsbearbeiters dokumentiert (Art. 9 Abs. 2 DSG)
[ ] Technische und organisatorische Massnahmen des Auftragsbearbeiters nach Art. 3 DSV überprüft (Zugriffs-, Zugangs-, Benutzerkontrolle; Systemsicherheit; Nachvollziehbarkeit)
[ ] Meldekette für Datensicherheitsverletzungen vertraglich geregelt: Auftragsbearbeiter → Spital → EDÖB (Art. 24 DSG)
[ ] 24-Stunden-Meldeprozess für Cyberangriffe an das BACS intern definiert und getestet (Art. 74e ISG)
[ ] Datenschutz-Folgenabschätzung für Stufe-1-Dienste erstellt und mindestens zwei Jahre nach Beendigung aufbewahrt (Art. 22 DSG, Art. 14 DSV)
[ ] Dokumentation von Datensicherheitsverletzungen ab Meldezeitpunkt mindestens zwei Jahre aufbewahrt (Art. 15 Abs. 4 DSV)
[ ] Protokollierung bei grossem Umfang automatisierter Bearbeitung besonders schützenswerter Personendaten eingerichtet; Protokolle mindestens ein Jahr separat aufbewahrt (Art. 4 DSV)
[ ] Bearbeitungsreglement erstellt, wenn besonders schützenswerte Personendaten in grossem Umfang bearbeitet werden (Art. 5 DSV)

Für die strukturierte Umsetzung eines ISMS, das diese Anforderungen integriert, bietet der Artikel ISO 27001 Zertifizierung im Spital: Der Schweizer Weg einen praxisnahen Einstieg.

Quellen

Dieser Artikel stellt keine Rechtsberatung dar. Für rechtliche Beratung wenden Sie sich an einen Anwalt.

Kostenlose NIS2-Bestandsaufnahme starten →