🇨🇭 Dieser Beitrag betrifft die Schweiz. In Deutschland und Österreich gelten andere Gesetze (BSIG/DSGVO bzw. NISG 2024).

ISO 27001 Zertifizierung im Spital: Der Schweizer Weg

Meta-Description: ISO 27001 Zertifizierung im Schweizer Spital – Anforderungen, Vorgehen, typische Stolperfallen und konkrete Handlungsschritte für ISB und IT-Leitung.

Einleitung

Die ISO 27001 Zertifizierung gewinnt für Schweizer Spitäler zunehmend an Bedeutung – nicht nur als freiwilliger Qualitätsnachweis, sondern als strukturiertes Fundament für die Erfüllung gesetzlicher Anforderungen aus dem ISG, dem nDSG und kantonalen Vorgaben. Wer als Spital auf Patientendaten, vernetzte Medizingeräte und digitale Prozesse angewiesen ist, braucht ein nachweisbares Informationssicherheits-Managementsystem. Die ISO 27001 hat sich in der Praxis als bevorzugter Referenzrahmen etabliert und liefert den international anerkannten Rahmen – sie ist jedoch nicht gesetzlich vorgeschrieben. Der Weg zur Zertifizierung ist im Spitalumfeld mit spezifischen Herausforderungen verbunden. Dieser Artikel zeigt, was Schweizer Spitäler konkret erwartet: von den regulatorischen Anknüpfungspunkten über den Projektablauf bis hin zu den häufigsten Fehlern.

Warum ISO 27001 im Schweizer Spital jetzt relevant ist

Regulatorischer Kontext: ISG, nDSG und EPDG

Schweizer Spitäler bewegen sich in einem regulatorischen Umfeld, das in den letzten Jahren deutlich schärfer geworden ist.

Das Informationssicherheitsgesetz (ISG) verpflichtet Bundesorgane und Betreiber kritischer Infrastrukturen zu Massnahmen der Informationssicherheit; für Spitäler ist der Geltungsbereich nicht pauschal gegeben — massgeblich sind Art. 5 ISG und die kantonalen Spitallisten – Quelle: https://www.fedlex.admin.ch/eli/cc/2022/232/de richtet sich primär an Bundesorgane sowie an Betreiber kritischer Infrastrukturen. Ob ein konkretes Spital unter diesen Geltungsbereich fällt, ist nicht pauschal zu beantworten: Für Spitäler, die unter den Geltungsbereich fallen, kann ein ISMS nach ISO 27001 eine hilfreiche Grundlage schaffen, um gesetzliche Anforderungen strukturiert nachweisen zu können. Eine gesetzliche Pflicht zur ISO-27001-Zertifizierung ergibt sich aus dem ISG jedoch nicht.

Das neue Datenschutzgesetz (nDSG), das seit September 2023 gilt, verlangt von Verantwortlichen und Auftragsbearbeitern technische und organisatorische Massnahmen (TOM) zum Schutz von Personendaten. Gesundheitsdaten gelten nach nDSG als besonders schützenswerte Personendaten. Ein ISMS nach ISO 27001 deckt viele dieser TOM-Anforderungen sinnvoll ab und dokumentiert die Massnahmen systematisch, was den Nachweis gegenüber dem EDÖB (Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter) erleichtert. Eine gesetzliche Pflicht zur ISO-27001-Zertifizierung ergibt sich aus dem nDSG nicht.

Das EPDG (Bundesgesetz über das elektronische Patientendossier) stellt technische Mindestanforderungen an die Informationssicherheit. Diese Zertifizierungspflichten richten sich primär an die EPD-Gemeinschaften und Stammgemeinschaften selbst. ISO 27001 wird im EPD-Kontext häufig als Nachweis des Stands der Technik referenziert und ist ein starkes Nachweismittel; eine explizite gesetzliche Pflicht zur ISO-27001-Zertifizierung für teilnehmende Spitäler besteht jedoch nicht.

Wichtige Abgrenzung: Die ISG-Meldepflicht für Cyberangriffe betrifft Betreiber kritischer Infrastrukturenwelche Spitäler konkret erfasst sind, insbesondere Listenspitäler gemäss ISG Art. 5 – Quelle: https://www.fedlex.admin.ch/eli/cc/2022/232/de. Ein ISMS erleichtert die Einhaltung dieser Meldepflicht und eine strukturierte Incident Response erheblich; eine direkte rechtliche Pflicht zur ISO-27001-Zertifizierung aufgrund der Meldepflicht besteht jedoch nicht. Arztpraxen und ambulante Einzelpraxen fallen nicht unter die ISG-Meldepflicht – für sie gelten primär die Pflichten aus dem nDSG.

Hinweis: Dieser Artikel ersetzt keine Rechtsberatung. Für die Beurteilung, ob Ihr Spital unter den ISG-Geltungsbereich fällt, wenden Sie sich an einen auf IT- und Gesundheitsrecht spezialisierten Anwalt.

Was ISO 27001 im Spitalkontext bedeutet

ISO 27001 ist ein international anerkannter Standard für Informationssicherheits-Managementsysteme (ISMS). Die aktuelle Fassung ISO/IEC 27001:2022 wurde überarbeitet und legt 93 Controls in Anhang A fest (vorgängige Version: 114 Controls). Für das Gesundheitswesen gibt es ergänzend die ISO 27799, die branchenspezifische Leitlinien zur Umsetzung von ISO 27001 in Gesundheitsorganisationen enthält.

Ein ISMS nach ISO 27001 umfasst:

  • Kontext und Geltungsbereich: Welche Systeme, Prozesse und Standorte sind einbezogen? Im Spital typischerweise: Klinikinformationssystem (KIS), PACS, Laborsysteme, Verwaltung – und die wachsende Zahl vernetzter Medizingeräte.
  • Risikobeurteilung und -behandlung: Strukturierte Identifikation und Bewertung von Informationssicherheitsrisiken auf Basis von Bedrohungen, Schwachstellen und Auswirkungen.
  • Statement of Applicability (SoA): Dokumentierter Nachweis, welche der 93 Controls angewendet werden – und mit welcher Begründung Ausschlüsse erfolgen.
  • Kontinuierliche Verbesserung: ISMS ist kein Projekt, sondern ein permanenter Betrieb mit regelmässigen internen Audits und Management-Reviews.

Der Zertifizierungsweg: Phasen und Zeitplanung

Phase 1: Gap-Analyse und Scope-Definition (2–4 Monate)

Bevor die eigentliche ISMS-Implementierung beginnt, braucht es ein ehrliches Lagebild. Eine Gap-Analyse vergleicht den Ist-Zustand mit den Anforderungen der ISO 27001:2022. Im Spitalkontext sollten dabei folgende Bereiche besonders betrachtet werden:

  • Netzwerksegmentierung zwischen klinischen und administrativen Netzen
  • Zugriffsmanagement auf KIS und andere klinische Systeme (Role-Based Access Control)
  • Patch-Management für Medizingeräte (Schnittstelle zu Swissmedic-Anforderungen )
  • Backup- und Wiederanlaufkonzepte
  • Lieferanten- und Drittpartei-Management (Outsourcing, Cloud-Dienste)

Die Scope-Definition entscheidet massgeblich über Aufwand und Glaubwürdigkeit des Zertifikats. Ein Scope, der kritische Systeme ausklammert, wird von erfahrenen Auditoren hinterfragt und schafft wenig Vertrauen.

Phase 2: ISMS-Aufbau und Dokumentation (6–12 Monate)

Die Kernarbeit besteht im Aufbau der erforderlichen Dokumentation und der Umsetzung fehlender Massnahmen:

  1. Informationssicherheitsleitlinie (Policy) – von der Spitalleitung verabschiedet
  2. Risikobeurteilungsverfahren – methodisch konsistent, wiederholbar
  3. Risikoregister mit Behandlungsplänen
  4. Statement of Applicability für alle 93 Controls der ISO 27001:2022
  5. Prozessdokumentation für kritische Controls: Incident Management, Business Continuity, Zugriffsverwaltung, physische Sicherheit
  6. Awareness-Programm – Schulungen für klinisches und administratives Personal

Ein häufiger Fehler: Die Dokumentation wird um der Zertifizierung willen erstellt, spiegelt aber nicht die gelebte Praxis wider. Auditoren prüfen nicht nur Dokumente, sondern Nachweise (Records) und befragen Mitarbeitende.

Phase 3: Internes Audit und Management-Review (1–2 Monate)

Vor dem externen Zertifizierungsaudit ist ein vollständiger interner Audit-Zyklus durchzuführen. Das interne Audit muss von Personen durchgeführt werden, die nicht die auditierten Bereiche verantworten. Anschliessend führt die Spitalleitung ein Management-Review durch, in dem Ergebnisse, Kennzahlen und Verbesserungsmassnahmen dokumentiert werden.

Phase 4: Zertifizierungsaudit durch akkreditierte Stelle

Das Zertifizierungsaudit erfolgt in zwei Stufen:

  • Stage 1 (Dokumentenprüfung): Die Zertifizierungsstelle prüft, ob die ISMS-Dokumentation die Anforderungen erfüllt und ob das Spital bereit für Stage 2 ist.
  • Stage 2 (Implementierungsprüfung): Vor-Ort-Audit (oder Hybrid), bei dem die tatsächliche Umsetzung geprüft wird – Interviews, Systembegehungen, Nachweisauswertung.

Für die Akkreditierung der Zertifizierungsstelle in der Schweiz ist die SAS (Schweizerische Akkreditierungsstelle) zuständig.

Nach erfolgreichem Audit gilt das Zertifikat für drei Jahre, mit jährlichen Überwachungsaudits.

Typische Stolperfallen im Spital

1. Scope zu eng oder zu weit Ein Scope, der das KIS einschliesst, aber die angebundene Radiologie-IT ausklammert, ist nicht glaubwürdig. Umgekehrt führt ein überdimensionierter Scope zu unbeherrschbarem Aufwand.

2. Medizingeräte als blinder Fleck Vernetzte Medizingeräte (Infusionspumpen, Beatmungsgeräte, bildgebende Systeme) sind oft nicht patchfähig und laufen auf veralteten Betriebssystemen. Sie müssen im ISMS berücksichtigt werden – sowohl im Risikomanagement als auch in der Netzwerksegmentierung.

3. Fehlende Management-Unterstützung ISO 27001 verlangt ausdrücklich Führungsverantwortung (Leadership, Clause 5). Ohne aktive Unterstützung der Spitalleitung scheitert die Implementierung an Budget, Ressourcen und Priorisierungskonflikten mit dem klinischen Betrieb.

4. Einmaliges Projekt statt dauerhafter Betrieb Das ISMS muss nach der Zertifizierung gelebt werden. Wer nach dem Audit die Aktivitäten einstellt, riskiert beim nächsten Überwachungsaudit den Zertifikatsentzug.

5. Fehlende Integration von Lieferanten Viele Spitäler beziehen kritische IT-Dienste von externen Anbietern (RIS/PACS-Hosting, Cloud-KIS, externe NOCs). Das Lieferantenmanagement (Control 5.19–5.22 nach ISO 27001:2022) muss diese Abhängigkeiten systematisch erfassen und steuern.

Praktische Handlungsschritte

Für ISB und IT-Leitung, die einen ISMS-Aufbau planen:

  • [ ] Gap-Analyse durchführen – intern oder mit externer Unterstützung; Ergebnis: priorisierte Massnahmenliste
  • [ ] Scope definieren und von Spitalleitung genehmigen lassen
  • [ ] Projektteam aufstellen – ISB, IT-Leitung, Datenschutzbeauftragter, Vertreter klinischer Bereiche
  • [ ] Risikobeurteilungsverfahren festlegen – Methodik, Bewertungsskalen, Verantwortlichkeiten
  • [ ] Statement of Applicability erstellen – für alle 93 Controls der ISO 27001:2022
  • [ ] Awareness-Programm starten – klinisches Personal separat adressieren
  • [ ] Akkreditierte Zertifizierungsstelle frühzeitig auswählen – Angebote einholen, Referenzen im Gesundheitswesen prüfen
  • [ ] Internen Auditplan erstellen – vor Stage 1 mindestens einen vollständigen Zyklus abgeschlossen haben

Einen ersten strukturierten Überblick über Ihren aktuellen Sicherheitsstatus erhalten Sie mit dem ISMShield Assessment – als Ausgangspunkt für die Gap-Analyse.

Für rechtliche Beurteilungen – insbesondere zur Frage, ob Ihr Spital unter den ISG-Geltungsbereich fällt oder welche Pflichten sich aus nDSG und EPDG ergeben – wenden Sie sich an einen auf Gesundheits- und IT-Recht spezialisierten Anwalt.

Prüfmarker-Zusammenfassung für Redaktion: - ISG-Geltungsbereich für Spitäler – Art. 5 ISG, Fedlex; Negativabgrenzung: nicht alle kantonalen/privaten Spitäler sind erfasst - nDSG Inkrafttreten September 2023 – Art. 1 nDSG, Fedlex - Gesundheitsdaten als besonders schützenswert – Art. 5 lit. c nDSG, Fedlex - Welche Spitäler konkret als Betreiber kritischer Infrastrukturen gemäss ISG-Meldepflicht erfasst sind – Art. 5 ISG, Fedlex - Swissmedic-Anforderungen Medizinprodukte-Software – MepV/HMG - SAS-Akkreditierungsverfahren für ISO 27001-Stellen – https://www.sas.ch

Kostenlose NIS2-Bestandsaufnahme starten →
Weitere Artikel im Wissensbereich Aktuelle Sicherheitswarnungen für das Gesundheitswesen