Die EU-Kommission will die IT-Sicherheit von Krankenhäusern und Gesundheitsdienstleistern stärken. Dazu hat sie am Mittwoch einen Aktionsplan vorgelegt. Attacken haben teils fatale Folgen. Die Kommission schlägt nun vor, dass die Enisa (Agentur der Europäischen Union für Cybersicherheit) ein gesamteuropäisches Zentrum zur Unterstützung der IT-Sicherheit für den Gesundheitssektor einrichtet. Dieses soll Betreibern "maßgeschneiderte Leitlinien, Instrumente, Dienste und Schulungen zur Verfügung" stellen.
Anzeige
Vier Bereiche stehen im Fokus des Plans. Dazu gehören die verstärkte Prävention sowie die bessere Identifizierung von Bedrohungen sowie Reaktion auf Angriffe, um deren Auswirkungen zu minimieren. Auch das Thema Abschreckung steht auf der Agenda: "Cyberbedrohungsakteure" sollen etwa per Diplomatie und dem Hinweis auf Sanktionen davon abgehalten werden, europäische Gesundheitssysteme anzugreifen.
Das Gesundheitswesen wird zu Prävention angehalten. Mitgliedstaaten könnten dafür auch Gutscheine einführen, um kleinen und mittleren Einrichtungen finanziell unter die Arme zu greifen. Das bei der Enisa geplante Zentrum soll bis 2026 einen EU-weiten Frühwarndienst entwickeln, der nahezu in Echtzeit Hinweise auf potenzielle Bedrohungen liefert. Die Initiative sieht einen Krisenreaktionsdienst für den Gesundheitssektor im Rahmen der EU-Cybersicherheitsreserve vor. Übungen sollen Gesundheitsorganisationen auf Angriffe, etwa mit Ransomware, vorbereiten. Erhalten einschlägige Einrichtungen Lösegeldforderungen, müssten sie dies melden und Strafverfolgungsbehörden einbeziehen.
Spezifische Maßnahmen sollen 2025 und 2026 schrittweise sowie Hand in Hand mit Gesundheitsdienstleistern, den EU-Ländern und der IT-Sicherheits-Community eingeführt werden. Zur Vorbereitung möchte die Kommission eine öffentliche Konsultation durchführen, deren Ergebnisse in weitere Empfehlungen münden sollen. "Patienten müssen sich darauf verlassen können, dass ihre sensibelsten Informationen sicher sind", betonte Gesundheitskommissar Oliver Várhelyi. Die Digitalisierung im Gesundheitssystem mit ihren "beispiellosen Möglichkeiten" etwa für Präzisionsmedizin sei nur so stark wie das Vertrauen, das dieses widerstandsfähig gegen IT-Angriffe bleibe.
Online-Attacken können laut der Kommission Diagnose und Behandlung verzögern, Blockaden in Notaufnahmen verursachen und lebenswichtige Dienste stören. Allein für 2023 haben die Mitgliedstaaten 309 schwerwiegende IT-Sicherheitsvorfälle im Gesundheitsbereich gemeldet – mehr als in allen anderen Kritischen Infrastrukturen (Kritis). Für Deutschland weist die Statistik für Krankenhäuser, die unter die Kritis-Verordnung fallen, für 2019 insgesamt 61 Cyberangriffe aus. Das war ein deutliches Plus gegenüber 2018. Seitdem seien die Zahlen aber rückläufig, hat die Bundesregierung im April mitgeteilt. 2020 sorgte eine Attacke auf die Düsseldorfer Uni-Klinik für Schlagzeilen. Seit 2022 sind auch alle deutschen Spitäler unterhalb der Kritis-Schwelle zu angemessenen Vorkehrungen verpflichtet.
(
Kommentare