Cyberangriffe auf Krankenhäuser in Deutschland haben gezeigt, dass auch in der Gesundheitswirtschaft die Cybersicherheit verbessert werden muss. Als kritische Infrastruktur gemäß BSI-Gesetz eingestufte Krankenhäuser sind verpflichtet, dem Bundesamt für Sicherheit in der Informationstechnik (BSI) bis spätestens Juni 2019 nachzuweisen, dass sie IT-Sicherheitsmaßnahmen nach dem Stand der Technik erfolgreich implementiert haben.
Bei diesen IT-Sicherheitsmaßnahmen spielen nach Auffassung von BSI und ZVEI – Zentralverband Elektrotechnik und Elektronikindustrie auch netzwerkfähige Medizinprodukte eine Rolle. Die neue BSI-Empfehlung für netzwerkfähige Medizinprodukte, in die ZVEI-Expertenwissen eingeflossen ist, dient als Hilfestellung für Hersteller, um Aspekte der Cybersicherheit angemessen zu berücksichtigen.
Besserer Schutz für Gesundheitseinrichtungen
Ziel der Empfehlung ist es, Anforderungen an netzwerkverbundene Medizinprodukte zu definieren und einen Beitrag zu einem insgesamt höheren Schutzniveau gegen Cyberattacken auf Gesundheitseinrichtungen zu leisten. Eine Zusammenstellung von Best Practices soll bei Implementierung und Aufrechterhaltung eines angemessenen Cybersicherheitsniveaus nach dem Stand der Technik unterstützen. Statt konkreter Handlungsanweisungen, die möglicherweise nicht auf alle Produkte gleichermaßen übertragen werden können, werden cybersicherheitsrelevante Fragen zu einzelnen Bereichen gestellt. Die Fragen sollen es dem Hersteller ermöglichen, die für sein Produkt notwendigen Handlungsanweisungen zu generieren und umzusetzen.
Cybersicherheit erfordert Austausch von Informationen
„Cybersicherheit erfordert die Zusammenarbeit aller Beteiligten, aber auch den Austausch von Informationen“, sagt Hans-Peter Bursig, Geschäftsführer Fachverband Elektromedizinische Technik im ZVEI. „Der ZVEI hat deshalb bereits im November 2017 Hersteller, Anwender und BSI zu einem ersten Strategiegespräch ‚Cybersicherheit Medizintechnik‘ eingeladen. Dabei bestand Konsens darüber, dass die Medizintechnik ein Teil in einer umfassenden Cybersicherheitsstrategie sein muss. Diese umfassende Cybersicherheitsstrategie muss aber auch auf Kooperation und Abstimmung aller Beteiligten beruhen.“ Der Austausch wird in weiteren Strategiegesprächen fortgeführt.
