Spitäler, Arztpraxen, Labore, Pflegeeinrichtungen und HealthTech-Anbieter stehen vor einer regulatorischen Gemengelage, die kaum eine andere Branche kennt: Schweizer nDSG und – bei EU-Berührung – DSGVO, das ISG/BACS-Meldewesen, die EU NIS2-Richtlinie für Einheiten mit EU-Niederlassung, die geplante Totalrevision des EPDG, sowie produktseitig MDR/IVDR und der Cyber Resilience Act (CRA). Hinzu kommt der EU AI Act, sobald klinische oder administrative KI im Spiel ist. Wer einen Sicherheits- und Datenschutzpartner auswählt, kauft deshalb nicht eine einzelne Leistung ein, sondern eine Fähigkeit, diese Anforderungen integriert zu denken.

Dieser Beitrag ist bewusst neutral gehalten. Er nennt keine konkreten Anbieter und spricht keine Empfehlung für ein bestimmtes Haus aus. Ziel ist, Ihnen als Entscheiderin oder Entscheider ein sauberes Raster an die Hand zu geben, mit dem Sie Angebote vergleichen können – und ehrlich zu benennen, wo ein grosser, betriebsorientierter Anbieter besser passt und wo ein juristisch geführter, spezialisierter Partner seine Stärke ausspielt.

Die wichtigste Frage zuerst: Deckt der Partner nDSG/DSGVO, NIS2 bzw. das Schweizer ISG/BACS-Meldewesen, EPDG, MDR/CRA und den EU AI Act in einem zusammenhängenden Modell ab – oder behandelt er jedes Thema isoliert? Im Gesundheitswesen greifen diese Regime ineinander: Eine Schwachstelle in einem Medizinprodukt ist gleichzeitig ein Datensicherheits-, ein Melde- und potenziell ein Produktthema. Werden diese Stränge getrennt beraten, entstehen Lücken und Doppelarbeit.

Achten Sie dabei auf eine saubere Abgrenzung: NIS2 ist eine EU-Richtlinie, die die Schweiz nicht umgesetzt hat. Sie bindet primär Einheiten mit einer Niederlassung oder Tätigkeit in der EU. Ein rein schweizerisches Spital fällt nicht unter NIS2, sondern unter die Schweizer ISG-/BACS-Meldepflichten. Ein seriöser Partner hält diese beiden Welten auseinander und vermischt sie nicht zu einem diffusen «NIS2 gilt für alle». Ebenso wichtig: MDR/IVDR-Cybersecurity-Anforderungen sind bereits in Kraft, während CRA gestaffelt 2026/2027 greift (Daten im Einzelfall prüfen) und die EPDG-Totalrevision geplant bzw. in Vorbereitung ist – ohne fixes Datum.

Gesundheitsdaten sind besonders schützenswerte Personendaten. Fragen zu Datenherrschaft, Auftragsbearbeitung, Datenflüssen ins Ausland, Einwilligung und Geheimnisschutz nach Art. 321 StGB sind im Kern juristische Fragen – nicht primär technische. Prüfen Sie deshalb, ob Ihr Partner echte Rechtstiefe mitbringt oder ob die juristische Bewertung bei Ihnen oder Ihrer Hauskanzlei hängen bleibt.

Ein Sonderaspekt, den nur wenige Konstellationen bieten: Wo eine Beraterin oder ein Berater zugleich Anwältin oder Anwalt ist und in anwaltlicher Funktion berät, können Ihre Angaben dem Berufsgeheimnis nach Art. 321 StGB unterliegen. Das ist kein pauschaler Schutz für jede beliebige Tätigkeit der Beratungsfirma, aber in heiklen Lagen – etwa bei der Aufarbeitung eines Vorfalls oder bei einer rechtlich exponierten Risikoeinschätzung – ein realer Vorteil. Fragen Sie konkret nach, in welchen Mandatsteilen dieser Schutz greift und in welchen nicht.

Das Schweizer Gesundheitswesen ist mehrsprachig. Wer Standorte in der Deutschschweiz, der Romandie und im Tessin betreibt, mit EU-Partnern arbeitet oder international publiziert, braucht Dokumente, Schulungen und Behördenkommunikation in mehreren Sprachen. Prüfen Sie, ob der Partner Richtlinien, Datenschutz-Folgenabschätzungen, AVV/Auftragsbearbeitungsverträge und Awareness-Trainings tatsächlich in Deutsch, Französisch und Englisch liefert – und zwar fachlich sauber, nicht nur maschinell übersetzt.

Mehrsprachigkeit ist mehr als Komfort: Eine Einwilligungserklärung, die das Personal in der Romandie nicht in seiner Arbeitssprache versteht, ist rechtlich und praktisch schwächer. Awareness-Schulungen wirken nur, wenn sie in der Sprache der Mitarbeitenden stattfinden.

Ein häufig unterschätzter Unterschied: Liefert der Partner am Ende nur einen technischen Findings-Report – eine Liste von Schwachstellen mit Severity-Scores – oder eine board-taugliche Governance-Vorlage, die Geschäftsleitung und Stiftungs- bzw. Verwaltungsrat tatsächlich entscheidungsfähig macht? Ein Spital-Verwaltungsrat braucht Risiken in Geschäfts- und Haftungssprache, priorisierte Massnahmen, Verantwortlichkeiten und einen nachvollziehbaren Restrisiko-Entscheid.

Beide Outputs haben ihre Berechtigung. Ein reiner Findings-Report ist wertvoll für das technische Team. Aber wenn Sie eine Aufsichtspflicht erfüllen, eine ISMS-Governance aufbauen oder gegenüber Aufsichtsbehörden Rechenschaft ablegen müssen, brauchen Sie die übersetzende Schicht darüber. Fragen Sie nach Beispiel-Deliverables: Sehen die nach einem Pentest-Protokoll aus oder nach einer Vorlage, die Sie so ins Gremium tragen können?

Verkauft der Partner sein eigenes Security Operations Center (SOC), seine eigene Software oder bestimmte Produkte weiter? Das ist nicht per se schlecht – aber es erzeugt einen strukturellen Anreiz: Wer eine eigene Lösung im Portfolio hat, empfiehlt diese tendenziell auch dann, wenn ein neutraler Blick zu einem anderen Schluss käme. Ein unabhängiger Partner ohne eigenes SOC und ohne Vertriebsbindung kann das wirtschaftlich Sinnvollste empfehlen, einschliesslich der Lösungen Dritter.

Klären Sie deshalb offen: Hat der Partner ein finanzielles Interesse an den Werkzeugen, die er empfiehlt? Wie geht er mit der Trennung von Beratung und Umsetzung um? Unabhängigkeit ist gerade bei der Auswahl von Dienstleistern und Tools ein hartes Qualitätsmerkmal. Sie macht die Empfehlung glaubwürdig.

Ehrlichkeit gehört zur Entscheidungshilfe. Wenn Ihr primärer Bedarf der laufende 24/7-Betrieb ist – ständige Überwachung, Alarmierung, technische Reaktion auf Vorfälle in Echtzeit, hands-on-Tests an Medizingeräten, Firmware oder IoMT – dann ist ein grosser, betriebsorientierter Anbieter mit eigenem Managed SOC und spezialisiertem Test-Team die richtige Wahl. Ein juristisch geführter, boutiqueartiger Partner ersetzt diesen laufenden Betrieb nicht.

Umgekehrt spielt der juristisch geführte Partner seine Stärke dort aus, wo es um die integrierte Regulatorik, die Rechtstiefe, die board-taugliche Governance und die Vorbereitung geht: ISMS und ISO-27001-Begleitung, Datenschutz-Mandate, vCISO-Funktion, Penetration Testing und Schwachstellenscans, AI-Governance sowie die Vorbereitung von Schnittstellen und Eskalationswegen für den Ernstfall. Ransomware-Readiness etwa heisst hier: Tabletop-Übungen, Governance und das Vorbereiten von Eskalationswegen sowie die Abstimmung mit benannten externen Incident-Response-Dienstleistern und Versicherern – nicht der Echtzeit-Betrieb selbst. Bei hands-on-Gerätetests verweist ein seriöser Partner an einen spezialisierten Testpartner. In der Praxis kombinieren viele Gesundheitsorganisationen beides: den Betreiber für den laufenden Betrieb, den juristisch geführten Partner für Governance, Recht und Vorbereitung.

Nutzen Sie diese Checkliste im Auswahlgespräch:

• Integration: Werden nDSG/DSGVO, ISG/BACS bzw. NIS2, EPDG, MDR/CRA und AI Act in einem Modell gedacht – und sauber abgegrenzt?
• Rechtstiefe: Gibt es echte juristische Kompetenz, und in welchen Mandatsteilen greift das Berufsgeheimnis nach Art. 321 StGB?
• Sprachen: Liefert der Partner Dokumente und Schulungen fachlich sauber in DE/FR/EN?
• Governance: Erhalten Sie einen board-tauglichen Output – oder nur einen technischen Findings-Report?
• Unabhängigkeit: Verkauft der Partner eigenes SOC, eigene Software oder Produkte weiter?
• Abgrenzung: Wird der laufende Betrieb (SOC, Echtzeit-Reaktion, Gerätetests) klar von Vorbereitung und Governance getrennt?
• Referenzen: Gibt es nachweisbare Erfahrung im Gesundheitswesen?

SIDD ordnet sich klar als juristisch geführter, unabhängiger Boutique-Partner ein: integrierte Beratung über nDSG/DSGVO, ISG/BACS, EPDG-Kontext, MDR/CRA und AI Act, mit anwaltlicher Tiefe, mehrsprachig in DE/FR/EN und board-tauglichen Deliverables. Wir betreiben kein eigenes SOC und verkaufen keine eigenen Produkte weiter; hands-on-Gerätetests vermitteln wir an einen spezialisierten Testpartner. Eine Referenz aus dem Gesundheitsumfeld ist die Openmedical AG (nDSG-Datenflussanalyse, tausende Auftragsbearbeitungsverträge, Pentests). Mehr unter Datenschutzberatung, ISMS/ISO 27001 und Penetration Testing. Für ein Auswahlgespräch erreichen Sie uns über das Kontaktformular; eine Offerte beantragen Sie über unser Offerte-Formular.