Ein modernes Spital betreibt selten weniger als hundert externe Software- und Infrastruktur-Lieferanten: das Klinikinformationssystem (KIS), das Laborinformationssystem (LIS), das Radiologie-PACS, die Medikations-Software, das Patientenportal, die Cloud-Backups, die Fernwartungszugänge der Medizingerätehersteller, die Abrechnungs-Dienstleister und Dutzende SaaS-Tools. Jeder dieser Lieferanten ist ein potenzieller Eintrittsvektor – und gleichzeitig ein Single Point of Failure. Die grössten Gesundheits-Cybervorfälle der letzten Jahre gingen nicht auf einen direkten Angriff auf das Spital zurück, sondern auf einen kompromittierten Dienstleister, ein verwundbares Drittsystem oder einen Cloud-Anbieter, dessen Ausfall den klinischen Betrieb lahmlegte.

Das Lieferketten- und Drittparteienrisiko ist damit der grösste blinde Fleck im Risikomanagement vieler Gesundheitseinrichtungen. Es ist zugleich eine ausdrückliche regulatorische Pflicht – über Art. 21 Abs. 2 lit. d NIS2, über Art. 9 nDSG und Art. 28 DSGVO für die Auftragsbearbeitung sowie über die ISO/IEC 27001:2022-Controls A.5.19 bis A.5.23.

Dieser Beitrag deckt ab:

• Warum Cloud-, EPD- und MedTech-Lieferanten rechtlich zu Ihrer eigenen Haftung gehören.
• Wie Vendor-Due-Diligence vor Vertragsabschluss strukturiert wird.
• Wie Risiko-Tiering die Prüftiefe steuert.
• Welche vertraglichen Kontrollen und AVV-Bausteine zwingend sind.
• Wie sich Lieferantensteuerung in das ISMS einbettet (A.5.19–A.5.23).
• Wie ein Trusted-Third-Party-Escrow die Continuity sichert, wenn ein kritischer Software-Lieferant ausfällt.
• Wie ein vCISO das laufende Lieferanten-Monitoring übernimmt.

Die Auslagerung einer Funktion lagert nie die Verantwortung aus. Im Gesundheitswesen gilt das in dreifacher Hinsicht. Erstens datenschutzrechtlich: Wer als Spital oder Praxis Patientendaten durch einen Cloud-, KIS- oder Abrechnungs-Dienstleister bearbeiten lässt, bleibt Verantwortlicher im Sinne von Art. 5 lit. j nDSG bzw. Controller nach Art. 4 Nr. 7 DSGVO. Die Pflicht zur Datensicherheit nach Art. 8 nDSG und Art. 32 DSGVO bleibt beim Auftraggeber. Ein Sicherheitsversagen des Dienstleisters ist rechtlich Ihr Versagen.

Zweitens cybersicherheitsrechtlich: Soweit ein Spital über eine EU-Niederlassung oder EU-Leistungserbringung in den Anwendungsbereich der NIS2-Richtlinie (Richtlinie EU 2022/2555) fällt, verlangt Art. 21 Abs. 2 lit. d ausdrücklich «Sicherheit der Lieferkette, einschliesslich sicherheitsbezogener Aspekte der Beziehungen zwischen den einzelnen Einrichtungen und ihren unmittelbaren Anbietern oder Diensteanbietern». NIS2 ist eine EU-Richtlinie, die die Schweiz nicht übernommen hat; sie bindet rein schweizerische Spitäler nicht direkt. Für diese gilt stattdessen das Informationssicherheitsgesetz (ISG) mit der Meldepflicht an das BACS. Beide Regime sind sauber auseinanderzuhalten.

Drittens betrieblich: Ein Ausfall des KIS oder PACS legt den klinischen Betrieb still – mit unmittelbarer Patientensicherheits-Relevanz. Das Drittparteienrisiko ist damit nicht nur ein Compliance-, sondern ein Versorgungssicherheits-Thema.

Lieferanten-Due-Diligence findet idealerweise vor der Unterschrift statt – nicht nach dem ersten Vorfall. Für Gesundheitsdaten empfiehlt sich ein gestaffeltes Prüfprogramm:

• Sicherheitsnachweise: ISO/IEC 27001:2022-Zertifikat (mit Prüfung des Statement of Applicability und des Geltungsbereichs), SOC 2 Type II-Bericht oder C5-Testat. Wichtig: Ein Zertifikat des Lieferanten weist dessen Reife nach. Es zertifiziert nicht Ihr eigenes ISMS.
• Datenresidenz: Wo werden Patientendaten gespeichert und verarbeitet? Liegt eine Übermittlung ins Ausland vor (Art. 16 f. nDSG), und ist ein angemessenes Schutzniveau bzw. eine geeignete Garantie vorhanden?
• Sub-Outsourcing: Welche Sub-Dienstleister setzt der Lieferant ein (Hyperscaler, Support-Partner, Fernwartung)? Jeder Sub-Bearbeiter erweitert die Kette.
• Schwachstellenmanagement: Patch-Prozess, Penetrationstest-Berichte, koordinierte Offenlegung nach ISO/IEC 29147, bei Produkten eine Software-Stückliste (SBOM) im CycloneDX- oder SPDX-Format.
• Betriebsstabilität: Finanzielle Solidität, RTO/RPO, Business-Continuity-Plan, Exit- und Datenrückgabe-Konzept.

Reine Selbstauskünfte (ausgefüllte Vendor-Security-Fragebögen ohne externe Verifikation) genügen für kritische Gesundheits-Lieferanten nicht mehr. Verlangen Sie objektive Nachweise und dokumentieren Sie die Bewertung. Die Dokumentation ist Teil Ihrer Rechenschaftspflicht.

Hundert Lieferanten lassen sich nicht alle gleich tief prüfen. Risiko-Tiering steuert den Aufwand nach Kritikalität. Ein bewährtes Drei-Stufen-Modell für Gesundheitseinrichtungen:

• Tier 1 – kritisch: Lieferanten, deren Ausfall den klinischen Betrieb unmittelbar stilllegt oder die direkten Zugriff auf grosse Mengen besonders schützenswerter Gesundheitsdaten haben (KIS, LIS, PACS, EPD-Anbindung, primäre Cloud-Plattform). Volle Due Diligence, jährliches Audit oder Nachweis-Review, Continuity-Vorsorge (Escrow), strenge Vertragskontrollen.
• Tier 2 – wesentlich: Lieferanten mit Zugriff auf Patientendaten, aber ohne unmittelbare Betriebsstilllegung beim Ausfall (Abrechnung, Patientenportal, spezialisierte Fach-Software). Standardisierte Due Diligence, periodisches Nachweis-Review.
• Tier 3 – unterstützend: Lieferanten ohne Zugriff auf Patientendaten und ohne klinische Betriebsrelevanz (Facility, allgemeine Büro-Tools). Leichtgewichtige Prüfung, Self-Assessment ausreichend.

Die Einstufung sollte mindestens zwei Achsen kombinieren: die Datenschutz-Sensitivität (welche und wie viele Gesundheitsdaten) und die Betriebskritikalität (welche Versorgungsfolgen hat ein Ausfall). Das Tiering wird im Lieferantenregister dokumentiert und mindestens jährlich überprüft – insbesondere wenn ein Lieferant neue Datenkategorien oder Funktionen übernimmt.

Der Vertrag ist das wichtigste Steuerungsinstrument für Drittparteienrisiko. Bei Gesundheits-Lieferanten sind zwei Vertragslagen sauber zu trennen: der Auftragsbearbeitungsvertrag (AVV) nach Art. 9 nDSG bzw. Art. 28 DSGVO und die allgemeinen Sicherheits- und Service-Level-Klauseln.

Der AVV muss nach Art. 9 nDSG insbesondere regeln, dass der Bearbeiter nur auf Weisung handelt, die Datensicherheit nach Art. 8 nDSG gewährleistet, Sub-Bearbeiter nur mit Genehmigung beizieht und nach Auftragsende die Daten zurückgibt oder löscht. Nach Art. 28 DSGVO kommen für EU-betroffene Verarbeitungen weitere Pflichtinhalte hinzu (Unterstützung bei Betroffenenrechten, bei DSFA, Meldepflicht-Unterstützung). Ein NIS2- oder allgemeiner Lieferantenvertrag ist nicht automatisch ein gültiger AVV. Beide sind separat zu modellieren.

Ergänzend gehören in den Vertrag: Vorfall-Meldefristen mit klar definiertem Begriff des meldepflichtigen Vorfalls, ein Audit- bzw. Inspektionsrecht (oder das Recht, einen unabhängigen Dritten zu beauftragen), Patch- und Schwachstellen-SLA, Sub-Outsourcing-Genehmigung samt identischer Flow-Down-Pflicht, Verschlüsselungs- und Zugriffsanforderungen sowie Exit-Klauseln mit Datenrückgabe, sicherer Löschung und Migrationsunterstützung. Akzeptieren Sie Standardverträge nicht ungeprüft. Eine eigene Klauselbibliothek mit Standardpositionen schafft Verhandlungssicherheit.

Lieferantensteuerung ist kein Einzelprojekt, sondern ein laufender ISMS-Prozess. ISO/IEC 27001:2022 bildet das Drittparteienrisiko in fünf zusammenhängenden Controls ab:

• A.5.19 – Informationssicherheit in Lieferantenbeziehungen: Grundsätzliche Prozesse und Richtlinien für den Umgang mit Risiken aus Lieferantenbeziehungen.
• A.5.20 – Informationssicherheit in Lieferantenvereinbarungen: Vertragliche Verankerung der Sicherheitsanforderungen – die direkte Brücke zum AVV und zu den Sicherheitsklauseln.
• A.5.21 – Management der Informationssicherheit in der IKT-Lieferkette: Steuerung der gesamten Kette, einschliesslich Sub-Lieferanten und Komponenten-Herkunft (SBOM).
• A.5.22 – Überwachung, Überprüfung und Änderungsmanagement der Lieferantendienste: Das laufende Monitoring – Nachweis-Reviews, SLA-Kontrolle, Reaktion auf Änderungen beim Lieferanten.
• A.5.23 – Informationssicherheit bei der Nutzung von Cloud-Diensten: Der für EPD- und Cloud-Szenarien zentrale Control – Zuständigkeitsabgrenzung, Datenresidenz, Exit.

Wer diese Controls operativ lebt, erfüllt zugleich den Kern der NIS2-Lieferketten-Anforderungen und der nDSG-Auftragsbearbeitungspflichten. Das Lieferantenregister, das Tiering, die Due-Diligence-Dossiers und die Vertrags-Kontrollmatrix sind die nachweisbaren Artefakte, die ein Auditor sehen will.

Das schwerwiegendste Drittparteienrisiko ist nicht der Datenabfluss, sondern der Totalausfall eines kritischen Software-Lieferanten: Insolvenz, Geschäftsaufgabe, Aufkauf mit Produkteinstellung oder eine eskalierte Vertragsauseinandersetzung. Wenn das KIS oder ein spezialisiertes klinisches Modul plötzlich ohne Hersteller-Support dasteht, ist die Versorgungskontinuität gefährdet.

Ein Software- und Daten-Escrow über eine Trusted Third Party adressiert genau dieses Szenario. Bei einer neutralen Hinterlegungsstelle werden Quellcode, Build-Anleitungen, Dokumentation und – im erweiterten Modell – aktuelle Datenexporte hinterlegt. Definierte Auslöseereignisse (Insolvenz, ausbleibender Support, Vertragsbruch) geben dem Spital geregelten Zugriff, um den Betrieb mit einem Drittpartner weiterzuführen oder eine geordnete Migration durchzuführen. Entscheidend ist die Verifikation: Eine Hinterlegung, die nie auf Vollständigkeit und Lauffähigkeit geprüft wurde, ist im Ernstfall wertlos.

SIDD bietet eine treuhänderische Rolle für Gesundheitsdaten und kritische Gesundheits-Software an: Wir gestalten das Escrow- und Continuity-Modell, definieren Auslöser und Zugriffsrechte und richten die periodische Verifikation der Hinterlegung ein. Mehr dazu unter Trusted Third Party. Die Leistung ist ein Festpreis-Modul; die Konditionen klären wir auf Anfrage nach einem Scoping.

SIDD baut für Gesundheitseinrichtungen ein durchgängiges Drittparteien-Risikoprogramm auf: vom Lieferantenregister mit Risiko-Tiering über die Due-Diligence-Dossiers und die AVV- und Vertragskontroll-Bibliothek bis zur Verankerung im ISMS nach den Controls A.5.19–A.5.23. Wir verbinden dabei juristische Tiefe (Art. 8 und 9 nDSG, Art. 28 und 32 DSGVO, NIS2-Lieferkettenlogik, ISG/BACS) mit technischer Prüfkompetenz: Penetrationstests und Schwachstellenscans dienen als objektive Nachweise – siehe ISMS & ISO 27001 und Penetrationstest.

Damit die Lieferantensteuerung nicht nach dem Projekt einschläft, übernimmt unser externer CISO/ISB das laufende Lieferanten-Monitoring: periodische Nachweis-Reviews, SLA- und Patch-Kontrolle, Re-Tiering bei Änderungen, Pflege des Registers und die Vorbereitung der Lieferanten-Audit-Evidenz. Mehr unter externer CISO/ISB. Wo ein SIDD-Anwalt in anwaltlicher Funktion berät, können Ihre Angaben dem Berufsgeheimnis nach Art. 321 StGB unterliegen.

Schreiben Sie uns über /kontakt für ein unverbindliches Erstgespräch oder fordern Sie unter /offerte einen massgeschneiderten Vorschlag an. Für klar abgrenzbare Module – Lieferantenregister, AVV-Bibliothek, Escrow-Setup – erhalten Sie nach einem Scoping-Call eine schriftliche Offerte mit Festpreis-Optionen.