# Lieferketten- und Drittparteienrisiko im Gesundheitswesen – Der blinde Fleck der Spitäler > Lieferketten- und Drittparteienrisiko im Gesundheitswesen als NIS2-Pflicht und Spital-Blindstelle: Vendor-Due-Diligence, Risiko-Tiering, Vertragskontrollen, AVV, ISMS-Integration und Escrow für Software-Continuity. - Quelle: https://www.sidd.swiss/einblicke/lieferkette-drittparteien-risiko-gesundheitswesen/ - Sprache: de-CH - Veröffentlicht: 2026-06-11 - Stand: 2026-06-11 - Autor:in: Philipp Staiger - Herausgeber: SIDD Institut für Datenschutz und Datensicherheit, eine Marke der Priverion GmbH, Zugerstrasse 32, 6340 Baar (ZG), Schweiz ## Einleitung: Ihre Lieferanten sind Teil Ihrer Angriffsfläche Ein modernes Spital betreibt selten weniger als hundert externe Software- und Infrastruktur-Lieferanten: das Klinikinformationssystem (KIS), das Laborinformationssystem (LIS), das Radiologie-PACS, die Medikations-Software, das Patientenportal, die Cloud-Backups, die Fernwartungszugänge der Medizingerätehersteller, die Abrechnungs-Dienstleister und Dutzende SaaS-Tools. Jeder dieser Lieferanten ist ein potenzieller Eintrittsvektor – und gleichzeitig ein Single Point of Failure. Die grössten Gesundheits-Cybervorfälle der letzten Jahre gingen nicht auf einen direkten Angriff auf das Spital zurück, sondern auf einen kompromittierten Dienstleister, ein verwundbares Drittsystem oder einen Cloud-Anbieter, dessen Ausfall den klinischen Betrieb lahmlegte. Das Lieferketten- und Drittparteienrisiko ist damit der grösste blinde Fleck im Risikomanagement vieler Gesundheitseinrichtungen. Es ist zugleich eine ausdrückliche regulatorische Pflicht – über Art. 21 Abs. 2 lit. d NIS2, über Art. 9 DSG und Art. 28 DSGVO für die Auftragsbearbeitung sowie über die ISO/IEC 27001:2022-Controls A.5.19 bis A.5.23. **Dieser Beitrag deckt ab:** - Warum Cloud-, EPD- und MedTech-Lieferanten rechtlich zu Ihrer eigenen Haftung gehören. - Wie Vendor-Due-Diligence vor Vertragsabschluss strukturiert wird. - Wie Risiko-Tiering die Prüftiefe steuert. - Welche vertraglichen Kontrollen und AVV-Bausteine zwingend sind. - Wie sich Lieferantensteuerung in das ISMS einbettet (A.5.19–A.5.23). - Wie ein Trusted-Third-Party-Escrow die Continuity sichert, wenn ein kritischer Software-Lieferant ausfällt. - Wie ein vCISO das laufende Lieferanten-Monitoring übernimmt. ## Warum die Lieferkette zu Ihrer Haftung gehört Die Auslagerung einer Funktion lagert nie die Verantwortung aus. Im Gesundheitswesen gilt das in dreifacher Hinsicht. Erstens datenschutzrechtlich: Wer als Spital oder Praxis Patientendaten durch einen Cloud-, KIS- oder Abrechnungs-Dienstleister bearbeiten lässt, bleibt Verantwortlicher im Sinne von Art. 5 lit. j DSG bzw. Controller nach Art. 4 Nr. 7 DSGVO. Die Pflicht zur Datensicherheit nach Art. 8 DSG und Art. 32 DSGVO bleibt beim Auftraggeber. Ein Sicherheitsversagen des Dienstleisters ist rechtlich Ihr Versagen. Zweitens cybersicherheitsrechtlich: Soweit ein Spital über eine EU-Niederlassung oder EU-Leistungserbringung in den Anwendungsbereich der NIS2-Richtlinie (Richtlinie EU 2022/2555) fällt, verlangt Art. 21 Abs. 2 lit. d ausdrücklich «Sicherheit der Lieferkette, einschliesslich sicherheitsbezogener Aspekte der Beziehungen zwischen den einzelnen Einrichtungen und ihren unmittelbaren Anbietern oder Diensteanbietern». NIS2 ist eine EU-Richtlinie, die die Schweiz nicht übernommen hat; sie bindet rein schweizerische Spitäler nicht direkt. Für diese gilt stattdessen das Informationssicherheitsgesetz (ISG) mit der Meldepflicht an das BACS. Beide Regime sind sauber auseinanderzuhalten. Drittens betrieblich: Ein Ausfall des KIS oder PACS legt den klinischen Betrieb still – mit unmittelbarer Patientensicherheits-Relevanz. Das Drittparteienrisiko ist damit nicht nur ein Compliance-, sondern ein Versorgungssicherheits-Thema. ## Vendor-Due-Diligence vor Vertragsabschluss Lieferanten-Due-Diligence findet idealerweise vor der Unterschrift statt – nicht nach dem ersten Vorfall. Für Gesundheitsdaten empfiehlt sich ein gestaffeltes Prüfprogramm: - **Sicherheitsnachweise:** ISO/IEC 27001:2022-Zertifikat (mit Prüfung des Statement of Applicability und des Geltungsbereichs), SOC 2 Type II-Bericht oder C5-Testat. Wichtig: Ein Zertifikat des Lieferanten weist dessen Reife nach. Es zertifiziert nicht Ihr eigenes ISMS. - **Datenresidenz:** Wo werden Patientendaten gespeichert und verarbeitet? Liegt eine Übermittlung ins Ausland vor (Art. 16 f. DSG), und ist ein angemessenes Schutzniveau bzw. eine geeignete Garantie vorhanden? - **Sub-Outsourcing:** Welche Sub-Dienstleister setzt der Lieferant ein (Hyperscaler, Support-Partner, Fernwartung)? Jeder Sub-Bearbeiter erweitert die Kette. - **Schwachstellenmanagement:** Patch-Prozess, Penetrationstest-Berichte, koordinierte Offenlegung nach ISO/IEC 29147, bei Produkten eine Software-Stückliste (SBOM) im CycloneDX- oder SPDX-Format. - **Betriebsstabilität:** Finanzielle Solidität, RTO/RPO, Business-Continuity-Plan, Exit- und Datenrückgabe-Konzept. Reine Selbstauskünfte (ausgefüllte Vendor-Security-Fragebögen ohne externe Verifikation) genügen für kritische Gesundheits-Lieferanten nicht mehr. Verlangen Sie objektive Nachweise und dokumentieren Sie die Bewertung. Die Dokumentation ist Teil Ihrer Rechenschaftspflicht. ## Risiko-Tiering: Prüftiefe nach Kritikalität Hundert Lieferanten lassen sich nicht alle gleich tief prüfen. Risiko-Tiering steuert den Aufwand nach Kritikalität. Ein bewährtes Drei-Stufen-Modell für Gesundheitseinrichtungen: - **Tier 1 – kritisch:** Lieferanten, deren Ausfall den klinischen Betrieb unmittelbar stilllegt oder die direkten Zugriff auf grosse Mengen besonders schützenswerter Gesundheitsdaten haben (KIS, LIS, PACS, EPD-Anbindung, primäre Cloud-Plattform). Volle Due Diligence, jährliches Audit oder Nachweis-Review, Continuity-Vorsorge (Escrow), strenge Vertragskontrollen. - **Tier 2 – wesentlich:** Lieferanten mit Zugriff auf Patientendaten, aber ohne unmittelbare Betriebsstilllegung beim Ausfall (Abrechnung, Patientenportal, spezialisierte Fach-Software). Standardisierte Due Diligence, periodisches Nachweis-Review. - **Tier 3 – unterstützend:** Lieferanten ohne Zugriff auf Patientendaten und ohne klinische Betriebsrelevanz (Facility, allgemeine Büro-Tools). Leichtgewichtige Prüfung, Self-Assessment ausreichend. Die Einstufung sollte mindestens zwei Achsen kombinieren: die Datenschutz-Sensitivität (welche und wie viele Gesundheitsdaten) und die Betriebskritikalität (welche Versorgungsfolgen hat ein Ausfall). Das Tiering wird im Lieferantenregister dokumentiert und mindestens jährlich überprüft – insbesondere wenn ein Lieferant neue Datenkategorien oder Funktionen übernimmt. ## Vertragliche Kontrollen und Auftragsbearbeitungsvertrag Der Vertrag ist das wichtigste Steuerungsinstrument für Drittparteienrisiko. Bei Gesundheits-Lieferanten sind zwei Vertragslagen sauber zu trennen: der Auftragsbearbeitungsvertrag (AVV) nach Art. 9 DSG bzw. Art. 28 DSGVO und die allgemeinen Sicherheits- und Service-Level-Klauseln. Der AVV muss nach Art. 9 DSG insbesondere regeln, dass der Bearbeiter nur auf Weisung handelt, die Datensicherheit nach Art. 8 DSG gewährleistet, Sub-Bearbeiter nur mit Genehmigung beizieht und nach Auftragsende die Daten zurückgibt oder löscht. Nach Art. 28 DSGVO kommen für EU-betroffene Verarbeitungen weitere Pflichtinhalte hinzu (Unterstützung bei Betroffenenrechten, bei DSFA, Meldepflicht-Unterstützung). Ein NIS2- oder allgemeiner Lieferantenvertrag ist nicht automatisch ein gültiger AVV. Beide sind separat zu modellieren. Ergänzend gehören in den Vertrag: Vorfall-Meldefristen mit klar definiertem Begriff des meldepflichtigen Vorfalls, ein Audit- bzw. Inspektionsrecht (oder das Recht, einen unabhängigen Dritten zu beauftragen), Patch- und Schwachstellen-SLA, Sub-Outsourcing-Genehmigung samt identischer Flow-Down-Pflicht, Verschlüsselungs- und Zugriffsanforderungen sowie Exit-Klauseln mit Datenrückgabe, sicherer Löschung und Migrationsunterstützung. Akzeptieren Sie Standardverträge nicht ungeprüft. Eine eigene Klauselbibliothek mit Standardpositionen schafft Verhandlungssicherheit. ## Integration in das ISMS (A.5.19–A.5.23) Lieferantensteuerung ist kein Einzelprojekt, sondern ein laufender ISMS-Prozess. ISO/IEC 27001:2022 bildet das Drittparteienrisiko in fünf zusammenhängenden Controls ab: - **A.5.19 – Informationssicherheit in Lieferantenbeziehungen:** Grundsätzliche Prozesse und Richtlinien für den Umgang mit Risiken aus Lieferantenbeziehungen. - **A.5.20 – Informationssicherheit in Lieferantenvereinbarungen:** Vertragliche Verankerung der Sicherheitsanforderungen – die direkte Brücke zum AVV und zu den Sicherheitsklauseln. - **A.5.21 – Management der Informationssicherheit in der IKT-Lieferkette:** Steuerung der gesamten Kette, einschliesslich Sub-Lieferanten und Komponenten-Herkunft (SBOM). - **A.5.22 – Überwachung, Überprüfung und Änderungsmanagement der Lieferantendienste:** Das laufende Monitoring – Nachweis-Reviews, SLA-Kontrolle, Reaktion auf Änderungen beim Lieferanten. - **A.5.23 – Informationssicherheit bei der Nutzung von Cloud-Diensten:** Der für EPD- und Cloud-Szenarien zentrale Control – Zuständigkeitsabgrenzung, Datenresidenz, Exit. Wer diese Controls operativ lebt, erfüllt zugleich den Kern der NIS2-Lieferketten-Anforderungen und der DSG-Auftragsbearbeitungspflichten. Das Lieferantenregister, das Tiering, die Due-Diligence-Dossiers und die Vertrags-Kontrollmatrix sind die nachweisbaren Artefakte, die ein Auditor sehen will. ## Continuity-Escrow durch eine Trusted Third Party Das schwerwiegendste Drittparteienrisiko ist nicht der Datenabfluss, sondern der Totalausfall eines kritischen Software-Lieferanten: Insolvenz, Geschäftsaufgabe, Aufkauf mit Produkteinstellung oder eine eskalierte Vertragsauseinandersetzung. Wenn das KIS oder ein spezialisiertes klinisches Modul plötzlich ohne Hersteller-Support dasteht, ist die Versorgungskontinuität gefährdet. Ein Software- und Daten-Escrow über eine Trusted Third Party adressiert genau dieses Szenario. Bei einer neutralen Hinterlegungsstelle werden Quellcode, Build-Anleitungen, Dokumentation und – im erweiterten Modell – aktuelle Datenexporte hinterlegt. Definierte Auslöseereignisse (Insolvenz, ausbleibender Support, Vertragsbruch) geben dem Spital geregelten Zugriff, um den Betrieb mit einem Drittpartner weiterzuführen oder eine geordnete Migration durchzuführen. Entscheidend ist die Verifikation: Eine Hinterlegung, die nie auf Vollständigkeit und Lauffähigkeit geprüft wurde, ist im Ernstfall wertlos. SIDD bietet eine treuhänderische Rolle für Gesundheitsdaten und kritische Gesundheits-Software an: Wir gestalten das Escrow- und Continuity-Modell, definieren Auslöser und Zugriffsrechte und richten die periodische Verifikation der Hinterlegung ein. Mehr dazu unter [Trusted Third Party](https://www.sidd.swiss/leistungen/trusted-third-party). Die Leistung ist ein Festpreis-Modul; die Konditionen klären wir auf Anfrage nach einem Scoping. ## Wie SIDD unterstützt – inkl. laufendem vCISO-Monitoring SIDD baut für Gesundheitseinrichtungen ein durchgängiges Drittparteien-Risikoprogramm auf: vom Lieferantenregister mit Risiko-Tiering über die Due-Diligence-Dossiers und die AVV- und Vertragskontroll-Bibliothek bis zur Verankerung im ISMS nach den Controls A.5.19–A.5.23. Wir verbinden dabei juristische Tiefe (Art. 8 und 9 DSG, Art. 28 und 32 DSGVO, NIS2-Lieferkettenlogik, ISG/BACS) mit technischer Prüfkompetenz: Penetrationstests und Schwachstellenscans dienen als objektive Nachweise – siehe [ISMS & ISO 27001](https://www.sidd.swiss/leistungen/isms-iso27001) und [Penetrationstest](https://www.sidd.swiss/leistungen/penetrationstest). Damit die Lieferantensteuerung nicht nach dem Projekt einschläft, übernimmt unser externer CISO/ISB das laufende Lieferanten-Monitoring: periodische Nachweis-Reviews, SLA- und Patch-Kontrolle, Re-Tiering bei Änderungen, Pflege des Registers und die Vorbereitung der Lieferanten-Audit-Evidenz. Mehr unter [externer CISO/ISB](https://www.sidd.swiss/leistungen/ciso-isb-iso). Wo ein SIDD-Anwalt in anwaltlicher Funktion berät, können Ihre Angaben dem Berufsgeheimnis nach Art. 321 StGB unterliegen. Schreiben Sie uns über [/kontakt](https://www.sidd.swiss/kontakt) für ein unverbindliches Erstgespräch oder fordern Sie unter [/offerte](https://www.sidd.swiss/offerte) einen massgeschneiderten Vorschlag an. Für klar abgrenzbare Module – Lieferantenregister, AVV-Bibliothek, Escrow-Setup – erhalten Sie nach einem Scoping-Call eine schriftliche Offerte mit Festpreis-Optionen. --- Dieses Dokument ist die Markdown-Fassung der oben verlinkten Seite. Zitieren Sie bitte die HTML-URL.