# Datenschutz & Informationssicherheit im Gesundheitswesen, rechtlich geführt > Rechtlich geführte Compliance & Sicherheit für Spitäler, Praxen, EPD-Gemeinschaften und MedTech: DSG, EPDG, EU AI Act, NIS2/KRITIS, ISO 27001/42001, aus einer Hand, mehrsprachig. - Quelle: https://www.sidd.swiss/leistungen/gesundheitswesen - Sprache: de-CH - Stand: 2026-10-20 - Herausgeber: SIDD Institut für Datenschutz und Datensicherheit, eine Marke der Priverion GmbH, Zugerstrasse 32, 6340 Baar (ZG), Schweiz Sektor Gesundheitswesen · rechtlich geführte Compliance & Sicherheit Im Gesundheitswesen ist Sicherheit zuerst eine Rechts- und Governance-Frage. Wir führen sie juristisch, nicht nur technisch: DSG, EPDG, EU AI Act, NIS2/KRITIS, ISO 27001/42001, ein Partner für Spitäler, Kliniken, Praxen, EPD-Gemeinschaften und MedTech. rechtlich geführt (Dr. iur., CIPP/E) DE · FR · EN unabhängig, kein eigenes SOC-Geschäft **Verantwortlich für dieses Mandat** **Dr. Dominic Staiger** LL.M., Dr. iur., CIPP/E · Attorney at Law (New York) · Solicitor (UK) [LinkedIn](https://www.linkedin.com/in/dominicstaiger/) ## Warum Gesundheitsorganisationen jetzt handeln Gesundheitsdaten sind besonders schützenswert. Gesundheitsorganisationen stehen 2026–2028 vor einer dichten Welle regulatorischer Pflichten. Cyberangriffe auf Gesundheitseinrichtungen haben weltweit und in der Schweiz zugenommen; betroffen sind Betrieb, Patientensicherheit und Reputation. Gleichzeitig verschärfen sich die rechtlichen Anforderungen an Datenschutz, Meldepflichten und KI. Wir bündeln diese Themen in einem rechtlich geführten Mandat, statt isolierter technischer Einzelmassnahmen. ## Regulatorische Fristen 2026–2028 im Überblick Orientierung, kein Rechtsrat. Daten und Geltungsbereiche prüfen wir fallbezogen. Einige Termine sind politisch noch in Bewegung. | Regulierung | Was sie verlangt | Zeitpunkt | Status | | --- | --- | --- | --- | | **DSG** | DSFA für Gesundheitsdaten, Meldung an den EDÖB, technische und organisatorische Massnahmen | seit 1. Sept. 2023 | in Kraft | | **KRITIS-Meldepflicht (ISG/BACS)** | Meldung relevanter Cybervorfälle ans BACS innert kurzer Frist | seit 2025 | in Kraft (Detailfristen prüfen) | | **EU AI Act (medizinische KI)** | Hochrisiko-Pflichten für Diagnose-, Triage- und Entscheidungsunterstützungs-KI | Fristen 2026/2027, in Revision | Daten prüfen (Digital Omnibus) | | **EU NIS2** | Risikomanagement und Meldepflichten für Gesundheitseinrichtungen mit EU-Bezug | je nach nationaler Umsetzung | nur bei EU-Niederlassung | | **EPDG-Revision** | Modernisierung des elektronischen Patientendossiers, breitere Anbindung | in Vorbereitung | geplant | | **EU Cyber Resilience Act** | Sicherheits- und Schwachstellen-Pflichten für vernetzte Produkte | gestaffelt 2026–2027 | Daten prüfen | ## Unsere Schwerpunkte im Gesundheitswesen Vertiefen Sie das für Sie relevante Thema: ### EU AI Act für medizinische KI Hochrisiko-Compliance für Diagnose, Triage und Entscheidungsunterstützung. ### NIS2 & KRITIS für Spitäler Meldepflichten, Verwaltungsrats-Verantwortung und Readiness. ### ISO 27001 / ISMS Zertifizierungsreifes ISMS, zugeschnitten auf Gesundheits-Datenflüsse. ### EPD & EPDG-Revision Datenschutz- und Sicherheits-Readiness für Anbindung und Zukunft. ### Ransomware-Readiness Tabletop-Übungen, Playbooks und Governance, vor dem Vorfall. ### Datenresidenz & Cloud Microsoft 365, US-Zugriffsrisiken und Schweizer Hosting im Spital. ## Warum SIDD im Gesundheitswesen Im Gesundheitswesen entscheiden Recht und Governance über das Risiko. Genau dort liegt unser Schwerpunkt. ### Rechtlich geführt Ihr Mandat wird von promovierten Juristinnen und Juristen mit CIPP/E geführt, gestützt auf ein eigenes Technik-Team. So beurteilen wir Verarbeitungen, AVV und DSFA rechtlich und technisch belastbar. ### Schweizer Berufsgeheimnis Wo ein SIDD-Anwalt in anwaltlicher Funktion berät, können Ihre Angaben dem Berufsgeheimnis nach Art. 321 StGB unterliegen, zusätzlich zur vertraglichen Vertraulichkeit. Den genauen Schutzumfang klären wir mandatsbezogen. ### KI-Governance-Tiefe Mit drei dedizierten KI-Services (AI Officer, AI Governance Check, AI Security) decken wir den EU AI Act für medizinische KI ab, ein Feld, das rein technische Sicherheitsanbieter kaum bedienen. ### Mehrsprachig & unabhängig Wir beraten in Deutsch, Französisch und Englisch, relevant für die Romandie und EU-Mutterhäuser. Da wir kein eigenes SOC verkaufen, bleiben unsere Empfehlungen unabhängig. ### Prüffähige Nachweise Verzeichnis der Verarbeitungstätigkeiten, DSFA und Massnahmen pflegen wir in unserer Schweizer Priverion-Plattform. Bei einer Behördenanfrage liegt der Nachweis als gepflegtes Tooling vor. ### Festpreis-Einstieg Sie starten mit einer fixpreisigen Healthcare Compliance Standortbestimmung mit board-tauglichem Ergebnisbericht und entscheiden danach über ein laufendes Mandat. ## Erfahrung im Sektor Für eine Schweizer Gesundheitsplattform (Openmedical AG) haben wir den Datenschutz an das revidierte DSG angepasst: Datenflussanalyse der Plattform, neue Auftragsverarbeitungsverträge mit dem umfangreichen Kundenstamm sowie Penetrationstests und Schwachstellenscans zur Bewertung technischer Risiken. - Vollständige Datenflussanalyse der Gesundheitsplattform - Auftragsverarbeitungsverträge mit tausenden Kund:innen - Penetrationstests und Schwachstellenscans der Plattform Unser Werkzeug: LexCommand ## Warum wir mit LexCommand arbeiten, unserer eigenen Schweizer Rechts-KI LexCommand ist unsere hauseigene, zitatgestützte Rechts-KI für das Recht der Schweiz, Deutschlands, Österreichs und der EU. Entwickelt und souverän in der Schweiz betrieben von der Priverion GmbH, dem Unternehmen hinter SIDD. Datensouveränität und Belegbarkeit predigen wir nicht nur, wir haben sie in unser Werkzeug eingebaut, ergänzend zur [Priverion-Plattform](https://www.sidd.swiss/priverion-plattform). ### Souverän in der Schweiz Die KI läuft selbst gehostet auf Schweizer Infrastruktur, ohne externe Cloud-LLMs. Als unabhängiges Schweizer Unternehmen ohne ausländische Muttergesellschaft verarbeiten wir Ihre Unterlagen in einer Umgebung, die wir kontrollieren. ### Kein Zitat, kein Anspruch Jede rechtliche Aussage ist auf eine abrufbare Primärquelle rückführbar, oder sie erscheint nicht. So werden unsere Empfehlungen auditierbar und nachvollziehbar, statt nur plausibel zu klingen. ### Vom Aufwand zum Urteil LexCommand übernimmt das Suchen, Abgleichen und Belegen. Das verkürzt Durchlaufzeiten und gibt unseren Senior-Beratenden Zeit für Urteil und Mandantengespräch, bei gleichbleibender Sorgfalt. ### Drei Disziplinen, ein Bild Datenschutz, Informationssicherheit und KI-Sicherheit betrachten wir auf einer geteilten Quellenbasis mit Framework-Crosswalk. So sehen Sie überschneidende Pflichten in einem konsolidierten Bild statt in drei isolierten Analysen. Konkret für die Healthcare Compliance Standortbestimmung: LexCommand legt Ihre Pflichten aus DSG, EPDG, EU AI Act, NIS2/KRITIS und ISO 27001/42001 als Crosswalk übereinander, in der zum jeweiligen Stichtag gültigen Fassung, sodass jede Aussage im board-tauglichen Bericht auf eine belegbare Primärquelle zurückgeht. Zeitlich deterministisch (Stand heute oder zu jedem Stichtag), mit Jurisdiktions-Isolation (CH/DE/AT/EU) und einem Zitat-Verifizierer am Ende jeder Antwort. ## Häufige Fragen ### Sind Sie ein Managed-SOC-Anbieter? Nein. Wir sind ein rechtlich geführter Governance-, Compliance-, Assessment- und Readiness-Partner. 24/7-Monitoring koordinieren wir mit spezialisierten Anbietern, das hält unsere Beratung unabhängig. ### Womit fängt ein Mandat an? Mit einer fixpreisigen Healthcare Compliance Standortbestimmung: mehrregulatorische Gap-Analyse mit priorisierten Massnahmen und board-tauglichem Ergebnisbericht. ### Arbeiten Sie auf Französisch für die Romandie? Ja. Wir beraten durchgängig in Deutsch, Französisch und Englisch, inklusive kantonaler Besonderheiten und EU-Mutterhäuser. Auf dieser Seite - Warum jetzt - Fristen 2026–2028 - Themen & Seiten - Warum SIDD - Referenz - LexCommand - FAQ --- Dieses Dokument ist die Markdown-Fassung der oben verlinkten Seite. Zitieren Sie bitte die HTML-URL.