Interpellation: Sind unsere Spitäler genügend gegen Cyberrisiken gewappnet und ist die Aufsicht über die Krankenhäuser diesbezüglich adäquat?

Gefahren bergen zudem der Einsatz von langjährig betriebenen – und damit potentiell – verwundbaren Systemen, wie auch die Zunahme von Verbindungen ins Internet, als auch die vermehrte Nutzung von Homeoffice.

Spitäler und das Gesundheitswesen insgesamt zählen zu den kritischen Infrastrukturen. Gerade kleinere Spitäler stehen unter finanziellem Druck; die Cybersicherheit wird deswegen möglicherweise nicht prioritär behandelt.

Aufsichtspflicht gemäss Spitalgesetz

Das kantonale Spitalgesetz (SpitG, 2014 letztmals revidiert und in Kraft seit 1.1.2015) verpflichtet den Regierungsrat die Spitalversorgung sicherzustellen. Er übt hierzu die Oberaufsicht über die Spitalversorgung aus. §4 fordert u.a. die Sicherstellung der Betreuung der Patienten und der betrieblichen Voraussetzungen. Darauf basiert auch die Bewilligung für den Betrieb.

Zur Bewilligungsvergabe gehört u.E. auch die Beurteilung der Effektivität der Cybersicherheit (Massnahmen um Risiken abwehren und Schäden zu verhindern).

Absicht der Interpellation

Da die IT-technische Entwicklung rasant fortschreitet ist eine mögliche Unterdeckung der zielführenden Massnahmen im Sinne einer zeitgemässen und wirkungsvollen Aufsicht ein hohes Risiko. Ziel unserer Interpellation ist die Beschaffung von Auskünften als Grundlagen für Vorschläge für angezeigte Verbesserungsmöglichkeiten.

Fragen an den Regierungsrat

1. Erlangt der Regierungsrat periodisch Kenntnis über den Stand der Bemühungen zur
   Minimierung von Cyberrisiken und somit der Qualität der Cybersicherheit?
2. Welches Gewicht hat bei der Beurteilung der Bewilligungsvergabe die Qualität der „Cybersicherheit” der Spitäler?
3. Gibt es spezifische (Minimal-)Vorgaben für die Spitäler im Themenkomplex „Cybersicherheit” …
   1. zur periodischen Prüfung, Beurteilung und allenfalls Rapportierung an die Aufsicht?
   2. Audits durch interne / externe Prüfinstanzen oder dergleichen?
   3. für (Minimal-)Erfordernisse als Grundlage für die Bewilligungsvergabe?
4. Sind seitens Aufsicht betriebsorganisatorische Prozesse etabliert, die der laufenden Anpassung der Beurteilungskriterien aufgrund der steigenden Risiken und der Komplexität Rechnung tragen, namentlich in den Bereichen…
   1. Beschaffungsmanagement der Spitäler?
   2. Asset Life Cycle Management der Spitäler?
   3. Security Operations & Incident Response der Spitäler?
   4. Datenschutz & Risiko Management der Spitäler?

Interpellation als PDF