Cyberangriffe im Gesundheitswesen: EU reagiert mit Aktionsplan

Im Jahr 2023 meldeten EU-Mitgliedstaaten 309 Cyberangriffe auf den Gesundheitsbereich – mehr als auf jeden anderen kritischen Sektor. [...]

Besonders verwundbar zeigte sich das Gesundheitswesen während der Covid-19-Pandemie. Laut ENISA trafen 54 Prozent der analysierten Vorfälle zwischen 2021 und 2023 auf Ransomware, 83 Prozent der Täter waren finanziell motiviert.

Mit der zunehmenden Digitalisierung wächst auch die Angriffsfläche. Ransomware, Datenlecks oder DDoS-Attacken können in Kliniken besonders gravierende Folgen haben. Um gegenzusteuern, hat die EU-Kommission Anfang 2025 einen Aktionsplan zur Stärkung der Cybersicherheit im Gesundheitswesen vorgestellt.

Der Plan ruht auf vier Säulen: Prävention, Erkennung, Reaktion und Abschreckung. Er greift auf bestehende Regelwerke wie NIS2, den Cybersecurity Act, den Cyber Resilience Act (CRA) sowie die Verordnung über Medizinprodukte (MDR) zurück. Erste Maßnahmen sind für 2025/2026 geplant.

Ziel ist ein sichereres Gesundheitsökosystem – von Kliniken bis zur Industrie. Geplant sind unter anderem ein EU-weites Frühwarnsystem, Reaktionsleitfäden (»Playbooks«) sowie ein europäisches Unterstützungszentrum bei ENISA. Gemeinsam mit Europol sollen häufige Angriffsvektoren identifiziert werden.

Mitgliedstaaten sollen Meldepflichten einführen, etwa bei Ransomware mit Lösegeldforderungen. Auch Hersteller von Medizinprodukten und In-vitro-Diagnostika sollen schwerwiegende Vorfälle melden müssen. MDR und IVDR sollen auf Kohärenz mit Cybersicherheitsvorgaben geprüft werden.

Die ENISA-Beschaffungsleitlinien sollen aktualisiert und das Prinzip »Security by Design and by Default« gestärkt werden. Anbieter von Cloud-Diensten (SaaS, IaaS, PaaS) sollen Sicherheitsfunktionen standardmäßig integrieren. Eine finanzielle Förderung von Cybersicherheitsmaßnahmen für kleinere Einrichtungen ist ebenfalls vorgesehen.

Flankiert wird der Plan von einem Konsultationsverfahren mit Stakeholdern. Weitere Empfehlungen sollen Ende 2025 folgen.

Ob der Aktionsplan ausreicht, wird sich erst in der Umsetzung zeigen – doch er markiert einen wichtigen Schritt hin zu einem widerstandsfähigeren und sichereren digitalen Gesundheitswesen in Europa.

*Mag. Andreas Schütz und Mag. Christopher Bakier sind Juristen der Kanzlei Taylor-Wessing.