Krankenhäuser tragen weiterhin das Risiko ihrer Cloud-Anbieter

DORAs kritisches Drittparteien-Überwachungsregime gilt speziell für Finanzunternehmen und die als kritisch eingestuften IKT-Anbieter dieses Sektors. Krankenhäuser fallen nicht direkt in den Anwendungsbereich. Das zugrundeliegende Muster betrifft jedoch ebenso die Abhängigkeit eines Gesundheitssystems von Cloud- und klinischen IT-Anbietern: Die regulatorische Überwachung eines Anbieters – wo immer sie existiert – entbindet das Gesundheitssystem niemals von der eigenen Verantwortung für diese Beziehung.

Einige Gesundheitssysteme, die diese Entwicklung beobachten, gehen davon aus, dass die zugrundeliegende Erkenntnis für sie nicht gilt, da sie anderen Regularien unterliegen. Diese Annahme verfehlt jedoch den Kern: Konzentrationsrisiken bei wenigen kritischen Anbietern sind eine strukturelle Eigenschaft der Abhängigkeit von diesen Anbietern, nicht die Folge einer bestimmten Regulierung. Ein Gesundheitssystem kann vollständig außerhalb des DORA-Anwendungsbereichs liegen und dennoch dem gleichen Ausfallrisiko ausgesetzt sein, das DORA adressiert.

Executive Summary

Gesundheitssysteme, die Entwicklungen wie DORA im Finanzsektor verfolgen, können daraus eine direkte Lehre für ihr eigenes Lieferantenrisiko ziehen, auch wenn sie nicht im Geltungsbereich liegen: Die Konzentration auf wenige kritische Anbieter und die daraus resultierende Verantwortung verschwindet nicht, nur weil kein externer Regulator diesen spezifischen Anbieter überwacht. Für Compliance-Verantwortliche bedeutet das: Anbieter-Konzentration ist ein kontinuierlich zu managendes Risiko – kein Compliance-Thema, das nur für andere Branchen gilt.

Wichtige Erkenntnisse

1. Die externe Überwachung eines Anbieters entbindet ein Gesundheitssystem nicht von der eigenen Verantwortung für diese Beziehung. Die Pflicht, Risiken zu verstehen und zu steuern, liegt immer beim Gesundheitssystem.
2. Krankenhäuser, die stark auf wenige Cloud- oder klinische IT-Anbieter setzen, tragen ein Konzentrationsrisiko – unabhängig davon, ob eine externe Stelle diese Anbieter überwacht.
3. Regulierungsbehörden und Patienten erwarten zunehmend kontinuierliche Nachweise zur Anbieter-Überwachung, nicht nur eine einmalige Prüfung bei Vertragsabschluss.
4. Ein Register der Anbieterbeziehungen und deren Kritikalität ist unabhängig von branchenspezifischen Vorgaben sinnvoll, da das zugrundeliegende Risiko unabhängig von der Regulierung besteht.
5. Die Verpflichtung des Gesundheitssystems, Kontrolle über die Anbieterbeziehungen nachzuweisen, bleibt immer bestehen – unabhängig davon, wer sonst noch hinschaut.

Was die Einstufung als kritischer Drittanbieter im Finanzsektor tatsächlich bewirkt

Wer versteht, warum DORA diesen Mechanismus vorsieht, erkennt, warum die zugrundeliegende Lehre auch ohne Regulierung übertragbar ist. Die Einstufung verschafft Aufsichtsbehörden Transparenz über Anbieter, deren Ausfall viele Finanzunternehmen gleichzeitig betreffen könnte – basierend auf systemischer Bedeutung und Konzentration der Abhängigkeit.

Die Einstufung betrifft systemische Konzentration, nicht das individuelle Anbieterrisiko

Ein Anbieter wird als kritisch eingestuft, weil viele regulierte Unternehmen in einer Weise von ihm abhängen, die branchenweite Störungen verursachen könnte. Die eigene Abhängigkeit eines Gesundheitssystems von einem Anbieter – je nachdem, wie stark es tatsächlich auf diesen angewiesen ist – ist eine separate Frage, die kein Einstufungsmechanismus in irgendeinem Sektor für das Gesundheitssystem beantwortet.

Warum die eigene Verantwortung immer bestehen bleibt

Unabhängig davon, ob ein Regulator einen Anbieter direkt überwacht, trägt das Gesundheitssystem, das sich auf diesen Anbieter verlässt, stets die volle Verantwortung dafür, zu verstehen, was passiert, wenn der Anbieter ausfällt. Das gilt in jedem Sektor.

Externe Überwachung eines Anbieters ist keine Überwachung Ihres Vertrags

Auch wenn ein Anbieter in einem anderen Sektor intensiv reguliert wird, prüft diese Kontrolle das allgemeine Risikomanagement des Anbieters – nicht den spezifischen Vertrag, Ausstiegsplan oder die Abhängigkeit eines einzelnen Kunden. Ein Gesundheitssystem kann seine eigene Sorgfaltspflicht nicht an einen Regulator auslagern, der die tatsächliche Beziehung zu diesem Anbieter nie geprüft hat.

Konzentrationsrisiko besteht unabhängig vom regulatorischen Rahmen

Ein Gesundheitssystem, das für klinische Systeme, Speicher und Kommunikation auf wenige Anbieter setzt, trägt das gleiche strukturelle Konzentrationsrisiko wie ein Finanzinstitut gegenüber seinen kritischen IKT-Anbietern – unabhängig davon, ob eine Regulierung dieses Risiko explizit benennt.

Wie gutes Lieferantenrisikomanagement aussieht – mit oder ohne Regulierung

Die Maßnahmen, die DORAs Drittparteien-Risikoregelung für Finanzunternehmen wirksam machen, schützen auch jede andere Organisation, die auf wenige kritische Anbieter angewiesen ist.

Ein Register der Anbieterbeziehungen ist ein lebendiges Dokument

Eine genaue Übersicht darüber, welche Anbieter welche klinischen und administrativen Funktionen unterstützen und wie kritisch sie jeweils sind, lohnt sich unabhängig von branchenspezifischen Vorgaben – denn gerade diese Übung macht Konzentrationsrisiken sichtbar, bevor sie zur Krise werden.

Monitoring muss kontinuierlich erfolgen, nicht einmalig

Eine einmalige Sorgfaltsprüfung bei Vertragsabschluss sagt Jahre später nichts über das aktuelle Risikoprofil eines Anbieters aus. Kontinuierliches Monitoring – auch informell – macht aus einer Annahme eine tatsächlich gesteuerte Beziehung.

Lieferantenrisikomanagement aufbauen, bevor ein Regulator es verlangt

Die praktische Antwort für Gesundheitssysteme ist, die gleiche interne Fähigkeit aufzubauen, zu der regulierte Finanzunternehmen verpflichtet sind: Eine kontinuierlich aktualisierte Übersicht, welche Anbieter wirklich kritisch sind, wie konzentriert die Abhängigkeit ist und welche Nachweise für laufende Überwachung existieren – umgesetzt, weil es das Gesundheitssystem schützt, nicht weil eine Regulierung es verlangt.

Wie eine Data Control Plane kontinuierliche Nachweise für das Lieferantenrisiko liefert

Die Kontrolle über Lieferantenrisiken lässt sich nur nachweisen, wenn kontinuierlich sichtbar ist, welche Daten über welche Anbieter und Kanäle laufen, wer darauf zugegriffen hat und unter welchen Bedingungen – statt sich auf Zusicherungen des Anbieters oder eine einmalige Sorgfaltsprüfung zu verlassen.

Die Kiteworks Data Control Plane setzt datenbasierte zero-trust-Kontrollen für jede Aktion über alle Kanäle hinweg ein und erfasst ein kontinuierliches, fälschungssicheres, nicht gedrosseltes Audit-Log, das direkt in SIEM-Tools einfließt. So erhalten Gesundheitssysteme Nachweise für ihre eigene Anbieter-Überwachung – unabhängig von externen Einstufungsregimen. Single-Tenant-Architektur und kundeneigene Verschlüsselungsschlüssel bedeuten zudem, dass die Kontrolle über die sensibelsten Datenbewegungen nicht vom Überwachungsstatus Dritter abhängt.

Gesundheitssysteme, die sehen möchten, wie kontinuierliche Nachweise ihr eigenes Lieferantenrisikomanagement stärken, können eine individuelle Demo vereinbaren.