Sichere Netzwerke sind keine Zauberei – man muss sich aber darum tun

Personendaten sind im Gesundheitswesen wesentlich und zugleich mit Risiken verbunden. Der Staatsrat betont, dass jeder selbst für die Sicherheit seiner Daten zuständig ist.

Ab 1. Januar 2023 werden das Freiburger Spital HFR und das Netzwerk für psychische Gesundheit FNPG selber für die Sicherheit ihrer Informatiksysteme und der darauf gespeicherten Daten zuständig sein. Bis zur vollständigen Umstellung wird wie bisher das kantonale Informatikamt den Dienst für die beiden Organisationen aufrechterhalten, insbesondere für die Bereiche Netzwerk, Server und Back-ups. Diese sind besonders gegenüber Cyberangriffen gefährdet. Dies schreibt der Staatsrat in einer Antwort auf eine Anfrage der SP-Grossratsmitglieder Simon Zurich (Freiburg) und Alizée Rey (Villars-sur-Glâne).

Der Wechsel der Zuständigkeit ist die Folge der stärkeren Autonomie der beiden Einheiten innerhalb der Kantonsverwaltung. Sie dürfen seit 2021 ihre Informatikstrategie selbst festlegen und ihre Systeme eigenständig verwalten. Die Rahmenvereinbarung des HFR mit dem Amt für Informatik und Telekommunikation wurde mit Wirkung auf Ende 2022 gekündigt. «Eine Verlängerung dieser Vereinbarung, um die Migration unter den besten Bedingungen zu ermöglichen, wird derzeit diskutiert.» Das HFR würde nach Ablauf dieser Verlängerung seine Verpflichtungen in Bezug auf Datensicherheit und Datenschutz allein wahrnehmen. Allerdings nur, wenn keine anderslautende Vereinbarung getroffen wird.

Private in der Pflicht 

Die Grossratsmitglieder hatten mit ihrem Vorstoss auf einen Cyberangriff im Frühling 2022 im Kanton Neuenburg reagiert. 

Der Staatsrat hält generell fest, dass rechtlich die wesentliche Person für die Datensicherheit jene ist, welche mit der Bearbeitung betraut ist, und zwar unabhängig davon, ob es sich um staatliche oder private Systeme handelt. Im Fall von HFR und FNPG könnten laut Staatsrat nur berechtigte Mitarbeitende auf Patientendaten zugreifen. Diese Zugriffe folgten klaren Sicherheitsstandards. Der Zugriff durch externe Partner sei streng geregelt. 

Auch Private wie Hausärzte seien für die Pflege ihrer Daten selbst zuständig, zumal der Kanton hier überhaupt keinen Einfluss habe. Die Datenbearbeitung durch Private sei durch Bundesrecht geregelt und von Bundesstellen kontrolliert. Dennoch habe die kantonale Gesundheitsdirektion auf das Datenleak hin einen Brief mit Hinweisen an die praktizierenden Ärztinnen und Ärzte versandt. 

Der Staatsrat stellt fest, dass bei Cyberangriffen auf Arztpraxen wie in Neuenburg Sicherheitslücken wie nicht aktualisierte Software, kein Blockieren von riskanten E-Mails-Anhängen und ungenügende Netzwerkfilterung als mögliche Ursachen auftreten können. Bei genügend Datenschutzmassnahmen wird den Hackern das Leben erschwert. Der Staatsrat schliesst:

Es ist es die Pflicht der Ärztin oder des Arztes, über die Standards und Empfehlungen zur Informatiksicherheit auf dem Laufenden zu bleiben, um zu verhindern, dass sie oder er ein leichtes Ziel für Hacker wird.