NIS-2 und Cyber Resilience Act zwingen Kliniken zur Neugestaltung ihrer Lieferkettenverträge

Europäische Regulierungsvorhaben verändern die rechtlichen Anforderungen an die Digitalisierung von Krankenhäusern grundlegend. Der European Health Data Space (EHDS) verpflichtet Leistungserbringer zur Einhaltung unionsrechtlicher Standards für Interoperabilität, Zugriffskontrolle und Datensicherheit. Nationale IT-Lösungen müssen künftig in den europaweiten Versorgungs- und Datenaustausch eingebettet sein, etwa über MyHealth@EU.

Die NIS-2-Richtlinie weitet Cybersicherheitspflichten auf alle Krankenhäuser aus, unabhängig von ihrer Größe. Sicherheitsanforderungen gelten nicht nur intern, sondern erstrecken sich auf die gesamte Lieferkette, also auf externe Dienstleister, Softwareanbieter und Plattformbetreiber.

Die KI-Verordnung stuft medizinische KI-Systeme regelmäßig als Hochrisikoanwendungen ein. Krankenhäuser tragen als Betreiber eigenständige Pflichten über den gesamten Lebenszyklus solcher Systeme. Beschafft werden darf nur, was nachweislich konform ist.

Der Cyber Resilience Act verpflichtet Hersteller digitaler Produkte zur dauerhaften Versorgung mit Sicherheitsupdates. Kliniken müssen bei der Beschaffung prüfen, ob Hersteller diese Pflichten erfüllen.

Die Autoren empfehlen, rechtliche und technische Expertise früh in den Einkaufsprozess einzubinden, Complianceprüfungen als festen Bestandteil von Vergabeverfahren zu etablieren und Verträge auf dauerhafte Pflichten auszurichten. Einheitliche Bewertungsmaßstäbe und interne Leitlinien sollen den Einkauf zum strategischen Steuerungsinstrument machen.