Webkonferenz IT-Sicherheit im Krankenhaus

09:00 – 09:30 Uhr: Anwendervortrag: KRITIS-DACH Gesetz – Was hat das mit IT zu tun?!

Die KRITIS Gesetzgebung hat in Deutschland mit den BSIG angefangen und mit NIS-2 kommt die EU ins Spiel. In diesem Zuge wurde ebenso die weiteren Themen außerhalb der Informationssicherheit im KRITIS Feld betrachtet. Diese wird im KRITIS-DACH Gesetz betrachtet und deren Auswirkung auf die IT sowie der Umsetzungsplan wird im Vortrag dargestellt.

• Einordnung NIS-2 und KRITIS-DACH
• Maßnahmen nach KRITIS-DACH
• Was hat das mit der IT zu tun?
• Wie sieht der Umsetzungszeitplan aus?

Referent: 

Anlässlich der Mitgliederversammlung zur Frühjahrstagung 2019 in Dortmund erfolgte die Wahl von Lars Forchheim in den Vorstand des KH-IT e.V.. Am 23.09.21 wurde er zum stv. Vorsitzender und somit in den geschäftsführenden Vorstand des Verbandes gewählt. Am 21. September 2023 wurde er im Amt bestätigt.

09:30 – 10:00 Uhr: Cyber-Sicherheit im Gesundheitswesen effizient umsetzen

Der Vortrag gibt einen praxisnahen Einblick in aktuelle Angreifergruppen und deren immer versierteres und rücksichtsloseres Vorgehen. Dem stellt der Referent die typische Situation in Einrichtungen des Gesundheitswesens gegenüber und verdeutlicht, warum diese sowohl von der personellen Ausstattung mit entsprechenden Spezialisten, als auch budgetmäßig der Bedrohungslage nicht mehr angemessen ist.

Nikolei Steinhage warnt aber auch, dass Managed Security Service Provider, die sich gerne als Rundum-Lösung anbieten, oft nicht die Erwartungen erfüllen und Kosten treiben, ohne nennenswerte Entlastung zu bringen.

Er erklärt, worauf es im Krankenhaus wirklich ankommt und zeigt am Beispiel von Crowdstrike MDR, wie Sie wieder Ihren Feierabend genießen können, während der Service die volle Verantwortung für Ihren Schutz übernimmt – 24/7, 365 Tage im Jahr.

• Wie stellt sich die aktuelle Bedrohungslage dar?
• Welche Angreifergruppen sind für den Gesundheitssektor relevant
• Warum erfüllen Managed Services oftmals die Erwartungen nicht?
• Wie sorgt CrowdStrikes MDR Service für maximal Entlastung und Sicherheit?

Die Teilnehmer erfahren hier, wie ein Managed Detection und Response Service gerade bei zunehmenden Bedrohungen und begrenzten Ressourcen effektiv schützt und maximal entlastet.

Referent:

Nikolei Steinhage ist Enterprise Sales Engineer bei CrowdStrike und zuständig für das Gebiet Deutschland, Österreich sowie die Schweiz. Seit mittelweile 22 Jahre widmet er sich der Beratung von Kunden im Bereich der Abwehr von Cyberattacken.

10:00 – 10:30 Uhr: Cyberphysische Resilienz durch digitale Schließsysteme

Die Präsentation zeigt, wie digitale Schließsysteme die Sicherheitsprotokolle von Healthcare-Unternehmen stärken können. Erfahren Sie, warum komplexe Cybersicherheitsbedrohungen neue Ansätze für den physischen Zutrittsschutz erfordern – besonders in KRITIS-Bereichen, wo die NIS-2-Richtlinien auch physische Sicherheit vorschreiben.

Hendrik Tarek Dehne erläutert am Beispiel der eCLIQ-Lösungen von ASSA ABLOY die Vielfalt digitaler Schließsysteme und ihre Vorteile für den kontrollierten Zugang zu sensiblen Klinikbereichen wie Serverräume, Patientenaktenschränken etc. Checklisten erleichtern deren Bewertung in Bezug auf den jeweils geplanten Einsatzzweck. Praxisbeispiele verdeutlichen, wie diese Systeme in verschiedenen Szenarien wie „Schlüsselverlust“, „gekündigter Mitarbeiter“ etc. sowohl Sicherheit als auch Effizienz steigern und vereinfachten Zugang für autorisiertes Personal bieten – gleichzeitig aber unbefugten Zugang oder Zugriff verhindern.

1. Cybersicherheitsbedrohungen und deren Auswirkungen auf KRITIS
2. Bedeutung von Schutzmaßnahmen gemäß NIS-2-Richtlinien
3. Rolle digitaler Schließsysteme bei der Gewährleistung von Cyber- und physischer Sicherheit
4. Arten von elektronischen Schließsystemen
5. Best Practices: Erhöhung der Sicherheit und Effizienz durch digitale Schließsysteme

Healthcare-Unternehmen erfahren hier, wie sie mit Zutrittskontrolle ihre cyberphysische Resilienz gemäß den NIS2-Anforderungen erhöhen können.

Referent: 

Hendrik Tarek Dehne ist seit Januar 2023 als Business Development Manager PEU Health Care bei ASSA ABLOY tätig. Sein Fokus liegt auf Geschäftsentwicklung und Entwicklung von zukunftssichern Sicherheitskonzepte für das Gesundheitswesen.

10:30 – 11:00 Uhr: NIS-2 & DSGVO: Gesundheitsdaten in IT-Diagnose-Dateien schützen

Dr. Stephen Fedtke wirft in dieser spannenden Session einen Blick auf ein im Gesundheitswesen oft kaum beachtetes Problem: Er zeigt, wie große Mengen an personenbezogenen Gesundheitsdaten und IT-Sicherheitsinformationen in scheinbar unverfängliche IT-Diagnose-Dateien wie Dumps, Logs und Traces gelangen, die im Rahmen der technischen Problemlösung oft an den IT-Anbieter geschickt werden. Nicht selten verlassen die Daten dabei den deutschen Rechtsraum – teilweise sogar nach USA, Indien oder China.

Der Referent macht darauf aufmerksam, dass Patienten-Dokumente immer streng gesetzlich geschützt sind, eben auch, wenn sie völlig zweckfrei und planlos als zufälliger Bestandteil der IT-Diagnose-Daten verschickt werden.

Erfahren Sie, welche Folgen dieses gesetzeswidrige Verfahren für Krankenhäuser haben kann und wie sich das Problem mit einfachen Techniken und Tools schnell lösen lässt. Sehen Sie, wie automatisierte Anonymisierung IT-Diagnose-Daten sicher und DSGVO-konform macht, um Geldbußen und das Risiko immaterieller Schadensersatzansprüche und der Beweislastumkehr zu vermeiden.

• Welche IT-Diagnose-Daten in Krankenhäusern sind betroffen?
• Wo befinden sich die sensiblen und DSGVO-relevanten Gesundheitsdaten?
• Welche Sicherheitsinformationen beinhalten Dumps, Logs und Traces?
• Welche rechtlichen und sicherheitskritischen Gefahren entstehen durch den Upload?
• Welche Risikoreduzierung ermöglicht die Anonymisierung?

Teilnehmer erfahren hier, wie in Kliniken sehr oft sensible Gesundheits- und Sicherheitsdaten versteckt eingelagert in IT-Diagnose-Dateien landen, warum der ungeschützte Versand dieser Daten im Rahmen des IT-Problem-Managements gegen die DSGVO verstößt und wie durch Anonymisierung negative Rechtsfolgen vermieden werden können.

Referent: 

Dr. Stephen Fedtke ist Wirtschaftsingenieur und Head of Technology von ENTERPRISE-IT-SECURITY.COM, ein auf IT-Sicherheit und Compliance-Lösungen spezialisierter Bereich des Unternehmens Dr. Stephen Fedtke System Software.

11:00 – 11:30 Uhr: NIS-2-Anforderungen im Gesundheitswesen effizient und konform umsetzen

Bei ständig steigenden Anforderungen an Betriebssicherheit und Datenschutz steht auch bei Krankenhäusern eine effiziente Umsetzung im Mittelpunkt. Im Vortrag geht es um das gesamte Spektrum der Anforderungen – von der Definition einer Prozesslandkarte, über die Inventarisierung und Bewertung eines Informationsverbunds bis zur Bewertung von Verträgen und Überwachung von Dienstleistungsunternehmen. All dies bildet die Basis für ein solides Informationssicherheits- und Notfallmanagement und in allen Bereichen entstehen Aufwände, die Kliniken schwer belasten können.

Roland Hein zeigt Ihnen mit der neuen, modularen Tool-Suite „bit-Compliance“, wie Sie Ihr Unternehmen mit erheblich reduziertem Aufwand umfassend abbilden und bewerten können. In einer Live-Demo führt er Beispiele aus den Bereichen Benutzerverwaltung, Datenschutz, Notfallmanagement, IT-Betrieb, Projektmanagement, Vertragsverwaltung und Dienstleistersteuerung vor und erläutert die Vorteile eines ganzheitlichen Ansatzes gegenüber vielen Einzellösungen.

• Funktionen und Vorteile eines ganzheitlichen Ansatzes
• Benutzer- und Berechtigungsmanagement (IAM)
• Vertragsverwaltung und Dienstleistersteuerung
• Prozesslandkarte und Informationsverbund inkl. Notfallmanagement
• IT-Betrieb und Projektmanagement

In diesem Vortrag erfahren KRITIS-Unternehmen aus dem Gesundheitswesen, wie passende Tools ihnen helfen können, die gestiegenen Anforderungen an die Dokumentation und Überwachung ihrer Sicherheit effizient und gesetzeskonform zu erfüllen.

Referent: 

Roland Hein stellt Instituten aus dem gesamten Drei-Säulen-Modell der deutschen Kreditwirtschaft seit fast 30 Jahren workflowbasierte Anwendungen zur ganzheitlichen und aufsichtskonformen Umsetzung der MaRisk- und BAIT-Anforderungen zur Verfügung.

11:30 – 12:00 Uhr: Wie Network Access Control im KH Security und Effizienz boostert

KRITIS-Unternehmen wie Krankenhäuser haben derzeit nicht nur mit einem Dschungel neuer Gesetze und Vorschriften zu kämpfen (§75c SGB V, B3S, NIS-2 etc.) sondern auch mit einer dramatisch zunehmenden Komplexität ihrer IT- und IT-Sicherheitssysteme. In diesem Vortrag geht es darum, wie Unternehmen aus dem Gesundheitswesen mit Hilfe von NAC beide Herausforderungen sehr effizient meistern können.

Morten Köster veranschaulicht, wie NAC oft geforderte Prinzipien wie „Security nach dem Stand der Technik“, „Netzwerksegmentierung“ oder „Zero-Trust“ unterstützt und wie sich damit Routine-Tätigkeiten automatisieren lassen. Ein weiterer Schwerpunkt ist die Korrespondenz von NAC mit einem aktiven Schwachstellen- und Risikomanagement durch ein Security Operation Center (SOC) und wie die im SOC gewonnenen Erkenntnisse in einem ständigen Kreislauf wieder in das NAC einfließen.

Vor dem Hintergrund des anhaltenden Fachkräftemangels zeigt Köster zudem flexible Möglichkeiten, wie kompetente MSPs/MSSPs als externe SOC-Dienstleister zur Minimierung von Risiken beitragen können.

• Mehr Aufgaben für weniger Personal
• März als MSP im Gesundheitswesen
• Network Access Control: Zeitersparnis und Steigerung der IT-Security in einem!
• Aktives Schwachstellenmanagement dank gewonnener Zeit
• Risikominimierende Maßnahmen durch NAC

Die Teilnehmer erfahren praxisnah, warum Network Access Control (NAC) im Krankenhaus nicht nur für die Compliance-gerechte Sicherheit unverzichtbar ist, sondern mit hohem Automatisierungspotenzial auch Security-Teams signifikant entlastet.

Referent: 

Morten Köster ist Teamleiter im Bereich Netzwerk- und Security Consulting bei der März Network Services GmbH und hat über zehn Jahre Praxis Erfahrung als Administrator im Bereich Netzwerke und Security.

12:00 – 12:30 Uhr: Wie integratives Risikomanagement Krankenhäuser stärkt

Krankenhäuser und Kliniken müssen sich zunehmend mit einem wachsenden und komplexen Netz an Vorschriften wie NIS2, §391 SGB V, DIN EN IEC 80001 oder DSGVO auseinandersetzen – und das mit immer knapperen Ressourcen. Der Vortrag zeigt eindrucksvoll, warum ein intelligentes, umfassendes und nahtlos verknüpftes Risikomanagement unverzichtbar ist. Es geht dabei nicht nur um die Verwaltung von IoT- und IoMT-Systemen, sondern um einen Ansatz, der Krankenhäusern hilft, effizient und zukunftssicher den steigenden Anforderungen gerecht zu werden.

Anhand der „Patientenakte“ – dem Herzstück eines jeden Krankenhauses und gleichzeitig einem der größten Sicherheitsrisiken – wird verdeutlicht, wie ein modernes Risikomanagement die interdisziplinären Herausforderungen bewältigen kann. Eine Live-Demo zeigt außerdem, wie diese kritische Aufgabe durch den Einsatz des smarten ISMS-Tools TTS-Trax zentral gesteuert wird, um Sicherheit und Effizienz zu vereinen.

• TTS als Partner für Medizinische Informationssicherheit
• Darstellung der normativen Anforderungen in den nächsten 5 Jahren
• Die Patientenakte – Sorgenkind #1 und Eckpfeiler eines jeden Krankenhauses
• Interdisziplinäres Risikomanagement in TTS trax
• Data in Motion – Prozessuale Zusammenführung von Informationssicherheit und Datenschutz

Der Vortrag zeigt die ersten Schritte auf dem Weg zu einem interdisziplinären und integrierten Risikomanagement im Gesundheitswesen – und wie Software-Tools dabei unterstützen, die relevanten Normen und Gesetze einzuhalten.

Referent: 

Dr. Tim Vellmer promovierte an der Julius-Maximilians-Universität Würzburg (Schwerpunkt Infektionsbiologie). Von 2022 bis 2024 arbeitete er bei CGI – IT und Business Consulting, speziell im Bereich Defense & Intelligence. Seit 2024 ist er für TTS tätig.