Lieferantenrisiko ist Patientenrisiko: Vier regulatorische Änderungen erhöhen den Druck auf Gesundheitsorganisationen

Gesundheitsorganisationen sehen sich einem wachsenden Druck ausgesetzt, nachzuweisen, dass sie ihre Drittanbieterrisiken verstehen und kontrollieren. Die kürzlich vorgeschlagene oder erlassene HIPAA Security Rule Notice of Proposed Rulemaking, die HHS Healthcare Sector Cybersecurity Performance Goals, der Health Care Cybersecurity and Resiliency Act oder S.3315 und die sich entwickelnden CMS Conditions of Participation spiegeln die wachsende Besorgnis über die Auswirkungen von Cybervorfällen bei Drittanbietern auf Gesundheitsorganisationen wider.

Geschäftspartner und andere Drittanbieter bearbeiten Ansprüche, verwalten elektronische Gesundheitsakten, hosten kritische Anwendungen und speichern geschützte Gesundheitsinformationen. Viele unterstützen auch wesentliche Funktionen, von Apothekenabläufen bis hin zu vernetzten medizinischen Geräten. Diese Beziehungen schaffen Möglichkeiten zur Verbesserung der Versorgung, führen aber auch neue Schwachstellen ein.

Zusammen verändern diese Entwicklungen die Erwartungen daran, wie Gesundheitsorganisationen Lieferantenrisiken über den gesamten Lebenszyklus hinweg identifizieren und überwachen.

Vier bundesstaatliche Treiber erhöhen den Standard für die Überwachung von Drittanbietern

Vier bundesstaatliche Entwicklungen prägen nun, wie Gesundheitsorganisationen Cybersicherheit und Drittanbieterrisiken angehen. Obwohl jeder Ansatz unterschiedlich ist, zeigen sie eine breitere Verschiebung in der Art und Weise, wie Bundesbehörden die Verantwortung von Gesundheitsorganisationen für die Lieferanten und Geschäftspartner sehen, die die Patientenversorgung unterstützen.

HIPAA Security Rule NPRM

Die vorgeschlagenen Aktualisierungen der HIPAA Security Rule würden die Cybersicherheitsanforderungen für abgedeckte Einrichtungen und Geschäftspartner stärken und gleichzeitig ein fortlaufendes Risikomanagement betonen. Die NPRM würde Organisationen dazu verpflichten, Schutzmaßnahmen wie Multi-Faktor-Authentifizierung und Verschlüsselung zu implementieren. Sie würde auch von abgedeckten Einrichtungen verlangen, schriftlich zu bestätigen, dass Geschäftspartner die gemäß HIPAA erforderlichen Sicherheitsvorkehrungen implementiert haben.

Die Anforderung der schriftlichen Bestätigung erhöht die Messlatte für die Lieferantenüberwachung. Eine Geschäftsvereinbarung legt die Verantwortlichkeiten jeder Partei fest, aber die Regel legt nun mehr Wert darauf, nachzuweisen, dass diese Verantwortlichkeiten erfüllt werden. Für Gesundheitsorganisationen bedeutet dies, eine Dokumentation zu führen, die zeigt, wie Lieferantenschutzmaßnahmen im Laufe der Zeit bewertet und verifiziert wurden.

Wichtige Erkenntnis: Die Regel verlagert die Lieferantenüberwachung hin zu einer dokumentierten, fortlaufenden Verifizierung – anstatt sich allein auf vertragliche Verpflichtungen oder periodische Bewertungen zu verlassen.

HHS Healthcare Sector Cybersecurity Performance Goals

Das HHS hat die Healthcare Sector Cybersecurity Performance Goals eingeführt, um Gesundheitsorganisationen eine Grundlage zur Stärkung ihrer Abwehrmaßnahmen gegen gängige Cyberbedrohungen zu geben. Diese freiwilligen Ziele betreffen Bereiche wie Multi-Faktor-Authentifizierung, Bestandsaufnahme von Assets, Reaktion auf Vorfälle und Lieferantenrisikomanagement.

Obwohl die CPGs keine regulatorischen Anforderungen sind, bieten sie Benchmarks und Prioritäten für Cybersicherheitspraktiken. Die Ziele erkennen auch an, dass die Sicherheit einer Organisation von den Drittanbietern abhängt, mit denen sie zusammenarbeitet.

Für Gesundheitsorganisationen bieten die CPGs einen Rahmen zur Bewertung, ob ihre bestehende Lieferantenüberwachung die wichtigsten Risiken berücksichtigt. Sie bieten auch einen Referenzpunkt zur Stärkung der Praktiken, bevor formellere Anforderungen geschaffen werden.

Wichtige Erkenntnis: Freiwillige Leitlinien können immer noch beeinflussen, was Aufsichtsbehörden als angemessene Schutzmaßnahmen betrachten. Das macht die CPGs zu einem nützlichen Maßstab für die Stärkung der Cybersicherheitspraktiken von Drittanbietern heute.

Health Care Cybersecurity and Resiliency Act oder S.3315

Der Health Care Cybersecurity and Resiliency Act würde Mindestanforderungen an die Cybersicherheit für abgedeckte Einrichtungen und Geschäftspartner festlegen, einschließlich Maßnahmen wie Multi-Faktor-Authentifizierung, Verschlüsselung und Penetrationstests. Er schlägt auch erweiterte Safe-Harbor-Schutzmaßnahmen für Organisationen vor, die mindestens 12 Monate anerkannter Cybersicherheitspraktiken nachweisen können.

Der Vorschlag belohnt Organisationen, die über einen längeren Zeitraum hinweg ausgereifte Cybersicherheitspraktiken nachweisen können. Für Drittanbieter-Risikoprogramme schafft dies eine stärkere Grundlage für die kontinuierliche Aufzeichnung von Lieferantenbewertungen, Schutzmaßnahmenverifizierungen, Behebungen und anderen Überwachungsaktivitäten.

Wichtige Erkenntnis: Die vorgeschlagene Gesetzgebung macht dokumentierte Cybersicherheitspraktiken wertvoller. Organisationen müssten Nachweise erbringen, wie sie Risiken gemanagt und Schutzmaßnahmen über die Zeit aufrechterhalten haben.

CMS Conditions of Participation

Die Erwartungen an die Cybersicherheit fließen auch in die operativen Anforderungen ein, die Gesundheitsorganisationen erfüllen müssen, um an Medicare und Medicaid teilnehmen zu können. CMS hat vorgeschlagen, die Erwartungen an das Sicherheitsrisikomanagement für Krankenhäuser zu stärken, einschließlich einer größeren Aufmerksamkeit für die Risiken, die durch Drittanbieterbeziehungen entstehen.

Diese Verbindung ist wichtig, da viele der Systeme, die die Patientenversorgung unterstützen, außerhalb der direkten Kontrolle der Organisation liegen. Vor diesem Hintergrund muss ein Sicherheitsrisikomanagementprogramm die Lieferanten und Abhängigkeiten berücksichtigen, die die Versorgung unterbrechen könnten.

Die engere Verknüpfung der Cybersicherheit mit den Conditions of Participation zwingt Gesundheitsorganisationen zusätzlich dazu, die Lieferantenüberwachung als Teil der Aufrechterhaltung eines sicheren und widerstandsfähigen Betriebs zu behandeln.

Wichtige Erkenntnis: Cybersicherheit und Drittanbieterrisiken sind zunehmend mit der Fähigkeit verbunden, Gesundheitsabläufe aufrechtzuerhalten und an bundesstaatlichen Gesundheitsprogrammen teilzunehmen, wodurch die Lieferantenüberwachung neben einem IT-Anliegen auch eine operative und Governance-Verantwortung wird.

Wie wirken sich Cybervorfälle bei Lieferanten auf die Patientenversorgung aus?

Die wachsende Betonung einer kontinuierlichen Überwachung von Drittanbietern unterstreicht die Realität, dass Cybervorfälle, an denen Lieferanten beteiligt sind, jetzt unmittelbare Folgen für die Gesundheitsversorgung haben.

Ein jüngstes Beispiel ist der Ransomware-Angriff auf den Anbieter für Erlöszyklusmanagement Unlimited Technology Systems, der etwa 3,8 Millionen Patienten betraf. Der Anbieter erbringt Abrechnungs- und Erlöszyklusdienstleistungen für Tausende von Gesundheitsdienstleistern, was bedeutet, dass viele der betroffenen Patienten nie direkt mit dem Unternehmen interagiert hatten. Dennoch wurden durch die Sicherheitsverletzung sensible Informationen wie Sozialversicherungsnummern, medizinische Unterlagen, Diagnose- und Behandlungsdetails sowie gescannte Versicherungskarten offengelegt.

Dieser Vorfall ist Teil eines breiteren Musters. Laut MedCity News waren Anbieter, die Ansprüche, Abrechnungen und medizinische Unterlagen verarbeiten, für sechs der zehn größten im Jahr 2026 gemeldeten Gesundheitsdatenlecks verantwortlich.

Die Folgen gehen auch über kompromittierte Daten hinaus. Jüngste Angriffe, die Organisationen wie Change Healthcare, Conduent, Ascension und PIH Health betrafen, zeigten, wie schnell sich Störungen im gesamten Gesundheitsökosystem ausbreiten können. Die Bearbeitung von Ansprüchen stockte, Apotheken erlebten Verzögerungen, klinische Arbeitsabläufe wurden unterbrochen, und Anbieter waren gezwungen, Notfallpläne zu aktivieren, um die Versorgung weiterhin zu gewährleisten. Was als Cybersicherheitsvorfälle begann, entwickelte sich schnell zu operativen Krisen, die Patienten und Kliniker betrafen.

Forschungsergebnisse untermauern den Zusammenhang zwischen Cybersicherheitsvorfällen und Patientenversorgung. Hacking und andere IT-Vorfälle machen die überwältigende Mehrheit großer Gesundheitsdatenlecks aus, während Geschäftspartner weiterhin eine zunehmend prominente Rolle bei diesen Ereignissen spielen. Unter den Gesundheitsorganisationen, deren Patientenversorgung durch einen Cyberangriff gestört wurde, berichtete fast ein Drittel von erhöhten Patientensterblichkeitsraten. Diese schwerwiegenden Ergebnisse rücken die Auswirkungen von Lieferantenrisiken in die richtige Perspektive.

Fünf Schritte zum Aufbau eines widerstandsfähigeren Ansatzes zur Überwachung von Drittanbietern

Gesundheitsorganisationen können ihre Überwachung von Drittanbietern stärken, indem sie sich auf fünf Hauptbereiche konzentrieren. Dieser Ansatz schafft eine größere Transparenz bei Lieferantenrisiken sowie eine bessere Dokumentation, wie diese Risiken gemanagt werden.

1. Kritische Lieferanten identifizieren und klassifizieren.
   Organisationen können Geschäftspartner und nachgelagerte Lieferanten basierend auf Faktoren wie deren Auswirkungen auf die Patientenversorgung, die Betriebsfortführung, regulatorische Anforderungen und Konzentrationsrisiken priorisieren. Dies hilft, Ressourcen auf Beziehungen zu konzentrieren, bei denen eine Störung die größten Folgen haben könnte.
2. Lieferanten kontinuierlich überwachen.
   Lieferantenrisiken können sich zwischen jährlichen Bewertungen erheblich ändern. Eine kontinuierliche Überwachung hilft Teams, Änderungen im Lieferantenrisiko zu erkennen und zu reagieren, bevor jährliche Überprüfungen das Problem aufdecken. Die Ausweitung der Überwachung auf Onboarding, laufende Überwachung und Offboarding schafft auch ein vollständigeres Bild der Lieferantenbeziehung.
3. Dokumentierte Nachweise führen.
   Eine schriftliche Verifizierung kann zeigen, wie Lieferantenrisiken im Laufe der Zeit bewertet und angegangen wurden. Das Zugänglichmachen und Organisieren dieser Nachweise erleichtert auch die Reaktion auf eine OCR-Untersuchung, eine CMS-Überprüfung oder andere Anfragen.
4. Risikosignale organisationsweit vernetzen.
   Cybersicherheitsergebnisse bieten nur eine Sicht auf Lieferantenrisiken. Finanzielle Gesundheit, Abhängigkeiten von Viertparteien, Resilienz, Compliance, Vorfallsaktivitäten und Patientensicherheit können alle den potenziellen Einfluss eines Lieferanten beeinflussen. Die Vernetzung dieser Signale innerhalb eines gemeinsamen Lieferantenprofils schafft eine vollständigere Sicht auf die Exposition und hilft Teams, Probleme zu identifizieren, die sonst unverbunden bleiben könnten.
5. Funktionsübergreifende Governance etablieren.
   Compliance-, Unternehmensrisiko-, Geschäftskontinuitäts-, Resilienz- und klinische Teams können alle eine Rolle bei der Bewertung der potenziellen Auswirkungen eines kritischen Lieferanten spielen. Ein gemeinsames Risikoregister und ein koordinierter Reaktionsprozess können diesen Teams eine gemeinsame Sicht auf Lieferantenrisiken und eine klarere Verantwortlichkeit bei auftretenden Problemen geben.

Lieferanten sind nicht mehr nur ein Compliance-Anliegen. Sie sind Teil der Gesundheitsversorgungskette. Wenn ein kritischer Lieferant einen Cybervorfall erlebt, können die Folgen Patienten, Kliniker und den Betrieb fast sofort erreichen. Gesundheitsorganisationen, die kontinuierliche, evidenzbasierte Überwachungsprogramme aufbauen, werden besser auf regulatorische Prüfungen vorbereitet und besser positioniert sein, um die Patientenversorgung zu schützen.

Weitere Informationen zum Drittanbieter-Risikomanagement finden Sie in unserem E-Book „Rethinking Supply Chain Risk Management: A Practical Guide to Better Assurance“ und laden Sie unser Toolkit zur Reduzierung von Drittanbieter-Expositionen herunter.