Cybersécurité dans le domaine de la santé

Heim Bea · Mit-F · Conseil national · Soleure · Groupe socialiste

Mein Postulat trägt den Titel "Cybersicherheit im Gesundheitswesen". Demnach wird der Bundesrat ersucht, Massnahmen zur Stärkung der Cybersicherheit im Gesundheitswesen zu prüfen, und das in Zusammenarbeit mit Fachpersonen und den Kantonen. Das Postulat fokussiert insbesondere auf die Sicherheit und auf Sicherheitsstandards vernetzter medizinischer Geräte.

Seit Langem warnen IT-Experten davor, dass fernbedienbare medizinische Implantate wie Herzschrittmacher und Insulinpumpen von Cyberkriminellen manipuliert werden können. Diese umzuprogrammieren oder gar abzuschalten sei möglich. Darum braucht es höhere Sicherheitsstandards, insbesondere für Internet-of-Things-Geräte im Gesundheitswesen.

Die digitale Transformation durchdringt den Spitalalltag. Mehr und mehr Diagnose-, Analyse- und Behandlungsgeräte sind heute vernetzt, beispielsweise Kontroll- und Überwachungsgeräte für Vitalfunktionen, Dosier- und Infusionspumpen oder EKG-Geräte und Computertomografen. Dazu kommt eine Vielzahl von Analysegeräten in medizinischen Labors. Die Vernetzung der Geräte dient einerseits der Überwachung und Steuerung innerhalb des Spitals, andererseits aber auch der Fernwartung und Firmware-Updates durch die Hersteller. Diese Remote-Zugänge oder Fernzugriffsmöglichkeiten stellen ein grosses Einfallstor für Cyberangriffe dar. An einer Tagung zeigte eine IT-Firma, wie einfach und schnell zum Beispiel eine Infusionspumpe gehackt werden kann. Einmal gehackt, lassen sich Überdosierungen verabreichen oder lässt sich die Medikation einfach abstellen, während das Gerät weiter unverdächtige Werte anzeigt.

Spezielle Geräte sind die heutigen Herzschrittmacher, die selbst aus der Entfernung gewartet und parametrisiert werden können. Nicht auszudenken, welche lebensbedrohlichen Schäden damit angerichtet werden könnten! Die Vielfalt und Vielzahl an Geräten, zum Beispiel in einem Spital, lassen Cyberkriminellen ungeahnte Möglichkeiten. Darum braucht es Detect-and-Response-Dienste in allen Spitälern.

In diese Richtung geht die Nationale Strategie zum Schutz der Schweiz vor Cyberrisiken 2018-2022 des Bundesrates. Ich habe mir den Umsetzungsplan vom Mai 2019 mit Interesse angeschaut und gesehen, dass der Gesundheitssektor in die Cyberübungen für kritische Infrastrukturen einbezogen wird. Was aber immer noch fehlt, sind die Sicherheitsstandards und Sicherheitsmassnahmen in Bezug auf die Internet-of-Things-Geräte im Gesundheitsbereich. Die Endgeräte sind laufend auf ihre Sicherheit hin zu überprüfen.

Zudem gibt es offenbar eine neue europäische Zulassungsverordnung für Medizinalgeräte, die fordert, dass sämtliche Geräte permanent Patientendaten erfassen und anonymisiert für Forschungszwecke bereitstellen müssen. Wenn dem wirklich so ist bzw. da die Information von Professor Peter E. Fischer kommt, stellt sich die Frage der Sicherheit und der Sicherheitsstandards für Internet-of-Things-Medizinalgeräte noch dringender.

Darum bitte ich den Rat, dieses Postulat anzunehmen, im Interesse der Sicherheit der Patientinnen und Patienten - wir alle können mal Patientinnen und Patienten werden -, also auch in Ihrem Interesse und im Interesse der Spitäler.

Berset Alain · BR-M · Conseil fédéral · Fribourg

Le Conseil fédéral estime que les objectifs visés par le postulat sont déjà remplis; c'est pour cela que nous vous invitons à le rejeter.

La Confédération et les cantons ont élaboré conjointement la Stratégie Cybersanté Suisse 2.0. L'un des objectifs est de renforcer la cybersécurité et la sécurité des données au sein du système de santé. Dans ce cadre, nous avons, avec les cantons et avec les autres acteurs, développé des mesures concrètes pour améliorer la sécurité des données et la cybersécurité dans le domaine de la santé. Et puis, nous avons prévu d'évaluer des nouvelles approches technologiques pour garantir durablement l'échange de données dans le domaine de la santé et d'en promouvoir l'utilisation.

Permettez-moi de relever un dernier point, à savoir que la résilience du secteur critique des soins médicaux et des hôpitaux a déjà été testée dans le cadre de la Stratégie nationale de protection de la Suisse contre les cyberrisques 2018-2022, ainsi que dans le cadre de la Stratégie nationale de protection des infrastructures critiques. Cela nous a permis d'acquérir un certain nombre d'informations et de données, de voir où sont les vulnérabilités et comment les choses peuvent être améliorées.

Compte tenu de ce qui précède, le Conseil fédéral estime que les exigences du postulat sont satisfaites. Je vous invite à le rejeter.

Heim Bea · Mit-F · Conseil national · Soleure · Groupe socialiste

Herr Bundesrat, Sie haben am 14. Februar 2018 die Annahme des Postulates 17.4295, "Sicherheitsstandards für Internet-of-Things-Geräte prüfen, weil diese eine der grössten Bedrohungen der Cybersicherheit sind", beantragt - gut. Das Problem ist nur: In diesem Postulat ist nicht von den Internet-of-Things-Geräten der Medizin die Rede. Deshalb braucht es mein Postulat. Nun bin ich ein bisschen irritiert, um es gelinde zu sagen, dass Sie im Bereich der Patientensicherheit nicht ebenso verfahren wie bei der Annahme des Postulates Glättli. (Zwischenruf von Bundesrat Berset: Das war keine Frage, oder?) (Interruzione della presidente: Solo la domanda, signora Heim!) Meine Frage: Warum nicht?

Berset Alain · BR-M · Conseil fédéral · Fribourg

Frau Nationalrätin Heim, es kann gut passieren, dass der Bundesrat ein Postulat zur Annahme und ein anderes zur Ablehnung empfiehlt. Das ist auch eine Frage der Kohärenz dessen, wie wir denken, einer Sache in einem bestimmten Moment gerecht zu werden.

Vote

La presidente (Carobbio Guscetti Marina, presidente): Il Consiglio federale propone di respingere il postulato.

Abstimmung - Vote

Für Annahme des Postulates ... 61 Stimmen

Dagegen ... 114 Stimmen

(1 Enthaltung)