Am 11. September 2026 treten die ersten Meldepflichten des europäischen Cyber Resilience Act in Kraft. Hersteller müssen aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle bei digitalen Produkten künftig innerhalb enger Fristen melden. Für Arztpraxen entstehen dadurch zwar keine pauschalen neuen Meldepflichten. Die Verordnung betrifft aber viele Hard- und Softwareprodukte, die täglich im Praxisnetz eingesetzt werden.
Damit rückt eine Frage stärker in den Vordergrund: Wie gut ist Ihre Praxis vor Angriffen geschützt, wenn bei einem eingesetzten Produkt eine Schwachstelle bekannt wird?
Was regelt der Cyber Resilience Act?
Der Cyber Resilience Act, kurz CRA, ist eine EU-Verordnung zur Cybersicherheit von Produkten mit digitalen Elementen. Dazu können beispielsweise Software, Netzwerkgeräte und andere mit dem Internet verbundene Produkte gehören.
Hersteller müssen künftig unter anderem:
- Cybersicherheitsrisiken ihrer Produkte berücksichtigen,
- bekannte Schwachstellen bearbeiten,
- Sicherheitsupdates bereitstellen,
- Nutzer über sicherheitsrelevante Eigenschaften informieren,
- aktiv ausgenutzte Schwachstellen und schwere Sicherheitsvorfälle melden.
Die umfassenden Anforderungen des CRA gelten überwiegend ab dem 11. Dezember 2027. Die Meldepflichten beginnen jedoch bereits am 11. September 2026. Hersteller müssen dann zunächst innerhalb von 24 Stunden warnen und innerhalb von 72 Stunden weitere Informationen übermitteln. Das geht aus den Informationen der Europäischen Kommission zum Cyber Resilience Act hervor.
Müssen Arztpraxen ab September Sicherheitsvorfälle melden?
Der Cyber Resilience Act richtet sich in erster Linie an Hersteller sowie weitere Wirtschaftsakteure, die digitale Produkte auf dem europäischen Markt bereitstellen. Eine Arztpraxis wird durch den Einsatz eines Computers, Routers oder Praxisverwaltungssystems daher nicht automatisch selbst zum meldepflichtigen Hersteller.
Anders kann es aussehen, wenn eine Einrichtung eigene digitale Produkte entwickelt und unter ihrem Namen vertreibt. Für die typische niedergelassene Praxis dürfte das jedoch kaum relevant sein.
Trotzdem ist der CRA für Praxen wichtig. Denn die Sicherheit der Praxis-IT hängt auch davon ab, wie schnell Hersteller Schwachstellen erkennen, kommunizieren und beheben. Ein verfügbares Update schützt allerdings erst, wenn es zeitnah eingespielt wird. Zudem verhindert eine gesetzliche Meldepflicht nicht, dass Angreifer eine Sicherheitslücke bereits ausnutzen.
Was bedeutet der CRA für den Einkauf von Praxis-IT?
Beim Kauf neuer Hardware oder Software sollte nicht allein der Funktionsumfang entscheiden. Mindestens ebenso wichtig ist, wie der Hersteller mit Sicherheitslücken umgeht.
Praxen sollten vor einer Anschaffung unter anderem klären:
- Wie lange stellt der Hersteller Sicherheitsupdates bereit?
- Werden Updates automatisch oder durch einen IT-Dienstleister installiert?
- Wie informiert der Anbieter über kritische Schwachstellen?
- Wer prüft, ob die neue Lösung sicher in das Praxisnetz eingebunden werden kann?
- Welche Daten verarbeitet das Produkt?
- Welche Zugriffsrechte benötigt es?
- Lässt es sich von besonders sensiblen Bereichen des Netzwerks trennen?
Diese Fragen betreffen nicht nur das Praxisverwaltungssystem. Auch Router, Drucker, Netzwerkspeicher, medizinische Geräte und Systeme für den mobilen Zugriff können Angriffsflächen bieten.
Eine Sicherheitslücke betrifft schnell das gesamte Praxisnetz
In einer Arztpraxis sind zahlreiche Systeme miteinander verbunden. Arbeitsplätze greifen auf die Praxissoftware zu. Drucker und Scanner hängen im Netzwerk. Befunde werden digital übermittelt. Teilweise kommen mobile Geräte, externe Zugänge oder oder mehrere Praxisstandorte hinzu.
Wird eines dieser Systeme kompromittiert, kann sich ein Angriff unter Umständen weiter im Netzwerk ausbreiten. Mögliche Folgen sind verschlüsselte Daten, ausgefallene Arbeitsplätze, unterbrochene Praxisabläufe oder ein unbefugter Zugriff auf Patientendaten.
Der Cyber Resilience Act soll dazu beitragen, dass digitale Produkte sicherer entwickelt und Schwachstellen konsequenter behandelt werden. Er ersetzt jedoch keine eigene Sicherheitsarchitektur in der Praxis.
Eine UTM-Firewall schützt das Praxisnetz zentral
Eine einfache Router-Firewall reicht für ein professionelles Praxisnetz häufig nicht aus. Die von Delfs angebotene Securepoint UTM-Firewall bündelt mehrere Sicherheitsfunktionen an einem zentralen Punkt.
UTM steht für „Unified Threat Management“. Gemeint ist eine Sicherheitslösung, die den Datenverkehr des Praxisnetzes kontrolliert und verschiedene Schutzmechanismen miteinander verbindet. Dazu gehören je nach Konfiguration:
- Deep Packet Inspection zur genaueren Prüfung des Datenverkehrs,
- Erkennung verdächtiger Angriffsversuche,
- Viren- und Malwareprüfung,
- Web- und E-Mail-Filter,
- Schutz vor schädlichen oder unerwünschten Internetinhalten,
- verschlüsselte VPN-Verbindungen,
- sichere Vernetzung mehrerer Praxisstandorte,
- kontrollierte Zugänge für mobiles Arbeiten.
Der Vorteil: Die Schutzfunktionen greifen nicht nur an einem einzelnen Arbeitsplatz. Die Firewall überwacht den Übergang zwischen dem Praxisnetz und externen Verbindungen.
Securepoint UTM-Firewall mit Betreuung durch Delfs
Delfs unterstützt Arztpraxen nicht nur bei der Auswahl einer geeigneten Firewall. Wir betrachten das gesamte Praxisnetz und berücksichtigen dabei Arbeitsplätze, Server, internetfähige Geräte, externe Zugänge und weitere Standorte.
Auf dieser Grundlage richten wir die Securepoint UTM-Firewall passend zu Ihrer Praxis ein. Dazu können beispielsweise individuelle Zugriffsregeln, Web- und E-Mail-Filter sowie verschlüsselte VPN-Verbindungen gehören. Auch die laufende Betreuung und notwendige Anpassungen erhalten Sie aus einer Hand.
So müssen Sie nicht selbst beurteilen, welche Netzwerkverbindungen zulässig sind oder welche Sicherheitsfunktionen zu Ihrer technischen Umgebung passen.
Jetzt Sicherheitsstand Ihrer Praxis-IT prüfen lassen
Der Cyber Resilience Act erhöht den Druck auf Hersteller, digitale Produkte während ihres gesamten Lebenszyklus besser abzusichern. Für Arztpraxen ist das ein Fortschritt. Die Verantwortung für ein sicher eingerichtetes und gepflegtes Praxisnetz nimmt ihnen die Verordnung jedoch nicht ab.
Sie wissen nicht, ob Ihre vorhandene Firewall noch ausreichend schützt? Oder hat sich Ihr Praxisnetz durch neue Arbeitsplätze, mobile Zugänge oder einen weiteren Standort verändert?
Lassen Sie Ihre Praxis-IT jetzt durch Delfs prüfen. Wir zeigen Ihnen konkret, wo Handlungsbedarf besteht, und richten auf Wunsch eine Securepoint UTM-Firewall passend zu Ihrer Praxis ein. Nehmen Sie Kontakt mit uns auf.
