… und wer soll das bezahlen? Die Kosten der Informationssicherheit

Die Notwendigkeit der Umsetzung der NIS2-Anforderungen auf der Grundlage des BSIG wirft noch eine ganz andere Frage auf, die mich schon länger umtreibt. Ich berate einige gemeinnützige GmbHs, die gerade im Sektor Gesundheit und Soziales recht weit verbreitet sind. Sie dürfen weder Gewinne machen noch nennenswert Rückstellungen bilden. Eine Auftraggeberin von mir, die ebenfalls als gGmbH organisiert und im Gesundheitssektor tätig ist, erzählte mir schon vor Jahren von den Verhandlungen über die Höhe der Pflegesätze. Sie wollte eine Anpassung der Sätze verhandeln, um mehr Maßnahmen der Informationssicherheit finanzieren zu können. Antwort der Pflegekassen: Die Benchmarks würden zeigen, dass andere Einrichtungen so etwas auch nicht brauchten, abgelehnt.

Mit anderen Worten, wenn niemand Geld für entsprechende Beratung und Maßnahmen ausgibt oder einfordert, bekommen diejenigen keines, die es tun, und auch sonst niemand.

Das ist der Zustand in einer Branche, die auf jeden Zehntel-Cent hinter dem Komma dringend angewiesen ist, um überhaupt die Aufgaben erfüllen zu können, die sie erfüllen muss – im Fall meiner Auftraggeberin die Ausbildung von Pflegepersonal und der Betrieb eines Pflegeheims. Auf diese Weise investieren dann nur diejenigen in Sicherheit, die dafür die entsprechenden Beträge abknapsen. Die extrem knappe Finanzierung bringt es für meine Auftraggeberin weiter mit sich, dass selbst der nur tageweise Ausfall ihrer Internetverbindung sie schnell an den Rand der Insolvenz bringen kann (und wir sprechen hier nicht von einem kleinen Unternehmen, sondern einem sehr großen).

Die Forderung nach der Umsetzung von mehr Cybersicherheit und Datenschutz ist daher richtig und wichtig, aber gerade im Bereich der gemeinnützigen Einrichtungen stellt sich die Frage, aus welchen Mitteln entsprechende Investitionen bezahlt werden sollen.

Überflüssig zu erwähnen, dass Sicherheitsmaßnahmen für diese Einrichtungen besonders wichtig sind, weil sie mit sensiblen Daten hantieren. Insofern wäre hier aus meiner Sicht eine Subvention aus öffentlichen Geldern angebracht.

Ich wundere mich zunehmend, dass dieser Aspekt in der politischen Diskussion zum Beispiel über die Reform des Gesundheitswesens praktisch keine Rolle spielt, aber auch sonst nie Erwähnung findet. Die durch die entsprechenden Gesetze gewollte Verbesserung der Cybersicherheit in Unternehmen wird scheitern, wenn die Finanzierung nicht gesichert ist. Jedenfalls in gemeinnützigen Einrichtungen ist sie nicht gesichert. Es gibt Förderprogramme für Digitalisierung des öffentlichen Gesundheitsdienstes, für Schulen … habe ich was vergessen? Warum nicht auch für die Etablierung von mehr Cybersicherheit?