Schutz kritischer Infrastrukturen (SKI): Risiko- und Verwundbarkeitsanalyse im Teilsektor Spitäler und ärztliche Betreuung

Transkript

1 Schutz kritischer Infrastrukturen (SKI): Risiko- und Verwundbarkeitsanalyse im Teilsektor Spitäler und ärztliche Betreuung 21. Symposium für präklinische und klinische Notfallmedizin Blackout Strommangellage im Spital Zürich, 20. Juni 2016 Dr. Stefan Brem stefan.brem[at]babs.admin.ch Stv Chef Bevölkerungsschutzpolitik Chef Risikogrundlagen und Forschungskoordination

2 Agenda Um was geht es bei SKI? Relevante Gefährdungen für kritische Infrastrukturen Nationale SKI-Strategie Nationale Strategie zum Schutz der Schweiz vor Cyber-Risiken (NCS) Ärztliche Betreuung und Spitäler als Teil der kritischen Infrastruktur Risiko- und Verwundbarkeitsanalyse (NCS M2) Verbesserung der Resilienz (NCS M12) Fazit und Ausblick 2

3 RISIKO Schutz Kritischer Infrastrukturen (SKI) Vermeidung Ausfälle Behörden Industrie Energie Entsorgung Finanzen Gesundheit Information und Kommunikation Nahrung Öffentliche Sicherheit Verkehr RISIKO Reduktion Schadensausmass 3

4 Relevante Gefährdungen für die kritischen Infrastrukturen, insb. für die Stromversorgung Unwetter* Starker Schneefall Starke Eisbildung Sturm Hochwasser Trockenheit Erdbeben Sonnensturm KKW-Unfall Unfall Stauanlage Ausfall IKT Konventioneller Anschlag Cyber-Angriff Gewalttägige Unruhen Stromausfall / Strommangellage * Aber auch Nager ( und alternde Infrastrukturen. 4

5 Generelles Vorgehen: Vom Szenario zum Diagramm Methode Auswirkungen Gefährdungskatalog Gefährdungsdossier mit Szenario Risikodiagramm (Szenario) Risikoberichte 5

6 Risikodiagramm 1: Schäden und Häufigkeit Themen der SVU 14 Quelle: Technischer Risikobericht 2015, BABS 6

7 Nationale SKI-Strategie: Übersicht Ausgangslage Verabschiedung durch Bundesrat (Juni 2012) Gesamtkoordination erfolgt durch das BABS Leitung SKI-Arbeitsgruppe 15 Massnahmen Ziele und Grundsätze der Strategie Resilienz (Widerstand- und Regenerationsfähigkeit) der Schweiz in Bezug auf kritische Infrastrukturen erhöhen Umfassendes und ganzheitliches Vorgehen Verhältnismässigkeit Wahrung geltender Verantwortlichkeiten Öffentlich-private Zusammenarbeit 7

8 Nationale SKI-Strategie: Massnahmen (Auswahl) Inventar kritischer Infrastrukturen erstellen und aktualisieren Kritische Prozesse in Expertengruppen (Fachbehörden und KI-Betreiber) definiert Bauten und Anlagen mit wichtiger Bedeutung auf nationaler Ebene identifiziert und im Inventar erfasst Resilienz der kritischen Infrastrukturen verbessern Leitfaden Schutz kritischer Infrastrukturen für Betreiber und Behörden Erarbeitung integrale Schutzkonzepte für kritische Infrastrukturen 8

9 Nationale Cyber-Risiko Strategie (NCS) Ausgangslage Verabschiedung durch Bundesrat (Juni 2012) Koordinationsauftrag an BABS (zusammen mit SKI-Strategie und gemeinsam mit BWL) zur: Durchführung Risiko- und Verwundbarkeitsanalyse in den kritischen Teilsektoren (M2) Erarbeitung von Massnahmen zur Verbesserung der Resilienz in den kritischen Teilsektoren (M12) Ziele der Nationalen Cyber-Risiko Strategie NCS Frühzeitige Erkennung von Cyber-Risiken Reduktion der Cyber-Risiken Erhöhung Widerstandsfähigkeit kritischer Infrastrukturen 9

10 Zusammenwirken SKI-Strategie und NCS SKI-Strategie ist Mantelstrategie der NCS Erstellung von integralen Schutzkonzepten zur Verbesserung der Resilienz ist wichtiger Bestandteil beider Strategien Leitfaden SKI fokussiert auf Massnahmen auf Unternehmensstufe NCS fokussiert auf Massnahmen auf Stufe Teilsektor/Branche In Zusammenarbeit mit NCS 10

11 Prozess zur Überprüfung und Verbesserung der Resilienz von kritischen Infrastrukturen Vorbereitung Projekt-Organisation Auftrag Vorhandene Arbeiten Analyse M2 Identifikation kritischer Prozesse / Betreiber, Systeme, Elemente, etc. Analyse Gefährdungen / Verwundbarkeiten Wirksamkeit der Massnahmen Monitoring Bewertung Festlegung auf politischgesellschaftlicher Ebene M12 Risikobasierter Kosten- Nutzen-Ansatz Umsetzung (Schutz-) Massnahmen Präventive Massnahmen Vorsorgliche und ereignisbezogene Massnahmen Kontinuitätsmanagement 11

12 Ärztliche Betreuung und Spitäler als Teil der kritischen Infrastruktur in der Schweiz Teilsektor Ärztliche Betreuung & Spitäler: erbringt (lebens-)wichtige Leistungen in der Gesundheitsversorgung Störungen und Ausfälle haben o unmittelbar Auswirkungen auf die betroffenen Personen auf andere kritische Teilsektoren wie z.b. Blaulichtorganisationen o mittel- und langfristig Auswirkungen auf die Wirtschaft 12

13 Ärztliche Betreuung und Spitäler Systemgrenze, relevante Akteure und Schnittstellen KTS = kritischer Teilsektor 13

14 Risiko- und Verwundbarkeitsanalyse im Rahmen von SKI und NCS (M2): Ziele Überblick über den Teilsektor und dessen Dienstleistungen Identifikation von systemischen Risiken im Teilsektor, welche zu Störungen oder Ausfällen mit schwerwiegenden Folgen für die Bevölkerung und deren Lebensgrundlagen führen (können) Stärkung Dialog und Zusammenarbeit zwischen den verschiedenen Stellen Grundlage zur Erarbeitung von Massnahmen für die Verbesserung der Resilienz im kritischen Teilsektor 14

15 Risiko- und Verwundbarkeitsanalyse im Rahmen von SKI und NCS (M2): Vorgehen Verwundbarkeitsanalyse Identifikation der kritischen Prozesse des Teilsektors Bewertung der Prozesse hinsichtlich möglicher Schwachstellen und Anfälligkeiten auf Störungen Risikoanalyse Identifikation der wichtigsten Risiken, welche zu Ausfällen oder Störungen der kritischen Prozesse führen können Grobe Quantifizierung der Auswirkungen allfälliger Beeinträchtigungen auf Bevölkerung und Wirtschaft Bericht «Risiko- und Verwundbarkeitsanalyse» 15

16 Risiko- und Verwundbarkeitsanalyse im Rahmen von SKI und NCS: Erkenntnisse I Alle Teilbereiche des Teilsektors erbringen kritische Dienstleistungen für die Bevölkerung und deren Lebensgrundlagen Teilsektor hinsichtlich seiner Systemstruktur (geografische Verteilung, gegenseitige Unterstützungsmöglichkeiten etc.) nur gering verwundbar Verwundbarkeiten ergeben sich insbesondere im Teilbereich der spitalmedizinischen Betreuung (aufgrund von Anzahl zu behandelnder Patienten, bereits fortgeschrittener Automatisation, Digitalisierung und Vernetzung etc.) Schwachstellen bestehen vorwiegend im Bereich der Stromversorgung der Informations- und Kommunikationstechnologien der Verfügbarkeit von Arbeitskräften der Versorgung mit Medikamenten der Verfügbarkeit spezifischer Logistik und Infrastruktur 16

17 Risiko- und Verwundbarkeitsanalyse im Rahmen von SKI und NCS: Erkenntnisse II Es bestehen Abhängigkeiten von anderen kritischen Teilsektoren Stromversorgung Informationstechnologien Telekommunikation Chemie- und Heilmittelindustrie Wasserversorgung und Abwasser Risiken mit erheblichen Auswirkungen auf die spitalmedizinische Betreuung in der ganzen Schweiz bestehen insbesondere bei grossflächigen Ereignissen (z.b. einem schweren Erdbeben, einem überregionalen Ausfall der Stromversorgung oder einer Pandemie) Grosse Schäden anrichten können in diesem Teilsektor aber auch lokale Ereignisse wie ein gezielter Cyber-Angriff auf spezifische spitalmedizinische Einrichtungen 17

18 Massnahmen zur Verbesserung der Resilienz: NCS M12: Handlungsfelder I* Cyber-Bereich Sensibilisierung der Mitarbeitenden gegenüber Social Engineering Aufnahme besonders kritischer Spitäler in den geschlossenen Kundenkreis von MELANI Information und Kommunikation Verbesserung des Austauschs von Fachwissen oder Störungsmeldungen zwischen Spitälern und sonstigen relevanten Dritten (Swissmedic, MELANI etc.) Verfügbarkeit und Einsatzbereitschaft von Redundanzen Überprüfung der Verfügbarkeit/Einsatzbereitschaft von geschützten Pflegeplätzen Analyse des IST-Zustandes in Bezug auf IKT-Redundanzen sowie Notstromversorgung (in Zusammenarbeit mit Analyse des KSD) anschliessende Bestimmung des Handlungsbedarfes *Auflistung ist nicht abschliessend, sondern stellt eine Auswahl der im Bericht «Risiko- und Verwundbarkeitsanalyse des Teilsektors Ärztliche Betreuung & Spitäler aufgeführten Handlungsfelder dar. 18

19 Massnahmen zur Verbesserung der Resilienz: Exkurs SVU 14: Versorgungsautonomie nach Stromausfall* Situation nach 4 Tagen Situation nach 7 Tagen * Umfrage durch KSD im Rahmen der SVU

20 Massnahmen zur Verbesserung der Resilienz: NCS M12: Handlungsfelder II* Umgang mit Engpässen essentieller Ressourcen von Drittenanbietern Abklärung, ob wichtige spitalmedizinische Einrichtungen in Ereignisfällen prioritär mit vitalen Ressourcen (Versorgung mit Wasser, Energie und Medikamenten, Abwasserentsorgung etc.) berücksichtigt werden können Umgang mit Engpässen von Arbeitskräften Prüfen von Massnahmen zur Minimierung von Personalengpässen im Ereignisfall *Auflistung ist nicht abschliessend 20

21 Massnahmen zur Verbesserung der Resilienz: Zukünftige Entwicklungen Weiter zu beobachtende Themenbereiche und deren Auswirkungen: die Nutzung des elektronischen Patientendossiers im ambulanten Bereich die Auslagerung von vitalen Prozessen und IKT an Dritte und damit verbunden die Auswirkungen der beiden Gefährdungen Ausfall Anbieter von Rechenzentrums-Dienstleistungen Ausfall Telekommunikations-Anbieter der sich abzeichnender Mangel an Hausärzten die Automatisation und Auslagerung der Lagerbewirtschaftung 21

22 Fazit und Ausblick SKI als Thema mit wachsender Bedeutung SKI als Querschnitt-Thema und gesamtheitliches Konzept im Rahmen der bestehenden Verantwortlichkeiten Sicherheit und Verfügbarkeit von KI lassen sich nicht abschliessend planen. Risiken müssen jedoch systematisch analysiert, regelmässig überprüft und in den Planungen berücksichtigt werden. Risikodialog zwischen Behörden, Betreibern, Wirtschaft und Bevölkerung als wichtiger Erfolgs- und Schlüsselfaktor! 22

23 Fragen und Diskussion Vielen Dank für Ihre Aufmerksamkeit 23

24 Kontaktadresse Dr. Stefan Brem Chef Risikogrundlagen und Forschungskoordination Monbijoustrasse 51A, 3003 Bern Tel stefan.brem[at]babs.admin.ch Weiterführende Informationen: SKI: Nat. Gefährdungsanalyse: Kantonale Gefährdungsanalyse: 24