Medizingeräte-Absicherung für Klinikum Region Hannover

Die Klinikum Region Hannover GmbH plant die Beschaffung eines Systems zur Medizingeräteerkennung und -überwachung. Dieses System soll dazu dienen, ein Risikomanagement für Medizingeräte an den Standorten Laatzen, Großburgwedel, Lehrte, Langenhagen, Wunstorf und Neustadt zu etablieren. Ziel ist es, eine verbesserte Absicherung dieser Geräte durch zusätzliche Maßnahmen zu ermöglichen. Das System wird auf Basis des Netzwerkverkehrs arbeiten und eine passive Kontrolle des Netzwerk-Traffics zur automatischen Erkennung der gesamten vernetzten Medizintechnik im Krankenhausversorgungsnetzwerk durchführen. Es soll den Zustand der erkannten Netzwerkgeräte darstellen, einschließlich Typ und Hersteller, eine vollständige Liste der verwendeten Netzwerkprotokolle, Zieladressen und Ports sowie den eingesetzten Stand der Gerätesoftware mit einer Darstellung, ob dieser dem aktuellen Softwarerelease entspricht und welche Risiken daraus resultieren. Weiterhin soll das System die vorhandene NAC-Lösung „macmon“ abgleichen und Vorschläge für Firewall-Regelwerke entwickeln, die erst nach Prüfung händisch eingespielt werden. Eine spätere Anbindung einer externen SIEM/SOC-Lösung für nicht medizintechnische Bedrohungen ist vorgesehen. Die Übertragung rein technischer Daten in eine Herstellercloud ist ausdrücklich gestattet, wobei personenbezogene Daten ausgeschlossen sind. Das System muss skalierbar sein, um die rund 1.666 Medizingeräte klar und nachvollziehbar zu visualisieren. Die eingesetzte Hardware ist redundant auszulegen und wird in den Rechenzentren des Auftraggebers betrieben. Das System muss die gesetzlichen Anforderungen an Datenschutz und Datensicherheit erfüllen, einschließlich der Vorgaben der DS-GVO und des IT-Sicherheitsgesetzes 2.0. Es muss sowohl aktives als auch passives Discovery beherrschen und detaillierte Informationen zu erkannten Assets bereitstellen. Eine dynamische Risiko-Bewertung mit Simulation von Optimierungsmöglichkeiten sowie eine Aktualisierung bekannter Schwachstellen (CVE) für erkannte Medizingeräte sind gefordert. Der Zugriff auf Informationen soll auf dedizierte Administratoren beschränkt sein, und die Möglichkeit, bestimmte Gerätegruppen von Scans auszuschließen, muss gegeben sein. Policy-Empfehlungen und Firewall-Regel-Empfehlungen sollen aus dem Tool heraus generiert werden. Das System muss die Möglichkeit bieten, nach Abweichungen von definierten Policies zu suchen, und Systemalarme sollen kundenindividuell konfigurierbar sein. Die Benutzeroberfläche muss benutzerfreundlich, intuitiv und ergonomisch gestaltet sein, mit durchgängiger deutscher Sprachunterstützung und optionaler englischer Konfigurierbarkeit. Die Kommunikation zwischen Client und Server muss verschlüsselt erfolgen. Das System muss mit aktuellen Windows-Versionen auf PCs, Notebooks und Servern betrieben werden können, wobei System-Updates zentral verteilt werden können. Eine Testumgebung ist bereitzustellen. Die angebotene Lösung muss eine dreijährige Wartung umfassen, die Hardware-Wartung, Tausch von defekter Hardware, Betriebssystem- und Anwendungssoftware-Updates sowie die proaktive und reaktive Störungsbeseitigung beinhaltet. Die Reaktions- und Wiederherstellungszeiten im Servicefall sind spezifiziert. Die Projektabwicklung beinhaltet die Benennung eines Projektleiters, die Erstellung einer projektspezifischen Dokumentation und Schulungen für Key-User und Administratoren. Die Angebote werden auf Basis von Preis, Funktionalitäten, technischen Anforderungen, Supportleistungen und Erfahrung/Referenzen bewertet.