Thema 3.10 — Notfallvorsorge, Resilienz und Reaktion

Emergency Preparedness, Resilience and Response (EPRR) ist eine gesetzliche Pflicht, kein Nice-to-have, und in einem modernen Gesundheitssystem gehört die digitale und Datendimension inzwischen zur vordersten Linie – Sie müssen Ihre Technologie daher gemeinsam mit Ihrem Klinikpersonal planen, schulen, üben und führen.

Warum das in Gesundheit und Pflege wichtig ist#

Wenn ein Großschadensereignis eintritt – ein Terroranschlag, ein Chemieunfall, eine Hitzewelle, eine Grippewelle oder ein Cyberangriff, der jedes Klinikmitglied aus der elektronischen Patientenakte aussperrt –, wird vom Gesundheits- und Pflegesystem erwartet, dass es weiter funktioniert, während alles um es herum gestört ist. Diese Erwartung ist gesetzlich festgeschrieben. Nach dem Civil Contingencies Act 2004 haben NHS-Stellen und ihre Partner spezifische Pflichten, Risiken zu bewerten, Pläne zu pflegen und reaktionsfähig zu sein. Emergency Preparedness, Resilience and Response ist der Oberbegriff, den der NHS dafür verwendet, wie er diese Pflichten erfüllt. Er ist nicht dasselbe wie gewöhnliches Servicemanagement und breiter als die auf IT fokussierte Disaster Recovery aus Thema 3.9 — Business Continuity und Disaster Recovery.

Der Grund, warum dies in Gesundheit und Pflege mehr zählt als fast überall sonst, ist, dass Versagen unmittelbar menschliche Kosten hat. Fällt das Kassensystem eines Supermarkts aus, stoppt der Verkauf; fällt das klinische System eines Krankenhauses bei einem Massenanfall von Verletzten aus, können Menschen sterben, die sonst gelebt hätten. Digitale Services sind inzwischen so tief in die klinische Arbeit eingewoben – Tests anfordern, verordnen, Allergien prüfen, Bilder ansehen, Patientinnen und Patienten entlassen –, dass ein Technologieausfall ein Ereignis der klinischen Sicherheit ist und mit demselben Ernst behandelt werden muss wie jede andere Bedrohung für das Leben. Deshalb ist die These „wie Sie arbeiten“ dieses Buches hier am schärfsten: Ihre Vorbereitung ist eine Frage von klinischer Sicherheit, Gerechtigkeit und öffentlichem Vertrauen.

Notfälle legen auch Ungleichheit offen. Die Menschen, die am wenigsten zurechtkommen, wenn normale Services ausfallen – jene ohne Transport, ohne Englisch, ohne Geld, ohne Betreuende, mit Langzeiterkrankungen –, sind genau die Menschen, die Ihre Notfallpläne zuerst schützen müssen. Eine Reaktion, die sie still zurücklässt, ist keine erfolgreiche Reaktion, so glatt die Führungsstruktur auch aussieht. Gut vorzubereiten und ehrlich zu proben ist der Weg, das öffentliche Vertrauen zu verdienen, das eine echte Krise bis zur Zerstörung testen wird.

Kernkonzepte#

Katastrophenmanagement (Emergency Management) ist die Disziplin, die Verwundbarkeit einer Gemeinschaft gegenüber Gefahren zu verringern und die Reaktion zu koordinieren, wenn sie eintreten. Es wird herkömmlich als Zyklus beschrieben – antizipieren, bewerten, verhüten, vorbereiten, reagieren, erholen – und Gesundheitssysteme fahren diesen Zyklus kontinuierlich, nicht nur während einer Krise. EPRR ist der Ausdruck des NHS dafür.

Der Civil Contingencies Act 2004 ist das rechtliche Rückgrat. Er teilt Einsatzkräfte in zwei Gruppen. Category-1-Responder sind jene im Kern der Reaktion – Rettungsdienste, NHS Trusts und Boards, Integrated Care Boards, die UK Health Security Agency und Kommunalverwaltungen – und sie tragen den vollen Satz an Pflichten: Risikobewertung, Notfallplanung, Business Continuity, Informationsaustausch und Warnung der Öffentlichkeit. Category-2-Responder – Versorgungsunternehmen, Verkehrsbetreiber, Telekommunikationsfirmen und andere – sind „kooperierende Stellen“ mit einer leichteren Pflicht, vor allem Informationen zu teilen und mit Category-1-Respondern zusammenzuarbeiten. Zu wissen, welche Sie sind und welche Pflichten anhaften, ist der Ausgangspunkt für alles Weitere.

Einsatzkräfte koordinieren sich über ein Local Resilience Forum (LRF), eine behördenübergreifende Partnerschaft, die um jedes Polizeigebiet gebaut ist. Im LRF planen NHS, Gemeinderäte, Polizei, Feuerwehr, Rettungsdienst und andere gemeinsam, und es führt ein Gemeinschafts-Risikoregister (Community Risk Register) – eine gemeinsame, veröffentlichte Bewertung der lokalen Gefahren, die am wahrscheinlichsten eine koordinierte Reaktion erfordern, von Influenzapandemie über Überschwemmung bis zu Industrieunfällen. Das Register ist ein Praxisbeispiel für Risikobewertung: Gefahren identifizieren, Wahrscheinlichkeit und Auswirkung beurteilen und entscheiden, wofür man plant.

Vorfälle werden klassifiziert, damit alle eine gemeinsame Sprache für die Größenordnung teilen. Ein Business-Continuity-Vorfall stört Ihre Fähigkeit, Services zu erbringen, ist aber im Prinzip mit eigenen Plänen beherrschbar. Ein kritischer Vorfall (Critical Incident) ist ernster: Das Maß der Störung bedroht die Fähigkeit der Organisation, sichere Versorgung zu erbringen, und erfordert besondere Maßnahmen. Ein Großschadensereignis (Major Incident) ist eines, dessen Größe oder Art besondere Vorkehrungen eines oder mehrerer Rettungsdienste und meist des weiteren Systems verlangt – der Archetyp ist ein Massenanfall von Verletzten. Die Schwellen zählen, weil das Erklären eines Vorfalls Ressourcen, Befugnis und gegenseitige Hilfe freischaltet.

Die Führung läuft über die Gold-Silber-Bronze-Führungsstruktur, auch strategisch–taktisch–operativ genannt. Gold (strategisch) setzt Ziele und verantwortet die großen Entscheidungen; Silber (taktisch) entscheidet, wie Ressourcen eingesetzt werden, um sie zu erreichen; Bronze (operativ) erledigt die praktischen Aufgaben. Die Struktur ist bewusst generisch, damit Stellen, die nie zusammengearbeitet haben, sich am Tag in ein einziges Führungssystem einfügen können.

Drei weitere Konzepte vervollständigen das Bild. Surge (Kapazitätsspitze) ist die Fähigkeit, Kapazität – Betten, Personal, Sauerstoff, Rechenleistung – rasch und vorübergehend über normale Grenzen hinaus zu erweitern. Triage ist der Prozess, Verletzte zu priorisieren, wenn der Bedarf die Kapazität übersteigt, und Massenanfall-Triage-Systeme existieren gerade für die schlimmsten Tage. Gegenseitige Hilfe (Mutual Aid) ist die Vereinbarung, Personal, Ausrüstung oder Kapazität über Organisationsgrenzen hinweg zu leihen, wenn ein Responder überwältigt ist. Und eine Pandemie – ein Ausbruch einer Infektionskrankheit, der sich über eine große Region ausbreitet – ist der ständige schlimmste Fall, gegen den die meisten Gesundheitssysteme inzwischen ausdrücklich planen, hart informiert durch die COVID-19-Pandemie im Vereinigten Königreich.

Bewährte Praktiken#

1. Behandeln Sie größere Technologieausfälle und Cyberangriffe als eigenständige Großschadensereignisse. Ein Ransomware-Angriff, der klinische Systeme lahmlegt, ist nicht bloß ein „IT-Problem“, das ein Service Desk still erledigt; er ist eine Bedrohung der Patientensicherheit über eine ganze Organisation. Verdrahten Sie Ihre Cyber- und digitale Vorfallreaktion in dieselbe Gold-Silber-Bronze-Führungsstruktur, die Ihre Organisation für einen Busunfall nutzt, mit einem definierten Auslöser dafür, wann ein digitaler Vorfall zu einem förmlichen kritischen oder Großschadensereignis eskaliert wird. Der WannaCry-Angriff von 2017 zeigte, wie ein einziges Stück Schadsoftware binnen Stunden über Dutzende Trusts schwappen konnte – siehe Thema 1.7 — Informationsgovernance, Datenschutz und Cybersicherheit für die Kontrollen, die ihn verhindern, und dieses Thema dafür, wie Sie die Reaktion führen, wenn sie versagen.

2. Fahren Sie den Zyklus aus Planen, Schulen, Üben unerbittlich, und meinen Sie es ernst. Ein nie getesteter Plan ist eine Hypothese. NHS-EPRR verlangt ein rollierendes Übungsprogramm – Kommunikationstests, Tabletop-Übungen und vollständige Live-Übungen –, und Sie sollten sie terminieren, ausstatten und das Fernbleiben leitender Führungskräfte als das Warnsignal behandeln, das es ist. Beziehen Sie entscheidend Ihre Digital- und Datenteams ein: Proben Sie den Verlust der elektronischen Patientenakte, den Verlust des Netzwerks und den Verlust Ihres primären Rechenzentrums, nicht nur ein Feuer auf einer Station.

3. Gestalten und proben Sie Ihren Papier- und Ausfall-Rückfall bewusst. Jedes kritische klinische System braucht eine dokumentierte, geübte Arbeitsweise für den Fall seiner Nichtverfügbarkeit – Ausfallformulare, gedruckte Medikamentenkurven, schreibgeschützte „Business-Continuity“-Kopien von Akten und einen bekannten Prozess, Daten nach Rückkehr der Systeme abzugleichen. Diese Rückfälle verfallen still; Formulare veralten, Personal, das die Übung kannte, geht, und der Drucker hat an dem Tag, an dem Sie ihn brauchen, keinen Toner. Prüfen Sie sie so sorgfältig, wie Sie das Live-System prüfen, und verbinden Sie diese Arbeit ausdrücklich mit den Wiederherstellungszielen in Thema 3.9 — Business Continuity und Disaster Recovery.

4. Halten Sie die Führungskommunikation funktionsfähig, wenn alles andere ausfällt. Bei einem echten Vorfall können Ihre gewöhnliche E-Mail und Telefonie Teil dessen sein, was ausgefallen ist, besonders bei einem Cyberangriff. Halten Sie Kommunikation außerhalb des Bandes vor – einen Weg, die Goldführung einzuberufen, der nicht davon abhängt, dass das angegriffene Netzwerk funktioniert – zusammen mit aktuellen Offline-Alarmierungslisten und einer resilienten Methode, Personal an der Front zu erreichen. Testen Sie diese Kanäle bei Übungen; zu entdecken, dass Ihre Vorfallbrücke auf demselben Single Sign-on beruht, das die Ransomware gerade verschlüsselt hat, ist eine Entdeckung, die Sie in der Probe machen wollen, nicht um 3 Uhr morgens.

5. Vereinbaren Sie die Regeln der Informationsgovernance für eine Krise vor der Krise. In einem Notfall müssen Sie Daten schnell teilen – zwischen Krankenhäusern, mit der öffentlichen Gesundheit, mit Partnern gegenseitiger Hilfe –, und Personal muss wissen, dass es das darf. Arbeiten Sie mit Ihrem Datenschutzbeauftragten und Caldicott Guardian, um im Voraus die Rechtsgrundlagen und ständigen Vereinbarungen zum Informationsaustausch festzulegen, die in einem Notfall gelten, damit Klinikpersonal teilt, was zur Lebensrettung nötig ist, ohne in Unsicherheit zu erstarren. Eine Aufzeichnung der Datenaustauschentscheidungen im Notfall schützt hinterher Patientinnen, Patienten und Personal (siehe Thema 1.8 — Datenethik, Einwilligung und öffentliches Vertrauen).

6. Bauen Sie Surge in Ihre digitalen Services ein, nicht nur in Ihre Stationen. Bevölkerungsorientierte digitale Services – Buchung, Triage, Symptomprüfer, Impfsysteme – können in einem Notfall von Nachfragespitzen des Zehn- oder Hundertfachen des Normalen getroffen werden, genau dann, wenn sie am meisten zählen. Lasttesten Sie gegen realistische Surge-Szenarien, vereinbaren Sie, wie Sie Cloud-Kapazität schnell skalieren, und entscheiden Sie im Voraus, was Sie elegant zurückfahren, damit die Kernfunktion überlebt. Eine Warteschlange, die hält, ist besser als eine Website, die unter dem Gewicht einer verängstigten Öffentlichkeit kollabiert.

7. Speisen Sie digitale und Datenexpertise in die Risikobewertung und das Gemeinschafts-Risikoregister. Der Beitrag Ihrer Organisation zum Local Resilience Forum sollte eine nüchterne Sicht auf digitales und Cyberrisiko, Single Points of Failure und Abhängigkeiten von nationalen Systemen und Lieferanten enthalten. Zu oft behandelt das Risikoregister „IT-Ausfall“ als eine einzige vage Zeile; schlüsseln Sie sie auf, beziffern Sie sie und stellen Sie sicher, dass das LRF versteht, dass ein regionaler Netzwerk- oder Cloud-Ausfall inzwischen ein glaubwürdiges Massenstörungsereignis ist. Das ist Teil der in Thema 6.4 — Governance und Assurance beschriebenen Governance- und Assurance-Schleife.

8. Lernen Sie offen aus jeder Übung und jedem realen Vorfall. Der Wert einer Übung ist die Nachbesprechung, und der Wert eines realen Vorfalls sind die strukturierten Lehren, die darauf folgen. Erfassen Sie, was geschah, ohne Schuldzuweisung, verfolgen Sie die Maßnahmen bis zum Abschluss und – der schwere Teil – schließen Sie sie tatsächlich, bevor der nächste Vorfall dieselbe Lücke findet. Teilen Sie das Gelernte über Ihr LRF und nationale Kanäle im System, denn der Sinn eines resilienten Netzes ist, dass keine Organisation dieselbe schmerzhafte Lehre zweimal lernen muss.

9. Sorgen Sie für Ihre Menschen durch die Reaktion und danach. Resilienz ist nicht nur technisch; eine Belegschaft, die erschöpft, verängstigt oder moralisch verletzt ist, kann einen langen Notfall nicht durchhalten. Planen Sie Schichtmuster, Ruhe, psychologische Erste Hilfe und Fürsorge bei langwierigen Vorfällen wie einer Pandemie und machen Sie es legitim, um Hilfe zu bitten. Die Organisationen, die sich von COVID-19 am besten erholten, waren oft jene, die das Wohlbefinden ihres Personals bewusst schützten, statt Durchhaltevermögen als unendlich zu behandeln.

Fragen zur Diskussion im Team#

1. Wann genau hört ein digitales oder Cyberproblem auf, ein „Service-Vorfall“ zu sein, und wird ein erklärtes kritisches oder Großschadensereignis – und wer hat um 2 Uhr morgens an einem Sonntag die Befugnis, das zu entscheiden? Diese Frage zwingt Sie, die Naht zwischen dem alltäglichen Servicemanagement aus Thema 3.8 — Servicemanagement und Live-Betrieb und der gesetzlichen EPRR-Maschinerie zu testen. Die Spannung liegt zwischen Überalarmierung (Wolf rufen, die eigene Führungsstruktur erschöpfen) und Unteralarmierung (einen Ransomware-Angriff stundenlang ausbreiten lassen, während man debattiert, ob er zählt). Eine gute Antwort benennt explizite, beobachtbare Auslöser – zum Beispiel Verlust der elektronischen Patientenakte über mehrere Standorte oder bestätigte Schadsoftware auf klinischen Systemen – und benennt die Bereitschaftsrollen, die befugt sind zu erklären, ohne auf Bürozeiten zu warten. Besprechen Sie, wer in diesem Dienstplan ist, ob sie geschult sind und ob sie die Goldführung einberufen können, wenn das normale Netzwerk ausgefallen ist. Überlegen Sie, einen jüngeren Beinahe-Vorfall durchzugehen und ehrlich zu fragen, ob Sie rechtzeitig eskaliert hätten. Die besten Antworten decken auch die Deeskalation ab: wie Sie entscheiden, dass der Notfall vorbei ist, und zum Regelbetrieb zurückkehren.

2. Wenn unsere primären klinischen Systeme 72 Stunden lang dunkel würden, was täten wir tatsächlich – und haben wir es je bewiesen, oder glauben wir es nur? Das ist eine Frage nach der Lücke zwischen dem Plan im Regal und der Realität auf der Station. Der aufzudeckende Zielkonflikt ist Investition: Ausfallverfahren zu pflegen und zu proben kostet Geld und klinische Zeit, die anderswohin gehen könnten, und es ist leicht, sie still verrotten zu lassen. Eine starke Antwort unterscheidet, was wirklich geprobt ist, von dem, was nur aufgeschrieben ist, und ist konkret zur ersten Stunde, zur ersten Schicht und zum zweiten Tag, denn die Probleme ändern sich mit der Zeit – drei Tage Papierakten zurück in das System abzugleichen ist eine eigene große Aufgabe. Prüfen Sie, ob Personal an der Front, nicht nur Führungskräfte, den Rückfall kennt und ob neu Hinzugekommene ihn je gesehen haben. Achten Sie auf Ehrlichkeit über Single Points of Failure, einschließlich Abhängigkeiten von nationaler Infrastruktur und Lieferanten, die Sie nicht kontrollieren. Die reifsten Teams können auf eine echte Übung oder einen echten Ausfall verweisen, bei dem der Rückfall hielt, und auf die Lehren, die sie danach schlossen.

3. Wie stellen wir sicher, dass unsere Notfallreaktion die am schwersten erreichbaren Menschen schützt, statt sie still zurückzulassen? Notfälle verstärken bestehende Ungleichheit, und digitale Antworten können sie verschlimmern: ein nur online verfügbares Buchungssystem, ein nur englischer Alarm oder eine App, die ein Smartphone und Daten voraussetzt, kann genau die Menschen ausschließen, die am stärksten gefährdet sind. Die Spannung liegt zwischen der Geschwindigkeit und dem Maßstab, die digitale Kanäle bieten, und der Abdeckung, die Gerechtigkeit verlangt, und es gibt kein Gratismittagessen – Sie brauchen parallel laufende nichtdigitale Wege, die mehr kosten. Eine gute Antwort verbindet sich mit dem Gemeinschafts-Risikoregister und fragt, welche verletzlichen Gruppen eine gegebene Gefahr bedroht, und prüft dann, ob die Reaktion sie erreicht. Erwägen Sie assistierte digitale Wege, übersetzte Materialien und wie Sie Menschen erreichen, die ans Haus gebunden, digital ausgeschlossen oder ohne Unterstützung sind (siehe Thema 1.9 — Digitale Inklusion und Barrierefreiheit). Besprechen Sie, woran Sie erkennen würden, dass Sie sie während eines Vorfalls im Stich lassen, nicht erst Monate später in einer Nachbetrachtung. Ehrliche Antworten räumen ein, wo die aktuellen Pläne am schwächsten sind, und verpflichten sich, sie mit den betroffenen Gemeinschaften zu testen.

4. Welche unserer kritischen digitalen Abhängigkeiten kontrollieren wir tatsächlich nicht – und was ist unser Plan, wenn der Ausfall vor uns liegt? Moderne Gesundheit und Pflege laufen auf nationalen Systemen, Cloud-Regionen, Konnektivitätsanbietern und einer Handvoll dominanter Lieferanten, und ein großer Teil Ihrer Resilienz liegt daher in den Händen eines anderen. Die unbequeme Spannung ist, dass Sie die gesetzliche Pflicht und die Folgen für die klinische Sicherheit tragen, der Single Point of Failure aber das Rechenzentrum eines Lieferanten oder ein gemeinsamer nationaler Service sein kann, den Sie nicht inspizieren können. Eine starke Antwort kartiert diese Abhängigkeiten explizit – welche Systeme wo gehostet werden, welche Lieferanten welche klinischen Funktionen tragen und wo Konzentrationsrisiko bedeutet, dass ein Ausfall mehrere Services zugleich mitreißt –, statt „IT-Ausfall“ als eine einzige vage Zeile im Risikoregister zu belassen. Sie stellt harte Fragen zu vertraglichen Wiederherstellungszusagen, dazu, was geschieht, wenn ein Lieferant selbst das Opfer des Angriffs ist, und ob ein regionaler Cloud-Ausfall als das glaubwürdige Massenstörungsereignis behandelt wird, das er inzwischen ist. Prüfen Sie, ob diese vorgelagerten Risiken Ihrem Local Resilience Forum und Vorstand vorgelegt werden und ob Sie für die Abhängigkeiten, die Sie nicht beeinflussen können, irgendeine gegenseitige Hilfe oder einen manuellen Rückfall haben. Die ehrliche Antwort räumt meist ein, dass manche Risiken nur gemildert, nicht beseitigt werden können, und ist explizit, welche Sie bewusst akzeptieren.

5. Sagen uns unsere Übungen die Wahrheit, und verändern die Lehren, die wir ziehen, tatsächlich etwas vor dem nächsten Vorfall? Ein Übungsprogramm kann zu Theater werden – eine skriptierte Tabletop-Übung, von der alle wissen, dass sie gelingt, besucht von Juniorpersonal, während leitende Führungskräfte absagen, mit einem ordentlichen Bericht und einer Maßnahmenliste, die niemand schließt. Die Spannung liegt zwischen Übungen, die bequem und beruhigend sind, und Übungen, die realistisch genug sind, um sicher zu scheitern, was die einzige Art ist, die Sie etwas lehrt. Eine gute Antwort prüft, ob Sie wirklich harte Szenarien proben – Verlust der EPR, Verlust des Netzwerks, ein Ransomware-Angriff auf einen Lieferanten – mit den Menschen, die tatsächlich im Dienst wären, und ob die Teilnahme leitender Führungskräfte als verpflichtend statt optional behandelt wird. Sie ist offen zur Nachbesprechungskultur: Werden Lehren schuldfrei erfasst, bis zum Abschluss verfolgt und als geschlossen verifiziert, oder kehren dieselben Lücken Vorfall um Vorfall wieder? Achten Sie auf Belege, dass eine Lehre aus einer Übung oder einem realen Ereignis nachweislich einen Plan, einen Dienstplan oder eine Kontrolle verändert hat. Die reifsten Teams können ein Versagen benennen, das sie in der Probe bewusst aufdeckten und behoben, bevor es einer Patientin schaden konnte.

6. Wie tragen und schützen wir unsere Menschen durch eine Reaktion, die Wochen, nicht Stunden dauert? Viel Notfallplanung setzt implizit einen scharfen, kurzen Schock voraus, doch die Ereignisse, die ein Gesundheitssystem am härtesten testen – eine Pandemie, eine langwierige Cyber-Wiederherstellung, eine lange Kältewelle –, ziehen sich über Wochen oder Monate, und menschliches Durchhaltevermögen ist nicht unendlich. Der Zielkonflikt ist real: Menschen für Ruhe und Fürsorge rotieren zu lassen verringert die rohen verfügbaren Stunden genau in dem Moment, in dem die Nachfrage ihren Höhepunkt erreicht, und es ist verlockend, sich auf die Willigen zu stützen, bis sie brechen. Eine starke Antwort plant Schichtmuster, Übergaben, Ruhe, psychologische Erste Hilfe und Fürsorge von Anfang an und macht es legitim, dass Personal um Hilfe bittet, statt Erschöpfung als Einsatz zu behandeln. Sie bedenkt auch die Digital- und Datenteams, die oft tagelang eine Wiederherstellung ohne Entlastung tragen, weil sie wenige und spezialisiert sind. Besprechen Sie, wie Sie Burnout, moralische Verletzung und Abwanderung während eines langen Vorfalls erkennen würden und wer die Personalfürsorge in Ihrer Führungsstruktur verantwortet. Die Organisationen, die COVID-19 am besten überstanden, waren häufig jene, die ihre Menschen bewusst schützten; ehrliche Antworten räumen ein, ob Ihre Pläne das derzeit tun oder nur auf Heldentaten hoffen.

In der Praxis: ein Beispiel aus Gesundheit und Pflege#

Meadowford ist ein fiktives Integrated Care System, das eine mittelgroße Stadt und ihr ländliches Hinterland umfasst. An einem verregneten Februarmorgen beginnt die elektronische Patientenakte seines Akut-Trusts – von einem nationalen Lieferanten gehostet und mit zwei Nachbar-Trusts geteilt – Fehler zu werfen und fällt dann ganz aus. Binnen zwanzig Minuten bestätigt der Lieferant einen Ransomware-Angriff. Klinikpersonal kann über drei Krankenhäuser und ihre verbundenen Gemeindeservices hinweg keine Medikamente, Allergien, Ergebnisse oder Versorgungspläne mehr sehen.

Der diensthabende Direktor des Trusts erklärt einen kritischen Vorfall anhand eines vorab vereinbarten Auslösers – „Verlust der EPR über mehrere Standorte“ – und eskaliert, als die Größenordnung klar wird, zu einem Großschadensereignis. Die Goldführung tritt nicht über den üblichen Teams-Anruf zusammen, der über das betroffene Single Sign-on läuft, sondern über eine geprobte Brücke außerhalb des Bandes auf einer separaten Plattform, mit einer gedruckten Alarmierungsliste. Die Silberführung aktiviert Ausfallverfahren: Papier-Medikamentenkurven, Ausfall-Anforderungsformulare und schreibgeschützte „Break-Glass“-Kopien von Akten, die genau für dieses Szenario in eine segregierte Umgebung repliziert wurden, wie unter den Wiederherstellungszielen in Thema 3.9 entworfen.

Die Verantwortlichen für Cyber und klinische Sicherheit arbeiten parallel. Der Chief Clinical Information Officer eröffnet einen Safety Case, behandelt den Ausfall als Gefährdung und verfolgt die spezifischen Risiken – übersehene Allergien, doppelte Dosen, verlorene Ergebnisse – mit Milderungen für jedes (siehe Thema 1.6 — Klinische Sicherheit und Risikomanagement). Der Caldicott Guardian und der Datenschutzbeauftragte bestätigen die vorab vereinbarte Position zum Informationsaustausch im Notfall, sodass Klinikpersonal bei Nachbarstandorten kritische Patientendetails erfragen kann, ohne über die Rechtmäßigkeit zu zögern, und jede solche Entscheidung wird protokolliert.

Inzwischen wird das Local Resilience Forum informiert, und gegenseitige Hilfe fließt: Ein benachbartes ICS leiht Apothekenpersonal zur Unterstützung der Papierverordnung, und das regionale EPRR-Team von NHS England koordiniert sich mit dem National Cyber Security Centre. Elektive Aktivität wird ausgesetzt, um Surge-Kapazität zu schaffen; das Gemeinschafts-Risikoregister hatte einen regionalen Ausfall klinischer Systeme bereits als glaubwürdiges Szenario markiert, sodass das Drehbuch existierte. Systeme werden binnen vier Tagen aus sauberen Backups wiederhergestellt. Die schwerste Arbeit kommt danach: vier Tage Papier zurück in die Akte abgleichen und eine schuldfreie, strukturierte Nachbesprechung, deren Maßnahmen – eine schwache Segmentierungsgrenze, eine veraltete Alarmierungsliste und Personal, das die Ausfallformulare nie gesehen hatte – vor der nächsten Übung bis zum Abschluss verfolgt werden.

Sektorperspektiven#

Startup#

Ein kleines Unternehmen der digitalen Gesundheit wird keine Gold-Silber-Bronze-Führung betreiben, ist aber eine kritische Abhängigkeit für die Kunden, die es tun. Ihre Resilienz-Geschichte – wo Daten gehostet werden, wie schnell Sie sich erholen, was Ihr Vorfallprozess ist, wie Sie während eines Ausfalls kommunizieren würden – ist etwas, das Unternehmenskäufer befragen werden und sollten. Seien Sie ehrlich zu Single Points of Failure, einschließlich Ihrer Abhängigkeit von einer Cloud-Region oder einem Schlüsselingenieur. Der disziplinierte Zug ist, früh einen schlanken Vorfallreaktionsplan zu schreiben, ihn einmal zu proben und Kunden zeigen zu können, dass Sie deren Kontinuität ernst nehmen; es ist sowohl gute Praxis als auch ein Verkaufsvorteil.

Kleines Unternehmen#

Ein etablierter kleiner Anbieter – eine Hausarztpraxis, eine Gemeindeapotheke, ein Pflegeheim oder ein ambulanter Pflegedienst – trägt dieselbe Pflicht, Menschen sicher zu halten, wenn Systeme ausfallen, aber ohne die eigene EPRR-Maschinerie eines NHS Trusts. Sie werden keine rechenschaftspflichtige Notfallbeauftragte oder einen 24/7-Führungsdienstplan haben; Resilienz muss in die Arbeitsweise einer Handvoll Menschen eingebaut werden, die ohnehin arbeiten. Der pragmatische Fokus ist ein kurzer, wirklich geprobter Ausfallplan für die Systeme, von denen Sie abhängen – das klinische System, die Telefone, die Internetverbindung –, mit Papier-Rückfällen, die Ihr tatsächliches Personal mindestens einmal genutzt hat, und einer Offline-Liste, wen man anruft, einschließlich Ihres Lieferanten und Ihrer beauftragenden Stelle. Weil Sie sich fast ganz auf Lieferanten und nationale Services verlassen, die Sie nicht kontrollieren können, kennen Sie deren Wiederherstellungszusagen und Ihre eigenen manuellen Umgehungen für die ersten Stunden. Beziehen Sie das weitere System ein, statt einem Notfall allein zu begegnen: Ihr Integrated Care Board und Ihr Local Resilience Forum existieren teils, um Organisationen Ihrer Größe zu helfen, und gegenseitige Hilfe mit benachbarten Anbietern kann der Unterschied zwischen Bewältigen und Schließen sein.

Großunternehmen#

Ein großer NHS Trust oder ICS trägt das volle Gewicht der Category-1-Responder-Pflichten: eine rechenschaftspflichtige Notfallbeauftragte, ein rollierendes Übungsprogramm, 24/7-Bereitschaftsführung und einen Sitz im Local Resilience Forum. Die Herausforderung ist Integration – sicherzustellen, dass Cyber-, klinische, operative und Kommunikationsreaktion in eine Führungsstruktur statt drei parallele münden und dass Digitalteams wirklich Teil von EPRR sind statt ein Nachgedanke, der hinzugerufen wird, wenn es brennt. Größe bringt auch Komplexität: viele Systeme, viele Lieferanten und Abhängigkeiten von nationaler Infrastruktur, die Sie nicht kontrollieren. Reife sieht aus wie geprobter Ausfallbetrieb über jeden kritischen Service und eine Nachbesprechungskultur, die ihre Maßnahmen tatsächlich schließt.

Regierung#

Nationale und regionale Stellen – NHS England, die UK Health Security Agency, das Department of Health and Social Care, dezentrale Regierungen – setzen den Rahmen, halten die Standards und koordinieren die Reaktion oberhalb dessen, was eine einzelne Organisation bewältigen kann. Ihre EPRR-Aufgabe ist, die Core Standards zu schreiben und abzusichern, nationale Übungen durchzuführen, Reserven und Vereinbarungen zur gegenseitigen Hilfe zu unterhalten und bei systemweiten Ereignissen wie einer Pandemie Führungskoordination zu leisten. Sie besitzen auch die nationale digitale Infrastruktur, deren Ausfall selbst ein Massenstörungsereignis wäre; ihre eigene Resilienz ist daher eine öffentliche Pflicht. Effektiv mit ihnen zu arbeiten und die strategisch–taktisch–operative Kette bis zur nationalen Ebene zu verstehen ist Gegenstand von Thema 9.1 — Zusammenarbeit mit lokalen und nationalen Regierungen.

Häufige Fehlermuster#

• Pläne im Regal. Ein dicker Ordner, geschrieben, um eine Assurance-Prüfung zu bestehen, nie geübt und dem Personal unbekannt, das ihn nutzen müsste. Probe, nicht Dokumentation, ist der Test der Bereitschaft.
• Cyber als IT-Problem behandeln. Einen Ransomware-Angriff dem Service Desk überlassen, während er sich ausbreitet, statt ihn mit Führung der klinischen Sicherheit zur Großschadensereignis-Führung zu eskalieren. Die Geschwindigkeit der Eskalation ist alles.
• Ungetestete Ausfallverfahren. Veraltete Rückfallformulare, Personal, das sie nie gesehen hat, und kein geprobter Plan, Daten hinterher abzugleichen. Der Rückfall verfällt still, wenn Sie ihn nicht prüfen.
• Führungskanäle, die den Ausfall teilen. Die Goldführung auf genau der Plattform einberufen, die der Angriff verschlüsselt hat. Kommunikation außerhalb des Bandes muss wirklich unabhängig sein.
• Lernen, das nie landet. Nachbesprechungen, die einen Bericht und eine Maßnahmenliste erzeugen, die niemand schließt, sodass der nächste Vorfall dieselbe Lücke findet. Lehren bis zum Abschluss verfolgen.
• Gerechtigkeit als Nachgedanke. Nur digitale Antworten, die Verletzliche ausschließen und erst in einer Nachbetrachtung entdeckt werden. Nichtdigitale Wege von Anfang an einplanen.
• Heldentaten als Strategie. Annehmen, das Durchhaltevermögen des Personals sei unendlich, und Fürsorge, Ruhe und psychologische Unterstützung bei einem langen Vorfall vernachlässigen. Burnout ist ein Resilienzversagen.

Reifegradmodell#

Checkliste#

• Klären Sie den Status Ihrer Organisation (Category-1- oder -2-Responder) und die daran haftenden gesetzlichen Pflichten.
• Definieren Sie explizite, beobachtbare Auslöser für die Eskalation eines digitalen oder Cyberproblems zu einem kritischen oder Großschadensereignis und benennen Sie, wer rund um die Uhr erklären kann.
• Stellen Sie sicher, dass die Cyber- und digitale Vorfallreaktion in Ihre Gold-Silber-Bronze-Führungsstruktur verdrahtet ist.
• Halten Sie Führungskommunikation außerhalb des Bandes und Offline-Alarmierungslisten vor und testen Sie sie bei Übungen.
• Dokumentieren, prüfen und proben Sie Ausfall-/Rückfallverfahren für jedes kritische klinische System, einschließlich Datenabgleich.
• Vereinbaren Sie im Voraus Rechtsgrundlagen und Vereinbarungen zum Informationsaustausch im Notfall mit Ihrem Caldicott Guardian und Datenschutzbeauftragten.
• Lasttesten Sie bevölkerungsorientierte digitale Services gegen realistische Surge-Szenarien und vereinbaren Sie, was elegant zurückgefahren wird.
• Tragen Sie eine klare Sicht auf digitales und Cyberrisiko zu Ihrem Local Resilience Forum und Gemeinschafts-Risikoregister bei.
• Führen Sie ein rollierendes Programm aus Planen–Schulen–Üben durch, das den Verlust Ihrer EPR, Ihres Netzwerks und Ihres primären Rechenzentrums einschließt.
• Halten Sie nach Übungen und realen Vorfällen schuldfreie Nachbesprechungen ab und verfolgen Sie jede Maßnahme bis zum Abschluss.
• Planen Sie Personalfürsorge, Ruhe und psychologische Unterstützung bei langwierigen Vorfällen.
• Prüfen Sie, dass Ihre Notfallreaktion digital ausgeschlossene und verletzliche Gruppen über nichtdigitale Wege erreicht.

Zentrale Quellen#

• NHS England — NHS Emergency Preparedness, Resilience and Response (EPRR) Framework und die EPRR Core Standards.
• Cabinet Office — Civil Contingencies Act 2004 und gesetzliche Leitlinien Emergency Preparedness / Emergency Response and Recovery.
• Cabinet Office / GOV.UK — National Risk Register und Leitlinien zu Local Resilience Forums und Gemeinschafts-Risikoregistern.
• National Cyber Security Centre (NCSC) — Leitlinien zu Ransomware, Vorfallmanagement und dazu, Cybervorfälle als Großschadensereignisse zu behandeln.
• UK Health Security Agency (UKHSA) — Leitlinien zur Vorsorge bei Pandemien und Infektionskrankheiten.
• UK Covid-19 Inquiry — veröffentlichte Module und Berichte zu Pandemievorsorge und -reaktion.
• Joint Emergency Services Interoperability Principles (JESIP) — Führung, Koordination und das strategisch–taktisch–operative Modell.
• National Audit Office — Investigation: WannaCry cyber attack and the NHS (2018).

Referenzen#

1. Civil Contingencies Act 2004 — Wikipedia — https://en.wikipedia.org/wiki/Civil_Contingencies_Act_2004
2. Emergency management — Wikipedia — https://en.wikipedia.org/wiki/Emergency_management
3. Local resilience forum — Wikipedia — https://en.wikipedia.org/wiki/Local_resilience_forum
4. Gold–silver–bronze command structure — Wikipedia — https://en.wikipedia.org/wiki/Gold%E2%80%93silver%E2%80%93bronze_command_structure
5. Risk assessment — Wikipedia — https://en.wikipedia.org/wiki/Risk_assessment
6. Triage — Wikipedia — https://en.wikipedia.org/wiki/Triage
7. Mutual aid (emergency services) — Wikipedia — https://en.wikipedia.org/wiki/Mutual_aid_(emergency_services)
8. Pandemic — Wikipedia — https://en.wikipedia.org/wiki/Pandemic
9. COVID-19 pandemic in the United Kingdom — Wikipedia — https://en.wikipedia.org/wiki/COVID-19_pandemic_in_the_United_Kingdom
10. WannaCry ransomware attack — Wikipedia — https://en.wikipedia.org/wiki/WannaCry_ransomware_attack
11. NHS Emergency Preparedness, Resilience and Response (EPRR) — NHS England — https://www.england.nhs.uk/ourwork/eprr/
12. Civil Contingencies Act 2004 (legislation) — UK Government / The National Archives — https://www.legislation.gov.uk/ukpga/2004/36/contents
13. Preparation and planning for emergencies: responsibilities of responder agencies and others — Cabinet Office, GOV.UK — https://www.gov.uk/guidance/preparation-and-planning-for-emergencies-responsibilities-of-responder-agencies-and-others
14. Mitigating malware and ransomware attacks — National Cyber Security Centre — https://www.ncsc.gov.uk/guidance/mitigating-malware-and-ransomware-attacks
15. Investigation: WannaCry cyber attack and the NHS — National Audit Office — https://www.nao.org.uk/reports/investigation-wannacry-cyber-attack-and-the-nhs/
16. UK Covid-19 Inquiry — https://covid19.public-inquiry.uk/