Startseite

Männlicher IT-Spezialist, der sich auf die Programmierung oder Systemüberwachung konzentriert und in einem modernen Büro mit mehreren Monitoren arbeitet, die Daten anzeigen.

Verlässlicher Schutz für die Diagnostik

Cybersicherheit für die digitale Gesundheitsversorgung

Roche schützt Daten und Gesundheitsinfrastruktur durch eine Kombination aus organisatorischen, technischen und physischen Maßnahmen. Wir überwachen Bedrohungen kontinuierlich und reagieren zeitnah auf Schwachstellen. Unser nach ISO/IEC 27001 zertifiziertes Informationssicherheits-Managementsystem (ISMS) stellt die nachweisliche Einhaltung von Gesetzen und Branchenstandards sicher – und unterstützt Sie zugleich dabei, Ihre eigenen Compliance-Pflichten zu erfüllen.

Kontaktieren Sie uns

Vertraulichkeit, Integrität und Verfügbarkeit von Daten

Unsere Mitarbeitenden, Prozesse und Technologien sorgen gemeinsam für Vertraulichkeit, Integrität und Verfügbarkeit von Daten und für die Compliance mit relevanten Gesetzen und Standards.

Menschen

Bei Roche wird die Strategie und Umsetzung rund um Cybersicherheit und Datenschutz von einer internen Organisation für Produktsicherheit und Datenschutz (Product Security & Privacy Organization, PSPO) geleitet. Eine Hauptaufgabe der PSPO besteht darin, Produktentwicklungsteams bei Entwurf, Entwicklung und Wartung von Produkten zu unterstützen, die den Anforderungen von ISO/IEC 27001:2022, des Informationssicherheits-Managementsystems (ISMS) von Roche sowie den geltenden Gesetzen und Vorschriften entsprechen.

Die PSPO bietet Produktentwicklungs-Lebenszyklusteams Fachwissen in folgenden Bereichen:

Einführung und Aufrechterhaltung digitaler Kontrollen
Datenschutz-Folgenabschätzung
Vorfallreaktionsplanung
Architektur und Entwurf
Risikomanagement für Dritte
Schwachstellenüberwachung und Penetrationstests
Aufklärung und Schulung rund um Sicherheit und Datenschutz
Kundenseitige Sicherheits- und Datenschutzbeziehungen
Unterstützung des Zertifizierungsprogramms

Prozess

Alle Angaben mit Bezug auf eine identifizierte oder identifizierbare Person müssen bei Roche im Einklang mit geltenden Datenschutzgesetzen (z. B. Schweizer Bundesgesetz über den Datenschutz, EU-Datenschutz-Grundverordnung, US Health Insurance Portability and Accountability Act) erhoben und verarbeitet werden. Von Roche-Mitarbeitenden mit Zugang zu Personendaten wird erwartet, dass sie die Grundprinzipien des Datenschutzes beachten: Datenverarbeitung muss rechtmäßig, fair und für die Betroffenen transparent sein, Zweck und Dauer der Verarbeitung müssen definiert und beschränkt sein und die Grundsätze der Datenminimierung, Richtigkeit, Speicherbeschränkung, Integrität und Vertraulichkeit werden eingehalten.

Unser umfassendes Informationssicherheits-Management(ISMS)-Framework wird durch Zertifizierungen gestützt, die Sicherheits-Governance, -management und -kontrollen demonstrieren. Wir unterhalten geeignete IT- und Informationssicherheits-Organisationsabläufe mit Engagement auf allen Ebenen des Unternehmens.

Technologien

Roche hat es sich zur Aufgabe gemacht, das Gesundheitswesen zu transformieren, indem es neuartige diagnostische Lösungen bereitstellt, die das Leben von Patient:innen verbessern. Diese Lösungen beinhalten häufig innovative Hardware und Software und verarbeiten sensible Gesundheitsinformationen im Rahmen von Erstellung, Verarbeitung, Weitergabe und Speicherung.

Roche Diagnostics implementiert Sicherheit und Datenschutz durch Technikgestaltung nach Branchenstandard.

Informationen zu detaillierten technischen und digitalen Kontrollen zu einer bestimmten Roche-Lösung erhältst Sie von Ihrem Roche-Vertreter:innen.

Transparenz zu jeder Lösung

Roche glaubt daran, Vertrauen durch Transparenz aufzubauen.Die Produktsicherheitsseite ist Ihre zentrale Anlaufstelle für wichtige Cybersicherheits- und Datenschutzinformationen zu unseren Lösungen.

Zur Produktsicherheit

Technical cybersecurity measures

Mehrschichtiger Schutz nach Defense-in-Depth

Als Teil der Defense-in-Depth Strategie von Roche klassifizieren unsere Produktteams Daten, bewerten Risiken und führen über den gesamten Produktlebenszyklus - von der Entwicklung bis zur Markteinführung - eine Bedrohungsmodellierung durch. Daraus leiten wir die erforderlichen technischen Schutzmaßnahmen ab, die die Einhaltung von Gesetzen, Standards und internen Roche-Richtlinien unterstützen.

Fortschrittliche Firewall-Sicherheit

Die navify Cloud-Lösungen auf der von Roche betriebenen Plattform werden durch eine Cloud-Firewall geschützt. Bei navify On-Premise-Lösungen (lokale Bereitstellung) liegt die Verantwortung für IT-Sicherheitskontrollen auf Kundenseite.

Seit dem 1. Mai 2019 ist für alle Roche Prä-, Post- und Analysesysteme eine von Roche bereitgestellte und verwaltete Hardware-Firewall verbindlich zu installieren. Diese schafft ein segmentiertes Roche-Labornetzwerk (RLN), welches für Compliance und Patientensicherheit essenziell ist und folgende Mehrwerte bietet:

Schützt vor Cyberbedrohungen und ermöglicht deren Überwachung
Etabliert eine sichere, isolierte Zone für den Betrieb und verbessert damit die Systemresilienz
Ermöglicht Remote-Systemzugriffe, Logging, Software-Updates und schnelle Reaktionen auf Cybersicherheitsvorfälle

Das Roche-Labornetzwerk im Detail

Sicherheit auf allen Ebenen

Die Sicherheitsfunktionen können je nach Lösung variieren. Produktspezifische Details erhalten Sie von Ihren Roche-Vertreter:innen.

Device Hardening

navify Produkte werden systematisch gehärtet: Wir deaktivieren nicht benötigte Dienste und Schnittstellen, setzen sichere Standardkonfigurationen nach anerkannten Baselines durch und schließen bekannte Schwachstellen durch regelmäßige Updates. So verringern wir die Angriffsfläche Ihrer Systeme gezielt und kontinuierlich.

Datenverschlüsselung

Roche schützt Ihre Daten sowohl im Ruhezustand (At-Rest) als auch während der Übertragung (In-Transit) mit anerkannten Verschlüsselungsverfahren nach dem Stand der Technik. So verringern wir das Risiko einer unbefugten Offenlegung deutlich. Angaben zu den konkret eingesetzten Verfahren erhalten Sie produktspezifisch von Ihren Roche-Ansprechpartner:innen.

Zugriff und Autorisierung

Roche schützt den Zugriff mit einer mehrstufigen Verteidigungsstrategie (Defense-in-Depth): strenge Passwortrichtlinien, Multi-Faktor-Authentifizierung (MFA) und rollenbasierte Zugriffskontrolle (RBAC) stellen sicher, dass nur autorisierte Personen auf sensible Daten zugreifen.

Cloud-Sicherheit

Für das Hosting und den Schutz digitaler Lösungen arbeitet Roche mit etablierten Cloud-Anbietern wie AWS zusammen. Von allen Service-Partnern verlangen wir Anonymisierung, Pseudonymisierung oder gleichwertige Schutzmaßnahmen. Unsere auf der navify Cloud bereitgestellten Produkte werden nach dem BSI C5-Kriterienkatalog unabhängig attestiert. So bleiben Ihre Daten auch dann geschützt, wenn sie außerhalb Ihrer eigenen Systeme verarbeitet werden.

Secure data storage

Flexibles Hosting - On Premise oder Cloud

Roche bietet für navify Lösungen flexible Hosting-Optionen – vor Ort (On-Premise) oder in der Cloud – , um regionale Anforderungen zu erfüllen. Im Vordergrund stehen Patient:innensicherheit und die Einhaltung lokaler Vorgaben. Je nach Modell verteilt sich die Verantwortung klar zwischen Roche und Ihnen:

Vor Ort (On-Premise)

Für Lösungen, die an Ihrem Standort gehostet werden, gilt:

Zum Schutz der Roche-Geräte ist die von Roche validierte Firewall zwingend zu verwenden.*
Für Umgebungen außerhalb der Roche-Firewall sind Kund:innen für alle Sicherheitsmaßnahmen an Hard- und Software verantwortlich, die Roche nicht bereitstellt.
Roche-Verträge legen die gegenseitigen Compliance-Pflichten von Roche und Kund:innen klar dar.

* Ausnahme: Roche-Point-of-Care- und navify-Cloud-Softwarelösungen benötigen keine physische Firewall.

Cloud-Hosting (navify Platform)

Für das Cloud-Hosting arbeitet Roche mit führenden Anbietern zusammen und sorgt dafür, dass Daten über ihren gesamten Lebenszyklus sicher verwaltet werden, geltende Datenschutzgesetze eingehalten werden und Sie die Kontrolle behalten. Cloud-Lösungen von Roche:

schützen Vertraulichkeit, Integrität und Verfügbarkeit der Daten mit Sicherheitsmaßnahmen nach Branchenstandard,
werden im Einklang mit Gesetzen, Vorschriften und Branchenstandards konfiguriert und gepflegt,
werden kontinuierlich durch technische und automatisierte Verfahren überwacht, um Vorfälle früh zu erkennen und zu verhindern.

Als vertrauenswürdiger Partner wird Roche dabei stets:

die Handhabung von Daten vertraglich regeln,
Datenflüsse und Zugriffszwecke transparent offenlegen,
für den Zugriff durch Roche-Mitarbeitende Ihre Einwilligung einholen,
geltende Gesetze und Vorschriften einhalten.

Für unsere navify Cloud-Produkte liegt ein BSI C5-Testat vor. Damit erhalten Sie einen unabhängig geprüften Nachweis, den Sie in Ihren eigenen Audits und Aufsichtsverfahren verwenden können.

Prozess und Verfahren

Qualität über den gesamten Lebenszyklus

Sicherheit und Compliance von navify Lösungen werden während ihres gesamten Lebenszyklus über ein Qualitätsmanagementsystem verwaltet, das durch das nach ISO/IEC 27001 zertifizierte Roche-Informationssicherheits-Managementsystem (ISMS) umfassend gespeist wird. In diesem ISMS wird die Mindestsicherheitsgrundlage festgelegt, um die Compliance mit relevanten Gesetzen, Vorschriften und Branchenstandards zu gewährleisten.

Haftungsausschluss

Nicht jedes digitale Produkt ist in allen Ländern erhältlich. Die Nutzung von Drittanbieter-Apps unterliegt einer separaten Lizenzvereinbarung mit dem jeweiligen Entwickler der Drittanbieter-App. Roche übernimmt keine Garantie (weder ausdrücklich noch stillschweigend) in Bezug auf Apps von Drittanbietern. Drittanbieter-Apps sind möglicherweise in Ihrem Land nicht verfügbar. Da diese Website und ihr Inhalt weltweit zugänglich sein können, übernimmt Roche keine Gewähr für den Zugriff auf diese Informationen, der möglicherweise nicht mit den in Ihrem Land geltenden Gesetzen oder Vorschriften vereinbar ist.
MC-19866