Verfasst vom NIS2Compass Team ·
Krankenhäuser gehören nach Anlage 1 BSIG zum Sektor Gesundheit. Ab 50 Mitarbeitenden oder jeweils über 10 Mio. € Jahresumsatz und Jahresbilanzsumme gelten sie als wichtige Einrichtung, ab 30.000 vollstationären Fällen pro Jahr als Betreiber einer kritischen Anlage. Daneben verpflichtet §391 SGB V (bis März 2024 §75c SGB V) jedes Krankenhaus, das nicht als KRITIS-Betreiber erfasst ist, zu IT-Sicherheit nach dem Stand der Technik. NIS2Compass ordnet diese Pflichten und führt IT-Teams Schritt für Schritt durch die Umsetzung.
Sektor
Anlage 1 BSIG, Nr. 4.1.1: Erbringer von Gesundheitsdienstleistungen im Sinne der Richtlinie 2011/24/EU. Darunter fallen Krankenhäuser ebenso wie andere Leistungserbringer, etwa MVZ. Einrichtungen der Langzeitpflege gehören laut BSI nicht dazu.
Größe
Wichtige Einrichtung ab 50 Mitarbeitenden oder jeweils über 10 Mio. € Umsatz und Bilanzsumme, besonders wichtige Einrichtung ab 250 Mitarbeitenden oder über 50 Mio. € Umsatz und über 43 Mio. € Bilanzsumme (§28 BSIG). Einzelpraxen liegen in der Regel darunter.
KRITIS und §391 SGB V
Ab 30.000 vollstationären Fällen pro Jahr ist ein Krankenhaus kritische Anlage (BSI-KritisV, Anhang 5) und damit unabhängig von der Größe besonders wichtige Einrichtung. Für alle übrigen Krankenhäuser gilt zusätzlich §391 SGB V.
§30 BSIG, §391 SGB V und für KRITIS-Häuser zusätzlich §§31 und 39 BSIG überschneiden sich. Der Branchenstandard B3S hilft bei der Umsetzung, ersetzt aber nicht die Klärung, welche Normen für Ihr Haus gelten.
§30 Abs. 2 Nr. 5 BSIG verlangt Schwachstellenmanagement. CT, MRT und Labor-IT laufen oft auf Alt-Betriebssystemen und lassen sich nicht wie Office-IT patchen. Nötig sind kompensierende Maßnahmen wie Segmentierung und Monitoring.
Ein Ransomware-Angriff mit Zugriff auf Patientendaten kann die Meldung nach §32 BSIG an die gemeinsame Meldestelle von BSI und BBK und die Meldung nach Art. 33 DSGVO an die Datenschutzaufsicht auslösen. Zwei Empfänger, unterschiedliche Kriterien und Inhalte.
Ein Klinikum mit 350 Betten, rund 18.000 vollstationären Fällen pro Jahr und 8 Personen im IT-Team liegt unter der KRITIS-Schwelle, ist aber nach §28 BSIG NIS2-pflichtig und erfüllt parallel §391 SGB V. Vorhandene Nachweise aus der Zeit des §75c SGB V müssen den Maßnahmen aus §30 BSIG zugeordnet werden, und bei einem Vorfall laufen BSI- und DSGVO-Meldung nebeneinander. NIS2Compass strukturiert den Umsetzungspfad in 8 Kapiteln mit 124 Schritten. Fachartikel im Knowledge Hub erklären, wie Sie NIS2- und DSGVO-Meldung koordinieren. Die Meldeformulare decken alle drei Stufen nach §32 BSIG ab, das Vorfallsregister dokumentiert beide Prüfungen an einer Stelle.
NIS2 Guide
8 Kapitel, 124 Schritte, jeder mit Vorlage
Knowledge Hub
40+ Fachartikel, u. a. zur Koordinierung von NIS2- und DSGVO-Meldung
Melde-Vorlagen
Vorfallsregister, Frühwarnung (24 h), Vollmeldung (72 h), Abschlussbericht
Ausgangspunkt jeder Umsetzung. Betreiber kritischer Anlagen sind nach §28 Abs. 1 Nr. 1 BSIG immer besonders wichtige Einrichtungen, unabhängig von Umsatz und Mitarbeitendenzahl. Für Krankenhäuser liegt die Schwelle laut Anhang 5 der BSI-KritisV bei 30.000 vollstationären Fällen pro Jahr. Darunter entscheiden Mitarbeitende, Umsatz und Bilanzsumme. Wichtige und besonders wichtige Einrichtungen müssen sich beim BSI registrieren (§33 BSIG).
Krankenhäuser müssen nach dem Stand der Technik angemessene organisatorische und technische Vorkehrungen treffen, einschließlich verpflichtender Maßnahmen zur Security-Awareness. Die Pflicht stand bis März 2024 in §75c SGB V und wurde mit dem Digital-Gesetz in §391 SGB V überführt. Sie gilt für alle Krankenhäuser, die nicht bereits als Betreiber kritischer Anlagen nach §§30, 31 und 39 BSIG verpflichtet sind (Abs. 5). Erfüllen lässt sie sich insbesondere über einen B3S, dessen Eignung das BSI nach §30 Abs. 8 BSIG festgestellt hat (Abs. 4).
Wichtige und besonders wichtige Einrichtungen setzen die Maßnahmen aus §30 Abs. 2 BSIG um und dokumentieren sie, von der Risikoanalyse über Backup und Krisenmanagement bis zur Multi-Faktor-Authentifizierung. Für Kliniken heikel ist Nr. 5, das Schwachstellenmanagement: Medizingeräte mit Alt-Betriebssystemen brauchen kompensierende Maßnahmen wie Segmentierung, strikte Zugriffskontrolle und Monitoring. KRITIS-Häuser setzen zusätzlich Systeme zur Angriffserkennung ein (§31 Abs. 2 BSIG) und weisen die Umsetzung alle drei Jahre nach (§39 BSIG).
Meldung an die gemeinsame Meldestelle von BSI und BBK: frühe Erstmeldung spätestens nach 24 Stunden, Meldung mit erster Bewertung nach 72 Stunden, Abschlussmeldung einen Monat danach. Betreiber kritischer Anlagen geben zusätzlich Art der Anlage, kritische Dienstleistung und Auswirkungen an (§32 Abs. 3). Führt der Vorfall voraussichtlich zu einem Risiko für Patientinnen und Patienten, kommt die Meldung nach Art. 33 DSGVO hinzu: unverzüglich und möglichst binnen 72 Stunden an die zuständige Datenschutzaufsicht. §391 SGB V enthält keine eigene Meldepflicht.
Die Geschäftsleitung muss die Risikomanagementmaßnahmen umsetzen, ihre Umsetzung überwachen und regelmäßig an Schulungen teilnehmen. Bei schuldhafter Pflichtverletzung haftet sie der Einrichtung nach den für die Rechtsform geltenden Regeln des Gesellschaftsrechts.
| Kriterium | NIS2Compass | Klassische Beratung | ISMS-Tool | Selbstumsetzung |
|---|---|---|---|---|
| Monatskosten | 29 € | 700-1.600 €/Tag | 200-2.000 €/Monat | 0 € |
| §391-SGB-V-Kontext | explizit | abhängig vom Berater | allgemein | selbst |
| DSGVO- und NIS2-Koordinierung | Fachartikel im Knowledge Hub | individuell | häufig ausgeklammert | selbst |
| Deutsche Vorlagen | ja (45+) | maßgeschneidert | meist englisch | nein |
| Onboarding | 10 Minuten | Wochen | Tage + Setup | Monate |
| Für 5-12-Personen-Klinik-IT | ja | zu teuer | zu komplex | kapazitiv schwierig |
§28 und §30 BSIG, §391 SGB V, Meldung nach §32 BSIG: 8 Kapitel, 124 Schritte, 45+ Vorlagen.