NIS-2 und Cybersecurity Informationssicherheit im Krankenhaus – mehr als ein IT-Projekt

Im Gesundheitswesen bedrohen Cyberangriffe direkt Menschenleben. Durch die NIS-2-Richtlinie müssen viele Einrichtungen nun dringend handeln. Warum Informationssicherheit dabei weit mehr als nur ein IT-Projekt ist.

Manchmal bemerken wir unsere größten blinden Flecken erst, wenn uns jemand von außen darauf hinweist. Führungsteams sind oft fest davon überzeugt: „So, wie wir das machen, ist es sicher.“ Doch genau darin liegt die Gefahr der Betriebsblindheit – man erkennt die eigenen Lücken selbst kaum noch.

Was wie eine klassische Management-Herausforderung klingt, ist ein Phänomen, das im Klinikalltag regelmäßig zu beobachten ist. Einrichtungen, die seit Jahren funktionieren, deren Abläufe eingespielt sind, bei denen das Tagesgeschäft läuft – die aber trotzdem gravierende Lücken in ihrer Informationssicherheit haben, weil der Blick von außen fehlt.

Bundeslagebild Cybercrime 2025

Die Bedrohung steigt, die Abwehr zieht nach

Im Zuge von NIS-2 (auch: NIS2) fallen viele dieser Einrichtungen jetzt in einen erweiterten Regulierungsbereich. Zulieferer, Dienstleister und Händler, die das Thema Informationssicherheit bislang nicht auf dem Schirm hatten, müssen sich erstmals damit auseinandersetzen. Das BSI geht von knapp 30.000 betroffenen Organisationen in Deutschland aus. Gemeldet haben sich Stand März dieses Jahres erst rund 11.000. Allein diese Zahl zeigt, wie weit der Weg noch ist.

Den Handlungsbedarf verdeutlicht auch eine Studie des DKI aus dem Jahr 2025: 20 Prozent der Allgemeinkrankenhäuser ab 100 Betten, und damit jedes fünfte Haus, waren in den letzten drei Jahren von meldepflichtigen Vorfällen (Cyberangriffe, Datenpannen) betroffen. 86 Prozent der Einrichtungen gehen davon aus, dass sich diese Bedrohungslage künftig noch verschärfen wird.

Warum das Schadenspotenzial in Kliniken eine andere Dimension hat

Betrachtet man den Krankenhaussektor aus nächster Nähe, zeigt sich ein Umstand, den andere Branchen so nicht kennen: Bei einem Sicherheitsvorfall steht Gesundheit auf dem Spiel, im schlimmsten Fall ein Menschenleben. Die Erwartungshaltung der Patientinnen und Patienten an die Verfügbarkeit ihrer Versorgung ist berechtigt hoch. Wer auf eine wichtige Operation wartet, für den ist ein Systemausfall kein IT-Problem.

Ein Cyberangriff auf ein Krankenhaus entfaltet seine verheerende Wirkung deshalb anders als ein Angriff auf ein Industrieunternehmen. Hacker kalkulieren mit dieser Drucksituation. Die Angreifer, die gezielt Gesundheitseinrichtungen ins Visier nehmen, wissen, dass die Bereitschaft zu zahlen steigt, wenn Menschenleben betroffen sind. Vor Gericht sieht das dann auch entsprechend aus. Wir reden nicht über Geldstrafen allein, sondern über Haftstrafen und persönliche Konsequenzen für die Verantwortlichen.

Auch geopolitische Konflikte verschärfen die Lage drastisch. Denn Krankenhäuser sind längst Teil der hybriden Kriegsführung geworden. Wir haben es 2023 erlebt, als staatlich motivierte Hackergruppen gezielt die Websites und Portale deutscher Kliniken angriffen, um politische Entscheidungen zu torpedieren.

Gepaart mit den komplexen Abhängigkeiten in der Lieferkette entsteht hier eine explosive Mischung: Wer den massiven Hackerangriff auf den Dienstleister Südwestfalen-IT im Hinterkopf hat, der auch Rettungsleitstellen wochenlang in den Notbetrieb zwang, kann sich vorstellen, wie angreifbar unsere vernetzten Infrastrukturen heute sind. Im Gesundheitswesen, wo die gesamte Wertschöpfung am Ende digital abgebildet wird, wiegt diese Verwundbarkeit schwerer als in fast jedem anderen Sektor.

Wo die Vorbereitung auf NIS-2 beginnen sollte

Wenn eine Healthcare-Einrichtung heute anfängt, sich auf NIS-2 vorzubereiten, stellt sich sofort die Frage nach den richtigen ersten Schritten. Die Antwort darauf ist weniger offensichtlich, als sie auf den ersten Blick scheint. Ein pragmatischer erster Schritt ist die Definition des Geltungsbereichs, also: „Was gehört zu meiner Organisation?“. Diese Frage klingt einfach, ist aber in der Praxis oft der Punkt, an dem die größten Fehleinschätzungen passieren.

Den Geltungsbereich festzulegen bedeutet, sich ehrlich anzuschauen, welche internen und externen Prozesse, welche Dienstleister und Zulieferer, welche Cloud-Umgebungen und Standorte tatsächlich zur eigenen Verantwortung gehören. Wer hier zu eng schneidet, riskiert später böse Überraschungen, weil NIS-2 verlangt, wirklich alles zu erfassen.

Im zweiten Schritt steht die Gap-Analyse. Wo stehen wir heute, wo wollen wir hin, und wie sieht der Weg dorthin aus? Bei dieser Bestandsaufnahme geht es um konkrete Abhängigkeiten, um Personal, Strukturen, Programme, Hardware, Lieferketten. Wer sich einmal eine halbe Stunde Zeit nimmt und die fünf wichtigsten Geschäftsprozesse aufschreibt, schafft damit bereits eine Grundlage, von der sich Prioritäten ableiten lassen. Das muss kein Mammutprojekt sein. Fünf Prozesse auf den Tisch, Abhängigkeiten benennen, Verantwortlichkeiten klären.

Und dann wird es ernst, weil es um Risiko geht. Risikobewertung heißt, Eintrittswahrscheinlichkeiten und Schadenshöhen gegeneinander abzuwägen. Im Gesundheitswesen ist die Schadenshöhe per se enorm. Ein Ausfall kann bedeuten, dass einzelne Dienste oder Produkte schlicht nicht mehr zur Verfügung stehen. Für Patienten mit akutem Versorgungsbedarf ist das keine abstrakte Kennzahl, sondern eine reale Gefahr.

Physischer Schutz kritischer Anlagen

Grünes Licht für KRITIS-Dachgesetz

(ID:50859188)