Cybersicherheit NIS2: Warum auch kleinere Akteure im Gesundheitswesen gefordert sind

Anbieter zum Thema

Governikus GmbH & Co. KG

Das neue NIS2-Umsetzungsgesetz macht Informationssicherheit im Gesundheitswesen zur Pflicht, doch viele Einrichtungen sind noch nicht ausreichend geschützt. Wenn das neue Gesetz voraussichtlich im März dieses Jahres in Kraft tritt, müssen auch kleinere Gesundheitsakteure für Cybersicherheit sorgen. Was jetzt auf Arztpraxen, Pflegeeinrichtungen und andere zukommt – und wie sie ihre NIS2-Readiness sicherstellen.

Cyberangriffe auf Krankenhäuser, Arztpraxen und medizinische Versorgungszentren nehmen seit Jahren zu. Die Einrichtungen werden immer häufiger Ziel von Hackerangriffen und sogenannten Ransomware-Attacken, die zu erheblichen Beeinträchtigungen führen können. Die EU hat auf die steigende Bedrohung mit der NIS2-Richtlinie reagiert. Das deutsche Gesetz zur Umsetzung von NIS2 („NIS2UmsuCG“) tritt voraussichtlich noch im ersten Halbjahr 2025 in Kraft. Es verpflichtet nicht mehr nur große Kliniken, sondern auch kleinere Akteure im Gesundheitswesen zu strengen IT-Sicherheitsmaßnahmen. Unter anderem müssen dann Arztpraxen, Apotheken, Pflegeeinrichtungen, Labore und Medizintechnikunternehmen verbindliche Sicherheitsstandards umsetzen – oft ohne die notwendigen personellen oder finanziellen Ressourcen.

Vielen Akteuren fehlt das Problembewusstsein

Während große Kliniken als Kritische Infrastruktur (KRITIS) bereits unter die KRITIS-Gesetzgebung fallen und Vorkehrungen getroffen haben, fehlt vielen kleineren Akteuren noch das Bewusstsein für die neuen Pflichten.

Zu den wichtigsten Pflichten des neuen Gesetzes zählen:

• Ausweitung des Geltungsbereichs: Bisher galten gesetzliche IT-Sicherheitsvorgaben primär für große Krankenhäuser. Nun fallen auch kleinere Gesundheitsakteure mit mehr als 50 Mitarbeitenden oder einem Jahresumsatz und einer Jahresbilanzsumme über zehn Millionen Euro unter die neue Regelung.

• Erweiterte Meldepflichten: Erhebliche Sicherheitsvorfälle müssen innerhalb von 24 Stunden an das Bundesamt für Sicherheit in der Informationstechnik (BSI) gemeldet werden. Eine detaillierte Analyse muss spätestens nach 72 Stunden erfolgen.

• Registrierungspflicht: Unternehmen müssen sich eigenständig und proaktiv offiziell beim BSI registrieren und ihre Sicherheitsmaßnahmen dokumentieren.

• Erhöhte Verantwortung der Geschäftsführung: Führungskräfte haften persönlich für Verstöße gegen Cybersicherheitsvorgaben. Sie sind verpflichtet, Schulungen zu absolvieren und Cybersicherheitsstrategien zu genehmigen.

• Sicherheitsanforderungen für Lieferketten: Nicht nur Gesundheitsakteure selbst, sondern auch deren Dienstleister und Zulieferer können indirekt zu einer Umsetzung NIS2-konformer Sicherheitsmaßnahmen verpflichtet werden.

Besonders kleinere Einrichtungen wie Arztpraxen oder Pflegeheime stehen bei der Umsetzung vor erheblichen Herausforderungen. Zum einen, weil sie noch veraltete IT-Systeme nutzen, die nicht den aktuellen Sicherheitsstandards entsprechen. Die Modernisierung erfordert hohe Investitionen. Während große Kliniken oftmals über eigene IT-Abteilungen und genügend Kompetenz verfügen, fehlt es kleineren Akteuren zum anderen oft an interner Expertise für Cybersicherheit. Darüber hinaus müssen neben der technischen Umsetzung auch Sicherheitskonzepte, Notfallpläne und Schulungsnachweise schriftlich dokumentiert werden. In vielen Einrichtungen sind die Prozesse für die komplexen Dokumentationspflichten bislang jedoch noch nicht etabliert. Außerdem gibt es häufig keine festen Ansprechpartner für die Informationssicherheit, was die Einhaltung der neuen Vorschriften zusätzlich erschwert.

Das Problem: Es sind keine Übergangsfristen für die Umsetzung der Anforderungen aus dem neuen Gesetz vorgesehen. Wer nicht rechtzeitig handelt, riskiert nicht nur hohe Strafen, sondern im Falle eines Sicherheitsvorfalls auch eine Haftung der Geschäftsführung.

Imprivata-Studie

Ein Weckruf für die NIS-2-Umsetzung

Branchenspezifischer Sicherheitsstandard als Brücke zur NIS2-Konformität

Trotz der Herausforderungen gibt es praktikable Lösungen, um NIS2 effizient umzusetzen. Ein möglicher Ansatz ist die Orientierung am branchenspezifischen Sicherheitsstandard für Krankenhäuser (B3S).

Der B3S wurde von der Deutschen Krankenhausgesellschaft (DKG) entwickelt und umfasst über 200 Anforderungen, die sich an der internationalen Norm ISO/IEC 27001 orientieren. Ziel des B3S ist es, eine resiliente IT-Infrastruktur in Gesundheitseinrichtungen sicherzustellen und gleichzeitig die medizinische Versorgung bei Cyberangriffen oder IT-Ausfällen aufrechtzuerhalten.

Das Regelwerk enthält Muss-, Soll- und Kann-Anforderungen, die neben der reinen IT-Sicherheit auch organisatorische, strukturelle und prozessuale Aspekte umfassen. Dazu gehört beispielsweise ein Risikomanagement, das die Bedeutung von IT-Systemen für die Aufrechterhaltung der medizinischen Dienstleistungen bewertet. Ein Kontinuitätsmanagement stellt sicher, dass Pläne für Notfälle, Geschäftskontinuität und die Wiederherstellung nach Cyberangriffen vorhanden sind. Darüber hinaus sollte sich die Geschäftsführung dazu verpflichten, Sicherheitsmaßnahmen einzuführen und kontinuierlich zu überwachen.

Die Orientierung am B3S hilft kleineren Akteuren bei der Umsetzung der NIS2-Anforderungen, denn der branchenspezifische Sicherheitsstandard für Krankenhäuser ist eng mit NIS2 verzahnt: Er bezieht sich explizit auf die ISO/IEC 27001 als Bezugsrahmen für die Einhaltung der Sicherheitsanforderungen und bietet somit eine fundierte Vorlage, um NIS2-konform zu werden. Kurz gesagt: Wer den B3S umsetzt, hat die wesentlichen Anforderungen des neuen Gesetzes grundlegend erfüllt. Gleichzeitig sorgen die Akteure für Zukunftssicherheit – da der B3S auf der ISO/IEC 27001 basiert, kann er auch als Grundlage für Digitalisierungsprojekte dienen.

Cyberangriffe auf Krankenhäuser

Budget- und Personalmangel sind die größten Schwachstellen

Auf der nächsten Seite geht es weiter mit einem Praxisbeispiel und den ersten Schritten zur Cybersicherheit.

(ID:50335667)