Krankenhaus: Der vollständige NIS2-Leitfaden

Krankenhäuser ab 50 Mitarbeitenden oder 10 Mio. EUR Jahresumsatz sind nach NIS2-Anhang I Nr. 5 (Gesundheit) als Wesentliche Einrichtung einzustufen. Das bedeutet strengere Pflichten und höhere Bußgelder als für Anhang-II-Betriebe. Die Bedrohungslage ist real: Krankenhäuser gehören zu den am häufigsten angegriffenen kritischen Infrastrukturen in Deutschland. Dieser Leitfaden richtet sich an Krankenhausleitungen, CISOs und IT-Leiter.

Wer ist betroffen?

Krankenhäuser fallen unter NIS2-Anhang I Nr. 5 (Gesundheitsdienstleister) bei Überschreitung der KMU-Schwellen: mindestens 50 Mitarbeitende oder mindestens 10 Mio. EUR Jahresumsatz (EU-Empfehlung 2003/361/EG Art. 2). Da nahezu alle Krankenhäuser diese Schwellen überschreiten, sind sie flächendeckend als Wesentliche Einrichtung einzustufen.

Große Krankenhäuser, Universitätskliniken und Krankenhausverbünde mit mehr als 250 Mitarbeitenden und mehr als 50 Mio. EUR Umsatz unterliegen zusätzlich den KRITIS-Pflichten nach BSI-KritisV (Schwelle: 30.000 vollstationäre Fälle/Jahr). Diese waren bereits nach IT-SiG 1.0 reguliert.

Ein Kreiskrankenhaus mit 200 Betten und 300 Mitarbeitenden ist Wesentliche Einrichtung nach NIS2.

Die Pflichten nach § 30 BSIG-neu

§ 30 BSIG-neu fordert sieben technisch-organisatorische Maßnahmenbereiche, die für Krankenhäuser durch die patientensicherheitskritischen IT-Systeme besonders anspruchsvoll sind:

1. Risikoanalyse und -management: KIS (Krankenhausinformationssystem), RIS/PACS (Radiologie), Labor-IT, Medizingeräte mit Netzwerkanbindung und Patientendaten-Infrastruktur müssen bewertet werden.
2. Incident Handling: Ein Ransomware-Angriff auf das KIS ist ein meldepflichtiger Vorfall. Eskalation in klinischen Betrieb (Ausweichverfahren) und IT-Security-Response müssen koordiniert sein.
3. Business Continuity: Krankenhäuser müssen "Downtime Procedures" für alle klinischen IT-Systeme vorhalten. Papierbasierte Notfallprozesse für KIS-Ausfall sind zu testen und zu dokumentieren.
4. Supply-Chain-Sicherheit: KIS-Hersteller, Labor-Software-Anbieter und Dienstleister für Medizingeräte müssen auf Sicherheitsstandards überprüft werden. § 30 Abs. 2 Nr. 4 BSIG-neu verlangt Vertragsklauseln.
5. Zugangskontrolle und MFA: Zugang zu KIS, PACS und administrativen Systemen muss durch MFA gesichert sein. Klinisches Personal und IT-Verwaltung brauchen unterschiedliche Zugangskonzepte.
6. Verschlüsselung: Patientendaten in Übertragung und Speicherung müssen verschlüsselt sein. Das gilt auch für mobile Geräte (Tablets auf Station, Smartphones des Dienstarztes).
7. Schulung und Awareness: Ärzte, Pflegepersonal und Verwaltung müssen regelmäßig zu Phishing und sicherem Umgang mit IT-Systemen geschult werden.

Fristen und Meldepflichten

BSI-Registrierung nach § 33 BSIG-neu binnen drei Monaten. Für Sicherheitsvorfälle nach § 32 BSIG-neu: Erstmeldung 24 Stunden, vollständige Meldung 72 Stunden, Abschlussbericht 30 Tage.

Ein Ransomware-Angriff auf das KIS muss innerhalb von 24 Stunden an das BSI gemeldet werden. Das gilt auch dann, wenn der klinische Betrieb durch Ausweichverfahren weiterlaufen kann. Die Meldung muss den Umfang des Vorfalls, betroffene Systeme und ergriffene Maßnahmen enthalten.

Bußgelder und persönliche Haftung

Wesentliche Einrichtung (Anhang I): bis 10 Mio. EUR oder 2 % des weltweiten Jahresumsatzes. Für Krankenhäuser ohne internationalen Umsatz gilt: 2 % des Gesamtumsatzes des Krankenhausverbundes.

§ 38 BSIG-neu: Persönliche Haftung des Krankenhausgeschäftsführers und des leitenden IT-Verantwortlichen für schuldhaft versäumte NIS2-Pflichten. In Kombination mit datenschutzrechtlicher Haftung (DSGVO Art. 82) und standesrechtlichen Konsequenzen ist das ein erhebliches persönliches Risiko.

KHZG-Förderung und NIS2-Pflichten: wann Fördermittel und Pflicht zusammenfallen

Das Krankenhauszukunftsgesetz (KHZG) stellt nach §§ 21-21c KHZG Fördermittel für Digitalisierung bereit, darunter auch für IT-Sicherheit (Fördertatbestand 10). Diese Förderung überschneidet sich erheblich mit NIS2-Anforderungen.

Konkret: KHZG-Fördertatbestand 10 finanziert Maßnahmen zur "Verbesserung der IT-Sicherheit". Darunter fallen Maßnahmen wie Netzwerksegmentierung, Identity-and-Access-Management, SIEM-Systeme und Notfallpläne - alles NIS2-Pflichten nach § 30 BSIG-neu.

Krankenhäuser können daher NIS2-Compliance-Maßnahmen durch KHZG-Mittel kofinanzieren. Voraussetzung: Das Krankenhaus muss bis zur KHZG-Antragsfrist begründet darlegen, wie die Maßnahmen die IT-Sicherheit verbessern. NIS2-Compliance als Rahmen bietet dafür eine klare Argumentationslinie. Nicht genutztes KHZG-Förderpotenzial für IT-Sicherheit ist eine verpasste Gelegenheit.

Erste Schritte

1. Prüfe, ob dein Krankenhaus als Wesentliche Einrichtung einzustufen ist (fast alle Krankenhäuser: ja).
2. Inventarisiere alle klinischen IT-Systeme: KIS, PACS/RIS, Labor, Apotheke, Intensivstation-Monitoring.
3. Stelle sicher, dass Downtime Procedures für alle kritischen Systeme existieren und regelmäßig geübt werden.
4. Identifiziere alle Fernwartungszugänge von KIS-Herstellern und Medizingerätewartung.
5. Führe eine Risikoanalyse für einen kompletten KIS-Ausfall durch: Wie lange kann klinischer Betrieb ohne KIS aufrechterhalten werden?
6. Prüfe offene KHZG-Antragsoptionen für IT-Sicherheitsmaßnahmen.
7. Registriere dich beim BSI.

Typische Fehler vermeiden

Medizingeräte aus der IT-Sicherheitsbetrachtung ausgeklammert: Beatmungsgeräte, Infusionspumpen und Patientenmonitore mit Netzwerkanbindung sind IT-Systeme im NIS2-Sinne.

KIS als "Closed System" betrachtet: Moderne KIS sind über Schnittstellen mit Laborsystemen, Radiologie und externen Diensten verbunden. Jede Schnittstelle ist ein potenzieller Angriffsweg.

Notfallpläne nur für IT-Ausfall, nicht für Cyberangriff: Klassische BCP-Pläne gehen von Hardware-Ausfall aus. Ein Cyberangriff erfordert andere Reaktionen (Netzwerk-Isolation, Forensik, Behördenmeldung).

KHZG-Förderung nicht für IT-Sicherheit genutzt: Viele Krankenhäuser haben KHZG-Fördermittel für Prozess-Digitalisierung beantragt, nicht für IT-Sicherheit. Das ist eine verpasste Finanzierungschance für NIS2-Maßnahmen.

Nutze den branchengenauen NIS2-Rechner für Krankenhäuser, um deine Pflichten in wenigen Minuten zu überprüfen.