Für die IT-Sicherheit eines Krankenhauses gibt es nicht eine einzige Vorschrift. Mehrere Regelwerke greifen ineinander: das Sozialgesetzbuch, das BSI-Gesetz mit der Umsetzung der europäischen NIS2-Richtlinie, die Regeln für kritische Anlagen und der Datenschutz. Welche davon für ein Haus gelten, hängt vor allem von seiner Größe ab.
Dieser Beitrag ordnet die Regeln ein und zeigt, wo sie stehen. Er richtet sich an Geschäftsführung, IT-Leitung und Informationssicherheit in Kliniken. Er beschreibt die Rechtslage, ersetzt aber keine rechtliche Prüfung im Einzelfall.
Die Regelwerke im Überblick
| Regelwerk | Für wen | Kern |
|---|---|---|
| § 391 SGB V | alle Krankenhäuser, soweit sie nicht schon als Betreiber kritischer Anlagen verpflichtet sind | angemessene Vorkehrungen nach dem Stand der Technik, Maßnahmen zur Sensibilisierung der Beschäftigten |
| BSI-Gesetz (NIS2) | Gesundheitsdienstleister ab einer bestimmten Größe | Risikomanagement, Registrierung, Meldung erheblicher Vorfälle, Pflichten der Geschäftsleitung |
| Kritische Anlage | Krankenhäuser oberhalb eines Schwellenwerts | zusätzliche Pflichten, unter anderem Nachweise ohne Aufforderung |
| DSGVO | jede Verarbeitung personenbezogener Daten | Gesundheitsdaten als besondere Kategorie, Meldung von Datenschutzverletzungen |
§ 391 SGB V: die Grundpflicht für alle Krankenhäuser
Nach § 391 SGB V müssen Krankenhäuser nach dem Stand der Technik angemessene organisatorische und technische Vorkehrungen treffen. Sie sollen Störungen der Verfügbarkeit, Integrität und Vertraulichkeit ihrer IT-Systeme, Komponenten und Prozesse vermeiden. Gemeint ist, was für die Funktionsfähigkeit des Krankenhauses und den Schutzbedarf der verarbeiteten Patienteninformationen maßgeblich ist.
Das Gesetz nennt einige Punkte ausdrücklich:
- Sensibilisierung: Zu den Vorkehrungen gehören verpflichtende Maßnahmen, um das Sicherheitsbewusstsein der Beschäftigten zu stärken (Abs. 2).
- Angemessenheit: Vorkehrungen sind angemessen, wenn der Aufwand nicht außer Verhältnis zu den Folgen eines Ausfalls oder einer Beeinträchtigung des Krankenhauses oder zum Schutzbedarf der Patienteninformationen steht (Abs. 3).
- Branchenstandard: Krankenhäuser können die Pflicht erfüllen, indem sie einen branchenspezifischen Sicherheitsstandard in der jeweils gültigen Fassung anwenden, dessen Eignung das BSI festgestellt hat (Abs. 4).
- Geltungsbereich: Die Pflicht gilt für alle Krankenhäuser, soweit sie nicht schon als Betreiber kritischer Anlagen nach den §§ 30, 31 und 39 BSI-Gesetz entsprechende Vorkehrungen treffen müssen (Abs. 5).
Einen festen Prüfrhythmus oder einen Stichtag nennt § 391 SGB V nicht.
Wann das BSI-Gesetz gilt
Seit dem 6. Dezember 2025 setzt das neu gefasste BSI-Gesetz (BSIG) die NIS2-Richtlinie in Deutschland um. Im Sektor Gesundheitswesen nennt Anlage 1 zum BSIG unter Nummer 4.1.1 die „Gesundheitsdienstleister“. Gemeint sind Erbringer von Gesundheitsdienstleistungen im Sinne der Richtlinie 2011/24/EU. Ob ein Krankenhaus als wichtige oder besonders wichtige Einrichtung gilt, richtet sich zusätzlich nach Beschäftigtenzahl, Umsatz und Bilanzsumme (§ 28 BSIG).
Für erfasste Häuser gelten dann unter anderem die Risikomanagementmaßnahmen nach § 30 BSIG, die Registrierung beim BSI und die Meldung erheblicher Sicherheitsvorfälle in Stufen nach 24 Stunden, 72 Stunden und einem Monat (§ 32 BSIG). Schwellenwerte, Pflichten und erste Schritte erklärt unser Beitrag NIS-2-Richtlinie: Betroffenheit, Pflichten, erste Schritte. Wie das Gesetz in Deutschland aufgebaut ist und wie Registrierung und Meldungen ablaufen, beschreibt unser Beitrag NIS2-Umsetzung in Deutschland.
Krankenhäuser als kritische Anlagen
Betreiber kritischer Anlagen gehören unabhängig von ihrer Größe zu den besonders wichtigen Einrichtungen (§ 28 Abs. 1 BSIG). Für Krankenhäuser legt die BSI-Kritisverordnung in Anhang 5 den Schwellenwert fest: 30.000 vollstationäre Fälle pro Jahr.
Diese Verordnung tritt außer Kraft, sobald die neue Rechtsverordnung nach dem KRITIS-Dachgesetz gilt. Das Bundesministerium des Innern gibt diesen Zeitpunkt im Bundesgesetzblatt bekannt (§ 12 BSI-Kritisverordnung). Prüfen Sie deshalb den aktuellen Stand, bevor Sie sich auf den Schwellenwert stützen.
Für Betreiber kritischer Anlagen gilt laut BSI ein Nachweiszyklus von drei Jahren. Sie müssen Nachweise auch ohne Aufforderung erbringen.
Der B3S „Medizinische Versorgung“
Die Deutsche Krankenhausgesellschaft (DKG) gibt den branchenspezifischen Sicherheitsstandard „Medizinische Versorgung“ heraus, kurz B3S. Laut Titelblatt der Version 1.3.1 hat das BSI seine Eignung am 3. November 2025 für drei Jahre festgestellt. Auf einen solchen Standard verweist § 391 Abs. 4 SGB V.
Der B3S behandelt unter anderem diese Themen in eigenen Abschnitten:
- Risikomanagement in der Informationssicherheit
- betriebliches Kontinuitätsmanagement und Asset Management, also die Übersicht über alle Systeme und Geräte
- Vorfallerkennung und -behandlung
- Lieferanten, Dienstleister und Dritte
- Netztrennung und Segmentierung, Absicherung von Fernzugriffen, Härtung von Systemen
- Schutz vor Schadsoftware, Identitäts- und Rechtemanagement, sichere Anmeldung
Als relevante Technik nennt der Standard neben Informations- und Kommunikationstechnik ausdrücklich Versorgungstechnik und Medizintechnik.
Datenschutz: Gesundheitsdaten sind besonders geschützt
Gesundheitsdaten gehören nach Artikel 9 Absatz 1 DSGVO zu den besonderen Kategorien personenbezogener Daten. Ihre Verarbeitung ist nur unter den dort und im Bundesdatenschutzgesetz genannten Voraussetzungen erlaubt. Wird der Schutz personenbezogener Daten verletzt, ist das unverzüglich und möglichst binnen 72 Stunden der Aufsichtsbehörde zu melden, außer die Verletzung führt voraussichtlich nicht zu einem Risiko für die Betroffenen (Artikel 33 DSGVO). Diese Meldung kommt zu einer Meldung nach § 32 BSIG hinzu, sie ersetzt sie nicht. Wie Sie beide Meldewege vorbereiten, beschreibt unser Beitrag zum Incident-Response-Plan. Wie Sie die Kommunikation nach innen und außen vorbereiten, beschreibt unser Beitrag Krisenkommunikation bei Cyberangriffen.
Womit Sie in der Praxis beginnen
Aus den Regelwerken ergibt sich eine sinnvolle Reihenfolge. Wir empfehlen:
- Einordnung klären: Welche Regeln gelten für Ihr Haus? Halten Sie Fallzahlen, Größe und das Ergebnis der Prüfung schriftlich fest und lassen Sie es rechtlich bestätigen.
- Bestand aufnehmen: Erfassen Sie neben Servern und Arbeitsplätzen auch Medizintechnik, Versorgungstechnik und die Zugänge von Herstellern für die Fernwartung.
- Standard wählen: Entscheiden Sie, ob Sie den B3S anwenden. Er gibt eine Struktur vor, an der Sie Lücken messen können.
- Netz und Zugänge ordnen: Prüfen Sie, welche Systeme miteinander sprechen müssen, und trennen Sie den Rest. Legen Sie fest, wer von außen worauf zugreifen darf.
- Ausfall planen: Klären Sie, wie die Versorgung weiterläuft, wenn zentrale Systeme ausfallen, und üben Sie das.
- Beschäftigte einbinden: Planen Sie die verpflichtenden Sensibilisierungsmaßnahmen nach § 391 Abs. 2 SGB V fest ein.
- Meldewege festlegen: Wer bewertet einen Vorfall, wer meldet an BSI und Datenschutzaufsicht, wer vertritt?
Wie wir Sie unterstützen können
Welche Regeln für Ihr Haus gelten, gehört in die rechtliche Prüfung. Bei technischen Bausteinen können wir unterstützen. Mit einem Security-Check nehmen wir den Stand Ihrer IT-Sicherheit auf. Wie Sie Schwachstellen systematisch finden und bewerten, lesen Sie in unserem Beitrag zum Vulnerability Assessment. Auf unserer Seite NIS2 und Risikomanagement beschreiben wir, wie wir bei Risikomanagement und NIS2-Pflichten vorgehen. Wie sich Angriffe auf Server und Arbeitsplätze früher erkennen lassen, zeigt unsere Seite zu Managed Security und MDR.
Sprechen Sie mit uns
Sie möchten klären, wo Ihre Einrichtung steht? Wir arbeiten von Idar-Oberstein aus für Organisationen in Rheinland-Pfalz und Hessen; im Raum Darmstadt arbeiten wir mit einem Partnersystemhaus zusammen. Nehmen Sie Kontakt mit uns auf, und wir besprechen Ihre Fragen in einem ersten Gespräch.