Gesundheit
Cybersicherheit für Krankenhäuser, Labore und Gesundheitsdienstleister nach NIS2 und B3S
Ist Ihr Unternehmen betroffen?
- Krankenhäuser mit mehr als 30.000 vollstationären Fällen/Jahr (KRITIS-Schwellenwert) — zugleich NIS2-pflichtig bei >50 Mitarbeitern oder >10 Mio. EUR Umsatz
- Laboratorien und diagnostische Einrichtungen ab 50 Mitarbeitern oder 10 Mio. EUR Jahresumsatz
- Pharmahersteller und Medizinprodukteunternehmen ab den NIS2UmsuCG-Schwellenwerten
- Ambulante Gesundheitsdienstleister mit digitaler Patientenverwaltung und Vernetzung zu Krankenhäusern
- Betreiber kritischer Gesundheitsinfrastruktur (eHealth-Plattformen, Telematikinfrastruktur, Ferndiagnose-Dienste)
NIS2-Anforderungen nach Art. 21
- 01.
Risikoanalyse und branchenspezifischer Sicherheitsstandard
Krankenhäuser können NIS2-Compliance über ein Audit nach dem Branchenspezifischen Sicherheitsstandard v3 (B3S v3) nachweisen, den die Deutsche Krankenhausgesellschaft (DKG) gemeinsam mit dem BSI entwickelt hat. NIS2-Compliance kann über ein B3S-v3-Audit nachgewiesen werden — das BSI erkennt dieses Audit als gleichwertige Erfüllungsform an.
- 02.
Schutz von Patientendaten (DSGVO und DSFA)
Gesundheitseinrichtungen verarbeiten besonders schützenswerte Daten nach Art. 9 DSGVO. Die NIS2-Anforderungen an Vertraulichkeit und Integrität ergänzen die DSGVO-Pflichten — eine Datenschutz-Folgenabschätzung (DSFA) für klinische Informationssysteme ist obligatorisch.
- 03.
IT/OT-Sicherheit und Medizingeräteabsicherung
Vernetzte Medizingeräte (Infusionspumpen, Bildgebungssysteme, Patientenmonitore) laufen häufig auf veralteter Firmware ohne Patch-Management. NIS2 verlangt ein Asset-Inventar und risikobasiertes Patch-Management auch für diese IT/OT-Grenzgeräte.
- 04.
Aufrechterhaltung klinischer Systeme und Notfallbetrieb
Krankenhäuser müssen Notfallbetriebspläne für den Ausfall von KIS (Klinischen Informationssystemen), PACS (Bildarchiven) und Laborsystemen vorhalten — inklusive analoger Fallback-Verfahren, um den Patientenbetrieb ohne IT aufrechtzuerhalten.
- 05.
Meldepflicht sicherheitsrelevanter Vorfälle an BSI
Krankenhäuser und andere Gesundheitseinrichtungen müssen erhebliche Sicherheitsvorfälle innerhalb von 24 Stunden als Frühwarnung und innerhalb von 72 Stunden mit vollständigem Bericht an das BSI melden.
- 06.
Lieferkettensicherheit für Medizintechnik und Softwareanbieter
Hersteller von Medizinprodukten und klinischer Software gelten als Lieferanten im NIS2-Sinne. Gesundheitseinrichtungen müssen Sicherheitsanforderungen vertraglich einfordern und den Patch-Status von Drittanbietern überwachen.
- 07.
Zugriffsschutz und Identitätsmanagement für klinische Systeme
Multi-Faktor-Authentifizierung für alle Fernzugriffe auf klinische Systeme (insbesondere Telemedizin-Plattformen und Remote-Wartung durch Medizintechnikunternehmen) ist nach NIS2 Art. 21 Abs. 2 Buchst. i verpflichtend.
Typische Bedrohungsszenarien
Ransomware gegen Krankenhäuser
Erpressungssoftware verschlüsselt klinische Informationssysteme, PACS und Labordaten — mit direktem Risiko für die Patientenversorgung. Betriebe müssen auf analoge Abläufe umschalten, Notaufnahmen werden umgeleitet.
Ransomware Düsseldorfer Universitätsklinikum (Deutschland, 2020)Großflächiger Angriff auf nationale Gesundheitssysteme
Staatlich motivierte oder opportunistische Angriffe auf veraltete Betriebssysteme in vernetzten Kliniken führen zu flächendeckenden Ausfällen und Operationsabsagen.
WannaCry NHS-Angriff (UK, 2017)Gezielter Angriff auf Klinik-IT während der COVID-Pandemie
Angreifer nutzen erhöhte Systemlast und neu eingerichtete Fernzugänge für Remote-Personal aus, um in klinische Netzwerke einzudringen und Systeme zu sabotieren.
Angriff auf Universitätsklinikum Brno (Tschechien, 2020)Maßnahmen-Checkliste
- Segmentierung medizinischer Netzwerke — klinische IT (KIS, PACS, Labor) vom administrativen und Internet-Netz trennen
- Risikobasiertes Patch-Management für Medizingeräte inkl. Schwachstellen-Scanning vernetzter Geräte
- Vollständiges Backup klinischer Informationssysteme mit täglicher Sicherung und regelmäßigen Wiederherstellungstests
- Notfallbetriebsplan für den IT-Ausfall — dokumentierte Analogverfahren für Arzneimittelgabe, OP-Planung und Laborbefunde
- Multi-Faktor-Authentifizierung für alle Fernzugriffe auf klinische Systeme und Telemedizin-Plattformen
- Schulung des medizinischen Personals zu Social Engineering, Phishing und sicherer Nutzung klinischer IT
- Incident-Response-Plan speziell für Krankenhausbetrieb mit definierten Kommunikationswegen zu BSI und zuständiger Aufsichtsbehörde
- Asset-Inventar für alle vernetzten Medizingeräte mit Firmware-Version, Patch-Status und Netzwerkverbindungen
- Lieferantenbewertung für Medizintechnik-Software und klinische Drittanbieter nach NIS2-Sicherheitskriterien
- Penetrationstest klinischer Kerninfrastruktur mindestens jährlich — inkl. OT-Bereiche mit vernetzten Medizingeräten
Verwandte Inhalte
NIS2-Compliance für Gesundheit?
Kontaktieren Sie uns für eine branchenspezifische Erstberatung. Wir kennen die Anforderungen Ihres Sektors.
Beratung anfragen