NIS2-Checkliste Gesundheit

Krankenhäuser und Gesundheitseinrichtungen sind besonders attraktive Angriffsziele, weil jeder IT-Ausfall unmittelbare Auswirkungen auf die Patientenversorgung hat. Vernetzte Medizingeräte, klinische Informationssysteme und externe Zugriffe durch Telemedizin erhöhen die Angriffsfläche erheblich. Der BSI-anerkannte B3S v3-Standard bietet Kliniken einen strukturierten Nachweis der NIS2-Compliance.

Ihre NIS2-Checkliste für Gesundheit

1. 1

   Registrieren Sie Ihre Einrichtung beim BSI über MELDEX

   Melden Sie Ihre Gesundheitseinrichtung beim BSI an und benennen Sie einen zuständigen Informationssicherheitsbeauftragten (ISB). Prüfen Sie parallel, ob Ihr Krankenhaus den KRITIS-Schwellenwert (30.000 vollstationäre Fälle/Jahr) überschreitet und damit zusätzlichen Pflichten unterliegt.

2. 2

   Erstellen Sie ein Asset-Inventar aller klinischen Systeme und Medizingeräte

   Erfassen Sie KIS, RIS, PACS, Laborsysteme und alle vernetzten Medizingeräte (Infusionspumpen, Patientenmonitore, Bildgebungssysteme) mit Firmware-Version, Betriebssystem, Netzwerkanbindung und Patch-Status. Dieses Inventar ist Voraussetzung für risikobasiertes Patch-Management.

3. 3

   Führen Sie eine B3S-v3-Gap-Analyse durch

   Beauftragen Sie einen akkreditierten Auditor mit einer Lückenanalyse gegenüber dem B3S v3-Standard. Identifizieren Sie Abweichungen in den Bereichen Asset-Management, Zugriffskontrolle, Kryptographie, physische Sicherheit und Incident Management.

4. 4

   Implementieren Sie Netzwerksegmentierung für Medizingeräte

   Trennen Sie klinische IT-Systeme (KIS, PACS, Labor) in separaten Netzwerksegmenten vom administrativen Netz und vom Internet. Vernetzte Medizingeräte erhalten eigene VLANs mit minimalen Kommunikationsberechtigungen und kontrolliertem Zugang zu klinischen Kernsystemen.

5. 5

   Definieren Sie Incident-Response-Verfahren mit Patientensicherheitspriorität

   Legen Sie Eskalationspfade fest, die explizit die Patientenversorgung im IT-Ausfall absichern: Entscheidungsbaum für Notbetrieb, manuelle Fallback-Verfahren für Arzneimittelgabe und OP-Planung, Kommunikationswege zu BSI (24h/72h-Meldepflicht) und zuständiger Aufsichtsbehörde.

6. 6

   Prüfen Sie die Lieferkette für Medizintechnik und klinische Software

   Fordern Sie von allen Medizintechnikherstellern und klinischen Software-Anbietern Nachweise zur Informationssicherheit (ISO 27001, IEC 62443). Überprüfen Sie Wartungsverträge auf definierte Patch-Lieferpflichten und sichere Fernzugriffsregelungen.

7. 7

   Erstellen Sie eine DSGVO-parallele Dokumentation für klinische Informationssysteme

   Führen Sie ein Verzeichnis von Verarbeitungstätigkeiten (VVT) nach Art. 30 DSGVO für alle klinischen Systeme. Führen Sie Datenschutz-Folgenabschätzungen (DSFA) für KIS, Telemedizin-Plattformen und gemeinsam genutzte Patientendatenbanken durch.

8. 8

   Schulen Sie medizinisches und IT-Personal zu Cyber-Bedrohungen

   Führen Sie mindestens jährlich Pflichtschulungen für alle Mitarbeiter mit Systemzugang durch. Trainieren Sie Phishing-Erkennung, sichere Nutzung klinischer Systeme und korrektes Verhalten bei Ransomware-Verdacht. Ergänzen Sie mit spezifischen OT-Schulungen für Medizintechnikverantwortliche.

9. 9

   Entwickeln Sie Business-Continuity-Pläne für den klinischen Betrieb

   Dokumentieren Sie manuelle Notfallverfahren für alle klinischen Kernprozesse: analoge Kurvenführung, handschriftliche Medikamentenanordnungen, telefonische Labor-Kommunikation. Testen Sie Notfallabläufe mindestens jährlich mit klinischem Führungspersonal.

10. 10

    Beauftragen Sie ein jährliches Compliance-Audit nach B3S v3

    Lassen Sie Ihren B3S-Umsetzungsstand jährlich durch einen akkreditierten Auditor überprüfen. Dokumentieren Sie Befunde, Maßnahmenpläne und Umsetzungsstand in einem Compliance-Register als Nachweis für das BSI und ggf. zuständige Landesbehörden.