Herausforderungen der medizinischen Informationssicherheit in Kliniken und Krankenhäusern
Herausforderungen der medizinischen Informationssicherheit in Kliniken und Krankenhäusern
Seit sechs Jahren sieht sich das Gesundheitssystem mit einer kontinuierlichen Verschärfung der Anforderungen an Cyber- und Informationssicherheit konfrontiert. Die derzeitige Bundesregierung hat die aktuelle geopolitische Lage zum Anlass genommen, die Krisenfestigkeit der zivil-stationären Gesundheitsversorgung per Gesetz zu stärken und die Anforderungen an die stationäre Gesundheitsversorgung noch weiter zu erhöhen. Ein aktueller Referentenentwurf zum „Gesundheitssicherstellungsgesetz“ soll noch dieses Jahr vorgelegt werden. Dabei hat eine DKI-Studie aus dem Jahr 2025 eklatante Mängel in diesem Bereich aufzeigen können.
Die Finanzierungsgrundlage für Kliniken und Krankenhäuser hat sich seit dem KHZG nicht verbessert. Die Kassen sind nach wie vor leer. Die DKI-Studie zur Resilienz im Bereich stationäre Gesundheitsversorgung liefert jedoch valide Zahlen zu der Frage, was eine Stärkung der Resilienz von Kliniken und Krankenhäusern denn eigentlich kosten würde. So bleibt also die Hoffnung, dass das Gesundheitsministerium unter Ministerin Warken, im Rahmen der Erstellung des Referentenentwurfs zum „Gesundheitssicherstellungsgesetz“ auch die Frage der Bereitstellung finanzieller Mittel für Kliniken und Krankenhäuser ausreichend beachtet.
Stichdaten relevanter Vorgaben mit Bezug zur Informationssicherheit in der medizinischen Versorgung
Aufgrund der im BSIG vorgegebenen Schwellenwerte sind die meisten Kliniken und Krankenhäuser nun als „besonders wichtige“ Einrichtungen eingestuft. Das bedeutet für die meisten Krankenhäuser und Kliniken auf absehbare Zeit neben der Einführung technischer Maßnahmen, wie einer Multi-Faktor-Authentifizierung oder der Einrichtung eines Systems zur Angriffserkennung auch den Aufbau eines Notfall- bzw. Krisenmanagements sowie eines Risikomanagements.
Nachdem der §391 SGB V bereits indirekte Anforderungen an ein Risikomanagement über den Verweis auf den branchenspezifischen Sicherheitsstandard „medizinischen Versorgung“ des BSI eingebracht hat, so fordert Paragraph §30 des BSIG nun gezielt den Aufbau von Konzepten zur Risikoanalyse sowie Konzepten zur Bewertung der Wirksamkeit von Risikomanagementmaßnahmen mit Bezug auf die Informationssicherheit in Krankenhäuser und Kliniken. Der B3S der medizinischen Versorgung liefert hier zwar eine mögliche Grundlage, verweist aber letztendlich auch nur auf die die führenden Normen in diesem Bereich, der DIN EN ISO/IEC 27001 sowie der DIN EN IEC 80001-1, sodass sich Kliniken und Krankenhäuser am Ende an diesen beiden Standards messen lassen müssen.
| Relevante Verordnungen, Gesetze, Standards & Normen für die medizinische Informationssicherheit | Zusammenfassung des Dokumenteninhalts |
| § 391 SGB V IT-Sicherheit in Krankenhäusern | Gesetzliche Gesetzliche Vorgaben zur Gewährleistung der Informationssicherheit die in ihrer aktualisierten Form auch einen Bezug zwischen den Investitionskosten und dem zu erwartenden Schaden erstellt. Der nach §30 Absatz 8 des BSI-Gesetz freigegebene branchenspezifische Standard für die medizinische Versorgung wird hier ausdrücklich als Referenz erwähnt. |
| B3S-Medizinische Versorgung | Der Branchenstandard stellt einen Umsetzungsleitfaden dar um insbesondere die Umsetzung des § 30 BSI-Gesetz zu gewährleisten. |
| BSIG | Die nationale Regelung zur Umsetzung der NIS-2 EU-Richtlinie 2022/2554. |
| BSI-Kritisverordnung | Bildet die Schwellenwerte ab und definiert ab wann eine Klinik oder ein Krankenhaus als kritische Infrastruktur gilt. |
| DIN EN 14971 (abgeleitet) | Anwendung des Risikomanagements auf Medizinprodukte (einschließlich Software als Medizinprodukt) welche Terminologien sowie Grundsätze für einen Risikomanagement Prozess für Hersteller festlegt. |
| DIN EN IEC 80001-1 | Macht Vorgaben zum Risikomanagement für IT-Netze, welche Medizinprodukte enthalten. Durch einen Bezug auf das Risikomanagement der Hersteller leitet sich hier die DIN EN 14971 ab. |
| DIN EN ISO 27799 | Die DIN EN ISO/IEC 27001 Ergänzung zum Thema medizinische Informatik, welche sich vor allem damit beschäftigt, wie Vertraulichkeit, Integrität und Verfügbarkeit personenbezogener Gesundheitsdaten am besten geschützt werden können. |
| DIN EN ISO/IEC 27001 | Standardwerk zum Aufbau eines Informationssicherheits-Managementsystem (ISMS). |
| DIN EN ISO/IEC 27002 | Implementation Guideline für den Annex A der 27001. |
| EU-Verordnung 2017/745 (Medical Device Regulation) | Erhält durch die Definition von „Systemen und Behandlungseinheiten“, deren Verwendungszweck und Anforderungen an die individuellen Bestandteile, eine Relevanz für die Informationssicherheit in medizinischen IT-Netzen und stellt die Verknüpfung zur MPBetreibV sowie der DIN EN IEC 80001-1 dar. |
| MPBetreibV (Medizinprodukte Betreiberverordnung) | Gesetzliche Vorgaben für den Betrieb von Medizinprodukten, welche aktive Medizinprodukte (Medizingeräte) miteinschließt.. |
Relevante Verordnungen, Gesetze, Standards & Normen für die Medizinische Informationssicherheit
Das Management von Risiken im Bereich IT, Medizintechnik und Informationssicherheit sind bei weitem nicht die einzigen Risikomanagement-Disziplinen mit denen sich ein Krankenhaus konfrontiert sieht. Neben dem klinischen Risikomanagement sollte auch ein betriebliches Risikomanagement vorhanden sein. Hier bietet sich für Kliniken und Krankenhäuser eine große Chance, wenn sie Konzepte sowie Techniken des Risikomanagements aufeinander abstimmen und so Arbeitsaufwände minimieren oder gar zusammenlegen. Neben der prozessualen Vereinheitlichung wie durch die Nutzung einheitlicher Risikomatrizen bietet sich auch eine inhaltliche Verknüpfung einzelner Disziplinen an.
Zwar sieht das neue BSIG für den Gesundheitsbereich eine „weiche“ Nachweisfrist von fünf Jahren vor, allerdings kann diese in Sonderfällen, aufgehoben werden, sodass Kliniken und Krankenhäuser zu einem weitaus früheren Zeitpunkt in die Nachweispflicht genommen werden. Entsprechend drohen im Ernstfall schon jetzt hohe Bußgeldzahlungen, sofern Verstöße gegen das BSIG aufgedeckt werden. Aus Sicht von Krankenhäusern oder Kliniken müssen zudem die Anforderungen aus § 391 SGB V schon jetzt zwingend umgesetzt werden, um einen entsprechenden Gesetzesverstoß zu vermeiden.
Gemessen an dieser starken Schraubzwinge, in der Kliniken und Krankenhäuser sich aktuell befinden, sollten stationäre Gesundheitsversorger spätestens jetzt mit dem Aufbau eines Managementsystems zu Wahrung der Informationssicherheit inklusive strukturiertem Risikomanagement beginnen.
Wir haben mit unseren Kunden gute Erfahrungen damit gemacht in genau dieser Situation eine Standortbestimmung durchzuführen und daraus einen Maßnahmenplan zu erarbeiten, der individuell auf Sie zugeschnitten ist.
Nehmen Sie doch gerne Kontakt für ein erstes, unverbindliches Gespräch auf.
TTS trax ist das smarte Tool für den effizienten ISMS Betrieb und ein intelligentes Risikomanagement im Gesundheitssektor.
TTS trax lässt sich flexibel konfigurieren und ermöglicht so eine einfache Anpassung an Ihre individuellen Bedürfnisse und Vorgaben.
Für Kunden aus dem medizinischen Umfeld liefern wir auf Wunsch einen passenden vorkonfigurierten Mandanten nach DIN EN 80001-1 und B3S-Medizinische Versorgung aus.
Büro Berlin
Ihr Ansprechpartner:
Dr. Jörg Cordsen
Telefon +49 30 3980629 0
Hardenbergstraße 12
10623 Berlin
Büro Essen
Ihr Ansprechpartner:
Dr. Michael Gehrke
Telefon +49 201 724579 0
Alfredstraße 57-65
45130 Essen
Standort Hannover
Ihr Ansprechpartner:
Dr. Stefan Ransom
Telefon +49 (0)170 8283981
