IT-Sicherheit im Krankenhaus umfasst alle organisatorischen und technischen Maßnahmen, die Ausfälle und Manipulationen der informationstechnischen Systeme einer Klinik verhindern oder begrenzen sollen. Geschützt werden die Schutzziele Verfügbarkeit, Integrität und Vertraulichkeit, von der Patientenaufnahme über Labor- und Medizintechniknetze bis zur Abrechnung. Rechtlich greifen zwei Ebenen ineinander: eine Grundpflicht im SGB V für jedes Krankenhaus und die Vorgaben des BSI-Gesetzes für größere Einrichtungen.
Grundpflicht nach § 391 SGB V
Nach § 391 SGB V treffen Krankenhäuser nach dem Stand der Technik angemessene Vorkehrungen für alle Systeme und Prozesse, die für die Funktionsfähigkeit des Hauses und den Schutz der Patientendaten maßgeblich sind. Ausdrücklich verlangt sind Maßnahmen zur Sensibilisierung der Beschäftigten, die sogenannte Security-Awareness (Abs. 2). Angemessen ist eine Vorkehrung, wenn ihr Aufwand nicht außer Verhältnis zu den Folgen eines Ausfalls steht (Abs. 3). Ein Weg zur Erfüllung ist ein branchenspezifischer Sicherheitsstandard, dessen Eignung das Bundesamt für Sicherheit in der Informationstechnik festgestellt hat (Abs. 4). Die Vorschrift gilt für jedes Haus, das nicht ohnehin als Betreiber einer kritischen Anlage Vorkehrungen nach dem BSI-Gesetz treffen muss (Abs. 5).
BSI-Gesetz seit der NIS-2-Umsetzung
Seit dem 6. Dezember 2025 gilt das BSI-Gesetz in der Fassung des NIS-2-Umsetzungsgesetzes. Krankenhäuser zählen als Erbringer von Gesundheitsdienstleistungen zu den Einrichtungsarten der Anlage 1. Nach § 28 BSIG sind sie ab 50 Beschäftigten oder bestimmten Umsatz- und Bilanzwerten wichtige Einrichtungen, ab 250 Beschäftigten oder höheren Finanzkennzahlen besonders wichtige Einrichtungen. Ein Haus mit mindestens 30.000 vollstationären Fällen im Jahr betreibt nach Anhang 5 der BSI-Kritisverordnung (Stand Oktober 2026) eine kritische Anlage und gilt damit ohne weitere Prüfung als besonders wichtige Einrichtung; so ordnet es auch das BSI ein.
- Registrierung beim BSI spätestens drei Monate nach Eintritt der Betroffenheit (§ 33 BSIG)
- Risikomanagement mit Mindestinhalten wie Notfall- und Krisenmanagement, Backup, Lieferkettensicherheit, Schulungen und Multi-Faktor-Authentifizierung, dokumentiert (§ 30)
- Meldung erheblicher Sicherheitsvorfälle: Erstmeldung binnen 24 Stunden, Meldung binnen 72 Stunden, Abschlussmeldung einen Monat danach (§ 32)
- Betreiber kritischer Anlagen: Nachweis durch Audits, Prüfungen oder Zertifizierungen alle drei Jahre (§ 39)
Von zugelassenen Krankenhäusern darf das BSI Nachweise nach § 61 Abs. 3 grundsätzlich frühestens fünf Jahre nach Inkrafttreten des Gesetzes anfordern; einen früheren Zeitpunkt kann eine Rechtsverordnung nach § 56 Abs. 5 bestimmen. Weitere Konkretisierungen sind über Rechtsverordnungen nach § 56, etwa zur Erheblichkeit von Sicherheitsvorfällen (Abs. 4), und über Festlegungen des BSI vorgesehen; soweit sie noch ausstehen, sind die Einzelheiten offen (Stand Oktober 2026).
Bedeutung für Klinikleitung und Budget
Mit dem neuen BSI-Gesetz wird Informationssicherheit ausdrücklich Leitungsaufgabe. § 38 BSIG verpflichtet Geschäftsleitungen, die Risikomanagementmaßnahmen umzusetzen, ihre Umsetzung zu überwachen und regelmäßig an Schulungen teilzunehmen; bei schuldhafter Pflichtverletzung haften sie der Einrichtung nach den Regeln des Gesellschaftsrechts. Das Thema rückt damit aus der IT-Abteilung in die Unternehmenssteuerung, und Auditergebnisse oder Übungsberichte werden Teil der Berichtswege zu Geschäftsführung und Aufsichtsgremien.
Finanziell hat der Krankenhauszukunftsfonds Investitionen angestoßen: Nach KHZG und § 14a Abs. 3 KHG waren mindestens 15 Prozent der gewährten Fördermittel für Informationssicherheit einzusetzen. Personal, Wartung, Audits und Übungen fallen dagegen dauerhaft im Betrieb an. Inhaltlich überschneidet sich das Thema mit dem klinischen Risikomanagement: Fällt das Krankenhausinformationssystem aus, sind Aufnahme, Medikation, Befundübermittlung und Dokumentation zugleich betroffen, und Ausfallkonzepte gehören in die Notfallplanung des ganzen Hauses.