BCM im Krankenhaus nach BSI 200-4: der Notfallplan, den die Aufsicht sehen will

Jedes Krankenhaus hat einen Notfallplan. Er hängt meist im Katastrophenschutzordner, behandelt Massenanfall, Brand und Stromausfall — und ist an dem Tag, an dem das KIS ausfällt, keine Hilfe. Seit § 30 BSIG ist Business Continuity keine Kür mehr, sondern eine Pflicht mit Nachweis. Was das konkret bedeutet, und wo Sie anfangen.

Was BSI 200-4 überhaupt verlangt

Der BSI-Standard 200-4 löst den alten 100-4 ab und beschreibt Business Continuity Management in drei Ausbaustufen: Reaktiv-BCMS, Aufbau-BCMS, Standard-BCMS. Das ist die wichtigste und am häufigsten übersehene Eigenschaft des Standards — er verlangt nicht von jedem Haus dasselbe Niveau.

Für ein Krankenhaus, das gerade erst anfängt, ist die Reaktivstufe der richtige Einstieg: eine belastbare Übersicht der kritischen Prozesse, für jeden davon ein Wiederanlaufplan, und eine Alarmierung, die auch nachts um drei funktioniert. Das ist in Wochen machbar. Die Vollausbaustufe mit Business-Impact-Analyse über alle Prozesse, Übungsplan und Kennzahlenwerk ist ein Jahresprojekt — und niemand verlangt, dass Sie dort beginnen.

Was der Standard dagegen in jeder Stufe verlangt: dass die Entscheidung, welche Stufe Sie fahren, dokumentiert und begründet ist. Eine Aufsicht akzeptiert eine Reaktivstufe. Sie akzeptiert nicht, dass niemand sagen kann, welche Stufe gemeint war.

Die vier Prozesse, mit denen jede Klinik anfängt

Die Versuchung ist groß, mit einer vollständigen Prozesslandkarte zu beginnen. Tun Sie das nicht. In der Praxis tragen vier Prozesse den Betrieb, und an ihnen entscheidet sich, ob eine Klinik einen Ausfall übersteht:

Die Notaufnahme, weil sie als einzige nicht absagen kann. Der OP, weil ein abgesagter Eingriff nicht nur wirtschaftlich weh tut, sondern in der Terminkette wochenlang nachhallt. Das Labor, weil ohne Befund keine Entscheidung fällt und der Rückstau innerhalb von Stunden entsteht. Und die Apotheke, weil die Medikationsverordnung ohne System auf Papier läuft — und Papier in der Medikation ein Risiko ist, kein Ausweg.

Für diese vier beantworten Sie drei Fragen: Wie lange darf der Prozess ohne IT laufen, bevor Patienten gefährdet sind? Welcher Ersatzweg greift in dieser Zeit? Und wer entscheidet, dass umgeschaltet wird? Die dritte Frage ist die, an der es in Übungen scheitert.

Wie lange ein Ausfall dauern darf

Die Wiederanlaufzeit ist die Zahl, um die die meisten Diskussionen kreisen — und meistens werden sie falsch geführt. Gefragt wird: „Wie schnell kriegen wir das System wieder hoch?“ Das ist eine IT-Frage. Die BCM-Frage lautet umgekehrt: „Wie lange kommt die Station ohne aus?“

Diese Zahl setzt nicht die IT, sondern die Fachabteilung. Eine Normalstation kommt eine Schicht lang mit Papier zurecht, wenn sie geübt hat. Die Intensivmedizin nicht, weil dort die Geräte selbst dokumentieren. Das Labor hat eine harte Grenze bei den Analysatoren, die ihre Aufträge aus dem LIS ziehen.

Wenn die geforderte Wiederanlaufzeit unter der technisch machbaren liegt, ist das kein Fehler in der Erhebung. Es ist genau das Ergebnis, das ein BCM liefern soll: eine benannte Lücke, die entweder geschlossen oder bewusst getragen wird. Beides ist zulässig. Nicht zulässig ist, sie nicht zu kennen.

Der Punkt, an dem BCM und Meldepflicht zusammenkommen

Ein erheblicher Sicherheitsvorfall ist nach § 32 BSIG innerhalb von 24 Stunden zu melden — als Erstmeldung, ohne dass die Ursache geklärt sein muss. Nach 72 Stunden folgt die Aktualisierung, nach einem Monat der Abschlussbericht.

Der praktische Zusammenhang zum BCM wird oft übersehen: Die 24 Stunden laufen ab Kenntnis, und Kenntnis entsteht in aller Regel in genau dem Moment, in dem der Notfallplan gezogen wird. Wer den Wiederanlauf organisiert, ohne dass jemand parallel die Meldeuhr startet, hat den zweiten Fehler schon gemacht, während er den ersten repariert.

Deshalb gehört in jeden Wiederanlaufplan eine Zeile, die nichts mit Technik zu tun hat: Wer prüft die Meldepflicht, und ab wann läuft die Frist? Ein Satz, der in der Übung fünf Sekunden kostet und im Ernstfall eine Ordnungswidrigkeit verhindert.

Was eine Prüfung tatsächlich sehen will

Nicht den Plan. Den Nachweis, dass er einmal benutzt wurde.

Ein Wiederanlaufplan, der nie geübt wurde, ist aus Sicht einer Prüfstelle ein Dokument und keine Maßnahme. Eine Übung muss dabei nicht der Vollausfall des Rechenzentrums sein. Eine Tischübung von zwei Stunden mit der Notaufnahme, protokolliert, mit drei benannten Erkenntnissen und einem Termin für deren Umsetzung, ist ein vollwertiger Nachweis — und deutlich mehr wert als ein hundertseitiges Handbuch ohne Datum.

Die Nachweiskette, die am Ende zählt, ist kurz: kritische Prozesse benannt, Wiederanlaufzeiten von der Fachseite gesetzt, Pläne vorhanden, mindestens einmal geübt, Erkenntnisse eingearbeitet. Fünf Punkte. Wer sie belegen kann, besteht diesen Teil.

Womit Sie diese Woche anfangen können

Nehmen Sie die vier Prozesse und fragen Sie je einen Verantwortlichen aus der Fachabteilung — nicht aus der IT — nach der Zeitspanne, die er ohne System überbrücken kann. Vier Gespräche à zwanzig Minuten.

Das Ergebnis ist eine Tabelle mit vier Zeilen. Sie ist der Anfang jeder Business-Impact-Analyse, sie ist in einer Prüfung vorzeigbar, und sie sagt Ihnen präziser als jedes Werkzeug, wo Ihr eigentliches Risiko liegt.

Wenn Sie darüber sprechen wollen, wie sich das mit den übrigen NIS2-Pflichten zusammenführen lässt, ohne dass drei Projekte parallel laufen: darüber sprechen wir gern.

Weiterführend: B3S im Krankenhaus: was der Standard verlangt · Das Medizingerät im Netz: NIS2 für die Medizintechnik · ISMS einführen: die ersten 90 Tage in einer Klinik