B3S im Krankenhaus: was der Standard verlangt — und was Sie längst erfüllen

Wenn im Krankenhaus das Wort B3S fällt, kommt fast immer dieselbe Frage hinterher: Gilt der für uns, und was genau müssen wir jetzt tun? Beides lässt sich in wenigen Sätzen beantworten — nur steht die Antwort selten irgendwo, wo sie ein Betreiber findet. Dieser Beitrag ordnet den branchenspezifischen Sicherheitsstandard aus Sicht derer ein, die ihn erfüllen müssen: der IT-Leitung, dem Informationssicherheitsbeauftragten und der Geschäftsführung, die am Ende unterschreibt.

Für wen der B3S überhaupt gilt

Der branchenspezifische Sicherheitsstandard für die Gesundheitsversorgung im Krankenhaus — kurz B3S — wurde von der Deutschen Krankenhausgesellschaft erarbeitet und vom BSI als geeignet anerkannt. Verbindlich wird er dort, wo ein Haus als Kritische Infrastruktur gilt: ab 30.000 vollstationären Fällen im Jahr. Darunter ist er keine Pflicht — aber er ist auch dann der einzige Standard, der die Besonderheiten eines Krankenhauses tatsächlich abbildet.

Wichtig für die Einordnung: Der B3S ist kein zweites Regelwerk neben NIS2, sondern der branchenspezifische Weg, dessen Anforderungen zu erfüllen. Wer den B3S sauber umgesetzt hat, deckt einen großen Teil der Pflichten aus § 30 BSIG bereits ab. Die Lücken liegen vor allem in der Governance, in der Lieferkette und in der Dokumentation der Meldewege.

Die sieben Bereiche, um die es geht

Der Standard gliedert sich in Anforderungsbereiche, die im Klinikalltag ganz unterschiedlich schwer wiegen:

1. Informationssicherheitsmanagement — Rollen, Verantwortlichkeiten, Leitlinie, ein Prozess, der nicht nur auf dem Papier läuft.
2. Asset- und Konfigurationsmanagement — was steht im Haus, wer betreibt es, in welchem Zustand.
3. Risikomanagement — nicht die vollständige Matrix, sondern die Frage: was fällt aus, wenn dieses System steht.
4. Business Continuity und Notfallmanagement — Wiederanlauf, Ausweichverfahren, geübte Abläufe.
5. Technische Maßnahmen — Netzsegmentierung, Zugriffskontrolle, Protokollierung, Patchmanagement.
6. Personal und Awareness — Schulung, Meldewege, Umgang mit Fremdpersonal.
7. Lieferanten und Dienstleister — wer kommt von außen an welche Systeme, und was steht dazu im Vertrag.

Der Punkt, an dem Kliniken regelmäßig hängenbleiben, ist nicht Punkt 5. Es ist Punkt 2 — weil niemand vollständig sagen kann, was alles im Haus vernetzt ist. Und Punkt 7, weil die Verträge aus einer Zeit stammen, in der niemand nach Informationssicherheit gefragt hat.

Was Sie mit hoher Wahrscheinlichkeit schon haben

In fast jedem Haus, das wir prüfen, sind mehr Anforderungen erfüllt, als die Beteiligten annehmen — sie sind nur nicht als Nachweis aufbereitet:

· Ein Notfallhandbuch existiert, oft aus dem Katastrophenschutz. Es deckt Teile des Business-Continuity-Bereichs ab, wenn man es um die IT-Sicht ergänzt. · Zugriffskonzepte gibt es, weil das KIS sie erzwingt. Was fehlt, ist die regelmäßige Prüfung, wer sie noch braucht. · Die Medizintechnik führt eine Bestandsliste. Sie ist selten mit der IT-Inventarisierung zusammengeführt — aber sie ist da. · Schulungen laufen, meist über den Datenschutz. Der Nachweis, dass sie auch die Informationssicherheit abdecken, fehlt.

Der erste Schritt einer B3S-Umsetzung ist deshalb selten „bauen“, sondern „zusammentragen und benennen“.

Welche Nachweise die Prüfstelle tatsächlich sehen will

Der Nachweis erfolgt alle zwei Jahre gegenüber dem BSI. Geprüft wird nicht, ob ein Dokument existiert, sondern ob ein Prozess nachweislich läuft. Konkret verlangt die Prüfung:

· die Festlegung des Geltungsbereichs mit Begründung, warum genau diese Systeme darin sind · eine aktuelle Übersicht der kritischen Dienstleistungen und der Systeme, die sie tragen · die Risikobewertung mit dokumentierten Entscheidungen, auch dort, wo ein Risiko bewusst getragen wird · Nachweise über durchgeführte Maßnahmen, nicht über geplante · Protokolle aus dem laufenden Betrieb: Übungen, Vorfälle, Änderungen

Der häufigste Mangel ist nicht eine fehlende Maßnahme, sondern eine fehlende Kette: Es gibt ein Risiko, es gibt eine Maßnahme, aber nichts verbindet beides nachvollziehbar miteinander.

Wie lange das dauert — und woran es scheitert

Ein Haus mittlerer Größe, das bei null anfängt, braucht für die Erstumsetzung realistisch vier bis sechs Monate. Nicht, weil die Inhalte schwierig wären, sondern weil die Erhebung Termine mit Menschen erfordert, die Patienten versorgen.

Was den Zeitplan tatsächlich sprengt, ist fast immer eines von drei Dingen: Die Erhebung wird zu breit angelegt und läuft sich in der zweiten Woche fest. Es fehlt eine Person, die entscheiden darf, ob ein Risiko getragen wird. Oder die Dokumentation entsteht getrennt von der Arbeit und muss am Ende rekonstruiert werden.

Der pragmatische Einstieg

Wenn Sie diese Woche etwas tun wollen, dann das: Nehmen Sie Ihre fünf kritischsten Prozesse — Notaufnahme, OP, Labor, Radiologie, Apotheke — und schreiben Sie je Prozess auf, welche Systeme ihn tragen und wer sie betreibt. Eine Seite pro Prozess reicht.

Diese fünf Seiten sind der Kern jeder B3S-Umsetzung. Alles Weitere hängt daran: der Geltungsbereich, die Risikobewertung, der Notfallplan und die Frage, welcher Dienstleister eigentlich Zugriff hat.

Weiterführend: Das Medizingerät im Netz: NIS2 für die Medizintechnik · BCM im Krankenhaus nach BSI 200-4 · ISMS einführen: die ersten 90 Tage in einer Klinik