Das Medizingerät im Netz: was NIS2 für die Medizintechnik verlangt

In der Diskussion um NIS2 geht es fast immer um Server, Netze und Zugänge. Über das, was im Krankenhaus tatsächlich am Netz hängt, wird selten gesprochen: den Ultraschall im Untersuchungszimmer, das Beatmungsgerät auf der Intensivstation, den Infusomaten, den Röntgengenerator, das PACS-Archiv. Sie alle sind vernetzt, viele davon dauerhaft, und die wenigsten stehen in einem Inventar, das die IT kennt.

Warum Medizintechnik im ISMS fehlt — und warum das kein Versäumnis ist

Die Trennung hat einen guten Grund. Medizingeräte unterliegen dem Medizinprodukterecht. Wer an ihnen etwas ändert, riskiert die Zulassung. Ein Patch, den die IT auf jedem Arbeitsplatz in einer Nacht ausrollt, braucht beim Medizingerät die Freigabe des Herstellers — und die kommt manchmal Monate später, manchmal gar nicht.

Deshalb ist Medizintechnik historisch eine eigene Abteilung mit eigenen Regeln. Das war lange richtig. Es funktioniert nur nicht mehr, seit dieselben Geräte im selben Netz stehen wie die Verwaltung.

Was § 30 BSIG konkret verlangt

Das Gesetz spricht nicht von Medizintechnik. Es spricht von den Systemen, die für die Erbringung der kritischen Dienstleistung erforderlich sind. Für ein Krankenhaus heißt das: alles, ohne das die Versorgung stehenbleibt. Ein Beatmungsgerät gehört unzweifelhaft dazu.

Daraus folgen vier Pflichten, die für Medizingeräte genauso gelten wie für Server:

· Sie müssen wissen, welche Geräte es gibt und welche Rolle sie in der Versorgung spielen. · Sie müssen die Risiken bewerten, die von ihnen und für sie ausgehen. · Sie müssen Maßnahmen ergreifen — und wenn ein Patch nicht möglich ist, ist die Maßnahme eine andere: Segmentierung, Zugriffsbeschränkung, Überwachung. · Sie müssen Vorfälle melden können, auch wenn sie am Gerät auftreten.

Der Punkt, an dem es im Alltag scheitert: die Zuständigkeit

Fragen Sie in einem Haus, wer für die Informationssicherheit des CT zuständig ist, bekommen Sie drei Antworten. Die IT sagt, das Gerät gehört der Medizintechnik. Die Medizintechnik sagt, das Netz gehört der IT. Der Hersteller sagt, für Änderungen sei er zuständig, für den Betrieb aber das Haus.

Alle drei haben recht — und genau deshalb passiert nichts. Was hilft, ist keine neue Richtlinie, sondern eine Zuordnung je Gerätegruppe: Wer entscheidet über Netzanbindung, wer über Softwarestände, wer über den Fernzugang des Herstellers. Drei Spalten, eine Tabelle, einmal entschieden.

Der Fernwartungszugang — die Schnittstelle, die niemandem gehört

Fast jedes größere Medizingerät hat einen Fernwartungszugang des Herstellers. Er ist vertraglich vereinbart, technisch meist dauerhaft offen und organisatorisch selten dokumentiert. Für eine Aufsichtsbehörde ist er das, was er ist: ein externer Zugang zu einem versorgungskritischen System.

Was zu tun ist, ist überschaubar und in wenigen Tagen erledigt: eine Liste aller Fernzugänge mit Hersteller, Zweck und Ansprechpartner; die Umstellung von dauerhaft offen auf auf Anforderung; und eine Protokollierung, die zeigt, wann wer verbunden war. Das ist kein Projekt. Das ist eine Woche Arbeit und beantwortet in der Prüfung eine ganze Fragenreihe.

Wie Medizintechnik und IT zusammenkommen, ohne dass eine Seite verliert

Der Ansatz, der in unseren Projekten trägt, hat drei Schritte:

1. Ein gemeinsames Inventar. Nicht zwei Listen, die man vergleicht, sondern eine, in der Medizintechnik und IT dieselben Geräte mit unterschiedlichen Feldern führen.
2. Eine Risikobewertung aus Versorgungssicht. Nicht „wie kritisch ist die Lücke“, sondern „was passiert mit dem Patienten, wenn dieses Gerät ausfällt oder falsche Werte liefert“.
3. Maßnahmen, die die Zulassung respektieren. Wo nicht gepatcht werden darf, wird abgeschottet. Das ist keine schlechtere Lösung, es ist die richtige.

Was das mit der Nachweiskette zu tun hat

Der Grund, warum dieser Teil in Prüfungen auffällt, ist nicht mangelnde Sicherheit. Es ist die fehlende Verbindung: Die Medizintechnik weiß, welche Geräte kritisch sind. Die IT weiß, welche Schwachstellen offen sind. Niemand führt beides zusammen — und damit fehlt genau die Kette, die ein ISMS nachweisen soll.

Wer Medizintechnik in dieselbe Nachweiskette holt wie den Rest, erfüllt nicht nur eine Anforderung. Er bekommt zum ersten Mal eine Antwort auf die Frage, die im Ernstfall gestellt wird: Welche Geräte sind betroffen, und was bedeutet das für die Versorgung?

Weiterführend: B3S im Krankenhaus: was der Standard verlangt · BCM im Krankenhaus nach BSI 200-4 · ISMS einführen: die ersten 90 Tage in einer Klinik