NIS2 im Krankenhaus: die zehn Mindestmaßnahmen nach § 30 BSIG, und was davon schon da ist

Wer als Klinik zum ersten Mal § 30 BSIG liest, sieht vor allem eine Liste: zehn Nummern, jede für sich ein Fachgebiet. Der naheliegende Reflex ist, zehn Projekte daraus zu machen. Das ist fast nie nötig. Zu den meisten Punkten gibt es im Haus schon etwas, aus dem B3S, aus dem Datenschutz, aus der Notfallplanung. Was fehlt, ist die Zuordnung. Und der Nachweis.

Was § 30 BSIG eigentlich verlangt

Absatz 1 verpflichtet besonders wichtige und wichtige Einrichtungen zu „geeigneten, verhältnismäßigen und wirksamen technischen und organisatorischen Maßnahmen“. Zwei Stellen darin sind für ein Krankenhaus entscheidend.

Erstens die Verhältnismäßigkeit. Das Gesetz nennt die Maßstäbe selbst: das Ausmaß der Risikoexposition, die Größe der Einrichtung, die Umsetzungskosten sowie Eintrittswahrscheinlichkeit und Schwere von Sicherheitsvorfällen. Eine Fachklinik mit 150 Betten muss nicht dasselbe aufbauen wie ein Maximalversorger. Sie muss aber begründen können, warum sie es so macht, wie sie es macht.

Zweitens der letzte Satz des Absatzes: Die Einhaltung ist durch die Einrichtung zu dokumentieren. Eine Maßnahme, die es gibt, die aber niemand vorlegen kann, hilft in einer Prüfung wenig.

Absatz 2 nennt dann den Mindestumfang. Die Maßnahmen sollen dem Stand der Technik entsprechen, einschlägige Normen berücksichtigen und müssen auf einem gefahrenübergreifenden Ansatz beruhen. Und sie müssen „zumindest“ zehn Bereiche umfassen.

Die zehn Punkte im Klinikalltag

1. Risikoanalyse und Sicherheitskonzepte. Das ist der Kern eines ISMS: wissen, welche Prozesse und Systeme kritisch sind, und bewusst entscheiden, wie mit den Risiken umgegangen wird. Häufig vorhanden: in Häusern, die den B3S umsetzen, eine Risikoanalyse daraus, und in jedem Haus das Verarbeitungsverzeichnis aus dem Datenschutz. Wie man ohne Papierberg startet, steht in ISMS einführen: die ersten 90 Tage in einer Klinik.

2. Bewältigung von Sicherheitsvorfällen. Wer merkt einen Vorfall, wer entscheidet, wer meldet? Hier hängt die Meldepflicht mit dran, und die Uhr läuft ab Kenntnis. Details in Meldepflicht in 24 Stunden.

3. Aufrechterhaltung des Betriebs. Das Gesetz nennt ausdrücklich Backup-Management, Wiederherstellung nach einem Notfall und Krisenmanagement. Im Krankenhaus ist das die Frage, wie lange die Station ohne System auskommt. Siehe BCM im Krankenhaus nach BSI 200-4.

4. Sicherheit der Lieferkette. Gemeint sind die Beziehungen zu unmittelbaren Anbietern und Diensteanbietern. Im Klinikalltag: KIS-Hersteller, Laborverbund, Abrechnung, Fernwartung. Der Anfang ist eine Liste, beschrieben in Welcher Dienstleister hält eigentlich Ihre Patientendaten?

5. Sicherheit bei Erwerb, Entwicklung und Wartung. Eingeschlossen ist das Management von Schwachstellen. In der Klinik betrifft das besonders die Medizintechnik, wo nicht jedes Gerät gepatcht werden darf. Mehr in Das Medizingerät im Netz.

6. Bewertung der Wirksamkeit. Der Punkt, der am häufigsten leer bleibt. Gefragt ist nicht, ob es Maßnahmen gibt, sondern woran man erkennt, dass sie wirken: interne Audits, eine geübte Notfallübung, Kennzahlen, die jemand regelmäßig ansieht.

7. Schulungen und Sensibilisierung. Das Gesetz spricht von grundlegenden Schulungen und Sensibilisierungsmaßnahmen. Warum die jährliche Pflichtschulung dafür selten reicht, beschreiben wir im nächsten Beitrag.

8. Kryptographie. Ein Konzept, wo verschlüsselt wird und wo nicht: Datenübertragung zwischen Standorten, mobile Datenträger, E-Mail mit Befunden. Oft ist vieles umgesetzt, aber nirgends zusammengeschrieben.

9. Personal, Zugriffskontrolle, Verwaltung der Systeme. Eintritt, Wechsel und Austritt von Mitarbeitenden, Rechtevergabe, ein aktuelles Verzeichnis der Systeme. Ein Beispiel, an dem Prüfer gern ansetzen: der Notfallzugang im KIS, siehe Break-Glass-Zugänge.

10. Mehr-Faktor-Authentifizierung und gesicherte Kommunikation. Dazu gehören laut Gesetz auch gesicherte Sprach-, Video- und Textkommunikation und gegebenenfalls gesicherte Notfallkommunikation. Die praktische Frage: Wie spricht der Krisenstab miteinander, wenn Telefonanlage und Mail ausgefallen sind?

Wo es in der Praxis hakt

Selten an einem einzelnen Punkt. Meistens an drei Stellen, die quer liegen. Die Maßnahme gibt es, aber sie ist keinem der zehn Bereiche zugeordnet, und niemand weiß, dass sie für NIS2 zählt. Die Maßnahme ist beschrieben, aber nicht belegt: kein Datum, kein Protokoll, keine Unterschrift. Und Punkt 6, die Wirksamkeit, fehlt ganz, weil es dafür keine Abteilung gibt, die sich zuständig fühlt.

Die Geschäftsleitung ist nicht Zuschauer

§ 38 BSIG verpflichtet die Geschäftsleitung, die Maßnahmen nach § 30 umzusetzen und ihre Umsetzung zu überwachen. Zusätzlich muss sie regelmäßig an Schulungen teilnehmen. Die Liste der zehn Punkte ist deshalb auch ein gutes Format für die Geschäftsführung: eine Seite, zehn Zeilen, ein Stand. Was eine Verletzung dieser Pflichten für die Haftung bedeutet, steht auf unserer Seite NIS2-Haftungsfalle.

Womit Sie diese Woche anfangen können

Nehmen Sie die zehn Punkte als Zeilen einer Tabelle und legen Sie drei Spalten daneben: Was haben wir? · Wo liegt der Nachweis? · Wer ist verantwortlich? Setzen Sie sich einen Nachmittag mit Informationssicherheit, IT-Leitung, Medizintechnik und Datenschutz zusammen und füllen Sie sie aus.

Am Ende steht keine Richtlinie, sondern eine Lückenliste. Sie zeigt, wo schon viel da ist, und sie zeigt ehrlich, wo nicht. Damit können Sie planen, und damit können Sie der Geschäftsführung berichten.

Wenn Sie die Tabelle einmal gegen einen zweiten Blick halten wollen: Sprechen Sie uns an.