ISO 27001 im Gesundheitswesen: Sicherheit schützt Patienten

Am 6. Dezember 2025 ist mit dem NIS2-Umsetzungsgesetz auch die Vorschrift zur IT-Sicherheit in Krankenhäusern neu gefasst worden. Sie steht heute in § 391 SGB V, nicht mehr in § 75c, und sie verpflichtet grundsätzlich jedes Krankenhaus, angemessene organisatorische und technische Vorkehrungen zu treffen. Nicht nur die großen, nicht nur die als kritische Infrastruktur eingestuften.

Warum ist ISO 27001 im Gesundheitswesen seit Dezember 2025 dringlicher geworden?

Weil zwei Pflichtenkreise gleichzeitig greifen. § 391 SGB V verlangt von Krankenhäusern Vorkehrungen, die Verfügbarkeit, Integrität und Vertraulichkeit der IT-Systeme, die Funktionsfähigkeit des Hauses und den Schutz der Patientendaten sichern, ausdrücklich einschließlich verpflichtender Schulungen für das Personal. Häuser, die schon als Betreiber kritischer Infrastrukturen unter das BSI-Gesetz fallen, sind von dieser Vorschrift ausgenommen, weil für sie das strengere Regime gilt.

Der Maßstab ist dabei explizit Verhältnismäßigkeit: Vorkehrungen sind angemessen, wenn der erforderliche Aufwand nicht außer Verhältnis zu den Folgen eines Ausfalls und zum Schutzbedarf der verarbeiteten Patienteninformationen steht. Genau diese Logik ist die Logik eines ISMS. Und der Nachweis lässt sich über einen branchenspezifischen Sicherheitsstandard führen, dessen Eignung das BSI nach § 30 Abs. 8 BSIG feststellt.

Wen verpflichtet ISO 27001 im Gesundheitswesen, und ab welcher Größe?

Die Schwelle für Krankenhäuser als kritische Infrastruktur liegt bei 30.000 vollstationären Fällen pro Jahr. Wer sie überschreitet, gilt als KRITIS-Betreiber und damit automatisch als besonders wichtige Einrichtung, unabhängig von Mitarbeiterzahl oder Umsatz.

Der Sektor ist aber breiter erfasst, als viele annehmen. Unter NIS2 fallen neben Erbringern von Gesundheitsdienstleistungen auch EU-Referenzlabore, Forschungs- und Herstellungsbetriebe im Pharmabereich sowie Hersteller bestimmter kritischer Medizinprodukte. Für sie gelten die allgemeinen Größenkriterien: besonders wichtige Einrichtung ab 250 Beschäftigten oder mehr als 50 Millionen Euro Umsatz und 43 Millionen Euro Bilanzsumme, wichtige Einrichtung ab 50 Beschäftigten oder jeweils mehr als 10 Millionen Euro. Registrierung beim BSI, Meldung erheblicher Vorfälle und Nachweisführung kommen jeweils dazu.

Welche Risiken adressiert ISO 27001 im Gesundheitswesen konkret?

Gesundheitsdaten sind nach Art. 9 DSGVO eine besondere Kategorie personenbezogener Daten, und sie sind aus Sicht von Angreifern gleich doppelt wertvoll: erpressbar und langlebig. Eine Diagnose lässt sich nicht zurückrufen wie eine Kreditkartennummer.

Die Bitkom-Studie „Wirtschaftsschutz 2025“ bilanziert branchenübergreifend 289,2 Milliarden Euro Schaden, 87 Prozent der Unternehmen waren betroffen, 59 Prozent sehen ihre Existenz bedroht. Ransomware traf 34 Prozent, gegenüber 12 Prozent im Jahr 2022. Der Verizon Data Breach Investigations Report 2025 nennt Zugangsdatenmissbrauch mit 22 Prozent und ausgenutzte Schwachstellen mit 20 Prozent als führende Einstiegsvektoren, letztere mit einem Plus von 34 Prozent.

Die Besonderheit der Versorgung liegt darin, dass ein Ausfall nicht Umsatz kostet, sondern Behandlungen verschiebt. Vernetzte Medizingeräte laufen zudem oft über Jahre in Konfigurationen, die sich nicht wie Büro-IT patchen lassen. Der Annex A der Fassung 2022 stellt dafür 93 Maßnahmen bereit, aus denen risikobasiert ausgewählt wird.

Was leistet ISO 27001 im Gesundheitswesen zusätzlich für NIS2 und den B3S?

Ein Aufbau, mehrere Pflichten. Risikomanagement, Zugriffskontrolle, Lieferantensteuerung, Vorfallbehandlung und Betriebskontinuität verlangt jeder dieser Rahmen. Wer sie einmal ordentlich einführt, erfüllt die Anforderungen aus § 391 SGB V, deckt große Teile von § 30 BSIG ab und hat die Struktur, auf der ein branchenspezifischer Sicherheitsstandard aufsetzt, statt drei Projekte parallel zu fahren.

Dass der Aufwand marktüblich geworden ist, zeigt die Budgetseite: Unternehmen stecken laut Bitkom inzwischen 18 Prozent ihres IT-Budgets in Sicherheit, gegenüber 9 Prozent im Jahr 2022.

Wie lange dauert ISO 27001 im Gesundheitswesen bis zum Zertifikat?

Je nach Reife sind drei bis sechs Monate bis zum Audit realistisch. Das externe Audit läuft in zwei Stufen, Dokumentenprüfung und Wirksamkeitsprüfung, danach folgt das Zertifikat mit drei Jahren Gültigkeit und jährlichen Überwachungsaudits.

Die eigentliche Arbeit liegt im Zuschnitt des Geltungsbereichs. Er sollte die klinischen Kernsysteme umfassen, vom Krankenhausinformationssystem über die Labor- und Radiologiesysteme bis zur vernetzten Medizintechnik. Wer die Medizintechnik nachträglich anflanscht, zahlt die teuerste Korrekturschleife.

Was steht im Whitepaper?

• Wen der Pflichtenrahmen aus SGB V, KRITIS und NIS2 genau trifft, von der Klinik bis zum MedTech-Hersteller
• Fünf Eigenheiten der Versorgung, die die Zertifizierung erschweren, vom Schichtbetrieb bis zum höchsten Schutzniveau für Patientendaten
• Fünf Risikoszenarien aus der Praxis, jeweils mit den passenden Maßnahmen aus dem Annex A
• Was die Norm konkret verlangt, von Kontext und Geltungsbereich bis zu Bewertung und Verbesserung
• Eine Roadmap in sechs Schritten mit realistischer Zeitschätzung bis zum Zertifikat
• Wie ein Aufbau die Pflichten aus SGB V und einen Großteil von NIS2 zugleich erfüllt, mit einem Praxisbeispiel

Das Whitepaper richtet sich an Geschäftsführungen, IT-Leitungen und Informationssicherheitsbeauftragte in Kliniken, Pflegeeinrichtungen, Praxisverbünden sowie bei MedTech-Unternehmen. Laden Sie es kostenfrei herunter.