NIS2 Checkliste für die Gesundheitsbranche: der praktische Fahrplan

Kliniken, Labore und Medizintechnik werden bei NIS2 gern in einem Atemzug genannt. Rechtlich sitzen sie in verschiedenen Anlagen des Gesetzes, und diese Zuordnung entscheidet über Pflichtenstufe, Bußgeldrahmen und die Frage, ob überhaupt das BSIG das maßgebliche Regelwerk ist.

Wen erfasst die NIS2 Checkliste für die Gesundheitsbranche, und in welcher Anlage?

Die Anlage 1 des BSIG führt im Gesundheitswesen fünf Einrichtungsarten: Erbringer von Gesundheitsdienstleistungen im Sinne der Richtlinie 2011/24/EU, EU-Referenzlaboratorien, Unternehmen der Arzneimittelforschung und -entwicklung, Hersteller pharmazeutischer Erzeugnisse und Hersteller von Medizinprodukten, die in einer gesundheitlichen Krise als kritisch gelten.

Der letzte Punkt ist eng gefasst, und daraus folgt der wichtigste Unterschied: Hersteller von Medizinprodukten im Übrigen stehen nicht in der Anlage 1, sondern in der Anlage 2 beim verarbeitenden Gewerbe. Das hat zwei Konsequenzen. Ein Aufstieg zur besonders wichtigen Einrichtung durch Größe ist ausgeschlossen, denn § 28 Absatz 1 Nummer 4 BSIG lässt ihn nur für Einrichtungsarten der Anlage 1 zu. Und damit gilt der Bußgeldrahmen von 7 Millionen Euro oder 1,4 Prozent, nicht der viel zitierte von 10 Millionen oder 2 Prozent. Auf der Versorgungsseite lohnt der Blick in die andere Richtung: Arztpraxen und Medizinische Versorgungszentren sind regelmäßig Erbringer von Gesundheitsdienstleistungen und damit Anlage 1, sofern sie die Schwellen erreichen. Reine Langzeitpflege ist dagegen ausgenommen, weil Artikel 1 Absatz 3 Buchstabe a der Richtlinie 2011/24/EU Einrichtungen ausnimmt, deren Zweck die Unterstützung bei Alltagsverrichtungen ist.

Entscheidet bei der NIS2 Checkliste für die Gesundheitsbranche die Bettenzahl?

Nein, und das ist eine der häufigsten Fehlannahmen. Eine Bettenzahl kommt im BSIG nicht vor. Maßgeblich sind die Schwellen des § 28 BSIG: 250 Beschäftigte oder über 50 Millionen Euro Umsatz mit einer Bilanzsumme über 43 Millionen Euro für die besonders wichtige Einrichtung, 50 Beschäftigte oder über 10 Millionen Euro Umsatz und Bilanzsumme für die wichtige.

Größenunabhängig ist nur der Betreiber einer kritischen Anlage, und dort zählt die Leistungsmenge: 30.000 vollstationäre Fälle pro Jahr für Krankenhäuser, 1.500.000 Aufträge für medizinische Labore, 4.650.000 abgegebene Packungen für Apotheken. Praktisch heißt das: Die Stufe hängt an der Personalstatistik, die KRITIS-Frage an der Fallzahl. Beide Werte liegen im Haus vor, nur in verschiedenen Abteilungen.

Welche Dienste nimmt die NIS2 Checkliste für die Gesundheitsbranche ausdrücklich aus?

Die Telematikinfrastruktur, und zwar über eine eigene Norm. § 28 Absatz 6 Nummer 2 BSIG bestimmt, dass die §§ 30, 31, 32, 35, 36, 38 und 39 BSIG nicht gelten für die Gesellschaft für Telematik, für Betreiber von Diensten der Telematikinfrastruktur im Hinblick auf die nach § 311 Absatz 6 und § 325 SGB V zugelassenen Dienste und für Betreiber von Diensten, soweit sie die Telematikinfrastruktur für nach § 327 Absatz 2 bis 5 SGB V bestätigte Anwendungen nutzen.

Entscheidend ist das Wort soweit. Die Ausnahme ist dienstbezogen und nicht einrichtungsbezogen. Ein Anbieter, der einen zugelassenen TI-Dienst betreibt und daneben andere Leistungen erbringt, ist nur für den zugelassenen Teil außerhalb dieser Vorschriften. Und ein Krankenhaus wird nicht dadurch von seinen Pflichten frei, dass es die Telematikinfrastruktur nutzt. Wer beides macht, braucht eine dokumentierte Abgrenzung der Dienste.

Welchen Nachweis akzeptiert die NIS2 Checkliste für die Gesundheitsbranche?

Für Krankenhäuser gibt es einen etablierten Weg. § 30 Absatz 8 BSIG erlaubt die Erfüllung über einen branchenspezifischen Sicherheitsstandard, dessen Eignung das BSI festgestellt hat. Für die medizinische Versorgung existiert dieser Standard: Der B3S Krankenhaus liegt in der Version 1.3.1 vor, Antragsteller ist die Deutsche Krankenhausgesellschaft, und die Eignungsfeststellung des BSI läuft bis November 2028.

Das kürzt die Diskussion über den Stand der Technik ab: Wer den B3S nutzt, argumentiert nicht über einzelne Maßnahmen, sondern über einen anerkannten Katalog. Betreiber kritischer Anlagen legen darüber hinaus nach § 39 BSIG alle drei Jahre Nachweise gegenüber dem BSI vor. Häuser ohne kritische Anlage erfüllen ihre Pflicht über § 391 SGB V, und der verweist ebenfalls auf den branchenspezifischen Standard. Zwei Wege, ein Katalog, und deshalb lohnt sich die Entscheidung für ihn unabhängig von der Einstufung.

Welche Punkte werden bei der NIS2 Checkliste für die Gesundheitsbranche am häufigsten übersprungen?

Drei. Erstens die Zurechnung von Töchtern und Versorgungszentren. § 28 Absatz 4 BSIG rechnet die Zahlen verbundener Unternehmen grundsätzlich hinzu, aber nicht, wenn das Unternehmen mit Blick auf Beschaffenheit und Betrieb der informationstechnischen Systeme unabhängig ist. Der Maßstab ist also die IT, nicht die Gesellschaftsstruktur.

Zweitens die zweite Benachrichtigung im Datenschutz. Neben der Meldung an die Aufsichtsbehörde verlangt Artikel 34 DSGVO bei einem hohen Risiko die unverzügliche Benachrichtigung der betroffenen Personen. Bei Patientendaten ist dieser Fall die Regel, und die Adressaten sind Tausende. Drittens die Dienstleister mit Datenzugriff. Abrechnungsdienstleister, Teleradiologie, externe Labore und die Fernwartung der Medizintechnik hängen an denselben Schnittstellen wie die klinische Versorgung, und ihre Zugänge gehören inventarisiert und protokolliert.

Was steht in der Checkliste?

• Vier Situationen, in denen NIS2 für Gesundheitseinrichtungen konkret wird, von der Einstufung über Patientendaten und klinische Systeme bis zur Haftung der Leitungsebene
• Eine Readiness in sechs Schritten, von der Betroffenheitsprüfung über die Erfassung kritischer Systeme, Risiken und Datenschutz bis zu Meldung, Leitung und Audit
• Drei typische Stolperfallen, von Medizingeräten als blindem Fleck über getrennt gedachte Regime bis zum ungeprobten Notbetrieb
• Drei Quick Wins, unter anderem die Netzwerksegmentierung und die Nutzung vorhandener Datenschutzunterlagen

Die Checkliste richtet sich an Geschäftsführungen und Vorstände, IT- und Medizintechnikverantwortliche sowie Datenschutz- und Sicherheitsverantwortliche in Kliniken, Laboren, Versorgungszentren und bei Herstellern von Medizinprodukten. Laden Sie sie kostenfrei herunter.