Compliance abhaken: Jetzt mit SECJUR durchstarten und ab Januar 2024 zahlen.
.svg)
.svg)
NIS2, § 391 SGB V und die kritische Anlage: Das Whitepaper zeigt Kliniken, Laboren und MedTech-Herstellern, welche Pflichten gelten und was ein ISMS trägt.
Im Gesundheitswesen sind bei NIS2 zwei Fragen offen, und beide entscheiden über den Aufwand. Welches der zwei Regime für ein Krankenhaus gilt, und was passiert, wenn die Pflicht zum Patchen auf ein Medizinprodukt trifft. Dazu kommt eine Fundstelle, die viele Unterlagen noch nennen, obwohl sie seit 2024 nicht mehr existiert.
Der Sektor Gesundheitswesen steht in der Anlage 1 des BSIG und umfasst fünf Einrichtungsarten: Gesundheitsdienstleister im Sinne der Richtlinie 2011/24/EU, EU-Referenzlaboratorien, Unternehmen der Arzneimittelforschung und -entwicklung nach § 2 AMG, Hersteller pharmazeutischer Erzeugnisse und Hersteller von Medizinprodukten, die in einer gesundheitlichen Krise als kritisch gelten.
Weil es die Anlage 1 ist, ist der Aufstieg möglich: Ab 250 Beschäftigten oder mehr als 50 Millionen Euro Umsatz mit einer Bilanzsumme über 43 Millionen Euro wird aus der wichtigen eine besonders wichtige Einrichtung. Unabhängig davon gilt die kritische Anlage, und die kennt keine Größenschwelle. Die Schwellen sind konkret: 30.000 vollstationäre Fälle pro Jahr für Krankenhäuser, 4.650.000 abgegebene Packungen für Apotheken, 1.500.000 Aufträge für medizinische Labore. Wer darüber liegt, hat zwei Pflichten zusätzlich, nämlich Systeme zur Angriffserkennung nach § 31 Absatz 2 BSIG und Nachweise gegenüber dem BSI alle drei Jahre nach § 39 BSIG.
§ 391 SGB V, und nicht mehr § 75c SGB V. Das Digital-Gesetz hat die alte Norm mit Wirkung zum 26. März 2024 abgelöst, die heutige Fassung des § 391 gilt seit dem 6. Dezember 2025.
Inhaltlich verlangt § 391 SGB V angemessene organisatorische und technische Vorkehrungen nach dem Stand der Technik, und Maßnahmen zur Steigerung des Sicherheitsbewusstseins der Beschäftigten sind ausdrücklich Teil der Pflicht. Angemessen sind Vorkehrungen, deren Kosten nicht außer Verhältnis zu den Folgen eines Ausfalls oder einer Datenverletzung stehen. Erfüllt werden kann die Pflicht über einen branchenspezifischen Sicherheitsstandard, den das BSI nach § 30 Absatz 8 BSIG festgestellt hat. Entscheidend ist Absatz 5: § 391 gilt für alle Krankenhäuser außer denen, die Betreiber kritischer Anlagen sind, denn für die greifen die §§ 30, 31 und 39 BSIG. Die Fallzahl entscheidet damit nicht nur über den Umfang, sondern darüber, welches Regelwerk überhaupt gilt und wem gegenüber nachgewiesen wird.
Weil die Pflichtenkette am Gerät bricht. § 30 BSIG verlangt Schwachstellenmanagement und Wartung, ein vernetztes Medizinprodukt lässt sich aber nicht ohne Weiteres patchen. Anhang I Kapitel II Nummer 17 der Medizinprodukteverordnung macht die IT-Sicherheit zum Bestandteil der Produktkonformität, weshalb Änderungen an Software und Konfiguration beim Hersteller liegen und nicht beim Haus.
Die Lücke ist deshalb keine technische, sondern eine vertragliche, und § 30 Absatz 2 Nummer 4 BSIG adressiert genau das: Sicherheit der Lieferkette einschließlich der Beziehungen zu den unmittelbaren Anbietern. Vier Punkte gehören in jeden Vertrag über vernetzte Medizintechnik: Reaktionszeiten für Sicherheitsupdates, eine Informationspflicht bei bekannt gewordenen Schwachstellen, der Umgang mit Geräten ohne Herstellersupport und die Festlegung, was gilt, wenn kein Patch kommt. Kommt kein Patch, bleibt nur die Kompensation im Netz durch Segmentierung, und die muss dokumentiert sein.
Er verschiebt Arbeit vom Betreiber zum Hersteller, allerdings nicht dort, wo man es zuerst erwartet. Ab dem 11. September 2026 unterliegen Hersteller vernetzter Produkte einer Meldepflicht für aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle, mit einer Frühwarnung binnen 24 Stunden über eine zentrale Plattform der ENISA. Alle weiteren Anforderungen gelten ab dem 11. Dezember 2027.
Medizinprodukte sind davon nach Artikel 2 Absatz 2 des Cyber Resilience Act ausgenommen, soweit die Medizinprodukteverordnung gleichwertige Anforderungen enthält. Für ein Krankenhaus heißt das: Bei den Medizingeräten bleibt es beim Vertrag mit dem Hersteller, bei allem anderen im Haus, also Netzwerktechnik, Software, Gebäude- und Sicherheitstechnik, entsteht eine gesetzliche Informationsquelle. Wer die Ausschreibungsunterlagen jetzt anpasst, bekommt Schwachstelleninformationen künftig geliefert, statt sie zu erfragen.
Drei. Erstens der Geltungsbereich. Vernetzte Medizintechnik gehört hinein, aber ebenso Gebäudeleittechnik, Zutrittssysteme, Rohrpost und Schwesternruf. Diese Anlagen hängen am selben Netz und liegen organisatorisch meist bei der Technik.
Zweitens die Meldefähigkeit im laufenden Betrieb. Die 24-Stunden-Frist des § 32 BSIG läuft ab Kenntnis, auch mitten in einer Notfallversorgung. Es braucht eine benannte Rolle, die melden darf, ohne vorher den klinischen Betrieb zu befragen. Drittens die zweite Uhr. Bei Gesundheitsdaten kommt regelmäßig eine Meldung nach Artikel 33 DSGVO an die Datenschutzaufsicht hinzu, mit eigener Frist von 72 Stunden und eigenem Adressaten, häufig ergänzt um die Benachrichtigung der Betroffenen. Ein Vorfall, zwei Verfahren, und die kürzere Frist gehört zuerst in den Plan.
Das Whitepaper richtet sich an Geschäftsführungen und Vorstände, IT- und Medizintechnikverantwortliche sowie Sicherheits- und Datenschutzverantwortliche in Kliniken, Pflegeeinrichtungen, Laboren und bei Herstellern von Medizinprodukten. Laden Sie es kostenfrei herunter.
Sprechen Sie mit unseren Expert:innen und erfahren Sie, wie das Digital Compliance Office Ihre Compliance automatisiert.
Gespräch vereinbaren