NIS 2.0 verpflichtet Krankenhäuser zu ganzheitlicher Informationssicherheit – Geschäftsführungen tragen künftig mehr Verantwortung

Mit der EU-Richtlinie NIS 2.0 steigen die Anforderungen an die Informationssicherheit in Krankenhäusern deutlich. Kliniken zählen zur kritischen Infrastruktur, denn fällt die IT aus, geraten nicht nur Verwaltungsprozesse, sondern unmittelbar auch die Patientenbehandlung in Gefahr. Die Richtlinie verlangt technische und organisatorische Maßnahmen, die nachvollziehbar geplant, dokumentiert und regelmäßig überprüft werden müssen.

Technisch stehen Netzwerk- und Systemüberwachung, Zugriffsschutz mit Multifaktor-Authentifizierung, Schwachstellenmanagement sowie belastbare Backup- und Wiederherstellungskonzepte im Vordergrund. Viele Häuser verfügen bereits über Einzellösungen, ein übergreifendes Sicherheitskonzept fehlt jedoch häufig.

Organisatorisch fordert NIS 2.0 klare Verantwortlichkeiten, definiertes Notfallmanagement und ein funktionierendes Risikomanagement. Geschäftsführungen und Vorstände tragen künftig direkte Verantwortung und müssen sich regelmäßig schulen lassen. Auch externe Dienstleister rücken in den Fokus. Ihre Sicherheitsanforderungen müssen vertraglich geregelt und regelmäßig geprüft werden.

Als Einstieg empfiehlt Walter Schäfer von Adiccon eine strukturierte Standortbestimmung: Welche Anforderungen sind bereits erfüllt, wo liegen die größten Risiken, welche Verantwortlichkeiten fehlen noch? Auf dieser Basis lässt sich ein realistischer Maßnahmenplan entwickeln, der technische, organisatorische und regulatorische Anforderungen bündelt.