EU-Regularien KRITIS-Dachgesetz: Für Krankenhäuser zählt jetzt die Umsetzung

Anbieter zum Thema

Atos Information Technology GmbH

d.velop AG

Kendox AG

Yorizon GmbH & Co. KG

Am 17. Juli 2026 endete für Krankenhäuser die Frist zur Registrierung als Betreiber kritischer Infrastruktur. Warum Krankenhäuser jetzt das KRITIS-Dachgesetz, die NIS-2-Richtlinie und den Cyber Resilience Act als gemeinsame Aufgabe für eine verbesserte Resilienz verstehen müssen.

Nach dem formalen Schritt der Registrierung beim Bundesamt für Bevölkerungsschutz und Katastrophenhilfe beginnt jetzt eine anspruchsvollere Phase. Durch die Registrierung gemäß dem KRITIS-Dachgesetz wird zunächst lediglich dokumentiert, wer als Betreiber kritischer Infrastruktur erfasst ist. Die entscheidende Frage lautet nun, wie widerstandsfähig der laufende Betrieb tatsächlich ist.

Ein Krankenhaus ist ein eng gekoppeltes System aus klinischen Anwendungen, Medizintechnik, Gebäudetechnik, Lieferketten, Personal, Notfallprozessen und physischen Schutzmaßnahmen. Fällt ein Teil davon aus, können sich die Folgen schnell auf die Patientenversorgung auswirken. Genau deshalb sollten Krankenhäuser die aktuellen Anforderungen nicht als separate Compliance-Aufgaben behandeln.

Ein Krankenhaus, drei Perspektiven auf dasselbe Risiko

Das KRITIS-Dachgesetz, das NIS-2-Umsetzungsgesetz und der Cyber Resilience Act greifen jeweils an unterschiedlichen Stellen. Sie verfolgen jedoch ein gemeinsames Ziel: Kritische Dienstleistungen müssen auch unter schwierigen Bedingungen sicher und verlässlich erbracht werden können. Das KRITIS-Dachgesetz schafft einen einheitlichen Rahmen für den physischen und digitalen Schutz kritischer Infrastrukturen in Deutschland. Es ist seit dem 17. März 2026 in Kraft.

Betreiber müssen unter anderem Risikobetrachtungen durchführen, Schutzmaßnahmen ergreifen, die Betriebskontinuität gewährleisten und belastbare Pläne für den Umgang mit Störungen erstellen. NIS-2 richtet den Blick stärker auf die digitale Infrastruktur und die Organisation von Informationssicherheit. Das deutsche Umsetzungsgesetz gilt seit dem 6. Dezember 2025, die BSI-Registrierungsfrist endete am 6. März 2026.

Faktoren für die Sicherheit eines Krankenhauses

Für betroffene Krankenhäuser gehören dazu Risikomanagement, angemessene Sicherheitsmaßnahmen sowie die Fähigkeit, Sicherheitsvorfälle innerhalb kurzer Fristen zu bewerten und zu melden. Auch die Lieferkette rückt stärker in den Fokus. Denn die Sicherheit eines Krankenhauses hängt nicht nur von den eigenen Systemen und Prozessen ab, sondern auch von den eingesetzten Technologien und Dienstleistungen. Risiken bei Dienstleistern und Herstellern können damit unmittelbar die eigene Sicherheitslage beeinflussen.

Der Cyber Resilience Act ergänzt diese Perspektive um die in den klinischen und technischen Abläufen eingesetzten Produkte. Vernetzte Medizingeräte, Infusionspumpen oder Systeme für das Patientenmonitoring können digitale Elemente enthalten und unterliegen somit Sicherheitsanforderungen. Die Meldepflichten für aktiv ausgenutzte Schwachstellen gelten ab dem 11. September 2026, die vollständige Konformitätspflicht einschließlich CE-Kennzeichnung folgt nach den vorliegenden Vorgaben am 11. Dezember 2027. Die drei Regelwerke betrachten also verschiedene Ebenen desselben Krankenhausbetriebs: die Gesamtresilienz, die digitale Infrastruktur und die Sicherheit der eingesetzten Produkte.

KRITIS-Dachgesetz: Größte Schwachstellen bei den Übergängen

In vielen Häusern sind die Zuständigkeiten historisch gewachsen. So ist der CISO für die IT-Sicherheit verantwortlich, während sich ein eigenes Team um die Medizintechnik kümmert. Die Verwaltung ist für die Notfallplanung zuständig und der technische Betrieb verantwortet die Gebäude- und Versorgungssysteme. Im Krisenfall wird diese Aufteilung zum Risiko, wenn die Schnittstellen nicht geregelt sind.

Ein Angriff über ein unzureichend gesichertes Medizingerät betrifft neben der IT- Sicherheit auch die Geräteverwaltung, die Netzwerkarchitektur, das Schwachstellenmanagement, die Lieferantenbeziehung und die Frage der weiteren Versorgung. Ähnlich verhält es sich bei einem Ausfall der Stromversorgung, einer Störung zentraler Kommunikationssysteme oder einem Angriff auf einen Dienstleister mit Zugang zu kritischen Anwendungen. Entscheidend ist in solchen Situationen, ob die beteiligten Bereiche ein gemeinsames Lagebild haben und ob ihre Reaktionspläne ineinandergreifen. Ein Notfallplan, der nur den Ausfall der klassischen IT berücksichtigt, ist unvollständig.