Anbieter zum Thema

Atos Information Technology GmbH

d.velop AG

Kendox AG

Yorizon GmbH & Co. KG

Von drei Pflichten zu einem belastbaren Lagebild

Der sinnvollste nächste Schritt ist deshalb eine integrierte Bestandsaufnahme. Diese sollte als Managementinstrument angelegt sein: Welche Systeme und Prozesse sind für die Patientenversorgung kritisch? Welche Abhängigkeiten bestehen? Welche Maßnahmen sind bereits wirksam? Wo entstehen Lücken, weil Verantwortung oder Informationen zwischen Organisationseinheiten verloren gehen? Ein solches Assessment sollte mindestens folgende vier Perspektiven verbinden:

IT-Sicherheit und Netzwerkarchitektur: Zunächst muss klar sein, wie gut die kritischen Systeme tatsächlich geschützt sind. Dazu gehören segmentierte Netzwerke und ein verlässliches Schwachstellenmanagement. Sicherheitslücken müssen erkannt, bewertet und zeitnah geschlossen werden. Auch die Verfahren für Erkennung, Reaktion und Wiederherstellung müssen im Ernstfall funktionieren. Das lässt sich nur durch regelmäßige Tests überprüfen.

Medizin- und Betriebstechnik: Krankenhäuser brauchen einen vollständigen und aktuellen Überblick über ihre vernetzten medizinischen Geräte und technischen Anlagen. Zum Inventar gehören auch Angaben zum Softwarestand, zu Wartungszyklen, bekannten Schwachstellen und den jeweils zuständigen Personen. Besondere Aufmerksamkeit verdienen Produkte, die im Hinblick auf die Anforderungen des Cyber Resilience Act relevant sind.

Betriebskontinuität und Notfallplanung: Ein Notfallplan ist nur so belastbar wie sein letzter Test. Deshalb müssen die Pläne regelmäßig aktualisiert und unter realistischen Bedingungen erprobt werden. Neben klassischen IT-Ausfällen sollten dabei auch Störungen an der Medizintechnik oder der Gebäudetechnik berücksichtigt werden. Für den Ernstfall muss feststehen, welche Leistungen zuerst aufrechterhalten oder wiederhergestellt werden müssen und wer dafür verantwortlich ist.

Lieferkette und Drittparteien: Auch externe Dienstleister und Hersteller können den Schutz kritischer Systeme beeinflussen. Krankenhäuser müssen deshalb nachvollziehen können, wer auf welche Systeme und Daten zugreifen kann. Sicherheitsanforderungen gehören klar und verbindlich in die Verträge. Ebenso wichtig ist die regelmäßige Kontrolle, ob die Partner ihre Pflichten dauerhaft erfüllen. Die Verantwortung für die Sicherheit endet nicht an den Grenzen der eigenen Organisation.

Krankenhäuser benötigen eine priorisierte Roadmap, die die Kriterien Kritikalität, Risiko, Umsetzbarkeit und Auswirkungen auf den Betrieb zusammenführt.

KRITIS-Dachgesetz: Resilienz muss bei laufendem Betrieb entstehen

Krankenhäuser können ihre Systeme nicht wie eine Testumgebung abschalten, um sie anschließend in Ruhe abzusichern. Jede Veränderung muss mit der medizinischen Versorgung vereinbar sein. Das spricht nicht gegen konsequente Maßnahmen, sondern für eine Reihenfolge, die den laufenden Betrieb berücksichtigt.

Am Anfang steht die Priorisierung. Ein vernetztes Beatmungsgerät, ein klinisches Kommunikationssystem und ein weniger kritischer Büroarbeitsplatz haben beispielsweise nicht dieselbe Bedeutung für die Versorgung. Diese Unterschiede müssen sich in den Schutzmaßnahmen, der Überwachung, dem Wiederanlauf und der Notfallkommunikation widerspiegeln. Darauf aufbauend können technische Maßnahmen schrittweise umgesetzt werden. Wichtig ist, dass Veränderungen geplant, dokumentiert und mit den Verantwortlichen für Medizintechnik und klinische Abläufe abgestimmt werden.

Zur technischen Absicherung gehören klare Zuständigkeiten. Die Organisation muss festlegen, wer die Gesamtverantwortung für die Resilienz trägt und wer bei einem Sicherheitsvorfall über Einschränkungen des Betriebs entscheidet. Alle beteiligten Bereiche sollten zentral koordiniert werden. Dazu zählen IT, Medizintechnik, Verwaltung, Gebäudetechnik und externe Partner. Sind Rollen und Entscheidungswege unklar, lassen sich selbst gut vorbereitete Maßnahmen im Ernstfall nur schwer umsetzen.Wo interne Kapazitäten fehlen, können externe Beratung oder Managed Security Services zeitweise Unterstützung bieten. Diese sollten jedoch dazu beitragen, Kompetenzen, Prozesse und Entscheidungsfähigkeit im Krankenhaus zu stärken, anstatt neue, unüberschaubare Abhängigkeiten zu schaffen.

KRITIS-Dachgesetz: Compliance ist kein Endpunkt

Die aktuellen Regelwerke wie KRITIS-Dachgesetz, NIS-2-Richtlinie und Cyber Resilience Act erhöhen den organisatorischen Druck. Das stellt viele Krankenhäuser vor zusätzliche Herausforderungen. Gleichzeitig bieten sie jedoch die Chance, Resilienz nicht länger auf einzelne Projekte oder Zuständigkeiten zu verteilen.

Die Registrierung war daher mehr Inventur als Schlusspunkt. Nun müssen Krankenhäuser aus den vorliegenden Anforderungen ein gemeinsames Verständnis ihrer kritischen Abhängigkeiten entwickeln. Wer das KRITIS-Dachgesetz, die NIS-2-Richtlinie und den Cyber Resilience Act zusammenführt, kann Doppelarbeit vermeiden und Maßnahmen dort priorisieren, wo sie die Versorgung am stärksten schützen.