Best Practices aus verschiedenen KRITIS-Branchen (Kritische Infrastrukturen) zeigen, wie integriertes Sicherheitsmanagement, Resilienz und Digitalisierung erfolgreich umgesetzt werden können. Zentrale Lerneffekte aus der IT-Sicherheit kritischer Infrastrukturen (KRITIS), die auf Krankenhäuser übertragbar sind, betreffen sowohl technische als auch organisatorische Maßnahmen.
Sektoren wie Energie, Finanzen oder Transport setzen auf ein robustes Informationssicherheitsmanagementsystem (ISMS) nach ISO/IEC 27001, regelmäßige Risikoanalysen mit besonderem Fokus auf Lieferketten sowie auf Notfall- und Business-Continuity-Planning. Ein weiterer zentraler Aspekt ist die verzahnte Integration von physischen und digitalen Schutzmaßnahmen, einschließlich Zero-Trust-Architekturen, OT-Security und kontinuierlichem Monitoring. Cybersecurity-Schulungen für Mitarbeitende und die klare Regelung von Verantwortlichkeiten auf Managementebene sind branchenübergreifend erfolgskritisch, zumal rechtliche Regelungen mittlerweile auch die persönliche Haftung der Geschäftsführung einbeziehen.
Für Krankenhäuser, die als KRITIS gelten, sind diese Lerneffekte maßgeblich: Neben der Einführung eines ISMS und branchenspezifischer Sicherheitsstandards (wie B3S) sind strukturierte Notfall- und Wiederherstellungspläne wichtig, um die Versorgungssicherheit zu gewährleisten. Resilienzmodelle, die den Zustand aller kritischen Komponenten regelmäßig bewerten und Verbesserungsbedarf identifizieren, erhöhen die Anpassungsfähigkeit und Sicherheit im Krankenhausbetrieb entscheidend. Durch die Übernahme dieser branchenübergreifenden Best Practices stärken Krankenhäuser nicht nur die Patientensicherheit, sondern erhöhen auch ihre Richtlinienkonformität und Widerstandsfähigkeit gegenüber modernen Bedrohungen.
Lerneffekte für das Krankenhaus
Zentrale Lerneffekte aus der IT-Sicherheit kritischer Infrastrukturen (KRITIS), die auf Krankenhäuser übertragbar sind, betreffen sowohl technische als auch organisatorische Maßnahmen. Ein wesentliches Element ist die Einführung eines umfassenden Informationssicherheitsmanagements (z.B. ISMS nach ISO 27001), das systematisch Schutzmaßnahmen und Risikoanalysen für alle Bereiche der IT vorgibt. Besonders betont werden regelmäßige Schwachstellenanalysen, darunter Penetrationstests und das Simulieren von Angriffsszenarien durch „ethische Hacker“, um Schwächen in Systemen rechtzeitig zu erkennen.
Moderne KRITIS-Branchen setzen vermehrt auf Zero-Trust-Architekturen: Jede Zugriffsanfrage wird überprüft – unabhängig von deren Quelle. Dies reduziert Kompromittierungsrisiken insbesondere in einem komplexen Kliniknetzwerk, das zahlreiche interne und externe Akteure umfasst. Ebenso zentral ist der Schutz medizinischer Geräte und des „Internet of Medical Things“ (IoMT), weil diese zunehmend als Angriffsziele dienen und bei Kompromittierung massive Patientengefahren drohen.
Auch das Bewusstsein der Mitarbeitenden muss gestärkt werden: Wiederkehrende Sensibilisierung und Schulungen zu Cybersecurity und Phishing sind pflichtig, da menschliches Fehlverhalten häufig das größte Einfallstor für Angreifer ist. Gleichzeitig helfen Notfall- und Wiederherstellungspläne („Business Continuity“) sowie 24/7-Monitoring dabei, auf Vorfälle schnell und effektiv zu reagieren und Betriebsunterbrechungen zu minimieren.
Weitere übertragbare Lerneffekte sind:
- Pflicht zur Dokumentation und Nachweispflicht von IT-Sicherheitsmaßnahmen gemäß BSI-Gesetz.
- Strenge Zugangskontrollmechanismen (z.B. Zwei-Faktor-Authentifizierung).
- Berücksichtigung von Risiken entlang der gesamten Versorgungskette, einschließlich externer Dienstleister (Lieferkettensicherheit).
- Vorbereitung auf den Ausfall digitaler Komponenten mit technischen und organisatorischen Auffangkonzepten.
Krankenhäuser können von diesen Ansätzen durch höhere Patientensicherheit, geringeres Betriebsunterbrechungsrisiko und Schutz vor rechtlichen sowie finanziellen Schäden profitieren.
Autor: Wolf-Dietrich Lorenz
Foto: Adobe Stock / Noom_Studio
