Mit dem Inkrafttreten der NIS2-Richtlinie am 6. Dezember 2025 verschärfen sich die Anforderungen an IT- und Informationssicherheit in Krankenhäusern erheblich. Klinikleiter müssen Cybersicherheit strategisch priorisieren, um Resilienz zu gewährleisten und Patientensicherheit zu schützen.

Die europäische NIS-2-Richtlinie reagiert auf die wachsende Bedrohungslage. Sie zielt darauf ab, die Resilienz kritischer Einrichtungen deutlich zu erhöhen. Für Krankenhäuser bedeutet dies einen Paradigmenwechsel: Informationssicherheit ist nicht länger nur ein IT-Thema, sondern wird zu einer originären Aufgabe der Unternehmensleitung.

Als „kritische Einrichtungen“ sind Kliniken verpflichtet, organisatorische, technische und prozessuale Sicherheitsmaßnahmen umfassend zu stärken. Dabei rückt IT-Sicherheit von einer operativen Unterstützungsfunktion zu einem zentralen Bestandteil der Unternehmensführung auf.

Zentrale Elemente bilden Methoden zur strukturierten Risikoanalyse und zum Sicherheitsmanagement, etwa nach ISO?27001 oder B3S Krankenhaus. Diese Frameworks ermöglichen die systematische Erfassung, Bewertung und Behandlung von Risiken – von Cyberangriffen über Systemausfälle bis hin zu Lieferkettenstörungen. Ergänzend gewinnen Business-Continuity- und Incident-Response-Pläne an Gewicht, um Resilienz und Wiederherstellungsfähigkeit zu sichern.

Wesentliche Maßnahmen betreffen den Aufbau eines ganzheitlichen Informationssicherheits-Managementsystems (ISMS), die kontinuierliche Schwachstellenanalyse, Zero-Trust-Architekturen, Multifaktor-Authentifizierung sowie Security Information and Event Management (SIEM). Ebenso wichtig ist die Schulung von Mitarbeitenden, da menschliches Fehlverhalten vielfach als größter Angriffspunkt gilt.

NIS2 verlangt zugleich eine klare Zuordnung von Verantwortlichkeiten: Die Klinikleitung trägt unmittelbar die strategische Verantwortung für Cyberresilienz und haftet bei grober Fahrlässigkeit. Sicherheitsmanagement wird damit zur Führungsaufgabe. Transparenz entsteht durch dokumentierte Sicherheitsprozesse, Melde- und Berichtspflichten sowie den Nachweis über regelmäßige Audits und Penetrationstests.

Verantwortlichkeiten für die Krankenhausleitung nach NIS2

Risikomanagement und Maßnahmen genehmigen
Die Leitung muss umfassende Risikoanalysen durchführen, sicherstellen und aktiv genehmigen, darunter ein ISMS (z. B. nach B3S oder ISO 27001), Zero-Trust-Architekturen, MFA, SIEM-Systeme, Schwachstellenmanagement sowie Lieferkettensicherheit.

Ressourcen und Strukturen bereitstellen
Ausreichende personelle (z. B. 24/7 erreichbarer CISO) und finanzielle Mittel zu stellen, Zuständigkeiten klar definieren und regelmäßige Audits/Penetrationstests organisieren.

Überwachung und Dokumentation
Kontinuierliche Überwachung der Umsetzung, Nachweisbarkeit aller Maßnahmen und dreistufige Meldepflicht bei Vorfällen (innerhalb 24 Stunden ans BSI).

Schulungen und Awareness
Persönliche regelmäßige Schulungen absolvieren, um Risiken eigenständig zu bewerten, und eine Sicherheitskultur im gesamten Haus fördern.

Haftung und Reporting
Persönliche Haftung bei grober Fahrlässigkeit (Bußgelder bis 10 Mio. €, Schadensersatz); regelmäßiges internes Reporting und Transparenz gegenüber Behörden schaffen.