Durch das Patienten-Datenschutz-Gesetz (PDSG) und dem neu eingeführten § 75c SGB V steigen die Verpflichtungen für deutsche Krankenhäuser zur Gewährleistung der IT-Sicherheit.
Bislang waren nach § 8a BSI-Gesetz (BSIG) lediglich Krankenhäuser mit über 30.000 vollstationären Behandlungsfällen pro Jahr verpflichtet, die IT-Sicherheit in ihren Häusern zu gewährleisten. Diese Häuser, die unter die Definition „Kritische Infrastrukturen“ (KRITIS) fallen, müssen bereits angemessene organisatorische und technische Vorkehrungen treffen, um Störungen der Verfügbarkeit, Integrität und Vertraulichkeit der Patienteninformationen zu verhindern. Dies bezieht sich sowohl auf ihre informationstechnischen Systeme und Komponenten als auch auf die dazugehörenden Prozesse.
Seit dem 1. Januar 2022 sind nun zusätzlich alle Krankenhäuser verpflichtet, nach dem Stand der Technik angemessene Vorkehrungen zur Vermeidung von Störungen ihrer informationstechnischen Systeme zu treffen, die für die Funktionsfähigkeit des jeweiligen Krankenhauses und die Sicherheit der verarbeiteten Patienteninformationen maßgeblich sind.
Der von der Deutschen Krankenhausgesellschaft erarbeitete und vom Bundesamt für Sicherheit in der Informationstechnik (BSI) freigegebene Branchenspezifische Sicherheitsstandard (B3S) für die Gesundheitsversorgung im Krankenhaus stellt hierbei die anerkannte Grundlage für den Stand der Technik dar. Eine Orientierung an diesem B3S ermöglicht den Krankenhäusern somit die Erfüllung der neuen gesetzlichen Anforderungen an die IT-Sicherheit.
Die Bedeutsamkeit der IT-Sicherheit zeigte sich gerade zum Jahresende 2021, als die kritische Log4Shell-Sicherheitslücke das BSI dazu veranlasste, eine „Cyber-Sicherheitswarnung“ der Warnstufe Rot zu veröffentlichen. Diese extrem kritische Bedrohungslage zwang sämtliche IT-Abteilungen in deutschen Krankenhäusern zum akuten Handeln.
Ein weiterer schwerer Sicherheitsvorfall ereignete sich im Januar dieses Jahres in Baden-Württemberg. Dort wurden zwei Kliniken Ziele einer Cyber-Attacke, die zu einem vollständigen Ausfall der IT führte und die Klinken dazu zwang, Operationen abzusagen und die Notaufnahmen zeitweise zu schließen.
Um auf derartige Bedrohungen angemessen reagieren zu können, ist eine sinnvoll aufgebaute IT-Sicherheitsorganisation im Krankenhaus elementar. Dies ist Bestandteil eines Informationssicherheitsmanagementsystems (ISMS), das Krankenhäusern hilft, die IT-Sicherheit in ihren Häusern zu gewährleisten. Der Aufbau eines ISMS und die damit verbundene Umsetzung der Anforderungen für die IT-Sicherheit sind ein langwieriger Prozess. Daher ist es sehr ratsam, sich diesem wichtigen Thema zeitnah zu zuwenden.
Finanzielle Unterstützung zur IT-Sicherheit können Krankenhäuser hierfür durch das Krankenhauszukunftsgesetz (KHZG) erhalten.
Unabhängig von Bedarfsanmeldungen im Rahmen des KHZG treibt das PDSG die IT-Sicherheit in deutschen Krankenhäusern sinnvoll voran.
Sollten Sie und Ihr Unternehmen Unterstützung bei der Umsetzung der IT-Sicherheit benötigen, kontaktieren Sie uns gerne. Wir stehen Ihnen mit unserem ganzheitlichen Beratungsangebot zur Verfügung.
Quelle: Sanovis, Foto: Shutterstock
