Kliniken gehören zu den am stärksten gefährdeten Einrichtungen im deutschen Cyberraum. In den vergangenen Jahren wurden zahlreiche Ransomware-Angriffe auf deutsche Krankenhäuser dokumentiert – von großen Universitätskliniken bis zu regionalen Klinikverbünden – mit abgesagten Operationen, abgemeldeten Notaufnahmen und tagelang lahmgelegten Systemen. Ein Ausfall der IT trifft hier nicht nur Prozesse, sondern unmittelbar die Patientenversorgung. Genau deshalb ist ein ISMS im Krankenhaus heute weder Kür noch reine IT-Aufgabe: Ein Informationssicherheits-Managementsystem bündelt Prozesse, Verantwortlichkeiten und technische Maßnahmen in einem prüfbaren System und schafft die Grundlage für nachweisbare Compliance. Dieser Beitrag ordnet die regulatorischen Anforderungen von NIS2 und KRITIS über das KRITIS-Dachgesetz und § 391 SGB V bis zu Art. 9 DSGVO ein und zeigt, wie Sie ein ISMS für Ihre Klinik strukturiert aufbauen.
Warum ein ISMS im Krankenhaus unverzichtbar ist
Die Digitalisierung der Medizin hat die Angriffsfläche von Kliniken enorm vergrößert. Krankenhausinformationssysteme, vernetzte Medizingeräte, elektronische Patientenakten und Telematik-Anbindungen sind eng verzahnt und ein einziger kompromittierter Zugang kann den gesamten Betrieb gefährden. Anders als in vielen anderen Branchen steht bei einem Ausfall nicht der Umsatz an erster Stelle, sondern die Versorgungssicherheit und damit die Patientensicherheit.
Ein ISMS beantwortet diese Herausforderung nicht mit Einzelmaßnahmen, sondern mit System. Es legt fest, welche Werte schützenswert sind, welche Risiken bestehen, wer verantwortlich ist und wie Maßnahmen kontinuierlich überprüft und verbessert werden. Für ein Krankenhaus bedeutet das, Schutzbedarf und Risiken werden nicht punktuell, sondern dauerhaft gesteuert. Genau diese Nachweisbarkeit verlangen auch die Aufsichtsbehörden – ein ISMS für Kliniken ist damit zu gleich Sicherheits- und Compliance-Instrument.
NIS2 und Krankenhäuser: der neue Rechtsrahmen
Seit dem 6. Dezember 2025 ist das NIS2-Umsetzungsgesetz (NIS2UmsuCG) in Deutschland in Kraft, und zwar ohne Übergangsfrist. Es setzt die europäische NIS2-Richtlinie um und novelliert dafür das BSI-Gesetz (BSIG) umfassend. Rund 29.500 Einrichtungen fallen neu oder erweitert in den Anwendungsbereich, darunter der gesamte Sektor Gesundheit. Was NIS2 für die Betroffenheitsprüfung und die Pflichten bedeutet, erläutern wir ausführlich auf unserer Regulatorik-Seite zu NIS2.
Krankenhäuser sind dem Sektor Gesundheit (Anlage 1 Nummer4.1.1 BSIG) zugeordnet und gelten regelmäßig als besonders wichtige oder wichtige Einrichtung. Maßgeblich sind zwei Kriterien: die Zugehörigkeit zum Sektor und die Größe. Grundsätzlich greift NIS2 bei Einrichtungen ab 50 Beschäftigten oder mehr als 10 Millionen Euro Jahresumsatz beziehungsweise Jahresbilanzsumme. Damit erfasst das Gesetz einen Großteil der deutschen Kliniklandschaft, unabhängig davon, ob ein Haus bislang als kritische Infrastruktur eingestuft war.
Die Pflichten sind konkret: Registrierung beim BSI, Meldung erheblicher Sicherheitsvorfälle, Umsetzung technischer und organisatorischer Risikomanagementmaßnahmen sowie die Verpflichtung der Geschäftsleitung, diese Maßnahmen zu billigen und zu überwachen. Diese Verantwortung ist persönlich und lässt sich nicht vollständig an die IT delegieren. Ein ISMS ist der geeignete Rahmen, um all diese Anforderungen strukturiert und prüfbar zu erfüllen.
Besonders anspruchsvoll ist die gestufte Meldepflicht nach §32 BSIG: Frühwarnung binnen 24 Stunden nach Kenntnis eines erheblichen Sicherheitsvorfalls, bewertende Folgemeldung binnen 72 Stunden, Abschlussmeldung spätestens einen Monat später. Diese Fristen unter Krisendruck einzuhalten, gelingt nur mit vorbereiteten Prozessen und klaren Zuständigkeiten. Diese sind Kernbestandteile eines funktionierenden ISMS.
KRITIS-Krankenhäuser: die Schwelle von 30.000 Fällen
Für einen Teil der Kliniken kommt eine zusätzliche Regelungsebene hinzu. Ein zugelassenes Krankenhaus im Sinne des § 108 SGB V gilt als Betreiber einer kritischen Anlage (KRITIS), sobald es den Schwellenwert der BSI-Kritis V von 30.000 vollstationären Fällen pro Jahrüberschreitet. In diesem Fall ist das Haus automatisch eine besonders wichtige Einrichtung nach § 28 Absatz 1 Nummer 1 BSIG – eine gesonderte Betroffenheitsprüfung entfällt.
Für KRITIS-Krankenhäuser gelten die strengsten Anforderungen. Neben Registrierung und Meldepflichten müssen sie gegenüber dem BSI regelmäßig nachweisen, dass sie angemessene Vorkehrungen zur Vermeidung von Störungen getroffen haben. Dieser Nachweis erfolgt turnusmäßig und setzt eine belastbare, dokumentierte Sicherheitsorganisation voraus. In der Praxis ist dies kaum ohne ein etabliertes ISMS zu leisten. Ergänzend greift 2026 das KRITIS-Dachgesetz (KRITIS-DachG), das die EU-CER-Richtlinie (2022/2557) umsetzt und KRITIS-Betreiber über die IT-Sicherheit hinaus zur physischen Resilienz verpflichtet, von Naturgefahren über Sabotage bis zum Ausfall externer Versorgungsstränge. Für Kliniken bedeutet das, dass Informationssicherheit und betriebliches Kontinuitätsmanagement (BCM) zusammen gedacht werden müssen.
Häuser unterhalb der 30.000-Fälle-Grenze sind damit nicht aus der Pflicht: Für sie ist zu prüfen, ob sie als besonders wichtige Einrichtung (§ 28 Absatz 1 Nummer 4 BSIG) oder als wichtige Einrichtung (§ 28Absatz 2 Nummer 3 BSIG) einzustufen sind. Die frühere Vorstellung, nur die rund 90 größten deutschen Kliniken seien reguliert, ist damit überholt.
§ 391 SGB V: IT-Sicherheit für jedes Krankenhaus
Unabhängig von NIS2 und KRITIS gilt für alle Krankenhäuser eine eigene sozialrechtliche Pflicht. § 391 SGB V verpflichtet jedes Krankenhaus, nach dem Stand der Technik angemessene organisatorische und technische Vorkehrungen zu treffen, um Störungen der Verfügbarkeit, Integrität und Vertraulichkeit seiner informationstechnischen Systeme zu vermeiden. Diese Norm hat den früheren § 75c SGB V abgelöst; sie wurde durch das Digital-Gesetz(DigiG) in das SGB V überführt und gilt in dieser Fassung seit dem 26. März 2024.
Entscheidend ist die Reichweite: § 391 SGB V kennt keine Größenschwelle. Er verpflichtet das kleine Fachkrankenhaus ebenso wie den Maximalversorger. Absatz 2 verlangt verpflichtende Maßnahmen zur Steigerung der Security-Awareness; regelmäßige Sensibilisierung ist damit nicht optional. Absatz 3 stellt klar, dass Vorkehrungen angemessen sind, wenn der Aufwand nicht außer Verhältnis zu den Folgen eines Sicherheitsvorfalls steht. Je größer und versorgungsrelevanter ein Haus also ist, desto höher die Messlatte. Eigene Bußgelder kennt § 391 SGB V zwar nicht, aber die Verantwortung bleibt bei der Geschäftsführung. Sie kann die Umsetzung delegieren, die Verantwortung selbst jedoch nicht.
Der B3S als anerkannter Stand der Technik
Was „Stand der Technik" konkret bedeutet, füllt der Branchenspezifische Sicherheitsstandard (B3S) „Medizinische Versorgung" aus. Er wird von der Deutschen Krankenhausgesellschaft in Abstimmung mit dem Branchenarbeitskreis „Medizinische Versorgung" erstellt und vom BSI auf seine Eignung nach § 8a BSIG (a.F., seit dem 6. Dezember 2025 fortgeführt in §39 BSIG) geprüft. Für die aktuelle Fassung wurde die Eignung Ende 2025 festgestellt. Wer den B3S umsetzt, erfüllt damit die KRITIS-Anforderungen nach § 39 BSIG; zugleich wird die Umsetzung in der Fachpraxis auch für Häuser unterhalb der KRITIS-Schwelle als angemessene Konkretisierung des Standes der Technik im Sinne des § 391 SGB V anerkannt.
Der B3S definiert die vollstationäre Versorgung von Patientinnen und Patienten als zu schützende kritische Dienstleistung und stellt darauf aufbauend konkrete Anforderungen – von Risikomanagement über Notfallvorsorge bis hin zu Systemen zur Angriffserkennung (SzA). Damit geht er über ein branchenneutrales Sicherheitskonzept hinaus und übersetzt die Schutzziele in den Klinikalltag.
Wichtig ist die Verzahnung mit etablierten Normen: Der B3S orientiert sich an der Systematik gängiger ISMS-Standards wie ISO/IEC 27001. Ein Krankenhaus, das sein ISMS von Beginn an so aufsetzt, dass es mehrere Bezugsrahmen zugleich bedient, vermeidet Doppelarbeit. Genau hier zahlt sich ein frameworkoffener Ansatz aus: NIS2/BSIG, § 391 SGB V, B3S und ISO 27001 werden nicht in getrennten Silos, sondern in einem gemeinsamen System abgebildet.
Der Weg zur NIS2-konformen Klinik: fünf Schritte
NIS2 erfolgreich umzusetzen heißt, aus dem Regelgeflecht einen strukturierten Umsetzungspfad zu machen. In der Praxis hat sich ein fünfstufiges Vorgehen bewährt, das vom ersten Statuscheck bis zum wiederkehrenden Nachweis führt.
- Betroffenheit prüfen und registrieren. Zunächst ist zu klären, ob das Haus als besonders wichtige oder wichtige Einrichtung nach § 28 BSIG einzustufen ist und ob zusätzlich KRITIS-Status vorliegt. Auf Grundlage dieser Einordnung erfolgt die Registrierung beim BSI über das Melde- und Informationsportal (MIP).
- GAP-Analyse gegen den B3S. Ein strukturierter Abgleich zwischen B3S-Anforderungen und tatsächlichem Umsetzungsstand macht Lücken sichtbar und erlaubt eine Priorisierung nach Risiko und Reifegrad. Das BSI folgt mit der Reife- und Umsetzungsgradprüfung (RUN) derselben Logik. Die GAP-Analyse ist damit zugleich Ausgangspunkt und späterer Prüfungsmaßstab.
- ISMS-Grundgerüst aufsetzen. Scope, Rollen und Verantwortlichkeiten, Assetregister, Risikomethodik und Kontrollset bilden das Fundament. Frameworkoffen gedacht, deckt ein ISMS gleichzeitig NIS2/BSIG, §391 SGB V, B3S und ISO 27001 ohne Doppelarbeit ab.
- Meldeprozesse und BCM etablieren. Die 24h/72h/1M-Kaskade nach § 32 BSIG funktioniert nur mit vorbereiteten Meldewegen, klaren Eskalationsstufen und geübten Abläufen. Zusammen mit einem betrieblichen Kontinuitätsmanagement (BCM) für Ausfälle und Krisenlagen wird aus Reaktion Routine.
- Nachweise aufbauen und Zyklus schließen. Dokumentation, interne Audits und die Vorbereitung der turnusmäßigen Nachweise nach § 39 BSIG sind Teil des Regelbetriebs und kein Endpunkt. Der PDCA-Zyklus des ISMS trägt die Umsetzung dauerhaft.
So wird aus der Compliance-Anforderung ein belastbarer Betriebsprozess und aus der NIS2-Umsetzung ein Zustand, der im Ernstfall trägt.
Vom Pflichtprogramm zur Chance: ISMS mit Athereon GRC
Für viele Kliniken wirkt diese Gemengelage zunächst erdrückend. Doch Informationssicherheit lässt sich als Chance begreifen: Ein gut geführtes ISMS reduziert reale Risiken, schafft Vertrauen bei Patientinnen und Patienten und macht Compliance zum belastbaren Nachweis statt zur jährlichen Feuerwehrübung. Compliance als Chance ist für Kliniken kein Werbeversprechen, sondern eine Frage der Betriebsfähigkeit.
Athereon GRC, die führende europäische GRC-Plattform, unterstützt Kliniken und Krankenhäuser dabei, genau dieses ISMS aufzubauen und zu betreiben. Das ISMS-Modul bildet die Anforderungen aus NIS2/BSIG, § 391 SGBV, dem B3S „Medizinische Versorgung" und ISO 27001 in einer gemeinsamen Struktur ab. Da die Plattform frameworkoffen ist, arbeiten Sie mit einem konsistenten Satz an Kontrollen, Nachweisen und Risiken, statt jede Anforderung separat zu pflegen. Ergänzende Module wie BCM (Business Continuity Management) für die Notfallvorsorge und DSM (Datenschutzmanagement) für den Umgang mit sensiblen Gesundheitsdaten nach Art. 9 DSGVO greifen dabei ineinander.
Unterstützt werden Sie von der KI-Agentin LAiKA. Sie arbeitet nach einer klaren Eskalationslogik: vom Fundament über LAiKA Assist bis zu den spezialisierten Agenten wie dem Infrastructure Mapper, dem Compliance Assistant und dem Questionnaire Assistant. LAiKA nimmt Routinearbeit ab, etwa beim Erfassen der Systemlandschaft oder beim Beantworten wiederkehrender Prüffragen. Dabei gilt durchgängig der Leitsatz „Nichts ohne Ihr OK": Die volle Kontrolle über jede Entscheidung bleibt bei Ihnen.
Für Krankenhäuser ist ein weiterer Punkt entscheidend: Athereon GRC ist 100 % Made in Germany. Sensible Patientendaten und Sicherheitsnachweise verbleiben in einer Umgebung, die deutschem Recht unterliegt. Das ist ein Vorteil, der in Ausschreibungen und Audits zunehmend gefordert wird.
Fazit
Ein ISMS im Krankenhaus ist heute doppelte Pflicht und Chance zugleich: Es erfüllt die Anforderungen aus NIS2, KRITIS und dem KRITIS-Dachgesetz, aus § 391 SGB V und Art. 9 DSGVO und schützt zugleich das Wichtigste, nämlich die Versorgung der Patientinnen und Patienten. Wer die verschiedenen Regelwerke in einem System zusammenführt, statt sie einzeln abzuarbeiten, spart Aufwand und gewinnt Nachweissicherheit. Mit dem ISMS-Modul von Athereon GRC und der KI-Agentin LAiKA setzen Sie die NIS2-Vorgaben strukturiert um und bauen eine Informationssicherheit auf, die im Ernstfall trägt.
