Vom Sicherheitsbeauftragten zum strategischen Partner der Krankenhausleitung

Ist Ihr Informationssicherheitsbeauftragter noch hauptsächlich mit Richtlinien, Audits und verschiedenen Dokumentationen beschäftigt? Kann sich ein Krankenhaus angesichts wachsender Cyberbedrohungen, NIS 2.0 und des KRITIS-Dachgesetzes einen solchen Rolleninhalt überhaupt noch leisten? Eine vielleicht unbequeme Frage: Wird der ISB in Ihrem Krankenhaus bei strategischen Entscheidungen frühzeitig eingebunden oder erst dann gerufen, wenn es ein Sicherheitsproblem gibt?

Die Anforderungen an die Informationssicherheit im Krankenhaus haben sich grundlegend verändert. Cyberangriffe bedrohen nicht mehr nur die IT. Sie können den gesamten Krankenhausbetrieb erheblich beeinträchtigen, die Patientenversorgung vollumfänglich gefährden und die wirtschaftliche Existenz einer Einrichtung belasten. Die Informationssicherheit ist damit längst eine Frage der Unternehmensführung geworden. Damit müssen sich dann auch die fachlichen Inhalte der Rolle des Informationssicherheitsbeauftragten ändern.

Der ISB muss näher an die Unternehmensführung rücken

Viele ISB haben ihre Funktion über Jahre hinweg vor allem operativ geprägt. Sie pflegen Sicherheitsrichtlinien, organisieren Schulungen, begleiten Audits, bewerten Risiken und kontrollieren die Umsetzung von technischen und organisatorischen Maßnahmen. Diese Aufgaben bleiben wichtig. Sie reichen aber bei weitem nicht mehr aus.

Ein moderner ISB muss die Geschäftsführung dabei unterstützen, die Informationssicherheit als Bestandteil der Unternehmensstrategie zu verstehen und zu steuern. Er muss Risiken nicht nur dokumentieren, sondern ihre Bedeutung für den Krankenhausbetrieb erklären.

  • Welche Geschäftsprozesse sind besonders gefährdet?
  • Welche Abhängigkeiten bestehen von IT-Dienstleistern?
  • Welche Ausfälle würden die Patientenversorgung unmittelbar beeinträchtigen?
  • Wo muss die Geschäftsführung Prioritäten setzen?

Gerade in KRITIS-Krankenhäusern gewinnt diese vorausschauende Perspektive an Bedeutung. Hier geht es nicht allein darum, Sicherheitsanforderungen zu erfüllen. Es geht darum, die Versorgung auch unter außergewöhnlichen Bedingungen aufrechtzuerhalten. Der ISB sollte deshalb regelmäßig an strategischen Gesprächen teilnehmen und seine Einschätzungen unmittelbar in die Entscheidungsfindung einbringen können.

NIS 2.0 und KRITIS-Dachgesetz verändern die Erwartungen

Mit NIS 2.0 und dem KRITIS-Dachgesetz steigen die Anforderungen an die Organisation, Steuerung und Nachweisbarkeit der Informationssicherheit. Die Geschäftsführung trägt dabei eine besondere Verantwortung. Sie muss Risiken verstehen, angemessene Maßnahmen veranlassen und deren Wirksamkeit überwachen lassen.

Das kann sie nicht allein leisten. Sie braucht einen ISB, der Zusammenhänge erkennt, Entwicklungen einordnet und konkrete Handlungsempfehlungen gibt.

Dazu gehört auch, die Informationssicherheit stärker mit anderen Unternehmensbereichen zu verbinden. Medizinische und pflegerische Prozesse, Medizintechnik, Qualitätsmanagement, Personal, Einkauf, Gebäudemanagement, Betriebsrat und auch externe Dienstleister müssen unbedingt einbezogen werden. Die Informationssicherheit darf keine isolierte Aufgabe der IT bleiben.

Der ISB entwickelt sich damit zunehmend zum Vermittler zwischen Technik, Organisation und Unternehmensführung.

Welche Kompetenzen braucht der ISB von morgen?

Die fachliche Kompetenz in der Informationssicherheit bleibt die Grundlage. Doch sie allein macht noch keinen strategisch wirksamen ISB aus.

Gefragt sind zunehmend weitere Fähigkeiten:

  • Strategisches Denken: Der ISB muss Risiken mit den Zielen und Geschäftsprozessen des Krankenhauses verbinden.
  • Kommunikationsfähigkeit: Er muss komplexe Sachverhalte verständlich erklären und unterschiedliche Verantwortliche für Sicherheitsfragen gewinnen.
  • Managementkompetenz: Er muss Maßnahmen priorisieren, Verantwortlichkeiten klären und deren Umsetzung nachhalten.
  • Verständnis für den Krankenhausbetrieb: Er muss wissen, welche Auswirkungen Sicherheitsmaßnahmen und IT-Ausfälle auf medizinische, pflegerische und organisatorische Abläufe haben.

Besonders wichtig ist dabei die Fähigkeit, der Geschäftsführung nicht nur Probleme aufzuzeigen, sondern umsetzbare Lösungen vorzuschlagen.

Die Geschäftsführung muss die Rolle aktiv stärken

Eine Weiterentwicklung des ISB kann nicht allein vom Stelleninhaber ausgehen. Auch die Geschäftsführung muss dafür die Voraussetzungen schaffen.

Dazu gehört zunächst eine klare, transparente Positionierung innerhalb der Organisation. Der ISB braucht einen direkten Zugang zur Geschäftsführung, ausreichende zeitliche Ressourcen und eine eindeutige Aufgabenbeschreibung. Er muss unabhängig beraten können und darf nicht in Interessenkonflikte geraten, wenn er beispielsweise die Wirksamkeit von Sicherheitsmaßnahmen bewertet, die er selbst umgesetzt hat.

Ebenso wichtig ist eine regelmäßige Berichterstattung. Die Geschäftsführung sollte nicht mit seitenlangen technischen Dokumentationen konfrontiert werden, sondern mit verständlichen Aussagen zu Risiken, Entwicklungen, Ergebnissen, Handlungsbedarf und Fortschritt.

Die Informationssicherheit wird dadurch zu einer kontinuierlichen Führungsaufgabe und nicht zu einem Thema, das erst bei einem Audit oder Sicherheitsvorfall auf die Tagesordnung kommt.

Zeit für ein neues Selbstverständnis

Die Weiterentwicklung der ISB-Rolle ist keine zusätzliche organisatorische Spielerei. Sie ist eine notwendige Antwort auf die veränderte Bedrohungslage und die wachsenden gesetzlichen Anforderungen.

Die Krankenhäuser brauchen heute einen ISB, der die operative Sicherheit gewährleistet und gleichzeitig strategisch denkt. Einen Ansprechpartner, der Risiken frühzeitig erkennt, die Geschäftsführung fundiert berät und die verschiedenen Bereiche des Krankenhauses zusammenführt.

Mittlerweile sollte die Frage nach der Verfügbarkeit eines ISB überall positiv beantwortet werden.  Entscheidend ist jedoch, welchen Einfluss dieser ISB auf die Sicherheit und die Zukunftsfähigkeit des Krankenhauses tatsächlich konkret nehmen kann.

Adiccon unterstützt Krankenhäuser und Klinikgruppen dabei, die Informationssicherheit organisatorisch und strategisch weiterzuentwickeln. Mit langjähriger Erfahrung in der Informationssicherheit und der Übernahme externer ISB-Funktionen helfen wir, die ISB-Rolle wirksam in der Organisation zu verankern. Unser Anspruch ist es dabei, die Informationssicherheit proaktiv und strategisch zu gestalten.

Wenn Sie mehr darüber wissen möchten, wie wir Sie bei dieser wichtigen Thematik konkret unterstützen können, dann nehmen Sie Kontakt zu uns auf: walter.schaefer@adiccon.de oder mobil unter 0160 90997764.