Die Umsetzung zeigt, worauf es wirklich ankommt

Die NIS 2.0 hat die Informationssicherheit in nahezu allen Krankenhäusern stärker in den Fokus der Geschäftsführung gerückt. Die Häuser müssen sich mit neuen Anforderungen, zusätzlichen Pflichten und konkreten Maßnahmen beschäftigen. Dabei wird schnell deutlich: Die größte Herausforderung liegt nicht darin, einzelne Sicherheitsmaßnahmen einzuführen. Sie liegt darin, Informationssicherheit dauerhaft in der Organisation zu verankern.

Die bisherigen Erfahrungen liefern wichtige Erkenntnisse. Die Krankenhäuser, die daraus die richtigen Schlüsse ziehen, können ihre Sicherheitsorganisation gezielt verbessern. Sie vermeiden unnötige Doppelarbeiten, setzen ihre Ressourcen wirksamer ein und schaffen vor allem mehr Transparenz über bestehende Risiken.

Für die Geschäftsführung lohnt sich deshalb durchaus ein Blick zurück. Was hat bei der Umsetzung gut funktioniert? Wo sind Schwierigkeiten entstanden? Welche Konsequenzen sollte das Management daraus ziehen?

Informationssicherheit ist Chefsache – jeden Tag

Eine zentrale Erkenntnis lautet: Die Geschäftsführung muss die Informationssicherheit aktiv steuern. Sie kann die operative Umsetzung an die IT-Leitung oder besser noch an den Informationssicherheitsbeauftragten (ISB) übertragen. Die Verantwortung für die erforderliche Organisation und die Überwachung der Maßnahmen bleibt jedoch bei der Managementebene.

In der Praxis reicht es deshalb nicht, einen Projektauftrag zu erteilen und regelmäßig nach dem Fortschritt zu fragen. Die Geschäftsführung muss wissen, welche Risiken die Patientenversorgung gefährden, welche technischen und organisatorischen Maßnahmen Priorität haben und wo Entscheidungen auf Leitungsebene erforderlich sind. Dafür braucht sie einen fokussierten Statusbericht. Er sollte die wesentlichen Risiken, den Umsetzungsstand und offene Entscheidungen zeigen. Eine zu lange Liste technischer Einzelmaßnahmen hilft dabei wenig.

Unser Tipp: Machen Sie das Thema „Informationssicherheit“ zu einem festen Tagesordnungspunkt in Ihren Leitungssitzungen. Fordern Sie dabei klare Aussagen zu Risiken, Fortschritt und Handlungsbedarf ein. Das ist nach unseren Erfahrungen aus den Projekten in Krankenhäusern jeder Größenordnung eine konkrete, wichtige Maßnahme, die das Bewusstsein schärft.

Warum reichen einzelne Sicherheitsmaßnahmen nicht aus?

Viele Krankenhäuser haben bereits in den vergangenen Jahren in Firewalls, Datensicherungen, Zugangsschutz und Mitarbeiterschulungen investiert. Diese Maßnahmen bleiben unverändert wichtig. Die NIS 2.0 zeigt jedoch, dass technische Sicherheit allein nicht genügt.

Entscheidend ist, ob die einzelnen Maßnahmen ineinandergreifen:

  • Sind Risiken systematisch erfasst?
  • Leiten sich daraus konkrete Maßnahmen ab?
  • Sind Verantwortliche benannt und bekannt?
  • Prüft das Krankenhaus regelmäßig, ob die Maßnahmen tatsächlich wirken?

Ein Beispiel verdeutlicht das Problem: Ein Krankenhaus verfügt über Datensicherungen. Doch niemand hat überprüft, ob sich die gesicherten Daten im Ernstfall vollständig und rechtzeitig wiederherstellen lassen. Die Maßnahme existiert, ihre Wirksamkeit ist aber nicht verprobt.

Genau hier muss die Geschäftsführung ansetzen. Verlangen Sie nicht nur den Nachweis, dass eine Maßnahme eingeführt wurde. Fragen Sie auch, ob sie im Ernstfall verlässlich funktioniert.

Klare Zuständigkeiten verhindern gefährliche Lücken

Die Informationssicherheit betrifft nahezu alle Bereiche eines Krankenhauses. Neben der IT spielen die Medizintechnik, das Qualitätsmanagement, der Datenschutz, das Risikomanagement und alle Fachabteilungen eine wichtige Rolle.

Gerade an den „Schnittstellen“ der Abteilungen entstehen Probleme. Wer bewertet beispielsweise die Sicherheitsrisiken eines neuen medizinischen Geräts, das mit dem Krankenhausnetz verbunden wird? Wer stimmt sich mit dem Hersteller ab? Wer entscheidet, wenn notwendige Sicherheitsmaßnahmen den laufenden Betrieb beeinflussen?

Wenn Zuständigkeiten ungeklärt bleiben, verzögert sich die Umsetzung. Im ungünstigsten Fall fühlt sich niemand verantwortlich. Die Geschäftsführung sollte deshalb klare Rollen festlegen und die Zusammenarbeit verbindlich organisieren. Der Informationssicherheitsbeauftragte (ISB) kann die Umsetzung koordinieren, Risiken bewerten und Maßnahmen begleiten. Er benötigt dafür jedoch einen klaren Auftrag, den Zugang zu den relevanten Entscheidern und deren Akzeptanz.

Unser Tipp: Prüfen Sie Ihre Zuständigkeitsregelungen anhand konkreter Situationen. Wenn niemand eindeutig sagen kann, wer entscheidet und wer handelt, besteht akuter Handlungsbedarf. Wir stellen in unseren Projekten immer wieder fest, dass Lücken in der Organisation intransparent sind und dadurch ein Entscheidungs-Vakuum entsteht. Die Prüffrage „Wer ist konkret verantwortlich?“ ist nicht überflüssig.

Risikomanagement muss Entscheidungen ermöglichen

Eine weitere wichtige Erkenntnis betrifft den Umgang mit Risiken. Die Krankenhäuser verfügen häufig über verschiedene Risikolisten, individuelle technische Bestandsaufnahmen und vereinzelte Dokumentationen. Diese Unterlagen erfüllen jedoch nicht automatisch die Anforderungen an ein wirksames Informationssicherheits-Risikomanagement.

Die Geschäftsführung benötigt eine nachvollziehbare Grundlage, um Prioritäten zu setzen:

  • Welche Risiken gefährden die Patientenversorgung besonders stark?
  • Welche Ausfälle hätten erhebliche Folgen für den Krankenhausbetrieb?
  • Welche Schwachstellen müssen kurzfristig beseitigt werden?
  • Welche Maßnahmen können mit einem vertretbaren Restrisiko zu einem späteren Zeitpunkt umgesetzt werden?

Ein strukturiertes Risikomanagement verbindet diese Fragen miteinander durch einen erweiterten Blickwinkel. Es ordnet Risiken ein, leitet Maßnahmen ab und macht idealerweise Entscheidungen nachvollziehbar.

Das ist gerade bei begrenzten Budgets wichtig. Kein Krankenhaus kann alle Risiken gleichzeitig beseitigen. Es muss seine Ressourcen dort einsetzen, wo sie den größten Sicherheitsgewinn bringen. Die Geschäftsführung sollte deshalb darauf achten, dass Risikomanagement nicht zu einer reinen Dokumentationsaufgabe wird. Es muss konkrete Entscheidungen unterstützen und die Sicherheitslage tatsächlich verbessern.

Notfallpläne müssen sich in der Praxis bewähren

Ein Cyberangriff lässt sich nicht vollständig verhindern. Umso wichtiger ist es, dass ein Krankenhaus auch bei einem schwerwiegenden Sicherheitsvorfall handlungsfähig bleibt. Viele Einrichtungen verfügen über Notfallpläne.

Doch wann wurden diese zuletzt unter realistischen Bedingungen getestet? Wissen die Verantwortlichen, wer in der Krise leitet, wer welche Informationen benötigt und wie die Versorgung ohne zentrale IT-Systeme weiterlaufen kann? Ein schriftlicher Plan allein beantwortet diese Fragen nicht. Erst konkrete Übungen zeigen, ob Abläufe funktionieren und ob die Beteiligten ihre Aufgaben kennen.

Die Geschäftsführung sollte deshalb regelmäßige Notfallübungen unterstützen und deren Ergebnisse konsequent auswerten. Dabei geht es nicht darum, Fehler einzelner Mitarbeiter aufzudecken. Ziel ist es, Schwachstellen in den Abläufen zu erkennen und zu beheben.

Dokumentation ist kein Selbstzweck

Die NIS 2.0 verlangt, dass Krankenhäuser ihre Sicherheitsmaßnahmen und deren Umsetzung nachvollziehbar dokumentieren. Diese Anforderung sollte niemand unterschätzen. Gleichzeitig wäre es falsch, möglichst viele Dokumente als Beleg für eine erfolgreiche Umsetzung zu betrachten.

Eine gute, prägnante Dokumentation beantwortet konkrete Fragen:

  • Welche Risiken bestehen?
  • Welche Maßnahmen wurden beschlossen?
  • Was wurde bereits umgesetzt?
  • Wie bewertet das Krankenhaus die Wirksamkeit?

Wenn diese Informationen aktuell und zentral verfügbar sind, profitiert die Geschäftsführung gleich mehrfach. Sie erhält einen belastbaren Überblick, kann Entscheidungen nachvollziehen und erkennt offene Aufgaben frühzeitig.

Nutzen Sie deshalb vorhandene Strukturen und vermeiden Sie unnötige Parallelwelten. Ein bestehendes Informationssicherheitsmanagementsystem bietet häufig eine gute Grundlage, um die NIS 2.0 Anforderungen systematisch abzubilden.

Was sollte die Geschäftsführung jetzt tun?

Die wichtigste Lehre aus der NIS 2.0 Umsetzung ist einfach: Nicht die Zahl der erledigten Maßnahmen entscheidet über den Erfolg, sondern die Fähigkeit des Krankenhauses, seine wesentlichen Risiken dauerhaft zu beherrschen.

Die Umsetzung der NIS 2.0 ist kein einmaliges Projekt mit einem festen Enddatum. Die Informationssicherheit muss sich mit neuen Bedrohungen, technischen Veränderungen und wechselnden organisatorischen Anforderungen weiterentwickeln.

Adiccon verfügt über langjährige Erfahrungen bei der Umsetzung notwendiger Maßnahmen und unterstützt Krankenhäuser und Klinikgruppen dabei, den Umsetzungsstand zu bewerten, Lücken zu erkennen und die nächsten Schritte gezielt zu planen. Wir verbinden umfassende Erfahrung in der Informationssicherheit mit einem Verständnis für die organisatorischen und wirtschaftlichen Herausforderungen im Krankenhaus.

Wenn Sie mehr darüber wissen möchten, wie wir Sie bei dieser wichtigen Thematik konkret unterstützen können, dann nehmen Sie Kontakt zu uns auf: walter.schaefer@adiccon.de oder mobil unter 0160 90997764.