NIS 2.0 verändert den Blick auf Informationssicherheit im Krankenhaus. Die Anforderungen richten sich nicht nur an die IT. Sie betreffen die gesamte Organisation und damit auch die Geschäftsführung. Gleichzeitig gewinnt eine Frage an Bedeutung, die viele Krankenhäuser bisher nur am Rande beschäftigt hat: Was passiert, wenn eine Behörde die Umsetzung der Anforderungen überprüft?

Eine solche Prüfung kann zeigen, wie ernst ein Krankenhaus seine Verantwortung für die Informationssicherheit nimmt. Entscheidend ist dann nicht allein, welche technischen Schutzmaßnahmen eingerichtet wurden. Das Krankenhaus muss auch zeigen können, dass es Risiken systematisch bewertet, Verantwortlichkeiten festgelegt hat und organisatorische Maßnahmen umsetzt und deren Wirksamkeit überprüft.

Wer erst reagiert, wenn eine Prüfung angekündigt wird, hat deshalb wenig Zeit. Besser ist es, das Krankenhaus so aufzustellen, dass es einer Prüfung jederzeit gelassen entgegensehen kann.

Was kommt auf die Geschäftsführung bei einer Prüfung zu?

NIS 2.0 stärkt die Verantwortung der Leitung. Die Geschäftsführung muss dafür sorgen, dass geeignete organisatorische und technische Maßnahmen getroffen werden und dass die gesamte Organisation ihre Risiken kennt und beherrscht. Bei einer behördlichen Prüfung kann deshalb das gesamte Sicherheitsniveau des Krankenhauses auf den Prüfstand kommen. Die Behörde wird sich beispielsweise dafür interessieren, wie das Krankenhaus seine Risiken bewertet, welche Sicherheitsmaßnahmen es daraus ableitet und wie es deren Umsetzung nachweist.

Dabei entsteht schnell eine entscheidende Situation: Eine Richtlinie allein reicht nicht. Auch ein vor Jahren durchgeführtes Audit oder ein bestehendes ISMS beantworten nicht automatisch die Frage, ob die aktuellen Anforderungen wirksam umgesetzt werden.

Die Geschäftsführung sollte deshalb nicht nur fragen: „Sind wir sicher?“ Sie sollte fragen: „Können wir unsere Sicherheit gegenüber einer Behörde nachvollziehbar belegen?“

Dokumentation wird zum Prüfstein

Eine gute Informationssicherheit zeigt sich nicht nur im Alltag. Sie muss sich auch anhand von Unterlagen nachvollziehen lassen. Das betrifft beispielsweise Risikoanalysen, Sicherheitskonzepte, Richtlinien, Schulungsnachweise, Protokolle zu Sicherheitsvorfällen oder Ergebnisse von Überprüfungen. Ebenso wichtig ist die Frage, wer für welche Aufgabe verantwortlich ist und wie die Geschäftsführung die Entwicklung der Informationssicherheit verfolgt.

Gerade hier entstehen in Krankenhäusern häufig Lücken. Viele Maßnahmen sind zwar umgesetzt, aber nicht ausreichend dokumentiert. Die Zuständigkeiten haben sich verändert, ohne dass dies in den Unterlagen sichtbar wird. Oder einzelne Sicherheitsprozesse laufen in der Praxis, lassen sich aber gegenüber einer prüfenden Stelle nur schwer nachvollziehbar darstellen.

Für die Geschäftsführung bedeutet das: Was nicht nachvollziehbar dokumentiert ist, lässt sich im Zweifel auch nur schwer nachweisen.

Reicht ein bestehendes ISMS aus?

Viele Krankenhäuser verfügen bereits über ein Informationssicherheits-Managementsystem. Das ist eine wichtige Grundlage. Es bedeutet jedoch nicht automatisch, dass alle Anforderungen von NIS 2.0 erfüllt sind.

NIS 2.0 erweitert den Blick auf Informationssicherheit und stellt unter anderem zusätzliche Anforderungen an das Risikomanagement, die technischen und organisatorischen Maßnahmen, den Umgang mit realen Sicherheitsvorfällen, die Bewertung aller Lieferanten und ausführliche Schulungen bis hin zur Geschäftsführung.

Deshalb sollte die Geschäftsführung ihr bestehendes ISMS nicht als fertige Antwort verstehen. Sinnvoller ist ein strukturierter Abgleich:

  • Welche zusätzlichen Anforderungen gelten für unser Krankenhaus?
  • Was ist bereits umgesetzt?
  • Wo bestehen Lücken?
  • Und vor allem: Welche dieser Maßnahmen können wir im Prüfungsfall auch nachweisen?

Ein solcher Abgleich schafft Transparenz und verhindert, dass die Organisation erst unter Zeitdruck nacharbeiten muss.

Wie gut kennt die Geschäftsführung den eigenen Stand?

Eine behördliche Prüfung kann auch für die Leitung selbst eine Herausforderung darstellen. Denn die Geschäftsführung sollte jederzeit beantworten können, welchen Stellenwert Informationssicherheit im Krankenhaus hat, welche wesentlichen Risiken bestehen und wie mit diesen Risiken umgegangen wird.

Dafür braucht es keine technischen Detailkenntnisse. Das Management muss nicht erklären können, wie ein bestimmtes System konfiguriert ist. Es sollte aber wissen, welche kritischen Prozesse und Systeme besonders geschützt werden müssen, welche Risiken aktuell bestehen und welche Maßnahmen dagegen ergriffen werden.

Auch regelmäßige Berichte der Verantwortlichen können dabei helfen. Aussagekräftige Kennzahlen machen Entwicklungen sichtbar und zeigen, ob Sicherheitsmaßnahmen tatsächlich Wirkung entfalten.

Prüfungsvorbereitung ist mehr als ein Ordner mit Unterlagen

Eine gute Vorbereitung beginnt deshalb lange vor einer möglichen Prüfung. Das Krankenhaus sollte seine NIS 2.0 Anforderungen regelmäßig überprüfen und die Ergebnisse nachvollziehbar dokumentieren.

Dazu gehört auch eine realistische Prüfungssimulation. Dabei kann das Krankenhaus die Perspektive einer Behörde einnehmen:

  • Sind die Verantwortlichkeiten eindeutig festgelegt?
  • Lassen sich wichtige Maßnahmen nachweisen?
  • Sind Risiken aktuell bewertet?
  • Sind Sicherheitsvorfälle dokumentiert und Prozesse für deren Behandlung etabliert?
  • Wie wird die Geschäftsführung informiert?

Eine solche simulierte Prüfung auf Probe kann Schwachstellen sichtbar machen, bevor eine externe Stelle sie entdeckt.

NIS 2.0 wird zur Führungsaufgabe

Für die Geschäftsführung ist NIS 2.0 deshalb mehr als ein weiteres IT-Thema. Informationssicherheit gehört zur Unternehmensverantwortung und damit auf die Führungsebene.

Ein Krankenhaus, das seine Hausaufgaben gemacht hat, kann einer behördlichen Prüfung deutlich entspannter begegnen. Genau darauf sollte das Ziel gerichtet sein: Nicht auf eine Prüfung reagieren, sondern jederzeit prüfungsfähig sein.

Adiccon unterstützt Krankenhäuser dabei, ihren aktuellen Stand im Hinblick auf NIS 2.0 zu bewerten, offene Handlungsfelder zu identifizieren und die notwendigen Maßnahmen strukturiert umzusetzen. Entscheidend ist eine Informationssicherheit, die im Krankenhaus funktioniert und sich gegenüber der Geschäftsführung ebenso wie gegenüber einer prüfenden Behörde nachvollziehbar darstellen lässt.

Wenn Sie mehr darüber wissen möchten, wie wir Sie bei dieser wichtigen Thematik konkret unterstützen können, dann nehmen Sie Kontakt zu uns auf: walter.schaefer@adiccon.de oder mobil unter 0160 90997764.