Für viele Krankenhäuser ist NIS 2.0 kein völlig neues Thema. Sie verfügen bereits annähernd über ein Informationssicherheitsmanagementsystem (ISMS), haben Sicherheitsrichtlinien etabliert, führen Risikoanalysen durch und setzen technische Schutzmaßnahmen um. Trotzdem stellt NIS 2.0 die IT-Leitung vor neue Aufgaben. Denn die gesetzlichen Anforderungen gehen über den klassischen Blick auf die IT hinaus und verlangen ein systematisches, nachweisbares und wirksames Risikomanagement.

Besonders herausfordernd ist die Situation in Krankenhäusern, die unter NIS 2.0 fallen, aber noch keinen Informationssicherheitsbeauftragten (ISB) benannt haben. In diesen Häusern landet die Verantwortung zunächst häufig bei der IT-Leitung. Das kann kurzfristig funktionieren. Auf Dauer wird jedoch deutlich: Informationssicherheit braucht eine eigene Rolle, klare Verantwortlichkeiten und ausreichend Zeit.

Ist NIS 2.0 mit einem bestehenden ISMS bereits erfüllt?

Die kurze Antwort lautet: nicht automatisch. Ein etabliertes ISMS bildet eine sehr gute Grundlage. Wer beispielsweise nach ISO 27001 oder auf Basis des B3S arbeitet, hat viele Anforderungen bereits strukturell abgedeckt. Dazu gehören unter anderem Risikomanagement, Sicherheitsrichtlinien, Schulungen, Berechtigungskonzepte, Notfallvorsorge und die stetige, kontinuierliche Verbesserung.

NIS 2.0 setzt jedoch einen eigenen regulatorischen Rahmen. Das deutsche BSIG verlangt für besonders wichtige und wichtige Einrichtungen geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen. Diese müssen dokumentiert werden und sich an der Risikoexposition sowie am Stand der Technik orientieren.

Damit geht es nicht darum, neben dem ISMS ein zweites Sicherheitssystem aufzubauen. Viel sinnvoller ist es, NIS 2.0 in das bestehende ISMS zu integrieren und vorhandene Prozesse gezielt auf die neuen Anforderungen zu überprüfen.

Welche zusätzlichen Sicherheitsaspekte bringt NIS 2.0?

NIS 2.0 erweitert den Blick auf die Informationssicherheit. Besonders wichtig ist die ausdrückliche Betrachtung der Lieferkette. Ein Krankenhaus muss nicht nur seine eigenen Systeme schützen. Es muss auch die Sicherheitsrisiken berücksichtigen, die durch Dienstleister, Softwareanbieter, Cloud-Dienste und andere externe Partner entstehen.

Auch die Widerstandsfähigkeit gegenüber Sicherheitsvorfällen gewinnt an Bedeutung. Backup und Wiederherstellungsprozesse, Notfallmanagement und Krisenmanagement gehören ausdrücklich zu den geforderten Maßnahmen. Ebenso verlangt das Gesetz Prozesse für die Sicherheit bei Beschaffung, Entwicklung und Wartung von IT-Systemen sowie für den Umgang mit Schwachstellen.

Hinzu kommen Anforderungen an

  • Kryptografie,
  • Zugriffskontrolle,
  • die Verwaltung von IT-Systemen,
  • Schulungen und Sensibilisierung bis hin zum Management sowie
  • den Einsatz von Multi-Faktor-Authentifizierung.

Für ein Krankenhaus bedeutet das: Die technische Absicherung allein reicht nicht. Entscheidend ist das Zusammenspiel von Technik, Organisation, Prozessen und Verantwortlichkeiten.

Wo sollte die IT-Leitung ansetzen?

Der erste Schritt sollte keine neue Maßnahmenliste sein. Vielmehr sollte die IT-Leitung zunächst prüfen, was bereits vorhanden ist.

Ein bewährtes ISMS liefert dafür die richtige Struktur. Die vorhandenen Richtlinien, Risikoanalysen, Notfallkonzepte, Schulungsmaßnahmen und technischen Kontrollen werden den Anforderungen des BSIG gegenübergestellt. So lässt sich feststellen, welche Anforderungen bereits erfüllt sind, wo Nachweise fehlen und an welchen Stellen konkrete Maßnahmen notwendig werden.

Gerade im Krankenhaus lohnt sich dabei ein genauer Blick auf die Abhängigkeiten der medizinischen Versorgung. Das BSI betont, dass eine IT-Risikoanalyse mit dem übergreifenden Risikomanagement des Krankenhauses verzahnt werden sollte. Nur wenn kritische Prozesse und ihre Abhängigkeiten bekannt sind, lässt sich ein angemessenes Schutzniveau bestimmen.

Aus dieser Bestandsaufnahme entsteht ein konkreter Maßnahmenplan. Er sollte nicht nur technische Projekte enthalten, sondern ebenso organisatorische Verbesserungen, Verantwortlichkeiten, Fristen und Nachweise.

Warum wird der ISB damit noch wichtiger?

Wenn die IT-Leitung die NIS-2-Umsetzung zunächst selbst übernimmt, entsteht schnell ein Zielkonflikt. Die IT muss den laufenden Betrieb sicherstellen, Projekte vorantreiben, medizinische Anwendungen unterstützen und gleichzeitig die Informationssicherheit steuern und kontrollieren.

Ein ISB kann hier eine wichtige unabhängige Funktion übernehmen. Er

  • koordiniert das ISMS,
  • begleitet Risikoanalysen,
  • verfolgt Maßnahmen,
  • bereitet Sicherheitskennzahlen für die Geschäftsführung auf und
  • unterstützt die Fachbereiche.

Gleichzeitig kann er darauf achten, dass Sicherheitsanforderungen nicht nur beschlossen, sondern auch umgesetzt und regelmäßig überprüft werden.

Diese klare Rollenverteilung entspricht auch dem Grundgedanken der NIS-2-Regelungen: Die Geschäftsleitung muss die Risikomanagementmaßnahmen umsetzen lassen und deren Umsetzung überwachen. Zudem bestehen jetzt auch konkrete Schulungspflichten für die Geschäftsleitung.

Der ISB nimmt der IT-Leitung dabei nicht die Verantwortung für einen sicheren IT-Betrieb ab. Er schafft vielmehr eine organisatorische Struktur, in der Informationssicherheit dauerhaft gesteuert werden kann.

Welche technischen und organisatorischen Maßnahmen sind besonders relevant?

In der Praxis zeigen sich bei Krankenhäusern immer wieder ähnliche Handlungsfelder. Dazu gehören ein belastbares Patch- und Schwachstellenmanagement, wirksame Zugriffskontrollen, Multi-Faktor-Authentifizierung, Netzwerksegmentierung, sichere Backups und regelmäßig getestete Wiederherstellungsverfahren. Ebenso wichtig sind ein funktionierendes Incident Management, Notfallübungen und klare Kommunikationswege.

Auf der organisatorischen Seite stehen unter anderem Lieferantenmanagement, Berücksichtigung der Sicherheitsanforderungen bei der Beschaffung und im Projektmanagement, stetiges Aktualisieren der Berechtigungskonzepte, Entwickeln von Sicherheitsrichtlinien und eine regelmäßige Überprüfung deren Wirksamkeit.

Entscheidend ist dabei nicht, möglichst viele Maßnahmen nachzuweisen. Vielmehr geht es darum, dass die Maßnahmen zur Risiko-Situation des Krankenhauses passen und die Wirksamkeit der Maßnahmen stetig überprüft werden. Genau diesen risikobasierten Ansatz verlangt auch das BSIG.

Fazit: NIS 2.0 ist kein neues ISMS

Für die IT-Leitung sollte deshalb die zentrale Botschaft lauten: NIS 2.0 verlangt nicht den Aufbau eines parallelen Sicherheitsmanagements. Die Anforderungen lassen sich sinnvoll in ein bestehendes ISMS integrieren.

Aus unserer Erfahrung bei Adiccon ist gerade dieser Integrationsansatz entscheidend. Wir unterstützen Krankenhäuser und Klinikgruppen seit Jahren beim Aufbau der Informationssicherheit, des ISMS, der NIS 2.0 und der praktischen Umsetzung von Sicherheitsmaßnahmen. Dabei zeigt sich immer wieder: Nicht fehlende Einzelmaßnahmen sind das größte Problem, sondern fehlende Übersicht, unklare Verantwortlichkeiten und mangelnde konsequente Steuerung.

Ein bestehendes ISMS bietet deshalb einen erheblichen Vorsprung. Jetzt kommt es darauf an, die NIS-2-Anforderungen systematisch dagegen zu spiegeln, Lücken zu schließen und die Wirksamkeit nachzuweisen. Und falls noch kein ISMS etabliert ist, müssen die NIS 2.0-Anforderungen ohne diese Basis umgesetzt werden.

Für Krankenhäuser ohne ISB muss die IT-Leitung den ersten Schritt gehen. Gleichzeitig sollte sie die Gelegenheit nutzen, die Informationssicherheit organisatorisch neu aufzustellen. Auch hierbei kann Sie Adiccon unterstützen, in dem wir die Rolle des externen ISB mit einem unserer Sicherheitsexperten besetzen. Denn NIS 2.0 macht eines besonders deutlich: Informationssicherheit ist keine reine IT-Aufgabe. Sie ist eine Managementaufgabe, die dauerhaft gesteuert werden muss.

Wenn Sie mehr darüber wissen möchten, wie wir Sie bei dieser wichtigen Thematik konkret unterstützen können, dann nehmen Sie Kontakt zu uns auf: walter.schaefer@adiccon.de oder mobil unter 0160-90997764.