NIS-2-Richtlinie: Was Krankenhäuser jetzt wissen und tun müssen

Die NIS-2-Umsetzung bringt umfassende Änderungen für Betreiber und Gesundheitseinrichtungen:

• Verschärfte KRITIS-Pflichten: Die bisherigen KRITIS-Pflichten aus dem BSI-Gesetz bleiben teilweise bestehen, werden jedoch erweitert und verschärft.
• Erhebliche Unterschiede je nach Einstufung: Die aktualisierten Vorgaben zur Einstufung von Einrichtungen bergen erhebliche Unterschiede bezüglich Pflichten, Überwachung und Sanktionsmaß.
• Kleinere Einrichtungen im Fokus: Auch kleinere Häuser werden verstärkt in die Pflicht genommen, umfassende Cybersicherheitsmaßnahmen umzusetzen, die künftig verstärkt überprüft werden können.
• Erweiterte behördliche Überwachung: Erweiterte behördliche Aufsicht: Das BSI verfügt über umfassende Aufsichts- und Durchsetzungsbefugnisse zur Sicherstellung der NIS-2-Konformität. Es können Prüfungen und Audits angeordnet, Nachweise von Einrichtungen eingefordert, bei berechtigten Anlässen die Einhaltung überprüft sowie Maßnahmen angeordnet werden.
• Erhebliche Sanktionen und persönliche Haftbarkeit der Geschäftsleitung: Die Nichteinhaltung der Pflichten kann zu hohen Bußgeldern führen. Auch die leitenden Personen oder Vertreter des Unternehmens können persönlich haftbar gemacht werden.
• Bis zum 17.10.24 müssen betroffene Einrichtungen die NIS-2-Anforderungen erfüllen.

Die NIS-2-Richtlinie erweitert den Kreis der betroffenen Einrichtungen und umfasst neben den bisherigen KRITIS-Betreibern auch zusätzliche Gesundheitseinrichtungen, wenn diese bestimmte Unternehmensgrößen überschreiten. Die Einstufung basiert auf der Anzahl der Mitarbeitenden sowie dem Jahresumsatz und der Jahresbilanz.

Wichtige Einrichtungen (NIS-2):

• ≥50 Mitarbeiter oder
• >10 Mio. EUR Umsatz und >10 Mio. EUR Bilanz
  
  Besonders wichtige Einrichtungen (NIS-2):
• ≥250 Mitarbeitende oder
• >50 Mio. EUR Umsatz und >43 Mio. EUR Bilanz
  
  Betreiber kritischer Anlagen (KRITIS):
• Bisherige KRITIS-Betreiber
• Kritische Infrastrukturen laut BSI-Gesetz (BSIG)
• Aktuell Krankenhäuser mit einer vollstationären Fallzahl von mindestens 30.000 im Jahr
• Gelten gleichzeitig als besonders wichtige Einrichtungen

Zehn Maßnahmen sind zu erfüllen. Diese sollen den Stand der Technik einhalten, die einschlägigen europäischen und internationalen Normen berücksichtigen und auf einem gefahrenübergreifenden Ansatz beruhen. Die Maßnahmen müssen zumindest Folgendes umfassen:

• Risikoanalyse und Sicherheit in der Informationstechnik
• Bewältigung von Sicherheitsvorfällen
• Aufrechterhaltung des Betriebs, wie Backup-Management und Wiederherstellung nach einem Notfall, und Krisenmanagement
• Sicherheit der Lieferkette einschließlich Sicherheit zwischen einzelnen Einrichtungen und ihren unmittelbaren Anbietern oder Diensteanbietern
• Sicherheit bei Erwerb, Entwicklung und Wartung von informationstechnischen Systemen, Komponenten und Prozessen, einschließlich Management und Offenlegung von Schwachstellen
• Bewertung der Wirksamkeit von Risikomanagementmaßnahmen im Bereich der Sicherheit in der Informationstechnik
• Cyberhygiene und Schulungen im Bereich der Sicherheit in der Informationstechnik
• Einsatz von Kryptografie und Verschlüsselung
• Sicherheit des Personals, Zugriffskontrolle und Management von Anlagen
• Multi-Faktor-Authentifizierung oder kontinuierliche Authentifizierung, gesicherte Kommunikation (Sprache, Video, Text) gegebenenfalls gesicherte Notfallkommunikationssysteme innerhalb der Einrichtung
  
  

Alle Einrichtungen müssen die Umsetzung der Maßnahmen dokumentieren. Eine genaue Konkretisierung der Maßnahmen ist aktuell noch nicht bekannt.

Betreiber kritischer Anlagen müssen, verglichen mit anderen wichtigen oder besonders wichtigen Einrichtungen, höhere Sicherheitsanforderungen für ihre versorgungsrelevanten IT-Systeme, Komponenten und Prozesse erfüllen und diese auch nachweisen. Angesichts der potenziell schwerwiegenden gesellschaftlichen und wirtschaftlichen Auswirkungen einer Störung wird die Umsetzung von Sicherheitsmaßnahmen als prioritär und wirtschaftlich angemessen betrachtet, auch wenn dies einen höheren Aufwand erfordert. Betreiber kritischer Anlagen sind außerdem verpflichtet, Systeme zur Angriffserkennung (SzA) einzusetzen, um potenzielle Bedrohungen rechtzeitig zu erkennen.

Erhebliche Sicherheitsvorfälle müssen im Rahmen einer gestuften Meldepflicht dem BSI gemeldet werden. Die verschiedenen Arten potenziell meldepflichtiger Vorfälle sind in der NIS-2-Umsetzung definiert und variieren je nach Art der Einrichtung.

• Unverzügliche Erstmeldung, spätestens innerhalb von 24 Stunden
• Folgemeldung innerhalb von 72 Stunden (mögliche Zwischenmeldungen auf Nachfrage des BSI)
• Abschlussmeldung oder Fortschrittsmeldung innerhalb eines Monats

Alle von NIS-2 betroffenen Betreiber und Einrichtungen sind verpflichtet, die für sie zutreffende Klassifizierung selbst zu ermitteln und sich innerhalb von drei Monaten eigenständig beim BSI zu registrieren.

Bei erheblichen Sicherheitsvorfällen kann das BSI betroffene Einrichtungen anweisen, ihre Nutzer zu informieren. Sollte es notwendig oder im öffentlichen Interesse sein, kann das BSI selbst die Öffentlichkeit aufklären oder das Krankenhaus auffordern, dies zu tun.

Geschäftsleitungen tragen die volle Verantwortung und sind verpflichtet, die Risikomanagement-Maßnahmen für Cybersicherheit umzusetzen und deren Einhaltung zu überwachen. Bei Verletzung dieser Pflichten haftet nicht nur das Unternehmen, sondern auch die leitenden Personen persönlich. Geschäftsführer müssen daher regelmäßig an Schulungen teilnehmen, um sich kontinuierlich die notwendigen Kenntnisse und Fähigkeiten zur Bewertung von Risiken und Maßnahmen anzueignen.

Betreiber kritischer Anlagen müssen spätestens drei Jahre nach Inkrafttreten des NIS-2-Umsetzungsgesetzes die Umsetzung der Risikomanagementmaßnahmen sowie den Einsatz von Systemen zur Angriffserkennung (SzA) dem BSI nachweisen. Diese Nachweise, basierend auf Sicherheitsaudits, Prüfungen und Zertifizierungen, sind alle drei Jahre zu erbringen. Das BSI hat das Recht, von sich aus Prüfungen bei Betreibern kritischer Anlagen durchzuführen und Vorgaben für Nachweisprüfungen festzulegen.

Für besonders wichtige und wichtige Einrichtungen ist grundsätzlich keine regelmäßige Nachweispflicht vorgesehen, jedoch können stichprobenartige Überprüfungen in Sonderfällen erfolgen. Das BSI kann Prüfungen und Audits anordnen, Nachweise anfordern, die Einhaltung überprüfen und bei Verstößen Maßnahmen ergreifen, einschließlich Anweisungen zur Behebung von Vorfällen und Entziehung der Zulassung.

Alle betroffenen Einrichtungen sind verpflichtet, die Umsetzung ihrer Maßnahmen zu dokumentieren.

Um das Risikomanagement in Ihrem Krankenhaus erfolgreich zu etablieren, beginnen Sie mit der Erstellung eines klaren Plans. Definieren Sie Verantwortlichkeiten, legen Sie Bewertungsgrundlagen fest und sorgen Sie für eine normenkonforme Dokumentation. Eine Klassifizierung der Systeme nach ihrer Kritikalität ermöglicht es Ihnen, Risiken gezielt zu erkennen und geeignete Maßnahmen zu entwickeln.
 

Bei der Durchführung des Risikomanagements analysieren Sie die technischen Systeme und deren Nutzung in den Prozessen Ihres Krankenhauses. Identifizieren und bewerten Sie die Risiken, um Maßnahmen zur Risikoreduzierung zu ergreifen. Überprüfen Sie regelmäßig das verbleibende Restrisiko und halten Sie alle Schritte in einer umfassenden Dokumentation fest, um die Sicherheit und Funktionalität Ihrer Systeme sicherzustellen.

Führen Sie zunächst eine Systemanalyse durch, um eine technische Bestandsaufnahme der eingesetzten IT-Systeme zu erhalten. In einer Prozessanalyse analysieren Sie die Nutzung der medizinischen IT-Systeme im Krankenhausbetrieb, um deren Bedeutung und potenzielle Schwachstellen zu erfassen.

In einer Risikoanalyse identifizieren Sie mögliche technische und betriebliche Risiken. Führen Sie eine Risikobewertung durch, um die Eintrittswahrscheinlichkeit und die Auswirkungen dieser Risiken zu ermitteln und dokumentieren Sie die Initialrisiken als Ausgangspunkt für weitere Maßnahmen.

Entwickeln Sie risikoreduzierende Maßnahmen, um die identifizierten Risiken zu minimieren. Nachdem die Maßnahmen implementiert wurden, bewerten Sie das verbleibende Restrisiko, um sicherzustellen, dass diese auf einem akzeptablen Niveau bleiben.

Alle Schritte müssen dokumentiert werden, um eine vollständige Nachverfolgbarkeit und Kontrolle des Risikomanagements zu gewährleisten.

Medizinische IT-Systeme sollten einem kontinuierlichen Risikomanagement-Lebenszyklus unterliegen, der die Schritte Risikoerfassung, Risikoanalyse und Risikobeherrschung umfasst. Dies ist bei der Beschaffung, Implementierung und dem Betrieb von IT-Systemen zu berücksichtigen. Anbieter wie Dräger unterstützen in diesem Prozess, einschließlich der Instandhaltung und Außerbetriebnahme.

Analysieren Sie Ihr Krankenhausnetzwerk umfassend, um einen genauen Überblick über die vorhandenen IT-Systeme zu erhalten. So können technische Risiken frühzeitig erkannt und behoben sowie die Sicherheit und Funktionsfähigkeit des gesamten Systems gewährleistet werden.

OpenKRITIS: unabhängige Plattform für den Schutz Kritischer Infrastrukturen

Zusammenarbeit von Betreibern und Staat zum Schutz Kritischer Infrastrukturen im UP KRITIS