Sommer, SGB V § 391 IT-Sicherheit in Krankenhäusern / 2 Rechtspraxis

2.1 IT-Sicherheit (Abs. 1)

Rz. 5

Alle Krankenhäuser (§§ 197 ff.) sind verpflichtet, nach dem Stand der Technik angemessene organisatorische und technische Vorkehrungen zur Vermeidung von Störungen der Verfügbarkeit, Integrität und Vertraulichkeit ihrer informationstechnischen Systeme, Komponenten oder Prozesse zu treffen, die für die Funktionsfähigkeit des jeweiligen Krankenhauses und den Schutzbedarf der verarbeiteten Patienteninformationen maßgeblich sind. Der organisatorische und technische IT-Sicherheitsmaßstab ist inhaltlich mit dem des § 8a Abs. 1 BSI-Gesetz identisch. Der Gesetzestext (nach dem Stand der Technik) erfordert eine laufende Prüfung und Anpassung der Sicherheitsstandards.

2.2 Security-Awareness (Abs. 2)

Rz. 6

Vorkehrungen nach Abs. 1 sind auch verpflichtende Maßnahmen zur Steigerung der Security-Awareness von Mitarbeitenden. Im alltäglichen Umgang mit IT-Systemen ist Awareness eine elementare Sicherheitsmaßnahme (BSI, www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Informationen-und-Empfehlungen/Empfehlungen-nach-Angriffszielen/Faktor-Mensch/Awareness/awareness_node.html; abgerufen: 18.10.2024). Das bedeutet zunächst, dass ein Problembewusstsein für Cyber-Sicherheit geschaffen werden muss. Darauf aufbauend wird eine Verhaltensänderung hin zu sicherem digitalen Umgang erreicht. Die Richtlinie zur IT-Sicherheit wird in diesem Sinne um die Anforderung nach einer Steigerung der sogenannten Security-Awareness (übersetzt mit "Sicherheitsbewusstsein") in Form von Maßnahmen zur Sensibilisierung der Mitarbeitenden für die Wichtigkeit der Informationssicherheit konkretisiert, da Maßnahmen in diesem Bereich wichtige Bausteine der IT-Sicherheit darstellen (BT-Drs. 20/9048 S. 147). Hintergrund sind technische Maßnahmen für Informationssicherheit, die umfassende Unterstützung durch alle umsetzenden bzw. anwendenden Personen benötigen, um wirksam greifen zu können. Dazu ist es notwendig, jeder Person die Wichtigkeit der Informationssicherheit bewusst zu machen, sowohl für die eigene Arbeit als auch für die gesamte Organisation, der sie angehört. Geeignete Maßnahmen hängen dabei stark von dem entsprechenden Niveau der Sensibilisierung in der Organisation ab und reichen z. B. von Informationsmaterialien über Schulungen bis zu simulierten bzw. demonstrativen "Angriffen".

2.3 Angemessener Sicherheitsaufwand (Abs. 3)

Rz. 7

Organisatorische und technische Vorkehrungen nach Abs. 1 sind angemessen, wenn der dafür erforderliche Aufwand nicht außer Verhältnis zu den Folgen eines Ausfalls oder einer Beeinträchtigung des Krankenhauses oder dem Schutzbedarf der verarbeiteten Patienteninformationen steht. Der Aufwand zur Implementierung und Aufrechterhaltung geforderter Maßnahmen hängt maßgeblich vom Grad der IT-Durchdringung sowie den nach den bisherigen rechtlichen und normativen Anforderungen etablierten Maßnahmen ab. Die Aufrechterhaltung des Versorgungsniveaus der kritischen Infrastruktur steht dabei im Mittelpunkt, hierfür sollte u. a. ein Informationssicherheits-Managementsystem (ISMS) etabliert und aufrechterhalten werden. Diese Systeme werden mit dem Ziel eingesetzt, ein angemessenes Schutzniveau der unternehmenskritischen Informationen sicherzustellen.

2.4 Branchenspezifischer Sicherheitsstandard (Abs. 4)

Rz. 8

Die Krankenhäuser können die Verpflichtungen nach den Abs. 1 und 2 insbesondere erfüllen, indem sie einen branchenspezifischen Sicherheitsstandard für die informationstechnische Sicherheit der Gesundheitsversorgung im Krankenhaus in der jeweils gültigen Fassung anwenden. Dessen Eignung muss vom BSI nach § 8a Abs. 2 BSI-Gesetz festgestellt werden. Einen entsprechenden IT-Sicherheitsstandard (B3S) hat die DKG entwickelt (www.dkgev.de/themen/digitalisierung-daten/informationssicherheit-und-technischer-datenschutz/informationssicherheit-im-krankenhaus; abgerufen: 18.10.2024). Die Vorschrift lässt auch andere Lösungen zu.

2.5 Geltungsbereich (Abs. 5)

Rz. 9

Krankenhäuser (§ 108) gehören zur kritischen Infrastruktur (§ 10 BSI-Gesetz i. V. m. § 6 BSI-Kritisverordnung; Ausnahmen: kleinere Krankenhäuser, die den Schwellenwert von 30.000 stationären Fallzahlen jährlich nicht erreichen). Ihre Betreiber sind nach § 8a BSI-Gesetz verpflichtet, Sicherheitsstandards einzuhalten. Kleinere Krankenhäuser oder ausgelagerte Betriebe oder Betriebsteile unterhalb des kritischen Schwellenwertes haben die IT-Sicherheit nach Abs. 1 und 2 zu beachten.