Sommer, SGB V § 391 IT-Sicherheit in Krankenhäusern

0 Rechtsentwicklung

Rz. 1

Die Vorschrift wurde durch Art. 1 Nr. 31 des Gesetzes zum Schutz elektronischer Patientendaten in der Telematikinfrastruktur (Patientendaten-Schutz-Gesetz – PDSG) v. 14.10.2020 (BGBl. I S. 2115) mit Wirkung zum 20.10.2020 zunächst mit der Nummer 390 in das SGB V eingefügt. Das PDSG hat mit den neuen Kapiteln 11 und 12 die bisherigen Regelungen zur Telematikinfrastruktur übernommen und umfassend neu strukturiert. Ferner werden sie weiterentwickelt und im Hinblick auf die datenschutzrechtlichen Vorgaben differenziert ausgestaltet. § 390 entspricht dem bisher in § 291e Abs. 6 Satz 2 bis 5 enthaltenen geltenden Recht. Die Fachöffentlichkeit ist an den Festlegungen, Bewertungen und Empfehlungen im Interoperabilitätsverzeichnis zu beteiligen.

Rz. 2

Art. 1 Nr. 70 und 76 des Gesetzes zur digitalen Modernisierung von Versorgung und Pflege (Digitale-Versorgung-und-Pflege-Modernisierungs-Gesetz – DVPMG) v. 3.6.2021 (BGBl. I S. 1309) haben mit Wirkung zum 9.6.2021 die Nummerierung geändert (alt: 390). Aufgrund neuer Paragrafen erfolgt die Verschiebung an den neuen Regelungsstandort (neu: 391). In dem neuen § 391 Abs. 1 und 2 Satz 1 wird jeweils die Angabe "§ 386" durch die Angabe "§ 387", die Angabe "§ 387" durch die Angabe "§ 388" und die Angabe "§ 388" durch die Angabe "§ 389" ersetzt. Es handelt sich um redaktionelle Folgeänderungen.

Rz. 3

Art. 1 Nr. 91 des Gesetzes zur Beschleunigung der Digitalisierung des Gesundheitswesens (Digital-Gesetz – DigiG) v. 22.3.2024 (BGBl. I Nr. 101) hat die Überschrift geändert und die Vorschrift mit Wirkung zum 26.3.2024 neu gefasst. Die Vorschrift basiert auf § 75c (alt). Die Norm wird redaktionell an den neuen Kontext angepasst und stellt alle Krankenhäuser unter ein IT-Sicherheitsregime.

1 Allgemeines

Rz. 4

Die Norm stellt alle Krankenhäuser unter ein IT-Sicherheitsregime, um die Sicherheit der informationstechnischen Systeme in den Krankenhäusern dauerhaft zu gewährleisten. Sie dient letztlich der Patientensicherheit. Die Deutsche Krankenhausgesellschaft (DKG) unterstützt diesen Prozess durch einen branchenspezifischen Sicherheitsstandard (B3S) i. S. d. § 8a BSI-Gesetz (www.dkgev.de/themen/digitalisierung-daten/informationssicherheit-und-technischer-datenschutz/informationssicherheit-im-krankenhaus; abgerufen: 18.10.2024). Der B3S wird in Abstimmung mit dem Branchenarbeitskreis "Medizinische Versorgung" des UP KRITIS sowie der hierfür zuständigen Gremien der DKG erstellt und vom Bundesamt für Sicherheit in der Informationstechnik (BSI) geprüft, ob er für die Einhaltung der gesetzlich geforderten Maßnahmen geeignet ist.

2 Rechtspraxis

2.1 IT-Sicherheit (Abs. 1)

Rz. 5

Alle Krankenhäuser (§§ 197 ff.) sind verpflichtet, nach dem Stand der Technik angemessene organisatorische und technische Vorkehrungen zur Vermeidung von Störungen der Verfügbarkeit, Integrität und Vertraulichkeit ihrer informationstechnischen Systeme, Komponenten oder Prozesse zu treffen, die für die Funktionsfähigkeit des jeweiligen Krankenhauses und den Schutzbedarf der verarbeiteten Patienteninformationen maßgeblich sind. Der organisatorische und technische IT-Sicherheitsmaßstab ist inhaltlich mit dem des § 8a Abs. 1 BSI-Gesetz identisch. Der Gesetzestext (nach dem Stand der Technik) erfordert eine laufende Prüfung und Anpassung der Sicherheitsstandards.

2.2 Security-Awareness (Abs. 2)

Rz. 6

Vorkehrungen nach Abs. 1 sind auch verpflichtende Maßnahmen zur Steigerung der Security-Awareness von Mitarbeitenden. Im alltäglichen Umgang mit IT-Systemen ist Awareness eine elementare Sicherheitsmaßnahme (BSI, www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Informationen-und-Empfehlungen/Empfehlungen-nach-Angriffszielen/Faktor-Mensch/Awareness/awareness_node.html; abgerufen: 18.10.2024). Das bedeutet zunächst, dass ein Problembewusstsein für Cyber-Sicherheit geschaffen werden muss. Darauf aufbauend wird eine Verhaltensänderung hin zu sicherem digitalen Umgang erreicht. Die Richtlinie zur IT-Sicherheit wird in diesem Sinne um die Anforderung nach einer Steigerung der sogenannten Security-Awareness (übersetzt mit "Sicherheitsbewusstsein") in Form von Maßnahmen zur Sensibilisierung der Mitarbeitenden für die Wichtigkeit der Informationssicherheit konkretisiert, da Maßnahmen in diesem Bereich wichtige Bausteine der IT-Sicherheit darstellen (BT-Drs. 20/9048 S. 147). Hintergrund sind technische Maßnahmen für Informationssicherheit, die umfassende Unterstützung durch alle umsetzenden bzw. anwendenden Personen benötigen, um wirksam greifen zu können. Dazu ist es notwendig, jeder Person die Wichtigkeit der Informationssicherheit bewusst zu machen, sowohl für die eigene Arbeit als auch für die gesamte Organisation, der sie angehört. Geeignete Maßnahmen hängen dabei stark von dem entsprechenden Niveau der Sensibilisierung in der Organisation ab und reichen z. B. von Informationsmaterialien über Schulungen bis zu simulierten bzw. demonstrativen "Angriffen".

2.3 Angemessener Sicherheitsaufwand (Abs. 3)

Rz. 7

Organisatorische und technische Vorkehrungen nach Abs. 1 sind angemessen, wenn der dafür erforderliche Aufwand nicht außer Verhältnis zu den Folgen eine...