KRITIS, NIS2 und das BSIG: Was Krankenhäuser beim IT-Notfall nachweisen müssen

Wer im Krankenhaus für IT-Sicherheit oder Datenschutz verantwortlich ist, hat in den letzten Monaten viel gelesen – und einiges davon ist bereits wieder überholt. Der regulatorische Rahmen für kritische Infrastrukturen in Deutschland hat sich grundlegend verschoben. Dieser Beitrag ordnet ein, was aktuell gilt, und übersetzt die Pflichten in verständliche Sprache. Er ersetzt keine Rechtsberatung, soll aber eine belastbare Orientierung geben.

Ein Hinweis vorweg: Viele Dokumente – auch Herstellerunterlagen und ältere Konzepte – verweisen noch auf § 8a BSIG als zentrale KRITIS-Norm. Diese Systematik ist inzwischen abgelöst. Wer heute ein Notfallkonzept bewertet, sollte auf die aktuelle Fassung des BSIG achten.

Was sich 2025 und 2026 geändert hat

Zwei Gesetzgebungsschritte prägen den aktuellen Rahmen:

Das NIS2-Umsetzungsgesetz setzt die EU-Richtlinie NIS2 in nationales Recht um und ist seit Dezember 2025 in Kraft. Es novelliert vor allem das BSI-Gesetz (BSIG). Der Kreis der beaufsichtigten Einrichtungen wurde dabei deutlich erweitert, und die alte Systematik rund um § 8a BSIG wurde durch neue Paragrafen abgelöst.

Das KRITIS-Dachgesetz ist seit dem 17. März 2026 in Kraft. Es ergänzt die IT-bezogenen Pflichten um Anforderungen an die physische Resilienz kritischer Anlagen – also den Schutz vor Naturkatastrophen, Sabotage und dem Ausfall physischer Infrastruktur. Betreiber kritischer Anlagen müssen beide Regelwerke beachten.

Für Krankenhäuser bedeutet das: Der Gesundheitssektor bleibt Teil der kritischen Infrastruktur, die Pflichten sind aber neu verortet und in Teilen verschärft worden.

Wer ist betroffen?

Ob ein Krankenhaus als Betreiber einer kritischen Anlage gilt, hängt weiterhin von Schwellenwerten ab, die in der Rechtsverordnung zum BSIG (der KRITIS-Verordnung) festgelegt werden – bei Krankenhäusern klassischerweise über die Zahl der vollstationären Fälle pro Jahr. Häuser oberhalb dieser Schwelle fallen in den strengsten Pflichtenkreis.

Wichtig ist: Die genaue Betroffenheit sollte jedes Haus aktiv prüfen, unter anderem über die Betroffenheitsprüfung des BSI, und sich fristgerecht im BSI-Portal registrieren. Die konkreten Schwellenwerte werden durch die Rechtsverordnung weiter konkretisiert.

Die zentrale Pflicht: angemessene Vorkehrungen (§ 30 BSIG)

Der Kern für Betreiber lautet sinngemäß: Es sind angemessene, dem Stand der Technik entsprechende Vorkehrungen zu treffen, um Störungen der Verfügbarkeit, Integrität, Authentizität und Vertraulichkeit der kritischen Dienstleistung zu vermeiden. Der Maßnahmenkatalog dafür ist in § 30 BSIG verankert.

„Angemessene Vorkehrungen" ist bewusst abstrakt formuliert. Für Krankenhäuser wird der Maßstab durch einen Branchenstandard konkretisiert: den B3S Medizinische Versorgung. Er übersetzt die gesetzlichen Anforderungen in konkrete, prüfbare Maßnahmen und ist in der Praxis der Referenzrahmen, an dem sich die Umsetzung orientiert.

Für das Thema IT-Notfall besonders relevant sind zwei Bereiche des Maßnahmenkatalogs:

• Notfallmanagement (Business Continuity): Wie hält das Haus die Versorgung aufrecht, wenn zentrale Systeme ausfallen?

• Wiederanlaufplanung: Wie kommt der Regelbetrieb geordnet und nachvollziehbar zurück?

Die Nachweispflicht: § 39 BSIG

Entscheidend ist, dass die Umsetzung nicht nur behauptet, sondern nachgewiesen werden muss. Betreiber kritischer Anlagen sind verpflichtet, die Wirksamkeit ihrer Maßnahmen regelmäßig – im Rhythmus von drei Jahren – durch Prüfungen, Audits oder Zertifizierungen gegenüber dem BSI zu belegen (§ 39 BSIG).

Für den IT-Notfall heißt das konkret: Es genügt nicht, ein Notfallhandbuch zu besitzen. Prüfer wollen sehen, dass die Vorkehrungen real funktionieren – dass es etwa ein belastbares Konzept für den KIS-Ausfall gibt, dass Wiederanlaufprozesse definiert und geübt sind und dass die Versorgung auch im Störfall nachweisbar aufrechterhalten werden kann.

Was das für den KIS-Ausfall bedeutet

Der Ausfall des Krankenhausinformationssystems ist eines der klassischen Szenarien, an denen sich Notfall- und Wiederanlaufmanagement bewähren müssen. Ein Prüfer wird typischerweise fragen:

1. Bleibt im Ausfall Zugriff auf behandlungsrelevante Daten bestehen – oder verlässt sich das Haus allein auf Papier?

2. Werden die während des Ausfalls erbrachten Leistungen strukturiert und nachvollziehbar dokumentiert?

3. Ist der Wiederanlauf so geregelt, dass die Notfalldokumentation revisionssicher in die Patientenakte zurückfließt?

4. Werden diese Prozesse regelmäßig im Rahmen von Übungen geprobt?

Wer diese Fragen nur mit „wir haben Formulare" beantworten kann, hat eine Lücke – organisatorisch wie regulatorisch.

Wo TrioMed einzahlt – und wo die Verantwortung beim Haus bleibt

Ein technisches System kann und darf das übergreifende Notfall- und BCM-Konzept eines Krankenhauses nicht ersetzen. Die Verantwortung für dieses Konzept – für Notfallhandbuch, Schulungen, Rollen und Übungen – verbleibt beim Haus.

Was ein System wie TrioMed leisten kann, ist ein konkreter Beitrag in genau den prüfungsrelevanten Bereichen Notfallmanagement und Wiederanlaufplanung: Lesezugriff auf gespiegelte klinische Daten im Ausfall, strukturierte Dokumentation ohne Medienbruch und ein geordneter, nachvollziehbarer Übergang zurück in den Regelbetrieb. Es ist eine technische Komponente im Resilienzkonzept – eine, die sich gezielt auf die Anforderungen ausrichten lässt, die im Rahmen von Prüfungen abgefragt werden.

Dieser Beitrag gibt den Stand zum Zeitpunkt der Veröffentlichung wieder und ersetzt keine juristische Beratung. Verbindliche Schwellenwerte und Detailregelungen ergeben sich aus dem BSIG und der zugehörigen Rechtsverordnung in ihrer jeweils geltenden Fassung.