Informationssicherheits-Beauftragter im Krankenhaus

Dein Krankenhaus/ deine Klinik gilt dann als kritische Infrastruktur, wenn pro Jahr über 30.000 stationäre Fälle in Ihrem IT-System verarbeitet werden. Wenn es sich um einen Klinik-Zusammenschluss mit einem gemeinsamen IT-System handelt, ist die Gesamtzahl entscheidend. Sofern dein Krankenhaus als KRITIS gilt, reicht diese Schulung zum Informationssicherheitsbeauftragten im Krankenhaus/ Klinikum alleine nicht aus. Du benötigst zusätzlich die Prüfverfahrenskompetenz nach §8a BSIG, um die Sicherheit deiner Klinik offiziell prüfen zu dürfen.

Mit dem Patientendaten-Schutzgesetz (PDSG) wurden die Sicherheitsvorgaben für Krankenhäuser, die nicht zu KRITIS zählen, verschärft.

Auch sie müssen bis zum 31.12.2021 nachweisen, dass sie technische und organisatorische Maßnahmen ergriffen haben, um sicherzustellen, dass die Verfügbarkeit, die Integrität und die Vertraulichkeit ihrer Systeme gewahrt werden.

Das neue PDSG wurde am 19.10.2020 verabschiedet. Es bringt uns die elektronische Patientenakte, sowie gestiegene Sicherheitsanforderungen an die IT in Krankenhäusern. Was bei größeren Krankenhäusern/Kliniken bereits durch die KRITIS-Verordnung galt, trifft nun auch für kleinere Krankenhäuser zu. Diese müssen nun im Bereich Informationssicherheit nachrüsten und die geforderten Anforderungen bis 01.01.2022 umgesetzt haben.

Der Sicherheitsstandard B3S-KH ist der branchenspezifische Sicherheitsstandard für Krankenhäuser und Kliniken. Er wurde von der Deutschen Krankenhausgesellschaft entwickelt. Dieser ist nun mit dem PDSG der de-facto Standard, der in allen Krankenhäusern umgesetzt werden muss. Der B3S-KH besteht aus 168 Maßnahmen, die in drei Prioritätsstufen gegliedert sind.

Der zentrale Punkt des B3S-KH ist der Aufbau und die Implementierung eines Informationssicherheitsmanagementsystems (ISMS) nach ISO/IEC 27001 und ISO 27799.

Das Krankenhauszukunftsgesetz (KHZG) ist die Umsetzung des „Zukunftsprogramm Krankenhäuser“, das schon Mitte 2020 beschlossen wurde. Es handelt sich um ein Investitionsprogramm über 4,3 Mrd. Euro, mit dem Bund und Länder die Krankenhäuser unterstützen. Diese sollen mit den bereitgestellten Mitteln moderne Notfallkapazitäten schaffen und in Digitalisierung sowie IT-Sicherheit investieren.

Alle Krankenhäuser, welche in den Krankenhausplan ihres Bundeslandes aufgenommen sind (nach § 8 KHG), sind förderfähig. Das bedeutet, im Grunde sind alle zugelassenen Krankenhäuser berechtigt Förderung zu beantragen, Privatkliniken ohne Zulassung sind nicht berechtigt. Details zur Förderberechtigung findest du auf der Seite des Bundesministeriums für Gesundheit.

Seit Herbst 2020 können Krankenhäuser und Kliniken ihren Förderbedarf bei der jeweiligen Landesregierung anmelden. Die Länder haben dann bis zum 31.12.2021 Zeit, um Förderanträge beim Bundesamt für Soziale Sicherung einzureichen.

Beim Krankenhauszukunftsfond handelt es sich um einen Fond des Bundesamts für Soziale Sicherung (BAS). Dem KHZF werden durch den Bund insgesamt 3 Milliarden Euro zur Verfügung gestellt. Die einzelnen Krankenhäuser können dann über die jeweiligen Länder Fördergelder aus dem KHZF beantragen. Der Krankenhauszukunftsfond geht Hand in Hand mit dem Krankenhausstrukturfonds, den es schon seit 2016 gibt. Die beiden Fonds greifen inhaltlich ineinander, der Krankenhausstrukturfonds läuft noch bis 2024 und umfasst insgesamt zwei Milliarden Euro.

Mit dem Fonds werden Projekte gefördert, die der Umsetzung des Krankenhauszukunftsgesetztes (KHZG) entsprechen. Dies sind vor allem Maßnahmen zum Ausbau der digitalen Infrastruktur. Als Beispiele sind dies Maßnahmen, um die IT-Sicherheit zu erhöhen, digitale Dokumentation von Behandlungsleistungen und Medikationsmanagement, sowie notwendige Aufstockung des Personals, zum Beispiel eines Informationssicherheitsbeauftragten ISB Krankenhaus.

Die Krankenhäuser und Kliniken, welche die förderfähigen digitalen Dienste des KHZG bis 2025 nicht eingeführt haben, werden sanktioniert. Sie müssen bis zu 2% des Rechnungsbetrags jedes stationären Falls als Strafe bezahlen.

Genau so bedeutungsvoll für Krankenhäuser und Kliniken ist der § 75c des Sozialgesetzbuches 5, der ab 01.01.2022 in Kraft tritt. Der Paragraph besagt folgendes:

„Krankenhäuser sind verpflichtet, […] angemessene organisatorische und technische Vorkehrungen zur Vermeidung von Störungen der Verfügbarkeit, Integrität und Vertraulichkeit sowie der weiteren Sicherheitsziele ihrer informationstechnischen Systeme, Komponenten oder Prozesse zu treffen […] Krankenhäuser können die Verpflichtungen […] erfüllen, indem sie einen branchenspezifischen Sicherheitsstandard für die informationstechnische Sicherheit der Gesundheitsversorgung im Krankenhaus in der jeweils gültigen Fassung anwenden“.

Das bedeutet, dass ab 2022 für alle Krankenhäuser gilt, was bisher nur für die kritischen Infrastrukturen zutreffend war: Alle Krankenhäuser und Kliniken müssen 2021 ein Informationssicherheitsmanagementsystem (ISMS) aufbauen und implementieren.

§ 75c SGB verpflichtet die Krankenhäuser bis 01.01.2022 hinreichend in ihre Informationssicherheit zu investieren und ein ISMS aufzubauen. Informationssicherheit ist auch Bestandteil des Krankenhauszukunftsgesetz. Da das KHZG mit einem staatlichen Fond einhergeht, können die Krankenhäuser Fördergelder beantragen, mit denen sie neben dem Aufbau digitaler Strukturen auch in ihre Informationssicherheit investieren dürfen und sollen. Die beiden Gesetze gehen also Hand in Hand und können mit staatlicher Förderung umgesetzt werden.