Recht kommentiert IT-Sicherheit: Auch kleinere Krankenhäuser nachweispflichtig

Mit zunehmender Digitalisierung im Gesundheitswesen steigt das Risiko von Cyberattacken. Mareike Christine Gehrmann. Die Straftaten in diesem Bereich haben sich in Deutschland von 2015 auf 2020 mehr als verdoppelt. Die Gesetzgebung sieht dieses Risiko v.a. bei größeren Krankenhäusern. Gemäß BSI-Kritisverordnung (BSI-KritisV) zählen Krankenhäuser zur kritischen Infrastruktur (KRITIS), wenn sie mehr als 30.000 vollstationäre Fälle pro Jahr zählen. Das BSI-Gesetz (BSIG) verpflichtet KRITIS-Betreibende, ihr IT-System durch angemessene organisatorische und technische Vorkehrungen zu schützen und dabei den Stand der Technik einzuhalten. Außerdem müssen Betreibende dem Bundesamt für Sicherheit in der Informationstechnik (BSI) alle zwei Jahre den Nachweis über die Erfüllung der entsprechenden Anforderungen erbringen. Bei Verstößen drohen Geldbußen von bis zu 20 Millionen Euro. Diese Verpflichtungen galten bisher nur für KRITIS-Betreiber. Dies wird sich mit dem Patientendatenschutzgesetz (PDSG) und dem neu eingeführten § 75c SGB V ändern. So sind ab dem 1. Januar 2022 ausnahmslos alle Krankenhäuser verpflichtet, Vorkehrungen zur Vermeidung von Störungen der Verfügbarkeit, Integrität und Vertraulichkeit sowie der weiteren Sicherheitsziele ihrer IT-Systeme, Komponenten oder Prozesse zu treffen. Das heißt, dass dann auch kleinere Krankenhäuser ihre IT-Systeme nach dem Stand der Technik durch angemessene Vorkehrungen schützen müssen. Diese Verpflichtungen erfüllen Krankenhausbetreibende insbesondere, indem sie die jeweils gültigen branchenspezifischen Sicherheitsstandards (B3S) umsetzen. Während als KRITIS-Betreiber eingestufte Krankenhäuser bereits durch die BSI-KritisV gegenüber dem BSI nachweispflichtig waren, ergibt sich eine solche Auflage für kleine Krankenhäuser weder aus § 75c SGB V noch aus dem PDSG. Dennoch haben auch diese alle zwei Jahre ihre IT-Sicherheitsmaßnahmen an den aktuellen Stand der Technik anzupassen. Weiter ist zu beachten, dass nahezu jeder IT-Sicherheitsvorfall eine (meldepflichtige) Datenschutzverletzung darstellt. Insoweit gilt es auch, die datenschutzrechtlichen Vorgaben einzuhalten und entsprechende Schutzmaßnahmen zu implementieren. Krankenhäuser sind zukünftig angehalten, noch mehr auf die IT-Sicherheit zu achten. Wir empfehlen Krankenhausbetreibenden, die bestehenden IT-Sicherheitsstrukturen mit Blick auf die steigenden Anforderungen zu überprüfen und etwaige Schutzlücken zu schließen. Kontakt zur Autorin: Mareike Christine Gehrmann, Fachanwältin für IT-Recht bei Taylor Wessing, Kontakt: m.gehrmann@taylorwessing.com