KRITIS für Kritische Infrastruktur: B3S Krankenhaus und IAM

Ziel der KRITIS-Regulierung ist der Schutz der IT-Systeme kritischer Dienstleister. Ab wann zählen Krankenhäuser zur kritischen Infrastruktur? Wir zeigen, welche Pflichten heute gelten und wie sich die IAM-Anforderungen des B3S mit Unimate Identity Governance & Administration (UIGA) von Imprivata umsetzen lassen.

Kritische Infrastruktur ist für die Versorgung unabdingbar. Ob Kraftwerk, Schienennetz oder Krankenhaus – kommt es zu längeren Ausfällen, sind das Wohl der Menschen und die öffentliche Ordnung gefährdet.

Neben Katastrophen wie Fluten, Brand, Kriegen oder Havarien wachsen Bedrohungen wie Cyberangriffe als Risiko für KRITIS-Betreiber. Voraussetzungen dafür sind es, den Schutz auf dem Stand der Technik anzupassen und Sicherheitsstandards entsprechend der Bedrohungen umzusetzen. Um IT, Netzwerke und Daten vor Attacken zu schützen, sind bestimmte Maßnahmen für Betreiber kritischer Infrastrukturen verpflichtend. In der Gesundheitsbranche bedeutet dies beispielsweise für Krankenhäuser, dass ein branchenspezifischer Maßnahmenkatalog umgesetzt werden muss. Betreiber kritischer Anlagen müssen die Umsetzung der Maßnahmen zudem alle drei Jahre gegenüber dem BSI nachweisen.

Seit dem 01.01.2022 sind alle Krankenhäuser verpflichtet, IT-Sicherheit nach dem Stand der Technik umzusetzen. Mit dem NIS2-Umsetzungsgesetz sind seit Dezember 2025 weitere Pflichten hinzugekommen.

Identitäts- und Zugriffsmanagement (IAM) bzw. Zugriffs- und Berechtigungsmanagement bietet einen Kanon an Sicherheitsmaßnahmen für Krankenhäuser und andere Betreiber kritischer Infrastruktur. Wir zeigen, welche Vorgaben für Krankenhäuser ab wann gelten und wie mit Unimate Identity Governance& Administration IAM-Anforderungen nach BSI-Gesetz, § 391 SGB V, B3S und anderen Compliance-Standards umgesetzt werden.

KRITIS-Sicherheitsstandard für Kritische Infrastruktur

Kritische Infrastruktur bezeichnet Einrichtungen, welche für die Aufrechterhaltung wichtiger gesellschaftlicher Funktionen der Bundesrepublik Deutschland und die Menschen eine elementare Funktion erfüllen. Dabei haben Kritische Infrastrukturen Bedeutung für Gesundheit, Sicherheit und wirtschaftliches oder soziales Wohlergehen der Bevölkerung.

Beispiele für Kritische Infrastruktur sind:

• Wasserversorgung
• Energieversorgung
• Gesundheit
• Transport
• Finanzen
• Medien

In den Kritis-Sicherheitsstandards finden sich Vorgaben und Maßnahmen, welche auf den Schutz dieser kritischen Dienstleistungen (kDL) abzielen. Das Ziel von KRITIS ist klar definiert.

“KRITIS soll Kritische Infrastrukturen schützen, um Risikopotenziale für Menschen zu verringern. Dies erfolgt über den technischen Schutz der Infrastrukturen.”

Seit Inkrafttreten des NIS2-Umsetzungsgesetzes spricht das BSI-Gesetz von „Betreibern kritischer Anlagen“ sowie von „besonders wichtigen“ und „wichtigen Einrichtungen“. Sie alle sind verpflichtet, geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen zu ergreifen, um Störungen der Verfügbarkeit, Integrität und Vertraulichkeit ihrer informationstechnischen Systeme, Komponenten und Prozesse zu vermeiden § 30 BSIG.

Pflichten nach KRITIS

Betreiber kritischer Anlagen nach dem BSI-Gesetz sind grundlegend zu den folgenden vier Maßnahmen verpflichtet.

• sich beim BSI registrieren und eine Kontaktmöglichkeit benennen,
• erhebliche Sicherheitsvorfälle unverzüglich an das BSI melden,
• den “Stand der Technik” zum Beispiel nach Branchenspezifischen Sicherheitsstandards (B3S) umsetzen,
• dies alle drei Jahre gegenüber dem BSI nachweisen (§ 39 BSIG).

Das BSI bietet weitere Informationen zu den Pflichten für KRITIS-Betreiber.

Im ersten Schritt ist die grundlegende Maßnahme der Ernennung einer geeigneten Kontaktstelle zu vollziehen und die Registrierung abzuschließen. Daraufhin werden vom BSI weitere Informationen zu Meldevorgängen und Verpflichtungen zugestellt.

Eine Besonderheit ergibt sich aus dem dreijährigen Nachweis in einem Dreieck der Zuständigkeiten: Betreiber kritischer Anlagen beauftragen eine externe Stelle mit der Prüfung. Ein verantwortliches Prüfteam führt ein Audit durch und stellt dem Betreiber einen Bericht aus. Der Betreiber übermittelt den Bericht an das BSI, wo er wiederum geprüft und in Rücksprache mit den Aufsichtsbehörden Handlungsempfehlungen der Maßnahmen erstellt werden.

Für besonders wichtige und wichtige Einrichtungen, die keine kritische Anlage betreiben, gibt es keine feste Nachweisfrist. Das BSI kann bei ihnen jedoch Prüfungen anordnen. Die Pflichten zu Risikomanagement, Registrierung und Meldung gelten auch für sie.

Sicherheitsstandards KRITIS und ISO 27001

Grundlegend eignet sich ein ISO/IEC 27001 Zertifikat für den Nachweis nach § 39 BSIG. Jedoch müssen zusätzliche Bedingungen erfüllt sein, um als Nachweis auszureichen. Das Bundesamt für Sicherheit in der Informationstechnik informiert dazu, dass der Geltungsbereich die kritische Anlage bzw. die kritische Dienstleistung vollständig aus Perspektive der Prozess-Sicht umfassen muss.

B3S Branchenspezifischer Sicherheitsstandard für die Gesundheitsversorgung – KRITIS Krankenhaus

Die Digitalisierung bedeutet in Krankenhäusern neue Herausforderungen für die Archivierung und Verwendung von Patientendaten, die Vernetzung von Einrichtungen der Branche sowie interne Netzwerke. Mit der Vernetzung nimmt das Risiko der Cyberattacken zu.

Krankenhäuser stellen die stationäre medizinische Versorgung sicher und sind darum dem Sektor Gesundheit zuzuordnen. Zu der Branche gehören grundlegend alle Einrichtungen, welche die folgenden Aufgaben erfüllen:

• stationäre medizinische Versorgung
• Versorgung mit unmittelbar lebenserhaltenden Medizinprodukten
• Versorgung mit Arzneimitteln und Blut- und Plasmakonzentraten
• Laboratoriumsdiagnostik

Ab wann gilt KRITIS und B3S für Krankenhäuser?

Seit dem 01.01.2022 gelten Pflichten zur IT-Sicherheit für alle Krankenhäuser – unabhängig davon, ob sie als kritische Anlage eingestuft sind. Eingeführt wurden sie mit § 75c SGB V, der inzwischen durch § 391 SGB V ersetzt wurde. Danach sind Krankenhäuser dazu verpflichtet, nach dem Stand der Technik angemessene Vorkehrungen zu treffen und Sicherheitsziele umzusetzen, die für den Betrieb maßgeblich sind. Neu hinzugekommen ist die Pflicht, Mitarbeitende regelmäßig für IT-Sicherheit zu sensibilisieren.

Als Maßstab dient insbesondere der branchenspezifische Sicherheitsstandard (B3S) für die informationstechnische Sicherheit der Gesundheitsversorgung im Krankenhaus in gültiger Fassung, den das BSI als geeignet festgestellt hat. Die Vorgabe gilt für alle Krankenhäuser, die nicht ohnehin als Betreiber kritischer Anlagen den Pflichten aus dem BSI-Gesetz unterliegen.

Ob ein Krankenhaus als Betreiber einer kritischen Anlage gilt, richtet sich weiterhin nach den Schwellenwerten der BSI-Kritisverordnung – bislang 30.000 vollstationäre Behandlungsfälle pro Jahr. Die Schwelle entscheidet also nicht mehr darüber, ob IT-Sicherheit Pflicht ist, sondern darüber, welche Pflichten gelten.

Hinzu kommt NIS2: Seit dem 6. Dezember 2025 gilt das NIS2-Umsetzungsgesetz ohne Übergangsfrist. Einrichtungen im Gesundheitswesen fallen in der Regel ab 50 Beschäftigten oder mehr als 10 Millionen Euro Jahresumsatz unter das BSI-Gesetz – neben Krankenhäusern damit auch viele Medizinische Versorgungszentren und größere Praxen. Welche Vorschriften im Einzelfall greifen, hängt von Größe und Einstufung der Einrichtung ab. Einen Überblick bietet die Seite zur Stärkung der NIS2-Compliance.

Der Grad der Umsetzung des B3S für alle Krankenhäuser ist entsprechend der IT-Durchdringung zu ergreifen. Auch andere rechtliche und normative Anforderungen sind zu befolgen. Für die Sicherung des Versorgungsniveaus ist ein Informationssicherheits-Managementsystem (ISMS) zu etablieren.

Die Ausweitung der IT-Sicherheitspflichten auf alle Krankenhäuser geht unter anderem auf eine Forderung des 121. Deutschen Ärztetages 2018 zurück.

Anwendung des B3S Gesundheit

Die Anwendung und Einhaltung des B3S ist verpflichtend und nur dann freiwillig, wenn Maßnahmen über den gesetzlichen Rahmen hinausgehen. Sie versteht sich als Grundlage für den Nachweis erforderlicher Maßnahmen. Eine Empfehlung zur Einhaltung zielt auf die Verbesserung des IT-Schutzes ab und erfordert die Umsetzung und Unterstützung von geschultem Fachpersonal. Wichtige Grundlagen für B3S im Krankenhaus sind:

• Umsetzung von Risikomanagementmaßnahmen nach dem BSI-Gesetz bzw. § 391 SGB V zur Aufrechterhaltung des Versorgungsniveaus
• Registrierung beim BSI und Erreichbarkeit für Informationen des BSI
• Aufbau von Meldeprozessen an das BSI in Fällen von erheblichen Sicherheitsvorfällen

Empfohlene Schritte bei Umsetzung des B3S

Die Umsetzung des B3S in Krankenhäusern wird in 7 Schritten empfohlen. Die Kennzeichnung von einzelnen Maßnahmen der Teilschritte im Sicherheitsstandard mit “Kann”, “Soll” und “Muss” gibt Information über die Notwendigkeit.

1. Mit dem Ziel den Kontext des Information Security Management System (ISMS) zu definieren, werden Geltungsbereiche und strategische Ziele der Informationssicherheit gefunden. Dafür werden beispielsweise Compliance Anforderungen und eine Informationssicherheitspolitik analysiert.
2. Die Entwicklung und Inkraftsetzung verschiedener Sicherheitsstandards wird genutzt, um eine Managementstruktur für ISMS zu definieren. Laut B3S Krankenhaus gehören dazu unter anderem: Sicherheitsorganisation und Verantwortlichkeiten, Vorgehen zur Informationssicherheitsrisikobeurteilung, Meldung und Behandlung von Sicherheitsvorfällen, Schulung und Bewusstseinsbildung etc.
3. Im dritten Schritt gilt die Implementierung von Sicherheitsorganisation und Umsetzung verschiedener Verfahren der Verwirklichung von Maßnahmen. Dazu gehören Bewertungskriterien und Klassifizierungen von Informationen, Verwaltung von Informationswerten und weitere.
4. Mit dem Ziel der Bestandsaufnahme, Risikoeinschätzung und der Konzeption werden Informationseigentümer, Bedrohungen und Risiken identifiziert, Maßnahmen bewertet und andere Risiko- und Gefährdungsanalysen durchgeführt und dokumentiert.
5. Die definierten Richtlinien dienen im fünften Schritt der Umsetzung konkreter Maßnahmen. Zu diesen gehören beispielsweise Zugangskontrollen, Kryptografien, Organisation der Informationssicherheit, personelle Sicherheit, die Sicherstellung des Geschäftsbetriebs und weitere.
6. Den Bedarf von Schulungen ermitteln, diese planen und durchführen ist im sechsten Schritt ein wichtiger Bestandteil, um Awareness zu schaffen und das Projekt zu begleiten.
7. Die Effektivität des ISMS wird mit Monitoring, Überwachung, Planung und internen Audits stetig geprüft und verbessert.

Identitäts- und Rechtemanagement Branchenspezifischer Sicherheitsstandard Krankenhaus

Identity and Access Management (IAM) gilt als wichtiger Schlüssel für die Orchestrierung von Identifikation von Identitäten und Zugriff auf Daten in einem Netzwerk. So forderten Aufsichtsbehörden IAM bzw. Identitäts- und Berechtigungsmanagement als Grundlage des technischen Datenschutzes in Krankenhäusern.

Ähnlichkeiten zum Datenschutz ergeben sich auch zu Unternehmen, die nicht in KRITIS fallen, doch die besonderen Anforderungen für IAM im Krankenhaus erwachsen aus der Fürsorgepflicht. Die Arbeit mit Daten ist für die Aufrechterhaltung der Abläufe unabdingbar. Kommt es zu Fehlern bei der Datenzuordnung, beispielsweise weil Patientendaten verwechselt werden, können die Folgen die Gesundheit und das Leben der Patienten riskieren.

Auch Sicherheit bei der Verwaltung von Identitäten und Zugriff spielt eine wichtige Rolle. So sind es laut aktuellen Statistiken häufig die eigenen Mitarbeiter oder korrumpierte Konten, welche ein Grund für Data Breaches und somit anschließende Betrugsszenarien sind.

Herausgeber des B3S Krankenhaus ist die Deutsche Krankenhausgesellschaft e. V. (DKG). Prüfen Sie bitte auch, ob eine aktuelle Version von “Informationssicherheit im Krankenhaus Branchenspezifischer Sicherheitsstandard (B3S)” verfügbar ist.

Hier finden Sie den Branchenspezifischen Sicherheitsstandard B3S Krankenhaus.

Forderungen an IAM im B3S Krankenhaus

Grundlegende Anforderungen an den Aufbau eines IAM-Systems im Krankenhaus sind heute ein Muss. Vorgaben zum IAM und damit verbundene Maßnahmen sind dem Branchenspezifischen Sicherheitsstandard „Medizinische Versorgung“ zu entnehmen.

Konkrete Anforderungen an IAM im B3S betreffen:

Identitäts- und Rechtemanagement (7.13.6)

• ANF-MN 108: Das Krankenhaus muss ein Rollen- und Berechtigungskonzept erstellen.
• ANF-MN 109: Richtlinien zur Zugriffskontrolle müssen unter besonderen Gesichtspunkten erstellt werden.
• ANF-MN 110: Rechteentzug beim Ausscheiden aus Unternehmen (Leaver) wird gewährleistet.

Sichere Authentisierung (7.13.7)

• ANF-MN 111: Ein formaler Prozess zur Vergabe von Authentisierungsdaten muss etabliert werden.
• ANF-MN 112: Authentifizierungsverfahren müssen Zugriffssicherheit entsprechend der kDLumsetzen. Eine 2-Faktor-Authentifizierung soll berücksichtigt werden. Die Multifaktor-Authentifizierung von Imprivata unterstützt Sie dabei, ANF-MN 112 umzusetzen. Klinikpersonal authentifiziert sich per Tap & Go, Fingerabdruck oder Proximity Card – auch offline und ohne Unterbrechung klinischer Abläufe. Für Einrichtungen, die unter NIS2 fallen, zählt Multi-Faktor-Authentifizierung zudem ausdrücklich zu den geforderten Risikomanagementmaßnahmen.

Beachten Sie auch weitere Hinweise zur Identity Governance und zusätzlichen Sicherheitsmaßnahmen. Wir beraten Sie gern bei der Umsetzung der Vorgaben mit UIGA von Imprivata.

Unimate Identity Governance & Administration von Imprivata und Krankenhaus kritische Infrastruktur

Identity and Access Management auf die Anforderungen im Krankenhaus zugeschnitten – mit Unimate Identity Governance & Administration von Imprivata erfüllen Sie geltende Compliance-Vorgaben und Muss-Anforderungen aus dem B3S Krankenhaus.

Einhaltung von Compliance im Krankenhaus mit UIGA von Imprivata:

• DSGVO, BSI-Gesetz und NIS2, § 391 SGB V, B3S Krankenhaus, ISO/IEC 27001
• Rechenschaftspflicht
• Rechteaudit und Berechtigungsreview

Einhaltung von Datenschutz, Steigerung der IT-Sicherheit

• Umsetzung der Need-to-Know- und Least-Privilege-Prinzipien
• Unverzügliche Deaktivierung und Löschung von Accounts bei Ausscheiden aus Einrichtung
• Reduktion administrativer Berechtigungen
• Reduktion des Sicherheitsrisikos durch Angestellte

Modulares Identity & Access Management mit Imprivata

Identity Lifecycle Management

Bei Bewegung im Unternehmen müssen Rechte entsprechend angepasst werden. Joiner-, Leaver- und Mover-Vorgänge sind durch Unimate Identity Governance & Administration von Imprivata schnell orchestriert – automatisch und ohne dass Rechte übersehen werden.

Das HR-basierte Lifecycle Management ermöglicht einen effizienten, sicheren und reibungslosen Mitarbeiter Lifecycle im Human-Resources-System wie SAP HCM, Sage, Workday und anderen.

Rollenbasiertes Berechtigungsmanagement

Role Based Access Control (RBAC) ermöglicht die Zuweisung von Berechtigungsobjekten an vorher definierte Rollen im Unternehmen – Voraussetzung für Grundsätze wie die Segregation of Duty (SoD), das Lifecycle-Management und das 4-Augen-Prinzip.

Self-Service- und Genehmigungsmanagement / Passwortmanagement

Self-Services ermöglichen die Bestellung von Rechten wie in einem Webshop. Die Provisionierung der Zugriffsrechte erfolgt dann einfach durch vorher ermittelte zuständige Entscheider in den Abteilungen. Das Baukastenprinzip ermöglicht eine schnelle Umsetzung.

Passwort-Tickets reduzieren, die Sicherheit mit 2-Faktor-Authentifizierung erhöhen: Das Passwort Management funktioniert für viele Anwendungen wie SAP, Dedalus ORBIS und kann auf eigene Anwendungen erweitert werden.

Re-Zertifizierungs-Management

Mit dem Re-Zertifizierungs-Management ermitteln Sie den Status quo der Vergaberechte, erhöhen die Sicherheit und erfüllen Compliance-Vorgaben. Regelmäßige Rezertifizierungen liefern zugleich den Nachweis, den Prüfer nach BSI-Gesetz und B3S verlangen.

Selbstbedienung für Notfallzugriff

Mit der Admin-on-Demand-Funktion von UIGA erhalten Sie Self-Services für Administrationsrechte oder Notfallzugriffe. Permanente Adminrechte werden dabei als Sicherheitsrisiko eliminiert und dennoch die Sicherheit des Einschreitens durch Admins gewahrt.

IAM als Baustein für B3S und NIS2

Viele Krankenhäuser haben IT-Sicherheitsprojekte in den vergangenen Jahren über den Krankenhauszukunftsfonds (KHZF) finanziert, etwa über den Fördertatbestand 10 (IT-Sicherheit). Die Antragsphase ist inzwischen abgeschlossen. Der Handlungsbedarf ist dagegen gewachsen: Mit § 391 SGB V, dem B3S und dem NIS2-Umsetzungsgesetz müssen Krankenhäuser ihre Zugriffs- und Berechtigungsprozesse heute nicht nur umsetzen, sondern auch nachweisen können.

Unimate Identity Governance & Administration unterstützt Sie dabei mit automatisierten Joiner-Mover-Leaver-Prozessen, rollenbasierten Berechtigungen und revisionssicheren Rezertifizierungen. Gern beraten wir Sie in einem persönlichen Gespräch.