Managementsysteme für Informationssicherheit in Krankenhäusern – Welche Norm ist die richtige?

​​​veröffentlicht am 31. Mai 2022​; Autoren: Konrad Klein, Jürgen Schwestka

Zunächst waren lediglich Universitätskliniken und große Krankenhäuser betroffen: Sie haben gemäß dem IT-Sicherheitsgesetz Maßnahmen zur Informationssicherheit unter Berücksichtigung des Stands der Technik umzusetzen. Seit dem Patientendaten-Schutz-Gesetz und der damit verbundenen Einführung des § 75c SGB V gilt die Pflicht zur Umsetzung angemessener technischer und organisatorischer Maßnahmen nach dem Stand der Technik jedoch gleichermaßen für alle Krankenhäuser. Damit Krankenhäusern dies gelingt, ist regelmäßig zu bewerten, welche Chancen und Risiken aus der Nutzung von IT gegeben sind und wo es Lücken in der Maßnahmenumsetzung gibt. Ein Managementsystem für Informationssicherheit wird benötigt. Doch bei all den vorhandenen Normen – welche ist die richtige für das eigene Unternehmen und brauche ich das überhaupt?

InformationsSicherheitsManagementSystem (ISMS)

Ein wirksames Managementsystem für Informationssicherheit besteht aus wiederholbaren Verfahren mit festgelegten Verantwortlichkeiten, Zielen und Regelungen zur Risikoverwaltung, um die Informationssicherheitsziele bestmöglich zu erreichen. Ein Managementsystem stellt sicher, dass die Verfahren und Maßnahmen regelmäßig auf den Prüfstand gestellt werden und ein kontinuierlicher Verbesserungsprozess geschaffen wird. Ohne ein Managementsystem werden Maßnahmen zur Informationssicherheit häufig nicht ausreichend methodisch umgesetzt und die Wirksamkeit bleibt unklar. Nachhaltige Verfahren und Transparenz fehlen.

Für die Implementierung eines ISMS gibt es unterschiedliche Standards und Normen. Besonders etabliert sind die Rahmenwerke ISO/IEC 27001 und der IT-Grundschutz des Bundesamts für Informationstechnik (BSI). Weitere Normen, die sich insbesondere für kleinere und mittelgroße Unternehmen eignen, finden sich mit CISIS12, der Weiterentwicklung von ISIS12, sowie dem VdS 10000. Im Krankenhausumfeld wird bei der Umsetzung von Informationssicherheitsmaßnahmen auch der sogenannte Branchenspezifische Sicherheitsstandard für die Gesundheitsversorgung im Krankenhaus (nachfolgend „B3S”) herangezogen.

Die Qual der Wahl?

Je nach Unternehmensgröße und Ausgangslage ergibt sich eine andere Empfehlung für die richtige Wahl eines der vorhandenen Rahmenwerke. Die Norm ISO/IEC 27001 ist aufgrund ihres Aufbaus und Umfangs sehr verständlich und deshalb leicht umzusetzen, wenngleich der Implementierungsaufwand dennoch nicht zu unterschätzen ist.

VdS 10000 und CISIS12 werben mit einer wesentlich geringeren Implementierungsdauer, doch kommt CISIS12 nach der Neuausrichtung ebenfalls mit einem sehr umfangreichen Maßnahmenkatalog in Anlehnung an das Grundschutz-Kompendium daher. Gleichzeitig bieten kleinere ISMS-Rahmenwerke vor allem Unternehmen mit hohem Schutzbedarf, zu der Krankenhäuser aufgrund der sensiblen Patienteninformationen und der notwendigen Verfügbarkeit von IT-Systemen zur Aufrechterhaltung der Gesundheitsversorgung zweifelsohne gehören, keine ausreichende Sicht auf Sicherheitsmaßnahmen.

Der IT-Grundschutz des BSI ist als sehr dokumentationsaufwendige Norm bekannt - bietet aber aufgrund der sehr konkreten Schritte und Anforderung gleichzeitig eine hohe Sicherheit bei Umsetzung. Für Betreiber kritischer Infrastrukturen bleibt außerdem abzuwarten, inwiefern das BSI seine Norm oder Teile davon zukünftig als verpflichtend umzusetzen deklariert.

Der B3S kann und sollte bei jeglicher Orientierung an einer der Normen von Krankenhäusern stets berücksichtigt werden und eignet sich auch als Einstieg in das Thema ISMS und damit einhergehenden technisch-organisatorischen Maßnahmen im IT-Umfeld. Da es derzeit keinen gültigen B3S für die Gesundheitsversorgung im Krankenhaus gibt, Abwarten bei der Umsetzung von Informationssicherheitsmaßnahmen jedoch keine Option darstellt, sollte man sich bei ausschließlicher Ausrichtung am B3S den Mehraufwand hinsichtlich der Veröffentlichung des neuen B3S bewusst machen. Aber auch beim IT-Grundschutzkompendium wird jedes Jahr eine neue Version veröffentlicht, sodass bei den geänderten Bausteinen Anpassungen notwendig sind. Die Veränderungen in der nächsten B3S Version werden voraussichtlich gering ausfallen und ein stark überarbeiteter Maßnahmenkatalog wird erst nach dem Prüfzeitpunkt Mitte 2023 zu erwarten sein – eine Neubewertung der implementierten Maßnahmen auf Basis eines aktualisierten B3S-Anforderungskatalogs wird jedenfalls regelmäßig notwendig werden. Lediglich der Umfang neuer oder veränderter Anforderungen ist noch unklar. Hinzu kommt die damit einhergehende Dokumentation und ggf. Pflege in einem verwendeten ISMS-Tool.

Welche Norm ist nun die richtige?

Die Vertraulichkeit, Integrität und Verfügbarkeit der verarbeitenden Informationen in einem Krankenhaus sind in besonderem Maße schützenswert. Krankenhäuser haben unter Berücksichtigung ihres Versorgungsauftrages umfangreiche Maßnahmen zum Schutz von Informationen umzusetzen. Aus diesem Grund eignen sich lediglich die sehr anerkannten Normen ISO/IEC 27001 und IT-Grundschutz, um den vom Gesetzgeber geforderten Stand der Technik hinsichtlich angemessener Maßnahmen sicherzustellen. Der B3S bietet gute Hinweise für die Anwendung eines ISMS im Krankenhaus und eignet sich aufgrund des Umfangs und der Branchenfokussierung gut als Einstieg, insbesondere weil hier die Besonderheiten im Krankenhausumfeld gut berücksichtigt sind (z.B. die Schutzziele Patientensicherheit und Behandlungseffektivität). Aufgrund der jeweils nur zweijährigen Gültigkeit eines B3S erschwert sich die langfristige Orientierung an diesem Rahmenwerk jedoch erheblich, sodass sich Betreiber kritischer Infrastrukturen neben dem B3S auch an den oben genannten Normen orientieren sollten.

Auf Basis welcher Norm haben Sie ihr Informationssicherheitsmanagementsystem aufgebaut und welche Erfahrungen haben Sie damit gemacht? Sprechen Sie uns gerne an. Als unabhängige Berater und Prüfer mit Erfahrungen jeglicher Normen freuen wir uns auf den Austausch mit Ihnen.