NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz und was uns erwartet

Auch in der Gesundheitswirtschaft fallen viele Unternehmen unter das „NIS2UmsuCG“. Dabei handelt es sich um ein Änderungsgesetz, das bestehende Gesetze anpasst, insbesondere die KRITIS-Teile des BSI-Gesetzes (BSIG-E). Das NIS2UmsuCG überführt die EU-weiten Mindeststandards für Cybersicherheit in die deutsche Regulierung und soll ab Oktober 2024 in Kraft treten.

Einige Beispiele für Dienstleister in der Gesundheitsbranche sind Krankenhäuser, Referenzlabore, Forschungs- und Entwicklungsunternehmen, Pharmazeutische Erzeuger oder Medizinproduktehersteller.

Nicht nur, dass sie Meldepflichten einhalten und konkrete Vorgaben zu Sicherheitsmaßnahmen umsetzen müssen, zukünftig sind auch die Dienstleister dahingehend zu bewerten, ob diese ein ausreichendes Sicherheitsniveau haben.

Erstmalig drohen bei Nichtumsetzung der Vorgaben hohe Geldstrafen: Es gibt erweiterte Sanktionsvorschriften mit neuen Bußgeldtatbeständen und erhöhten Bußgeldern zwischen 100.000 und 20 Millionen Euro, teils gekoppelt an den weltweiten Umsatz. Die Vorgaben lassen sich somit nicht mehr ignorieren.

Für Krankenhäuser empfiehlt sich der Aufbau eines ISMS auf Basis des Branchenspezifischen Sicherheitsstandards (B3S) für Medizinische Versorgung (vgl. § ​391 SGB V). Damit ist ein Großteil der NIS2-Anforderungen abgedeckt. Darüber hinaus muss geprüft werden, welche zusätzlichen Anforderungen auf Basis NIS2 zu erfüllen sind, damit diese in zukünftigen Nachweisverfahren nicht zu Problemen führen.

Der Aufbau der Informationssicherheit mit der Identifizierung und Bewertung von IT-Sicherheitsrisiken, einem angemessenen Risikomanagement oder der konkreten Umsetzung von technischen IT-Sicherheitsmaßnahmen erfordert Erfahrung bei der Realisierung. Dies ist besonders wichtig für Krankenhäuser oder Labore, insbesondere wenn sie kleinere Häuser sind, mit beschränkten personellen und finanziellen Ressourcen ausgestattet sind und diese daher effizient einsetzen müssen.