Weiterentwicklung des IT-Sicherheitsgesetzes hat möglicherweise Auswirkungen auf Krankenhäuser

Im Juli 2015 ist das "Gesetz zur Erhöhung der Sicherheit informationstechnischer Systeme" (IT-Sicherheitsgesetz) in Kraft getreten. Zweck dieses Gesetzes ist die Sicherheit informationstechnischer Systeme (IT-Sicherheit) signifikant zu verbessern und kritische Infrastrukturen, die für das Funktionieren des Gemeinwesens von zentraler Bedeutung sind, zu schützen. Betreiber kritischer Infrastrukturen (KRITIS) werden seitdem verpflichtet, ihre IT-Systeme und IT-Prozesse entsprechend zu sichern. Welche Unternehmen konkret betroffen sind, wird in der BSI-Kritikverordnung festgelegt. So zählen auch Krankenhäuser mit einer Fallzahl ab 30.000 vollstationären Patienten pro Jahr zu den KRITIS und müssen die Vorgaben des IT-Sicherheitsgesetzes entsprechend umsetzen. Darunter fallen u.a. dem Bundesamt für Sicherheit in der Informationstechnik (BSI) die Einhaltung eines Mindeststandards an IT-Sicherheit nachzuweisen sowie schwere IT-Sicherheitsvorfälle ausnahmslos zu melden.

Das Bundesinnenministerium (BMI) plant im Rahmen der Weiterentwicklung des IT-Sicherheitsgesetzes (sog. IT-Sicherheitsgesetz 2.0) die u. a. Meldepflichten bei IT-Sicherheitsvorfällen zu verschärfen. Darüber hinaus wird angenommen, dass die Schwellenwerte, ab denen ein Unternehmen zu einem KRITIS wird, abgesenkt werden. Dies hätte zur Folge, dass Krankenhäuser, deren Fallzahl bislang unter dem Schwellenwert von 30.000 vollstationären Patienten pro Jahr lag, künftig ebenfalls unter das IT-Sicherheitsgesetz fallen können. Ob sich eine Absenkung der Schwellenwerte nur auf die Meldepflichten oder auch auf die Umsetzung von Sicherheitsmaßnahmen beziehen, bleibt abzuwarten.

Das neue IT-Sicherheitsgesetz soll Ende 2019 verabschiedet werden.

Wir werden Sie an dieser Stelle über weitere Entwicklungen auf dem Laufenden halten.