Ihre Klinik läuft nicht auf Hochglanz-Cloud. Sie läuft auf Windows-10-Laptops, alten Medizingeräten, On-Premise-PACS, KIS/RIS-Schnittstellen, Laboranbindungen und Hersteller-Fernwartung.
Genau dort schlägt NIS2 zu. Nicht im Strategiepapier. Im Serverraum. Im Behandlungszimmer. Auf dem ungepatchten Gerät, das niemand abschalten darf.
Wenn Ihr Haus plötzlich als „wichtige Einrichtung“ eingestuft wird, reicht ein ISO-Template nicht mehr. Dann zählen Nachweise. Verantwortlichkeiten. Risikoanalysen. Technische Schutzmaßnahmen. Und am Ende: Geschäftsführerhaftung.
NIS2 im Klinikbetrieb: Anforderungen und praktische Herausforderungen
NIS2 verschiebt den Maßstab. Weg von freiwilliger IT-Hygiene. Hin zu nachweisbarer Risikosteuerung.
Für Krankenhäuser, MVZs und medizinische Versorgungsstrukturen bedeutet das: Patientendaten sind nicht nur DSGVO-relevant. Sie sind hochsensibel. Ein Datenleck ist nicht nur ein Datenschutzvorfall. Es ist ein Betriebsrisiko. Ein Reputationsschaden. Ein möglicher Melde- und Haftungsfall.
Der regulatorische Druck zeigt sich bereits an technischen Sicherheitsanforderungen im Umfeld kritischer Infrastrukturen. Das BSI bzw. der Gesetzgeber arbeitet mit harten Nachweispflichten. Beispiel: „Kritische Komponenten [...] dürfen nach § 165 Abs. 4 TKG von einem Betreiber öffentlicher Telekommunikationsnetze mit erhöhtem Gefährdungspotenzial nur eingesetzt werden, wenn sie vor dem erstmaligen Einsatz von einer anerkannten Prüfstelle überprüft und geprüft wurden.“
Was heißt dieser Juristen-Satz für Ihre Praxis?
- Kritische Technik muss beherrscht werden.
- Herstellerangaben allein reichen nicht.
- „Läuft seit Jahren stabil“ ist kein Sicherheitskonzept.
- Ungeprüfte Komponenten mit erhöhtem Risiko werden zum Compliance-Problem.
Bei NIS2 für Krankenhäuser geht es nicht darum, jede Altlast sofort zu ersetzen. Das ist unrealistisch. Es geht darum, Risiken sichtbar zu machen, technisch einzugrenzen und organisatorisch sauber zu dokumentieren.
Sonst haben Sie einen Papier-Tiger. Und der schützt Sie nicht, wenn Patientendaten abfließen.
Warum generische IT-Sicherheitsansätze im Gesundheitswesen nicht greifen
Die meisten NIS2-Angebote reden über Cloud, Zero Trust und Policies. Schön. Aber Ihre Realität sieht anders aus.
Sie haben:
- Legacy-Medizingeräte, die nicht ohne Herstellerfreigabe gepatcht werden dürfen.
- Windows-10-Clients, die noch an Spezialsoftware hängen.
- PACS-, DICOM-, HL7- und KIS/RIS-Schnittstellen, die historisch gewachsen sind.
- Hersteller-Fernwartungen, die technisch bequem, aber revisionsseitig gefährlich sind.
- On-Premise-Altlasten, die niemand vollständig dokumentiert hat.
- Ressourcenmangel in der IT, während der Betrieb 24/7 weiterlaufen muss.
Eine neue Firewall löst das nicht.
Ein ISO-27001-Template löst das nicht.
Ein generisches NIS2-Gap-Assessment löst das nicht, wenn niemand Ihre tatsächlichen IoMT-, OT- und Medizingeräte-Risiken sauber bewertet.
Die Konkurrenz verschweigt den harten Punkt: Viele medizinische Systeme können nicht „einfach gepatcht“ werden. Wegen Herstellerbindung. Wegen Validierung. Wegen MDR. Wegen Betriebsrisiko.
Dann brauchen Sie kompensierende Maßnahmen. Netzwerksegmentierung. Zugriffskontrolle. Protokollierung. Notfallbetrieb. Nachweisführung.
Kurz: Sie müssen NIS2-konform steuern, auch wenn Sie technisch nicht perfekt sanieren können.
Erste Schritte für ein belastbares Sicherheitsprogramm im klinischen Umfeld
Erstellen Sie ein Legacy-Risikoregister innerhalb von 10 Arbeitstagen: Erfassen Sie alle Systeme, die Patientendaten verarbeiten oder am Klinikbetrieb hängen: KIS, RIS, PACS, Laborgeräte, Medizingeräte, Windows-10-Laptops, Scanner, Thin Clients, NAS, VPN-Zugänge, Hersteller-Fernwartung. Pro Asset dokumentieren Sie: Betriebssystem, Patchstand, Hersteller, Datenart, Netzwerkzone, Verantwortlicher, Ausfallkritikalität und bekannte Schwachstellen. Ohne Inventar keine NIS2-Verteidigung.
Isolieren Sie ungepatchte Systeme technisch statt sie schönzureden: Legacy-Geräte gehören nicht flach ins Kliniknetz. Setzen Sie VLANs, Firewall-Regeln, Whitelisting, eingeschränkte Admin-Zugänge und getrennte Fernwartungswege durch. Blockieren Sie unnötige ausgehende Verbindungen. Protokollieren Sie Zugriffe. Wo Patching nicht möglich ist, brauchen Sie dokumentierte Ersatzmaßnahmen. Sonst bleibt das System ein offenes Einfallstor.
Bauen Sie einen NIS2-Nachweisordner für die Geschäftsleitung: Legen Sie zentral ab: Asset-Liste, Risikoentscheidungen, Patch-Ausnahmen, Herstellerbestätigungen, Netzwerkpläne, Backup-Nachweise, Incident-Prozess, Meldewege, Verantwortlichkeiten und Maßnahmenstatus. Wichtig: Jede akzeptierte Altlast braucht eine Managemententscheidung. Nicht mündlich. Schriftlich. Sonst hängt das Risiko bei der IT — und später bei der Geschäftsführung.
Checkliste: NIS2 für Krankenhäuser und medizinische Einrichtungen
Die Checkliste gibt einen strukturierten Überblick, welche Prüfschritte für Legacy-Systeme, Medizingeräte und die Nachweisführung im klinischen Umfeld relevant sind. Sie bietet eine erste Orientierung und ersetzt keine klinikspezifische Fachberatung oder rechtliche Einzelfallprüfung.