Der §75c SBG V wird in seinem 2. Absatz noch etwas konkreter und formuliert, dass Krankenhäuser dieser Verpflichtung insbesondere nachkommen können indem Sie einen Branchenspezifischen Sicherheitsstandard (B3S) umsetzen, welcher explizit für die Gesundheitsversorgung im Krankenhaus zur Verfügung steht.

Der B3S medizinische Versorgung wurde von der Deutschen Krankenhaus Gesellschaft entwickelt und steht bereits seit 2019, nach vorheriger Prüfung und Freigabe durch das Bundesamt für Sicherheit in der Informationstechnik (BSI), für die KRITIS-Häuser zur Verfügung. Er dient der Etablierung eines angemessenen Sicherheitsniveaus und gibt den Rahmen zur Einführung und zum Betrieb eines ISMS in Form von insgesamt über 200 Anforderungen vor, ergänzt um weitere technische und organisatorische Maßnahmen. Die Anforderungen basieren auf meist international anerkannten Standards und Best Practices wie bspw. der ISO 27001 als Grundlage für die Erstellung eines ISMS, OCTAVE als Basis für die Etablierung des Risikomanagements oder ITIL als Ausgangsrahmenwerk in Bezug auf die IT-Service-Management-Anforderungen des B3S. Für eine ggf. angestrebte Zertifizierung ist der B3S als Prüfgrundlage geeignet und kann durch eine zugelassene Akkreditierungsstelle begutachtet werden, wenngleich dies durch den Gesetzgeber aktuell nicht vorgeschrieben wird. Der Nachweis, dass sich ein Krankenhaus mit dem Thema Informationssicherheit intensiv auseinandergesetzt hat fällt jedoch mit dem Audit-Nachweis deutlich leichter, sodass eine Ausrichtung an den Vorgaben des Branchenspezifischen Sicherheitsstandard bereits zu Beginn der Umsetzung absolut empfehlenswert ist.

(1) Ab dem 1. Januar 2022 sind Krankenhäuser verpflichtet, nach dem Stand der Technik angemessene organisatorische und technische Vorkehrungen zur Vermeidung von Störungen der Verfügbarkeit, Integrität und Vertraulichkeit sowie der weiteren Sicherheitsziele ihrer informationstechnischen Systeme, Komponenten oder Prozesse zu treffen, die für die Funktionsfähigkeit des jeweiligen Krankenhauses und die Sicherheit der verarbeiteten Patienteninformationen maßgeblich sind. Organisatorische und technische Vorkehrungen sind angemessen, wenn der dafür erforderliche Aufwand nicht außer Verhältnis zu den Folgen eines Ausfalls oder einer Beeinträchtigung des Krankenhauses oder der Sicherheit der verarbeiteten Patienteninformationen steht. Die informationstechnischen Systeme sind spätestens alle zwei Jahre an den aktuellen Stand der Technik anzupassen.

(2) Die Krankenhäuser können die Verpflichtungen nach Absatz 1 insbesondere erfüllen, indem sie einen branchenspezifischen Sicherheitsstandard für die informationstechnische Sicherheit der Gesundheitsversorgung im Krankenhaus in der jeweils gültigen Fassung anwenden, dessen Eignung vom Bundesamt für Sicherheit in der Informationstechnik nach § 8a Absatz 2 des BSI-Gesetzes festgestellt wurde.

(3) Die Verpflichtung nach Absatz 1 gilt für alle Krankenhäuser, soweit sie nicht ohnehin als Betreiber Kritischer Infrastrukturen gemäß § 8a des BSI-Gesetzes angemessene technische Vorkehrungen zu treffen haben