Was tun, wenn die Klinik stillsteht
Was aktuelle Vorgaben, die KRITIS-Einordnung und die auslaufende KHZG-Frist für MVZ, Kliniken und Krankenhäuser bedeuten — und wie sich Schutz nachweisbar und souverän aufstellen lässt.
Im Krankenhaus geht es zuerst um Menschen. Ein IT-Ausfall in einer Klinik ist zuallererst ein Patientensicherheitsthema. Wenn Systeme stillstehen, verzögern sich Behandlungen, fehlen Befunde, muss die Notaufnahme abgemeldet werden — mit Folgen, die sich nicht in Euro allein messen lassen. Cybersicherheit ist im Gesundheitswesen damit Teil der Versorgungsqualität.
Das Gesundheitswesen ist das teuerste Ziel. Das ist kein abstraktes Risiko: Laut dem IBM Cost of a Data Breach Report 2025 ist das Gesundheitswesen mit 7,42 Mio. US-Dollar pro Vorfall die teuerste Branche — im 15. Jahr in Folge. Zugleich dauert es hier besonders lange, bis ein Vorfall erkannt und eingedämmt ist. Lange Verweildauern und sensible Patientendaten sind eine Kombination, die Angreifer gezielt suchen.
Was der Gesetzgeber verlangt. Für Kliniken und Krankenhäuser gilt seit 2022 mit § 75c SGB V die Pflicht, IT-Sicherheit nach dem Stand der Technik umzusetzen — als Maßstab dient der branchenspezifische Sicherheitsstandard B3S für die Gesundheitsversorgung. Große Häuser unterliegen zusätzlich als kritische Infrastruktur den verschärften KRITIS-Anforderungen, und für MVZ wie Kliniken gelten die besonderen Vorgaben zum Schutz von Gesundheitsdaten. Verlangt werden nachweisbare Maßnahmen, die Verantwortung liegt bei der Leitung — was für Ihr Haus konkret greift, ordnet unser Healthcare-Spezialist ein.
Gebundene Mittel, laufende Frist. Wer über das Krankenhauszukunftsgesetz (KHZG) Mittel für IT-Sicherheit gebunden hat — der Fördertatbestand 10 ist genau dafür da —, steht 2026 unter Zeitdruck. Neue Anträge sind seit Ende 2021 nicht mehr möglich, und viele abschlagsbewehrte Vorhaben müssen bis zum 31. August 2026 vollständig umgesetzt sein. Wer die IT-Sicherheit noch fertigstellen muss, sollte jetzt handeln, sonst verfallen gebundene Mittel. Für fehlende digitale Dienste greift ohnehin seit 2025 ein Digitalisierungsabschlag.
Schutz, der Patientendaten im Land hält. Bei Gesundheitsdaten wiegt die Frage der Datenhoheit besonders schwer. Ein souveräner Ansatz stellt sicher, dass Patientendaten und die Kontrolle darüber im deutschen Rechtsrahmen bleiben — nicht in einer fremden Cloud und nicht in einer Blackbox. Das ist zugleich Datenschutz und Vertrauensschutz gegenüber Patienten.
