NIS-2-Richtlinie im Gesundheitswesen rechtskonform umsetzen

Das Gesundheitswesen gehört zu den attraktivsten Angriffszielen für Cyberkriminelle. Ransomware-Angriffe auf Krankenhäuser, Angriffe auf Labor- und Medizintechnik oder Ausfälle klinischer Informationssysteme können nicht nur wirtschaftliche Schäden verursachen, sondern unmittelbar die Patientenversorgung gefährden.

Mit der NIS-2-Richtlinie steigen die Anforderungen an Cybersecurity, Risikomanagement und die Verantwortung der Leitungsebene erheblich. Gleichzeitig bestehen enge Wechselwirkungen mit weiteren regulatorischen Vorgaben wie der CER-Richtlinie, der DSGVO, dem KRITIS-Dachgesetz (soweit relevant), den Anforderungen des BSI sowie – je nach Einrichtung – der Medizinprodukteverordnung (MDR) und dem Cyber Resilience Act (CRA).

In diesem Seminar erfahren Sie, welche Anforderungen konkret für Einrichtungen des Gesundheitswesens gelten und wie Sie diese praxisnah, risikoorientiert und auditfähig umsetzen.

• beurteilen, ob Ihre Einrichtung unter die NIS-2-Anforderungen fällt,
• die regulatorischen Anforderungen für Gesundheitseinrichtungen einordnen,
• Risiken für Patientenversorgung und IT systematisch bewerten,
• geeignete technische und organisatorische Maßnahmen auswählen,
• Meldepflichten bei Sicherheitsvorfällen korrekt erfüllen,
• Verantwortlichkeiten zwischen Geschäftsführung, IT und Informationssicherheit klar definieren,
• Schnittstellen zu DSGVO, MDR, CRA und ISO 27001 verstehen.

Methoden und Lern-Fokus (Vortrag, Workshop, Übungen, Fallstudien, Rollen-/Planspiele, Gruppenarbeit, Transferaufgaben, Wissenstest, etc.):

• Vortrag, Workshop, Übungen
• Fallstudien wie z.B. 
  • Ransomware-Angriff auf ein Krankenhaus – Incident Response und Meldepflichten.
  • Angriff über einen externen Medizintechnik-Dienstleister – Lieferkettenrisiken und Drittparteienmanagement.
  • Einsatz einer KI zur radiologischen Bildauswertung – Zusammenspiel von NIS2, AI Act, MDR und CRA.

1. Einführung

Die Bedrohungslage im Gesundheitswesen

• aktuelle Cyberangriffe auf Krankenhäuser 
• Ransomware 
• Ausfall medizinischer IT 
• Auswirkungen auf die Patientenversorgung 

Warum steht das Gesundheitswesen besonders im Fokus?

2. NIS2 im Gesundheitswesen

• Ziele der Richtlinie 
• Wer ist betroffen? 
• Krankenhäuser  
• Universitätskliniken  
• MVZ (Medizinisches Versorgungszentrum)
• Labore 
• Pflegeeinrichtungen  
• Gesundheitsdienstleister  
• digitale Gesundheitsdienste 

Besonderheiten gegenüber anderen Branchen

3. Anforderungen an Gesundheitseinrichtungen

• Risikomanagement  
• Informationssicherheitsmanagement  
• Business Continuity Management 
• Notfallmanagement  
• Lieferketten 
• Cloud-Dienste  
• medizinische Geräte 
• Netzwerksegmentierung  
• Multi-Faktor-Authentifizierung  

Praxisbeispiele

4. Incident Management

Sicherheitsvorfälle richtig behandeln

• Erkennung 
• Bewertung 
• Meldepflichten  
• Kommunikation  
• Wiederherstellung  

Übung

Ransomware im Krankenhaus

5. Risikoanalyse

Praxisworkshop im Kontext des Gesundheitswesens

• Beispielszenarien  
• Bedrohungen 
• Schwachstellen  
• Auswirkungen 
• Maßnahmen 

6. Schnittstellen zu weiteren Regularien

• DSGVO 
• B3S Gesundheit 
• ISO 27001 
• BSI IT-Grundschutz 
• MDR 
• CRA 
• AI Act 
• CER 

Wann gilt was?

7. Roadmap zur Umsetzung

Die ersten 100 Tage

Prioritäten

Quick Wins

• Governance 
• Verantwortlichkeiten  
• Risikoanalyse  
• Maßnahmenplan  
• Awareness 
• Dokumentation