§ 39 ist alle drei Jahre. KRITIS ist jeden Tag.

KRITIS-Betreiber im Gesundheitswesen müssen regelmäßig nachweisen, dass ihre IT-Sicherheit dem Stand der Technik entspricht. Seit dem NIS2-Umsetzungsgesetz steht diese Pflicht in § 39 BSIG, vormals § 8a, und der Nachweiszyklus ist von zwei auf drei Jahre gewachsen. In der Praxis ist daraus ein Ritual geworden, das jeder kennt, der es einmal mitgemacht hat: Monate vor dem Prüftermin beginnt das große Zusammensuchen, quer durch Abteilungen und Systeme. Die Prüfung ist bestanden, und danach fällt alles zurück in den Alltag, bis der nächste Zyklus beginnt.

Drei Jahre Frist, aber die Bedrohung kommt nicht im Takt

Der Turnus ist eine Frist, kein Sicherheitsniveau. Und je länger er wird, desto größer die Lücke zwischen zwei Momentaufnahmen: Drei Jahre sind eine lange Zeit für neue Systeme, neue Schwachstellen, neue Angreifer. Ein Nachweis, der punktuell zum Termin entsteht, sagt wenig darüber, wie es an einem beliebigen Dienstag im Zwischenjahr aussieht. Genau dann aber trifft es das Krankenhaus.

Der Katalog sagt das WAS, die Arbeit steckt im WIE

Der branchenspezifische Sicherheitsstandard B3S Krankenhaus beschreibt das WAS sehr genau: 269 Anforderungen in MUSS, SOLL und KANN, über 41 Kapitel. Das ist der klarere Teil. Die eigentliche Arbeit ist das WIE, nämlich für jede Anforderung den Nachweis zu führen, dass sie erfüllt ist. Und dieser Nachweis liegt fast nie an einer Stelle. Er steckt im Asset-Inventar, im Risikoregister, in den Richtlinien, im Notfallmanagement und in den Systemen zur Angriffserkennung. Der Prüfungs-Sprint besteht zum großen Teil daraus, ihn dort wieder einzusammeln.

Wie isidaten den Sprint überflüssig macht

Das B3S-Modul bringt den Katalog Krankenhaus, ergänzt um GKV und Pflegeversicherung, als strukturierten Standard mit. Sie definieren Ihren Geltungsbereich mit kritischer Dienstleistung, KRITIS-Einstufung und Nachweiszyklus und leiten die Erklärung zur Anwendbarkeit ab. Dann prüft eine Auto-Check-Engine die Anforderungen laufend gegen die Ist-Daten aus der Plattform, statt dass jemand sie zum Termin zusammenträgt. Der RUN-Umsetzungsgrad für ISMS, BCMS und Angriffserkennung wird fortlaufend berechnet, und der Prüfbericht für den § 39-Nachweis entsteht aus dem Betrieb. Aus dem Drei-Jahres-Kraftakt wird ein Bericht über einen Zustand, den Sie ohnehin jeden Tag kennen.

Was das Modul im Detail kann, zeigt die B3S-Modulseite. Und wenn Sie Ihren KRITIS-Nachweis vom Sprint auf einen laufenden Zustand umstellen wollen, sprechen Sie uns an.