Digitalisierung: Neue Pflichten durch NIS-2
Mit NIS-2 wird Cybersicherheit zur Aufgabe der Geschäftsleitung. Gesundheitseinrichtungen müssen neue Anforderungen umsetzen, Risiken aktiv steuern und IT-Sicherheit strategisch verankern. Warum Schulungen jetzt entscheidend sind.
Mit der fortschreitenden Digitalisierung im Gesundheitswesen steigen auch die Gefahren, denen Gesundheitseinrichtungen im digitalen Raum ausgesetzt sind. Cybersicherheitsrisiken und -vorfälle nehmen zu und eine effiziente Abwehr wird immer komplexer. Ein belastbarer Schutz vor digitalen Gefahren ist möglich, erfordert allerdings kontinuierliche Pflege, klare Verantwortlichkeiten und vor allem die richtigen Entscheidungen. Mit dem Inkrafttreten des Gesetzes zur Umsetzung der europäischen NIS-2-Richtlinie im Dezember 2025 gelten daher auch für Einrichtungen des Gesundheitswesens neue verbindliche Vorgaben zur Cybersicherheit. Betroffene „wichtige“ und „besonders wichtige“ Einrichtungen müssen sich künftig beim Bundesamt für Sicherheit in der Informationstechnik (BSI) registrieren, erhebliche Sicherheitsvorfälle melden sowie technische und organisatorische Maßnahmen zum Risikomanagement umsetzen.
Gerade für viele Einrichtungen der Rehabilitation und Vorsorge bedeutet dies einen erheblichen Informations- und Anpassungsbedarf. Denn wer die gesetzlichen Anforderungen nicht erfüllt, riskiert nicht nur Bußgelder und Reputationsschäden, sondern erhöht zugleich die eigene Anfälligkeit für Cyberangriffe und damit verbundene Schadensfälle. Fehlen angemessene Schutzmaßnahmen gegen bekannte und vermeidbare Risiken, können Sicherheitsvorfälle schnell existenzbedrohend werden. Informationssicherheit wird damit zunehmend zu einer essenziellen Voraussetzung für wirtschaftliche Handlungsfähigkeit und Vertrauen.
IT-Sicherheit ist Führungsaufgabe
Besonders im Fokus der neuen Regelungen steht die Verantwortung der Geschäftsleitung: Sie muss sicherstellen, dass Cybersicherheit integraler Bestandteil der Unternehmenssteuerung und des Risikomanagements ist. Diese Verantwortung lässt sich nicht delegieren. Geschäftsleitungen sind verpflichtet, die Umsetzung geeigneter Risikomanagementmaßnahmen aktiv zu steuern und deren Wirksamkeit zu überwachen. Als „Geschäftsleitung“ gelten nach dem BSI natürliche Personen, die nach Gesetz, Satzung oder Gesellschaftsvertrag zur Führung der Geschäfte und zur Vertretung einer besonders wichtigen Einrichtung oder wichtigen Einrichtung berufen sind.
IT-Sicherheit ist damit keine rein technische Fragestellung mehr. Risikoidentifizierung und -bewertung sowie Konzepte zur Vorbeugung und Bewältigung von Cybersicherheitsvorfällen sind nur einige der essenziellen Bausteine für eine gelungene und gelebte Cybersicherheitskultur. Geschäftsleitungen müssen Risiken bewerten, Prioritäten setzen und fundierte Entscheidungen treffen können. Dafür ist es notwendig, die Hintergründe von Entscheidungsvorlagen nachvollziehen und die Auswirkungen möglicher Maßnahmen einschätzen zu können.
Schulungen als gesetzliche Anforderung
Schulungen der Geschäftsführung sind daher eine verpflichtende und essenzielle Anforderung des Gesetzes. Vor diesem Hintergrund bietet der BDPK seinen Mitgliedern kostenfreie Schulungen für Geschäftsleitungen von Krankenhäusern sowie Reha- und Vorsorgeeinrichtungen an. Die Schulung erfolgt durch Anja Schütte, SCHÜTTE CONSULTING, und wird als Online-Seminar durchgeführt. Neben den gesetzlichen Grundlagen stehen insbesondere die Rolle und Verantwortung der Geschäftsleitung, der Risikomanagementprozess und die Meldepflichten im Mittelpunkt. So werden ein zusammenfassender Überblick über die Inhalte und Anforderungen der NIS-2-Richtlinie sowie deren nationale Umsetzung, der Risikomanagementprozess gemäß § 38 Abs. 3 BSIG-E sowie die Umsetzung in die Praxis anhand von Beispielen Inhalte der Schulung sein. Ziel der Seminare ist es, Führungskräfte in die Lage zu versetzen, IT-Sicherheitsrisiken fundiert zu bewerten, um entsprechende Maßnahmen treffen zu können.
Unsere Schulungen für die Geschäftsführung stellen somit einen wichtigen Schritt dar, um die NIS-2-Anforderungen praxisnah kennenzulernen. Gerade für die betroffenen Einrichtungen schaffen sie Orientierung, stärken das Bewusstsein für Cybersicherheit und bieten Unterstützung, rechtliche Anforderungen in konkretes Handeln zu übersetzen. Nutzen Sie die Gelegenheit und werden Sie aktiv.
Cybersicherheit ist längst kein isoliertes IT-Thema mehr, sie ist eine zentrale Aufgabe der Unternehmensführung und ein entscheidender Faktor für Resilienz, Vertrauen und Zukunftsfähigkeit.