Krankenhäuser treiben technische Sicherheitsmaßnahmen voran, bei der organisatorischen Umsetzung der EU-Richtlinie NIS2 zeigen sich jedoch deutliche Defizite. Das geht aus einer aktuellen Befragung des Sicherheitsanbieters ESET unter Entscheidern im deutschen Gesundheitswesen hervor. Besonders Universitätskliniken kämpfen demnach mit regulatorischen Anforderungen und komplexen IT-Strukturen.
Foto: Foto: ESET / Roman Moebius
Michael Schröder, Head of Product Marketing bei ESET
Die Umsetzung der europäischen NIS2-Richtlinie erhöht den Druck auf Krankenhäuser, ihre Cyber-Resilienz nachweisbar auszubauen. Laut einer aktuellen Umfrage von ESET haben in den vergangenen zwölf Monaten rund 36 Prozent der befragten Kliniken gezielt Maßnahmen umgesetzt, um Anforderungen aus KRITIS oder NIS2 zu erfüllen. Gleichzeitig zeigt die Untersuchung, dass viele Einrichtungen zwar operative Sicherheitsmaßnahmen forcieren, strategische und organisatorische Verankerungen jedoch häufig fehlen.
Besonders deutlich wird dies bei Universitätskliniken. Sie gelten als hochdigitalisierte Einrichtungen mit komplexen IT-Landschaften und internationaler Vernetzung. Dennoch weisen sie laut Studie den geringsten Anteil an Kliniken auf, die aktiv an der Umsetzung regulatorischer Vorgaben arbeiten.
Quelle: ESET
Die Umfrage zeigt, dass Krankenhäuser vor allem in konkrete Schutzmaßnahmen investieren. So führten 52 Prozent der befragten Einrichtungen Notfall- oder Ransomware-Übungen durch. Rund 48 Prozent setzten auf Schulungen und Awareness-Programme, während 41 Prozent die Absicherung medizinischer Geräte und vernetzter IoMT-Systeme verstärkten. Mehr als ein Drittel modernisierte zudem die eigene Netzwerkarchitektur.
Nach Einschätzung von ESET deutet dies darauf hin, dass NIS2 die Prioritäten in den IT-Abteilungen verändert. IT-Sicherheit werde zunehmend als Management-Thema wahrgenommen und verlasse die rein technische Ebene. Gleichzeitig bleibe die Umsetzung vielerorts fragmentiert. Einzelne Projekte würden häufig noch keine organisationsweite Sicherheitsstrategie ersetzen.
Michael Schröder, Head of Product Marketing bei ESET, ordnet die Ergebnisse so ein:
„Unsere Ergebnisse zeigen, dass viele Krankenhäuser die Zeichen der Zeit erkannt haben. Investitionen in Technik und Awareness nehmen zu. Gleichzeitig fehlt häufig noch ein ganzheitlicher Ansatz, der Prozesse, Verantwortlichkeiten und regelmäßige Übungen verbindlich festschreibt. NIS2 ist kein reines Compliance‑Thema, sondern ein Belastungstest für die reale Cyber-Resilienz von Kliniken“.
Laut den Ergebnissen der Befragung setzen Universitätskliniken regulatorische Vorgaben seltener um als andere Krankenhaustypen. Nur rund 29 Prozent der befragten Unikliniken geben an, in den vergangenen zwölf Monaten gezielt an der Umsetzung von KRITIS- oder NIS2-Anforderungen gearbeitet zu haben. Fachkliniken erreichen dagegen 46 Prozent, Allgemeinkrankenhäuser 38 Prozent.
Quelle: ESET
Gleichzeitig schneiden Universitätskliniken bei operativen Sicherheitsmaßnahmen teilweise besser ab. Sie führen überdurchschnittlich häufig Notfallübungen durch und nutzen verstärkt externe Security-Audits.
Als möglicher Grund für die Diskrepanz nennt die Analyse die hohe Komplexität der IT-Umgebungen. Historisch gewachsene Infrastrukturen, internationale Forschungsnetzwerke sowie tausende vernetzte Medizin- und IoMT-Systeme erschweren die Umsetzung regulatorischer Vorgaben erheblich. Hinzu kommt, dass Universitätskliniken aufgrund sensibler Forschungsdaten und ihrer internationalen Sichtbarkeit als besonders attraktive Ziele für Cyberangriffe gelten.
Die NIS2-Richtlinie verschärft für diese Einrichtungen daher nicht nur formale Anforderungen, sondern erhöht auch den operativen Druck. Neben technischen Schutzmaßnahmen rücken Meldepflichten, Reaktionszeiten und Krisenorganisation auf Leitungsebene stärker in den Fokus.
Nahezu alle befragten Krankenhäuser verfügen laut Studie über Notfallpläne für schwere IT-Sicherheitsvorfälle wie Ransomware-Angriffe. Allerdings beschreibt nur rund ein Drittel diese Konzepte als strukturiert und regelmäßig getestet. Knapp die Hälfte überprüft ihre Notfallpläne lediglich gelegentlich.
Quelle: ESET
Besonders kritisch bewertet die Analyse die Situation an Universitätskliniken. Zwar verfügen dort nahezu alle Einrichtungen über entsprechende Konzepte, doch nur etwa 21 Prozent testen diese regelmäßig. Veraltete oder selten überprüfte Notfallpläne könnten im Ernstfall die Handlungsfähigkeit beeinträchtigen.
Quelle: ESET
Die Ergebnisse zeigen laut ESET, dass viele Häuser den Übergang von dokumentierten Sicherheitskonzepten hin zu gelebten Krisenprozessen noch nicht vollständig geschafft haben. Gerade im Gesundheitswesen könne ein IT-Ausfall schnell Auswirkungen auf Patientenversorgung, Forschung und Lehre haben.
Die Studie sieht NIS2 daher als strukturellen Wendepunkt für die Cybersicherheit im Gesundheitswesen. Künftig werde entscheidend sein, ob Krankenhäuser punktuelle Einzelmaßnahmen in ein organisationsweit verankertes Sicherheits- und Krisenmanagement überführen können.
