Krankenhäuser und Kliniken

NIS2 + KRITIS + § 391 SGB V · je nach Haus

Cybersicherheit für Krankenhäuser und Kliniken

Q: Unser Haus hat weniger als 30.000 Fälle - gilt NIS2 trotzdem?

Ja. Die 30.000-Fälle-Grenze bezieht sich nur auf KRITIS, also auf den Status als Betreiber einer kritischen Anlage mit zusätzlichen Nachweispflichten nach § 39 BSIG. NIS2 erfasst Krankenhäuser und Kliniken bereits ab 50 Beschäftigten oder mehr als 10 Mio. € Umsatz und Bilanzsumme - als wichtige, ab 250 Beschäftigten als besonders wichtige Einrichtung. Für Häuser mit Zulassung nach § 108 SGB V gilt zusätzlich § 391 SGB V.

Q: Gilt das auch für Privat-, Fach- und Rehakliniken?

Ja. NIS2 unterscheidet nicht nach Trägerschaft. Privat-, Fach- und Rehakliniken ab 50 Beschäftigten oder mehr als 10 Mio. € Umsatz und Bilanzsumme sind erfasst, meist als wichtige Einrichtung. Die Pflichten aus § 30 und § 32 BSIG sind dieselben wie für große Häuser - Aufsicht und Bußgeldrahmen sind milder. § 391 SGB V gilt nur für Häuser mit Zulassung nach § 108 SGB V.

Q: Wie stören Ihre Maßnahmen den laufenden Klinikbetrieb?

So wenig wie möglich. Asset Discovery läuft passiv und kontinuierlich; aktive Vulnerability-Scans beschränken sich auf IT-Infrastruktur (Server, Workstations, Netzwerk-Equipment) und laufen in abgestimmten Wartungsfenstern. Medizinische Geräte erfassen wir ausschließlich passiv, um Geräteausfälle zu vermeiden. Awareness-Module sind in 2-Minuten-Häppchen gebaut, die in der Schichtübergabe laufen können. Eindämmungsmaßnahmen im Ernstfall stimmen wir immer vorher mit Ihrer klinischen Leitung ab. Unsere Grundregel: keine Maßnahme, die im Zweifel die Patientenversorgung gefährdet.

Q: Wir haben schon einen IT-Dienstleister und einen KIS-Wartungsvertrag - reicht das nicht?

Das sind operative Dienstleister für Betrieb und Applikation - nicht für Cybersicherheit im Sinne von NIS2 und § 391 SGB V. Die regulatorischen Nachweise (Risikoanalysen nach § 30 BSIG, Incident-Meldungen nach § 32 BSIG, B3S-Evidenz) erstellen diese Dienstleister in der Regel nicht. Wir ergänzen sie - wir ersetzen sie nicht. Die Abstimmung mit Ihrem bestehenden Setup ist Teil unseres Onboardings.

Q: Was kostet das Gesamtpaket für eine Klinik?

Konditionen richten sich nach Fallzahl, Anzahl Standorte, Asset-Umfang und Service-Tiefe. Das jährliche Investment liegt regelmäßig deutlich unter den Kosten eines einzigen Ransomware-Vorfalls im Gesundheitswesen - und unter den NIS2-Bußgeldern bei nachgewiesenen Pflichtverletzungen. Konkretes Angebot nach kostenlosem Risk Check.

Q: Wie sieht der NIS2-Nachweis in der Praxis aus?

Das Cyber Risk Assessment und die vier Services liefern strukturierte Evidenz, die direkt auf die zehn Maßnahmen aus § 30 BSIG abgebildet wird: Risikoanalyse (Cyber Risk Assessment und Reports aus dem Vulnerability Management), Cyberhygiene und Patch-Management (Remediation-Trends), Zugriffskontrolle und Asset-Management (Inventar), Bewältigung von Sicherheitsvorfällen (Notfall- und Meldeprozesse nach § 32 BSIG), Schulung (Teilnahmequoten im Awareness-Training). Exportierbar als Evidenzpaket für BSI-Prüfungen, Vorstand und Wirtschaftsprüfer.

Q: Kann Awareness-Training im Schichtbetrieb überhaupt funktionieren?

Ja - wenn es darauf zugeschnitten ist. Unser Kernkurs besteht aus vier Modulen (Gesamtdauer ca. 20 Minuten), Spotlights sind 1 bis 2 Minuten lang. Das lässt sich in Übergaben, Wartepausen oder nach Dienstbeginn einbauen. Fortschritt wird pro Person und pro Rolle nachgehalten - auch für Teilzeit-, Springer- und Honorarkräfte. Die Mitbestimmungspflicht nach § 87 BetrVG wird im Rollout berücksichtigt.

Q: Wo werden unsere Daten gespeichert?

Projekt- und Falldaten speichern wir in Deutschland, auf unserer eigenen Infrastruktur bei der Hetzner Online GmbH. Vor Beginn schließen wir einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO. Welche Daten je Service anfallen, wo sie liegen und wie lange wir sie aufbewahren, beschreiben wir transparent auf unserer Seite Sicherheit & Datenverarbeitung.

Akutkrankenhäuser, Privat-, Fach- und Rehakliniken tragen je nach Größe und Zulassung mehrere Pflichten gleichzeitig: NIS2, § 391 SGB V für Häuser mit Zulassung nach § 108 SGB V und - ab 30.000 vollstationären Fällen - KRITIS. Wir liefern das Cyber Risk Assessment als Einstieg sowie Phishing-Simulation, Awareness-Training, Vulnerability Management und Incident Response - abgestimmt auf Schichtbetrieb, Medizintechnik und die Realität der Patientenversorgung.

Kostenloser Risk Check

DIE REALITÄT

Krankenhäuser sind das lukrativste Ziel - und das verwundbarste.

Keine andere Branche hat so viele sensible Daten, so viel veraltete Technik und so wenig Spielraum für Ausfallzeiten. Ein Ransomware-Angriff auf ein Klinikum ist kein IT-Problem - es ist ein Versorgungsnotstand. Patientenaufnahmen werden eingestellt, Operationen verschoben, Rettungswagen umgeleitet.

54 %

der gemeldeten Cybervorfälle im europäischen Gesundheitssektor waren laut ENISA Ransomware. Am häufigsten betroffen: Krankenhäuser, mit 42 % aller Vorfälle.

24 h

bleiben nach einem erheblichen Sicherheitsvorfall für die Frühwarnung an das BSI - Meldung nach 72 Stunden, Abschlussmeldung einen Monat danach.

3-fach

Regulierungslast: NIS2-Pflichten, KRITIS-Nachweise nach § 39 BSIG und § 391 SGB V-Sicherheitsrichtlinie parallel.

Quellen: ENISA Threat Landscape: Health Sector (2023) · BSI-Gesetz (§ 32, § 39 BSIG) · § 391 SGB V · BSI Lagebericht 2025.

DIE REALITÄT

Krankenhäuser sind das lukrativste Ziel - und das verwundbarste.

54 %

der gemeldeten Cybervorfälle im europäischen Gesundheitssektor waren laut ENISA Ransomware. Am häufigsten betroffen: Krankenhäuser, mit 42 % aller Vorfälle.

24 h

bleiben nach einem erheblichen Sicherheitsvorfall für die Frühwarnung an das BSI - Meldung nach 72 Stunden, Abschlussmeldung einen Monat danach.

3-fach

Regulierungslast: NIS2-Pflichten, KRITIS-Nachweise nach § 39 BSIG und § 391 SGB V-Sicherheitsrichtlinie parallel.

Quellen: ENISA Threat Landscape: Health Sector (2023) · BSI-Gesetz (§ 32, § 39 BSIG) · § 391 SGB V · BSI Lagebericht 2025.

REGULATORISCHER KONTEXT

Bis zu drei Regelwerke pro Haus - und oft gelten alle gleichzeitig.

Bei Krankenhäusern und Kliniken überlagern sich bis zu drei Regelwerke. Welche davon greifen, hängt von Größe, Fallzahl und Zulassung ab - jedes mit eigenem Scope, eigenen Fristen und eigenen Nachweisen.

01 · KRITIS

Kritische Infrastruktur

Kliniken ab 30.000 vollstationären Fällen pro Jahr gelten als Kritische Infrastruktur nach BSI-KritisV. Pflichten: Registrierung beim BSI, Nachweis angemessener Sicherheitsmaßnahmen nach § 39 BSIG (erstmals nach drei Jahren, danach alle zwei Jahre), Meldung erheblicher IT-Störungen, Umsetzung des branchenspezifischen Sicherheitsstandards B3S.

02 · NIS2

Wichtige oder besonders wichtige Einrichtung

Seit dem NIS2UmsuCG (in Kraft seit 6. Dezember 2025, ohne Übergangsfrist) fallen Krankenhäuser und Kliniken ab 50 Beschäftigten oder mehr als 10 Mio. € Umsatz und Bilanzsumme unter das BSI-Gesetz - als wichtige, ab 250 Beschäftigten oder mit KRITIS-Status als besonders wichtige Einrichtung. Pflichten: Risikomanagement nach § 30 BSIG, Meldungen nach 24 Stunden, 72 Stunden und einem Monat (§ 32 BSIG), Umsetzung und Überwachung durch die Geschäftsleitung (§ 38 BSIG), Bußgelder bis 10 Mio. € oder 2 % des weltweiten Jahresumsatzes (§ 65 BSIG).

03 · § 391 SGB V

Krankenhausspezifische IT-Sicherheit

§ 391 SGB V verpflichtet Krankenhäuser mit Zulassung nach § 108 SGB V, angemessene organisatorische und technische Vorkehrungen zur Vermeidung von IT-Störungen zu treffen - unabhängig von Fallzahl und KRITIS-Status. Als Referenz gilt der B3S Krankenhäuser der DKG. Für Kliniken ohne Zulassung nach § 108 SGB V, etwa reine Rehakliniken, gilt § 391 nicht - NIS2 aber sehr wohl.

Rechtsquellen: BSI-Gesetz (BSIG) · BSI-Kritisverordnung (BSI-KritisV) · NIS2UmsuCG vom 6.12.2025 · § 391 SGB V · B3S Krankenhäuser (DKG) · IEC 80001-1 (Medizingeräte-Netzwerke).

REGULATORISCHER KONTEXT

Bis zu drei Regelwerke pro Haus - und oft gelten alle gleichzeitig.

01 · KRITIS

Kritische Infrastruktur

02 · NIS2

Wichtige oder besonders wichtige Einrichtung

03 · § 391 SGB V

Krankenhausspezifische IT-Sicherheit

Rechtsquellen: BSI-Gesetz (BSIG) · BSI-Kritisverordnung (BSI-KritisV) · NIS2UmsuCG vom 6.12.2025 · § 391 SGB V · B3S Krankenhäuser (DKG) · IEC 80001-1 (Medizingeräte-Netzwerke).

TYPISCHE ANGRIFFSSZENARIEN

Die Angriffe, die Kliniken heute treffen.

Krankenhäuser werden nicht generisch angegriffen - die Profile sind erschreckend konstant. Wer die Muster kennt, kann gezielt schützen statt pauschal zu investieren.

Ransomware über Phishing

Der häufigste Einstieg: eine E-Mail an die Verwaltung oder Ambulanz, die wie eine Bewerbung, Rechnung oder Arztbrief aussieht. Nach dem Klick folgen Lateral Movement, Datenexfiltration, Verschlüsselung - und der OP steht still. Durchschnittliche Ausfallzeit im Gesundheitswesen: mehrere Tage bis Wochen.

Legacy-Medizingeräte als Einfallstor

CT-Scanner, Laborgeräte, Infusionspumpen auf Windows XP oder Windows 7 - kein Hersteller-Support, keine Patches, aber vollen Netzwerkzugang. Einmal kompromittiert, dienen sie als persistenter Brückenkopf für tiefere Angriffe ins KIS, RIS und die Patientenakten.

Kompromittierte Fernwartungszugänge

Technik, Reinigung, Labor, Medizingeräte-Hersteller: dutzende externe Zugänge mit oft unzureichender MFA-Absicherung, fragmentierter Zugriffskontrolle und schwacher Protokollierung. Kompromittierte Credentials eines einzelnen Partners reichen häufig aus.

Datenexfiltration vor Verschlüsselung

Moderne Ransomware-Gruppen exfiltrieren erst und verschlüsseln dann - das doppelte Erpressungsschema. Bei Kliniken bedeutet das: Patientendaten, Diagnosen, Behandlungsdokumentation auf Leak-Sites. DSGVO-Bußgelder, Schadensersatzklagen und irreparabler Reputationsschaden kommen zum Betriebsausfall hinzu.

UNSERE LÖSUNGEN

Ein Einstieg, vier Services - zusammen ein klinikgerechtes Sicherheitsfundament.

Einzelmaßnahmen reichen nicht. Awareness-Training ohne Phishing-Simulation ist Theorie, Schwachstellen-Scanner ohne Reaktionsfähigkeit sind Listen ohne Folgen. Das Cyber Risk Assessment zeigt, wo Ihr Haus steht - die vier Bausteine setzen um, was NIS2, KRITIS und § 391 SGB V gemeinsam verlangen.

DER EINSTIEG · FÜR NIS2 UND ISO 27001

Cyber Risk Assessment

Die Risikoanalyse, die NIS2 verlangt - für Ihr Haus: zehn Prüfdomänen von Governance bis Lieferkette, Begehung von Serverräumen und Netzverteilern, Medizintechnik und Altsysteme im Blick. Ergebnis ist eine priorisierte Roadmap mit Akzeptanzvorlage für die Geschäftsführung - ohne Eingriff in laufende Systeme.

Zum Service

Zwei Seiten aus dem Musterbericht zum Cyber Risk Assessment von Entropy CS: die fünf größten Risiken mit Risikomatrix und die Roadmap der Maßnahmenpakete

Zum Service

KONTINUIERLICHES TRAINING

Phishing-Simulation

Monatliche, klinikrealistische Kampagnen - gefälschte Bewerbungen, Laborbefunde, KIS-Passwort-Resets. Messbare Klick- und Melderaten pro Bereich, direkt als Nachweis für NIS2 und Ihre Schulungspflichten nutzbar.

Zum Service

KONTINUIERLICHES TRAINING

Phishing-Simulation

Zum Service

MITARBEITER-RESILIENZ

Awareness-Training

Jährlicher Kernkurs mit rund 20 Minuten, dazu kurze Spotlights von 1-2 Minuten. Rollenbezogene Inhalte für Pflege, Ärzteschaft, Verwaltung und Technik - direkt als Nachweis für die Schulungspflichten nach NIS2 nutzbar.

Zum Service

MITARBEITER-RESILIENZ

Awareness-Training

Zum Service

ANGRIFFSFLÄCHE KENNEN

Vulnerability Management

Kontinuierliche Asset Discovery: Medizingeräte nur passiv erfasst, IT-Infrastruktur aktiv gescannt. Klinische Priorisierung statt CVSS-Rauschen und Remediation-Tracking bis zur geschlossenen Schwachstelle - auditfähig für NIS2.

Zum Service

ANGRIFFSFLÄCHE KENNEN

Vulnerability Management

Zum Service

SOFORTHILFE IM ERNSTFALL

Incident Response

Wenn es doch passiert: Erstbewertung über die Incident-Hotline, Eindämmung mit Vorrang für die Versorgung, Analyse, Wiederherstellung und Entwürfe für die Meldungen nach § 32 BSIG. Mo-Fr 9-17 Uhr, Erstgespräch kostenfrei.

Zum Service

SOFORTHILFE IM ERNSTFALL

Incident Response

Zum Service

WARUM ENTROPY CS

Wir bauen Cybersicherheit, die den Klinikalltag aushält.

Generische Dienstleister scheitern an den Besonderheiten von Kliniken. Wir sind für dieses Umfeld gebaut - mit den Kompromissen, die zwischen Patientensicherheit, Verfügbarkeit und Regulatorik wirklich nötig sind.

Klinik-Vokabular

Wir sprechen KIS, RIS, PACS, Labor-Interfaces, TI-Konnektor - nicht nur Server und Firewalls. Awareness-Inhalte, Phishing-Köder und Incident-Playbooks sind spezifisch auf Klinik-Workflows zugeschnitten.

Regulatorische Mehrfachnutzung

Jede unserer Leistungen produziert Evidenz, die gleichzeitig für NIS2, KRITIS-Nachweis und § 391 SGB V verwendbar ist. Statt drei getrennter Dokumentationsstränge ein konsolidierter Nachweis - Aufwand einmal, Verwendung dreifach.

Versorgungsauftrag als Leitplanke

Jede Maßnahme - Scanner-Fenster, Containment-Entscheidung, Schulungszeit - wird daran gemessen, ob sie die Patientenversorgung gefährdet. Cybersicherheit ist Mittel, nicht Selbstzweck.

Antworten für Krankenhäuser und Kliniken.

Die Fragen, die uns Geschäftsführungen und IT-Leitungen von Krankenhäusern, Privat- und Fachkliniken stellen. Weitere Fragen klären wir im kostenlosen Risk Check.

Unser Haus hat weniger als 30.000 Fälle - gilt NIS2 trotzdem?

Gilt das auch für Privat-, Fach- und Rehakliniken?

Wie stören Ihre Maßnahmen den laufenden Klinikbetrieb?

Wir haben schon einen IT-Dienstleister und einen KIS-Wartungsvertrag - reicht das nicht?

Was kostet das Gesamtpaket für eine Klinik?

Wie sieht der NIS2-Nachweis in der Praxis aus?

Kann Awareness-Training im Schichtbetrieb überhaupt funktionieren?

Wo werden unsere Daten gespeichert?

KOSTENLOSER RISK CHECK

30 Minuten. Ein ehrliches Bild Ihrer Sicherheitslage.

Jedes Gespräch beginnt mit einem kostenlosen Risk Check - 30 Minuten, keine Verpflichtung. Sie erhalten im Anschluss einen schriftlichen Report mit Ihrem Cybersecurity-Reifegrad, Risikobereichen und Sofortmaßnahmen.

Risk Check jetzt buchen

Anrufen: +49 30 863283641

KOSTENLOSER RISK CHECK

30 Minuten. Ein ehrliches Bild Ihrer Sicherheitslage.

Risk Check jetzt buchen

Anrufen: +49 30 863283641

KOSTENLOSER RISK CHECK

30 Minuten. Ein ehrliches Bild Ihrer Sicherheitslage.

Risk Check jetzt buchen

Anrufen: +49 30 863283641