Die Studien für den Kritischen Infrastruktur Sektor (KRITIS) Gesundheit wurden mit dem Ziel erarbeitet, die relevanten Prozesse der kritischen Dienstleistungen zu identifizieren und den Status Quo der Informationssicherheit in Krankenhäusern beziehungsweise Laboren in Deutschland zu untersuchen. Darüber hinaus enthalten die Studien Handlungsempfehlungen zur Erhöhung des Schutzniveaus und einen Ausblick auf die Zukunft der Digitalisierung innerhalb der beiden Branchen.

Es zeigte sich, dass technische Schutzmaßnahmen von den Betreibern der Einrichtungen in der Regel gut umgesetzt wurden, insbesondere in Krankenhäusern aber noch Nachholbedarf bestehe. So hat das BSI im Rahmen der Studie etwa festgestellt, dass sich ein systematisches IT Risikomanagement in vielen Häusern noch nicht auf dem notwendigen Niveau befindet. Untersucht wurden in beiden Bereichen sowohl gesetzlich regulierte Betreiber Kritischer Infrastrukturen, als auch Einrichtungen, die die jeweiligen Schwellenwerte der BSI-Kritis-Verordnung nicht erreichen.

Branchenspezifischer Sicherheitsstandard sinnvoll

Bei den Krankenhäusern wurde deutlich, dass die relevanten IT-Systeme und Komponenten zur Erbringung der kritischen Dienstleistungen in der Regel redundant ausgelegt sind. Klassische technische Abwehrmaßnahmen schützen vor Angriffen und vor Schadsoftware. Bei der Umsetzung von organisatorischen IT-Sicherheitsmaßnahmen sei jedoch noch Verbesserungspotenzial erkennbar.

Medizinische Labore verfügten aufgrund des fortgeschrittenen IT-Reifegrades und der hohen Verfügbarkeitsanforderungen über weitgehende Schutzmaßnahmen gegen Ausfälle. Im Bereich der Labore hatte sich zudem gezeigt, dass ein branchenspezifischer Sicherheitsstandard (B3S) zur deutlichen Steigerung der Informationssicherheit beiträgt. Medizinische Labore, die sich am B3S orientieren, seien bereits gut auf die fortschreitende digitale Transformation vorbereitet. Die Zusammenfassungen der Studienergebnisse und Handlungsempfehlungen sind auf der Webseite des BSI verfügbar.