Das Bundeskabinett hat den Entwurf für die zweite Umsetzungsverordnung des IT-Sicherheitsgesetzes, welches nun auch das Gesundheitswesen betrifft, am Mittwoch beschlossen. Demnach gelten Krankenhäuser ab einer Schwelle von 30.000 Krankenhausfällen als "kritische Infrastruktur", müssen also besondere Anstrengungen zum Schutz ihrer digitalen Infrastrukturen unternehmen. Für die von der Regierung geschätzte Zahl von 110 betroffenen Krankenhäusern bedeutet dies, künftig zusätzliche Mittel in IT-Infrastrukturen zu investieren, um ihre Systeme gegen Hacker-Angriffe und dadurch möglicherweise hervorgerufene Ausfälle zu schützen.
Der Schwellenwert rief erneut Kritik hervor. So bemängelte die Ärztegewerkschaft Marburger Bund in einer Stellungnahme, die Zahl von 30.000 Krankenhausfällen sei "mit der Versorgungsrealität nicht in Einklang zu bringen". Die Einstufung der Kliniken in der auch zahlreiche andere Branchen betreffenden Verordnung müsse daher noch kritisch überprüft werden, argumentierte der erste Vorsitzende Rudolf Henke. Es könne nicht sein, "dass eine Klinik wie das Lukaskrankenhaus in Neuss, das selbst schon einmal Ziel einer Cyber-Attacke war, als weniger schutz- und unterstützungswürdig eingestuft wird, nur weil dort 28.500 Patienten pro Jahr versorgt werden – also 1.500 Patienten weniger, als es der Schwellenwert vorsieht", sagte Henke.
Krankenhäuser, die als kritische Infrastruktur gelten, sind nach der Verordnung verpflichtet, dem Bundesamt für Sicherheit in der Informationstechnik innerhalb von zwei Jahren die Einhaltung eines Mindeststandards an IT-Sicherheit nachzuweisen. Dabei geht es vor allem um die Ausfallsicherheit der gesundheitlichen Versorgung durch diese Häuser sowie die Vermeidung von Engpässen in Notsituationen.
