KRITIS Sektor-Steckbrief: Energie

Stationäre medizinische Versorgung

Der Regelschwellenwert: Die Versorgung von mindestens 500.000 Personen.

Berechnungsbeispiele (laut BSI-KritisV):

Krankenhäuser: Vollstationäre Fallzahl ab 30.000 Patienten pro Jahr.
Arzneimittel & Logistik: Pharmazeutische Hersteller, Großhändler oder Apothekenverbünde ab einem Inverkehrbringen oder Umschlag von 4,65 Millionen Packungen pro Jahr.
Medizinprodukte: Produktionsstätten oder Abgabestellen ab einem jährlichen Umsatz von 90,68 Millionen € in den kritischen Produktkategorien.
Labormedizin: Großlabore oder Laborverbünde (z. B. Steuerung des Probentransports, Befundübermittlung) ab 1,5 Millionen Aufträgen pro Jahr.

Zuständige Landesbehörden (Gesundheitsministerien der Länder): Da das Gesundheits- und Krankenhauswesen in Deutschland primär Ländersache ist, liegt die direkte fachliche Aufsicht bei den jeweiligen Ministerien und Behörden der Bundesländer.
BBK (Bundesamt für Bevölkerungsschutz und Katastrophenhilfe): Zentrale Instanz auf Bundesebene für den physischen Schutz und die Resilienz (Vorgaben durch das KRITIS-Dachgesetz).
BSI (Bundesamt für Sicherheit in der Informationstechnik): Zuständig für Cyber-Sicherheit (z. B. Schutz von Krankenhausinformationssystemen (KIS), medizinischen Geräten und Labornetzwerken) und das Meldewesen bei IT-Vorfällen.

Informationssicherheit (§ 30/31 BSIG): Umsetzung von Cybersicherheitsmaßnahmen nach dem “Stand der Technik”, eng orientiert am etablierten B3S (Branchenspezifischer Sicherheitsstandard) für die stationäre medizinische Versorgung. Verpflichtender Einsatz von Systemen zur Angriffserkennung (SZA) – dies gilt im Krankenhausbereich als besonders kritisch, um Erpressungs-Software (Ransomware) frühzeitig zu stoppen. IT-Nachweis-Audits alle 2 Jahre.
Physische Resilienz (§ 13 KRITIS-DachG): All-Gefahren-Ansatz: Proaktiver Schutz der medizinischen Infrastruktur vor Sabotage, Terrorismus, Einbruch, Lieferkettenabrissen und Naturkatastrophen (z. B. Schutz von Notaufnahmen und Rechenzentren vor Hochwasser). Konkrete Schutzmaßnahmen: Physische Absicherung sensibler Bereiche (Apothekenlager, Blutdatenbanken, Serverräume) durch strikte, protokollierte Zutrittskontrollen und Videoüberwachung. Implementierung eines funktionierenden Business Continuity Managements (BCM) inklusive einer autarken Notstromversorgung (Netzersatzanlagen), um lebenserhaltende Systeme (OPs, Intensivstationen) im Falle eines Blackouts lückenlos weiterzubetreiben.

Registrierung: Spätestens 3 Monate nach Erreichen des Status als kritische Anlage über das gemeinsame Meldeportal, jedoch frühestens ab dem 17. Juli 2026 (bzw. nach den länderspezifischen Übergangsfristen).
Risikoanalysen: Turnusmäßige Durchführung umfassender, physischer Risikoanalysen und Fortschreibung des Resilienzplans alle 4 Jahre.
Strafen: Bußgelder von bis zu 500.000 € bei Verstößen gegen das KRITIS-Dachgesetz (z. B. mangelhafter Objektschutz). Bei schwerwiegenden Cyber-Sicherheitsverstößen (NIS-2-Regime über das BSIG) drohen IT-Betreibern im Gesundheitswesen Bußgelder von bis zu 10 Millionen € oder 2 % des weltweiten Jahresumsatzes.
Haftung: Die Geschäftsleitung (z. B. Klinik-Geschäftsführer, Vorstände von Krankenhauskonzernen, Vorstände von Pharmaunternehmen) haftet bei schuldhafter Verletzung ihrer Risikoüberwachungs- und Implementierungspflichten persönlich und unbeschränkbar mit dem Privatvermögen.