Stärkung der Cybersicherheit: Hinweise speziell für große Praxen
Die strengeren gesetzlichen Pflichten wurden aufgrund der zweiten EU-Richtlinie für mehr Netzwerk- und Informationssicherheit (NIS-2) eingeführt. Sie gelten in Deutschland seit dem 6. Dezember für alle Unternehmen, die der Gesetzgeber mindestens als „wichtig“ einstuft. Wer dazu gehört, muss unter anderem seine Kontaktdaten beim Bundesamt für Sicherheit in der Informationstechnik (BSI) hinterlegen und erhebliche Sicherheitsvorfälle innerhalb von 24 Stunden beim BSI melden.
Alles Wissenswerte für Praxen hat die KBV in der PraxisInfo „Neue Vorgaben für Cybersicherheit: Hinweise für betroffene Praxen und MVZ“ veröffentlicht. Demnach können im Gesundheitsbereich neben Krankenhäusern auch schätzungsweise rund 1.000 große Praxen und Medizinische Versorgungszentren (MVZ) von den neuen Vorgaben betroffen sein.
Prüfen, ob Praxis betroffen ist
Im ersten Schritt sollten Inhaber von Praxen und MVZ prüfen, ob ihr Unternehmen überhaupt von den neuen Vorschriften betroffen ist. Diese „NIS2-Betroffenheitsprüfung“ können Praxisinhaber online beim BSI durchführen (siehe Infokasten).
Sofern sie feststellen, dass sie betroffen sind, müssen sie sich beim BSI registrieren und dabei auch ihre Kontaktdaten hinterlegen. Wie diese Registrierung genau abläuft, dazu bietet das BSI eine Schritt-für-Schritt-Anleitung auf ihrer Internetseite.
In der PraxisInfo ist aufgeführt, welche weiteren Pflichten laut Gesetz zu erfüllen sind. Dazu gehören beispielsweise der Einsatz moderner Verschlüsselungstechnik und regelmäßige Mitarbeiterschulungen zur Cybersicherheit.
Breites Serviceangebot der KBV
Um niedergelassene Ärzte und Psychotherapeuten bei der Umsetzung von IT-Sicherheitsmaßnahmen zu unterstützen, stellt die KBV viele praxisnahe Informationen und Serviceangebote bereit. Dazu gehört etwa die zertifizierte Online-Fortbildung zur IT-Sicherheit für Ärzte und Psychotherapeuten im Fortbildungsportal. Auch gibt es Schulungsmaterial für Praxisangestellte im KBV-Hub zur IT-Sicherheit. Dort finden Praxen unter anderem die IT-Sicherheitsrichtlinie der KBV mit sämtlichen Anforderungen sowie Musterdokumente, die sie individuell nutzen können.
Nächster Teil am 7. Mai
Im nächsten Teil unserer Serie zur IT-Sicherheit am 7. Mai geht es um das Thema Firewall.
Wichtige Schritte in Kürze
Betroffenheit prüfen:
- NIS-2-Betroffenheitsprüfung
- Betroffene Praxis beim BSI registrieren:
Schritt-für-Schritt-Anleitung für die Registrierung im neuen BSI-Portal
Erhebliche Sicherheitsvorfälle melden:
Anleitung zur Meldung von Sicherheitsvorfällen im BSI-Portal
Dabei Fristen einhalten:
- spätestens 24 Stunden nach Kenntnis: frühe Erstmeldung
- spätestens 72 Stunden nach Kenntnis: ausführliche Meldung
- spätestens 30 Tage nach Kenntnis: Folgemeldung oder Abschlussmeldung
Sicherheitsvorfälle
Beim BSI gemeldet werden müssen „erhebliche“ Sicherheitsvorfälle. Laut BSI-Gesetz ist das ein Vorfall, der:
- schwerwiegende Betriebsstörungen der Dienste oder finanzielle Verluste für die betreffende Einrichtung verursacht hat oder verursachen kann oder
- andere natürliche oder juristische Personen durch erhebliche materielle oder immaterielle Schäden beeinträchtigt hat oder beeinträchtigen kann.
(BSI-Gesetz Paragraf 2 Begriffsbestimmungen Nummer 11 erheblicher Sicherheitsvorfall)
Praxisnahe Beispiele
- Ausfall des Praxisnetzwerks durch Cyberangriff:
Die Server und Netzwerkgeräte einer Praxis werden durch einen Angriff lahmgelegt, die Praxis muss schließen, Patienten werden abgewiesen, die Versorgung ist akut eingeschränkt. - Manipulation eines medizinischen Großgeräts durch Cyberkriminelle:
In einem MVZ wurde der Magnetresonanztomograph (MRT) durch Cyberkriminelle manipuliert, das bildgebende System arbeitet dadurch fehlerhaft und die Patientensicherheit ist gefährdet. - Verlust großer Mengen sensibler Patientendaten durch einen Cyberangriff:
Hacker stehlen Stammdaten, Diagnosen, Befunde, Medikationslisten, es drohen Erpressung und / oder Veröffentlichung der sensiblen Daten, die Integrität und Vertraulichkeit sind gefährdet.
Im Überblick: Info- und Serviceangebote der KBV zur IT-Sicherheit
Serie in den PraxisNachrichten
Jede Praxis muss unabhängig von ihrer Größe für IT-Sicherheit sorgen. Die PraxisNachrichten informieren in einer monatlichen Serie über wichtige Aspekte der IT-Sicherheit: