Informationssicherheit im Krankenhaus: DKG veröffentlicht aktualisierten Branchenspezifischen Sicherheitsstandard (B3S)
Neue Version 1.3 des B3S erhält Eignungsfeststellung des BSI – Krankenhäuser müssen verstärkt Anforderungen der RUN-Prüfung umsetzen
Die Deutsche Krankenhausgesellschaft (DKG) hat den Branchenspezifischen Sicherheitsstandard (B3S) für Krankenhäuser in der aktualisierten Version 1.3 veröffentlicht. Damit stellt die DKG ein zentrales Instrument für die Informationssicherheit im Krankenhaus zur Verfügung, das laut Mitteilung „der Patientensicherheit dient und die dauerhafte Sicherheit der informationstechnischen Systeme gewährleisten“ soll.
Der B3S wird vom Branchenarbeitskreis „Medizinische Versorgung“ des UP KRITIS gemeinsam mit Fachgremien der DKG erarbeitet und anschließend vom Bundesamt für Sicherheit in der Informationstechnik (BSI) auf seine Tauglichkeit zur Erfüllung der gesetzlichen Anforderungen geprüft. Für die neue Fassung wurde die Eignung nach § 8a Abs. 1 und Abs. 1a BSIG am 3. November 2025 bestätigt – befristet auf drei Jahre.
Ein zentraler Schwerpunkt der Überarbeitung liegt in der Integration neuer gesetzlicher Vorgaben, insbesondere im Zusammenhang mit der Reife- und Umsetzungsgradprüfung (RUN) auf Basis der „Konkretisierung der Anforderungen (KdA)“ des BSI. Zudem wurden bisherige Sammelanforderungen auf einzelne, klar abgegrenzte Anforderungen aufgeteilt und redaktionell überarbeitet.
Die DKG erläutert hierzu, dass die Anforderungen der Umsetzungsgrade 1 bis 3 vollständig in den B3S aufgenommen wurden, während höhere Anforderungen (RUN 4 und 5) zwar nicht integriert, aber „unter Verweis auf die entsprechende Maßnahme nach KdA in der Mapping-Tabelle ausgewiesen“ werden.
Der Eignungsfeststellungsbescheid des BSI hebt ergänzend hervor:
„Die DKG stellt neben diesem B3S eine eigenständige Mapping-Tabelle zwischen den Anforderungen aus dem B3S und den Reife- und Umsetzungsgraden gemäß RUN (…) zur Verfügung.“
Darüber hinaus wurde ein Excel-basierter „Prüfnachweisplaner“ bereitgestellt. Dieser unterstützt Krankenhäuser bei der Planung der Prüfungen nach § 8a BSIG — bislang im zweijährigen Turnus, künftig durch das NIS2UmsuCG im Dreijahresrhythmus. Der Planer wurde im Branchenarbeitskreis entwickelt und soll künftig als Anlage zum B3S geführt werden.
