Was tun, wenn die Patientenakte fehlt?
Was aktuelle Vorgaben, die KRITIS-Einordnung und die auslaufende KHZG-Frist für MVZ, Kliniken und Krankenhäuser bedeuten — und wie sich Schutz nachweisbar und souverän aufstellen lässt.
Im Krankenhaus ist ein Ausfall zuerst ein Patientensicherheits- und Haftungsthema — und der Gesetzgeber verlangt längst nachweisbaren Schutz auf dem Stand der Technik. Mit Praxisbezug aus dem Gesundheitswesen und offener Q&A.
Das nehmen Sie mit
- Welche Vorgaben für Ihr Haus gelten — § 75c SGB V, B3S und die KRITIS-Einordnung.
- Wo Sie bei KHZG-gebundener IT-Sicherheit vor der Umsetzungsfrist 2026 stehen.
- Warum lange Erkennungszeiten im Gesundheitswesen besonders teuer und riskant sind.
Patientenversorgung, KHZG und der Stand der Technik
Im Krankenhaus ist ein Ausfall zuerst ein Patientensicherheits- und Haftungsthema — und der Gesetzgeber verlangt längst nachweisbaren Schutz auf dem Stand der Technik. Diese Folge ordnet ein, was die aktuellen gesetzlichen Vorgaben und die Einordnung als kritische Infrastruktur für Kliniken, MVZ und Pflegeeinrichtungen bedeuten, wo die Verantwortung der Leitung liegt und warum Datenhoheit bei Patientendaten besonders wiegt. Mit Praxisbezug aus dem Gesundheitswesen und offener Q&A.
Was tun, wenn die Klinik stillsteht?
Was aktuelle Vorgaben, die KRITIS-Einordnung und die auslaufende KHZG-Frist für MVZ, Kliniken und Krankenhäuser bedeuten — und wie sich Schutz nachweisbar und souverän aufstellen lässt.
Im Krankenhaus geht es zuerst um Menschen. Ein IT-Ausfall in einer Klinik ist zuallererst ein Patientensicherheitsthema. Wenn Systeme stillstehen, verzögern sich Behandlungen, fehlen Befunde, muss die Notaufnahme abgemeldet werden — mit Folgen, die sich nicht in Euro allein messen lassen. Cybersicherheit ist im Gesundheitswesen damit Teil der Versorgungsqualität.
Das Gesundheitswesen ist das teuerste Ziel. Das ist kein abstraktes Risiko: Laut dem IBM Cost of a Data Breach Report 2025 ist das Gesundheitswesen mit 7,42 Mio. US-Dollar pro Vorfall die teuerste Branche — im 15. Jahr in Folge. Zugleich dauert es hier besonders lange, bis ein Vorfall erkannt und eingedämmt ist. Lange Verweildauern und sensible Patientendaten sind eine Kombination, die Angreifer gezielt suchen.
Was der Gesetzgeber verlangt. Für Kliniken und Krankenhäuser gilt seit 2022 mit § 75c SGB V die Pflicht, IT-Sicherheit nach dem Stand der Technik umzusetzen — als Maßstab dient der branchenspezifische Sicherheitsstandard B3S für die Gesundheitsversorgung. Große Häuser unterliegen zusätzlich als kritische Infrastruktur den verschärften KRITIS-Anforderungen, und für MVZ wie Kliniken gelten die besonderen Vorgaben zum Schutz von Gesundheitsdaten. Verlangt werden nachweisbare Maßnahmen, die Verantwortung liegt bei der Leitung — was für Ihr Haus konkret greift, ordnet unser Healthcare-Spezialist ein.
Gebundene Mittel, laufende Frist. Wer über das Krankenhauszukunftsgesetz (KHZG) Mittel für IT-Sicherheit gebunden hat — der Fördertatbestand 10 ist genau dafür da —, steht 2026 unter Zeitdruck. Neue Anträge sind seit Ende 2021 nicht mehr möglich, und viele abschlagsbewehrte Vorhaben müssen bis zum 31. August 2026 vollständig umgesetzt sein. Wer die IT-Sicherheit noch fertigstellen muss, sollte jetzt handeln, sonst verfallen gebundene Mittel. Für fehlende digitale Dienste greift ohnehin seit 2025 ein Digitalisierungsabschlag.
Schutz, der Patientendaten im Land hält. Bei Gesundheitsdaten wiegt die Frage der Datenhoheit besonders schwer. Ein souveräner Ansatz stellt sicher, dass Patientendaten und die Kontrolle darüber im deutschen Rechtsrahmen bleiben — nicht in einer fremden Cloud und nicht in einer Blackbox. Das ist zugleich Datenschutz und Vertrauensschutz gegenüber Patienten.
