Mit dem neuen BSIG ist Cybersicherheit ausdrücklich zur Aufgabe der Geschäftsleitung geworden. Leitet sie eine wichtige oder besonders wichtige Einrichtung, muss sie die gesetzlichen Risikomanagementmaßnahmen umsetzen, deren Umsetzung überwachen und sich selbst regelmäßig schulen lassen. Operative Aufgaben bleiben delegierbar. Die Verantwortung für Organisation, Ressourcen und Kontrolle bleibt jedoch auf der Leitungsebene.
Wenn der Risikobericht liegen bleibt
Im IT-Lenkungskreis eines Krankenhauses weist die IT-Leitung auf mehrere offene Risiken hin. Ein externer Wartungszugang wird noch über ein gemeinsam genutztes Konto betrieben, ein wichtiges System kann nicht mehr regulär aktualisiert werden und die Segmentierung zwischen Teilen der Medizintechnik und dem übrigen Netz ist unvollständig. Die notwendigen Investitionen sollen wegen der angespannten Haushaltslage erst in der nächsten Budgetrunde beraten werden. Im Protokoll steht lediglich, der Bericht sei zur Kenntnis genommen worden.
Einige Monate später verschafft sich ein Angreifer über den Wartungszugang Zugriff auf das Netz. Radiologische Bilder und Befunde sind zeitweise nicht verfügbar, Untersuchungen müssen verschoben werden. Nun geht es nicht allein darum, ob die IT eine Schwachstelle übersehen hat. Es stellt sich ebenso die Frage, wer über das bekannte Risiko entschieden, welche Übergangsmaßnahmen angeordnet und wie deren Umsetzung kontrolliert hat.
Die Geschäftsleitung muss dafür keine technischen Einzelheiten beherrschen. Das Gesetz erwartet von ihr jedoch, dass wesentliche Cyberrisiken bis zur Entscheidungsebene gelangen, dort sachgerecht behandelt und anschließend weiterverfolgt werden. Genau hier setzt § 38 BSIG an.
Das BSIG erfasst viele Krankenhäuser
Das neue BSIG ist am 6. Dezember 2025 in Kraft getreten und setzt die NIS-2-Richtlinie in deutsches Recht um. Anlage 1 BSIG ordnet Erbringer von Gesundheitsdienstleistungen dem Sektor Gesundheit zu. Krankenhäuser fallen damit grundsätzlich in eine erfasste Einrichtungsart. Ob für einen bestimmten Träger tatsächlich die Pflichten für wichtige oder besonders wichtige Einrichtungen gelten, richtet sich vor allem nach § 28 BSIG.
Betreiber kritischer Anlagen gelten unabhängig von ihrer Größe als besonders wichtige Einrichtungen. Andere Gesundheitsdienstleister sind besonders wichtige Einrichtungen, wenn sie mindestens 250 Beschäftigte haben oder einen Jahresumsatz von mehr als 50 Millionen Euro und zugleich eine Jahresbilanzsumme von mehr als 43 Millionen Euro aufweisen. Als wichtige Einrichtungen gelten grundsätzlich Unternehmen mit mindestens 50 Beschäftigten oder mit einem Jahresumsatz und einer Jahresbilanzsumme von jeweils mehr als 10 Millionen Euro, soweit sie nicht bereits besonders wichtige Einrichtungen sind.
Bei Konzern- und Verbundstrukturen darf die Prüfung nicht vorschnell bei der einzelnen Krankenhausgesellschaft enden. § 28 Abs. 4 BSIG verweist für die Größenbestimmung auf die europäische KMU-Empfehlung und enthält eine besondere Ausnahme für Unternehmen, die im Hinblick auf ihre informationstechnischen Systeme tatsächlich unabhängig sind. Auch eine öffentliche Trägerschaft führt nicht automatisch aus dem Anwendungsbereich. Die konkrete Einordnung verlangt deshalb einen Blick auf Rechtsform, Beteiligungsverhältnisse, Kennzahlen und IT-Strukturen.
Die Einstufung folgt aus dem Gesetz. Das Krankenhaus kann daher nicht auf ein Schreiben des BSI warten. Wer die Voraussetzungen erfüllt, muss sich nach § 33 BSIG grundsätzlich innerhalb von drei Monaten registrieren. Kleinere Häuser außerhalb des BSIG bleiben weiterhin an § 391 SGB V gebunden. Cybersicherheit ist dort ebenfalls Pflicht, allerdings ohne das zusätzliche Pflichtenprogramm des BSIG.
§ 30 BSIG bestimmt die Leitungsagenda
§ 30 BSIG verlangt von wichtigen und besonders wichtigen Einrichtungen geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen. Zu berücksichtigen sind die Risikoexposition, die Größe der Einrichtung, die Umsetzungskosten sowie die Wahrscheinlichkeit und Schwere möglicher Sicherheitsvorfälle einschließlich ihrer gesellschaftlichen und wirtschaftlichen Auswirkungen. Die Maßnahmen müssen einem gefahrenübergreifenden Ansatz folgen und ihre Einhaltung ist zu dokumentieren.
Der gesetzliche Katalog reicht von Risikoanalyse und Vorfallsbewältigung über Betriebsfortführung, Backup und Wiederherstellung bis zur Sicherheit der Lieferkette, zum Schwachstellenmanagement, zu Wirksamkeitskontrollen, Schulungen, Kryptografie, Zugriffskontrolle und Mehrfaktorauthentisierung. Diese Maßnahmen wurden im vorherigen Teil bereits aus der Sicht der Sicherheitsorganisation betrachtet. Für die Geschäftsleitung bilden sie nun die Themen, über deren wesentliche Risiken, Umsetzungsstand und offene Entscheidungen sie informiert sein muss.
§ 38 BSIG weist die Verantwortung zu
Nach § 38 Abs. 1 BSIG sind die Geschäftsleitungen wichtiger und besonders wichtiger Einrichtungen verpflichtet, die Maßnahmen nach § 30 BSIG umzusetzen und ihre Umsetzung zu überwachen. Geschäftsleitung ist nach § 2 Nr. 13 BSIG jede natürliche Person, die nach Gesetz, Satzung oder Gesellschaftsvertrag zur Führung der Geschäfte und zur Vertretung der Einrichtung berufen ist. Bei einem mehrköpfigen Organ betrifft die Pflicht daher nicht nur das Mitglied, dessen Geschäftsbereich zufällig die IT enthält.
Eine Ressortverteilung kann klare Primärzuständigkeiten schaffen. Die allgemeinen Informations- und Überwachungspflichten der übrigen Mitglieder verschwinden dadurch regelmäßig nicht. Wer für Finanzen, Medizin oder Personal zuständig ist, muss keine technische Detailprüfung vornehmen. Bei erheblichen Risiken für Versorgung, Betrieb und Patientendaten darf sich das Gesamtorgan jedoch nicht mit dem Hinweis begnügen, die IT werde sich schon kümmern.
Umsetzung bedeutet auf Leitungsebene vor allem, eine funktionsfähige Sicherheitsorganisation zu schaffen. Dazu gehören qualifizierte Verantwortliche, ausreichende personelle und finanzielle Mittel, klare Entscheidungs- und Eskalationswege sowie ein Verfahren, das erkannte Mängel bis zu ihrer Beseitigung verfolgt. Eine unterschriebene Sicherheitsrichtlinie erfüllt diese Pflicht nur, wenn sie tatsächlich in Prozesse, Zuständigkeiten und Kontrollen übersetzt wird.
Delegation braucht Kontrolle
Die operative Arbeit kann und muss auf Fachleute verteilt werden. IT-Leitung, Informationssicherheitsbeauftragte, Datenschutz, Medizintechnik und externe Dienstleister können Risiken analysieren und Maßnahmen umsetzen. Die Geschäftsleitung muss dafür geeignete Personen auswählen, ihnen einen klaren Auftrag geben und die Erfüllung der Aufgaben überwachen. Bleiben Zuständigkeiten unklar oder fehlen Ressourcen, ist bereits die Delegationsstruktur fehleranfällig.
Überwachung verlangt Berichte, die eine Entscheidung ermöglichen. Eine ungefilterte Liste mit mehreren hundert technischen Schwachstellen hilft der Leitung ebenso wenig wie eine Präsentation, auf der sämtliche Ampeln seit drei Jahren grün leuchten. Erforderlich ist eine Übersetzung in betriebliche Auswirkungen: Welche kritischen Prozesse sind betroffen, wie hoch ist das Risiko, welche Übergangsmaßnahmen bestehen, wer bearbeitet den Mangel und bis wann muss entschieden werden?
Der Berichtsweg braucht feste Intervalle und anlassbezogene Eskalationsschwellen. Kritische Feststellungen, überfällige Maßnahmen, gescheiterte Wiederherstellungstests und erhebliche Sicherheitsvorfälle dürfen nicht bis zum nächsten Quartalsbericht warten. Entscheidungen über Ressourcen oder die befristete Akzeptanz eines erheblichen Restrisikos gehören nachvollziehbar dokumentiert. Die Formulierung „zur Kenntnis genommen“ ersetzt keine Entscheidung.
Die Geschäftsleitung muss sich selbst schulen
§ 38 Abs. 3 BSIG verpflichtet die Mitglieder der Geschäftsleitung zur regelmäßigen Teilnahme an Schulungen. Sie sollen Risiken und Risikomanagementpraktiken erkennen und bewerten sowie deren Auswirkungen auf die von der Einrichtung erbrachten Dienste beurteilen können. Das Gesetz nennt kein starres Zeitintervall. Häufigkeit und Inhalt müssen sich daher an der Gefährdungslage, der Organisation und wesentlichen Veränderungen orientieren.
Das Führungskräftetraining darf etwas gehaltvoller ausfallen als der jährliche Klickkurs mit fünf Multiple-Choice-Fragen. Die Leitung muss keine Paketfilter konfigurieren können. Sie sollte jedoch verstehen, weshalb ein ungetestetes Backup, ein nicht abgesicherter Fernwartungszugang oder eine unklare Lieferkette die Versorgung gefährden kann und welche Fragen sie hierzu stellen muss. Teilnahme, Inhalte und Aktualisierung der Schulungen sollten dokumentiert werden.
Persönliche Haftung hat Voraussetzungen
§ 38 Abs. 2 BSIG ordnet eine Haftung der Geschäftsleitung gegenüber der eigenen Einrichtung für schuldhaft verursachte Schäden an. Vorrangig gelten die Haftungsregeln der jeweiligen Rechtsform, bei einer GmbH insbesondere § 43 GmbHG und bei einer Aktiengesellschaft § 93 AktG. Die Haftungsregel des BSIG greift selbst nur ein, wenn das maßgebliche Gesellschaftsrecht keine entsprechende Regelung enthält.
Ein erfolgreicher Cyberangriff löst damit keine automatische persönliche Haftung aus. Erforderlich bleiben eine Pflichtverletzung, Verschulden, ein Schaden der Einrichtung und der ursächliche Zusammenhang zwischen Pflichtverletzung und Schaden. Bei der Auswahl geeigneter Maßnahmen kann ein Entscheidungsspielraum bestehen. Die Pflicht, sich überhaupt mit den erkennbaren Risiken zu befassen, eine Entscheidung zu treffen und deren Umsetzung zu kontrollieren, steht dagegen nicht zur freien Disposition.
Für die spätere Bewertung ist deshalb entscheidend, welche Informationen der Leitung vorlagen und wie sie damit umging. Wurden Alternativen geprüft, Verantwortlichkeiten und Fristen festgelegt und Übergangsmaßnahmen angeordnet? Wurde ein Restrisiko auf belastbarer Grundlage und durch die zuständige Ebene akzeptiert? Eine zeitnahe Dokumentation schafft hier keine Immunität, sie macht aber den tatsächlichen Entscheidungsprozess überprüfbar.
Die Aufsicht verschärft den Druck
Das BSI kann bei besonders wichtigen Einrichtungen Prüfungen, Audits und konkrete Abhilfemaßnahmen anordnen. Für die Anforderung bestimmter Nachweise bei zugelassenen Krankenhäusern enthält § 61 Abs. 3 BSIG eine besondere Frist; die übrigen Prüf- und Eingriffsbefugnisse des § 61 bleiben davon zu unterscheiden. Bei wichtigen Einrichtungen setzt die Aufsicht grundsätzlich Tatsachen voraus, die eine unzureichende Umsetzung vermuten lassen. Als letztes Mittel kann die zuständige Aufsichtsbehörde bei einer besonders wichtigen Einrichtung einer unzuverlässigen Geschäftsleitung vorübergehend die Tätigkeit untersagen, wenn die Einrichtung einer Anordnung trotz Fristsetzung nicht nachkommt.
Daneben enthält § 65 BSIG erhebliche Bußgeldrahmen. Verstöße gegen zentrale Pflichten, etwa die fehlende oder verspätete Umsetzung der Risikomanagementmaßnahmen und ihre unzureichende Dokumentation, können bei besonders wichtigen Einrichtungen mit bis zu zehn Millionen Euro und bei wichtigen Einrichtungen mit bis zu sieben Millionen Euro geahndet werden. Das aufsichtsrechtliche Risiko der Einrichtung und die mögliche Innenhaftung der Geschäftsleitung sind dabei voneinander zu unterscheiden.
Leitungspflicht bedeutet Steuerungsfähigkeit
§ 38 BSIG verlangt kein technisches Mikromanagement durch die Geschäftsführung. Er verlangt eine Leitung, die den Anwendungsbereich kennt, Verantwortung zuordnet, wesentliche Risiken versteht, Entscheidungen trifft und ihre Umsetzung kontrolliert. Dafür braucht sie verdichtete Informationen aus IT, Medizin, Datenschutz, Einkauf und Risikomanagement. Cybersicherheit wird so Teil der regulären Unternehmenssteuerung und darf nicht erst nach einem Angriff auf die Tagesordnung gelangen.
Der nächste Beitrag richtet den Blick auf Cloud-Dienste, Softwareanbieter und die Lieferkette. Dort zeigt sich, wie weit Verantwortung ausgelagert werden kann und welche Prüf- und Vertragspflichten beim Krankenhaus verbleiben.
Rechtliche Bezugspunkte: Art. 20 und 21 der Richtlinie (EU) 2022/2555; § 2 Nr. 13 BSIG, § 28 BSIG, § 30 BSIG, § 33 BSIG, § 38 BSIG, § 61 BSIG, § 62 BSIG, § 65 BSIG und Anlage 1 Nr. 4.1.1 BSIG; § 391 SGB V; § 43 GmbHG; § 93 AktG. Rechtsstand: September 2026.
Häufige Fragen
Ab wann gilt ein Krankenhaus als besonders wichtige Einrichtung?
Das kann der Fall sein, wenn es eine kritische Anlage betreibt oder die für seine Einrichtungsart geltenden Größenkriterien erfüllt. Für die Einordnung sind insbesondere § 28 BSIG sowie bei Verbundstrukturen die dortigen Regeln zur Berechnung der Kennzahlen maßgeblich.
Kann die Geschäftsleitung ihre Pflichten vollständig an die IT delegieren?
Operative Aufgaben können Fachleute übernehmen. Die Pflicht der Geschäftsleitung, die vorgeschriebenen Risikomanagementmaßnahmen umzusetzen und ihre Umsetzung zu überwachen, folgt aus § 38 Abs. 1 BSIG.
Führt jeder Cyberangriff zur persönlichen Haftung der Geschäftsleitung?
Nein. § 38 Abs. 2 BSIG betrifft schuldhaft verursachte Schäden der Einrichtung und verweist vorrangig auf die Haftungsregeln der jeweiligen Rechtsform. Ein Angriff allein belegt noch keine Pflichtverletzung.
Muss die Geschäftsleitung an Schulungen teilnehmen?
Ja, wenn sie eine wichtige oder besonders wichtige Einrichtung im Sinne des BSIG leitet. § 38 Abs. 3 BSIG verlangt eine regelmäßige Teilnahme, legt aber kein starres Zeitintervall fest.
Quellen & Verweise
- Richtlinie (EU) 2022/2555 – NIS 2, insbesondere Art. 20 und 21
- § 28 BSIG – Besonders wichtige und wichtige Einrichtungen
- § 30 BSIG – Risikomanagementmaßnahmen
- § 33 BSIG – Registrierungspflicht
- § 38 BSIG – Pflichten der Geschäftsleitungen
- § 61 BSIG – Aufsicht über besonders wichtige Einrichtungen
- § 62 BSIG – Aufsicht über wichtige Einrichtungen
- § 65 BSIG – Bußgeldvorschriften
- Anlage 1 BSIG – Sektor Gesundheit
- § 391 SGB V – IT-Sicherheit in Krankenhäusern
- § 43 GmbHG – Haftung der Geschäftsführer
- § 93 AktG – Sorgfaltspflicht und Verantwortlichkeit der Vorstandsmitglieder
Wissen, was im Medizinrecht zählt.
Erhalten Sie aktuelle Urteile und Fachbeiträge direkt in Ihr Postfach.
