Die Sicherheit von Patient:innen und eine verlässliche medizinische Versorgung stehen im Gesundheitswesen an oberster Stelle. Neben finanziellen, personellen und strukturellen Herausforderungen gewinnt dabei die digitale Sicherheit zunehmend an Bedeutung. Cyberangriffe, IT-Ausfälle und Sicherheitslücken können den laufenden Betrieb beeinträchtigen und im Gesundheitsbereich weitreichende Folgen haben.
Mit dem Netz- und Informationssystemsicherheitsgesetz 2026, kurz NISG 2026, setzt Österreich die EU-Richtlinie NIS-2 um. Die neuen Vorgaben sollen Unternehmen und Einrichtungen widerstandsfähiger gegenüber Cyberangriffen und Ausfällen ihrer IT-Systeme machen. Informationssicherheit, IT-Security und physische Cybersicherheit rücken damit auch für Gesundheitsbetriebe stärker in den Fokus. Quality Austria und CIS Certification unterstützen Unternehmen bei der zeitgerechten Umsetzung der Anforderungen.
Welche Einrichtungen vom NISG 2026 betroffen sind
Das NISG 2026 betrifft zahlreiche Einrichtungen bereits ab einer Größe von 50 Mitarbeitenden oder einem Umsatz von zehn Millionen Euro. Über Lieferketten können allerdings auch kleinere Betriebe von den Vorgaben erfasst werden.
Unternehmen, die unter das Gesetz fallen, müssen sowohl organisatorische als auch technische Anforderungen erfüllen. Darüber hinaus gilt das NISG 2026 automatisch für Unternehmen, die einen Bescheid nach dem Resilienz kritischer Einrichtungen-Gesetz, kurz RKEG, erhalten. Da sich das RKEG insbesondere mit der physischen Sicherheit kritischer Einrichtungen befasst, sind Krankenhäuser als wesentliche Einrichtungen besonders betroffen und müssen strengere Vorgaben berücksichtigen.
Die RKEG-Bescheide sollen laut den Verantwortlichen erst Ende September ergehen, während die Anforderungen des NISG 2026 bereits mit 1. Oktober 2026 wirksam werden. Unternehmen sollten deshalb frühzeitig prüfen, ob sie unter die neuen Regelungen fallen.
Risikomanagement und Notfallvorsorge werden zentral
Zu den Anforderungen des NISG 2026 zählen unter anderem ein etabliertes Risikomanagement, Maßnahmen für das Notfall- und Krisenmanagement, entsprechende Sicherheitsvorkehrungen sowie Schulungen und Awareness-Maßnahmen. Hinzu kommen Meldepflichten, die bei Sicherheitsvorfällen eingehalten werden müssen.
Der Zeitplan sieht mehrere Schritte vor. Ab Oktober 2026 müssen betroffene Unternehmen über ein dokumentiertes und kontinuierlich überwachtes Risikomanagementsystem verfügen. Bis Dezember 2026 ist die offizielle Registrierung bei der Cybersicherheitsbehörde abzuschließen. Im September 2027 folgt die Selbstdeklaration, bei der Unternehmen ihre Einschätzung zur eigenen Betroffenheit und Risikosituation gegenüber der Behörde darlegen müssen.
ISO 27001 kann bei der Umsetzung unterstützen
Eine Zertifizierung nach ISO 27001 für Informationssicherheitsmanagement decke organisatorische Anforderungen des NISG 2026 ab, so Quality Austria. Voraussetzung dafür ist, dass der Geltungsbereich das gesamte Unternehmen umfasst und die Zertifizierung durch eine qualifizierte Stelle wie CIS Certification erfolgt.
Dadurch können Unternehmen bei der Umsetzung verschiedene Maßnahmen miteinander verbinden. Genannt werden ein geringerer Zeitaufwand, eine schnellere Umsetzung sowie die Möglichkeit kombinierter Audits. Gleichzeitig sollen damit Compliance und das Vertrauen von Patient:innen gestärkt werden.
Ergänzend wird eine Zertifizierung nach ISO 22301 empfohlen. Sie beschäftigt sich mit dem Business Continuity Management und soll Unternehmen auf Betriebsunterbrechungen und Ausfälle vorbereiten. Sowohl das NISG 2026 als auch das RKEG verlangen ein etabliertes Notfall- und Krisenmanagement, das durch ein Business-Continuity-Managementsystem nach ISO 22301 abgedeckt werden kann.
IT-Ausfälle können die medizinische Versorgung beeinträchtigen
Krankenhäuser, Rehabilitationszentren, Labore, Pflegeeinrichtungen und weitere Gesundheitsdienstleister sollen durch das NISG 2026 besser gegen Cyberangriffe, IT-Ausfälle und Betriebsunterbrechungen geschützt werden. In Krankenhäusern geht es dabei neben dem Schutz von Informationen insbesondere um die Aufrechterhaltung der medizinischen Versorgung.
Ein IT-Ausfall kann dort direkte Auswirkungen auf den Klinikbetrieb haben, so die Expert:innen. Cyberangriffe können beispielsweise dazu führen, dass Operationen verschoben, Patient:innen verlegt oder einzelne Abteilungen geschlossen werden müssen.
Eine zusätzliche Herausforderung stellen Gesundheitsdaten dar, die zu den besonders sensiblen und wertvollen Daten zählen. Gleichzeitig arbeiten viele Krankenhäuser mit über Jahre gewachsenen und teilweise veralteten IT-Strukturen sowie begrenzten Ressourcen für die IT-Sicherheit.
Auch Betriebsunterbrechungen rücken stärker in den Fokus
Neben Cyberangriffen können weitere Entwicklungen die Betriebssicherheit beeinflussen, etwa zunehmende Extremwettersituationen wie Hitzewellen. Ein höherer Kühlbedarf von Rechenzentren, eine stärkere Belastung der Stromnetze und mögliche Einschränkungen bei der Versorgung können zusätzliche Risiken für Gesundheitseinrichtungen darstellen, sind sich die Expert:innen von Quality Austria sicher.
Krankenhäuser können ihren Betrieb nicht ohne Weiteres einstellen und stehen gleichzeitig unter hohem Zeitdruck. Dadurch seien sie ein bevorzugtes Ziel für Ransomware-Angriffe. Das NISG 2026 soll Gesundheitseinrichtungen deshalb stärker in die Pflicht nehmen. Die neuen Vorgaben sollen nicht nur die Einhaltung gesetzlicher Anforderungen gewährleisten, sondern Einrichtungen dabei unterstützen, ihre Widerstandsfähigkeit zu erhöhen und Versorgungsqualität, Vertrauen sowie ihre langfristige Leistungsfähigkeit zu sichern.
www.qualityaustria.com
Kommentar veröffentlichen