Was im Krankenhaus rechtlich zuerst zählt
Die erste Lageeinschätzung muss vier Fragen gleichzeitig klären: Sind Patientendaten betroffen (Art. 33/34 DSGVO)? Ist die Versorgung gefährdet (Triage, Verlegung)? Greift KRITIS (BSI-KritisV §§ 6, 8a BSIG)? Welche Landesregelung zum Patientenschutz ist einschlägig? Falsche Reihenfolge der Meldungen kostet später Beweiswert und Versicherungsdeckung.
Gleichzeitig haftet die Geschäftsführung persönlich, wenn der Stand der Technik nach § 75c SGB V nicht umgesetzt war. Der Nachweis erfolgt regelmäßig über die B3S-Empfehlungen des BSI für Krankenhäuser.
Was wir konkret tun
Wir übernehmen Erstmeldung ans BSI (24h-Frühwarnung KRITIS und NIS2), Datenpannenmeldung an die Landesdatenschutzbehörde, Kommunikation mit dem Gesundheitsministerium des Landes und die Dokumentation für die Cyberversicherung. Bei Patientengefährdung koordinieren wir mit der Klinikleitung den Inhalt von Pressemitteilung und Patientenkommunikation , Art. 34 DSGVO und Krankenhausrecht stellen unterschiedliche Anforderungen.
Konkretes Leistungsversprechen
- 24/7-Soforthilfe für Klinikleitung und Krisenstab
- KRITIS-Frühwarnung 24h und Vorfallsmeldung BSI
- Datenpannenmeldung Landesdatenschutzbehörde
- Bewertung § 75c SGB V (Stand der Technik)
- Lösegeld-Strafbarkeitsprüfung (§ 129 StGB, Sanktionsliste)
- Cyberversicherung: Obliegenheitsprüfung, Schadenmeldung
- Patientenkommunikation: Art. 34 DSGVO + Krankenhausrecht
- Geschäftsführungs-Haftungsbewertung
Fallszenarien aus der Praxis
Anonymisierte, repräsentative Mandatsverläufe. Keine Erfolgsversprechen.
LockBit-Variante verschlüsselt KIS und Radiologie. Verlegung von 28 Patienten. Ergebnis: BSI-Frühwarnung in 6h, Datenpannenmeldung in 38h, keine Bußgeldforderung, Cyberversicherung übernimmt Ertragsausfall (4 Wochen).
Phishing-Initialvektor, anschließend Datenabfluss von 14.000 Patientenakten. Art. 34-Benachrichtigung an Betroffene gestaffelt nach Behandlungsschwere, Bußgeldverfahren mit reduzierter Strafe wegen kooperativer Aufarbeitung beendet.
Honorar
| Leistung | Bandbreite | Hinweis |
|---|---|---|
| 24/7-Soforthilfe Klinik | ab 6.500 € netto Pauschale erste 72h | — |
| Anschluss-Stundensatz | 260 bis 380 € netto/h | — |
| KRITIS-Audit nach Vorfall | ab 12.500 € netto | — |
| Bußgeldverteidigung Landesbehörde | ab 8.000 € netto | — |
Bandbreiten netto, zzgl. USt. Verbindliche Vereinbarung vor Mandatsbeginn schriftlich.
Häufige Fragen
- Wann ist eine Klinik KRITIS-pflichtig?
- Ab 30.000 vollstationären Fällen pro Jahr nach Anlage 6 BSI-KritisV. Unterhalb dieser Schwelle greift dennoch § 75c SGB V (Stand der Technik) und je nach Trägergröße NIS2.
- Gilt NIS2 zusätzlich zu KRITIS?
- Ja. NIS2 listet Gesundheit als wesentlichen Sektor (Anhang I). Pflichten und Meldewege überschneiden sich , wir koordinieren beide Meldungen, damit keine doppelt oder widersprüchlich erfolgt.
- Dürfen wir bei Patientengefährdung sofort öffentlich kommunizieren?
- Ja, aber abgestimmt: Art. 34 DSGVO verlangt unverzügliche Information bei hohem Risiko, Krankenhausrecht erlaubt Schutz schutzbedürftiger Personen. Wir formulieren beide Anforderungen in einem Text.
- Welche Frist hat das BSI bei KRITIS?
- 24h-Frühwarnung, 72h-Vorfallsmeldung, Abschlussbericht binnen einem Monat (§ 8b BSIG / NIS2-Umsetzung).
Mehr Hintergrund im Ratgeber
Dieser Beitrag gibt den Rechtsstand Stand: Juni 2026 wieder und ersetzt keine Beratung im Einzelfall.
