B3S Krankenhaus: Was der Branchenstandard verlangt und wie er zu NIS2 passt
Was der Branchenspezifische Sicherheitsstandard für Krankenhäuser ist, welche Version gilt, wer ihn anwenden sollte, wie er mit § 391 SGB V, KRITIS-Prüfungen und NIS2 zusammenhängt und wie die Umsetzung gelingt.
Michael DeinhardGeschäftsführer, Berater und TrainerKurze Antwort
Der B3S Krankenhaus – offiziell „Branchenspezifischer Sicherheitsstandard Medizinische Versorgung“ – ist der IT-Sicherheitsstandard der Deutschen Krankenhausgesellschaft (DKG). Er beschreibt, wie Krankenhäuser ein Informationssicherheitsmanagement aufbauen und welche Maßnahmen nach dem Stand der Technik nötig sind. Aktuell ist die Version 1.3.1 (Januar 2026); das BSI hat die Eignung der zugrunde liegenden Version 1.3 im November 2025 für drei Jahre bis November 2028 festgestellt. Wer den B3S anwendet, erfüllt die Pflicht aus § 391 SGB V. Für NIS2 ist er eine sehr gute Grundlage, deckt aber nicht alle Pflichten ab.
Stand: November 2026
Das Wichtigste in Kürze
- Der B3S gilt für alle Krankenhäuser als anerkannter Weg zu IT-Sicherheit nach § 391 SGB V – unabhängig von der Größe.
- Für Krankenhäuser, die als kritische Anlage gelten, ist er die übliche Grundlage der Nachweisprüfung, künftig alle drei Jahre.
- Version 1.3 hat Anforderungen aus der „Konkretisierung der Anforderungen“ des BSI aufgenommen und ist mit den Reife- und Umsetzungsgraden (RUN) abgeglichen.
- Für NIS2 bleiben Registrierung, Meldewege, Geschäftsleitung und Lieferkette gesondert zu prüfen.
- Der Standard ist kostenfrei bei der DKG erhältlich.
Was ist der B3S, und wer hat ihn erstellt?
Kurze Antwort
Ein branchenspezifischer Sicherheitsstandard, den die DKG mit dem Branchenarbeitskreis „Medizinische Versorgung“ des UP KRITIS erarbeitet und den das BSI auf seine Eignung geprüft hat.
| Merkmal | B3S „Medizinische Versorgung“ |
|---|---|
| Herausgeber | Deutsche Krankenhausgesellschaft (DKG) |
| Erarbeitet mit | Branchenarbeitskreis „Medizinische Versorgung“ des UP KRITIS |
| Aktuelle Version | 1.3.1 vom 6. Januar 2026 (redaktionelle Überarbeitung von 1.3 vom 10. Oktober 2025) |
| Eignungsfeststellung des BSI | für Version 1.3 am 3. November 2025, befristet auf drei Jahre bis November 2028 |
| Wesentliche Neuerungen in 1.3 | Anforderungen aus der „Konkretisierung der Anforderungen“ (KdA) des BSI, Aufteilung von Sammelanforderungen, Abgleich mit den Reife- und Umsetzungsgraden (RUN) 1 bis 3 |
| Begleitmaterial | Vorversion, Mapping-Tabelle B3S zu RUN, Prüfnachweisplaner, Handlungshilfen des Branchenarbeitskreises |
| Bezug | kostenfrei auf der Website der DKG |
Inhaltlich beschreibt der B3S den Aufbau eines Informationssicherheitsmanagements und die technischen und organisatorischen Maßnahmen, die ein Krankenhaus zum Schutz seiner Versorgung treffen sollte – zugeschnitten auf Krankenhausinformationssystem, Medizintechnik, Labor, Bildgebung und die Abläufe der stationären Versorgung.
Für wen gilt der B3S?
Kurze Antwort
Für alle Krankenhäuser als freiwilliger, aber anerkannter Weg – mit unterschiedlicher Bedeutung je nach Größe und Einstufung.
| Krankenhaus | Rechtsgrundlage | Rolle des B3S |
|---|---|---|
| Alle Krankenhäuser | § 391 SGB V | Anwendung des B3S erfüllt die Pflicht zu IT-Sicherheit nach dem Stand der Technik und zur Security-Awareness |
| Wichtige oder besonders wichtige Einrichtung (ab 50 Beschäftigten oder 10 Mio. Euro Umsatz und Bilanz) | BSI-Gesetz, §§ 30 ff. | gute Grundlage für die zehn Mindestmaßnahmen nach § 30 BSIG; weitere Pflichten gesondert prüfen |
| Betreiber einer kritischen Anlage | BSI-Gesetz und Nachweispflicht | übliche Grundlage der Nachweisprüfung, künftig alle drei Jahre |
§ 391 SGB V gilt für alle Krankenhäuser, soweit sie nicht ohnehin als Betreiber kritischer Anlagen nach dem BSI-Gesetz Vorkehrungen treffen müssen. Welche Häuser unter NIS2 fallen, erklärt der Leitartikel KRITIS und NIS2 im Gesundheitswesen.
Wie passt der B3S zu NIS2?
Kurze Antwort
Der B3S deckt den Kern des Risikomanagements nach § 30 BSIG gut ab. Einige NIS2-Pflichten gehen aber darüber hinaus oder sind organisatorisch neu.
| NIS2-Pflicht | Abdeckung durch den B3S | Was zusätzlich zu tun ist |
|---|---|---|
| Risikomanagement (§ 30 BSIG) | weitgehend: ISMS, Risikoanalyse, technische und organisatorische Maßnahmen | Abgleich mit den zehn Mindestmaßnahmen, Dokumentation der Wirksamkeit |
| Registrierung (§ 33 BSIG) | nicht Gegenstand | Registrierung im BSI-Portal – siehe NIS2-Registrierung beim BSI |
| Meldepflicht (§ 32 BSIG) | Vorfallbehandlung als Teil des ISMS | Meldekette mit 24-Stunden-Frist, Zugang zum BSI-Portal – siehe NIS2-Meldepflicht |
| Geschäftsleitung (§ 38 BSIG) | Verantwortung der Leitung im ISMS | persönliche Schulung, Überwachung und Dokumentation – siehe Schulungspflicht der Geschäftsleitung |
| Lieferkette (§ 30 Abs. 2 Nr. 4 BSIG) | teilweise, etwa bei Dienstleistern und Fernwartung | systematische Bewertung kritischer Lieferanten, Vertragsklauseln |
| Multi-Faktor-Authentifizierung, gesicherte Kommunikation (§ 30 Abs. 2 Nr. 10 BSIG) | je nach Umsetzungsstand | Prüfung, ob alle relevanten Zugänge abgedeckt sind |
Wie setzen Krankenhäuser den B3S um?
- Verantwortung festlegen: Geschäftsleitung beschließt die Leitlinie, ein Informationssicherheitsbeauftragter steuert die Umsetzung.
- Geltungsbereich und Werte erfassen: Standorte, Prozesse, Systeme, Medizintechnik, Dienstleister.
- Schutzbedarf und Risiken bewerten: Was gefährdet die Versorgung am stärksten – Ausfall des KIS, Ransomware, Stromausfall, Fernwartung?
- Ist-Stand gegen den B3S abgleichen: Anforderung für Anforderung, am besten mit der Mapping-Tabelle der DKG.
- Maßnahmenplan erstellen: nach Risiko priorisiert, mit Verantwortlichen, Aufwand und Terminen.
- Umsetzen und dokumentieren: Richtlinien, Prozesse, technische Maßnahmen; Nachweise sammeln.
- Prüfen und verbessern: interne Audits, Übungen, Berichte an die Geschäftsleitung; bei kritischen Anlagen die externe Nachweisprüfung vorbereiten.
Typische Lücken in der Praxis
- Medizintechnik: vernetzte Geräte ohne Inventar, Updates oder Netzsegmentierung.
- Fernwartung: dauerhaft offene Zugänge von Herstellern ohne Kontrolle und Protokollierung.
- Notbetrieb: Papierbetrieb und Wiederanlauf nach einem Cyberangriff nicht geübt.
- Berechtigungen: zu viele Administratorrechte, fehlende Multi-Faktor-Authentifizierung für Fernzugänge.
- Dokumentation: Maßnahmen umgesetzt, aber nicht nachweisbar.
Fazit
Der B3S ist für Krankenhäuser der naheliegende Weg zu IT-Sicherheit nach dem Stand der Technik: branchengerecht, vom BSI als geeignet festgestellt und mit Version 1.3.1 auf dem aktuellen Stand der BSI-Anforderungen. Für Häuser unter NIS2 ist er eine starke Grundlage – wer zusätzlich Registrierung, Meldewege, Geschäftsleitung und Lieferkette sauber regelt, ist gut aufgestellt.
Beim Abgleich mit B3S und NIS2 unterstützt Sie unsere NIS2-Beratung für Krankenhäuser mit einer Betroffenheits- und Gap-Analyse.
Hinweis: Dieser Überblick ersetzt keine Rechtsberatung.
Quellen
- Informationssicherheit im Krankenhaus – Branchenspezifischer Sicherheitsstandard (B3S). Deutsche Krankenhausgesellschaft.
- B3S Krankenhaus. Bundesamt für Sicherheit in der Informationstechnik, Übersicht der B3S.
- § 391 SGB V – IT-Sicherheit in Krankenhäusern. Bundesministerium der Justiz.
- BSI-Gesetz (BSIG). §§ 30, 32, 33 und 38.
Passende Schulungen
Vertiefen Sie das Thema mit Ihrem Team – im offenen Seminar oder als Inhouse-Schulung.
- BSI - Informationssicherheitsbeauftragte(r) mit TÜV Rheinland geprüfter Qualifikation3 Tage · nächster Termin 02.–04.11.2026
- IT-Grundschutz Praktiker (BSI)3 Tage · nächster Termin 02.–04.11.2026
- ISO 27001 Internal Auditor3 Tage · nächster Termin 02.–04.11.2026
- Healthcare-Security – Patientendaten, Systeme und Versorgung sicher schützen3 Tage · nächster Termin 02.–04.11.2026
- Alle Seminare: CybersecurityTermine, Inhalte und Inhouse-Angebote