Muss ein Krankenhaus einen Informationssicherheitsbeauftragten benennen?

Ausdrücklich vorgeschrieben ist die Benennung in § 391 SGB V und im BSI-Gesetz nicht. Beide verlangen aber ein wirksames Informationssicherheitsmanagement: § 391 SGB V Vorkehrungen nach dem Stand der Technik, das BSI-Gesetz für wichtige und besonders wichtige Einrichtungen zehn dokumentierte Mindestmaßnahmen. Ohne eine verantwortliche Person ist das praktisch nicht umsetzbar; BSI-Standards und B3S gehen deshalb von einem ISB aus.

Was macht ein Informationssicherheitsbeauftragter im Krankenhaus?

Er steuert den Sicherheitsprozess: Leitlinie und Sicherheitskonzept, Risikoanalyse, Initiieren und Prüfen von Maßnahmen, Auswertung von Sicherheitsvorfällen, Sensibilisierung der Beschäftigten, Berichte an die Geschäftsleitung und Vorbereitung von Prüfungen. Er berät, koordiniert und kontrolliert – die Umsetzung liegt bei IT, Medizintechnik und Fachbereichen.

Darf die IT-Leitung zugleich Informationssicherheitsbeauftragter sein?

Davon ist abzuraten. Der ISB soll die IT kontrollieren und Risiken unabhängig bewerten; das gelingt nicht, wenn er seine eigene Arbeit prüft. Das BSI empfiehlt, die Rolle nicht in der IT-Abteilung anzusiedeln, sondern mit direktem Zugang zur Geschäftsleitung.

Was ist der Unterschied zwischen ISB und Datenschutzbeauftragtem?

Der Datenschutzbeauftragte ist nach der DSGVO Pflicht und schützt die Rechte der Menschen, deren Daten verarbeitet werden. Der ISB schützt Vertraulichkeit, Integrität und Verfügbarkeit aller Informationen und Systeme – auch ohne Personenbezug, etwa der Medizintechnik. Beide arbeiten eng zusammen, die Rollen sollten aber getrennt sein.

Kann ein externer Informationssicherheitsbeauftragter benannt werden?

Ja. Gerade kleinere Häuser, MVZ und Pflegeeinrichtungen nutzen externe ISB. Wichtig sind ausreichende Präsenz, Kenntnis der Abläufe im Haus, eine interne Ansprechperson und klare Regeln zur Erreichbarkeit bei Sicherheitsvorfällen.

Welche Qualifikation braucht ein Informationssicherheitsbeauftragter?

Kenntnisse in Informationssicherheitsmanagement (ISO 27001, BSI IT-Grundschutz), Risikoanalyse, rechtlichen Anforderungen (§ 391 SGB V, BSI-Gesetz, B3S) und Notfallmanagement sowie Erfahrung mit den Abläufen im Krankenhaus. Ein Nachweis ist gesetzlich nicht vorgeschrieben; verbreitet sind Lehrgänge mit Prüfung, etwa ISB mit TÜV-Zertifikat oder IT-Grundschutz-Praktiker.

Informationssicherheitsbeauftragter im Krankenhaus (ISB)

Kurze Antwort

Der Informationssicherheitsbeauftragte (ISB) steuert im Krankenhaus das Informationssicherheitsmanagement: Er erstellt Leitlinie und Sicherheitskonzept, bewertet Risiken, stößt Maßnahmen an und prüft sie, wertet Vorfälle aus, sensibilisiert die Beschäftigten und berichtet direkt an die Geschäftsleitung. Ausdrücklich vorgeschrieben ist die Benennung weder in § 391 SGB V noch im BSI-Gesetz – beide verlangen aber ein wirksames, dokumentiertes Sicherheitsmanagement, das ohne eine verantwortliche Person praktisch nicht umsetzbar ist. BSI-Standards und der B3S Krankenhaus gehen deshalb von einem ISB aus.

Stand: November 2026

Das Wichtigste in Kürze

Ohne ISB fehlt im Krankenhaus die Person, die Informationssicherheit steuert, kontrolliert und gegenüber der Geschäftsleitung vertritt.
Der ISB berichtet direkt an die Geschäftsleitung und sollte nicht in der IT-Abteilung angesiedelt sein.
Er ist nicht der Datenschutzbeauftragte – beide Rollen ergänzen sich, sollten aber getrennt sein.
Intern oder extern ist möglich; entscheidend sind Zeit, Befugnisse, Erreichbarkeit und Kenntnis des Hauses.
Für NIS2 braucht das Haus zudem eine benannte Kontaktperson im BSI-Portal – häufig ist das der ISB.

Ist ein ISB im Krankenhaus Pflicht?

Kurze Antwort

Eine ausdrückliche Benennungspflicht gibt es nicht. Die Pflichten aus § 391 SGB V und dem BSI-Gesetz lassen sich aber ohne verantwortliche Person kaum erfüllen.

Regel	Was sie verlangt	Bedeutung für den ISB
§ 391 SGB V (alle Krankenhäuser)	Vorkehrungen nach dem Stand der Technik, Maßnahmen zur Security-Awareness; Erfüllung insbesondere über den B3S	Jemand muss Stand der Technik bewerten, Maßnahmen steuern und Awareness organisieren
§ 30 BSIG (wichtige und besonders wichtige Einrichtungen)	zehn Mindestmaßnahmen, Dokumentation, Bewertung der Wirksamkeit	Kernaufgaben eines ISB
§ 38 BSIG	Geschäftsleitung setzt um und überwacht	Der ISB liefert der Geschäftsleitung die Grundlage für Entscheidungen und Überwachung
§ 33 BSIG und BSI-Portal	Registrierung mit Kontaktdaten; das BSI erwartet eine benannte NIS2-Kontaktperson	häufig der ISB oder seine Vertretung
B3S Krankenhaus	Informationssicherheitsmanagement mit klaren Verantwortlichkeiten; richtet sich an die für Informationssicherheit zuständigen Personen	setzt die Rolle praktisch voraus
BSI-Standard 200-2	mindestens ein benannter ISB mit direktem Zugang zur Leitung	Maßstab für Stellung und Aufgaben

Welche Häuser unter das BSI-Gesetz fallen, erklärt der Leitartikel KRITIS und NIS2 im Gesundheitswesen; was der Branchenstandard verlangt, der Artikel B3S Krankenhaus.

Was sind die Aufgaben?

Kurze Antwort

Steuern, koordinieren, kontrollieren und berichten – die Umsetzung liegt bei IT, Medizintechnik und Fachbereichen.

Aufgabe	Beispiele im Krankenhaus
Sicherheitsleitlinie und -konzept	Leitlinie zur Beschlussfassung durch die Geschäftsleitung vorbereiten, Sicherheitskonzept nach B3S oder ISO 27001 pflegen
Risikomanagement	Schutzbedarf von KIS, PACS, Labor, Medizingeräten und Gebäudetechnik bewerten, Risiken mit den Verantwortlichen behandeln
Maßnahmen steuern und prüfen	Patch- und Schwachstellenmanagement, Zugriffsrechte, Multi-Faktor-Authentifizierung, Backups – anstoßen und Wirksamkeit prüfen
Sicherheitsvorfälle	Meldekette organisieren, Vorfälle auswerten, Meldungen an das BSI vorbereiten – siehe NIS2-Meldepflicht
Notfall- und Krisenmanagement	gemeinsam mit dem Notfallmanagement Notbetrieb, Wiederanlauf und Übungen planen
Lieferkette	Sicherheitsanforderungen an Hersteller, Fernwartung und Dienstleister in Verträge bringen
Awareness und Schulung	Schulungsprogramm für Beschäftigte und Geschäftsleitung, Phishing-Simulationen – siehe Security Awareness im Krankenhaus
Berichte und Prüfungen	regelmäßige Berichte an die Geschäftsleitung, Vorbereitung von Audits und Nachweisen

Wo gehört der ISB organisatorisch hin?

Kurze Antwort

Als Stabsstelle mit direktem Berichtsweg zur Geschäftsleitung – nicht in der IT-Abteilung, die er kontrollieren soll.

Direkter Zugang zur Geschäftsleitung: Der ISB muss Risiken und Vorfälle ohne Umweg melden können. Das BSI empfiehlt ausdrücklich einen direkten Berichtsweg.
Unabhängigkeit: Wer die IT verantwortet, sollte nicht zugleich ihre Sicherheit kontrollieren. Eine Doppelrolle mit der IT-Leitung führt zu Interessenkonflikten.
Befugnisse: Recht auf Information, Zutritt zu Systemen und Dokumenten, Mitwirkung bei Projekten und Beschaffungen.
Ressourcen: ausreichend Arbeitszeit und Budget, bei größeren Häusern ein Team oder Bereichs-ISB je Standort.
Vertretung: eine qualifizierte Vertretung, damit die Rolle auch nachts, am Wochenende und im Urlaub besetzt ist.

Wie grenzt sich der ISB von anderen Rollen ab?

Rolle	Schützt	Grundlage	Verhältnis zum ISB
Informationssicherheitsbeauftragter	Vertraulichkeit, Integrität und Verfügbarkeit aller Informationen und Systeme	§ 391 SGB V, BSIG, B3S, BSI-Standards	–
Datenschutzbeauftragter	Rechte der Menschen, deren Daten verarbeitet werden	Art. 37–39 DSGVO, Pflicht	enge Zusammenarbeit, getrennte Rolle
IT-Leitung	Betrieb und Weiterentwicklung der IT	Organisation des Hauses	setzt um, wird vom ISB beraten und kontrolliert
Medizintechnik	sicherer Betrieb der Medizinprodukte	Medizinprodukterecht	gemeinsame Verantwortung für vernetzte Geräte
NIS2-Beauftragter oder -Verantwortlicher	Umsetzung der NIS2-Pflichten	Organisation des Hauses	oft identisch mit dem ISB oder ihm zugeordnet
CISO	Gesamtverantwortung für Informationssicherheit im Konzern	Organisation	in Klinikverbünden über den ISB der Häuser

Intern oder extern?

	Interner ISB	Externer ISB
Vorteile	kennt Abläufe, Menschen und Systeme; immer vor Ort	Erfahrung aus vielen Häusern; sofort verfügbar; unabhängig
Nachteile	Aufbau von Wissen dauert; Gefahr der Doppelrolle	weniger Präsenz; braucht interne Ansprechperson
Passt für	größere Krankenhäuser und Verbünde	kleinere Häuser, MVZ, Pflegeeinrichtungen, Übergangszeiten

Häufig bewährt sich eine Mischform: ein interner ISB, unterstützt durch externe Fachleute für Audits, Gap-Analysen oder Spitzenzeiten.

Welche Qualifikation braucht ein ISB?

Kurze Antwort

Wissen über Informationssicherheitsmanagement, Risikoanalyse, Recht und Notfallmanagement – und Verständnis für die Abläufe im Krankenhaus. Ein bestimmter Nachweis ist nicht vorgeschrieben.

Kompetenz	Passende Weiterbildung	Dauer
Grundlagen der ISB-Rolle, ISMS nach ISO 27001 und IT-Grundschutz	Informationssicherheitsbeauftragte(r) mit TÜV-Rheinland-geprüfter Qualifikation	3 Tage
Methode des BSI IT-Grundschutzes	IT-Grundschutz-Praktiker (BSI), vertiefend IT-Grundschutz-Berater	3 Tage / 2 Tage
NIS2-Pflichten im Haus umsetzen	Zertifizierter NIS-2-Beauftragter	3 Tage
Interne Audits	ISO 27001 Internal Auditor	3 Tage
Notfallmanagement	BCM-Praktiker (BSI)	3 Tage
Sicherheitsmanagement auf Leitungsebene	ISACA CISM	3 Tage

Den gesamten Lernpfad für alle Rollen zeigt die Seite Cybersecurity-Schulungen.

Fazit

Ein Informationssicherheitsbeauftragter ist im Krankenhaus nicht ausdrücklich vorgeschrieben – und trotzdem unverzichtbar. Ohne ihn fehlt die Person, die § 391 SGB V, das BSI-Gesetz und den B3S im Alltag zusammenführt, Risiken bewertet und der Geschäftsleitung die Grundlage für ihre Verantwortung liefert. Entscheidend sind direkter Zugang zur Geschäftsleitung, Unabhängigkeit von der IT, ausreichend Zeit und eine fundierte Qualifikation.

Bei Aufbau des Sicherheitsmanagements, Gap-Analyse oder externer Unterstützung hilft unsere NIS2-Beratung für Krankenhäuser.

Hinweis: Dieser Überblick ersetzt keine Rechtsberatung.

Quellen

§ 391 SGB V – IT-Sicherheit in Krankenhäusern. Bundesministerium der Justiz.
BSI-Gesetz (BSIG). §§ 30, 33 und 38.
BSI-Standard 200-2: IT-Grundschutz-Methodik. Bundesamt für Sicherheit in der Informationstechnik.
Lerneinheit 2.4: Der Informationssicherheitsbeauftragte. BSI, Online-Kurs IT-Grundschutz.
Informationssicherheit im Krankenhaus – B3S. Deutsche Krankenhausgesellschaft.
Schritt-für-Schritt-Anleitung für die Registrierung im BSI-Portal. BSI.
Verordnung (EU) 2016/679 (DSGVO). Art. 37–39.

Passende Schulungen

Vertiefen Sie das Thema mit Ihrem Team – im offenen Seminar oder als Inhouse-Schulung.

Informationssicherheitsbeauftragter im Krankenhaus: Aufgaben, Qualifikation, Pflicht

Ist ein ISB im Krankenhaus Pflicht?

Was sind die Aufgaben?

Wo gehört der ISB organisatorisch hin?

Wie grenzt sich der ISB von anderen Rollen ab?

Intern oder extern?

Welche Qualifikation braucht ein ISB?

Fazit

Quellen

Passende Schulungen

Häufige Fragen

Lassen Sie uns über Ihr Projekt sprechen.