Fällt im Krankenhaus die Informationstechnik aus Gründen eines Cyberangriffs aus, zählt jede Minute. Neben der Wiederherstellung des Betriebs stellt sich gleichzeitig die Frage, wen das Haus informieren muss. Für Krankenhäuser greifen dabei typischerweise zwei Meldepflichten parallel: die datenschutzrechtliche Meldung nach DSGVO und die Meldung als kritische Einrichtung nach dem BSI-Gesetz (BSIG). Beide sind fristgebunden und richten sich an unterschiedliche Stellen.
Datenschutzrechtliche Meldung
Sobald ein IT-Sicherheitsvorfall personenbezogene Daten betrifft – und in einem Krankenhaus sind das praktisch immer auch besonders sensible Gesundheitsdaten von Patienten –, ist Art. 33 DSGVO zu prüfen. Meldepflichtig ist das Krankenhaus als Verantwortlicher der Datenverarbeitung, sofern aus dem Vorfall ein voraussichtliches Risiko für die Rechte und Freiheiten der betroffenen Personen folgt. Die Meldung geht an die zuständige Landesdatenschutzaufsichtsbehörde und muss unverzüglich, möglichst binnen 72 Stunden nach Kenntnisnahme, erfolgen.
Besteht sogar ein voraussichtlich hohes Risiko, sind zusätzlich die betroffenen Patienten selbst nach Art. 34 DSGVO zu benachrichtigen – in verständlicher Sprache, mit Angaben zu Folgen, Abhilfemaßnahmen und einer Ansprechstelle, in der Regel dem Datenschutzbeauftragten. Wichtig für die Praxis: Auch wenn das Krankenhaus zu dem Schluss kommt, ausnahmsweise nicht melden zu müssen, ist der Vorfall vollständig zu dokumentieren. Ein Verstoß gegen die Meldepflicht kann mit Bußgeldern bis zu zehn Millionen Euro geahndet werden.
Meldung als kritische Einrichtung: NIS-2 und BSIG
Krankenhäuser zählen zum Sektor Gesundheitswesen und gelten – ab bestimmten Versorgungsgrößen – als besonders wichtige Einrichtung im Sinne des BSIG, mit dem die NIS-2-Richtlinie in Deutschland umgesetzt wurde. Für einen erheblichen Sicherheitsvorfall, also einen Vorfall mit tatsächlichen oder drohenden erheblichen Betriebsstörungen, finanziellen Verlusten oder Schäden für Dritte, besteht eine gestufte Meldepflicht gegenüber einer gemeinsam vom BSI und dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe (BBK) betriebenen Meldestelle.
Die Fristen sind eng: Binnen 24 Stunden nach Kenntnis ist eine frühe Erstmeldung mit ersten Einschätzungen abzugeben, binnen 72 Stunden folgt eine Nachmeldung mit vorläufiger Bewertung von Schwere und Auswirkungen, und spätestens nach einem Monat ist eine Abschlussmeldung – oder bei andauernden Vorfällen eine Fortschrittsmeldung – fällig. Das BSI kann ein Krankenhaus zudem anweisen, betroffene Patienten oder Kooperationspartner direkt über den Vorfall zu informieren. Verstöße gegen diese Meldepflichten können als Ordnungswidrigkeit mit Bußgeldern bis zu zehn Millionen Euro geahndet werden; wird für denselben Vorfall bereits ein DSGVO-Bußgeld verhängt, entfällt eine zusätzliche Geldbuße nach dem BSIG.
Was für Krankenhäuser in der Regel keine Rolle spielt
DORA betrifft ausschließlich den Finanzsektor und ist für Krankenhäuser nicht relevant. Die Meldepflichten nach TKG und eIDAS greifen nur, wenn das Haus selbst als Telekommunikationsanbieter oder Vertrauensdiensteanbieter auftritt – das ist im Regelfall nicht der Fall. Der Cyber Resilience Act betrifft ab September 2026 Hersteller von Produkten mit digitalen Elementen; er kann ausnahmsweise relevant werden, wenn ein Krankenhaus selbst Medizin- oder IT-Produkte entwickelt und unter eigener Marke vertreibt, spielt für den laufenden Klinikbetrieb aber in der Regel auch keine Rolle.
Fazit für die Praxis
Für die meisten Krankenhäuser bedeutet das: Bei jedem relevanten IT-Sicherheitsvorfall müssen parallel zwei Meldewege mit unterschiedlichen Fristen und Adressaten bedacht werden – die Datenschutzaufsichtsbehörde und BSI/BBK. Wer als kritische Einrichtung zusätzlich Patienten oder Kooperationspartner informieren muss, sollte das im Blick behalten. Entscheidend ist daher ein Incident-Response-Prozess, der von Anfang an klärt, ob personenbezogene Daten betroffen sind, ob der Vorfall als erheblich einzustufen ist, und der klare Verantwortlichkeiten sowie Fristen für beide Meldewege festlegt – inklusive lückenloser Dokumentation, auch für den Fall, dass am Ende keine Meldung erforderlich ist.
Quelle: Jünemann, R. (2026): Wer wann was an welche Stelle melden muss. IT-SICHERHEIT 3/2026, itsicherheit-online.com.