BMG startet Self-Assessment Cybersicherheit – Gesundheitseinrichtungen können eigenes Sicherheitsniveau überprüfen

15.10.2026 - Das Bundesministerium für Gesundheit (BMG) stellt Gesundheitseinrichtungen ein digitales Self-Assessment zur Cybersicherheit zur Verfügung. Mit einem strukturierten Online-Fragenkatalog können Einrichtungen ihren aktuellen Stand in zentralen Bereichen der Informations- und Cybersicherheit einschätzen und mögliche Handlungsbedarfe identifizieren. Das Angebot ist Teil des „Sofortprogramms Cybersicherheit“ des Bundes.

Die zunehmende Digitalisierung und Vernetzung des Gesundheitswesens eröffnet neue Möglichkeiten für die Patientenversorgung – gleichzeitig wächst jedoch die Abhängigkeit von funktionierenden und sicheren IT-Systemen.

Cyberangriffe auf Krankenhäuser, Praxen und andere medizinische Einrichtungen zeigen immer wieder, dass Informationssicherheit unmittelbar mit Patientensicherheit, Datenschutz und der Handlungsfähigkeit einer Einrichtung verbunden ist.

Das Bundesministerium für Gesundheit hat deshalb ein Self-Assessment Cybersicherheit bereitgestellt, mit dem Gesundheitseinrichtungen den eigenen Sicherheitsstand strukturiert betrachten können.

39 Fragen zur eigenen Cybersicherheit

Das Self-Assessment besteht aus einem strukturierten Online-Fragenkatalog mit 39 Fragen. Dabei werden wesentliche Handlungsfelder aufgegriffen, die auch im Zusammenhang mit den Anforderungen der europäischen NIS-2-Richtlinie eine wichtige Rolle spielen.

Hierzu gehören unter anderem:

• Risikomanagement,
• Bewältigung von IT-Sicherheitsvorfällen,
• organisatorische und personelle Sicherheit,
• technische Schutzmaßnahmen,
• Absicherung externer Dienstleister
• sowie Sicherheit der Lieferkette.

Damit geht die Betrachtung deutlich über klassische Maßnahmen wie Virenschutz oder Firewall hinaus. Cybersicherheit wird vielmehr als Zusammenspiel aus Technik, Organisation, Verantwortlichkeiten und Notfallvorsorge verstanden.

Anonym und niedrigschwellig nutzbar

Ein wesentlicher Vorteil des Angebots ist der vergleichsweise einfache Einstieg. Nach Angaben zum Projekt kann das Assessment anonym durchgeführt werden; ein Rückschluss auf die jeweilige Einrichtung soll nicht möglich sein.

Das Instrument soll Einrichtungen dabei helfen, den eigenen Stand realistisch einzuschätzen und Bereiche zu erkennen, in denen Verbesserungsbedarf besteht.

• Zum Self-Assessment: Self-Assessment Cybersicherheit im Gesundheitswesen
• Weitere Hintergründe zum Projekt: Projektdetails zum Self-Assessment

© i-stock style-photography: Das Self-Assessment unterstützt Sie dabei den aktuellen Umsetzungstand ihrer Cybersicherheit festzustellen.

Hintergrund: NIS 2 erhöht die Anforderungen

Das Self-Assessment steht im Zusammenhang mit dem vom BMG geplanten Sofortprogramm Cybersicherheit.

Mit der Umsetzung der europäischen NIS-2-Vorgaben erweitert sich der Kreis der Gesundheitseinrichtungen, für die umfassendere Anforderungen an das Cyber-Risikomanagement gelten. Das betrifft insbesondere größere Organisationen des Gesundheitswesens.

Zum vorgesehenen Förderumfeld gehören nach derzeitiger Darstellung beispielsweise Krankenhäuser, große Medizinische Versorgungszentren, Labore, radiologische Einrichtungen sowie bestimmte Einrichtungen der Arzneimittel-, Blut- und Blutplasmaversorgung. Eine mögliche Förderung ist dabei an weitere Voraussetzungen geknüpft; allein die Teilnahme am Self-Assessment begründet keinen Förderanspruch.

Auch für ambulante Praxen ein interessanter Ansatz

Auch wenn eine klassische Arzt-, Zahn- oder Psychotherapiepraxis nicht automatisch unter die für größere Einrichtungen geltenden NIS-2-Anforderungen fällt, sind die im Assessment behandelten Themen aus Sicht von daten-strom grundsätzlich auch für kleinere medizinische Einrichtungen relevant.

Denn Fragen wie:

• Gibt es einen dokumentierten IT-Notfallplan?
• Wie wird mit einem Cyberangriff umgegangen?
• Sind Verantwortlichkeiten eindeutig geregelt?
• Werden externe IT-Dienstleister und Zugänge angemessen abgesichert?
• Existieren funktionierende Datensicherungen und Wiederanlaufverfahren?
• Werden Mitarbeitende regelmäßig sensibilisiert?

stellen sich unabhängig von der Größe einer Einrichtung.

Das Assessment kann daher auch als Orientierung und Denkanstoß dienen, um die eigene Sicherheitsorganisation kritisch zu hinterfragen.

Self-Assessment ersetzt keine individuelle Sicherheitsprüfung

Wichtig ist jedoch die richtige Einordnung: Ein Online-Selbsttest ist keine Zertifizierung und kein vollständiges IT-Sicherheitsaudit.

Auch das BMG weist darauf hin, dass das Instrument die eigenverantwortliche Prüfung einer Einrichtung nicht ersetzt. Vielmehr soll es einen praxisnahen Einstieg in einen kontinuierlichen Verbesserungsprozess ermöglichen.

Gerade bei medizinischen Einrichtungen müssen technische Gegebenheiten, Praxisorganisation, Datenschutz, eingesetzte Software, Telematikinfrastruktur, Datensicherung und individuelle Risiken gemeinsam betrachtet werden.

daten-strom begrüßt den Ansatz

Aus Sicht von daten-strom ist das Self-Assessment ein sinnvoller Schritt, um das Bewusstsein für Cybersicherheit im Gesundheitswesen weiter zu stärken.

Cybersicherheit darf nicht erst dann zum Thema werden, wenn Systeme verschlüsselt wurden, Patientendaten betroffen sind oder der Praxisbetrieb bereits stillsteht. Entscheidend ist vielmehr, Schwachstellen und organisatorische Defizite vor einem Sicherheitsvorfall zu erkennen.

Das Self-Assessment kann hierfür einen hilfreichen ersten Impuls liefern.

Ihr IT-Team von daten-strom unterstützt Arzt-, Zahn- und Psychotherapiepraxen bei der strukturierten Bewertung ihrer IT- und Informationssicherheit, der Entwicklung geeigneter Schutzmaßnahmen sowie beim Aufbau von Notfall- und Resilienzkonzepten.

Quelle: BMG