Nachdem die Bundesregierung der KRITIS-Verordnung zugestimmt hat, kommt Kritik an der Ausgestaltung für das Gesundheitswesen.
Laut KRITIS-Verordnung werden lediglich Krankenhäuser mit über 30000 stationären Behandlungsfällen pro Jahr als so „kritisch“ eingestuft, dass sie unter die KRITIS-Verordnung fallen. Die betroffenen Betreiber sind verpflichtet, dem Bundesamt für Sicherheit in der Informationstechnik innerhalb von zwei Jahren die Einhaltung von Mindeststandards an IT-Sicherheit nachzuweisen. Bei den derzeitigen Schwellenwerten betrifft das in Deutschland insgesamt 110 Krankenhäuser.
Mehrere IT-Leiter von Krankenhäusern vertraten gegenüber E-HEALTH-COM die Auffassung, dass dies zu wenig sei. Wenn ein Krankenhaus wie das im vergangenen Jahr von einer Ransomware-Attacke betroffene Lukas-Krankenhaus in Neuss nicht unter die Verordnung falle, nur weil es die 30.000 stationären Behandlungsfälle pro Jahr um fünf Prozent verfehle, dann sei das nicht richtig. Die Probleme in Neuss hatten damals ein paar Tage lange Auswirkungen auf die Versorgung in der gesamten Region, weil das Lukas-Krankenhaus ein zentraler Akteur in der dortigen Versorgungslandschaft ist.
Deutliche Kritik kommt auch vom Marburger Bund, der Gewerkschaft der Krankenhausärzte. „Wir halten es für dringend geboten, die KRITIS-Bemessungsgrenze für Krankenhäuser kritisch zu überprüfen“, betonte der MB-Vorsitzende Rudolf Henke. Drei Viertel der Krankenhäuser in Deutschland, die unterhalb des Schwellenwerts von 30.000 Behandlungsfällen liegen und insgesamt mehr als 14,2 Millionen Patienten pro Jahr versorgen, würden durch die KRITIS-Verordnung pauschal als nicht hinreichend bedeutsam für die vollstationäre medizinische Versorgung der Allgemeinheit klassifiziert, so der MB. Diese Einschätzung benachteilige eine Vielzahl von Krankenhäusern, deren Ausfall erhebliche Versorgungsprobleme nach sich ziehen würde.
Text: Philipp Grätzel von Grätz, Chefredakteur E-HEALTH-COM