IT-Sicherheit der Krankenhäuser zwischen § 391 SGB V und NIS-2

Sozialversicherungsrechtliche Anforderungen an Leistungserbringer

• Dr. jur. Dr. rer. pol. Fabian Teichmann

Cyberangriffe auf Krankenhäuser sind längst ein Problem der Versorgungssicherheit und damit der gesetzlichen Krankenversicherung. Die IT-Sicherheit der Krankenhäuser wird heute von zwei Regelungssträngen erfasst: dem allgemeinen Informationssicherheitsrecht des BSIG in seiner durch das NIS-2-Umsetzungsgesetz neu gefassten Gestalt und – spezifisch sozialversicherungsrechtlich – dem mit dem Digital-Gesetz geschaffenen § 391 SGB V. Der Beitrag ordnet § 391 SGB V in den IT-Sicherheitsblock der §§ 390 bis 393 SGB V ein, vermisst sein Verhältnis zum BSIG/NIS-2 und nimmt die Durchsetzung aus Sicht der Leistungserbringer und der Kostenträger in den Blick. Es zeigt sich ein Mischsystem: eine weiche, sanktionslose Leistungspflicht, deren Steuerung Förderkonditionalität (KHZG/KHSFV) und ein vergütungsrechtlicher Abschlag (§ 5 Abs. 3h KHEntgG) übernehmen, während das scharf bewehrte BSIG nur die großen Häuser erfasst.