Ein ISMS, das auch Medizintechnik, Haustechnik und Hygiene kennt
Klassische ISMS-Werkzeuge enden am Serverraum. Im Krankenhaus fängt das Risiko dort erst an — beim Infusomat, der Notstromanlage und dem MRE-Nachweis. ISMShield führt alles in einer Nachweiskette.
30 Tage kostenlos · kein Kreditkartenzwang · Demo ohne Login
Ausgangslage
Drei Pflichten, ein Haus, kein gemeinsamer Nachweis
Für deutsche Krankenhäuser laufen mehrere Regelwerke nebeneinander — mit unterschiedlichen Aufsichtsbehörden, Fristen und Nachweisformen.
In der Schweiz gelten stattdessen das ISG mit der Meldepflicht an das BACS, das revidierte DSG und je nach Kanton das EPDG. Die Anforderungen sind nicht deckungsgleich und dürfen nicht gegeneinander ausgetauscht werden — siehe Spital Schweiz.
Das Problem
Die Nachweislücke liegt selten in der IT
Die meisten Häuser haben ein ISMS auf dem Papier. Was in der Prüfung fehlt, ist fast nie die Richtlinie — es ist der Beleg, dass sie gelebt wird, und zwar über den Serverraum hinaus. Ein B3S-Prüfer fragt nach der Instandhaltung des Beatmungsgeräts genauso wie nach dem Patchstand des Terminalservers.
Fünf Systeme, keine gemeinsame Kette
ISMS-Tool, Medizintechnik-Datenbank, CAFM für die Haustechnik, Hygiene-Surveillance in Excel, Schwachstellen im Scanner-Export. Jede Quelle für sich stimmt — zusammenführen muss ein Mensch, kurz vor dem Audittermin.
Der ISB als Einzelperson
In Häusern bis 500 Betten ist der Informationssicherheitsbeauftragte häufig eine Person mit halber Stelle. Externe Unterstützung kostet 1 200 bis 2 000 € pro Tag — und das Wissen geht mit dem Berater wieder aus dem Haus.
Fristen, die niemand zentral sieht
STK- und MTK-Termine, DGUV-V3-Prüfungen, VDI-6022-Begehungen, Schulungsnachweise, Review-Zyklen. Wer keine Ampel hat, merkt eine überschrittene Frist erst, wenn jemand danach fragt.
Die Lösung
Eine Nachweiskette vom Risiko bis zum Prüfbericht
Jedes Modul erzeugt Belege im selben System — verknüpft mit dem Risiko, aus dem sie folgen, und mit dem Control, das sie erfüllt.
ISMS-Kern nach ISO 27001:2022
Kapitel 4–10 und Annex A vollständig. Statement of Applicability mit Freigabe-Workflow und Versionierung, Behandlungsplan nach 6.1.3, Auditmanagement nach 9.2, NC/CAPA nach 10.1, Management Review nach 9.3.
Risikomanagement mit Branchenkatalog
62 vordefinierte Healthcare-Risiken zum Import. Scoring-Matrix mit Eintritts- und Auswirkungsbewertung, Gewichtungsfaktoren und Verlauf. Regelbasierte Risikovorschläge ohne LLM — kein Datenabfluss.
Medizintechnik als ISMS-Asset
Geräteregister mit Hersteller, UDI-Code und MP-Klasse. STK/MTK-Kalender mit Ampel nach § 11 und § 14 MPBetreibV, automatische Erinnerung 60/30/7 Tage vor Fälligkeit, Vorkommnismeldungen nach MPSV und MDR.
Haustechnik im selben Register
Elektro, Brandschutz, Trinkwasser, Aufzüge, medizinische Gase, NEA und USV mit Raumklasse 0/1/2. Fünfstufige Prüfampel, Prüfhistorie, DGUV V3 und VDI 6022.
Hygiene mit Nachweisführung
Nosokomiale Infektionen, MRE-Nachweise und Ausbrüche nach IfSG, KISS-konform. Händehygiene- und Flächenaudits mit Compliance-Rate.
IT-Assets und Schwachstellen
Inventar mit Patchstand, Segment und Kritikalität. EOL-Erkennung, CVE-Management mit CVSS-Score und Massnahmen-Workflow, API-Import aus Nessus und OpenVAS.
Ablauf
Von der Instanz zum ersten belastbaren Bericht
- Instanz und RollenWir richten die Instanz ein, aktivieren die für Ihr Haus relevanten Frameworks und legen die Rollen für ISB, IT, Medizintechnik, Technik und Hygiene an.Tag 1
- Ist-AufnahmeBranchenkatalog importieren, Assets und Geräte erfassen — per CSV-Import oder API. Die Gap-Analyse zeigt danach über fünf Dimensionen, wo Sie stehen.Woche 1–3
- Erster Reifegrad-ReportReifegrad je ISO-Kapitel auf einer Skala von 0 bis 5, offene Controls mit Verantwortlichem und Termin, PDF für die Geschäftsführung.Woche 4
- NachweisbetriebCompliance-Kalender mit 18 wiederkehrenden Aufgaben, geplante Berichte per E-Mail, Audit-Trail für jede Änderung.laufend
Aktuell
Täglich aktualisiert aus dem ISMShield-Monitor
Unsere Redaktion und der Schwachstellen-Monitor verfolgen die Regulatorik und die Bedrohungslage im Gesundheitswesen fortlaufend. Diese Beiträge passen zum Thema dieser Seite:
Einwände
Das fragen IT-Leitungen und ISB zuerst
Brauchen wir ein zertifiziertes ISMS oder reicht ein gelebtes?
Das hängt an Ihrer Rechtsgrundlage. § 30 BSIG verlangt angemessene Risikomanagementmassnahmen, keine ISO-27001-Zertifizierung. Für KRITIS-Häuser verlangt § 39 BSIG dagegen alle zwei Jahre einen Nachweis gegenüber dem BSI — in der Praxis über den B3S Krankenhaus der DKG. Eine ISO-27001-Zertifizierung ist in beiden Fällen freiwillig, erleichtert aber die Nachweisführung erheblich, weil sie dieselben Belege erzeugt.
ISMShield deckt beides ab: die 93 Controls aus ISO 27001:2022 Annex A inklusive Statement of Applicability, und die 25 B3S-Anforderungen mit § 8a-Nachweisstruktur.
Wir haben schon verinice oder HiScout. Warum wechseln?
Wenn Sie ein reines ISMS brauchen und Ihre Betriebstechnik ohnehin in getrennten Systemen führen, ist ein Wechsel oft nicht nötig — das sagen wir offen. Der Unterschied wird dort relevant, wo Medizintechnik, Haustechnik und Hygiene mit in die Nachweisführung müssen: STK/MTK-Fristen, DGUV-V3-Prüfungen und Hygiene-Surveillance liegen in klassischen ISMS-Werkzeugen ausserhalb des Systems und werden per Excel nachgereicht.
Die ausführlichen Gegenüberstellungen finden Sie unter ISMShield vs. verinice und ISMShield vs. HiScout.
Wie lange dauert die Einführung realistisch?
Der technische Start liegt bei unter einem Tag — die Instanz steht, die Frameworks sind vorkonfiguriert, der Branchenkatalog mit 62 Healthcare-Risiken lässt sich per Klick importieren. Die ehrliche Antwort auf die eigentliche Frage: bis ein ISMS gelebt wird, vergehen in einem Haus mittlerer Grösse drei bis sechs Monate. Die Software verkürzt die Dokumentations- und Nachweisarbeit, nicht die Organisationsentwicklung.
Wer im Haus arbeitet damit — und wie viel IT-Aufwand entsteht?
Typisch sind Informationssicherheitsbeauftragte, IT-Leitung, Medizintechnik, Technischer Dienst und Hygiene mit jeweils eigenen Rollen und Sichten. Die IT-Abteilung selbst hat bei gehosteter Instanz keinen Betriebsaufwand: keine Server, keine Updates, keine Datenbankpflege. Für Häuser mit eigener Anforderung gibt es die Dedicated Instance mit eigener Datenbank und Subdomain.
Was passiert mit unseren Daten, wenn wir kündigen?
Sie exportieren den vollständigen Datenbestand — Risikoregister, Massnahmen, Dokumente, Nachweise, Audit-Trail. Kein Lock-in über Datenformate. Diese Zusage steht bewusst hier und nicht im Kleingedruckten, weil sie bei jedem ISMS-Auswahlprozess gestellt wird.
Funktioniert das für ein Haus mit deutschen und schweizerischen Standorten?
Ja, und das ist der eigentliche Grund, warum es die Plattform gibt. Deutsche und schweizerische Anforderungen laufen parallel und werden nicht vermischt: DSGVO neben nDSG, BSIG neben ISG, BfArM neben Swissmedic. Ein Vorfall kann gleichzeitig mehrere Meldepflichten auslösen — die Fristen laufen dann getrennt und werden getrennt dokumentiert. Details auf der Seite Spital Schweiz.
Bereit, es selbst zu sehen?
30 Tage kostenlos, mit Ihren echten Daten, ohne Kreditkarte. Wenn es nicht passt, exportieren Sie alles und sind wieder raus.