Cybersicherheit Gesundheitswesen EU: G7-Erklärung 2026

Was die neue G7-Cybersecurity-Erklärung für Krankenhäuser in DE, AT und CH bedeutet

Die G7-Staaten haben unter französischer Präsidentschaft am 3. Juli 2026 eine gemeinsame Cybersecurity-Erklärung verabschiedet, die die Europäische Kommission ausdrücklich begrüßt. Die Erklärung der G7-Cybersecurity-Arbeitsgruppe setzt vier klare Prioritäten: Post-Quanten-Kryptographie, KI-bezogene Cyberrisiken, Telekommunikationsresilienz und den Schutz kleiner und mittlerer Unternehmen. Für CISOs und Informationssicherheitsbeauftragte im Gesundheitswesen ist diese Erklärung kein abstraktes außenpolitisches Signal — sie skizziert den regulatorischen und technischen Horizont der nächsten drei bis fünf Jahre. Wer heute plant, muss diese Entwicklungen einpreisen.

Kontext: Warum die G7-Erklärung für das Gesundheitswesen relevant ist

Krankenhäuser und Kliniken zählen in allen DACH-Ländern zur kritischen Infrastruktur. Sie sind damit nicht nur Ziel von Ransomware-Gruppen, sondern auch Adressaten eines zunehmend dichten Regulierungsrahmens. Die G7-Erklärung wirkt dabei als Vorläufer konkreter Rechtssetzung: Erfahrungsgemäß folgen EU-Kommissionsvorhaben, nationale Umsetzungsgesetze und Branchenstandards den politischen Prioritäten der G7 mit einem Vorlauf von 12 bis 36 Monaten.

Die vier Themenschwerpunkte der Erklärung — PQC, KI-Sicherheit, Telekommunikationsresilienz, Secure by Design — greifen direkt in Betriebsrealitäten ein, die Krankenhäuser täglich managen: verschlüsselte Patientenkommunikation, KI-gestützte Diagnostik, vernetzte Medizingeräte und eine IT-Infrastruktur, die über Jahrzehnte gewachsen ist.

Für die Cybersicherheit Gesundheitswesen EU ergibt sich daraus ein klares Bild: Die nächste Regulierungswelle ist nicht mehr Zukunft — sie ist bereits in Vorbereitung.

Priorität 1: Post-Quanten-Kryptographie — Warum Krankenhäuser jetzt handeln müssen

Was die G7 fordert

Die G7-Erklärung bezeichnet die Migration zu Post-Quanten-Kryptographie (PQC) als dringende Priorität, die Organisationen nicht länger aufschieben können. Die EU hat 2025 bereits eine Roadmap zur koordinierten PQC-Transition verabschiedet, die klare Fristen für kritische Anwendungsfälle setzt.

Was das für Krankenhäuser bedeutet

Krankenhäuser verschlüsseln täglich hochsensible Daten: Patientenakten, Diagnosebilder, Labordaten, Kommunikation zwischen Einrichtungen. Die heute verwendeten asymmetrischen Verschlüsselungsverfahren — RSA, ECC — sind gegenüber kryptographisch relevanten Quantencomputern prinzipiell angreifbar. Das BSI warnt seit Jahren vor dem sogenannten „Harvest now, decrypt later"-Angriffsszenario: Angreifer sammeln heute verschlüsselte Daten, um sie zu entschlüsseln, sobald leistungsfähige Quantencomputer verfügbar sind. Für Patientendaten mit Jahrzehnten Relevanz ist dieses Risiko nicht akademisch.

Länderspezifische Ausgangslage

Deutschland: Das BSI hat PQC-Migration als Thema im BSI-Grundschutz-Kompendium und in IT-Grundschutz-Profilen adressiert. Für nach §391 SGB V verpflichtete Krankenhäuser (KRITIS-Schwellenwert: 30.000 vollstationäre Fälle/Jahr) gelten bereits heute Anforderungen an den Stand der Technik — PQC wird mittelfristig Teil dieser Anforderungen werden.

Österreich: Das NISG 2024 (nationale NIS2-Umsetzung, gilt seit Oktober 2024) verpflichtet Betreiber wesentlicher Einrichtungen, darunter Gesundheitseinrichtungen ab definierten Schwellenwerten, zu angemessenen technischen Sicherheitsmaßnahmen. Die Kryptoagilität — also die Fähigkeit, Verschlüsselungsverfahren ohne Systemumbau zu wechseln — sollte in Österreich bereits heute in Architekturentscheidungen einfließen.

Schweiz: Die Schweiz ist kein EU-Mitglied und damit nicht direkt an die EU-Roadmap gebunden. Das revidierte Datenschutzgesetz (nDSG, gilt seit September 2023) enthält keine expliziten Kryptoanforderungen. Dennoch sind Schweizer Spitäler faktisch betroffen: Sie kommunizieren mit EU-Einrichtungen, verwenden Produkte europäischer und amerikanischer Anbieter, die PQC implementieren werden, und unterliegen dem Druck internationaler Zertifizierungsstandards (ISO 27001, ISO 27799).

Handlungsempfehlung: Starten Sie mit einem Krypto-Inventar. Dokumentieren Sie, welche Systeme welche Verschlüsselungsverfahren einsetzen — von TLS-Konfigurationen über VPN-Tunnel bis zu DICOM-Verschlüsselung. Das ist die Grundlage jeder PQC-Migrationsstrategie.

Priorität 2: KI-Risiken im Gesundheitswesen — Angreifer und Angriffsfläche zugleich

Das Dual-Use-Problem generativer KI

Die G7-Erklärung hebt den doppelten Charakter generativer KI hervor: als Werkzeug für Angreifer und als Angriffsziel selbst. Für Krankenhäuser, die KI-gestützte Systeme zur Diagnostik, Dokumentation oder Ressourcenplanung einsetzen, entstehen daraus zwei Risikoklassen:

KI als Angriffswerkzeug: Angreifer nutzen LLMs für überzeugendere Phishing-Kampagnen, automatisierte Schwachstellensuche und KI-generierte Malware. Das erhöht die Qualität und Quantität von Angriffen auf Krankenhäuser.
KI-Systeme als Angriffsziel: Model Poisoning (Manipulation von Trainingsdaten), Prompt Injection und Data Breaches aus KI-Systemen gefährden die Integrität klinischer Entscheidungsunterstützung.

EU AI Act: Was seit 2. August 2025 gilt

Der EU AI Act ist seit dem 2. August 2024 in Kraft, die Verbote für inakzeptables Risiko gelten seit Februar 2025, die Anforderungen an Hochrisiko-KI-Systeme — zu denen medizinische KI-Systeme nach Anhang III zählen — gelten seit August 2025.

Deutschland und Österreich sind als EU-Mitgliedstaaten direkt an den AI Act gebunden. KI-Systeme, die in der Patientenversorgung eingesetzt werden (z.B. KI-gestützte Bildgebungsauswertung, klinische Entscheidungsunterstützung), fallen typischerweise unter die Hochrisiko-Kategorie und erfordern eine Risikomanagementsystem, technische Dokumentation, Konformitätsbewertung und menschliche Aufsicht.

Die Schweiz übernimmt den AI Act nicht automatisch, prüft aber eine koordinierte Annäherung. Schweizer Spitäler, die KI-Produkte aus der EU beziehen oder KI-Dienste in der EU anbieten, unterliegen dennoch partiell EU-Anforderungen.

G7 AI SBOM: Ein neues Pflichtfeld für Beschaffung

Besonders relevant: Die G7-Erklärung hebt die Minimum Elements for an AI Software Bill of Materials (AI SBOM) hervor, federführend erarbeitet von Deutschland und Italien. Ein AI SBOM dokumentiert nicht nur Softwarekomponenten, sondern auch Trainingsdaten, Modelleigenschaften und Abhängigkeiten. Für die Beschaffung medizinischer KI-Systeme bedeutet das: Künftig werden Hersteller AI SBOMs liefern müssen — und Krankenhäuser sollten beginnen, diese in Vergabekriterien und Vertragsklauseln zu verankern.

Priorität 3: Telekommunikationsresilienz und NIS2 — Was bereits gilt

Die G7 erkennt Telekommunikation ausdrücklich als kritische Infrastruktur an und verweist auf die systemischen Risiken durch Komplexität und Vernetzung. Für Krankenhäuser ist Telekommunikationsresilienz kein abstraktes Thema: Netzwerkausfall bedeutet Ausfall klinischer Systeme, KIS, PACS, Telemedizin und Alarmierung.

In Deutschland gilt die NIS2-Umsetzung durch das BSIG (NIS2UmsuCG seit März 2025 in Kraft). Krankenhäuser ab dem KRITIS-Schwellenwert sind als „wesentliche Einrichtungen" eingestuft und müssen unter anderem: - Netzwerksicherheitsmaßnahmen implementieren (Segmentierung, Überwachung) - Sicherheitsvorfälle dem BSI melden (signifikante Vorfälle: 24h Erstmeldung, 72h detaillierte Meldung) - Lieferkettensicherheit in ihr Risikomanagement integrieren

In Österreich gilt das NISG 2024 seit Oktober 2024. Gesundheitseinrichtungen oberhalb der nationalen Schwellenwerte sind meldepflichtig bei der nationalen NIS-Behörde (CERT.at / BMI).

In der Schweiz gibt es keine direkte NIS2-Äquivalenz. Das revidierte ISG (Informationssicherheitsgesetz) regelt primär Bundesbehörden. Für Spitäler relevant: Die Meldepflicht für Cyberangriffe nach Art. 74b ISG gilt seit April 2025 für Betreiber kritischer Infrastrukturen — Kantonsinhalt und genaue Schwellenwerte variieren. Für rechtliche Einordnung wenden Sie sich an einen auf Schweizer IT-Recht spezialisierten Anwalt.

Priorität 4: Secure by Design und Lieferkettensicherheit — Lehren für die Beschaffung

Was der Cyber Resilience Act bedeutet

Die G7-Erklärung verweist auf den EU Cyber Resilience Act (CRA), der „Secure by Design"-Prinzipien für digitale Produkte verbindlich macht. Der CRA ist seit Dezember 2024 in Kraft, die Hauptpflichten gelten ab Dezember 2027. Er verpflichtet Hersteller, Sicherheit über den gesamten Produktlebenszyklus zu gewährleisten — von der Entwicklung über Updates bis zur Abkündigung.

Für Krankenhäuser als Abnehmer digitaler Produkte bedeutet das: Hersteller von Medizingeräten, Klinik-IT und vernetzten Systemen werden künftig umfangreichere Sicherheitsdokumentation liefern müssen. Das schafft neue Möglichkeiten, Sicherheitsanforderungen in der Beschaffung durchzusetzen.

Achtung Überschneidung MDR/IVDR: Medizinprodukte mit Softwareanteil (Software as a Medical Device, SaMD) unterliegen in Deutschland und Österreich der MDR/IVDR. In der Schweiz gilt die MepV (Medizinprodukteverordnung). Der CRA und die MDR überschneiden sich bei vernetzten Medizinprodukten — welcher Rahmen Vorrang hat, ist noch nicht in allen Details geklärt. Für rechtliche Beratung wenden Sie sich an einen spezialisierten Anwalt.

Lieferkettensicherheit als ISMS-Pflicht

Alle relevanten Frameworks — BSI Grundschutz, ISO 27001:2022, B3S Krankenhaus, NIS2/NISG — fordern explizites Supply-Chain-Risikomanagement. Die G7-Erklärung verstärkt diesen Trend. Praktisch bedeutet das für Ihr ISMS:

Lieferantenbewertung mit sicherheitsrelevanten Kriterien (SIG-Fragebogen, ISO 27001-Zertifikat des Lieferanten, Penetrationstest-Nachweise)
Vertragliche Sicherheitsanforderungen (Meldepflichten des Lieferanten bei Vorfällen, Patch-Fristen, Auditrechte)
Monitoring kritischer Lieferanten (SBOM-basiertes Schwachstellenmonitoring)

Handlungsmatrix: Was CISOs im Gesundheitswesen jetzt tun sollten

Die G7-Erklärung und der EU-Regulierungsrahmen ergeben für CISOs und ISBs in Krankenhäusern folgende Prioritätenliste:

Maßnahme	Zeithorizont	Relevanz DE	Relevanz AT	Relevanz CH
Krypto-Inventar erstellen (Basis PQC-Migration)	Sofort	✅	✅	✅
NIS2/NISG-Compliance prüfen (Meldepflichten, Risikomanagement)	Sofort	✅ BSIG	✅ NISG 2024	⚠️ ISG prüfen
AI Act Hochrisiko-Assessment für eingesetzte KI	Q3/Q4 2026	✅	✅	⚠️ bilateral prüfen
AI SBOM in Beschaffungsverträge aufnehmen	Ab sofort	✅	✅	✅
Lieferantenbewertung um KI-Sicherheitsaspekte erweitern	Q4 2026	✅	✅	✅
Cyber Resilience Act: Herstelleranforderungen in Vergabe	Ab sofort (CRA ab 12/2027 verpflichtend)	✅	✅

Kostenlose NIS2-Bestandsaufnahme starten →