🇩🇪 Dieser Beitrag betrifft Deutschland. In Österreich und der Schweiz gelten andere Gesetze (NISG 2024 bzw. ISG/nDSG).
GeDIG: Gesundheitsdaten Gesetz Deutschland 2026
Das Gesetz für Daten und digitale Innovation im Gesundheitswesen (GeDIG) wurde am 15. Juli 2026 vom Bundeskabinett beschlossen. Für CISOs und Informationssicherheitsbeauftragte in Krankenhäusern bedeutet das: neue Pflichten, neue Datenflüsse und konkreter Handlungsbedarf bereits jetzt.
Hintergrund: Warum das GeDIG kommt
Die Digitalisierung des deutschen Gesundheitswesens schreitet regulatorisch seit Jahren voran – von der elektronischen Patientenakte (ePA) über das PDSG bis hin zu §391 SGB V, der seit Januar 2025 IT-Sicherheitspflichten für alle Krankenhäuser unabhängig von ihrer KRITIS-Relevanz festschreibt. Mit dem GeDIG zieht das Bundesgesundheitsministerium unter Staatssekretärin Nina Warken nun die nächste Reformstufe: Gesundheitsdaten sollen breiter, strukturierter und rechtssicher für Versorgung, Forschung und digitale Innovation nutzbar gemacht werden.
Die politische Botschaft lautet: „Wir schaffen die Grundlage für eine hochwertige und bezahlbare Gesundheitsversorgung in unserem Land." Für die Informationssicherheit im Krankenhaus ist diese Zielsetzung zweischneidig – mehr Datenverfügbarkeit bedeutet zwingend größere Angriffsflächen, komplexere Zugriffskonzepte und erhöhten Schutzbedarf für besonders sensible Daten nach Art. 9 DSGVO.
Zum Zeitpunkt der Drucklegung dieses Artikels liegt der vollständige Gesetzestext des GeDIG noch nicht als konsolidierte Fassung vor. Die folgenden Einschätzungen basieren auf der Kabinettsmeldung des Bundesgesundheitsministeriums vom 15. Juli 2026 sowie dem bekannten regulatorischen Kontext. Für rechtliche Beratung zu konkreten Umsetzungspflichten wenden Sie sich an einen auf Gesundheitsrecht spezialisierten Anwalt.
Was das GeDIG reguliert: Einordnung für die Praxis
Das GeDIG knüpft an bestehende Gesundheitsdaten-Infrastrukturen an und erweitert deren Rechtsrahmen. Aus dem bekannten regulatorischen Kontext lassen sich für Krankenhäuser und deren IT-Sicherheitsbeauftragte folgende Kernbereiche einordnen:
Sekundärnutzung von Gesundheitsdaten
Ein zentrales Anliegen des GeDIG ist die Sekundärnutzung von Gesundheitsdaten für Forschung, Versorgungssteuerung und digitale Innovation. Deutschland setzt damit das EU-Rahmenwerk des European Health Data Space (EHDS) national um, der seit Mai 2025 in Kraft ist. Der EHDS verpflichtet Mitgliedstaaten zur Schaffung nationaler Zugangsstellen für Sekundärdaten und zur Interoperabilität der Datenhaltung.
Für Krankenhäuser bedeutet das konkret: Daten, die bislang ausschließlich intern für Behandlungszwecke gespeichert wurden, können künftig – unter definierten Bedingungen und über geregelte Schnittstellen – an autorisierte Datennutzende weitergegeben werden. Die zugelassene Sekundärnutzung ist datenschutzrechtlich durch Art. 9 Abs. 2 lit. j DSGVO i.V.m. nationalen Öffnungsklauseln gedeckt, erfordert aber technisch-organisatorische Maßnahmen auf dem Stand der Technik.
Elektronische Patientenakte und erweiterte Datenzugriffe
Die ePA für alle gilt seit Januar 2025. Das GeDIG dürfte den Kreis der zugriffsberechtigten Leistungserbringer und Forschungseinrichtungen weiter strukturieren. Für ISBs in Krankenhäusern folgt daraus: bestehende Zugriffskonzepte für ePA-Schnittstellen müssen auf ihre Konformität mit den neuen Regelungen geprüft und ggf. angepasst werden.
Besonders relevant ist die Frage, welche Mitarbeitenden über welche Systeme auf ePA-Daten zugreifen dürfen. Rollenbasierte Zugriffsmodelle (RBAC), Protokollierung und regelmäßige Zugriffsreviews sind keine optionalen Best Practices, sondern Pflichtbestandteile eines normkonformen ISMS nach ISO 27001 und BSI IT-Grundschutz.
Digitale Gesundheitsanwendungen und Medizinprodukte
Das GeDIG steht in engem Zusammenhang mit der Weiterentwicklung des DiGA-Verzeichnisses und der Ausweitung digitaler Pflegeanwendungen (DiPA). Für Krankenhäuser, die DiGAs in Behandlungspfade integrieren oder als Verordner fungieren, entstehen neue Fragen zur Datenübertragung zwischen DiGA-Systemen und Krankenhausinformationssystemen (KIS).
Aus Sicht der IT-Sicherheit gilt: DiGAs sind zertifizierte Medizinprodukte nach MDR, aber ihre Sicherheitseigenschaften variieren erheblich. Eine strukturierte Risikoanalyse vor der Integration – analog zu den Anforderungen aus §391 SGB V und B3S Krankenhaus – ist unabdingbar.
Informationssicherheits-Implikationen: Was sich ändert
Vergrößerte Angriffsfläche durch Datenvernetzung
Mehr Vernetzung ist aus Angreiferperspektive schlicht mehr Angriffsfläche. Jede neue Datenschnittstelle – ob zur Forschungsinfrastruktur, zur Telematikinfrastruktur (TI) oder zu DiGA-Backends – ist ein potenzieller Eintrittsvektor für Ransomware, Datenexfiltration oder Supply-Chain-Angriffe.
Die Erfahrungen aus dokumentierten Krankenhausvorfällen der vergangenen Jahre – darunter Angriffe auf Kliniken in Düsseldorf, Wolfenbüttel und Garmisch-Partenkirchen – zeigen: Initial Access erfolgt typischerweise über exponierte Schnittstellen, kompromittierte Dienstleister oder unzureichend gesicherte Fernzugänge. Das GeDIG wird weitere dieser Zugangspunkte institutionalisieren.
Konkrete Maßnahmen: - Alle neuen Datenschnittstellen im Rahmen des GeDIG in die bestehende Netzwerksegmentierung einplanen - API-Sicherheit (Authentifizierung, Autorisierung, Rate Limiting, Logging) als Mindeststandard für GeDIG-konforme Anbindungen definieren - Drittanbieter und Datennutzende im Vendor-Risk-Management erfassen
Datenschutz-Folgenabschätzung als Pflicht
Jede neue Verarbeitung besonders sensibler Gesundheitsdaten nach Art. 9 DSGVO, die ein hohes Risiko für betroffene Personen aufweist, erfordert eine Datenschutz-Folgenabschätzung (DSFA) nach Art. 35 DSGVO. Die Aufsichtsbehörden haben in der Vergangenheit – u.a. die BfDI und diverse Landesdatenschutzbehörden – explizit darauf hingewiesen, dass Krankenhäuser hier systematisch nachbessern müssen.
Das GeDIG wird mit hoher Wahrscheinlichkeit neue Verarbeitungstätigkeiten auslösen, die DSFA-pflichtig sind. ISBs sollten gemeinsam mit dem Datenschutzbeauftragten (der nach DSGVO Art. 37 für Krankenhäuser ohnehin Pflicht ist) bereits jetzt Prozesse aufsetzen, um GeDIG-induzierte Verarbeitungen systematisch zu erfassen und zu bewerten.
Meldepflichten und Incident Response
Das NIS2-Umsetzungsgesetz (NIS2UmsuCG) gilt seit Oktober 2024. Krankenhäuser ab bestimmten Schwellenwerten fallen als „wichtige Einrichtungen" unter die Meldepflichten des §32 BSIG. Erhebliche Sicherheitsvorfälle müssen dem BSI innerhalb von 24 Stunden gemeldet werden, eine vollständige Meldung folgt innerhalb von 72 Stunden.
Das GeDIG vergrößert den potenziellen Schadensradius eines Sicherheitsvorfalls: Wenn Gesundheitsdaten nicht mehr nur intern gespeichert sind, sondern über standardisierte Schnittstellen fließen, kann ein Vorfall schneller eine Vielzahl von Betroffenen und Systemen betreffen – mit entsprechend höheren Anforderungen an die Incident-Response-Fähigkeit.
Empfehlung: Überprüfen Sie Ihren Incident-Response-Plan auf Szenarien, die GeDIG-spezifische Datenflüsse betreffen. Definieren Sie Eskalationswege für Vorfälle, die externe Datenzugriffe oder -abflüsse umfassen.
Handlungsfelder für ISBs und IT-Leitung
1. GeDIG-Readiness im ISMS verankern
Das GeDIG ist kein isoliertes Datenschutzthema – es hat direkte Auswirkungen auf Ihr ISMS. Integrieren Sie die Anforderungen des Gesetzes als eigenständiges Handlungsfeld in Ihr Risikoregister, sobald der Gesetzestext final vorliegt. Orientieren Sie sich dabei an:
- ISO 27001:2022, insbesondere A.5.23 (Informationssicherheit bei der Nutzung von Cloud-Diensten), A.8.24 (Kryptografie) und A.5.19 (Informationssicherheit in Lieferantenbeziehungen)
- ISO 27799 als gesundheitsspezifische Erweiterung
- B3S Krankenhaus in der jeweils aktuellen Fassung des Deutschen Krankenhausinstituts / der DKG
- BSI IT-Grundschutz, insbesondere die Bausteine zur Datensicherung, Netztrennung und Zugangskontrolle
2. Datenkatalog und Asset-Management aktualisieren
Gesundheitsdaten nach Art. 9 DSGVO müssen vollständig erfasst sein, bevor neue Nutzungsszenarien erschlossen werden. Prüfen Sie:
- Sind alle Systeme, die Gesundheitsdaten verarbeiten, im Asset-Inventar erfasst?
- Ist der Schutzbedarf dieser Systeme aktuell klassifiziert?
- Gibt es einen vollständigen Verarbeitungsverzeichnis-Eintrag nach Art. 30 DSGVO für alle betroffenen Prozesse?
3. Drittanbieter-Management verschärfen
GeDIG-konforme Datennutzung wird neue Dienstleister und Auftragsverarbeiter ins Spiel bringen – Forschungsinfrastrukturen, Plattformbetreiber, Analysedienste. Jede dieser Beziehungen erfordert:
- Einen Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO
- Eine Bewertung der technisch-organisatorischen Maßnahmen des Dienstleisters (TOM-Prüfung)
- Integration in das kontinuierliche Vendor-Risk-Monitoring
4. Awareness-Maßnahmen für klinisches Personal
Die Sekundärnutzung von Gesundheitsdaten und neue Datenzugriffsrechte müssen auch im klinischen Alltag kommuniziert werden. Ärztliches und pflegerisches Personal muss verstehen, welche Daten unter welchen Bedingungen weitergegeben werden – und wann sie eine potenzielle Datenpanne melden müssen.
Nutzen Sie GeDIG als Anlass für eine aktualisierte Security-Awareness-Kampagne, die datenschutzrechtliche Aspekte mit konkreten Handlungsanweisungen verbindet.
Zeitplan und nächste Schritte
Der Kabinettsbeschluss vom 15. Juli 2026 ist der Startschuss, nicht das Ziel. Nach dem Kabinettsbeschluss folgt das parlamentarische Verfahren im Bundestag. Erfahrungsgemäß ist mit einer Verabschiedung und einem definierten Inkrafttreten in den kommenden Monaten zu rechnen. Umsetzungsfristen für spezifische technische Anforderungen werden typischerweise im Gesetzestext oder in nachgeordneten Rechtsverordnungen geregelt.
Empfohlener Sofort-Fahrplan:
| Zeitraum | Maßnahme |
|---|---|
| Jetzt | Gesetzgebungsverfahren beobachten, Gesetzestext beschaffen sobald verfügbar |
| Q3 2026 | Gap-Analyse GeDIG vs. bestehendes ISMS und Datenschutzkonzept |
| Q4 2026 | DSFA-Prozesse für neue Verarbeitungstätigkeiten vorbereiten |
| Q1 2027 | Drittanbieter-Verträge auf GeDIG-Konformität prüfen |
| Laufend | BSI-Sicherheitsmitteilungen und BMG-Verlautbarungen zum GeDIG verfolgen |
Fazit
Das Gesundheitsdaten Gesetz Deutschland (GeDIG) ist ein regulatorischer Meilenstein, der die Digitalisierungsstrategie des Bundesgesundheitsministeriums konsequent fortsetzt. Für CISOs und Informationssicherheitsbeauftragte in Krankenhäusern bedeutet es: mehr Datenverfügbarkeit, mehr Vernetzung, mehr Verantwortung.
Die gute Nachricht: Wer §391 SGB V, NIS2UmsuCG und B3S Krankenhaus bereits ernsthaft umgesetzt hat, verfügt über ein belastbares Fundament. GeDIG erfordert keine Revolution des bestehenden ISMS – aber eine systematische Erweiterung um neue Datenflüsse, Schnittstellen und Drittparteien.
Nutzen Sie die Zeit bis zum Inkrafttreten, um Ihr ISMS auf die neuen Anforderungen vorzubereiten. Starten Sie mit einer strukturierten Standortbestimmung.
➡️ Kostenfreies ISMS-Assessment für Krankenhäuser starten – in 15 Minuten Ihren ak