Dieses Glossar erklärt die wichtigsten Begriffe rund um Informationssicherheit und Regulierung im Gesundheitswesen — für Deutschland, Österreich und die Schweiz. Jede Definition beginnt mit einer klaren Kernaussage, gefolgt von einer kurzen Einordnung für den Klinikalltag und, wo vorhanden, dem Link auf den vertiefenden Fachartikel.

NIS2

NIS2 ist die EU-Richtlinie (EU) 2022/2555 über Massnahmen für ein hohes gemeinsames Cybersicherheitsniveau in der Union. Sie erweitert den Kreis der verpflichteten Einrichtungen gegenüber der ersten NIS-Richtlinie deutlich; das Gesundheitswesen zählt zu den erfassten Sektoren. In Deutschland wird die Richtlinie durch das NIS2-Umsetzungsgesetz mit Änderungen im BSIG in nationales Recht überführt — die zentralen Pflichten für Krankenhäuser stehen in § 30 BSIG.

§ 30 BSIG

§ 30 BSIG ist die Vorschrift des deutschen BSI-Gesetzes, die besonders wichtige und wichtige Einrichtungen zu Risikomanagementmassnahmen der Cybersicherheit verpflichtet. Sie setzt zentrale Anforderungen der NIS2-Richtlinie um und betrifft Krankenhäuser oberhalb der gesetzlichen Schwellenwerte. Eine strukturierte Übersicht der zehn Pflichtbereiche bietet der Beitrag NIS2-Massnahmen für Krankenhäuser nach § 30 BSIG.

§ 391 SGB V

§ 391 SGB V ist die Vorschrift des Fünften Sozialgesetzbuchs, die Krankenhäuser in Deutschland zu angemessenen organisatorischen und technischen Vorkehrungen zum Schutz ihrer informationstechnischen Systeme verpflichtet. Die Regelung führt den früheren § 75c SGB V fort und besteht neben den NIS2-Pflichten des BSIG. Was wofür gilt, klärt der Beitrag § 391 SGB V vs. NIS2.

§ 75c SGB V

§ 75c SGB V war die Vorgängervorschrift von § 391 SGB V zur IT-Sicherheit in deutschen Krankenhäusern. Der Regelungsinhalt wurde in § 391 SGB V überführt; in älteren Dokumenten, Audits und B3S-Bezügen taucht die alte Paragraphennummer weiterhin auf. Details zur Abgrenzung im Beitrag § 391 SGB V vs. NIS2.

B3S

B3S ist die Abkürzung für «Branchenspezifischer Sicherheitsstandard» — von Branchenverbänden erarbeitete und vom BSI als geeignet festgestellte Sicherheitsstandards für KRITIS-Betreiber. Für den Krankenhausbereich hat die Deutsche Krankenhausgesellschaft (DKG) den B3S Krankenhaus veröffentlicht, der die gesetzlichen IT-Sicherheitsanforderungen mit konkreten Umsetzungshinweisen unterlegt.

KRITIS

KRITIS ist die in Deutschland gebräuchliche Abkürzung für Kritische Infrastrukturen: Einrichtungen, deren Ausfall erhebliche Folgen für das Gemeinwesen hätte. Krankenhäuser gelten nach der BSI-Kritisverordnung ab 30 000 vollstationären Fällen pro Jahr als KRITIS-Betreiber und unterliegen dann zusätzlichen Nachweis- und Meldepflichten gegenüber dem BSI.

ISMS

Ein ISMS (Informationssicherheits-Managementsystem) ist der systematische Rahmen aus Leitlinien, Prozessen, Rollen und Kontrollen, mit dem eine Organisation Informationssicherheit steuert und kontinuierlich verbessert. Für Kliniken ist das ISMS die Grundlage, um Anforderungen aus NIS2, B3S und ISO 27001 nachweisbar umzusetzen — vom Risikomanagement bis zum Vorfallsprozess.

ISO/IEC 27001

ISO/IEC 27001 ist die internationale Norm für Informationssicherheits-Managementsysteme, nach der sich Organisationen zertifizieren lassen können. Eine Zertifizierung belegt den systematischen Umgang mit Informationssicherheit und deckt viele regulatorische Anforderungen ab — ersetzt sie aber nicht vollständig. Den Weg zur Zertifizierung im Spital beschreibt der Beitrag ISO-27001-Zertifizierung im Spital.

revDSG / nDSG

Das revDSG (revidiertes Datenschutzgesetz, auch nDSG genannt) ist das seit dem 1. September 2023 geltende Schweizer Datenschutzgesetz. Gesundheitsdaten zählen darin zu den besonders schützenswerten Personendaten und unterliegen erhöhten Anforderungen — für Spitäler, Labore und Praxen ein zentraler Rahmen neben den Vorgaben zur Informationssicherheit.

EPD / EPDG

Das EPD (elektronisches Patientendossier) ist die digitale Sammlung behandlungsrelevanter Dokumente einer Patientin oder eines Patienten in der Schweiz; das EPDG ist das zugehörige Bundesgesetz über das elektronische Patientendossier. Wer sich in welcher Form anschliessen muss, hängt von der Art der Einrichtung ab — eine Einordnung gibt der Beitrag EPD-Anschlusspflicht Schweiz: Wen betrifft sie?

ISG

Das ISG ist das Informationssicherheitsgesetz des Schweizer Bundes und bildet unter anderem die gesetzliche Grundlage für die Meldepflicht bei Cyberangriffen auf kritische Infrastrukturen. Diese Meldepflicht gilt seit dem 1. April 2025; zuständige Meldestelle ist das BACS. Was das konkret für Spitäler bedeutet, erläutert der Beitrag BACS-Meldepflicht für Cyberangriffe.

BACS

Das BACS (Bundesamt für Cybersicherheit) ist die für Cybersicherheit zuständige Bundesbehörde der Schweiz und war bis Ende 2023 als NCSC (Nationales Zentrum für Cybersicherheit) bekannt. Es nimmt unter anderem die Meldungen über Cyberangriffe auf kritische Infrastrukturen entgegen und publiziert Warnungen und Empfehlungen — siehe BACS-Meldepflicht für Cyberangriffe.

BIA

Eine BIA (Business Impact Analysis, Geschäftsauswirkungsanalyse) ist die strukturierte Untersuchung, welche Folgen der Ausfall einzelner Prozesse, Systeme oder Dienstleister für eine Organisation hat. Im Krankenhaus bildet die BIA die Grundlage für Business-Continuity-Planung und Notfallkonzepte — etwa für die Frage, wie lange die Notaufnahme ohne KIS arbeitsfähig bleibt.

CVE

CVE (Common Vulnerabilities and Exposures) ist das internationale Referenzsystem für öffentlich bekannte IT-Sicherheitslücken, bei dem jede Schwachstelle eine eindeutige Kennung erhält — zum Beispiel CVE-2026-12345. Kliniken nutzen CVE-Kennungen, um Herstellerwarnungen, Scanner-Ergebnisse und Patches eindeutig zuzuordnen. Kuratierte, klinik-relevante Schwachstellen finden Sie im Healthcare Schwachstellen-Radar.

CVSS

CVSS (Common Vulnerability Scoring System) ist ein offener Standard zur Bewertung des Schweregrads von Sicherheitslücken auf einer Skala von 0,0 bis 10,0. Werte ab 9,0 gelten als kritisch. Der CVSS-Score allein ersetzt keine Priorisierung — entscheidend ist die Kombination mit aktiver Ausnutzung und der Relevanz für die eigene Infrastruktur, wie sie der Schwachstellen-Radar abbildet.

CISA KEV

Der CISA-KEV-Katalog (Known Exploited Vulnerabilities) ist ein von der US-Cybersicherheitsbehörde CISA geführtes Verzeichnis von Schwachstellen, deren aktive Ausnutzung nachgewiesen ist. Für die Patch-Priorisierung ist der KEV-Status eines der stärksten Signale: Was dort gelistet ist, wird real angegriffen. Im Schwachstellen-Radar sind KEV-Einträge entsprechend markiert.

KIS

Ein KIS (Krankenhausinformationssystem) ist das zentrale IT-System eines Krankenhauses für administrative und klinische Prozesse — von der Patientenaufnahme über die Behandlungsdokumentation bis zur Abrechnung. Wegen dieser zentralen Rolle ist das KIS eines der kritischsten Assets jeder Klinik-IT und ein bevorzugtes Ziel von Ransomware-Angriffen.

LIS

Ein LIS (Laborinformationssystem) ist das IT-System zur Steuerung von Laboraufträgen, Analysegeräten und Befundübermittlung. Es verbindet Klinik- oder Praxissysteme mit den Analysestrassen des Labors; ein Ausfall verzögert Diagnostik und damit unmittelbar die Patientenversorgung.

PACS

Ein PACS (Picture Archiving and Communication System) ist das System zur Archivierung und Verteilung medizinischer Bilddaten, etwa aus Radiologie und Kardiologie. PACS-Installationen sind langlebig, oft mit älteren Protokollen erreichbar und gehören deshalb in jede Schwachstellen- und Segmentierungsbetrachtung der Klinik-IT.

RIS

Ein RIS (Radiologieinformationssystem) ist das IT-System zur Organisation des radiologischen Arbeitsablaufs: Terminplanung, Untersuchungssteuerung und Befundverwaltung. Es arbeitet eng mit dem PACS zusammen — fällt eines der beiden Systeme aus, steht in der Regel der gesamte radiologische Workflow.

IEC 62443

IEC 62443 ist eine internationale Normenreihe für die Cybersicherheit industrieller Automatisierungs- und Steuerungssysteme (OT-Sicherheit). Im Klinikumfeld ist sie relevant für Gebäudeleittechnik, Aufzüge, Kälte- und Lüftungsanlagen sowie vernetzte Medizintechnik — Bereiche, die klassische IT-Sicherheitsstandards nur unvollständig abdecken.

MDR

Die MDR (Medical Device Regulation, Verordnung (EU) 2017/745) ist die EU-Verordnung über Medizinprodukte und regelt Anforderungen an deren Sicherheit und Leistungsfähigkeit — einschliesslich Software, die als Medizinprodukt gilt. Für Kliniken bedeutet das: Updates und Sicherheitsmassnahmen an Medizinprodukten sind mit dem Hersteller abzustimmen, eigenmächtige Eingriffe können die Konformität gefährden.

TI / gematik

Die TI (Telematikinfrastruktur) ist die zentrale Plattform für den sicheren Datenaustausch im deutschen Gesundheitswesen — darüber laufen Anwendungen wie elektronische Patientenakte, E-Rezept und KIM (Kommunikation im Medizinwesen). Für Aufbau und Weiterentwicklung ist die gematik verantwortlich. Der TI-Anschluss macht Kliniken und Praxen zugleich zu Teilnehmern einer kritischen Infrastruktur mit eigenen Sicherheitsvorgaben.

Der Beitrag dient der allgemeinen Information und stellt keine Rechts- oder Beratungsdienstleistung dar. Für die Umsetzung in der eigenen Organisation sollten Sie einen Fachanwalt bzw. Ihren Datenschutzbeauftragten konsultieren.

Stand: 22. Juli 2026. Dieses Glossar wird laufend erweitert.