Cyberversicherung im Gesundheitswesen

Warum Cyberrisiken im Gesundheitswesen besonders kritisch sind

Gesundheitseinrichtungen sind stark von digitalen Prozessen abhängig. Ein Cybervorfall kann gleichzeitig Patientenaufnahme, Diagnostik, Dokumentation, Terminsteuerung, Abrechnung, Kommunikation, Medizintechnik und externe Dienstleister betreffen.

Dadurch kann aus einem technischen IT-Vorfall sehr schnell ein organisatorisches Versorgungsproblem werden. Eine Cyberversicherung sollte deshalb nicht isoliert betrachtet werden, sondern zusammen mit Notbetrieb, Business Continuity, Incident Response und Wiederanlaufplanung.

Versicherung ersetzt keine Informationssicherheit. Sie kann jedoch definierte finanzielle Folgen übertragen und im Ernstfall den Zugang zu spezialisierten Forensik-, Rechts-, Krisenkommunikations- und Wiederherstellungsleistungen organisieren.

Welche Schäden und Leistungen können relevant sein?

Der konkrete Schutz hängt immer vom gewählten Versicherer und Bedingungswerk ab. Je nach Vertrag können unter anderem folgende Bereiche versichert sein:

• IT-Forensik und Incident Response
• Wiederherstellung von Daten, Systemen und Konfigurationen
• Betriebsunterbrechung und zusätzliche Aufwendungen
• Mehrkosten für Notbetrieb und temporäre Ersatzlösungen
• Krisenkommunikation und spezialisierte Rechtsberatung
• versicherte Datenschutz- und Haftpflichtansprüche
• Cyber-Erpressung und versicherbare Krisenkosten
• Rückwirkungsschäden durch den Ausfall bestimmter IT-, Cloud- oder sonstiger Dienstleister

Bei Gesundheitseinrichtungen sollte zusätzlich geprüft werden, ob besondere technische Abhängigkeiten und betriebliche Folgen ausreichend in der Deckung berücksichtigt sind.

NIS2 und NISG 2026 im Gesundheitswesen

Das österreichische NISG 2026 führt das Gesundheitswesen in Anlage 1 als Sektor mit hoher Kritikalität. Genannt werden dort unter anderem Gesundheitsdienstleister im Sinne der Richtlinie 2011/24/EU sowie weitere Einrichtungen des Gesundheits- und Pharmabereichs.

Ob eine konkrete Organisation als wesentliche oder wichtige Einrichtung gilt, richtet sich anschließend nach den Einstufungsregeln der §§ 24 und 25 NISG 2026; zusätzlich sind größenunabhängige Einstufungen nach § 26 möglich. Damit ist nicht jede kleine Arztpraxis automatisch NISG-pflichtig.

Für wesentliche und wichtige Einrichtungen des Gesundheitssektors ist das Austrian HealthCERT als sektorspezifisches Computer-Notfallteam vorgesehen. Die gesetzlichen Pflichten und eine Cyberversicherung sind dennoch getrennte Ebenen: Versicherung ersetzt weder Risikomanagement noch Melde- oder Governancepflichten.

Versicherbarkeit: Was vor der Ausschreibung geklärt werden sollte

• Mehrfaktor-Authentifizierung für externe und privilegierte Zugänge
• belastbare, getrennte oder unveränderbare Backups
• geregeltes Patch- und Schwachstellenmanagement
• EDR/MDR oder vergleichbare Erkennungs- und Reaktionsmechanismen
• Administrator- und Berechtigungskonzepte
• Netzsegmentierung und Umgang mit medizinischen beziehungsweise schwer aktualisierbaren Systemen
• Notfallkontakte, Wiederanlauf- und Eskalationsprozesse
• Transparenz über kritische IT-, Cloud-, Software- und Medizintechnik-Dienstleister

Die Anforderungen unterscheiden sich je nach Versicherer und Risikoprofil. Unser Cyber Readiness Ansatz kann die von außen erkennbare Angriffsfläche ergänzend einordnen, ersetzt aber weder eine interne Sicherheitsprüfung noch eine NIS2-Compliance-Prüfung.

Worauf beim Marktvergleich geachtet werden sollte

• Versicherungssumme und Selbstbehalt passend zum realistischen Betriebsunterbrechungs- und Wiederherstellungsschaden
• Definition der Betriebsunterbrechung und Wartezeiten
• Deckung von Mehrkosten für Notbetrieb und Ersatzprozesse
• Rückwirkungsschäden bei IT-, Cloud-, Software- und sonstigen Dienstleistern
• Daten- und Systemwiederherstellung
• Verfügbarkeit und Qualität der Incident-Response-Partner
• Haftpflicht- und Datenschutzbausteine
• Sublimits und Ausschlüsse
• vertragliche Sicherheitsanforderungen und Obliegenheiten
• Abgrenzung zu Sach-, Technik-, Elektronik- oder Medizintechnikversicherungen

Häufige Fragen zur Cyberversicherung im Gesundheitswesen

Sind alle Krankenhäuser von NIS2 beziehungsweise dem NISG 2026 betroffen?

Das Gesundheitswesen ist in Anlage 1 NISG 2026 als Sektor mit hoher Kritikalität erfasst. Die konkrete Einstufung als wesentliche oder wichtige Einrichtung richtet sich aber nach den gesetzlichen Kriterien der §§ 24 bis 26 und muss für den jeweiligen Rechtsträger geprüft werden.

Ist jede Arztpraxis automatisch NISG-pflichtig?

Nein. Die Einordnung hängt unter anderem von Art der Einrichtung, Unternehmensgröße und möglichen Sondertatbeständen ab.

Sind Patientendaten in einer Cyberversicherung versichert?

Eine Cyberversicherung versichert nicht die Daten selbst, kann aber je nach Vertrag bestimmte Kosten und Haftpflichtfolgen eines versicherten Datenschutz- oder Cybervorfalls abdecken.

Ist der Ausfall von Medizintechnik automatisch versichert?

Nein. Entscheidend sind Ursache und Bedingungswerk. Ein Cyberereignis, ein technischer Defekt oder ein Herstellerschaden können unterschiedlichen Versicherungsbereichen zuzuordnen sein.

Was passiert, wenn ein externer IT-Dienstleister ausfällt?

Rückwirkungsschäden können je nach Vertrag gedeckt sein. Dienstleisterdefinition, Sublimits, Wartezeiten und auslösende Ereignisse unterscheiden sich jedoch deutlich.

Warum ist Incident Response für Gesundheitseinrichtungen besonders wichtig?

Weil technische Wiederherstellung, Versorgungssicherheit, Datenschutz, Kommunikation und mögliche regulatorische Meldungen parallel organisiert werden müssen. Ein vorbereiteter Krisenprozess reduziert Reibungsverluste.

Offizielle Grundlagen

• Anlage 1 NISG 2026 – Sektoren mit hoher Kritikalität (RIS)
• § 24 NISG 2026 – wesentliche und wichtige Einrichtungen (RIS)
• § 26 NISG 2026 – größenunabhängige Einstufung (RIS)
• § 8a Gesundheitstelematikgesetz 2012 – Austrian HealthCERT (RIS)

Die Inhalte dienen der fachlichen Orientierung und ersetzen keine Rechtsberatung.

Fachliche Verantwortung

Michael Samselnig beschäftigt sich als Versicherungsmakler mit Cyberversicherung, Cyber-Risikomanagement, NIS2, Business Continuity und Incident Response – auch für komplexe Organisationen im Gesundheitswesen.

Für allgemeine Grundlagen zur Cyberversicherung siehe auch unseren Leitfaden Cyberversicherung in Österreich.