Sofortprogramm Cybersicherheit für Krankenhäuser
Jetzt IT-Sicherheitsprojekte vorbereiten
Cyberangriffe in Krankenhäusern bedrohen nicht nur Daten und Systeme, sondern unmittelbar die Verfügbarkeit medizinischer Versorgung. Mit dem geplanten Sofortprogramm Cybersicherheit im Gesundheitswesen will das Bundesministerium für Gesundheit (BMG) die digitale Resilienz von Krankenhäusern und weiteren versorgungskritischen Einrichtungen gezielt stärken und zugleich die Umsetzung relevanter Anforderungen aus NIS-2 unterstützen. Im Mittelpunkt stehen kurzfristig umsetzbare, wirksame und messbare Verbesserungen der IT-Sicherheit.
Warten Sie nicht auf den Förderaufruf: Schaffen Sie jetzt Transparenz über Ihren IT-Sicherheitsbedarf, priorisieren Sie geeignete Vorhaben und entwickeln Sie eine belastbare Projektpipeline. SVA unterstützt Sie mit einer Informations-Sicherheits-Status-Analyse (ISSA).
Was ist das Sofortprogramm Cybersicherheit im Gesundheitswesen?
Das BMG plant eine Förderung von bis zu 1,84 Milliarden Euro in zwei getrennten Programmteilen. Für zugelassene Krankenhäuser ist eine gesetzlich geregelte Krankenhausförderung vorgesehen. Weitere systemrelevante Einrichtungen entlang des akutstationären Versorgungspfades sollen über ein klassisches Förderverfahren Zuschüsse beantragen können.
- Teil A – Krankenhausförderung: für zugelassene Krankenhäuser; vorgesehen ist eine Bedarfsmeldung über gesetzlich geregelte Strukturen statt eines klassischen Förderantrags.
- Teil B – Sofortprogramm: für weitere systemrelevante Gesundheitseinrichtungen, darunter medizinische Versorgungszentren, krankenhausversorgende Apotheken, medizinische Labore, radiologische Kooperationen sowie versorgungskritische Logistik- und Blut- beziehungsweise Plasmaversorgungseinrichtungen.
Welche Cyber-Security-Maßnahmen könnten förderfähig sein?
Ein abschließender Maßnahmenkatalog liegt noch nicht vor. Nach der Leistungsbeschreibung sollen sich die Förderinhalte insbesondere an NIS-2 sowie an sektorspezifischen Anforderungen aus BSI-Gesetz, B3S und SGB V orientieren. Daraus ergeben sich voraussichtlich folgende Handlungsfelder:
- Governance und Organisation: ISMS, Risiko- und Lieferantenmanagement, Rollen, Richtlinien und Verantwortlichkeiten
- Technische Prävention: Asset- und Schwachstellenmanagement, Netzwerksegmentierung, Identity & Access Management, sichere Konfiguration und Endgeräteschutz
- Erkennung und Reaktion: Security Operations Center (SOC), SIEM, XDR, Monitoring, Incident Response und Meldeprozesse
- Resilienz und Wiederanlauf: Business Continuity Management, Backup & Recovery, Cyber Recovery, Notfallplanung und Wiederanlaufübungen
- Zero Trust: konsequente Prüfung von Identitäten, Geräten und Zugriffen sowie Mikrosegmentierung kritischer Umgebungen
- Sektorspezifische Systeme: Absicherung von Medizintechnik, Krankenhausinformationssystemen, Labor-, Apotheken- und Radiologiesystemen sowie kritischen Schnittstellen
- Security Awareness: zielgruppengerechte Schulungen und nachhaltige Sensibilisierung der Beschäftigten
Warum Sie jetzt mit der Vorbereitung beginnen sollten
Förderfähige Projekte entstehen nicht erst mit dem Ausfüllen eines Formulars. Entscheidend ist, den eigenen Reifegrad frühzeitig zu kennen, kritische Versorgungsprozesse zu priorisieren und aus identifizierten Risiken umsetzbare Vorhaben mit klaren Zielen, Kosten und Erfolgsindikatoren abzuleiten.
- Ausgangslage erfassen: Sicherheitsreifegrad, Assets, Schwachstellen, Risiken und Wiederanlauffähigkeit bewerten.
- Versorgungskritikalität dokumentieren: kritische Leistungen, Abhängigkeiten, Systeme und maximal tolerierbare Ausfallzeiten beschreiben.
- Maßnahmen priorisieren: zwei bis vier Vorhaben auswählen, die konkrete Risiken reduzieren und einen messbaren Reifegradgewinn ermöglichen.
- Projektideen strukturieren: Ziele, Arbeitspakete, Zeitplan, Ressourcen, Kosten, Abhängigkeiten und Kennzahlen festhalten.
- Nachweisfähigkeit vorbereiten: Governance, Dokumentation, Reifegradmessung, Berichtswesen und Mittelverwendung organisatorisch absichern.
- Hersteller und Lösungen einordnen: Geeignete Technologien und Lösungsansätze anhand der priorisierten Anforderungen bewerten und zu einer zukunftsfähigen Security-Architektur zusammenführen.
Von der Reifegradbestimmung zum Fahrplan für digitale Resilienz
Die Informations-Sicherheits-Status-Analyse (ISSA) schafft eine fundierte Grundlage für Ihre weitere Vorbereitung. Mithilfe einer bewährten Methodik aus Workshops, Interviews und Dokumentenanalysen bewertet SVA Ihre IT-Sicherheit im Kontext der klinischen und organisatorischen Anforderungen.
- Einordnung der relevanten Programm- und regulatorischen Anforderungen
- Überblick über Sicherheitsreifegrad, wesentliche Risiken und kritische Abhängigkeiten
- Priorisierte Handlungsfelder mit Fokus auf schnelle und nachhaltige Wirksamkeit
- Erste förderfähige Projektideen als strukturierte Projektpipeline
- Empfehlungen für nächste Schritte, Verantwortlichkeiten und Umsetzungsplanung
Ihr Nutzen: Sie gewinnen frühzeitig Klarheit darüber, wo der größte Handlungsbedarf besteht, welche Vorhaben sich sinnvoll bündeln lassen und welche Grundlagen für eine spätere Bedarfsmeldung oder Antragstellung noch fehlen.
Von der Analyse bis zur Umsetzung: Cyber Security und Resilienz für das Krankenhaus
- Security Operations Center: Bedrohungen frühzeitig erkennen und umgehend darauf reagieren
- Security Architecture: Netzwerksegmentierung, Endpunkte, Identitäten, Cloud- und Plattformdienste ganzheitlich schützen
- Compliance-Beratung (NIS-2, KRITIS/B3S): Anforderungen prüfen und gezielte Maßnahmen ableiten
- NIS-2-Management-Schulung: NIS-2 verstehen. Risiken erkennen. Verantwortung wahrnehmen
- Zero Trust Security: Zugriffe kontextbezogen absichern und laterale Bewegungen im Netzwerk begrenzen
- Incident Response: Rollen, Abläufe und technische Maßnahmen für den Sicherheitsvorfall etablieren
- Business Continuity Management: kritische Prozesse absichern und Handlungsfähigkeit im Krisenfall erhalten
- Backup & Recovery: Daten und Systeme resilient sichern und die Wiederherstellung regelmäßig testen
- IoMT-Security: vernetzte medizinische Geräte, klinische Systeme und ihre Kommunikation transparent erfassen, segmentieren und vor Cyberrisiken schützen
- Modern Workplace Security: Endgeräte, Anwendungen, Identitäten und Daten ganzheitlich schützen
- Identity & Access Management (IAM): Identitäten und Zugriffsrechte zentral verwalten und absichern
Jetzt die Grundlage für förderfähige Cyber-Security-Projekte schaffen
Nutzen Sie die Zeit vor dem Förderstart: Analysieren Sie Ihren IT-Sicherheitsbedarf, priorisieren Sie wirksame Maßnahmen und bereiten Sie belastbare Projektideen vor. SVA unterstützt Sie dabei mit Healthcare- und Cyber-Security-Expertise aus einer Hand.
Häufige Fragen zum Sofortprogramm Cybersicherheit
Wann startet die Förderung für Krankenhäuser?
Nach aktuellem Planungsstand könnten erste Bedarfsmeldungen beziehungsweise Anträge ab Ende 2026 oder Anfang 2027 möglich werden. Der genaue Zeitplan ist noch nicht verbindlich veröffentlicht.
Wer soll gefördert werden?
Teil A richtet sich an zugelassene Krankenhäuser. Teil B adressiert weitere systemrelevante Einrichtungen entlang des unmittelbaren stationären Akutversorgungspfades. Der endgültige Kreis der Berechtigten wird erst mit den verbindlichen Regelungen feststehen.
Welche Maßnahmen sind förderfähig?
Ein verbindlicher Maßnahmenkatalog liegt noch nicht vor. Erwartet wird eine Orientierung an NIS-2 und sektorspezifischen Vorgaben. Voraussichtliche Themen sind unter anderem Governance, Schwachstellenmanagement, Netzwerksegmentierung, SOC, Incident Response, Backup & Recovery, Business Continuity Management und Zero Trust.
Warum ist eine frühe Vorbereitung wichtig?
Eine belastbare Bedarfsmeldung oder Antragstellung erfordert mehr als eine Produktliste. Krankenhäuser sollten Risiken, Kritikalität, Ziele, Arbeitspakete, Kosten, Ressourcen und Erfolgsindikatoren nachvollziehbar dokumentieren. Dafür braucht es Zeit und die Zusammenarbeit mehrerer Fachbereiche.
Dürfen Projekte schon vor dem Förderaufruf beauftragt werden?
Vor Veröffentlichung der verbindlichen Förderbedingungen sollten keine irreversiblen Beauftragungen ausgelöst werden, die als förderschädlicher vorzeitiger Maßnahmenbeginn gelten könnten. Analyse, Priorisierung und Projektplanung können jedoch bereits vorbereitet werden.
Stand: Oktober 2026. Die dargestellten Programmdetails basieren auf der BMG-Leistungsbeschreibung vom 4. Juni 2026 und dem derzeitigen Planungsstand. Sie ersetzen keine Förderrichtlinie, keinen Förderaufruf und keine rechtliche Beratung.
Sie haben Fragen?
Falls Sie mehr zu diesem Thema erfahren möchten, freue ich mich über Ihre Kontaktaufnahme.
Zum Kontaktformular
