KRITIS im Gesundheitswesen: Was §75c SGB V von IT-Sicherheitsbeauftragten verlangt
Prüfzyklen laufen, Ressourcen sind knapp, und Nachweise müssen über mehrere Häuser hinweg konsolidiert werden. Was §75c SGB V praktisch bedeutet — und wo die eigentliche Arbeit liegt.
20. September 2026
Für Informationssicherheits- und Risikobeauftragte in Klinikverbünden ist die Anforderung selbst meist nicht das Problem. §75c SGB V verlangt Nachweise nach dem Stand der Technik — das ist bekannt, oft bereits Teil laufender Prüfzyklen. Das eigentliche Problem zeigt sich erst, wenn diese Nachweise über mehrere Häuser eines Trägers konsolidiert werden müssen.
Wo die Arbeit wirklich liegt
Ein einzelnes Krankenhaus kann seine Nachweise mit überschaubarem Aufwand pflegen. Ein Klinikverbund mit mehreren Standorten steht vor einer anderen Aufgabe: Jedes Haus hat eigene Prozesse, eigene Verantwortliche, teils eigene IT-Landschaften — und am Ende soll ein konsolidierter Nachweis stehen, der bei einer Prüfung oder nach einer Trägerfusion sofort belastbar ist.
Genau hier wird aus einer eigentlich klaren Anforderung ein Konsolidierungsproblem. Externe Berater sind für diese Aufgabe oft teuer und nicht dauerhaft verfügbar — sie liefern zu einem Stichtag einen Zwischenstand, der Tage später schon wieder veraltet ist, wenn sich in einem der Häuser etwas ändert.
Was ein zentrales Managementsystem hier leistet
PRISM bildet §75c-relevante Nachweise gemeinsam mit ISO 27001 in einem Managementsystem ab, das über mehrere Standorte hinweg funktioniert — statt einer Excel-Liste pro Haus, die manuell zusammengeführt werden muss. Ein Control wird einmal bewertet und lässt sich über die Crosswalk-Funktion auf mehrere angebundene Standards gleichzeitig anwenden, statt für jede Anforderung eine eigene Nachweiskette zu pflegen.
Für Träger, die mehrere Häuser verantworten, bedeutet das: ein Dashboard für den Gesamtstatus, statt einer Sammlung von Einzeldokumenten, die vor jeder Prüfung erst zusammengetragen werden müssen.
Kliniken, die PRISM bereits einsetzen, finden Sie unter /kritis — dort auch mit weiterführenden Informationen zu Server-Standort Deutschland und Auftragsverarbeitung.
Was das für Sie bedeutet
Ob Prüfungstermin, Trägerfusion oder ein Vorfall im Umfeld der Auslöser ist: Der erste sinnvolle Schritt ist nicht ein neues Beratungsprojekt pro Haus, sondern die Frage, wie viele der bereits vorhandenen Nachweise sich in einem einzigen System konsolidieren lassen.
Sie verantworten die Informationssicherheit über mehrere Standorte? Im Erstgespräch schauen wir uns Ihre aktuelle Nachweis-Situation gemeinsam an.