Das Bundesamt für Bevölkerungsschutz und Katastrophenhilfe (BBK) stellt mit dem Leitfaden „Schutz Kritischer Infrastruktur: Risikomanagement im Krankenhaus“ eine umfangreiche Arbeitshilfe für Krankenhäuser zur Verfügung. Ergänzend gibt es eine kompakte Management-Kurzfassung.
Die beiden Dokumente können beim BBK kostenlos heruntergeladen werden:
Management-Kurzfassung:
https://www.bbk.bund.de/SharedDocs/Downloads/DE/Mediathek/Publikationen/PiB/PiB-02-risikoman-krankh-kurzfassung.pdf?__blob=publicationFile&v=5
Ausführlicher Leitfaden:
https://www.bbk.bund.de/SharedDocs/Downloads/DE/Mediathek/Publikationen/PiB/PiB-02-risikoman-krankh.pdf?__blob=publicationFile&v=10
Einordnung
Auch wenn die BBK-Veröffentlichungen deutlich älter sind als die heutige KRITIS-Gesetzgebung, ist die darin beschriebene Methodik weiterhin aktuell.
Der Grundgedanke ist einfach: Zuerst muss bekannt sein, welche Leistungen besonders kritisch sind, wovon sie abhängen und welche Auswirkungen ein Ausfall hätte. Erst danach können geeignete Schutz- und Resilienzmaßnahmen festgelegt werden.
Genau dieser Ansatz findet sich heute auch im KRITIS-Dachgesetz wieder. Für Betreiber kritischer Anlagen werden Risikoanalysen und Risikobewertungen, angemessene technische, bauliche und organisatorische Resilienzmaßnahmen sowie ein Resilienzplan vorgesehen.
Die BBK-Dokumente können deshalb eine hilfreiche methodische Grundlage sein, um sich bereits heute auf diese Anforderungen vorzubereiten.
Kritische Leistungen und Abhängigkeiten erkennen
Ein Krankenhaus muss auch bei erheblichen Störungen wesentliche medizinische Leistungen aufrechterhalten können.
Dabei geht es beispielsweise um:
- Notfallversorgung,
- Intensivmedizin,
- Operationsbereiche,
- Diagnostik und Labor,
- Arzneimittel- und Sterilgutversorgung,
- medizinische Gase,
- technische Infrastruktur,
- Informations- und Kommunikationstechnik.
Diese Leistungen funktionieren jedoch nicht unabhängig voneinander.
Eine Operation benötigt beispielsweise nicht nur einen Operationssaal, sondern auch Personal, Strom, medizinische Gase, Wasser, Medizintechnik, IT, Kommunikation, Arzneimittel und Sterilgut.
Deshalb müssen neben den kritischen Leistungen auch deren interne und externe Abhängigkeiten betrachtet werden.
Dazu gehören insbesondere:
Energieversorgung, Wasser, Kommunikation, IT, Logistik, Lieferketten, Personal und externe Dienstleister.
Gerade diese Abhängigkeiten können bei einem Ausfall erhebliche Auswirkungen auf mehrere Bereiche gleichzeitig haben.
Von der Gefährdung zum Risiko
Eine Gefährdung allein sagt noch wenig über das tatsächliche Risiko aus.
Ein Stromausfall ist beispielsweise zunächst nur ein Ereignis. Entscheidend ist, wie gut das Krankenhaus darauf vorbereitet ist.
Zu prüfen wäre unter anderem:
- Welche Bereiche werden durch Notstrom versorgt?
- Wie lange reicht der Kraftstoff?
- Welche Anlagen sind voneinander abhängig?
- Gibt es alternative Versorgungsmöglichkeiten?
- Welche organisatorischen Maßnahmen greifen bei einem längeren Ausfall?
Erst aus Gefährdung, Verwundbarkeit und möglichen Auswirkungen entsteht eine belastbare Risikobewertung.
Bezug zum KRITIS-Dachgesetz
Das KRITIS-Dachgesetz fordert von Betreibern kritischer Anlagen eine systematische Risikoanalyse und Risikobewertung.
Dabei sind auch Abhängigkeiten von anderen Betreibern, kritischen Dienstleistungen und Sektoren zu berücksichtigen.
Gerade im Krankenhaus ist dies von großer Bedeutung. Ein Ausfall von Strom, Wasser, Telekommunikation oder Lieferketten kann unmittelbar Auswirkungen auf die medizinische Versorgung haben.
Auf Grundlage dieser Risikoanalyse müssen anschließend geeignete Resilienzmaßnahmen festgelegt werden.
Diese können beispielsweise umfassen:
- bauliche und technische Sicherungsmaßnahmen,
- Zutrittskontrollen und Umfeldüberwachung,
- Ersatz- und Notstromversorgung,
- alternative Lieferketten,
- Notfall- und Krisenmanagement,
- Alarm- und Eskalationsverfahren,
- organisatorische Schutzmaßnahmen,
- Wiederanlaufverfahren.
Damit wird deutlich: Resilienz umfasst deutlich mehr als Notfallmanagement.
Sie verbindet bauliche, technische und organisatorische Sicherheit mit Versorgungssicherheit, Krisenmanagement und Wiederherstellung.
Die KRITIS-Verordnung konkretisiert die Einordnung
Die noch zu erlassende Rechtsverordnung zum KRITIS-Dachgesetz wird insbesondere festlegen, welche Anlagen unter welchen Voraussetzungen als kritische Anlagen gelten.
Damit wird künftig auch konkreter bestimmt, welche Krankenhäuser den Betreiberpflichten des KRITIS-Dachgesetzes unterliegen.
Unabhängig davon sollte die Frage der Kritikalität nicht ausschließlich an einem Schwellenwert festgemacht werden.
Auch ein kleineres Krankenhaus kann für eine Region von erheblicher Bedeutung sein, wenn bei seinem Ausfall keine ausreichenden Versorgungsalternativen vorhanden sind.
Kritikalität ergibt sich deshalb nicht nur aus gesetzlichen Schwellenwerten, sondern auch aus den tatsächlichen Folgen eines Ausfalls.
Vom Risiko zum Resilienzplan
Der Resilienzplan führt die Ergebnisse der Risikoanalyse und die daraus abgeleiteten Maßnahmen zusammen.
Ein sinnvoller Aufbau kann beispielsweise folgenden Zusammenhang abbilden:
Kritische Dienstleistung
→ kritische Funktionen und Bereiche
→ Abhängigkeiten
→ Gefährdungen und Verwundbarkeiten
→ Risikoanalyse
→ Resilienzmaßnahmen
→ Notfall- und Wiederanlaufverfahren
→ Resilienzplan
Gerade hier bieten die BBK-Leitfäden eine gute Grundlage.
Sie helfen dabei, kritische Prozesse zu erkennen, Abhängigkeiten sichtbar zu machen und Risiken systematisch zu betrachten.
Fazit
Die BBK-Leitfäden zum Risikomanagement im Krankenhaus sind zwar älter als das heutige KRITIS-Dachgesetz, ihre grundlegende Methodik ist jedoch weiterhin sehr gut nutzbar.
Mit dem KRITIS-Dachgesetz gewinnen Risikoanalyse, Resilienzmaßnahmen und Resilienzplanung zusätzlich an regulatorischer Bedeutung.
Krankenhäuser sollten deshalb nicht nur fragen:
„Welche Anforderungen müssen wir erfüllen?“
Wichtiger ist:
„Welche Leistungen müssen wir unbedingt aufrechterhalten können – und was benötigen wir dafür?“
Wer diese Frage systematisch beantwortet, schafft nicht nur eine gute Grundlage für regulatorische Anforderungen, sondern vor allem für einen widerstandsfähigeren Krankenhausbetrieb.