protekt 2026 in Leipzig: Christian Meier vom Universitätsklinikum Tübingen gibt Impulse für die Weiterentwicklung von Sicherheits- und Resilienzstrukturen.
Die Anforderungen an die Sicherheit von Krankenhäusern steigen kontinuierlich. Cyberangriffe, technische Störungen, Ausfälle kritischer Versorgungsanlagen, unberechtigte Zutritte und neue gesetzliche Anforderungen stellen Kliniken vor vielfältige Herausforderungen.
Dabei verfügen größere Krankenhäuser bereits über zahlreiche Fachabteilungen, die sich mit unterschiedlichen Aspekten der Sicherheit beschäftigen. Hierzu zählen unter anderem Informationssicherheit, Gebäudemanagement, technische Versorgungssicherheit, physische Sicherheit, Arbeitsschutz, Krisenmanagement und Business Continuity Management.
Doch wer führt diese unterschiedlichen Sicherheitsbereiche zusammen? Wer entwickelt übergreifende Sicherheitsziele, bewertet gegenseitige Abhängigkeiten und sorgt dafür, dass die einzelnen Maßnahmen aufeinander abgestimmt sind?
Mit diesen Fragen beschäftigte sich Christian Meier, Informationssicherheitsbeauftragter des Universitätsklinikums Tübingen und der Medizinischen Fakultät, bei seinem Vortrag auf der protekt 2026 in Leipzig.
Unter dem Titel „Schutz des Universitätsklinikums aus der Sicht eines ISB – Ein Impuls zur Weiterentwicklung von Sicherheits- und Resilienzstrukturen“ stellte er Überlegungen vor, wie bestehende Sicherheitsorganisationen weiterentwickelt werden können.
Seine zentrale Botschaft: Sicherheit und Resilienz dürfen nicht ausschließlich innerhalb einzelner Fachabteilungen betrachtet werden. Entscheidend ist das organisierte Zusammenwirken aller Beteiligten.
Sicherheitsmanagement als verbindendes Element
In vielen Unternehmen der freien Wirtschaft werden übergreifende Sicherheitsaufgaben bereits in einem zentralen Sicherheitsmanagement zusammengeführt beziehungsweise koordiniert.
Ein solches Sicherheitsmanagement hat die Aufgabe, unternehmensweite Sicherheitsziele zu entwickeln, Risiken ganzheitlich zu betrachten, Sicherheitsstrategien festzulegen und die unterschiedlichen Fachbereiche miteinander zu verbinden.
Dabei geht es nicht darum, sämtliche sicherheitsrelevanten Abteilungen einer einzigen Organisationseinheit zu unterstellen. Vielmehr übernimmt das Sicherheitsmanagement eine koordinierende, steuernde und kontrollierende Funktion.
Die einzelnen Abteilungen bleiben weiterhin für ihre jeweiligen Fachaufgaben verantwortlich.
So bleibt beispielsweise der IT-Betrieb für seine Systeme zuständig, das technische Gebäudemanagement für die gebäudetechnischen Anlagen und die physische Sicherheit für den Schutz von Gebäuden, Personen und sicherheitsrelevanten Bereichen.
Das übergeordnete Sicherheitsmanagement sorgt jedoch dafür, dass gemeinsame Schutzziele bestehen, Risiken bereichsübergreifend bewertet werden und die verschiedenen Sicherheitsmaßnahmen sinnvoll ineinandergreifen.
Was in vielen Wirtschaftsunternehmen bereits Bestandteil einer etablierten Sicherheitsorganisation ist, könnte auch für Krankenhäuser ein wichtiger Ansatz zur Weiterentwicklung ihrer Sicherheits- und Resilienzstrukturen sein.
Vom Sicherheitsmanagement zum Resilienzmanagement
Die klassische Aufgabe des Sicherheitsmanagements besteht insbesondere darin, Risiken zu erkennen, Gefährdungen zu bewerten und geeignete Schutzmaßnahmen zu entwickeln.
Ein übergeordnetes Resilienzmanagement erweitert diese Betrachtung um die Frage, wie ein Krankenhaus auch unter schwierigen oder außergewöhnlichen Bedingungen handlungsfähig bleibt.
Während Sicherheitsmaßnahmen darauf ausgerichtet sind, schädigende Ereignisse möglichst zu verhindern oder deren Auswirkungen zu begrenzen, beschäftigt sich das Resilienzmanagement zusätzlich mit der Fähigkeit, Störungen zu bewältigen, kritische Betriebsprozesse aufrechtzuerhalten und nach einem Ereignis wieder in einen geordneten Betrieb zurückzukehren.
Gerade für Krankenhäuser ist diese Verbindung von erheblicher Bedeutung.
Denn ein Krankenhaus muss auch dann funktionieren, wenn einzelne technische Systeme ausfallen, digitale Anwendungen nicht verfügbar sind oder bestimmte Gebäudebereiche vorübergehend nicht genutzt werden können.
Daraus ergibt sich die Überlegung, ein übergeordnetes Sicherheits- und Resilienzmanagement zu etablieren, das die verschiedenen Sicherheitsdisziplinen miteinander verbindet und für gemeinsame Strategien, Schutzziele und Maßnahmen sorgt.
Neue gesetzliche Anforderungen – neue Abteilungen?
Christian Meier ging in seinem Vortrag auch auf die zunehmenden gesetzlichen Anforderungen ein.
Hierzu zählen insbesondere das BSI-Gesetz und die NIS2-Umsetzung, das KRITIS-Dachgesetz, die Krankenhausalarm- und Einsatzplanung sowie die geplanten Anforderungen aus einem Gesundheitssicherstellungsgesetz.
Diese Regelungsbereiche verfolgen unterschiedliche Ziele, weisen jedoch erhebliche inhaltliche Überschneidungen auf.
Meier stellte deshalb die Frage, ob für jede neue gesetzliche Anforderung tatsächlich zusätzliche organisatorische Strukturen geschaffen werden müssen.
Entstehen beispielsweise immer weitere Funktionen für Informationssicherheit, Krisenmanagement, Business Continuity Management und Resilienz, besteht die Gefahr, dass Zuständigkeiten und Berichtswege zunehmend komplexer werden.
Sein Ansatz zielte darauf ab, zunächst zu untersuchen, welche Fähigkeiten bereits innerhalb des Krankenhauses vorhanden sind und wie diese besser miteinander verbunden werden können.
Ein übergeordnetes Sicherheits- und Resilienzmanagement könnte genau diese Aufgabe übernehmen.
Es würde bestehende Strukturen nicht ersetzen, sondern deren Zusammenwirken sicherstellen und die erforderliche bereichsübergreifende Koordination übernehmen.
Informationssicherheit, physische Sicherheit und betriebliche Resilienz
Im Mittelpunkt des Vortrags standen drei wesentliche Themenbereiche:
- Informationssicherheit: Schutz digitaler Systeme, Daten und informationstechnischer Prozesse.
- Physische Sicherheit: Schutz von Gebäuden, Personen, technischen Einrichtungen und sicherheitsrelevanten Bereichen.
- Betriebliche Resilienz: Aufrechterhaltung kritischer Betriebsprozesse und der medizinischen Versorgung bei außergewöhnlichen Ereignissen.
Diese Bereiche haben unterschiedliche Aufgaben, sind in der Praxis jedoch eng miteinander verknüpft.
Ein Beispiel ist der Ausfall einer elektronischen Zutrittskontrollanlage.
Zunächst könnte es sich um eine Störung der IT oder der elektronischen Sicherheitstechnik handeln. Die Auswirkungen betreffen jedoch unmittelbar die physische Sicherheit.
Türen bleiben möglicherweise unberechtigt geöffnet oder lassen sich nicht mehr regulär passieren. Sensible medizinische Bereiche können dadurch gefährdet oder notwendige Betriebsabläufe beeinträchtigt werden.
Die technische Störung wird somit gleichzeitig zu einer organisatorischen, betrieblichen und möglicherweise medizinischen Herausforderung.
Hier zeigt sich der Mehrwert eines übergeordneten Sicherheitsmanagements: Bereits im Vorfeld können gemeinsame Schutzziele, Zuständigkeiten, Ersatzmaßnahmen und erforderliche Reaktionsprozesse festgelegt werden.
Das gemeinsame Lagebild als Grundlage des Sicherheits- und Resilienzmanagements
Ein besonders interessanter Schwerpunkt des Vortrags war die Entwicklung eines gemeinsamen Sicherheits- und Lagebildes.
In einem größeren Krankenhaus verfügen verschiedene Abteilungen über zahlreiche Informationen zu sicherheitsrelevanten Ereignissen.
Die IT-Sicherheit erkennt digitale Angriffe und Systemstörungen. Das Gebäudemanagement überwacht die technischen Anlagen und Versorgungseinrichtungen. Die physische Sicherheit registriert beispielsweise unberechtigte Zutritte oder sicherheitsrelevante Vorkommnisse.
Die medizinischen Fachbereiche wiederum erkennen, welche Auswirkungen solche Ereignisse auf die Patientenversorgung haben.
Allerdings werden diese Informationen häufig zunächst innerhalb der jeweiligen Fachabteilung bewertet.
Meier verdeutlichte dies anhand eines Ausfalls der Klimatisierung eines Rechenzentrums.
Obwohl die technische Störung behoben und die Temperatur wieder gesunken war, bestanden bei den betroffenen IT-Diensten weiterhin Einschränkungen.
Aus Sicht der Gebäudetechnik war das Problem weitgehend gelöst. Aus Sicht der Nutzer war die Betriebsfähigkeit jedoch noch nicht vollständig wiederhergestellt.
Dieses Beispiel zeigt, wie wichtig eine gemeinsame Betrachtung der unterschiedlichen technischen und betrieblichen Abhängigkeiten ist.
Ein übergeordnetes Sicherheits- und Resilienzmanagement könnte dafür sorgen, dass entsprechende Informationen zusammengeführt und auf Grundlage eines gemeinsamen Lagebildes bewertet werden.
Dabei geht es nicht ausschließlich um technische Lösungen wie Sicherheitsmanagementsysteme oder zentrale Leitstellen.
Entscheidend sind auch verbindliche Meldewege, abgestimmte Zuständigkeiten, gemeinsame Bewertungskriterien und klar definierte Entscheidungsprozesse.
Wer übernimmt die übergeordnete Verantwortung?
Ein wesentlicher Punkt bei der Weiterentwicklung bestehender Sicherheitsstrukturen ist die Frage nach der organisatorischen Verantwortung.
In Wirtschaftsunternehmen wird diese Aufgabe häufig durch ein zentrales Sicherheitsmanagement beziehungsweise eine entsprechende Sicherheitsleitung wahrgenommen.
Abhängig von der Unternehmensgröße und Organisation können solche Funktionen beispielsweise als Sicherheitsmanager, Leiter Unternehmenssicherheit oder Chief Security Officer ausgestaltet sein.
Für Krankenhäuser könnte eine vergleichbare übergeordnete Funktion sinnvoll sein, die unmittelbar an die Geschäftsführung beziehungsweise den Vorstand angebunden ist und bereichsübergreifende Sicherheits- und Resilienzthemen koordiniert.
Zu ihren Aufgaben könnten insbesondere gehören:
- Entwicklung einer gemeinsamen Sicherheits- und Resilienzstrategie.
- Durchführung und Koordination bereichsübergreifender Risiko- und Gefährdungsanalysen.
- Definition gemeinsamer Schutzziele und Sicherheitsstandards.
- Abstimmung baulicher, technischer, organisatorischer und personeller Sicherheitsmaßnahmen.
- Koordination der Schnittstellen zwischen Informationssicherheit, physischer Sicherheit, Gebäudebetrieb und Krisenmanagement.
- Entwicklung eines gemeinsamen Lage- und Berichtswesens.
- Überprüfung der Wirksamkeit bestehender Sicherheits- und Resilienzmaßnahmen.
Eine solche Organisationsstruktur würde dazu beitragen, Sicherheitsrisiken nicht nur innerhalb einzelner Fachabteilungen, sondern im Zusammenhang mit dem gesamten Krankenhausbetrieb zu betrachten.
Wichtig ist dabei, dass die übergeordnete Steuerung mit ausreichenden Kompetenzen und eindeutig geregelten Verantwortlichkeiten ausgestattet wird.
Andernfalls besteht die Gefahr, dass zwar eine zusätzliche Koordinierungsfunktion entsteht, diese jedoch keine ausreichende organisatorische Wirkung entfalten kann.
Nicht alles zentralisieren – aber das Zusammenwirken organisieren
Christian Meier sprach sich in seinem Vortrag ausdrücklich nicht dafür aus, sämtliche sicherheitsrelevanten Funktionen in einer einzigen großen Organisation zusammenzuführen.
Sein Ansatz war vielmehr, das Zusammenwirken der verschiedenen Fachdisziplinen verbindlich zu gestalten.
Auf einer seiner Präsentationsfolien fasste er diesen Gedanken folgendermaßen zusammen:
„Nicht alles zentralisieren. Zusammenwirken gestalten. Gemeinsame Verantwortung.“
Diese Aussage beschreibt sehr treffend, welche Aufgabe ein übergeordnetes Sicherheits- und Resilienzmanagement erfüllen sollte.
Es geht nicht darum, bestehende Fachkompetenzen zu ersetzen oder zusätzliche Hierarchien ohne erkennbaren Nutzen aufzubauen.
Vielmehr soll eine organisatorische Struktur geschaffen werden, in der unterschiedliche Sicherheitsdisziplinen nach gemeinsamen Zielen handeln, Informationen austauschen und ihre Maßnahmen koordinieren.
Gerade bei großen Krankenhäusern mit zahlreichen Gebäuden, medizinischen Fachabteilungen und komplexer technischer Infrastruktur könnte dies einen erheblichen Beitrag zur Verbesserung der Sicherheit und betrieblichen Widerstandsfähigkeit leisten.
Bedeutung für die Gebäudesicherheit und Krankenhausplanung
Aus Sicht der Gebäudesicherheit ergeben sich daraus wichtige Konsequenzen.
Ein wirksames Sicherheitskonzept für ein Krankenhaus darf sich nicht ausschließlich auf einzelne technische Sicherheitseinrichtungen konzentrieren.
Zutrittskontrollsysteme, Videoüberwachung, Einbruchmeldeanlagen, Sicherheitszonen oder bauliche Schutzmaßnahmen müssen vielmehr auf die übergeordneten Sicherheitsziele und betrieblichen Anforderungen abgestimmt sein.
Gleichzeitig müssen die Auswirkungen möglicher Störungen auf angrenzende Systeme und Betriebsprozesse berücksichtigt werden.
Ein Sicherheits- und Resilienzmanagement könnte hierbei als zentrale Schnittstelle zwischen Krankenhausleitung, medizinischen Nutzern, technischem Gebäudemanagement, Informationssicherheit, Sicherheitsverantwortlichen und externen Fachplanern wirken.
Besonders bei Neubauten und umfangreichen Sanierungsprojekten wäre eine solche übergeordnete Koordination von Vorteil.
Denn in frühen Planungsphasen werden wesentliche Entscheidungen über Gebäudestrukturen, Sicherheitszonen, Zutrittsregelungen, technische Versorgungssysteme und organisatorische Abläufe getroffen.
Werden diese Entscheidungen ohne gemeinsame Sicherheitsstrategie getroffen, können später erhebliche Schnittstellenprobleme und zusätzliche Kosten entstehen.
Ein frühzeitig eingebundenes Sicherheits- und Resilienzmanagement könnte sicherstellen, dass bauliche, technische und organisatorische Anforderungen von Beginn an aufeinander abgestimmt werden.
Fazit: Krankenhaussicherheit braucht eine übergeordnete Steuerung
Der Vortrag von Christian Meier auf der protekt 2026 lieferte wichtige Impulse für die organisatorische Weiterentwicklung der Krankenhaussicherheit.
Die zunehmenden gesetzlichen Anforderungen und die wachsenden Abhängigkeiten zwischen digitalen Systemen, Gebäudetechnik, physischer Sicherheit und medizinischer Versorgung machen deutlich, dass isolierte Sicherheitsbetrachtungen langfristig nicht ausreichen.
Die entscheidende Herausforderung besteht darin, vorhandene Sicherheitskompetenzen unter einer gemeinsamen Strategie zusammenzuführen und deren Zusammenwirken dauerhaft sicherzustellen.
Ein übergeordnetes Sicherheits- und Resilienzmanagement könnte hierfür den geeigneten organisatorischen Rahmen bilden.
Dabei müssen die einzelnen Fachabteilungen nicht ihre Eigenständigkeit verlieren. Vielmehr benötigen sie gemeinsame Ziele, verbindliche Schnittstellen und eine übergeordnete Koordination.
Was in vielen Unternehmen der freien Wirtschaft bereits über zentrale Sicherheitsmanagementstrukturen organisiert wird, verdient auch im Krankenhausbereich stärkere Beachtung.
Denn letztlich geht es nicht darum, möglichst viele eigenständige Sicherheitsstrukturen aufzubauen.
Es geht darum, die vorhandenen Sicherheitsfähigkeiten eines Krankenhauses so zu organisieren, dass sie im entscheidenden Moment gemeinsam funktionieren.
Und genau darin liegt der wesentliche Unterschied zwischen einzelnen Sicherheitsmaßnahmen und einem wirksamen Sicherheits- und Resilienzmanagement.
Grundlage dieses Fachbeitrags ist der Vortrag von Christian Meier, Informationssicherheitsbeauftragter des Universitätsklinikums Tübingen und der Medizinischen Fakultät, auf der protekt 2026 in Leipzig. Die Ausführungen zum übergeordneten Sicherheits- und Resilienzmanagement enthalten ergänzende fachliche Einordnungen und Schlussfolgerungen aus Sicht der ganzheitlichen Unternehmens- und Gebäudesicherheit.