IT-Sicherheit für Krankenkassen: § 392 SGB V, KRITIS und NIS-2

Seit Inkrafttreten des Digital-Gesetzes im März 2024 muss jede gesetzliche Krankenkasse den Sicherheitsstandard B3S-GKV/PV anwenden. § 392 SGB V verpflichtet die Kassen, ihre IT nach dem Stand der Technik zu schützen. Über Verträge erstreckt sich diese Pflicht auf ihre IT-Dienstleister. Eine Pflicht, die Umsetzung prüfen zu lassen, enthält die Vorschrift nicht. Für Kassen mit kritischer Anlage kommt das BSIG (Gesetz über das Bundesamt für Sicherheit in der Informationstechnik) hinzu, das die KRITIS-Regulierung fortführt und die NIS-2-Richtlinie umsetzt.

Welche Krankenkassen betroffen sind

§ 392 SGB V erfasst alle gesetzlichen Krankenkassen, unabhängig von ihrer Größe. Kassen ab 500.000 Versicherten betreiben eine kritische Anlage und unterliegen zusätzlich dem BSIG.

Mittelbar betroffen sind die IT-Dienstleister der GKV: Rechenzentren, Softwarehäuser und Cloud-Anbieter, deren Leistungen Kassen für ihre gesetzlichen Aufgaben nutzen.

Was § 392 SGB V verlangt

• Angemessener Schutz nach dem Stand der Technik: Kassen schützen Verfügbarkeit, Integrität und Vertraulichkeit der Systeme, die für ihre Funktionsfähigkeit und die Versicherteninformationen maßgeblich sind. Angemessen ist, was nicht außer Verhältnis zu den Folgen eines Ausfalls steht.
• B3S als Maßstab: Wer den B3S-GKV/PV in der gültigen Fassung anwendet, erfüllt die Pflicht. Das bestimmt § 392 Abs. 3 SGB V. Aktuell ist Version 1.4. Das BSI hat ihre Eignung im April 2025 nach § 30 Abs. 8 BSIG festgestellt, befristet bis April 2028. Bestätigt das BSI bis dahin keine neue Fassung, gilt die Anwendung des B3S nicht mehr automatisch als Pflichterfüllung.
• B3S-Geltungsbereich: Die Eignungsfeststellung des BSI erfasst das Verwaltungs- und Zahlungssystem der gesetzlichen Kranken- und Pflegeversicherung. Dazu gehören Zahlungsverkehr, Buchhaltung, Geldleistungen wie Kranken-, Mutterschafts- und Übergangsgeld sowie die eGK-Verwaltung.
• Verbindlich per Richtlinie: Der GKV-Spitzenverband hat den B3S zum 30. Juni 2024 als Richtlinie für alle Kassen festgelegt (§ 217f Abs. 4c SGB V). Sie gilt für Kassen mit und ohne kritische Anlage.
• Awareness und Angriffserkennung: Der B3S enthält Vorgaben zur Cybersecurity-Awareness und zum Einsatz von Systemen zur Angriffserkennung.
• Lieferkette: Kann eine Störung beim Dienstleister die Kasse beeinträchtigen, muss die Kasse vertraglich sicherstellen[MU1.1] und überwachen, dass der Dienstleister den B3S einhält (§ 392 Abs. 6 SGB V).

Verarbeitet eine Kasse Sozial- und Gesundheitsdaten in der Cloud, stellt § 393 SGB V weitere Bedingungen. Die Daten bleiben im Inland, in der EU, einem gleichgestellten Staat oder einem Drittstaat mit Angemessenheitsbeschluss. Die verarbeitende Stelle ist im Inland niedergelassen und schützt die Daten nach dem Stand der Technik. Sie verfügt über ein aktuelles C5-Typ-2-Testat und setzt die Endkundenkriterien aus dem Prüfbericht um.

Das BSI hat im März 2026 den C5:2026 veröffentlicht. Mehr dazu im Beitrag Neuer Kriterienkatalog C5:2026.

Für Pflegekassen enthält § 103a SGB XI eine nahezu inhaltsgleiche Pflicht; die Berichtspflicht steht in § 103a Abs. 8 SGB XI. Der B3S-GKV/PV deckt beide Zweige ab und gilt daher auch für Häuser mit Kranken- und Pflegekasse.

KRITIS und NIS-2: Was für große Kassen zusätzlich gilt

Als kritische Anlage gilt das Verwaltungs- und Zahlungssystem der gesetzlichen Kranken- und Pflegeversicherung ab 500.000 Versicherten. Der Betreiber ermittelt den Versorgungsgrad bis zum 31. März für das Vorjahr. Ab dem 1. April gilt die Anlage als kritisch.

Wer eine kritische Anlage betreibt, gilt nach § 28 BSIG als besonders wichtige Einrichtung und muss die Vorgaben der NIS-2-Umsetzung erfüllen: Risikomanagement nach § 30 BSIG, erhöhte Anforderungen für die kritische Anlage nach § 31 BSIG, Meldepflichten nach § 32 BSIG, Unterrichtungspflichten nach § 35 BSIG und die Pflichten der Geschäftsleitung nach § 38 BSIG. Hinzu kommt der Nachweis nach § 39 BSIG. Das Risikomanagement erfasst die gesamte Einrichtung, nicht nur die kritische Anlage. Die Registrierung im BSI-Portal ist seit dem 06.01.2026 möglich und muss spätestens drei Monate erfolgen, nachdem die Anlage als kritisch gilt.

Der B3S-GKV/PV bleibt der gemeinsame Maßstab. Kassen unter der Schwelle wenden ihn nach § 392 Abs. 3 SGB V an. Bei Kassen mit kritischer Anlage stützt sich die Nachweisprüfung nach § 39 BSIG auf ihn. Der Unterschied liegt im Nachweis: Kassen mit kritischer Anlage legen dem BSI alle drei Jahre einen Prüfbericht vor, andere Kassen erklären ihre Umsetzung selbst.

Kassen ohne kritische Anlage erfasst das BSIG nicht. Das Gesetz gilt nur für Betreiber kritischer Anlagen und für die Einrichtungsarten der Anlagen 1 und 2. Die Sozialversicherung ist dort keine Einrichtungsart. Kassen unter 500.000 Versicherten fallen deshalb nicht unter das BSIG. Für sie gilt allein § 392 SGB V.

Selbstauskunft statt Nachweis

Der GKV-Spitzenverband berichtet dem Bundesministerium für Gesundheit und den Aufsichtsbehörden seit dem 31.12.2024 jährlich, wie weit jede einzelne Kasse den B3S umgesetzt hat und mit welchen Maßnahmen (§ 217f Abs. 4d SGB V). Auf dieser Grundlage kann die Aufsicht einschreiten. Der Bericht beruht auf der Selbstauskunft der Kassen; § 392 SGB V verlangt keinen testierten Nachweis. 

Keine Pflicht zur Prüfung, aber gute Gründe

Kassen unterliegen dem Wirtschaftlichkeitsgebot und müssen Kosten und Aufwand einer gesetzlich nicht verlangten Prüfung begründen; diese bindet zudem Personal, das die Umsetzung vorantreiben könnte. Kleine Kassen mit weitgehend ausgelagerter IT können sich zum Teil auf die Nachweise ihrer Dienstleister stützen.

Für eine Prüfung sprechen drei Gründe:

• Verantwortung des Vorstands: Die Selbstauskunft geht für jede Kasse gesondert an Ministerium und Aufsicht. Der Vorstand verantwortet sie. Der Prüfdienst Kranken- und Pflegeversicherung des Bundesamts für Soziale Sicherung hat angekündigt, die IT-Sicherheit bei Kassen ohne kritische Anlage verstärkt nach § 274 SGB V zu prüfen. Widerspricht sein Befund der Selbstauskunft, muss der Vorstand die Abweichung gegenüber Aufsicht und Verwaltungsrat erklären. Eine unabhängige Prüfung zeigt vorher, ob die Selbstauskunft zutrifft. Und sie entlastet den Vorstand: Er kann belegen, dass er seine Erklärung auf ein unabhängiges Urteil gestützt hat.
• Die DSGVO verlangt Rechenschaft: Nach Art. 5 Abs. 2 und Art. 32 DSGVO muss die Kasse die Angemessenheit ihrer technischen und organisatorischen Maßnahmen nachweisen können. Ein Prüfbericht gegen den B3S ist ein solcher Nachweis.
• Sicherheit für den Verwaltungsrat: Der Verwaltungsrat überwacht den Vorstand, ohne die Informationssicherheit selbst fachlich beurteilen zu können. Ein Prüfbericht zeigt ihm, wo die Kasse steht und wo sie nachbessern muss.

Die Kosten lassen sich begrenzen. Für den Einstieg genügt eine Angemessenheitsprüfung zu einem Stichtag. Nicht jede Kasse braucht jährlich eine Vollprüfung. Eine Kasse, die ihre Konformität jährlich gegenüber der Aufsicht erklärt, sollte diese Erklärung auf eine unabhängige Prüfung stützen können.

Was Krankenkassen jetzt tun sollten

1. Gap-Analyse: Krankenkassen sollten den Geltungsbereich des B3S-GKV/PV abgrenzen und prüfen, wo die Kasse von Version 1.4 abweicht. Sie sollten mit Angriffserkennung und Awareness beginnen, weil das Gesetz sie ausdrücklich als Inhalte des B3S nennt.
2. Dienstleistersteuerung: Verträge sollten sie nach § 392 Abs. 6 SGB V und § 393 SGB V prüfen, B3S- und Cloud-Sicherheitsanforderungen aufnehmen, Nachweise einfordern und ggf. selbst Prüfrechte wahrnehmen (lassen).[MU3.1]
3. Unabhängige Prüfung: Die Angemessenheit der Maßnahmen gegen den B3S-GKV/PV sollte geprüft werden, etwa nach IDW PS 860. Der Bericht stützt die jährliche Selbstauskunft und die Dokumentation nach DSGVO.

IT-Dienstleister ersparen sich mit einem solchen Bericht Fragebögen und Einzelaudits, weil er mehreren Kassen zugleich als Nachweis dient. Cloud-Anbieter können die Prüfung mit dem C5-Testat nach § 393 SGB V verbinden.

Wie wir Sie unterstützen

Bei Baker Tilly analysieren wir die Lücken zum B3S-GKV/PV und begleiten die Umsetzung mit unabhängigen Reviews und Prüfungen. Wir unterstützen den Aufbau und die Weiterentwicklung Ihrer Dienstleistersteuerung durch Gap-Analysen, Best-Practice-Vergleiche und unabhängige Beurteilungen. Zudem führen wir in Ihrem Auftrag Dienstleisterprüfungen durch und nehmen vertraglich vereinbarte Prüfungsrechte gegenüber Dienstleistern wahr. Die Umsetzung prüfen wir nach einem anerkannten Prüfungsstandard, etwa IDW PS 860 oder ISAE 3000. IT-Dienstleister unterstützen wir mit Prüfungen nach diesen Standards, mit Berichten nach IDW PS 951 und mit C5-Testaten. Kassen, die eine kritische Anlage betreiben, prüfen wir auch nach § 39 BSIG und erstellen die Nachweisdokumente für das BSI.

Sprechen Sie uns an. In einem ersten Gespräch klären wir, welche Nachweise Ihre Kasse benötigt und welcher Prüfungsumfang dazu passt.