Framework
IT security in hospitals: Section 391 SGB V and B3S
Since 2022 every hospital has had to protect its IT according to the state of the art and make all staff aware of security on a regular basis. Complass guides your hospital from classification under the BSI Act through risk management and contingency planning to connected medical technology and evidence.
What does Section 391 SGB V require?
Section 391 SGB V obliges all hospitals to take appropriate organisational and technical precautions according to the state of the art and to run mandatory awareness measures for all staff. The way to do this is described by the sector-specific security standard (B3S) “Medical care” of the German Hospital Federation (DKG), whose suitability the BSI has confirmed.
Content as of:
Does it apply to me?
The obligations under Section 391 SGB V apply to all hospitals under Section 108 SGB V. Hospitals with 30,000 or more full inpatient cases per year are operators of critical facilities: for them the obligations under Sections 30, 31 and 39 BSIG apply, including attack detection systems and evidence every three years.
From 50 employees or EUR 10 million annual turnover and balance sheet total, a hospital as a provider of health services is additionally an important or particularly important entity under the BSI Act, with risk management, reporting obligations, registration and management duties. Medical care centres and practices in statutory medical care implement the IT security guideline under Section 390 SGB V instead.
This overview does not replace legal advice. The legal or normative text is authoritative; in Complass you check applicability with guidance based on the references.
Legal basis
- § 391 SGB V§ 391 SGB V IT-Sicherheit in Krankenhäusern(1) Krankenhäuser sind verpflichtet, nach dem Stand der Technik angemessene organisatorische und technische Vorkehrungen zur Vermeidung von Störungen der Verfügbarkeit, Integrität und Vertraulichkeit ihrer informationstechnischen Systeme, Komponenten oder Prozesse zu treffen, die für die Funktionsfähigkeit des jeweiligen Krankenhauses und den Schutzbedarf der verarbeiteten Patienteninformationen maßgeblich sind. (2) …Open original (gesetze-im-internet.de) ↗Obligations of all hospitals, awareness (para. 2), reference to the BSI Act (paras. 4 and 5)
- § 28 BSIG§ 28 BSIG Besonders wichtige Einrichtungen und wichtige Einrichtungen(1) Als besonders wichtige Einrichtung gelten - 1. Betreiber kritischer Anlagen, - 2. qualifizierte Vertrauensdiensteanbieter, Top Level Domain Name Registries oder DNS-Diensteanbieter, - 3. Anbieter öffentlich zugänglicher Telekommunikationsdienste oder Betreiber öffentlicher Telekommunikationsnetze, die - a) mindestens 50 Mitarbeiter beschäftigen oder - b) einen Jahresumsatz und eine Jahresbilanzsumme von jeweils …Open original (gesetze-im-internet.de) ↗Classification as important or particularly important entity
- § 30 BSIG§ 30 BSIG Risikomanagementmaßnahmen besonders wichtiger Einrichtungen und wichtiger Einrichtungen(1) Besonders wichtige Einrichtungen und wichtige Einrichtungen sind verpflichtet, geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen, die in Absatz 2 konkretisiert werden, zu ergreifen, um Störungen der Verfügbarkeit, Integrität und Vertraulichkeit der informationstechnischen Systeme, Komponenten und Prozesse, die sie für die Erbringung ihrer Dienste nutzen, zu vermeiden und …Open original (gesetze-im-internet.de) ↗Risk management measures
- § 31 BSIG§ 31 BSIG Besondere Anforderungen an die Risikomanagementmaßnahmen von Betreibern kritischer Anlagen(1) Für Betreiber kritischer Anlagen gelten für die informationstechnischen Systeme, Komponenten und Prozesse, die für die Funktionsfähigkeit der von ihnen betriebenen kritischen Anlagen maßgeblich sind, im Vergleich zu anderen informationstechnischen Systemen, Komponenten und Prozessen besonders wichtiger Einrichtungen auch über das Schutzniveau dieser Einrichtungen hinausgehende Maßnahmen nach § 30 Absatz 1 Satz 1 …Open original (gesetze-im-internet.de) ↗Special requirements for operators of critical facilities
- § 39 BSIG§ 39 BSIG Nachweispflichten für Betreiber kritischer Anlagen(1) Betreiber kritischer Anlagen haben die Umsetzung der Maßnahmen in Bezug auf kritische Anlagen nach § 30 Absatz 1 Satz 1 in Verbindung mit § 31 Absatz 1 und 2 Satz 1 zu einem vom Bundesamt im Benehmen mit dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe festgelegten Zeitpunkt, frühestens drei Jahre nachdem sie erstmals oder spätestens drei Jahre nachdem sie erneut als ein Betreiber einer kritischen …Open original (gesetze-im-internet.de) ↗Evidence every three years
- B3S “Medical care” V1.3.1 (DKG)Sector-specific security standard, suitability confirmed by the BSI
Key dates
- Suitability of B3S V1.3 confirmed by the BSI (three years) · B3S cover page
- NIS2 Implementation Act in force (§ 391 SGB V refers to § 30(8) BSIG) · Section 391(4) SGB V (German Social Code Book V)§ 391 SGB V IT-Sicherheit in Krankenhäusern(1) Krankenhäuser sind verpflichtet, nach dem Stand der Technik angemessene organisatorische und technische Vorkehrungen zur Vermeidung von Störungen der Verfügbarkeit, Integrität und Vertraulichkeit ihrer informationstechnischen Systeme, Komponenten oder Prozesse zu treffen, die für die Funktionsfähigkeit des jeweiligen Krankenhauses und den Schutzbedarf der verarbeiteten Patienteninformationen maßgeblich sind. (2) …Open original (gesetze-im-internet.de) ↗
Operators of critical facilities demonstrate implementation to the BSI every three years. For other hospitals Section 391 SGB V provides for no regular evidence, but the documentation must be robust at any time.
How Complass helps
- 8phases
- 18guided steps
- 15document templates
- 49requirements in the catalogue
Eight phases up to the evidence
Classification under SGB V and the BSI Act, management and ISMS, risk management, continuity and architecture, staff and awareness, technical measures, medical technology, and incidents, service providers and evidence.
Requirements in our own words with chapter and ANF references
All B3S requirements summarised in 49 work packages, plus the obligations under Section 391 SGB V in their original wording. Keep the original DKG text at hand when you review.
Risk management to hospital standards
Assessment including patient safety and treatment effectiveness, acceptance of residual risks by management, asset inventory for IT systems and medical devices with criticality. Templates including policy, contingency and recovery planning, logging and attack detection, and connected medical technology.
Document once, use several times
Through the shared control catalogue, measures also count for NIS2. Plus business continuity management, incidents with reporting deadlines under Section 32 BSIG and an awareness course for all professional groups with evidence.
The phases in the module
- Classification: duties, KRITIS, NIS2 and implementation route
- Management, ISMS and organisation
- Risk management
- Continuity, architecture and physical security
- Personnel and awareness
- Technical measures
- Medical technology
- Incidents, service providers and evidence
Catalogue: § 391 SGB V and B3S "Medical care"
Matching modules
Risk management
Risk register with qualitative or quantitative assessment, risk appetite and treatment plan, linked to assets, vulnerabilities and incidents.
Learn moreIncident management
Record incidents, check reporting obligations under NIS2, the CRA and the GDPR and track the reporting deadlines with a countdown.
Learn moreAsset management
IT and OT assets in one place, agentless capture, with SBOM, vendor advisories, end of support, licence reconciliation, identities, relationships and zones per IEC 62443-3-2.
Learn moreFrequently asked questions
We are below the KRITIS threshold. Does the B3S still apply to us?
Section 391 SGB V applies to all hospitals and requires precautions according to the state of the art. The B3S is the way the BSI has confirmed as suitable for this and is therefore the obvious benchmark for smaller hospitals too.
Does Complass contain the text of the B3S?
No. The B3S is a work of the DKG. Complass describes the requirements in its own words and refers to chapters and ANF numbers. You can obtain the standard free of charge from the DKG; you can store excerpts from it in your project.
We also have to comply with NIS2. Double the work?
No. Measures you document in the B3S project are also assigned to the NIS2 framework through the shared control catalogue.
Try Complass with your own data
Set up your trial yourself, with a sample project per framework if you like. If you would rather see Complass first, request a demo.