Ein Dienstag ohne RIS.
Kein Termin lässt sich aufrufen, kein Bild archivieren, kein Befund versenden. NIS-2 verlangt, dass die Geschäftsleitung diesen Tag vorher durchdacht hat. Wir rechnen ihn mit Ihnen durch, und zeigen, über welchen Weg ein Angreifer ihn auslösen würde.
| Gerät | 07:30 | 08:30 | 09:30 | 10:30 | 11:30 | 13:00 | 14:00 | 15:00 |
|---|---|---|---|---|---|---|---|---|
| MRT 1 | Knie | LWS | Schädel | Schulter | Knie | HWS | Becken | Knie |
| MRT 2 | Prostata | Leber | Knie | LWS | Mamma | Schulter | Hüfte | Schädel |
| CT | Thorax | Abdomen | Nasennebenh. | Thorax | Herz | LWS | Abdomen | Thorax |
| Röntgen | Thorax | Hand | Knie | Fuß | Thorax | Schulter | Becken | Thorax |
| Mammographie | Screening | Screening | Abklärung | Screening | Screening | Abklärung | Screening | Screening |
Was ein solcher Tag Ihre Praxis kostet
Tragen Sie Ihre eigenen Werte ein. Die Vorbelegung ist ein Beispiel. Gerechnet wird nur in Ihrem Browser, nichts wird gespeichert oder übertragen.
- Nachholtermine und Überstunden
- Zuweiser, die in dieser Zeit anderswo überweisen
- Wiederherstellung und forensische Aufarbeitung
- Die Meldung an das BSI binnen 24 Stunden
Noch nicht eingerechnet.
Warum das eine Sache der Partner ist
Seit dem 6. Dezember 2025 gilt das neue BSI-Gesetz für Praxen und MVZ ab 50 Beschäftigten, oder ab 10 Mio. € Jahresumsatz und Jahresbilanz. Die Geschäftsleitung muss die Maßnahmen umsetzen, überwachen und sich dazu schulen lassen. Diese Aufgabe lässt sich beauftragen, aber nicht abgeben.
Dazu kommen Registrierung beim BSI, Meldefristen von 24 und 72 Stunden und Bußgelder bis 7 Mio. €.
Quelle: KBV PraxisInfo „Gesetzliche Vorgaben für Cybersicherheit“, Stand März 2026.
Der Dienstag beginnt nicht um 07:12
Er beginnt Wochen vorher. Bei einem Fernwartungszugang, den ein Gerätehersteller eingerichtet hat und den niemand mehr auf der Liste führt. Bei einer Befund-E-Mail, die täuschend echt aussieht. Bei einer Sicherung, die im selben Netz liegt wie das RIS.
Unser Vorgehen geht diesen Weg rückwärts: vom Ausfalltag zu dem Zugang, der ihn möglich macht. In zwei Phasen, die zweite ist optional.
Phase 1: Das Fundament
Sie sehen, was einen Ausfalltag auslösen würde, wo die Mindestmaßnahmen nach § 30 Abs. 2 BSIG fehlen, und was zuerst hilft.
Schritt 1: Top Management Briefing
Vortrag für die Partner und die Praxisleitung
Aufklärung und Orientierung für die Geschäftsleitung.
Warum der Ausfalltag eine Sache der Partner ist, nicht des IT-Dienstleisters.
Schritt 2: Ermittlung Schutzbedarf
Workshop mit Partnern und IT
Wir ermitteln den Schutzbedarf Ihrer Praxis. Welche Abläufe halten sie am Leben, welche Daten sind die Kronjuwelen?
Wie lange hält Ihre Praxis ohne RIS, ohne PACS, ohne ein Großgerät durch? Hier werden aus den Beispielwerten im Rechner Ihre eigenen Zahlen.
Schritt 3.1: cyberSOFORTCHECKinkl. § 30 BSIG
Workshop mit Ihrer IT oder Ihrem IT-Dienstleister
Der Sofortcheck ermittelt die wichtigsten Ausgangsparameter und Ihren aktuellen Standpunkt: 98%-Schutz-Modell, zentrale technische und organisatorische Maßnahmen.
Inklusive: Prüfung der technischen und organisatorischen Maßnahmen nach § 30 Abs. 2 BSIG
Jede der zehn Mindestmaßnahmen, die das Gesetz vorschreibt, geprüft mit der Frage, ob sie Ihren Ausfalltag verhindert oder verkürzt.
- Risikoanalyse und Sicherheitskonzepte
- Bewältigung von Sicherheitsvorfälleninklusive der 24-Stunden-Meldung
- Aufrechterhaltung des Betriebs: Backup, Wiederherstellung, Krisenmanagementfür RIS und PACS
- Sicherheit der LieferketteGerätehersteller, IT-Dienstleister, Teleradiologie
- Sicherheit bei Erwerb, Entwicklung und Wartung, SchwachstellenmanagementModalitäten und Fernwartung
- Bewertung der Wirksamkeit der Maßnahmen
- Schulungen und SensibilisierungTeam und Partner
- Einsatz kryptographischer Verfahrenzum Beispiel beim Befundversand
- Personalsicherheit, Zugriffskontrolle, Verwaltung der IT
- Mehr-Faktor-Authentifizierung, gesicherte Kommunikation, Notfallkommunikation
§ 38 BSIG verpflichtet die Geschäftsleitung, genau diese Maßnahmen umzusetzen und ihre Umsetzung zu überwachen.
Die fünf Maßnahmen, die einen Ausfalltag am wirksamsten verhindern.
Schritt 3.2: M365 & Entra ID
Lesezugriff und Workshop mit der IT
Wir prüfen die sicherheitsrelevanten Konfigurationen Ihrer Microsoft-365- und Entra-ID-Umgebung. Abweichungen und Konfigurationsfehler werden erkannt, bevor es ernst wird.
Ohne E-Mail und Konten kein Befundversand und keine Absprache mit Zuweisern.
zzgl. 19 % USt., also 11.840,50 € brutto.
Inklusive Prüfung der Mindestmaßnahmen nach § 30 Abs. 2 BSIG.
Heilberufliche Umsätze sind in der Regel umsatzsteuerfrei. Dann ist die Umsatzsteuer für Ihre Praxis ein echter Kostenbestandteil. Deshalb nennen wir beide Beträge.
Phase 2: Dauerhafte Absicherungoptional
Aus der Standortbestimmung wird ein belastbares Fundament. Festpreisangebot auf Grundlage der Ergebnisse aus Phase 1.
Schritt 4: Delta-Analyse: Der Realitätscheck
Interviews und Bericht mit MTR, Empfang, IT und Partnern
Wir gleichen Ihren Schutzbedarf mit den gelebten Abläufen der Praxis ab, in allen Dimensionen der cyberRESILIENZ.
Ob der Plan für den Ausfalltag in der Praxis tatsächlich gelebt wird.
Schritt 5: Roadmap & Priorisierung
Workshop mit Partnern und IT
Aus Erkenntnissen wird ein Plan: Welche Maßnahmen haben Vorrang, und in welcher Reihenfolge?
Die Reihenfolge richtet sich danach, welche Maßnahme die meisten Ausfalltage verhindert.
Schritt 6: Dokumentiertes Konzept
Ausarbeitung durch SPARROW42
Alle Erkenntnisse fließen zusammen in ein belastbares Fundament für die cyberRESILIENZ Ihrer Praxis.
Der Plan für den Ausfalltag, schriftlich, bevor er eintritt.
Keine Rechtsberatung. Wo die Gesellschaftsform eine juristische Prüfung verlangt, benennen wir das.
Sechs Fragen für die nächste Partnersitzung
Aus Ihren Antworten entsteht ein Tagesordnungspunkt, den Sie so übernehmen können.
Wissen Sie, ob Ihre Praxis mit allen Standorten mindestens 50 Personen beschäftigt oder 10 Mio. € Umsatz und Bilanz erreicht?
Ist Ihre Praxis beim BSI registriert, oder ist dokumentiert, warum nicht?
Lassen sich RIS und PACS aus einer Sicherung wiederherstellen, die ein Angreifer nicht erreicht, und wurde das schon geprobt?
Ist festgelegt, wer innerhalb von 24 Stunden die erste Meldung an das BSI abgibt?
Haben die Partner eine Schulung zu ihren Pflichten als Geschäftsleitung absolviert?
Gibt es einen Plan, wie Sie bei einem Ausfall Patienten, Zuweiser und Teleradiologie-Partner informieren?
Erstgespräch anfragen
30 Minuten, telefonisch, vor Ort oder per Video. Ihre Antworten aus den sechs Fragen und dem Rechner werden der Anfrage beigefügt, damit wir vorbereitet sind.
Lieber gleich einen Termin? Wählen Sie einen freien Slot im Kalender. Termin direkt online buchen
Wir verwenden Ihre Angaben nur, um Ihre Anfrage zu beantworten. Mehr dazu in der Datenschutzerklärung.
Für die Geschäftsleitung
Was das für Sie als Geschäftsleitung bedeutet.
Ihre persönliche Verantwortung
Fällt Ihr Unternehmen unter NIS-2, verpflichtet das BSI-Gesetz die Geschäftsleitung selbst: Maßnahmen billigen, ihre Umsetzung überwachen, regelmäßig an Schulungen teilnehmen. Ob und wie das für Sie gilt, ordnen wir mit Ihnen ein. Die rechtliche Prüfung gehört zu einem Juristen.
Versicherungsfähig werden
Cyberversicherer fragen vor Vertragsabschluss typischerweise nach Mehr-Faktor-Anmeldung, Sicherungen und Notfallplänen. Unsere Arbeit schafft genau das, mit Belegen. Wir vermitteln keine Versicherungen, deshalb bleibt unsere Empfehlung unabhängig.
Ein Bild für oben und unten
Geschäftsleitung und IT hören von uns dasselbe. Es gibt keinen Bericht für die Chefetage und einen anderen für die IT.
Der erste Schritt
Das Fundament für cyberRESILIENZ: ab 9.950 €, in 2 bis 4 Wochen
Danach wissen Sie, wo Sie stehen und was zuerst kommt. Ihr Aufwand als Geschäftsleitung: ein Top-Management-Briefing und ein Workshop zum Schutzbedarf, je etwa zwei Stunden.
Für die IT-Leitung
Wir saßen selbst auf Ihrem Stuhl.
Kevin war CIO, Florian kommt aus dem IT-Betrieb. Wir wissen, wie es ist, wenn ein Berater der Geschäftsführung Befunde vorlegt. Deshalb arbeiten wir mit Ihnen, nicht über Sie.
Rückendeckung statt Zeugnis
Befunde kommen bei uns als Prioritätenliste mit Begründung, nicht als Mängelbericht. Damit argumentieren Sie gegenüber der Geschäftsführung für Budget und Zeit.
Nachweise nach Standard
Wir arbeiten mit ISMS nach ISO 27001 und Notfallmanagement nach BSI-Standard 200-4. Was entsteht, versteht auch der nächste Auditor.
Entlastung im Ernstfall
Im Vorfall führt unser KrisenMANAGER den Krisenstab und spricht mit der Geschäftsführung. Ihr Team kann sich um die Technik kümmern.
Wer macht was
| Aufgabe | Bei Ihnen | Bei SPARROW42 |
|---|---|---|
| Betrieb | Systeme betreiben, patchen, sichern. Bleibt bei Ihrem Team und Ihren bestehenden Partnern. | Wir priorisieren, was zuerst gehärtet werden sollte, und warum. |
| Informationssicherheit | Umsetzung der Maßnahmen, Zuarbeit zu Bestandsaufnahme und Risiken. | ISMS nach ISO 27001: Standortbestimmung, Risikobewertung, Richtlinien, Maßnahmenplan. |
| Notfallmanagement | Technische Wiederanlaufpläne Ihrer Systeme, Teilnahme an Übungen. | BCM nach BSI-Standard 200-4: Business-Impact-Analyse, Notfallhandbuch, roter Ordner, Krisenstabsübungen. |
| Überwachung | Lizenzen und Freigaben, Umsetzung von Empfehlungen. | cyberDEFENCE: SOC auf Basis der Microsoft Defender Suite als XDR-Plattform, komplett aus unserer Manufaktur. Auf Wunsch vermitteln wir ein SOC von Arctic Wolf. |
| Im Vorfall | Technische Maßnahmen im eigenen Umfeld. | cyberRETTUNG: Der KrisenMANAGER führt den Krisenstab, schafft das Lagebild und übersetzt es in Entscheidungen. Rechtliche Einordnung und Meldepflichten mit Juribo, an Werktagen. Skalierbare Incident Response mit unserem Partner Arctic Wolf. |
Unsere Leistungen in Klartext
- Das Fundament für cyberRESILIENZab 9.950 €
- Standortbestimmung und Gap-Analyse gegen drei Maßstäbe: ISO 27001, BSI-Standard 200-4 und das 98-%-Schutzmodell von Microsoft. Ergebnis: Reifegrad, Lückenliste, die fünf wichtigsten Maßnahmen.
- Roadmap für Krisen-Resilienzab 13.950 €
- Ihr Maßnahmenplan in drei Zeithorizonten: was in 30, was in 90 und was in 360 Tagen umgesetzt sein soll.
- M365 Tenant Checkab 3.950 €
- Konfigurationsprüfung Ihrer Microsoft-365-Umgebung gegen Best Practice.
- KRISENSICHER
- Der rote Ordner: Ihr Notfallhandbuch auf Papier, nutzbar, wenn keine IT mehr läuft.
- cyberRESILIENZ vOFFICER
- Externer Informationssicherheitsbeauftragter, der Ihr ISMS laufend steuert.
- cyberDEFENCE
- Security Operations Center: Microsoft Defender Suite als XDR-Plattform aus unserer Manufaktur. Auf Wunsch vermitteln wir ein SOC von Arctic Wolf.
- krisenBERATUNG
- Rahmenvertrag mit definierten Reaktionszeiten, bevorzugtem Zugriff auf unsere Krisenmanager und geübten Notfallplänen.
- cyberRETTUNG350 € netto je Stunde
- Krisenmanagement im Vorfall, rund um die Uhr erreichbar, in Süddeutschland vor Ort. Vor Ort in der Regel zwei Personen, mindestens 16 Stunden.
Ihre Ansprechpartner
Ihre Anfrage landet nicht in einem Ticketsystem, sondern direkt bei Ihrem Ansprechpartner.
Kevin Palinkas
Gründer & Geschäftsführer
Ehemaliger CIO eines großen produzierenden Mittelständlers. Er liest Ihre Anfrage und führt im Ernstfall den Einsatz.
Florian Scholz
Security Operations Center
Kommt aus dem IT-Betrieb und arbeitet heute im Security Operations Center von SPARROW42. Er weiß, wie wenig die erste Alarmmeldung verrät.
Was Kunden über unsere Arbeit sagen.
Vom Industrieunternehmen bis zur gemeinnützigen Gesellschaft: vorbereitet vor dem Vorfall, und an der Seite, wenn er passiert ist.
„Die Arbeit von SPARROW42 unterstützt uns und treibt unsere cyberRESILIENZ nachhaltig voran.“
„Wir konnten über die definierten Ziele hinaus 60+ Befunde in der Delta-Analyse erzielen.“
„Wir werden auch in Zukunft gemeinsam mit SPARROW42 arbeiten.“
Ausnahmezustand bei der JU*törn gGmbH
Systematische Wiederherstellung kritischer IT-Prozesse nach einem Cyberangriff.