B3S Labor 2.0: Sicherheit, die Labore und Lieferanten verbindet
Der Branchenspezifische Sicherheitsstandard für die Laboratoriumsdiagnostik (B3S Labor 2.0) des ALM e.V. beschreibt, wie medizinische Labore die Anforderungen aus NIS2-Umsetzungsgesetz (§§ 30, 31 BSIG) und KRITIS-Dachgesetz umsetzen. Im Oktober 2026 hat das BSI seine Eignung festgestellt.
Neu ist der klare Blick auf die Lieferkette: Labore müssen sicherstellen, dass auch Dienstleister und Lieferanten die Anforderungen einhalten. Konkretisiert wird das im Branchenstandard Labor für Lieferanten.
ViREQ steht auf beiden Seiten: Wir unterstützen Labore bei der Umsetzung, und mit labGATE, poctGATE und Mirth Connect sind wir selbst Teil ihrer Lieferkette.
Was der B3S Labor 2.0 verlangt
Der Standard verbindet drei Managementsysteme mit klaren Pflichten für Meldewege und Lieferanten – vom Auftragseingang bis zum Befundversand.
Geltungsbereich
Prä-, Analytik und Postanalytik samt LIS, Order Entry, Schnittstellen, IVD-Systemen und Befundportalen.
Risikomanagement
Standardisierter Prozess nach ISO 27005 mit Risikoeigentümern und dokumentierter Behandlung.
Business Continuity
Business-Impact-Analyse, Notfallhandbuch und regelmäßige Notfalltests nach ISO 22301.
ISMS
ISMS nach ISO 27001 – alle 93 Controls für das Labor konkretisiert.
Meldewege
Kontaktstelle für BSI und BBK, mehrstufige Meldung erheblicher Vorfälle ab 24 Stunden.
Lieferanten
Dritte müssen die Anforderungen ebenfalls erfüllen – auf Basis des ALM-Lieferantenstandards.
Die Anforderungen im Detail
Klappen Sie die Themen auf, um zu sehen, was der B3S Labor 2.0 und der Lieferantenstandard konkret fordern.
1. Geltungsbereich: Welche Systeme gehören dazu?
Der B3S Labor betrachtet die kritische Dienstleistung entlang von Präanalytik, Analytik und Postanalytik sowie den Unterstützungsprozessen Versorgungs-, Informations- und Kommunikationstechnik. In die Risikobetrachtung gehören unter anderem:
Auftragsprozess: Order-Entry-Systeme, Schnittstellen- und Kommunikationssysteme, LIS, Scan- und Texterkennung.
Analytik: IVD-Analysegeräte, Schnittstellen zum LIS und Validationssysteme.
Postanalytik: Befundportale und Befundauskunft, DFÜ, direkte Einsender-Schnittstellen und Befunddruck.
IT-Basis: Server, Netze, Sicherheitsgateways, Backup, Fernwartungssysteme.
Der Standard richtet sich ausdrücklich auch an Labore, die die KRITIS-Schwellenwerte (noch) nicht erreichen.
2. Risikomanagement
Dokumentierter, wiederholbarer Prozess in sechs Phasen – von der Leitlinie bis zur Überwachung.
Für jedes Risiko ein Risikoeigentümer mit fachlicher Kompetenz und Befugnis.
Bewertung gegen allgemeine und laborspezifische Bedrohungsszenarien, etwa Ausfall des LIS, Schwachstellen in IVD-Systemen oder ungesicherte Kommunikationsverbindungen.
Risikoakzeptanz nur als letztes Mittel; Erklärung zur Anwendbarkeit und Behandlungsplan sind Pflicht.
3. Business-Continuity-Management
Business-Impact-Analyse mit maximal tolerierbarer Ausfallzeit (MTPD) und Wiederanlaufzeit (RTO) je Prozess.
Notfallplanung: Strategien, Eskalationswege, Kommunikation im Störungsfall und Rückkehr in den Regelbetrieb.
Übungsprogramm: geplante, dokumentierte Notfalltests mit klaren Zielen.
Ziel ist, dass die Labordiagnostik auch bei Störungen mit vertretbaren Einschränkungen weiterläuft.
4. ISMS: Informationssicherheit
Das ISMS folgt ISO/IEC 27001. Der B3S Labor konkretisiert alle 93 Controls aus Annex A als Mindestniveau für Labore:
Controls dürfen verschärft, aber nicht abgeschwächt werden.
Ausschlüsse sind nur zulässig, wenn sie in der Statement of Applicability begründet und an die Risikoanalyse angebunden sind.
Geschäftsführung, Informationssicherheitsbeauftragte, IT und Prozessverantwortliche erhalten klar definierte Aufgaben.
5. Meldepflichten gegenüber BSI und BBK
Benennung einer jederzeit erreichbaren Kontaktstelle für BSI und BBK.
Erhebliche Sicherheitsvorfälle werden mehrstufig über das BSI-Portal gemeldet: Frühwarnung innerhalb von 24 Stunden, danach Folge- und Abschlussmeldung.
Die Meldeprozesse müssen vorbereitet sein, bevor der Ernstfall eintritt.
6. Anforderungen an Lieferanten und Dienstleister
Der B3S Labor verweist für Dritte auf den Branchenstandard Labor zur Informations- und IT-Sicherheit für Lieferanten. Er gilt für IVD-Hersteller ebenso wie für Software-, Cloud-, Support- und Consulting-Anbieter. Kernpunkte:
ISMS: nach ISO/IEC 27001 oder gleichwertig, benannter Security-Ansprechpartner.
Fernwartung: nur auf Anforderung, über VPN mit MFA, protokolliert und zeitlich begrenzt.
Identitäten: eigenes Konto je Person, Least Privilege und Need to Know.
Daten: Verarbeitung im EWR oder mit Angemessenheitsbeschluss, keine Nutzung für Analysen oder KI-Training ohne vertragliche Grundlage.
Patches: spätestens nach 30 Tagen, kritische Lücken (CVSS > 8) nach 10 Tagen, aktiv ausgenutzte Lücken nach 48 Stunden.
Vorfälle: Meldung binnen 6 Stunden, Wiederherstellung binnen 24 Stunden, Bericht binnen 48 Stunden.
Inbetriebnahme: keine End-of-Life-Software, Prüfung auf Schadsoftware, Notfallkonzept für das BCM des Labors.
Kurz-Check: Ist Ihr Labor B3S-ready?
Neun Fragen in drei Bereichen. Können Sie jede mit Ja beantworten, sind Sie gut vorbereitet – wenn nicht, lohnt sich der Readiness-Check.
Organisation
✓ Geltungsbereich und Assets sind dokumentiert.
✓ Risikomanager, ISB und BC-Beauftragter sind benannt.
✓ Die Geschäftsleitung ist zum Risikomanagement geschult.
Resilienz
✓ Eine Business-Impact-Analyse mit RTO und MTPD liegt vor.
✓ Notfallhandbuch existiert, Notfalltests finden statt.
✓ Kontaktstelle und Meldeprozess an das BSI stehen.
Lieferanten
✓ Fernwartung läuft nur über VPN mit MFA und wird protokolliert.
✓ Patch- und Vorfall-SLAs sind vertraglich geregelt.
✓ Lieferantenverträge orientieren sich am ALM-Lieferantenstandard.
Wir sind Teil Ihrer Lieferkette
labGATE, poctGATE und Mirth Connect sitzen genau dort, wo der B3S Labor besonders hinschaut: im Order Entry, an den Schnittstellen und in der Befundkommunikation.
Deshalb richten wir unsere Leistungen am ALM-Lieferantenstandard aus und unterstützen Ihr Lieferantenmanagement mit den Informationen, die Sie für den Nachweis brauchen.
Fernwartung
Auf Anforderung, abgesichert und nachvollziehbar dokumentiert.
Updates
Transparente Update- und Patch-Prozesse für unsere Produkte.
Daten
Verarbeitung nur im vertraglich vereinbarten Rahmen.
Notfall
Unterstützung bei der Einbindung in Ihr BCM und Ihre Notfallplanung.
Wir prüfen gemeinsam mit Ihnen, wo Ihr Labor gegenüber dem B3S Labor 2.0 steht – Geltungsbereich, Risikomanagement, BCM, ISMS-Controls und Lieferanten. Sie erhalten einen priorisierten Maßnahmenplan und auf Wunsch Unterstützung bei der Umsetzung.
Fragen zum B3S Labor? Sprechen Sie mit uns.
Tarek Chafei
Sales / Account Manager
Quellen: ALM e.V., Branchenspezifischer Sicherheitsstandard für die Laboratoriumsdiagnostik – B3S Labor 2.0 (Stand 31.07.2026); ALM e.V., Branchenstandard Labor zur Informations- und IT-Sicherheit für Lieferanten, Version 1.01 (14.09.2026). Weitere Informationen bei der AG IT-Sicherheit des ALM e.V.. Diese Seite fasst die Inhalte zusammen und ersetzt keine Prüfung im Einzelfall.