NIS2 im Gesundheitswesen: Anforderungen für Krankenhäuser und Gesundheitsdienstleister

Krankenhäuser, Labore und Gesundheitsdienstleister zählen zu den am häufigsten angegriffenen Einrichtungen in Europa. Die ENISA hat für den Zeitraum Januar 2021 bis März 2023 215 öffentlich bekannt gewordene Vorfälle im Gesundheitssektor ausgewertet: 53 Prozent betrafen Gesundheitsdienstleister, 42 Prozent allein Krankenhäuser, und Ransomware machte 54 Prozent der Vorfälle aus. Die Folgen sind nicht abstrakt: Systeme fallen aus, Operationen werden verschoben, Patientendaten werden verschlüsselt. Die NIS2-Richtlinie und ihre deutsche Umsetzung im NIS2UmsuCG reagieren auf genau dieses Risikobild – sie erweitern den Kreis der regulierten Gesundheitseinrichtungen deutlich und konkretisieren die Pflichten zu Risikomanagement, Meldung und Leitungsverantwortung.

Dieser Leitfaden erklärt, welche Einrichtungen im Gesundheitswesen konkret betroffen sind, welche Besonderheiten durch vernetzte Medizintechnik und die Telematikinfrastruktur entstehen und wie die technischen und organisatorischen Anforderungen nach NIS2 im Krankenhausalltag umsetzbar sind. Der Fokus liegt auf Krankenhäusern – als besonders wichtige oder wichtige Einrichtungen nach dem BSI-Gesetz (BSIG), als Betreiber kritischer Anlagen und im Zusammenspiel mit § 391 SGB V – sowie auf den Schnittmengen mit MDR, DSGVO und dem Krankenhauszukunftsgesetz.

Hinweis: Die Inhalte dienen ausschließlich der allgemeinen Information. Sie stellen keine Rechts-, Steuer- oder Fachberatung dar und ersetzen diese nicht. Konsultieren Sie für Ihre konkrete Situation einen qualifizierten Berater.

Welche Einrichtungen im Gesundheitswesen sind von NIS2 betroffen?

Das Gesundheitswesen ist in Anhang I der NIS2-Richtlinie (EU) 2022/2555 („Sektoren mit hoher Kritikalität“) als eigenständiger Sektor gelistet. In Deutschland ist dies in § 28 BSIG in Verbindung mit Anlage 1 Nr. 4 („Gesundheit“) umgesetzt. Die Konsequenz: Einrichtungen dieser Einrichtungsarten gelten je nach Größe als besonders wichtige Einrichtungen (in der Regel ab 250 Mitarbeitenden oder mehr als 50 Mio. Euro Jahresumsatz und zugleich mehr als 43 Mio. Euro Jahresbilanzsumme) oder als wichtige Einrichtungen (in der Regel ab 50 Mitarbeitenden oder jeweils mehr als 10 Mio. Euro Jahresumsatz und Jahresbilanzsumme). Betreiber kritischer Anlagen sind unabhängig von diesen Größenschwellen besonders wichtige Einrichtungen.

Anlage 1 Nr. 4 BSIG nennt im Sektor Gesundheit folgende Einrichtungsarten:

• Erbringer von Gesundheitsdienstleistungen im Sinne der Richtlinie 2011/24/EU – darunter insbesondere Krankenhäuser und Kliniken, öffentliche wie private
• EU-Referenzlaboratorien nach Art. 15 der Verordnung (EU) 2022/2371; medizinische Labore können darüber hinaus als Gesundheitsdienstleister erfasst sein
• Unternehmen, die Forschungs- und Entwicklungstätigkeiten in Bezug auf Arzneimittel nach § 2 AMG ausüben
• Hersteller pharmazeutischer Erzeugnisse (NACE Rev. 2 Abschnitt C Abteilung 21) – die Größenschwellen gelten auch hier
• Hersteller von Medizinprodukten, die während einer Notlage im Bereich der öffentlichen Gesundheit als kritisch eingestuft werden („Liste kritischer Medizinprodukte“ nach Art. 22 der Verordnung (EU) 2022/123)
• Alle übrigen Hersteller von Medizinprodukten und In-vitro-Diagnostika fallen nicht unter Anlage 1, sondern unter Anlage 2 Nr. 5.1 BSIG (verarbeitendes Gewerbe) und können damit ab den genannten Größenschwellen wichtige Einrichtungen sein

Einrichtungstyp	Einstufung	Schwellenwert
Krankenhaus mit ≥ 30 000 vollstationären Fällen pro Jahr	Betreiber einer kritischen Anlage – besonders wichtige Einrichtung	Schwellenwert nach Anhang 5 BSI-KritisV, unabhängig von der Unternehmensgröße
Krankenhaus oder Klinikträger (größere Häuser)	Besonders wichtige Einrichtung	≥ 250 MA oder > 50 Mio. € Umsatz und > 43 Mio. € Bilanzsumme
Mittleres Krankenhaus, MVZ, Praxisverbund	Wichtige Einrichtung	≥ 50 MA oder jeweils > 10 Mio. € Umsatz und Bilanzsumme
Kleine Klinik oder Praxis unter den Schwellen	In der Regel nicht vom BSIG erfasst	Krankenhäuser bleiben an § 391 SGB V gebunden
Pharmaunternehmen (Herstellung, Arzneimittel-F&E)	Besonders wichtige oder wichtige Einrichtung	Nach Größe; Herstellungsanlagen ggf. zusätzlich KRITIS nach BSI-KritisV
Medizinproduktehersteller (nicht auf der Krisenliste)	Wichtige Einrichtung	Anlage 2 BSIG, ≥ 50 MA oder jeweils > 10 Mio. € Umsatz und Bilanzsumme

Wichtig: Für die besonders wichtige Einrichtung genügt entweder die Mitarbeiterschwelle (ab 250) oder die Kombination aus einem Jahresumsatz über 50 Millionen Euro und einer Jahresbilanzsumme über 43 Millionen Euro (§ 28 Abs. 1 BSIG). Die Bettenzahl ist kein gesetzliches Kriterium. Prüfen Sie die eigene Einordnung daher anhand von Mitarbeiterzahl, Umsatz und Bilanzsumme sowie – für die KRITIS-Frage – anhand der vollstationären Fallzahl.

KRITIS-Krankenhäuser und § 391 SGB V: Welche Krankenhäuser als kritische Anlagen gelten, richtet sich bis zum Inkrafttreten der neuen Rechtsverordnung nach dem KRITIS-Dachgesetz weiterhin nach der BSI-Kritisverordnung (§ 66 BSIG). Dort liegt der Schwellenwert für die stationäre medizinische Versorgung bei 30 000 vollstationären Fällen pro Jahr; für Labore bei 1,5 Millionen Aufträgen pro Jahr. Betreiber kritischer Anlagen müssen zusätzlich Systeme zur Angriffserkennung einsetzen (§ 31 Abs. 2 BSIG) und die Umsetzung alle drei Jahre durch Audits, Prüfungen oder Zertifizierungen nachweisen (§ 39 BSIG). Unabhängig davon verpflichtet § 391 SGB V Krankenhäuser, nach dem Stand der Technik angemessene organisatorische und technische Vorkehrungen für ihre IT zu treffen, einschließlich verpflichtender Maßnahmen zur Security-Awareness. Diese Pflicht gilt für alle Krankenhäuser, soweit sie nicht ohnehin als Betreiber kritischer Anlagen den §§ 30, 31 und 39 BSIG unterliegen. Als Weg zur Erfüllung nennt § 391 Abs. 4 SGB V einen branchenspezifischen Sicherheitsstandard, dessen Eignung das BSI nach § 30 Abs. 8 BSIG festgestellt hat – in der Praxis den von der Deutschen Krankenhausgesellschaft erarbeiteten B3S für Krankenhäuser.

Krankenhäuser als besonders wichtige Einrichtungen: Was das konkret bedeutet

Größere Krankenhäuser und Klinikträger erreichen häufig die Schwellen für besonders wichtige Einrichtungen. Als solche unterliegen sie der BSI-Aufsicht nach § 61 BSIG: Das Bundesamt für Sicherheit in der Informationstechnik kann die Einhaltung der Anforderungen überprüfen, Audits durch unabhängige Stellen anordnen und Mängelbeseitigung verlangen. Für zugelassene Krankenhäuser nach § 108 SGB V gilt eine Besonderheit: Die Vorlage von Nachweisen kann das BSI ihnen gegenüber grundsätzlich frühestens fünf Jahre nach Inkrafttreten des Gesetzes anordnen, sofern nicht per Rechtsverordnung ein früherer Zeitpunkt bestimmt wird (§ 61 Abs. 3 BSIG). Bei Verstößen gegen zentrale Pflichten sind Bußgelder bis zu 10 Millionen Euro möglich, bei einem weltweiten Gesamtumsatz von mehr als 500 Millionen Euro bis zu 2 Prozent dieses Umsatzes (§ 65 Abs. 5 und 6 BSIG).

Der entscheidende Unterschied zu früheren IT-Sicherheitsanforderungen liegt in drei Punkten:

• Leitungsverantwortung und Haftung der Geschäftsleitung: Nach § 38 BSIG (Art. 20 NIS2) muss die Geschäftsleitung – also Geschäftsführung, Vorstand oder Klinikleitung – die Risikomanagementmaßnahmen umsetzen und ihre Umsetzung überwachen; sie haftet bei schuldhafter Pflichtverletzung gegenüber der Einrichtung nach den gesellschaftsrechtlichen Regeln und muss regelmäßig an Schulungen teilnehmen. Eine Delegation an die IT-Abteilung entbindet nicht von dieser Verantwortung.
• BSI-Registrierungspflicht: Betroffene Einrichtungen müssen sich nach § 33 BSIG über das BSI-Portal registrieren und u. a. aktuelle Kontaktdaten sowie öffentliche IP-Adressbereiche übermitteln. Die Frist endete am 6. März 2026; wer noch nicht registriert ist, sollte dies unverzüglich nachholen.
• Wirksamkeitsprüfung und Nachweise: Die Einrichtungen benötigen Konzepte und Verfahren zur Bewertung der Wirksamkeit ihrer Maßnahmen (§ 30 Abs. 2 Nr. 6 BSIG) und müssen die Einhaltung dokumentieren. Regelmäßige Nachweise durch Audits, Prüfungen oder Zertifizierungen sind für Betreiber kritischer Anlagen vorgeschrieben (§ 39 BSIG); bei anderen besonders wichtigen Einrichtungen kann das BSI sie anordnen.

Das Krankenhauszukunftsgesetz (KHZG) hat mit dem Krankenhauszukunftsfonds 3 Milliarden Euro Bundesmittel bereitgestellt, ergänzt um einen Kofinanzierungsanteil der Länder bzw. Träger von mindestens 30 Prozent. Mindestens 15 Prozent der Fördermittel sind für Maßnahmen zur Verbesserung der Informationssicherheit zu verwenden (§ 14a KHG); IT-Sicherheit ist zudem ein eigener Fördertatbestand (Fördertatbestand 10, § 19 Abs. 1 Nr. 10 KHSFV). NIS2 baut auf dieser Grundlage auf und erweitert die Anforderungen. Kliniken, die KHZG-Mittel für IT-Sicherheit erhalten haben, sollten überprüfen, ob ihre investierten Systeme die gesetzlichen Mindestanforderungen vollständig abdecken.

Medizintechnik und MDR: Wenn Produktsicherheit auf Cybersicherheit trifft

Eine der größten Herausforderungen für Krankenhäuser ist die Sicherheit vernetzter Medizintechnik. Beatmungsgeräte, Infusionspumpen, bildgebende Systeme (CT, MRT), Patientenmonitore und OP-Roboter sind heute routinemäßig in Kliniknetzwerke eingebunden. Diese Geräte sind nach der EU-Medizinprodukteverordnung (MDR, EU 2017/745) reguliert – und die MDR stellt seit 2021 eigene Cybersicherheitsanforderungen.

Anhang I MDR (insbesondere Abschnitte 17 und 18.8) verpflichtet Hersteller von Produkten mit Software oder programmierbaren Elektroniksystemen, Informationssicherheit bei Entwicklung und Herstellung zu berücksichtigen. Das umfasst:

• Entwicklung der Software nach dem Stand der Technik unter Berücksichtigung des Software-Lebenszyklus und des Risikomanagements einschließlich der Informationssicherheit (Abschnitt 17.2)
• Schutz der Produkte vor unbefugtem Zugriff, der das bestimmungsgemäße Funktionieren behindern könnte, soweit wie möglich (Abschnitt 18.8)
• Festlegung von Mindestanforderungen an Hardware, IT-Netze und IT-Sicherheitsmaßnahmen einschließlich des Schutzes vor unbefugtem Zugriff (Abschnitt 17.4)
• Angabe dieser Mindestanforderungen in der Gebrauchsanweisung, damit Betreiber den sicheren Betrieb planen können

Die Konsequenz für Krankenhäuser: Sie sind nicht nur als Betreiber nach NIS2 verantwortlich, sondern sollten im Rahmen der Sicherheit der Lieferkette (§ 30 Abs. 2 Nr. 4 BSIG) auch von ihren Medizintechniklieferanten sicherheitsbezogene Zusagen einfordern. Für Gesundheits-Apps, Web-Anwendungen und deren Hintergrundsysteme hat das BSI zudem die Technische Richtlinie TR-03161 „Anforderungen an Anwendungen im Gesundheitswesen“ veröffentlicht, die sich an Entwickler solcher Anwendungen richtet.

Praktisch bedeutet das: Vor jeder Beschaffung von vernetzten Medizingeräten sollte ein Sicherheitsassessment stattfinden. Fragen an Hersteller sollten umfassen: Wie lange werden Sicherheitsupdates bereitgestellt? Was passiert mit dem Gerät, wenn das Betriebssystem (z. B. Windows Embedded) End-of-Support erreicht? Welche Netzwerkports und -protokolle werden zwingend benötigt?

Problemszenario	Ursache	NIS2-Maßnahme
Veraltetes Betriebssystem auf CT-Scanner	Hersteller stellt keine Updates mehr bereit	Netzwerksegmentierung, Beschaffungsrichtlinie mit Mindest-Supportzeitraum
Kompromittierter Remote-Zugang eines Geräteherstellers	Kein Monitoring von Wartungszugriffen	Jump-Host, Protokollierung aller Fernzugriffe, MFA
Infusionspumpe als Einfallstor ins Kliniknetz	Flaches Netzwerk ohne Segmentierung	VLAN für Medizingeräte, Zugriffskontrolllisten, Anomalie-Erkennung
Ransomware breitet sich über KIS auf alle Stationen aus	Fehlende Backup-Isolierung, kein Incident-Response-Plan	Offline-Backup, regelmäßige Restore-Tests, Krisenplan für Notbetrieb

eHealth-Infrastruktur: Telematikinfrastruktur, ePA und DiGA

Der Gesundheitssektor steht vor einer weiteren Besonderheit: der verpflichtenden Anbindung an die nationale eHealth-Infrastruktur. Die Telematikinfrastruktur (TI), verantwortet von der Gesellschaft für Telematik (gematik), verbindet Krankenhäuser, Arztpraxen, Apotheken und Labore. Alle angebundenen Einrichtungen werden dadurch zu einem gemeinsamen Netzwerkverbund – und jede Sicherheitslücke in einem Teil dieses Verbunds kann auf andere übergreifen. Hinweis: Die gematik selbst und Betreiber zugelassener TI-Dienste sind insoweit von bestimmten BSIG-Pflichten ausgenommen, weil für sie Sonderregeln im SGB V gelten (§ 28 Abs. 6 BSIG) – für Krankenhäuser als Nutzer der TI gilt diese Ausnahme nicht.

Seit 2025 wird die elektronische Patientenakte (ePA für alle) eingeführt: Versicherte erhalten automatisch eine ePA, sofern sie nicht widersprechen. Zugelassene Krankenhäuser sind nach § 348 SGB V verpflichtet, bestimmte Behandlungsdaten – etwa Befundberichte und Entlassbriefe – in die ePA zu übermitteln, soweit Versicherte nicht widersprochen haben. Das erhöht den Schutzbedarf für Patientendaten erheblich.

Parallel dazu wächst die Zahl der Digitalen Gesundheitsanwendungen (DiGA) – „Apps auf Rezept“, die das BfArM nach § 139e SGB V in das DiGA-Verzeichnis aufnimmt. Krankenhäuser, die DiGA in ihre Behandlungspfade integrieren, sollten auch diese Schnittstellen in ihrer Risikobetrachtung berücksichtigen.

Für NIS2-pflichtige Einrichtungen bedeutet das konkret:

• TI-Konnektoren und TI-Gateways sind Teil der sicherheitsrelevanten IT-Infrastruktur und sollten in die Risikoanalyse einbezogen werden.
• Zugangsberechtigungen zur TI sollten nach dem Least-Privilege-Prinzip vergeben und regelmäßig überprüft werden.
• Bei TI-bezogenen Sicherheitsvorfällen ist neben der BSI-Meldung eine frühzeitige Abstimmung mit dem TI-Dienstleister sinnvoll; gesetzlich zur Meldung erheblicher TI-Störungen an die gematik verpflichtet sind nach § 329 SGB V die Anbieter zugelassener TI-Komponenten und -Dienste.
• Die Vorgaben der gematik (zugelassene Komponenten und Dienste, zulässige Betriebsumgebungen) bilden einen Mindeststandard – die BSIG-Pflichten gelten darüber hinaus.

Patientendatenschutz: DSGVO und NIS2 im Zusammenspiel

Patientendaten gehören nach Art. 9 DSGVO zu den besonders sensiblen Kategorien personenbezogener Daten (Gesundheitsdaten). Der Schutz dieser Daten unterliegt damit zwei parallelen Regulierungsregimes: DSGVO und NIS2. Beide stellen eigene Anforderungen – und bei einem Sicherheitsvorfall sind beide Meldewege separat zu bedienen.

Was die DSGVO fordert: Technische und organisatorische Maßnahmen nach Art. 32 DSGVO, Meldung von Datenschutzverletzungen an die zuständige Datenschutzbehörde binnen 72 Stunden (Art. 33 DSGVO), ggf. Benachrichtigung betroffener Patienten.

Was NIS2 zusätzlich fordert: Meldung „erheblicher Sicherheitsvorfälle“ an die gemeinsame Meldestelle von BSI und BBK in mehreren Stufen (24 Stunden, 72 Stunden, Abschlussmeldung spätestens einen Monat nach der Vorfallmeldung), auch wenn keine Datenschutzverletzung im DSGVO-Sinne vorliegt – etwa bei einem reinen Betriebsausfall ohne Datenverlust. Die NIS2-Meldepflichten sind also weiter gefasst als die DSGVO-Meldepflicht. Hat eine Datenschutzaufsichtsbehörde für dasselbe Verhalten bereits eine DSGVO-Geldbuße verhängt, darf nach § 65 Abs. 11 BSIG keine weitere Geldbuße nach dem BSIG verhängt werden.

Für die Praxis bedeutet das: Krankenhäuser benötigen einen integrierten Incident-Response-Plan, der beide Meldewege erfasst. Typische Fehlerquelle ist die Verwechslung der zuständigen Behörden: Die NIS2-Meldung geht über das BSI-Portal (portal.bsi.bund.de) an das BSI, die DSGVO-Meldung an die zuständige Datenschutzaufsichtsbehörde, in der Regel die des jeweiligen Landes.

Praxishinweis: Ein Ransomware-Angriff auf ein Krankenhaus ohne nachweislichen Datenabfluss kann beide Meldepflichten auslösen: NIS2 wegen der erheblichen Betriebsstörung, DSGVO, weil auch die Nichtverfügbarkeit von Patientendaten eine Datenschutzverletzung sein kann, sofern sie voraussichtlich zu einem Risiko für die Betroffenen führt. Prüfen Sie beide Meldepflichten unabhängig voneinander und reichen Sie die Meldungen jeweils fristgerecht ein.

Die zehn NIS2-Maßnahmen im Gesundheitskontext

Die zehn Mindestmaßnahmen nach § 30 Abs. 2 BSIG (Art. 21 Abs. 2 NIS2) gelten für alle besonders wichtigen und wichtigen Einrichtungen – ihre Ausgestaltung richtet sich nach dem Grundsatz der Verhältnismäßigkeit. Im Gesundheitssektor haben einige davon besondere Relevanz:

1. Risikoanalyse und Sicherheitsrichtlinien: Im Krankenhaus sollte die Risikoanalyse neben der klassischen IT auch medizintechnische Systeme, die TI-Anbindung, die ePA-Infrastruktur und die physische Sicherheit von Serverräumen (oft in Bestandsgebäuden untergebracht) umfassen. Empfehlenswert ist eine Klassifizierung nach klinischer Kritikalität: Ein Ausfall des OP-Planungssystems hat andere Konsequenzen als ein Ausfall des Parkhausterminals.

2. Incident-Behandlung: Krankenhäuser sollten intern festlegen, nach welchen Kriterien ein Sicherheitsvorfall als „erheblich“ eingestuft wird und welcher Ablauf dann gilt. Besonderheit: Bei einem IT-Ausfall im Krankenhaus muss gleichzeitig der klinische Notbetrieb aufrechterhalten werden. Der Notfallplan für IT-Vorfälle sollte daher mit dem klinischen Notfallkonzept verzahnt sein.

3. Business Continuity und Notfallplanung: Im Gesundheitswesen bedeutet BCM mehr als IT-Recovery. Es umfasst die Frage: Wie werden Patienten versorgt, wenn das KIS (Krankenhausinformationssystem) ausfällt? Gut vorbereitete Häuser haben Notfallmappen auf den Stationen, vorausgefüllte Papierdokumentationsbögen und klare Eskalationswege.

4. Lieferkettensicherheit: Medizingeräte-Hersteller, Softwareanbieter für KIS und RIS/PACS, TI-Serviceprovider und externe IT-Dienstleister sollten vertraglich zur Einhaltung von Mindestsicherheitsstandards verpflichtet werden.

5. Sicherheit bei Erwerb, Entwicklung und Wartung: Vor Beschaffung neuer Systeme (KIS, Bildgebung, Labor-IT) sollte ein Sicherheitsassessment erfolgen. Firmware-Updates für Medizingeräte sollten protokolliert werden.

6. Wirksamkeitsbewertung: Konzepte zur Bewertung der Wirksamkeit sind Pflicht; in der Praxis eignen sich dafür externe Penetrationstests und Audits in regelmäßigen Abständen. Das BSI kann gegenüber besonders wichtigen Einrichtungen Nachweise anordnen.

7. Cyber-Hygiene und Schulung: Klinisches Personal – Ärzte, Pflegekräfte, Verwaltung – sollte in IT-Sicherheitsgrundlagen geschult werden. Für Krankenhäuser schreibt § 391 Abs. 2 SGB V Maßnahmen zur Security-Awareness der Mitarbeitenden ausdrücklich vor; die Geschäftsleitung muss nach § 38 Abs. 3 BSIG selbst regelmäßig an Schulungen teilnehmen.

8. Kryptographie und Verschlüsselung: Patientendaten in Übertragung (TI, E-Mail, App) und Speicherung sollten verschlüsselt werden. Der ePA-Datenaustausch nutzt die TI-eigene Verschlüsselung, aber interne Systeme (KIS-Datenbanken, Backup-Medien) erfordern eigene Verschlüsselungsmaßnahmen.

9. Zugangskontrolle und Asset-Management: Stationscomputer, Tablets am Patientenbett und mobile Endgeräte (Visite-Tablets) sollten im Asset-Inventar geführt werden. Zugänge zum KIS sollten personalisiert sein – gemeinsame Stationslogins lassen sich mit den Anforderungen an Zugriffskontrolle und Nachvollziehbarkeit kaum vereinbaren.

10. MFA und starke Authentifizierung: Das Gesetz verlangt den Einsatz von Lösungen zur Multi-Faktor-Authentifizierung oder kontinuierlichen Authentifizierung; in der Regel ist MFA zumindest für privilegierte Zugänge, Remote-Zugang ins Kliniknetz und administrative Systeme angezeigt. Für klinisches Personal ist der Rollout anspruchsvoll – Proximity-Karten (RFID-Ausweise) oder PIN-basierte Kurzlogin-Verfahren haben sich in der Praxis bewährt.

Meldepflichten bei Sicherheitsvorfällen im Krankenhaus

Im Gesundheitssektor können Sicherheitsvorfälle unmittelbare Konsequenzen für die Patientenversorgung haben. Die gesetzlichen Meldefristen gelten dennoch auch unter Ausnahmebedingungen.

Die mehrstufige Meldekaskade nach § 32 BSIG:

• Frühe Erstmeldung innerhalb von 24 Stunden nach Kenntniserlangung: Angabe, ob ein Verdacht auf rechtswidrige oder böswillige Handlungen besteht und ob grenzüberschreitende Auswirkungen möglich sind.
• Meldung innerhalb von 72 Stunden: Bestätigung bzw. Aktualisierung der Erstmeldung, erste Bewertung einschließlich Schweregrad und Auswirkungen, gegebenenfalls Kompromittierungsindikatoren.
• Abschlussmeldung spätestens einen Monat nach der 72-Stunden-Meldung: ausführliche Beschreibung, Ursache, getroffene und laufende Abhilfemaßnahmen; dauert der Vorfall noch an, zunächst eine Fortschrittsmeldung.

Für Krankenhäuser empfiehlt es sich, im Vorfeld klarzustellen, wer im Notfall für die BSI-Meldung zuständig ist. Idealerweise ist das der CISO oder IT-Sicherheitsbeauftragte, mit einer Stellvertretungsregelung für Nacht- und Wochenenddienste. Die Meldung geht über das BSI-Portal. Vollständige Informationen zu Ablauf und Inhalt der Meldungen finden Sie im NIS2-Leitfaden zu Meldepflichten und Fristen.

Praktische Schritte zur NIS2-Umsetzung im Krankenhaus

Die Umsetzung von NIS2 im Krankenhaus ist kein Einmalprojekt, sondern ein kontinuierlicher Prozess. Folgende Schritte haben sich in der Praxis bewährt:

1. Betroffenheit prüfen: Analyse der Mitarbeitendenzahl, des Jahresumsatzes und der Bilanzsumme sowie der vollstationären Fallzahl (KRITIS). Bei Konzernstrukturen (z. B. Klinikkette) sind nach der KMU-Empfehlung der Kommission grundsätzlich auch Daten von Partner- und verbundenen Unternehmen einzubeziehen – außer die Einrichtung ist hinsichtlich ihrer IT-Systeme unabhängig (§ 28 Abs. 4 BSIG).
2. Verantwortlichkeiten klären: Benennung eines Informationssicherheitsbeauftragten (ISB), Festlegung der Leitungsverantwortung nach § 38 BSIG.
3. Risikoanalyse durchführen: Bestandsaufnahme aller IT- und Medizingeräte-Systeme, Klassifizierung nach klinischer Kritikalität, Identifikation der größten Risiken.
4. Notfall- und Meldepläne erstellen: Integration von NIS2- und DSGVO-Meldepflichten in einen einheitlichen Incident-Response-Plan.
5. Beim BSI registrieren: Über das BSI-Portal; die gesetzliche Frist nach § 33 BSIG endete am 6. März 2026 – ausstehende Registrierungen unverzüglich nachholen.
6. Lieferantenverträge überprüfen: Sicherheitsklauseln in Verträge mit IT-Dienstleistern und Medizingeräte-Herstellern integrieren.
7. Schulungen planen: Klinisches Personal, Verwaltung, IT-Mitarbeitende und die Geschäftsleitung schulen.

Häufige Fragen (FAQ)

Gilt NIS2 auch für kleine Privatkliniken mit 30 Betten?
In der Regel nicht, sofern die Klinik unter den Größenschwellen bleibt: Einrichtungen mit weniger als 50 Mitarbeitenden, deren Jahresumsatz oder Jahresbilanzsumme 10 Millionen Euro nicht übersteigt, fallen grundsätzlich nicht unter die BSIG-Pflichten – vorbehaltlich einer Einstufung als Betreiber einer kritischen Anlage. Für Krankenhäuser gilt jedoch unabhängig von der Größe § 391 SGB V, der IT-Sicherheitsvorkehrungen nach dem Stand der Technik verlangt. Mindestsicherheitsstandards sind auch wegen der Anbindung an die Telematikinfrastruktur sinnvoll.

Wir sind ein Universitätsklinikum der öffentlichen Hand. Gelten besondere Regelungen?
Öffentliche Krankenhäuser werden grundsätzlich wie private eingeordnet: § 28 BSIG erfasst juristische Personen und auch rechtlich unselbstständige Organisationseinheiten einer Gebietskörperschaft, die entgeltlich Dienstleistungen anbieten und einer Einrichtungsart der Anlagen 1 oder 2 zuzuordnen sind. Maßgeblich sind damit auch hier Einrichtungsart, Größe und gegebenenfalls die KRITIS-Schwelle. Die NIS2-Kategorie „öffentliche Verwaltung“ betrifft Verwaltungsbehörden, nicht den Klinikbetrieb; im BSIG sind dazu nur Einrichtungen der Bundesverwaltung geregelt (§ 29 BSIG).

Haben wir durch KHZG-Förderung bereits alle NIS2-Anforderungen erfüllt?
Nicht zwingend. Der KHZG-Fördertatbestand 10 (IT-Sicherheit) hat in viele Häuser IT-Sicherheitsinvestitionen gebracht, deckt aber nicht automatisch alle zehn Mindestmaßnahmen nach § 30 Abs. 2 BSIG ab. Insbesondere Lieferkettensicherheit, formale Risikoanalyse und Wirksamkeitsnachweise durch Audits sind im KHZG-Rahmen oft nicht vollständig adressiert.

Welche Bußgelder drohen konkret?
Bei besonders wichtigen Einrichtungen sind für Verstöße gegen zentrale Pflichten Bußgelder bis zu 10 Millionen Euro möglich, bei einem weltweiten Gesamtumsatz von mehr als 500 Millionen Euro bis zu 2 Prozent des Gesamtumsatzes; bei wichtigen Einrichtungen bis zu 7 Millionen Euro bzw. 1,4 Prozent (§ 65 BSIG). Kommt eine besonders wichtige Einrichtung Anordnungen des BSI trotz Fristsetzung nicht nach, kann die zuständige Aufsichtsbehörde als letztes Mittel unzuverlässigen Geschäftsleitungen die Ausübung ihrer Tätigkeit vorübergehend untersagen (§ 61 Abs. 9 BSIG).

Müssen wir auch Patienten über NIS2-bezogene Vorfälle informieren?
NIS2 sieht keine direkte Patientenbenachrichtigung vor. Wenn jedoch personenbezogene Gesundheitsdaten betroffen sind, gilt parallel Art. 34 DSGVO: Betroffene Personen sind über Datenschutzverletzungen zu benachrichtigen, sofern ein hohes Risiko für deren Rechte und Freiheiten besteht.

Wir haben eine externe IT-Firma, die alles managed. Sind wir trotzdem verantwortlich?
Ja. Das Krankenhaus bleibt als regulierte Einrichtung selbst verantwortlich – auch wenn Teile der IT-Sicherheit durch Dienstleister erbracht werden. Nach § 38 Abs. 1 BSIG ist die Geschäftsleitung verpflichtet, die Risikomanagementmaßnahmen umzusetzen und deren Umsetzung zu überwachen; Dienstleister sind zudem über die Lieferkettensicherheit (§ 30 Abs. 2 Nr. 4 BSIG) einzubinden.

Quellen

• NIS-2-Richtlinie (EU) 2022/2555, Europäisches Parlament und Rat
• BSIG (BSI-Gesetz) i.d.F. des NIS2UmsuCG, Gesetze im Internet
• BSI-Kritisverordnung (BSI-KritisV), Gesetze im Internet
• § 391 SGB V – IT-Sicherheit in Krankenhäusern, Gesetze im Internet
• § 14a KHG – Krankenhauszukunftsfonds, Gesetze im Internet
• Medizinprodukteverordnung (MDR) EU 2017/745, EUR-Lex
• BSI – NIS-2-regulierte Unternehmen
• ENISA – Threat Landscape: Health Sector (2023)
• Gematik – Telematikinfrastruktur