NIS2 im Gesundheitswesen

NIS2 erfasst alle Akteure des Gesundheitssektors ab bestimmten Schwellenwerten. Besonders wichtige Einrichtungen sind Unternehmen ab 250 Mitarbeitern oder 50 Mio EUR Umsatz - klassisch Krankenhauskonzerne, große Reha-Träger oder Pharmagruppen. Wichtige Einrichtungen sind alle Akteure ab 50 Mitarbeitern oder 10 Mio EUR Umsatz - hier greift bereits eine mittelgroße Tagesklinik, ein MVZ-Verbund oder ein Apothekenverbund. Größenunabhängig pflichtig sind unter anderem Anbieter von Vertrauensdiensten und kritische Anlagen. Erfasst werden konkret: Krankenhäuser und Klinikverbünde, MVZ ab den genannten Schwellen, größere Arztpraxen (Gemeinschaftspraxen, Praxisverbünde), Labore und Diagnostikzentren, Apothekennetzwerke, Pharmahersteller, Medizinprodukte-Hersteller und IT-Dienstleister im Healthcare-Umfeld. Wichtig: Auch unterhalb der Schwellen kann der Lieferketten-Effekt nach § 30 Abs. 2 Nr. 4 BSIG greifen - wenn Sie als Zulieferer für eine NIS2-pflichtige Einrichtung tätig sind, fordert der Mandant die Nachweise weiter.

§ 30 des novellierten BSIG definiert zehn Mindestmaßnahmen, die seit 6. Dezember 2025 gelten. Für Healthcare-Einrichtungen bedeuten sie konkret: 1. Dokumentierte Risikoanalyse mit jährlicher Aktualisierung und Risikobehandlungsplan (Mapping zu B3S Krankenhaus zulässig). 2. Incident-Response-Prozess inkl. dokumentierter Eskalationskette von Stationsleitung bis zur Geschäftsführung. 3. Backup-Konzept nach 3-2-1-Regel mit getesteten Wiederherstellungsplänen - Pflicht: regelmäßige Disaster-Recovery-Übungen mit dokumentiertem Ergebnis. 4. Lieferketten-Sicherheit: vertragliche Sicherheitsanforderungen an alle IT-Dienstleister, Medizingeräte-Hersteller, Cloud-Anbieter. 5. Patch- und Schwachstellenmanagement für IT und vernetzte Medizintechnik. 6. Wirksamkeitsmessung durch interne Audits und Pentests. 7. Awareness-Programme für alle Beschäftigten - inkl. verpflichtender Schulung der Geschäftsführung nach § 38 BSIG. 8. Verschlüsselung von Patientendaten in Übertragung und Speicherung. 9. Zugriffskontrolle nach Need-to-know-Prinzip mit Privileged Access Management. 10. Multi-Faktor-Authentifizierung für alle kritischen Systeme - PACS, KIS, Praxisverwaltung, Apothekensoftware, Remote-Wartung.

Vertragsärzte sind seit langem an die KBV-IT-Sicherheitsrichtlinie nach § 75b SGB V gebunden. Die Anforderungen überschneiden sich zu großen Teilen mit § 30 BSIG. Wer KBV-Richtlinie bereits ordentlich umgesetzt hat, bringt rund 60 Prozent der NIS2-Pflichten mit. Lücken bleiben bei: Lieferketten-Sicherheit (KBV behandelt das nur rudimentär), dokumentierter Incident-Response-Prozess mit 24h-Meldekette, MFA-Pflicht für alle administrativen Zugänge. Für Krankenhäuser liefert der B3S Krankenhaus (branchenspezifischer Sicherheitsstandard nach BSI-KritisV) eine noch tiefere Mapping-Basis. Praktisches Vorgehen: Bestehende KBV- oder B3S-Audits als Ausgangspunkt nehmen, NIS2-Gap-Analyse erstellen, fehlende 30-40 Prozent gezielt schließen. Wichtig: Die DSGVO Art. 9 (besondere Datenkategorien) gilt parallel und unverändert - Cyber-Vorfälle mit Gesundheitsdaten lösen sowohl NIS2-Meldung (24h ans BSI) als auch DSGVO-Meldung (72h an Aufsichtsbehörde) aus.

Die BSI-Registrierung war bis zum 6. März 2026 verpflichtend - laut security-insider haben sich nur rund 38,5 Prozent der betroffenen Unternehmen rechtzeitig registriert. Für Healthcare-Einrichtungen gilt: 1. Zugang über Mein Unternehmenskonto (MUK) einrichten - braucht ein ELSTER-Organisationszertifikat. 2. Registrierung im BSI-Portal mit 24/7-erreichbarer NIS2-Kontaktstelle benennen. 3. Sektor (Gesundheit), Einrichtungsart (besonders wichtig oder wichtig), betroffene EU-Länder, IP-Adressbereiche melden. 4. Änderungen unverzüglich innerhalb von zwei Wochen nachmelden. Im Schadenfall greift der dreistufige Meldeprozess: Frühwarnung binnen 24 Stunden, Detailmeldung binnen 72 Stunden, Abschlussbericht spätestens nach 30 Tagen. Verstöße gegen die Meldepflichten kosten bis zu 500.000 EUR pro Verstoß - separat zu allen anderen Bußgeldern. Empfehlung: Meldeprozess in den Incident-Response-Plan integrieren, Tabletop-Exercises mit Stoppuhr durchführen, Verantwortlichkeiten in der Rufbereitschaft klären.

Das Bußgeldregime nach § 65 BSIG ist staffeling gestaltet. Besonders wichtige Einrichtungen (Krankenhaus-Konzerne, große Pharmakonzerne) müssen mit bis zu 10 Mio EUR oder 2 Prozent des weltweiten Jahresumsatzes rechnen - der jeweils höhere Betrag gilt. Wichtige Einrichtungen (MVZ, Praxisverbund, Apothekenkette) liegen bei bis zu 7 Mio EUR oder 1,4 Prozent. Persönliche Geschäftsführerhaftung nach § 38 BSIG ist die einschneidendste Neuerung: Klinik-Geschäftsführer, Vorstände und MVZ-Träger haften persönlich mit dem Privatvermögen für Pflichtverletzungen - bereits bei leichter Fahrlässigkeit. Die Business Judgment Rule gilt hier nicht. Vertraglicher Haftungsverzicht ist nach § 38 Abs. 2 S. 3 BSIG ausgeschlossen. Im Streitfall trägt der Geschäftsführer die Darlegungslast für die Erfüllung seiner Überwachungspflichten. Konkrete Folge: Eine D&O-Versicherung für Klinikgeschäftsführung ist 2026 keine Option mehr, sondern Pflicht-Baustein. Sie muss eine Cyber-NIS2-Klausel enthalten - viele Bestandspolicen tun das noch nicht.

Eine wirksame Cyberversicherung für Kliniken, MVZ oder größere Arztpraxen muss vier Bereiche abdecken. Erstens Patientendatenverlust und DSGVO-Folgen: Benachrichtigung Betroffener, Forensik, Anwaltskosten, Bußgeld-Rechtsschutz (Bußgelder selbst sind nach § 30 OWiG meist nicht versicherbar, aber die Verteidigung). Zweitens Betriebsunterbrechung im Klinikbetrieb: OP-Ausfall, Stationsschließung, Notfall-Umlagerung von Patienten, Wiederherstellungskosten. Hier sind Versicherungssummen unter 1 Mio EUR meist zu niedrig - der Ameos-Vorfall zeigte siebenstellige Folgekosten. Drittens 24/7-IT-Forensik mit Healthcare-Erfahrung: KIS-, PACS- und Praxisverwaltungs-Kenntnis ist Pflicht, klassische Office-Forensiker scheitern hier. Viertens Lösegeld-Klausel kritisch prüfen: Viele Tarife schließen Ransomware-Zahlungen aus oder verlangen Vorab-Freigabe. Für Kliniken ist die operative Verhandlung im Ernstfall entscheidender als die Auszahlung. Bei mehreren Anbietern - siehe unseren Anbieter-Vergleich - sind Hiscox und Markel für Healthcare-Risiken besonders aufgestellt.

Woche 1-2: Betroffenheitsprüfung dokumentieren, BSI-Registrierung nachholen falls noch nicht erfolgt, NIS2-Kontaktstelle 24/7 benennen. Woche 3-4: Bestehende KBV- oder B3S-Audits sichten, Gap-Analyse zu § 30 BSIG erstellen, Risikobehandlungsplan in Schriftform. Woche 5-6: Incident-Response-Prozess dokumentieren, 24h/72h/30d-Meldekette mit Stoppuhr durchspielen, Verantwortlichkeiten in der Rufbereitschaft klären. Woche 7-8: Lieferanten-Inventur, vertragliche Cybersicherheits-Klauseln für alle IT-Dienstleister und Medizingeräte-Hersteller nachverhandeln. Woche 9-10: MFA für alle administrativen Zugänge ausrollen (PACS, KIS, Praxisverwaltung, Remote-Wartung), Backup-Strategie nach 3-2-1-Regel testen. Woche 11-12: Awareness-Schulungen rollout, dokumentierte Geschäftsführer-Schulung nach § 38 BSIG, Cyberpolice-Vergleich abschließen, D&O-Police auf NIS2-Klausel prüfen. Danach: jährlicher Audit-Zyklus, Tabletop-Exercises mindestens halbjährlich, Anpassung der Cyberpolice-Versicherungssumme an den dokumentierten Worst-Case-Schaden.