NIS2 in de zorg: wie eronder valt, van kliniek tot medische technologie
Eronder vallen zorgaanbieders zoals ziekenhuizen en praktijken, farmaceutische bedrijven en fabrikanten van medische hulpmiddelen, zodra zij minstens 50 medewerkers hebben of een jaaromzet en een balanstotaal van elk meer dan 10 miljoen EUR (§ 28 BSIG). Gezondheid staat in bijlage 1 van de BSIG, medische technologie in bijlage 2. Bedrijven die eronder vallen, registreren zich bij het BSI, nemen beveiligingsmaatregelen en melden significante incidenten.
Wie in de zorg eronder valt
Deze soorten entiteiten noemt de BSIG. Een bedrijf valt eronder als het ook groot genoeg is.
§ 28 BSIG · bijlagen 1 en 2
| Wie | Waar in de BSIG |
|---|---|
| Ziekenhuizen, praktijken, apotheken en anderen die gezondheidszorg verlenen | Bijlage 1 nr. 4.1.1 |
| EU-referentielaboratoria | Bijlage 1 nr. 4.1.2 |
| Bedrijven die onderzoek en ontwikkeling van geneesmiddelen doen | Bijlage 1 nr. 4.1.3 |
| Fabrikanten van farmaceutische producten | Bijlage 1 nr. 4.1.4 |
| Fabrikanten van medische hulpmiddelen die tijdens een noodsituatie op het gebied van de volksgezondheid als kritiek worden beschouwd | Bijlage 1 nr. 4.1.5 |
| Alle andere fabrikanten van medische hulpmiddelen en medische hulpmiddelen voor in-vitrodiagnostiek | Bijlage 2 nr. 5.1.1 |
Zo'n bedrijf is een belangrijke entiteit vanaf 50 medewerkers, of met een jaaromzet en een balanstotaal van elk meer dan 10 miljoen EUR.
Alleen bedrijven uit bijlage 1 kunnen essentiële entiteiten zijn: vanaf 250 medewerkers, of met meer dan 50 miljoen EUR omzet en meer dan 43 miljoen EUR balanstotaal, of als exploitant van een kritieke installatie.
Medische technologie: bijlage 1 of bijlage 2
Fabrikanten van medische hulpmiddelen volgens de MDR en van medische hulpmiddelen voor in-vitrodiagnostiek volgens de IVDR staan in bijlage 2. Zij zijn belangrijke entiteiten vanaf 50 medewerkers, ook als ze zeer groot zijn.
Staat een product op de lijst van kritieke medische hulpmiddelen voor noodsituaties op het gebied van de volksgezondheid volgens art. 22 van Verordening (EU) 2022/123, dan valt de fabrikant onder bijlage 1. Vanaf 250 medewerkers is hij dan een essentiële entiteit.
NIS2 gaat over de IT van de fabrikant: ontwikkeling, productie, verkoop, administratie. De beveiliging van de producten zelf regelen de MDR en de IVDR.
Bijlage 1 nr. 4.1.5 · bijlage 2 nr. 5.1.1 BSIG
Wat bijzonder is aan de zorg
Veel genetwerkte medische apparaten kan de exploitant niet updaten. Leg in de lijst van uw bedrijfsmiddelen vast om welke apparaten het gaat en hoe u ze beschermt, bijvoorbeeld in een apart netwerksegment.
Gezondheidsgegevens zijn een bijzondere categorie persoonsgegevens (art. 9 AVG). Een incident kan daarom een melding bij het BSI en een andere bij de toezichthouder voor gegevensbescherming nodig maken.
Bij erkende ziekenhuizen kan het BSI op zijn vroegst vanaf 6 december 2030 bewijs opvragen, twee jaar later dan bij andere essentiële entiteiten.
Bepaalde plichten uit de BSIG gelden niet voor gematik en exploitanten van diensten van de telematica-infrastructuur, voor zover het om de daar genoemde diensten gaat.
§ 28(6) nr. 2 · § 61(3) BSIG · Art. 9 en 33 AVG
Wat dit betekent bij 50 tot 150 medewerkers
Een gespecialiseerde kliniek, een groot medisch zorgcentrum of een fabrikant van medische technologie van deze omvang is meestal een belangrijke entiteit.
Een praktijk met minder dan 50 medewerkers valt er niet onder, tenzij omzet en balanstotaal allebei boven 10 miljoen EUR liggen. Verbonden ondernemingen tellen mee.
Hoe grondig elke maatregel moet zijn, hangt af van risico, omvang en kosten.
§ 28(2) en (4) · § 30(1), tweede zin, BSIG
Een voorbeeld
Een verzonnen bedrijf: een fabrikant van apparaten voor laboratoriumdiagnostiek (in-vitrodiagnostiek) met 120 medewerkers.
Medische hulpmiddelen voor in-vitrodiagnostiek staan in bijlage 2 van de BSIG. Met 120 medewerkers is het bedrijf een belangrijke entiteit.
Het registreert zich bij het BSI, met het organisatiecertificaat van ELSTER dat het al voor de belastingen gebruikt.
Het schrijft op waarmee het werkt: ontwikkeling, productie, kwaliteitsbeheer met de documentatie volgens de IVDR, ERP, e-mail en de leveranciers van onderdelen en IT.
Daaruit volgen de maatregelen, bijvoorbeeld geteste back-ups voor de documentatie en een tweede factor voor toegang op afstand.
De directeur volgt een training en keurt de documenten goed.
Zo gaat het in de doorloop
In de doorloop op nisd2.eu begint het werk met de lijst van waarmee uw bedrijf werkt.
Eén stap vraagt naar processen, software, apparaten, ruimtes en netwerken, en wie ze levert. Zo ontstaat de lijst van uw bedrijfsmiddelen.
Eén stap legt uw registratie bij het BSI vast.
Uit uw antwoorden ontstaat uw incidentresponsplan. Daarin staat ook wanneer u daarnaast bij de toezichthouder voor gegevensbescherming meldt.
Aan het eind keurt de directie de documenten goed in de app, ingelogd met een eigen account.
Veelgestelde vragen
Valt medische technologie onder NIS2?
Ja. Fabrikanten van medische hulpmiddelen en medische hulpmiddelen voor in-vitrodiagnostiek staan in bijlage 2 van de BSIG, fabrikanten van kritieke medische hulpmiddelen in bijlage 1. Zij vallen eronder vanaf 50 medewerkers of met meer dan 10 miljoen EUR omzet en balanstotaal elk.
Geldt NIS2 voor medische praktijken?
Voor praktijken die groot genoeg zijn: vanaf 50 medewerkers of met meer dan 10 miljoen EUR omzet en balanstotaal elk. Kleinere praktijken vallen er niet onder.
Geldt NIS2 voor verpleeghuizen?
Bijlage 1 verwijst naar Richtlijn 2011/24/EU. Die richtlijn geldt niet voor diensten op het gebied van langdurige zorg (art. 1(3)(a)). Of een verpleeghuis of thuiszorgdienst eronder valt, moet daarom per geval worden beoordeeld.
Vanaf wanneer kan het BSI een ziekenhuis controleren?
Het BSI kan op zijn vroegst vanaf 6 december 2030 bewijs opvragen bij erkende ziekenhuizen (§ 61(3) BSIG). De andere plichten gelden sinds 6 december 2025.
Bronnen
- BSI-wet (BSIG) §§ 28, 30, 61, bijlagen 1 en 2, gesetze-im-internet.de/bsig_2025
- Richtlijn 2011/24/EU, art. 1(3) en art. 3, EUR-Lex
- Verordening (EU) 2022/123, art. 22; Verordeningen (EU) 2017/745 (MDR) en 2017/746 (IVDR), EUR-Lex
- Verordening (EU) 2016/679 (AVG), art. 9 en 33
In de praktijk
Waar dit in de begeleide doorloop terugkomt
De begeleide doorloop maakt hier stappen van die u invult, met de wet bij elke stap uitgelegd. Open een stap om het scherm te zien, ingevuld voor een verzonnen bedrijf.
De doorloop zelf is in het Duits en het Engels.
Risk Management
Write down what your company has
A list of the processes, software and devices you work with.
Incident Handling
Plan what happens in an incident
Who decides, whom you call, how you reach each other.
Wat de doorloop kost
€ 4.800 netto per jaar, excl. btw
30 dagen geld terugOp factuur, betaling binnen 30 dagen. Opzeggen in de eerste 30 dagen: factuur geannuleerd of geld terug.
Begeleide NIS 2 implementatie, stap voor stap
Een geschiedenis van wijzigingen en goedkeuringen, om aan uw toezichthouder te tonen
Deadlines en herinneringen per vereiste
Beveiligingsvragenlijst voor uw leveranciers
Export naar PDF of CSV, op elk moment
Moet u zich met NIS2 bezighouden?
We begeleiden u stap voor stap. U vult in, wij leggen elk punt in eenvoudige woorden uit, en aan het eind tekent de directie.
