NIS2 im Gesundheitswesen: wer betroffen ist, von der Klinik bis zur Medizintechnik
Betroffen sind Erbringer von Gesundheitsdienstleistungen wie Krankenhäuser und Praxen, Pharmaunternehmen und Hersteller von Medizinprodukten, sobald sie mindestens 50 Beschäftigte haben oder einen Jahresumsatz und eine Bilanzsumme von jeweils über 10 Millionen Euro (§ 28 BSIG). Die Gesundheit steht in Anlage 1 des BSIG, die Medizintechnik in Anlage 2. Betroffene registrieren sich beim BSI, ergreifen Sicherheitsmaßnahmen und melden erhebliche Vorfälle.
Wer im Gesundheitswesen betroffen ist
Diese Einrichtungsarten nennt das BSIG. Betroffen ist ein Unternehmen, wenn es außerdem groß genug ist.
§ 28 BSIG · Anlagen 1 und 2
| Wer | Wo im BSIG |
|---|---|
| Krankenhäuser, Praxen, Apotheken und andere, die Gesundheitsdienstleistungen erbringen | Anlage 1 Nr. 4.1.1 |
| EU-Referenzlaboratorien | Anlage 1 Nr. 4.1.2 |
| Unternehmen, die zu Arzneimitteln forschen und entwickeln | Anlage 1 Nr. 4.1.3 |
| Hersteller pharmazeutischer Erzeugnisse | Anlage 1 Nr. 4.1.4 |
| Hersteller von Medizinprodukten, die in einer gesundheitlichen Notlage als kritisch gelten | Anlage 1 Nr. 4.1.5 |
| Alle anderen Hersteller von Medizinprodukten und In-vitro-Diagnostika | Anlage 2 Nr. 5.1.1 |
Wichtige Einrichtung ist ein solches Unternehmen ab 50 Beschäftigten oder mit einem Jahresumsatz und einer Bilanzsumme von jeweils über 10 Millionen Euro.
Besonders wichtige Einrichtung kann nur werden, wer in Anlage 1 steht: ab 250 Beschäftigten oder mit über 50 Millionen Euro Umsatz und über 43 Millionen Euro Bilanzsumme, oder als Betreiber einer kritischen Anlage.
Medizintechnik: Anlage 1 oder Anlage 2
Hersteller von Medizinprodukten nach der MDR und von In-vitro-Diagnostika nach der IVDR stehen in Anlage 2. Sie sind ab 50 Beschäftigten wichtige Einrichtungen, auch wenn sie sehr groß sind.
Steht ein Produkt auf der Liste kritischer Medizinprodukte für gesundheitliche Notlagen nach Art. 22 der Verordnung (EU) 2022/123, gehört der Hersteller zu Anlage 1. Ab 250 Beschäftigten ist er dann eine besonders wichtige Einrichtung.
NIS2 betrifft die IT des Herstellers: Entwicklung, Fertigung, Vertrieb, Verwaltung. Die Sicherheit der Produkte selbst regeln MDR und IVDR.
Anlage 1 Nr. 4.1.5 · Anlage 2 Nr. 5.1.1 BSIG
Was im Gesundheitswesen besonders ist
Viele vernetzte Medizingeräte kann der Betreiber nicht selbst aktualisieren. Halten Sie in der Liste Ihrer Assets fest, welche Geräte das betrifft und wie Sie sie schützen, zum Beispiel in einem eigenen Netzbereich.
Gesundheitsdaten sind besondere Kategorien personenbezogener Daten (Art. 9 DSGVO). Ein Vorfall kann deshalb eine Meldung an das BSI und eine an die Datenschutzaufsicht auslösen.
Für zugelassene Krankenhäuser kann das BSI Nachweise frühestens ab dem 6. Dezember 2030 anordnen, zwei Jahre später als bei anderen besonders wichtigen Einrichtungen.
Für die gematik und Betreiber von Diensten der Telematikinfrastruktur gelten bestimmte Pflichten des BSIG nicht, soweit die dort genannten Dienste betroffen sind.
§ 28 Abs. 6 Nr. 2 · § 61 Abs. 3 BSIG · Art. 9 und 33 DSGVO
Was das für ein Unternehmen mit 50 bis 150 Beschäftigten heißt
Eine Fachklinik, ein großes medizinisches Versorgungszentrum oder ein Hersteller von Medizintechnik in dieser Größe ist in der Regel eine wichtige Einrichtung.
Eine Praxis mit weniger als 50 Beschäftigten ist nicht betroffen, solange nicht Umsatz und Bilanzsumme beide über 10 Millionen Euro liegen. Verbundene Unternehmen zählen dabei mit.
Wie gründlich jede Maßnahme sein muss, richtet sich nach Risiko, Größe und Kosten.
§ 28 Abs. 2 und 4 · § 30 Abs. 1 Satz 2 BSIG
Ein Beispiel
Eine erfundene Firma: ein Hersteller von Geräten für die Labordiagnostik (In-vitro-Diagnostika) mit 120 Beschäftigten.
In-vitro-Diagnostika stehen in Anlage 2 des BSIG. Mit 120 Beschäftigten ist die Firma eine wichtige Einrichtung.
Sie registriert sich beim BSI, mit dem ELSTER-Organisationszertifikat, das sie schon für die Steuer nutzt.
Sie schreibt auf, womit sie arbeitet: Entwicklung, Fertigung, Qualitätsmanagement mit der Dokumentation nach IVDR, ERP, E-Mail und die Lieferanten für Bauteile und IT.
Daraus folgen die Maßnahmen, zum Beispiel getestete Datensicherungen für die Dokumentation und ein zweiter Faktor für den Fernzugang.
Die Geschäftsführerin besucht eine Schulung und gibt die Dokumente frei.
So geht das im Durchgang
Im Durchgang auf nisd2.eu beginnt die Arbeit bei der Liste dessen, womit Ihr Unternehmen arbeitet.
Ein Schritt fragt Abläufe, Programme, Geräte, Räume und Netze ab und wer sie liefert. Daraus entsteht die Liste Ihrer Assets.
Ein Schritt hält Ihre Registrierung beim BSI fest.
Aus Ihren Antworten entsteht Ihr Notfallplan für Vorfälle. Er sagt auch, wann Sie zusätzlich der Datenschutzaufsicht melden.
Am Ende gibt die Geschäftsleitung die Dokumente in der App frei, angemeldet mit dem eigenen Zugang.
Häufige Fragen
Ist die Medizintechnik von NIS2 betroffen?
Ja. Hersteller von Medizinprodukten und In-vitro-Diagnostika stehen in Anlage 2 des BSIG, Hersteller kritischer Medizinprodukte in Anlage 1. Betroffen sind sie ab 50 Beschäftigten oder mit jeweils über 10 Millionen Euro Umsatz und Bilanzsumme.
Gilt NIS2 für Arztpraxen?
Für Praxen, die groß genug sind: ab 50 Beschäftigten oder mit jeweils über 10 Millionen Euro Umsatz und Bilanzsumme. Kleinere Praxen sind nicht betroffen.
Gilt NIS2 für Pflegeheime?
Anlage 1 verweist auf die Richtlinie 2011/24/EU. Diese gilt nicht für Dienstleistungen der Langzeitpflege (Art. 1 Abs. 3 Buchst. a). Ob ein Pflegeheim oder Pflegedienst betroffen ist, lassen Sie deshalb im Einzelfall prüfen.
Ab wann kann das BSI ein Krankenhaus prüfen?
Nachweise kann das BSI von zugelassenen Krankenhäusern frühestens ab dem 6. Dezember 2030 anordnen (§ 61 Abs. 3 BSIG). Die übrigen Pflichten gelten seit dem 6. Dezember 2025.
Quellen
- BSI-Gesetz (BSIG) §§ 28, 30, 61, Anlagen 1 und 2, gesetze-im-internet.de/bsig_2025
- Richtlinie 2011/24/EU, Art. 1 Abs. 3 und Art. 3, EUR-Lex
- Verordnung (EU) 2022/123, Art. 22; Verordnungen (EU) 2017/745 (MDR) und 2017/746 (IVDR), EUR-Lex
- Verordnung (EU) 2016/679 (DSGVO), Art. 9 und 33
In der Praxis
Wo das im Durchgang vorkommt
Im Durchgang werden daraus Schritte, die Sie ausfüllen, mit dem Gesetz jeweils daneben erklärt. Öffnen Sie einen Schritt, um ihn ausgefüllt am Beispiel einer erfundenen Firma zu sehen.
Risikomanagement
Aufschreiben, was Ihr Unternehmen hat
Eine Liste der Abläufe, Programme und Geräte, mit denen Sie arbeiten.
Vorfallbehandlung
Planen, was bei einem Vorfall passiert
Wer entscheidet, wen Sie anrufen, wie Sie sich erreichen.
Was der Durchgang kostet
4.800 € netto im Jahr, zzgl. USt.
30 Tage Geld zurückAuf Rechnung, 30 Tage Zahlungsziel. Kündigung in den ersten 30 Tagen: Rechnung storniert oder Geld zurück.
Geführte NIS 2 Umsetzung, Schritt für Schritt
Verlauf der Änderungen und Freigaben, vorzeigbar beim BSI
Fristen und Erinnerungen je Anforderung
Sicherheitsfragebogen an Ihre Lieferanten
Export als PDF oder CSV, jederzeit
Sie sollen sich um NIS2 kümmern?
Am Ende haben Sie alles in einem Dokument: was getan ist, was noch offen ist, und die Freigabe Ihrer Geschäftsführung mit Namen und Datum. Die Texte schreibt die App.
