NIS2 in Klinik und Praxis: Was gilt im Gesundheitswesen?

Stand: 2026-05-16 · ComplyCheck-Redaktion · Keine Rechtsberatung iSd RDG § 2.

Wer im Gesundheitssektor unter NIS2 fällt

Anhang I NIS2 unterscheidet im Gesundheits-Bereich:

• Gesundheits-Dienstleister: Krankenhäuser, Tageskliniken, Rehabilitations-Einrichtungen ab definierter Schwelle.
• EU-Referenzlabore: spezifische Labore für epidemiologische Überwachung.
• Forschung und Entwicklung: im Bereich pharmazeutischer Erzeugnisse.
• Pharma-Hersteller: Arzneimittel-Hersteller mit Versorgungs-Relevanz.
• Hersteller kritischer Medizinprodukte: insbesondere wenn die EU-Versorgung von ihnen abhängig ist.

Schwellen-Logik in Deutschland (basierend auf NIS2UmsuCG und Anlehnung an KRITIS-Verordnung):

• Krankenhäuser: ab etwa 30.000 stationären Vollfällen pro Jahr (klassische KRITIS-Schwelle, Übernahme in NIS2 erwartet).
• Größere MVZ-Verbünde: ab EU-Mittlerunternehmens-Schwelle.
• Apotheken-Großhandel und kritische Pharma-Produktion: sektor-spezifische Schwellen.

Niedergelassene Einzelpraxen und kleine MVZ fallen typischerweise nicht direkt unter NIS2.

Krankenhäuser direkt: der Pflicht-Stack

Für ein NIS2-pflichtiges Krankenhaus laufen mindestens drei Regulierungs-Stränge parallel:

Stack 1: NIS2-Pflichten

• Art.-21-Mindestmaßnahmen (Risiko-Management, Asset-Management, Zugriffskontrolle, Lieferketten-Sicherheit, Incident-Management, Backup, Krypto, MFA).
• Art.-23-Meldepflicht (24h Frühwarnung, 72h Vorfallmeldung, 1 Monat Abschluss).
• Art.-20-Geschäftsleitungs-Pflichten (Genehmigung, Aufsicht, Schulung).

Stack 2: § 75c SGB V (Krankenhaus-IT-Sicherheit)

Seit 2022 verpflichtet § 75c SGB V Krankenhäuser zur Einhaltung des „Stands der Technik" in der IT-Sicherheit. Verbindliche Branchen-Standards: B3S Krankenhaus, der durch die Deutsche Krankenhausgesellschaft entwickelt wurde.

Stack 3: DSGVO + Patientendaten-Geheimnis

Patientendaten sind besondere Kategorien nach Art. 9 DSGVO. Zusätzlich gilt die ärztliche Schweigepflicht nach § 203 StGB und ergänzende Berufsordnungen.

In der Praxis konsolidiert ein gut geführtes Krankenhaus-ISMS alle drei Stacks in einem System, eigenständige Compliance-Programme nebeneinander führen schnell zu Doppel-Aufwand und inkonsistenten Maßnahmen.

Patientendaten: was bei NIS2-Vorfällen besonders zu beachten ist

Wenn ein Sicherheits-Vorfall personenbezogene Daten betrifft, greift doppelte Meldepflicht:

• NIS2-Meldekette ans BSI nach Art. 23 (24h/72h/1 Monat).
• DSGVO-Meldekette an die zuständige Datenschutz-Aufsichts-Behörde nach Art. 33 DSGVO (binnen 72h).
• Plus ggf. Patienten-Information nach Art. 34 DSGVO, wenn ein hohes Risiko besteht.

Die drei Meldungen sind eigenständig und müssen abgestimmt sein. Inkonsistente Aussagen zwischen BSI und Datenschutz-Aufsicht können bußgeld-erhöhend wirken. Empfehlung: ein gemeinsames Krisen-Team mit Vertretern aus IT, Datenschutz, Recht, Kommunikation, und vorbereitete Mustertexte.

KHZG-Verbindung

Das Krankenhauszukunftsgesetz (KHZG) hat zwischen 2020 und 2024 ein Förder-Volumen von rund 4,3 Mrd. Euro für Digitalisierungs-Projekte mobilisiert. Förderungs-Tatbestände mit Sicherheits-Bezug:

• Fördertatbestand 10: IT-Sicherheits-Maßnahmen (vom BSI-Grundschutz abgeleitet).
• Fördertatbestand 11: IT-Service-Management.
• Insgesamt 15 % der Gesamt-Förder-Summe für IT-Sicherheit zweckgebunden.

Reste der KHZG-Förderung sowie das Nachfolge-Programm können NIS2-Compliance-Projekte mitfinanzieren. Wichtig: Förderfähigkeit der Maßnahmen vor Beauftragung mit dem Träger und der Förder-Stelle abklären.

Praxen und MVZ: die Schwellen-Frage

Niedergelassene Einzelpraxen erreichen die EU-Mittlerunternehmens-Schwelle praktisch nie. Größere MVZ-Verbünde, vor allem kapital-getragene Ketten, können erfasst sein.

Faustregel:

• Einzelpraxis: in der Regel nicht NIS2-pflichtig.
• Praxisgemeinschaft, kleines MVZ (< 50 MA): nicht direkt.
• Großes MVZ, MVZ-Konzern, KV-Tochter: wahrscheinlich erfasst.

Auch nicht-direkt-erfasste Praxen unterliegen anderen Cybersicherheits-Pflichten:

• § 75b SGB V: Anforderungen an die IT-Sicherheit in vertragsärztlicher Versorgung, konkretisiert durch die KBV-IT-Sicherheits-Richtlinie.
• DSGVO + ärztliche Schweigepflicht unabhängig von der Größe.

Hersteller von Medizinprodukten

Hersteller kritischer Medizinprodukte fallen in zwei mögliche Regulierungen:

• NIS2 als wesentliche oder wichtige Einrichtung (je nach Schwelle und Produkt-Klasse).
• MDR/IVDR + CRA für die hergestellten Produkte. Die MDR enthält bereits Sicherheits-Anforderungen für Software-Medizinprodukte. CRA ergänzt um produkt-übergreifende Cyber-Anforderungen.

In der Praxis braucht ein Hersteller kritischer Medizinprodukte ein integriertes Cyber-Compliance-Programm, das Betreiber- und Produkt-Regulierung gemeinsam adressiert.

Sektor-spezifische Awareness-Schwerpunkte

Krankenhaus-Awareness unterscheidet sich von Office-Awareness durch das hohe operative Tempo und die Schicht-Realität:

• Phishing-Resilience ist auf Stations-Ebene anders zu trainieren als am Verwaltungs-PC. Stations-Personal hat keine Zeit, jeden Mailanhang in Ruhe zu prüfen, die technische Mail-Sicherheit muss höher sein.
• USB- und Wechseldatenträger-Disziplin: klassische Einfallstore, weil USB-Sticks im Klinik-Alltag von Patienten, Angehörigen und externen Dienstleistern eingebracht werden.
• Lieferanten-Disziplin: Externe Wartungs-Techniker an Geräten brauchen klare Zugangs-Regeln, Begleitung durch interne Personen, Session-Recording bei Fern-Wartung.

NIS2-Audits prüfen, ob Awareness-Programme auf diese Klinik-Realität zugeschnitten sind, generische Phishing-Module reichen nicht.

Praxis-Schwerpunkte aus KRITIS-Krankenhaus-Audits

Aus mehrjähriger Erfahrung in Krankenhaus-§-8a-Audits kristallisieren sich wiederkehrende Findings, die unter NIS2 weiterhin relevant sein werden:

• Klinik-Netze sind oft flach: alle Stations-Geräte im selben Netz, Bildgebung mischt sich mit Office. Segmentierung ist Pflicht-Maßnahme.
• Medizinprodukte-Schwachstellen: alte Linux-Versionen auf vernetzten Geräten, oft hersteller-bedingt nicht patchbar. Kompensierende Maßnahmen (Segmentierung, Firewall-Regeln) sind Pflicht.
• Identitäts-Chaos: Schicht-Wechsel, Pool-Konten, fehlende Joiner-Mover-Leaver-Prozesse. MFA ist auf Klinik-Endpunkten oft Heraus-Forderung.
• Lieferanten-Fernzugriffe: Wartungs-Zugänge von Medizinprodukt-Herstellern sind klassische Einfallstore.

Realität der letzten Ransomware-Welle in deutschen Kliniken

Die Ransomware-Vorfälle in deutschen Krankenhäusern zwischen 2020 und 2024, von Düsseldorf über Wolfenbüttel bis zur Caritas-Klinik-Familie, haben drei wiederkehrende Muster offengelegt:

• Einfallstor Identitäts-Layer: Phishing-Mails an Verwaltungs-Mitarbeitende, kombiniert mit fehlender MFA, waren der Einstieg in den überwiegenden Teil der Fälle.
• Laterale Bewegung über flache Netze: Sobald ein Domänen-Account kompromittiert war, konnten die Angreifer sich frei innerhalb der Klinik bewegen und Backup-Systeme adressieren.
• Backup-Verlust: In mehreren Fällen waren Backup-Systeme im gleichen Netz-Segment und mit gleichen Admin-Credentials erreichbar, und wurden mit-verschlüsselt.

Die Lehren werden in NIS2-Audits sichtbar reflektiert: Netz-Segmentierung mit dediziertem Backup-Netz, MFA für administrative Zugänge ist nicht-verhandelbar, Phishing-Resilience durch Awareness und technische Mail-Sicherheit. Krankenhäuser, die ihre Investitionen in diese Bereiche dokumentiert haben, kommen im Audit deutlich besser durch.

FAQ

Sind alle Krankenhäuser NIS2-pflichtig oder nur große Häuser?

Nicht alle. Die NIS2UmsuCG-Schwellen für Krankenhäuser orientieren sich an Versorgungs-Kapazität, Erwartungswert ist etwa 30.000 stationäre Vollfälle pro Jahr (in Anlehnung an die bisherige KRITIS-Verordnung). Kleinere Häuser sind direkt nicht erfasst, unterliegen aber weiterhin § 75c SGB V mit erheblichen IT-Sicherheits-Anforderungen.

Gilt § 75c SGB V parallel zu NIS2 oder wird er abgelöst?

Beides läuft parallel. § 75c SGB V ist krankenhaus-spezifisch und konkreter ausformuliert (B3S Krankenhaus als Branchen-Standard). NIS2 ergänzt um Behörden-Meldepflicht, Geschäftsleitungs-Compliance und sektor-übergreifende Aufsicht. In der Praxis lassen sich beide in einem konsolidierten ISMS abbilden.

Was zählt im Krankenhaus als „erheblicher Sicherheits-Vorfall" iSd Art. 23 NIS2?

Vorfälle, die die Versorgungs-Fähigkeit beeinträchtigen, etwa Ransomware-Befall klinischer Systeme, KIS-Ausfälle länger als wenige Stunden, OP-Pausierung wegen IT-Problemen. Auch Daten-Abflüsse größerer Patientendaten-Mengen sind erhebliche Vorfälle. Konkrete Erheblichkeits-Schwellen ergeben sich aus dem BSI-Konkretisierungs-Hinweisen und sind teils sektor-spezifisch.

Sind digitale Gesundheits-Anwendungen (DiGA) auch NIS2-pflichtig?

Die DiGA-Hersteller selbst können je nach Größe und Geschäfts-Modell unter NIS2 fallen, etwa wenn sie als Anbieter eines IKT-Dienstes für den Gesundheits-Sektor gelten. Zusätzlich gelten DiGA-spezifische Anforderungen aus DiGAV und SGB V. Der CRA wird für DiGA als Produkte mit digitalen Elementen ab 2027 verbindlich.

Wer prüft die NIS2-Compliance bei Krankenhäusern: BSI oder Sozialministerien?

Aufsichts-rechtlich primär das BSI als zentrale NIS2-Aufsicht. Sektor-spezifisch ergänzen Landes-Sozialministerien und der GKV-Spitzenverband (für § 75c SGB V) eigene Prüfungs-Aktivitäten. In der Praxis koordinieren sich die Behörden, Krankenhäuser sehen sich aber regelmäßig mehrfachen Audit-Aktivitäten gegenüber, die organisatorisch zu koordinieren sind.