NIS2 in Klinik und Praxis: Was gilt im Gesundheitswesen?

Stand: 18.09.2026 · ComplyCheck-Redaktion · Keine Rechtsberatung iSd RDG § 2.

Wer im Gesundheitssektor unter NIS2 fällt

Anhang I NIS2 und die deutsche Umsetzung in Anlage 1 Nr. 4 BSIG nennen im Sektor Gesundheit fünf Einrichtungsarten:

• Erbringer von Gesundheitsdienstleistungen im Sinne der Richtlinie 2011/24/EU, also etwa Krankenhäuser, Reha-Einrichtungen und Praxen.
• EU-Referenzlaboratorien nach Art. 15 der Verordnung (EU) 2022/2371.
• Forschung und Entwicklung: Unternehmen mit F&E-Tätigkeit zu Arzneimitteln nach § 2 AMG.
• Pharma-Hersteller: Hersteller pharmazeutischer Erzeugnisse (NACE Rev. 2 Abschnitt C Abteilung 21).
• Hersteller kritischer Medizinprodukte: Medizinprodukte, die während einer Notlage im Bereich der öffentlichen Gesundheit nach Art. 22 der Verordnung (EU) 2022/123 als kritisch eingestuft werden.

Ob eine Einrichtung dieser Arten erfasst ist, entscheidet in Deutschland § 28 BSIG nach Größe und KRITIS-Status:

• Besonders wichtige Einrichtung: Betreiber kritischer Anlagen (§ 28 Abs. 1 Nr. 1 BSIG) sowie Einrichtungen mit mindestens 250 Beschäftigten oder mit über 50 Mio. € Jahresumsatz und über 43 Mio. € Jahresbilanzsumme (§ 28 Abs. 1 Nr. 4 BSIG).
• Wichtige Einrichtung: mindestens 50 Beschäftigte oder Jahresumsatz und Jahresbilanzsumme jeweils über 10 Mio. € (§ 28 Abs. 2 Nr. 3 BSIG).
• Kritische Anlage Krankenhaus: ab 30.000 vollstationären Fällen pro Jahr (BSI-Kritisverordnung, Anhang 5 Teil 3 Nr. 1.1).

Ein Krankenhaus mit mindestens 50 Beschäftigten ist damit in der Regel mindestens wichtige Einrichtung, unabhängig von seiner Fallzahl. Niedergelassene Einzelpraxen und kleine MVZ unter den Größenschwellen fallen nicht unter NIS2.

Krankenhäuser direkt: der Pflicht-Stack

Für ein NIS2-pflichtiges Krankenhaus laufen mindestens drei Regulierungs-Stränge parallel:

Stack 1: NIS2-Pflichten

• Art.-21-Mindestmaßnahmen (Risiko-Management, Asset-Management, Zugriffskontrolle, Lieferketten-Sicherheit, Incident-Management, Backup, Krypto, MFA).
• Art.-23-Meldepflicht (24h Frühwarnung, 72h Vorfallmeldung, 1 Monat Abschluss).
• Art.-20-Geschäftsleitungs-Pflichten (Genehmigung, Aufsicht, Schulung).

Stack 2: § 391 SGB V (Krankenhaus-IT-Sicherheit)

§ 391 SGB V (früher § 75c SGB V) verpflichtet Krankenhäuser zu angemessenen organisatorischen und technischen Vorkehrungen nach dem Stand der Technik, ausdrücklich einschließlich Maßnahmen zur Security-Awareness (Abs. 1 und 2). Erfüllen können sie die Pflicht insbesondere, indem sie einen branchenspezifischen Sicherheitsstandard anwenden, dessen Eignung das BSI nach § 30 Abs. 8 BSIG festgestellt hat (Abs. 4), etwa den B3S Krankenhaus der Deutschen Krankenhausgesellschaft. Die Pflicht gilt nicht, soweit ein Haus als Betreiber kritischer Anlagen ohnehin nach §§ 30, 31 und 39 BSIG Vorkehrungen treffen muss (Abs. 5).

Stack 3: DSGVO + Patientendaten-Geheimnis

Patientendaten sind besondere Kategorien nach Art. 9 DSGVO. Zusätzlich gilt die ärztliche Schweigepflicht nach § 203 StGB und ergänzende Berufsordnungen.

In der Praxis konsolidiert ein gut geführtes Krankenhaus-ISMS alle drei Stacks in einem System, eigenständige Compliance-Programme nebeneinander führen schnell zu Doppel-Aufwand und inkonsistenten Maßnahmen.

Patientendaten: was bei NIS2-Vorfällen besonders zu beachten ist

Wenn ein Sicherheits-Vorfall personenbezogene Daten betrifft, greift doppelte Meldepflicht:

• NIS2-Meldekette ans BSI nach Art. 23 (24h/72h/1 Monat).
• DSGVO-Meldekette an die zuständige Datenschutz-Aufsichts-Behörde nach Art. 33 DSGVO (unverzüglich und möglichst binnen 72 Stunden, es sei denn, die Verletzung führt voraussichtlich nicht zu einem Risiko für die Betroffenen).
• Plus ggf. Patienten-Information nach Art. 34 DSGVO, wenn ein hohes Risiko besteht.

Die drei Meldungen sind eigenständig und sollten inhaltlich abgestimmt sein. Empfehlung: ein gemeinsames Krisen-Team mit Vertretern aus IT, Datenschutz, Recht, Kommunikation, und vorbereitete Mustertexte.

KHZG-Verbindung

Das Krankenhauszukunftsgesetz (KHZG) hat ein Förder-Volumen von rund 4,3 Mrd. Euro für Digitalisierungs-Projekte mobilisiert. Förderungs-Tatbestände mit Sicherheits-Bezug:

• Fördertatbestand 10 (§ 19 Abs. 1 Nr. 10 KHSFV): Anlagen, Systeme und Verfahren für Vorkehrungen nach dem Stand der Technik zur Vermeidung von Störungen der Verfügbarkeit, Integrität und Vertraulichkeit.
• Mindestens 15 % der gewährten Fördermittel sind für Maßnahmen zur Verbesserung der Informationssicherheit zu verwenden (§ 14a Abs. 3 KHG).

Ob für ein NIS2-Projekt noch KHZG-Mittel zur Verfügung stehen, hängt vom jeweiligen Förderbescheid ab. Wichtig: Förderfähigkeit der Maßnahmen vor Beauftragung mit dem Träger und der Förder-Stelle abklären.

Praxen und MVZ: die Schwellen-Frage

Niedergelassene Einzelpraxen erreichen die EU-Mittlerunternehmens-Schwelle praktisch nie. Größere MVZ-Verbünde, vor allem kapital-getragene Ketten, können erfasst sein.

Faustregel:

• Einzelpraxis: in der Regel nicht NIS2-pflichtig.
• Praxisgemeinschaft, kleines MVZ (< 50 MA): nicht direkt.
• Großes MVZ, MVZ-Konzern: erfasst, sobald die Schwellen des § 28 BSIG erreicht sind.

Auch nicht-direkt-erfasste Praxen unterliegen anderen Cybersicherheits-Pflichten:

• § 390 SGB V (früher § 75b SGB V): IT-Sicherheit in der vertragsärztlichen und vertragszahnärztlichen Versorgung, konkretisiert durch die für Praxen verbindliche IT-Sicherheitsrichtlinie der Kassenärztlichen Bundesvereinigungen.
• DSGVO + ärztliche Schweigepflicht unabhängig von der Größe.

Hersteller von Medizinprodukten

Hersteller kritischer Medizinprodukte fallen in zwei mögliche Regulierungen:

• NIS2 als besonders wichtige oder wichtige Einrichtung (je nach Größe, § 28 BSIG).
• MDR/IVDR für die hergestellten Produkte. Die MDR enthält bereits Sicherheits-Anforderungen für Software-Medizinprodukte. Der CRA gilt für Produkte nach MDR und IVDR nicht (Art. 2 Abs. 2 CRA).

In der Praxis braucht ein Hersteller kritischer Medizinprodukte ein integriertes Cyber-Compliance-Programm, das Betreiber- und Produkt-Regulierung gemeinsam adressiert.

Sektor-spezifische Awareness-Schwerpunkte

Krankenhaus-Awareness unterscheidet sich von Office-Awareness durch das hohe operative Tempo und die Schicht-Realität:

• Phishing-Resilience ist auf Stations-Ebene anders zu trainieren als am Verwaltungs-PC. Stations-Personal hat keine Zeit, jeden Mailanhang in Ruhe zu prüfen, die technische Mail-Sicherheit muss höher sein.
• USB- und Wechseldatenträger-Disziplin: klassische Einfallstore, weil USB-Sticks im Klinik-Alltag von Patienten, Angehörigen und externen Dienstleistern eingebracht werden.
• Lieferanten-Disziplin: Externe Wartungs-Techniker an Geräten brauchen klare Zugangs-Regeln, Begleitung durch interne Personen, Session-Recording bei Fern-Wartung.

§ 391 Abs. 2 SGB V verlangt ausdrücklich Maßnahmen zur Steigerung der Security-Awareness. Inhalte, die auf den Klinikalltag zugeschnitten sind, treffen diese Risiken besser als generische Phishing-Module.

Typische Schwachstellen in Klinik-Netzen

Folgende Schwachstellen betreffen Klinik-Netze besonders und gehören zu den Risiken, die das Risikomanagement nach § 30 BSIG adressieren muss:

• Klinik-Netze sind oft flach: alle Stations-Geräte im selben Netz, Bildgebung mischt sich mit Office. Segmentierung ist die zentrale Gegenmaßnahme; eine ausdrückliche gesetzliche Vorgabe dazu enthält § 30 BSIG nicht.
• Medizinprodukte-Schwachstellen: alte Linux-Versionen auf vernetzten Geräten, oft hersteller-bedingt nicht patchbar. Kompensierende Maßnahmen (Segmentierung, Firewall-Regeln) gehören in die Risikobehandlung und sollten dokumentiert sein.
• Identitäts-Chaos: Schicht-Wechsel, Pool-Konten, fehlende Joiner-Mover-Leaver-Prozesse. MFA ist auf Klinik-Endpunkten oft Heraus-Forderung.
• Lieferanten-Fernzugriffe: Wartungs-Zugänge von Medizinprodukt-Herstellern sind klassische Einfallstore.

Lehren aus Ransomware-Angriffen auf Kliniken

Ransomware hat deutsche Krankenhäuser seit 2020 mehrfach getroffen. Im Zusammenhang mit dem Angriff auf das Universitätsklinikum Düsseldorf im September 2020 wies das BSI auf die ausgenutzte Citrix-Schwachstelle CVE-2019-19781 hin (BSI-Pressemitteilung vom 17.09.2020). Typische Angriffsmuster, gegen die sich Kliniken wappnen sollten:

• Einfallstor: ungepatchte, aus dem Internet erreichbare Systeme wie VPN-Gateways sowie Phishing gegen Konten ohne MFA.
• Laterale Bewegung über flache Netze: Ist ein Domänen-Account kompromittiert, können sich Angreifer ohne Segmentierung frei im Kliniknetz bewegen und Backup-Systeme erreichen.
• Backup-Verlust: Liegen Backups im gleichen Netzsegment und hängen an denselben Admin-Credentials, werden sie mitverschlüsselt.

Daraus folgen die Prioritäten: zeitnahes Patchen extern erreichbarer Systeme, Netzsegmentierung mit getrenntem Backup-Netz, MFA für administrative und Fernzugänge sowie Awareness und technische Mail-Sicherheit gegen Phishing.

FAQ

Sind alle Krankenhäuser NIS2-pflichtig oder nur große Häuser?

Nicht alle. Nach § 28 BSIG ist ein Krankenhaus ab 50 Beschäftigten oder mit Jahresumsatz und Jahresbilanzsumme von jeweils über 10 Mio. € wichtige Einrichtung, ab 250 Beschäftigten oder über 50 Mio. € Umsatz und über 43 Mio. € Bilanz besonders wichtige Einrichtung. Die Schwelle von 30.000 vollstationären Fällen pro Jahr bestimmt nur, ob ein Haus Betreiber einer kritischen Anlage ist und damit unabhängig von der Größe besonders wichtige Einrichtung. Kleinere Häuser unter allen Schwellen unterliegen weiterhin § 391 SGB V.

Gilt § 391 SGB V (früher § 75c) neben NIS2?

Teilweise. § 391 SGB V gilt für alle Krankenhäuser, soweit sie nicht ohnehin als Betreiber kritischer Anlagen nach §§ 30, 31 und 39 BSIG Vorkehrungen treffen müssen (§ 391 Abs. 5 SGB V). Für Betreiber kritischer Anlagen tritt er also zurück. Für Häuser, die ohne kritische Anlage als wichtige oder besonders wichtige Einrichtung unter das BSIG fallen, gelten beide Regelwerke nebeneinander. Der B3S Krankenhaus ist nach § 391 Abs. 4 SGB V ein möglicher Weg, keine Pflicht. Beide lassen sich in einem gemeinsamen ISMS abbilden.

Was zählt im Krankenhaus als „erheblicher Sicherheits-Vorfall" iSd Art. 23 NIS2?

Vorfälle, die die Versorgungs-Fähigkeit beeinträchtigen, etwa Ransomware-Befall klinischer Systeme, KIS-Ausfälle länger als wenige Stunden, OP-Pausierung wegen IT-Problemen. Auch Daten-Abflüsse größerer Patientendaten-Mengen sind erhebliche Vorfälle. Maßgeblich ist die Definition in § 2 Nr. 11 BSIG: ein Vorfall, der schwerwiegende Betriebsstörungen oder finanzielle Verluste verursacht hat oder verursachen kann oder andere Personen erheblich schädigt. Eine Konkretisierung kann das Bundesministerium des Innern per Rechtsverordnung nach § 56 Abs. 4 BSIG vornehmen (§ 2 Nr. 11 BSIG verweist dafür auf „Absatz 5“); Durchführungsrechtsakte der Kommission nach Art. 23 Abs. 11 NIS2 gehen dieser Verordnung vor.

Sind digitale Gesundheits-Anwendungen (DiGA) auch NIS2-pflichtig?

Die DiGA-Hersteller fallen nur unter NIS2, wenn sie einer Einrichtungsart der Anlagen 1 oder 2 BSIG zuzuordnen sind und die Größenschwellen des § 28 BSIG erreichen. Zusätzlich gelten DiGA-spezifische Anforderungen aus DiGAV und SGB V. Der CRA gilt für DiGA nicht, weil sie als Medizinprodukte unter die MDR fallen (Art. 2 Abs. 2 CRA).

Wer prüft die NIS2-Compliance bei Krankenhäusern: BSI oder Sozialministerien?

Für die Pflichten nach dem BSIG ist das BSI zuständig. Betreiber kritischer Anlagen weisen die Umsetzung ihrer Maßnahmen nach § 39 BSIG alle drei Jahre gegenüber dem BSI nach. Von anderen besonders wichtigen Einrichtungen kann das BSI Nachweise nach § 61 Abs. 3 BSIG anfordern, von zugelassenen Krankenhäusern nach § 108 SGB V aber frühestens fünf Jahre nach Inkrafttreten des Gesetzes, sofern keine Rechtsverordnung einen früheren Zeitpunkt bestimmt. § 391 SGB V sieht keine eigene Prüfbehörde vor. Bei Vorfällen mit Patientendaten ist zusätzlich die zuständige Datenschutz-Aufsichtsbehörde beteiligt.