NIS2-Check / Gesundheitswesen
NIS2 im Gesundheitswesen: wer ist betroffen?
Das Gesundheitswesen steht in Anlage 1 des BSIG. Für Kliniken kommt NIS2 oft zu bestehenden KRITIS-Pflichten hinzu, für Labore, MVZ und Hersteller ist es häufig die erste Regulierung dieser Art.
Der Sektor Gesundheitswesen ist in Anlage 1 Nr. 5 BSIG geregelt. Dazu zählen Gesundheitsdienstleister wie Krankenhäuser und Reha-Einrichtungen, Labore, Forschungs- und Entwicklungseinrichtungen für Arzneimittel, die Herstellung pharmazeutischer Erzeugnisse sowie die Herstellung von Medizinprodukten, die in einer Krise als kritisch eingestuft sind.
Krankenhäuser: NIS2 und KRITIS greifen ineinander
Große Kliniken sind vielfach schon heute KRITIS-Betreiber. Als Anhaltspunkt gilt nach der BSI-Kritisverordnung die Schwelle von 30.000 vollstationären Fällen im Jahr. Wer darüber liegt, ist als Betreiber einer Kritischen Anlage unabhängig von der Beschäftigtenzahl besonders wichtige Einrichtung. Wer darunter liegt, ist deshalb nicht automatisch außen vor: Die allgemeine Größenlogik greift weiter, und ein Haus mit mehr als 50 Beschäftigten ist im Regelfall wichtige Einrichtung.
Labore, MVZ und Pflegeeinrichtungen
Für Laborketten, medizinische Versorgungszentren und größere Pflegeträger ist NIS2 oft neu. Entscheidend ist auch hier die Größe des Rechtsträgers, nicht die einzelne Betriebsstätte. Wer als Gruppe über 50 Beschäftigte kommt, sollte die Einstufung sauber dokumentieren, statt sich auf das Gefühl zu verlassen, man sei zu klein.
Was NIS2 im Klinikalltag konkret verlangt
§ 30 BSIG fordert unter anderem Risikoanalysen, Bewältigung von Sicherheitsvorfällen, Backup und Notfallmanagement, Sicherheit der Lieferkette, Zugriffskontrolle, Kryptografie und Schulungen. Für den Krankenhausbetrieb ist besonders relevant, dass die Sicherheit der Lieferkette ausdrücklich dazugehört. Dienstleister für Radiologie, Archivierung, Abrechnung oder Medizintechnikwartung werden damit Teil Ihres Risikobildes und Ihrer Verträge.
Meldewege vor dem Ernstfall klären
Nach § 32 BSIG gilt eine dreistufige Meldung: Erstmeldung innerhalb von 24 Stunden, Folgemeldung innerhalb von 72 Stunden, Abschlussbericht innerhalb eines Monats. Wer diese Wege erst während eines Ransomware-Vorfalls sucht, verliert die kritischen ersten Stunden. Der kostenlose NIS2-Check klärt zuerst, ob Sie überhaupt in der Meldepflicht stehen und in welcher Kategorie.
Häufige Fragen
Ist eine Klinik unter 30.000 Fällen von NIS2 befreit?
Nein. Die KRITIS-Schwelle entscheidet nur, ob die Einstufung größenunabhängig als besonders wichtige Einrichtung erfolgt. Unterhalb greift weiterhin die normale Größenlogik ab 50 Beschäftigten.
Fallen Arztpraxen unter NIS2?
Eine einzelne Praxis liegt in aller Regel unter den Größenschwellen und ist damit nicht betroffen. Größere MVZ-Verbünde können die Schwelle überschreiten.
Gilt NIS2 auch für Medizinproduktehersteller?
Ja, allerdings über Anlage 2 Nr. 5 als verarbeitendes Gewerbe. Das führt zur Kategorie wichtige Einrichtung, nicht zu besonders wichtig.
Sind Sie NIS2-betroffen? Prüfen Sie es kostenlos.
Sektor und Größe eingeben, in unter einer Minute Ihre Einstufung, die Registrierungspflicht und den Pflichten-Fahrplan erhalten. Kostenlos, ohne Konto.
Betroffenheit prüfenKeine Rechtsberatung. Eine erste Einschätzung auf Basis Ihrer Angaben und der aktuellen Struktur des NIS2-Umsetzungsgesetzes.