NIS2-Check / Medizinprodukte

NIS2 für Hersteller von Medizinprodukten

Die Herstellung von Medizinprodukten und In-vitro-Diagnostika ist in Anlage 2 des BSIG ausdrücklich genannt. NIS2 betrifft dabei Ihr Unternehmen, nicht Ihr Produkt.

Betroffenheit kostenlos prüfen

Anlage 2 Nr. 5 BSIG führt die Herstellung von Medizinprodukten und In-vitro-Diagnostika als Teil des verarbeitenden Gewerbes auf. Ab 50 Beschäftigten oder bei mehr als 10 Millionen Euro Umsatz und zugleich mehr als 10 Millionen Euro Bilanzsumme sind Sie wichtige Einrichtung.

Anlage 2 heißt: höchstens wichtige Einrichtung. Über die Größe allein erreicht ein Sektor der Anlage 2 nie die Kategorie besonders wichtig. Das ändert sich nur, wenn zusätzlich eine der größenunabhängigen Sonderrollen nach § 28 Abs. 1 BSIG zutrifft, etwa als Betreiber einer Kritischen Anlage.

Unternehmenssicherheit und Produktsicherheit sind zwei Ebenen

Das ist die wichtigste Unterscheidung für diesen Sektor. MDR und IVDR stellen Anforderungen an das Produkt und seinen Lebenszyklus, einschließlich der IT-Sicherheit von Software als Medizinprodukt. NIS2 stellt Anforderungen an die Organisation, die das Produkt herstellt: an Ihre Netze, Ihre Prozesse, Ihre Meldewege und die Verantwortung der Geschäftsleitung. Beides überschneidet sich in der Praxis, ersetzt sich aber nicht.

Was Sie aus vorhandenen Systemen mitnehmen können

Wer bereits ein Qualitätsmanagementsystem nach ISO 13485 und ein Risikomanagement nach ISO 14971 betreibt, kennt dokumentierte Prozesse, Risikobewertung und Korrekturmaßnahmen. Diese Struktur lässt sich für die Mindestmaßnahmen des § 30 BSIG nutzen, statt daneben ein zweites System aufzubauen. Ergänzen müssen Sie typischerweise die Meldewege nach § 32 BSIG mit ihren Fristen von 24 Stunden, 72 Stunden und einem Monat sowie die Registrierung beim BSI.

Die Lieferkette in beide Richtungen

Kliniken und Labore, die Ihre Produkte einsetzen, sind vielfach selbst betroffen und werden Nachweise verlangen, insbesondere zu Schwachstellenmanagement, Updatefähigkeit und Reaktionszeiten. Gleichzeitig hängen Sie selbst an Zulieferern für Elektronik und Software.

Beide Registrierungsfristen sind abgelaufen. Die gesetzliche Frist endete am 6. März 2026, die vom BSI kommunizierte Nachfrist am 31. Juli 2026. Wer betroffen und nicht registriert ist, sollte die Registrierung jetzt nachholen und den Zeitpunkt der eigenen Prüfung dokumentieren.

Klären Sie die Einstufung

Der kostenlose NIS2-Check liefert die Einordnung Ihres Unternehmens mit Paragrafenbezug und zeigt, ob eine Registrierungspflicht besteht.

Häufige Fragen

Betrifft NIS2 unser Produkt oder unser Unternehmen?

Ihr Unternehmen. Produktbezogene Cybersicherheitsanforderungen ergeben sich aus MDR und IVDR sowie aus dem Produktrecht, nicht aus dem BSIG.

Sind wir besonders wichtige Einrichtung?

Über den Sektor nicht. Anlage 2 führt zur Kategorie wichtige Einrichtung, sofern keine größenunabhängige Sonderrolle hinzukommt.

Hilft unsere ISO 13485?

Ja, als Struktur und Nachweisbasis. Die gesetzlichen Pflichten zu Registrierung, Meldung und Geschäftsleitung bestehen davon unabhängig.

Sind Sie NIS2-betroffen? Prüfen Sie es kostenlos.

Sektor und Größe eingeben, in unter einer Minute Ihre Einstufung, die Registrierungspflicht und den Pflichten-Fahrplan erhalten. Kostenlos, ohne Konto.

Betroffenheit prüfen

Keine Rechtsberatung. Eine erste Einschätzung auf Basis Ihrer Angaben und der aktuellen Struktur des NIS2-Umsetzungsgesetzes.