NIS2-Umsetzungsgesetz 2026: Neue Cybersicherheitspflichten und Bußgeldrisiken für Kliniken und Praxen

Ausgangslage: Warum das Gesundheitswesen jetzt im Fokus steht

Die NIS2-Richtlinie der EU (Richtlinie (EU) 2022/2555) sollte eigentlich bis zum 17. Oktober 2024 in deutsches Recht überführt sein. Es kam anders: Streit über die Reichweite der Regulierung, das Mandat des Bundesamts für Sicherheit in der Informationstechnik (BSI) und die Eingriffstiefe gegenüber Unternehmen verzögerten das Gesetzgebungsverfahren um mehr als ein Jahr. Die EU-Kommission leitete deshalb ein Vertragsverletzungsverfahren gegen Deutschland ein.

Am 13. November 2025 verabschiedete der Bundestag schließlich das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG), der Bundesrat bestätigte es eine Woche später. Verkündet wurde es am 5. Dezember 2025 im Bundesgesetzblatt, in Kraft getreten ist es bereits am folgenden Tag. Eine Übergangsfrist, wie sie viele Unternehmen aus anderen Reformen kennen, gibt es nicht: Wer betroffen ist, muss die neuen Pflichten seit dem 6. Dezember 2025 erfüllen.

Für das Gesundheitswesen ist das keine abstrakte Randnotiz. Der Sektor Gesundheit ist in Anlage 1 des novellierten BSI-Gesetzes ausdrücklich als einer von 18 regulierten Sektoren benannt, neben Energie, Verkehr und Finanzwesen. Das ist kein Zufall: Krankenhäuser und Gesundheitsdienstleister verbinden kritische Versorgungsfunktion, hochsensible Patientendaten und, wie mehrere Vorfälle allein aus diesem Jahr zeigen, eine nachgewiesen hohe Verwundbarkeit.

Im April 2026 wurde bei einem Cyberangriff auf den Abrechnungsdienstleister Unimed in die Systeme eingedrungen, öffentlich bekannt wurde der Vorfall im Mai 2026: Betroffen waren zehntausende Patientinnen und Patienten mehrerer deutscher Universitätskliniken, die klinischen Systeme der Häuser selbst blieben unberührt, betroffen war ausschließlich der vorgelagerte Dienstleister. Im Februar 2026 traf es die BDH-Klinik in Greifswald direkt: Nach einem nächtlichen Hackerangriff musste die Klinik auf analoge Arbeitsweisen umstellen, während das Landeskriminalamt Mecklenburg-Vorpommern ermittelte. Beide Fälle zeigen unterschiedliche Angriffsflächen, die die neuen Pflichten gezielt adressieren: die Lieferkette im einen Fall, die eigene IT-Infrastruktur im anderen.

Für Kliniken und Praxen heißt das: Wer die eigene IT für gut abgesichert hält, trägt künftig ausdrücklich auch für Dienstleister und Lieferketten Verantwortung, nicht nur für die selbst betriebenen Systeme.

Wer betroffen ist: Schwellenwerte für Kliniken, MVZ und Praxen

Ob eine Einrichtung unter das NIS2UmsuCG fällt, entscheidet sich nach Paragraf 28 BSIG grundsätzlich über zwei Schwellenwerte: 50 Mitarbeitende oder 10 Millionen Euro Jahresumsatz. Wer eine der beiden Grenzen überschreitet, gilt je nach genauer Einstufung als wesentliche oder wichtige Einrichtung, mit im Kern identischen Pflichten nach Paragraf 30 und unterschiedlichen Bußgeldobergrenzen nach Paragraf 65.

Für Krankenhäuser gilt zusätzlich ein eigener, strengerer Maßstab: Wer 30.000 oder mehr vollstationäre Fälle pro Jahr behandelt, gilt automatisch als Betreiber einer kritischen Anlage nach der KRITIS-Verordnung und damit als besonders wichtige Einrichtung, unabhängig von Mitarbeiterzahl oder Umsatz. Für diese Klinikgruppe kommen nach Paragraf 31 BSIG verschärfte Anforderungen und nach Paragraf 39 eine alle drei Jahre fällige Nachweispflicht hinzu.

Ausdrücklich ausgenommen sind Pflegeheime und Pflegedienste. Sie gelten nicht als Gesundheitsdienstleister im Sinne der zugrunde liegenden EU-Systematik (Richtlinie 2011/24/EU) und fallen deshalb nicht unter das NIS2UmsuCG, auch wenn sie ähnlich sensible Daten verarbeiten. Wer als Träger sowohl ein KRITIS-Krankenhaus als auch angegliederte Pflegeeinrichtungen betreibt, sollte diese Abgrenzung sorgfältig für jede Einrichtung einzeln vornehmen, statt sie pauschal auf den gesamten Verbund zu übertragen.

Für Krankenhäuser oberhalb der 30.000-Fälle-Grenze heißt das: die KRITIS-Einstufung greift automatisch, eine gesonderte Prüfung von Mitarbeiterzahl oder Umsatz ändert daran nichts. Für MVZ und größere Berufsausübungsgemeinschaften heißt das umgekehrt: Die Einstufung hängt tatsächlich von den eigenen Zahlen ab, kleinere Einzelpraxen bleiben häufig unterhalb der Schwelle, sollten das aber anhand der eigenen Mitarbeiterzahl und des Jahresumsatzes dokumentiert prüfen, statt es zu vermuten.

Die zehn Pflichtmaßnahmen nach Paragraf 30 BSIG

Das Herzstück des Gesetzes ist ein abschließender Katalog von zehn Risikomanagementmaßnahmen in Paragraf 30 Absatz 2 BSIG. Sie sollen dem Stand der Technik entsprechen und einschlägige europäische und internationale Normen berücksichtigen, verlangen aber keine bestimmte Zertifizierung: Es zählt die tatsächliche Wirkung, nicht das vorgelegte Dokument.

Der Katalog umfasst im Einzelnen: Konzepte für Risikoanalyse und Systemsicherheit, Prozesse zur Bewältigung von Sicherheitsvorfällen, Backup-Management und Krisenmanagement zur Aufrechterhaltung des Betriebs, Sicherheit der Lieferkette, sichere Beschaffung und Wartung von IT-Systemen samt Schwachstellenmanagement, Verfahren zur Bewertung der Wirksamkeit der eigenen Maßnahmen, grundlegende Cyberhygiene und Schulungen, Konzepte für Kryptografie und Verschlüsselung, Personalsicherheit und Zugriffskontrolle sowie Multi-Faktor-Authentifizierung und gesicherte Kommunikationswege.

Für Kliniken, die häufig mit älteren Medizingeräten, herstellerseitig geschlossener Software und einem faktischen 24-Stunden-Betrieb arbeiten, sind in der Praxis vor allem drei Punkte anspruchsvoll: das Schwachstellenmanagement bei Systemen, die sich nicht ohne Weiteres aktualisieren lassen, die Lieferkettensicherheit bei einer Vielzahl externer IT- und Abrechnungsdienstleister, und die Aufrechterhaltung des Betriebs, wenn ein Ausfall nicht wie in anderen Branchen zum Stillstand, sondern im Zweifel zu einem Versorgungsrisiko für Patientinnen und Patienten führt.

Für die IT-Verantwortlichen in Kliniken und Praxen heißt das: Ein bloßes Nachrüsten einzelner Tools reicht nicht aus. Gefordert ist ein dokumentiertes, überprüfbares Gesamtkonzept, das die eigene Risikolage widerspiegelt und sich regelmäßig auf seine Wirksamkeit hin überprüfen lässt.

Meldepflicht: 24 Stunden, 72 Stunden, ein Monat

Wird eine Einrichtung Opfer eines erheblichen Sicherheitsvorfalls, greift nach Paragraf 32 BSIG eine dreistufige Meldekaskade an das BSI. Innerhalb von 24 Stunden nach Kenntniserlangung ist eine frühe Erstmeldung fällig, die angibt, ob eine rechtswidrige oder böswillige Handlung vermutet wird und ob grenzüberschreitende Auswirkungen möglich sind. Innerhalb von 72 Stunden folgt eine Meldung mit einer ersten Bewertung des Schweregrads und, soweit vorhanden, mit Kompromittierungsindikatoren. Spätestens einen Monat nach dieser zweiten Meldung ist ein Abschlussbericht fällig; bei einem noch andauernden Vorfall tritt an dessen Stelle zunächst ein Fortschrittsbericht.

Für Kliniken kommt regelmäßig eine zweite Meldepflicht hinzu: Sind bei einem Sicherheitsvorfall auch personenbezogene Patientendaten betroffen, läuft parallel die Meldepflicht nach Artikel 33 DSGVO mit einer eigenen 72-Stunden-Frist an die zuständige Landesdatenschutzbehörde. Beide Meldewege verfolgen unterschiedliche Zwecke und müssen unabhängig voneinander bedient werden, eine Meldung ersetzt die andere nicht.

Technisch läuft die BSIG-Meldung über das Melde- und Informationsportal des BSI, außerhalb der Bürozeiten steht zusätzlich eine Notfallrufnummer bereit. Wichtig für die interne Organisation: Die Fristen beginnen mit der Kenntniserlangung, nicht mit dem tatsächlichen Beginn des Vorfalls. Eine funktionierende Erkennung von Sicherheitsvorfällen ist deshalb selbst schon Teil der Pflichtmaßnahmen nach Paragraf 30.

Für Krankenhäuser mit Patientendatenbezug heißt das: Meldeprozesse sollten von vornherein beide Fristenregime gemeinsam abbilden, statt sie erst im Ernstfall unter Zeitdruck zu koordinieren.

Persönliche Haftung der Geschäftsleitung und drohende Bußgelder

Paragraf 38 BSIG adressiert ausdrücklich die Leitungsebene: Die Geschäftsleitung besonders wichtiger und wichtiger Einrichtungen muss die Risikomanagementmaßnahmen nach Paragraf 30 formell billigen, ihre Umsetzung laufend überwachen und selbst an entsprechenden Schulungen teilnehmen. Diese drei Pflichten lassen sich nicht wegdelegieren: Kommt die Geschäftsleitung ihnen schuldhaft nicht nach, haftet sie persönlich, unabhängig von einer etwaigen Haftung der Einrichtung selbst.

Für die Einrichtung drohen bei Verstößen Bußgelder nach Paragraf 65 BSIG von bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes bei besonders wichtigen Einrichtungen, bis zu 7 Millionen Euro bei wichtigen Einrichtungen, jeweils ist der höhere Betrag maßgeblich. Bereits die Registrierungspflicht selbst ist eigenständig bußgeldbewehrt: Wer sich nicht rechtzeitig beim BSI angemeldet hat, muss nicht erst einen Sicherheitsvorfall abwarten, um ein Bußgeldverfahren zu riskieren.

Die Frist für die Erstregistrierung ist bereits am 6. März 2026 abgelaufen. Wer sie versäumt hat, sollte das nicht als erledigt betrachten, sondern die Registrierung zeitnah nachholen und den Vorgang dokumentieren. Das BSI verfügt nach eigener Einschätzung nur über begrenzte Kapazitäten, um alle rund 29.500 betroffenen Einrichtungen gleichzeitig zu prüfen, was in der Fachliteratur überwiegend als risikobasierte Aufsicht mit Priorität auf große und besonders kritische Einrichtungen gedeutet wird. Ein Zuwarten auf eine förmliche Aufforderung ist damit keine tragfähige Strategie, sondern verschiebt das Problem lediglich.

Für Klinikgeschäftsführung und Praxisinhaber heißt das: Die persönliche Haftung nach Paragraf 38 BSIG ist ernst zu nehmen, unabhängig davon, welchen Versicherungsschutz die Einrichtung auf Unternehmensebene vorhält.

Strategische Empfehlung: In vier Schritten zur Nachweisfähigkeit

Betroffenheit dokumentiert prüfen

Mitarbeiterzahl, Jahresumsatz und, bei Kliniken, die stationären Fallzahlen sollten schriftlich festgehalten werden, auch wenn das Ergebnis negativ ausfällt. Diese Dokumentation ist im Zweifel der erste Nachweis gegenüber dem BSI.

Registrierung nachholen

Wer die Frist vom 6. März 2026 verpasst hat, sollte die Anmeldung über das Authentifizierungsportal Mein Unternehmenskonto und das BSI-Meldeportal zeitnah nachholen, statt auf eine Aufforderung zu warten.

Governance-Dokumentation aufbauen

Meldewege, interne Verantwortlichkeiten und ein Nachweis der Geschäftsleitungsbilligung nach Paragraf 38 gehören ebenso dazu wie eine erkennbare Verzahnung mit der Meldepflicht nach Artikel 33 DSGVO.

KRITIS-Dachgesetz beobachten

Die Konkretisierung der physischen Resilienz-Anforderungen ist nach dem Referentenentwurf vom Mai 2026 noch nicht abgeschlossen, betrifft KRITIS-Krankenhäuser aber absehbar zusätzlich zu den bereits geltenden NIS2-Pflichten. Mehr zur Cybersicherheit als Haftungsfaktor bei Medizinprodukten lesen Sie in unserem Beitrag zur neuen Produkthaftung für Medizinprodukte. Was im Ernstfall konkret zu melden ist, ordnet unser Lexikon-Beitrag zur Meldepflicht bei IT-Sicherheitsvorfällen im Detail ein. Für eine erste Einordnung Ihres Hauses berät Sie unser Team im Bereich Healthcare Beratung.