Wann gilt NIS2 für Krankenhäuser in Deutschland?
Seit dem 6. Dezember 2025 ist die Frage „wann gilt NIS2 für Krankenhäuser“ nicht mehr allein eine Frage der europäischen Richtlinie, sondern der konkreten Pflichten nach deutschem Recht. Für viele Klinikträger ist dabei entscheidend: Nicht jede Einrichtung fällt automatisch in den unmittelbaren Anwendungsbereich. Wer betroffen ist, muss jedoch Cyberrisiken systematisch steuern, erhebliche Sicherheitsvorfälle fristgerecht melden und die Verantwortung auf Leitungsebene verankern.
Für Krankenhäuser geht es dabei nicht nur um IT-Sicherheit im Rechenzentrum. Klinische Prozesse, vernetzte Medizintechnik, Zutrittskontrolle, Gebäudeautomation, Kommunikation und physische Schutzmaßnahmen bilden zusammen eine Sicherheitsarchitektur. Fällt ein Teil davon aus oder wird manipuliert, kann die Patientenversorgung unmittelbar beeinträchtigt sein.
Seit wann gilt NIS2 für Krankenhäuser?
Die NIS2-Richtlinie der Europäischen Union war von den Mitgliedstaaten bis zum 17. Oktober 2024 umzusetzen. In Deutschland erfolgte die nationale Umsetzung mit dem NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz. Die wesentlichen Regelungen gelten seit dem 6. Dezember 2025.
Ab diesem Zeitpunkt müssen Krankenhäuser nicht erst auf eine gesonderte Aufforderung durch eine Behörde warten. Sobald die gesetzlichen Voraussetzungen erfüllt sind, entstehen die Anforderungen grundsätzlich unmittelbar. Dazu zählen insbesondere angemessene Maßnahmen des Risikomanagements, geregelte Meldewege für Sicherheitsvorfälle und die Registrierung beim Bundesamt für Sicherheit in der Informationstechnik, kurz BSI.
In der Praxis sollte die zeitliche Betrachtung trotzdem differenziert erfolgen. Die gesetzliche Geltung beginnt mit dem Inkrafttreten. Einzelne Handlungsfristen, etwa für die Registrierung oder die Meldung eines konkreten Vorfalls, richten sich nach den Vorgaben des Gesetzes und dem jeweiligen Ereignis. Ein Krankenhaus sollte seine Betroffenheit daher dokumentiert bewerten und nicht darauf vertrauen, dass fehlende Post vom BSI eine Freistellung bedeutet.
Welche Krankenhäuser fallen unter NIS2?
Krankenhäuser gehören zum Sektor Gesundheitswesen und damit zu einem Bereich, den NIS2 besonders in den Blick nimmt. Ob ein einzelnes Haus tatsächlich erfasst ist, hängt regelmäßig von seiner Größe und rechtlichen Einordnung ab. Maßgeblich sind grundsätzlich mindestens 50 Beschäftigte sowie entweder ein Jahresumsatz von über 10 Millionen Euro oder eine Jahresbilanzsumme von über 10 Millionen Euro.
Viele Akutkrankenhäuser, größere Fachkliniken und Krankenhausverbünde erreichen diese Schwellen ohne Weiteres. Kleine Einrichtungen können hingegen außerhalb des unmittelbaren Anwendungsbereichs liegen. Das ist aber keine pauschale Entwarnung: Vertragliche Anforderungen, Datenschutzrecht, Vorgaben von Versicherern, Landesregelungen und die eigene Verantwortung für eine sichere Versorgung bleiben bestehen.
Die frühere KRITIS-Schwelle von 30.000 vollstationären Behandlungsfällen pro Jahr beantwortet die NIS2-Frage nicht. Sie war und ist für die bisherige KRITIS-Systematik von Bedeutung, darf aber nicht mit den neuen NIS2-Kriterien verwechselt werden. NIS2 erweitert den Kreis der erfassten Einrichtungen deutlich und orientiert sich vor allem an Sektor und Unternehmensgröße.
Bei Klinikverbünden ist außerdem nicht nur der einzelne Standort relevant. Beteiligungs- und Kontrollverhältnisse können bei der Größenbewertung eine Rolle spielen. Wer Beschäftigtenzahlen, Umsatz und Bilanzsumme ausschließlich je Betriebsstätte betrachtet, kann deshalb zu einer falschen Einschätzung kommen. Besonders bei kommunalen Trägern, gemeinnützigen Gesellschaften und komplexen Konzernstrukturen empfiehlt sich eine rechtlich und organisatorisch sauber dokumentierte Abgrenzung.
Besonders wichtige oder wichtige Einrichtung?
NIS2 unterscheidet zwischen besonders wichtigen und wichtigen Einrichtungen. Krankenhäuser, die die gesetzlichen Voraussetzungen erfüllen, sind im Gesundheitswesen regelmäßig dem Kreis der besonders wichtigen Einrichtungen zuzuordnen. Die Einordnung beeinflusst unter anderem die behördliche Aufsicht und die Intensität möglicher Prüfungen.
Für die konkrete Sicherheitsarbeit ist die Unterscheidung nicht der zentrale Punkt. Beide Kategorien müssen angemessene technische, operative und organisatorische Maßnahmen treffen. Entscheidend ist, ob die Sicherheitsvorkehrungen zum Risiko, zur Größe der Einrichtung, zur Abhängigkeit von digitalen Systemen und zu den möglichen Folgen eines Ausfalls passen.
Welche Pflichten entstehen für betroffene Kliniken?
NIS2 verlangt kein starres Maßnahmenpaket und schreibt nicht für jede Klinik dieselbe Technik vor. Gefordert ist ein nachweisbares Risikomanagement. Die Leitung muss erkennen können, welche Systeme für Versorgung, Kommunikation, Diagnostik, Verwaltung und Gebäudebetrieb kritisch sind, welche Gefahren bestehen und wie diese beherrscht werden.
Dazu gehören unter anderem Konzepte für die Behandlung von Sicherheitsvorfällen, Notfall- und Wiederanlaufplanung, Sicherung der Lieferkette, kontrollierter Zugang zu Systemen, Schwachstellenmanagement, Verschlüsselung, Mehrfaktor-Authentisierung und regelmäßige Schulungen. Auch die Wirksamkeit der Maßnahmen muss überprüft werden. Ein einmal erstelltes Informationssicherheitskonzept genügt nicht, wenn sich Anwendungen, Dienstleister oder Bedrohungslage verändern.
Für die Geschäftsführung und andere Leitungsorgane ist NIS2 besonders relevant. Sie müssen Risikomanagementmaßnahmen billigen, deren Umsetzung überwachen und sich fortbilden lassen. Cybersicherheit wird damit ausdrücklich zur Führungsaufgabe. Sie kann nicht vollständig an die IT-Abteilung, einen externen Dienstleister oder den Datenschutzbeauftragten delegiert werden.
Meldung erheblicher Sicherheitsvorfälle
Ein erheblicher Sicherheitsvorfall kann etwa die Verfügbarkeit zentraler klinischer Systeme beeinträchtigen, einen größeren Datenabfluss verursachen oder erhebliche wirtschaftliche beziehungsweise versorgungsbezogene Schäden auslösen. Auch ein Angriff auf einen Dienstleister kann relevant werden, wenn dadurch der Krankenhausbetrieb gefährdet ist.
Die erste Frühwarnung an das BSI ist grundsätzlich innerhalb von 24 Stunden nach Kenntniserlangung vorgesehen. Innerhalb von 72 Stunden folgt eine weitergehende Meldung mit ersten Bewertungen des Vorfalls. Ein Abschlussbericht ist in der Regel innerhalb eines Monats einzureichen. Bei länger andauernden Ereignissen können Zwischenberichte erforderlich sein.
Diese Fristen funktionieren nur, wenn Verantwortlichkeiten vorab klar sind. Ein Klinikum benötigt einen abgestimmten Ablauf zwischen IT, Informationssicherheit, Medizintechnik, Datenschutz, Kommunikation, Rechtsabteilung und Geschäftsführung. Ebenso wichtig ist eine belastbare 24/7-Erreichbarkeit für technische Eskalationen. Erst im laufenden Ransomware-Angriff Zuständigkeiten und Freigaben zu klären, kostet Zeit, die im Versorgungsbetrieb fehlt.
Warum physische Sicherheit Teil der NIS2-Vorbereitung ist
NIS2 ist ein Cybersicherheitsrahmen, doch Cyber- und physische Sicherheit lassen sich im Krankenhaus nicht sinnvoll trennen. Unbefugter Zutritt zu Serverräumen, Technikzentralen, Netzwerkschränken oder Bereichen der Medizintechnik kann dieselben Folgen haben wie ein digitaler Angriff. Sabotage, Diebstahl, Manipulation oder die unbemerkte Installation fremder Hardware sind reale Risikoszenarien.
Videoüberwachung, Zutrittsmanagement und geeignete Detektionstechnik können deshalb Bausteine eines risikobasierten Sicherheitskonzepts sein. Sie ersetzen weder Netzwerksegmentierung noch Backups oder ein Informationssicherheitsmanagementsystem. Richtig geplant schaffen sie jedoch Nachvollziehbarkeit an kritischen Übergängen: Wer hatte Zugang zu einem Technikbereich? Wurde eine Tür außerhalb der Betriebszeit geöffnet? Ist eine sensible Außenfläche oder Anlieferung unbefugt betreten worden?
Die Auswahl der Technik muss zum Schutzbedarf passen. Wärmebildkameras können für großflächige Außenbereiche sinnvoll sein, während in Innenbereichen häufig klare Zutrittsregeln und datenschutzfreundlich konfigurierte Kameralösungen wichtiger sind. Bei jeder Videoüberwachung sind Zweckbindung, Speicherfristen, Berechtigungskonzepte und Transparenz gegenüber Beschäftigten, Patienten und Besuchern mitzudenken. Mehr Technik ohne klare Prozesse kann sogar neue Risiken schaffen.
So schaffen Krankenhäuser eine belastbare Ausgangslage
Der erste Schritt ist keine Produktentscheidung, sondern eine nachvollziehbare Betroffenheitsanalyse. Sie sollte Rechtsform, Größenkriterien, Sektorzuordnung, bestehende KRITIS-Pflichten und Abhängigkeiten innerhalb eines Verbunds erfassen. Das Ergebnis gehört in die Compliance- und Sicherheitsdokumentation und sollte bei strukturellen Veränderungen aktualisiert werden.
Danach empfiehlt sich eine Bestandsaufnahme der kritischen Prozesse. Im Mittelpunkt stehen nicht nur Anwendungen, sondern deren Auswirkungen: Wie lange darf ein Krankenhausinformationssystem ausfallen? Welche Folgen hätte eine Störung der Bildarchivierung, der Laboranbindung, der Notstromsteuerung oder der Telefonie? Welche Dienstleister, Fernwartungszugänge und Gebäudesysteme sind daran gekoppelt?
Auf dieser Basis lassen sich Maßnahmen priorisieren. Häufig zeigen sich zuerst grundlegende Lücken: unvollständige Inventare, zu weitreichende Administratorrechte, nicht getestete Wiederanlaufpläne, fehlende Protokollierung oder unklare Zuständigkeiten im Ereignisfall. Parallel sollten die physischen Schutzzonen geprüft werden. Besonders kritische Technik darf nicht nur auf dem Plan geschützt sein, sondern muss vor Ort kontrollierbar und nachvollziehbar abgesichert sein.
Für viele Häuser ist externe Fachunterstützung sinnvoll, wenn IT-Sicherheit, Gebäudeschutz und klinische Betriebsabläufe zusammengeführt werden müssen. Ein spezialisierter Partner kann helfen, Schutzziele in praxistaugliche technische und organisatorische Maßnahmen zu übersetzen. IBC Raif verbindet dabei die Planung professioneller Sicherheitsinfrastruktur mit Erfahrung in Videoüberwachung und KRITIS- sowie NIS2-nahen Anforderungen.
NIS2 sollte im Krankenhaus nicht als isoliertes Compliance-Projekt behandelt werden. Wer kritische Abläufe, digitale Abhängigkeiten und physische Schutzbereiche jetzt gemeinsam bewertet, schafft die Grundlage dafür, dass Sicherheit auch unter Belastung handlungsfähig bleibt.