Kurze Antwort: NIS2 (Richtlinie (EU) 2022/2555) ist das EU-Gesetz zur Cybersicherheit für kritische Sektoren. Gesundheit ist ein Sektor von hoher Kritikalität (Anhang I): Krankenhäuser und andere Gesundheitsdienstleister, EU-Referenzlabore, Hersteller von grundlegenden pharmazeutischen Produkten und von Medizinprodukten, die bei einem Notfall im Gesundheitswesen kritisch sind, sowie Einrichtungen, die Forschung und Entwicklung von Arzneimitteln betreiben. Digitale Anbieter, auf die das Gesundheitswesen angewiesen ist, sind ebenfalls abgedeckt: Cloud-Computing, Rechenzentren, Managed Security Services sowie Online-Plattformen und Marktplätze. Unternehmen, die die Größenanforderungen überschreiten (mittelgroß: 50 Mitarbeiter oder 10 Mio. € Umsatz), sind je nach Sektor und Größe wesentlich oder wichtig und müssen zehn Kategorien von Sicherheitsmaßnahmen umsetzen, schwerwiegende Vorfälle innerhalb von 24 Stunden, 72 Stunden und einem Monat melden und akzeptieren, dass das Management persönlich haftet. Die Mitgliedstaaten mussten die Richtlinie bis zum 17. Oktober 2024 umsetzen; einige haben dies verspätet getan, und die nationalen Gesetze, nicht die Richtlinie, gelten für Sie.
Wer ist betroffen
Die NIS2-Richtlinie deckt den Gesundheitssektor als Sektor hoher Kritikalität ab: Krankenhäuser und andere Gesundheitsdienstleister, EU-Referenzlabore, Hersteller von pharmazeutischen Grundprodukten und von Medizinprodukten, die bei einem Notfall der öffentlichen Gesundheit kritisch sind, sowie Unternehmen, die sich mit der Forschung und Entwicklung von Arzneimitteln befassen, plus die Cloud-, Rechenzentrums- und Managed-Service-Anbieter, auf die das Gesundheitswesen angewiesen ist. Mittelgroße Unternehmen sind generell wichtig, große Unternehmen sind essenziell.
| Einrichtung | Anhang | Typischer Status |
|---|---|---|
| Krankenhäuser, Kliniken, Hausarztnetze, Labore, Apotheken, die Versorgung anbieten (Gesundheitsdienstleister gemäß Richtlinie 2011/24) | I, Gesundheit | Wesentlich bei großer Größe (250+ Mitarbeiter oder 50 Mio. €+), wichtig bei mittlerer Größe |
| EU-Referenzlabore | I, Gesundheit | Wesentlich |
| Hersteller von grundlegenden pharmazeutischen Produkten und Zubereitungen | I, Gesundheit | Wesentlich oder wichtig nach Größe |
| Hersteller von Medizinprodukten, die bei einem Notfall im Gesundheitswesen als kritisch gelten (Liste der Verordnung 2022/123) | I, Gesundheit | Wesentlich oder wichtig nach Größe |
| Einrichtungen, die Forschung und Entwicklung von Arzneimitteln betreiben | I, Gesundheit | Wesentlich oder wichtig nach Größe |
| Anbieter von Cloud-Computing-Diensten, Anbieter von Rechenzentren, Content-Delivery-Netzwerke, Managed (Security) Service Provider, DNS, TLD-Registries | I, digitale Infrastruktur und ICT-Dienstleistungsmanagement | Wesentlich unabhängig von der Größe für einige (DNS, TLD, Vertrauensdienste); ansonsten nach Größe |
| Online-Marktplätze, Suchmaschinen, soziale Netzwerke | II, digitale Anbieter | Wichtig nach Größe |
| Hersteller anderer Medizinprodukte sowie von Computern, Elektronik, Maschinen | II, Fertigung | Wichtig nach Größe |
Ein Health-Tech-SaaS-Anbieter ist kein Gesundheitsdienstleister, kann aber als Anbieter von Cloud-Computing-Diensten (wenn er Cloud-Dienste als sein Geschäft anbietet) betroffen sein oder über seine Kunden einbezogen werden: Artikel 21 Absatz 2 Buchstabe d) verlangt von wesentlichen und wichtigen Einrichtungen, die Sicherheit der Lieferkette zu verwalten, sodass Krankenhäuser NIS2-konforme Anforderungen in Verträge mit ihren Softwarelieferanten übertragen. Kleinst- und Kleinunternehmen sind im Allgemeinen nicht betroffen, es sei denn, ein Mitgliedstaat stuft sie ein (z. B. als alleinige Anbieter eines kritischen Dienstes).
Die zehn Maßnahmen, Artikel 21
Artikel 21 der NIS2-Richtlinie verpflichtet jede betroffene Einrichtung, verhältnismäßige Maßnahmen in zehn Bereichen zu ergreifen: Risikoanalyse und Sicherheitsrichtlinien, Incident Handling, Business Continuity und Krisenmanagement, Sicherheit der Lieferkette, sichere Beschaffung und Entwicklung einschließlich Schwachstellenmanagement, Bewertung der Wirksamkeit, Cyber-Hygiene und Schulung, Kryptografie und Verschlüsselung, Sicherheit des Personals und Zugangskontrolle sowie Multi-Faktor-Authentifizierung mit gesicherter Kommunikation.
Jede betroffene Einrichtung muss geeignete und verhältnismäßige technische, operative und organisatorische Maßnahmen ergreifen, die mindestens Folgendes abdecken:
- Richtlinien zur Risikoanalyse und Sicherheit von Informationssystemen;
- Vorfallsmanagement;
- Geschäftskontinuität (Backups, Notfallwiederherstellung) und Krisenmanagement;
- Sicherheit der Lieferkette, einschließlich der Sicherheit der Beziehungen zu direkten Lieferanten;
- Sicherheit bei der Beschaffung, Entwicklung und Wartung von Systemen, einschließlich Schwachstellenmanagement und -offenlegung;
- Richtlinien zur Bewertung der Wirksamkeit der Maßnahmen;
- Grundlegende Praktiken der Cyberhygiene und Schulungen;
- Richtlinien zur Kryptografie und, wo angebracht, zur Verschlüsselung;
- Sicherheit im Personalwesen, Zugriffskontrolle und Vermögensverwaltung;
- Multi-Faktor- oder kontinuierliche Authentifizierung, sichere Kommunikation und sichere Notfallkommunikation.
Eine Durchführungsverordnung vom Oktober 2024 (2024/2690) spezifiziert diese im Detail für digitale Infrastruktur- und ICT-Anbieter, und nationale Behörden veröffentlichen ihre eigenen Kataloge für das Gesundheitswesen. Die Liste entspricht weitgehend Anhang A der ISO/IEC 27001; eine Organisation mit einem zertifizierten ISMS, das die relevanten Systeme abdeckt, ist bereits auf einem guten Weg. Siehe ISO 27001 vs. ISO 27799.
Die Vorfalluhr, Artikel 23
Gemäß Artikel 23 der NIS2-Richtlinie muss ein signifikanter Vorfall in drei Schritten an das nationale CSIRT oder die zuständige Behörde gemeldet werden: eine Frühwarnung innerhalb von 24 Stunden nach Bekanntwerden, eine Vorfallmeldung innerhalb von 72 Stunden mit einer ersten Einschätzung und ein Abschlussbericht innerhalb eines Monats, der die Ursachen und Minderungsmaßnahmen abdeckt, mit einem Zwischenbericht auf Anfrage.
Ein wesentlicher Vorfall (ein Vorfall, der schwere operative Störungen oder finanzielle Verluste verursacht oder verursachen kann oder andere mit erheblichen Schäden betrifft) muss dem nationalen CSIRT oder der zuständigen Behörde gemeldet werden:
- Frühwarnung innerhalb von 24 Stunden nach Bekanntwerden, mit Angabe, ob böswillige Handlungen vermutet werden und ob eine grenzüberschreitende Auswirkung besteht;
- Meldung des Vorfalls innerhalb von 72 Stunden, mit einer ersten Bewertung der Schwere und der Auswirkungen sowie Indikatoren für eine Kompromittierung;
- ein Zwischenbericht auf Anfrage;
- ein Abschlussbericht innerhalb eines Monats, mit Ursachenanalyse, Abhilfemaßnahmen und grenzüberschreitenden Auswirkungen.
Wenn personenbezogene Daten betroffen sind, läuft die 72-Stunden-Meldung an die Datenschutzbehörde gemäß DSGVO parallel; ein Ransomware-Angriff auf ein Krankenhaus löst beide aus. Dienstleistungsempfänger müssen informiert werden, wenn der Vorfall sie betreffen könnte.
Governance, Haftung, Bußgelder
Die NIS2-Richtlinie macht das Management persönlich haftbar: Die Führungsgremien müssen die Cybersicherheitsmaßnahmen genehmigen, deren Umsetzung überwachen und Schulungen absolvieren und können für Verstöße haftbar gemacht werden; für wesentliche Einrichtungen können Behörden Manager vorübergehend suspendieren. Die Bußgelder erreichen 10 Millionen Euro oder 2 % des weltweiten Umsatzes für wesentliche Einrichtungen und 7 Millionen Euro oder 1,4 % für wichtige Einrichtungen.
Behörden können Prüfungen durchführen, Nachweise verlangen, und in einigen Mitgliedstaaten ist die Registrierung von Einrichtungen selbst eine Verpflichtung.
Stand der Umsetzung
Die NIS2-Richtlinie musste bis zum 17. Oktober 2024 in nationales Recht umgesetzt werden. Mitte 2025 hatten etwa die Hälfte der Mitgliedstaaten Gesetze in Kraft, die Kommission hatte Vertragsverletzungsverfahren gegen säumige Staaten eingeleitet, und Deutschlands Umsetzungsgesetz trat Ende 2025 in Kraft. Das nationale Gesetz, nicht die Richtlinie, legt die Registrierungsfrist, die zuständige Behörde und einen eventuellen Katalog für den Gesundheitssektor fest.
Die Umsetzungsfrist war der 17. Oktober 2024. Mitte 2025 hatten etwa die Hälfte der Mitgliedstaaten Gesetze in Kraft (Belgien, Kroatien, Ungarn, Italien, Lettland, Litauen, Rumänien, Slowakei unter den ersten), und die Kommission leitete Vertragsverletzungsverfahren gegen die verspäteten ein; Deutschlands NIS2-Umsetzungsgesetz trat Ende 2025 in Kraft. Prüfen Sie Ihr nationales Recht auf die Registrierungsfrist, die zuständige Behörde (oft die nationale Cybersicherheitsagentur für das Gesundheitswesen, manchmal eine Regulierungsbehörde für den Gesundheitssektor) und sektorspezifische Kataloge. Außerhalb der EU folgt das Vereinigte Königreich mit dem Cyber Security and Resilience Bill.
Für einen Health-Tech-Anbieter, praktisch
Für einen Health-Tech-Anbieter ergibt sich die NIS2-Richtlinie hauptsächlich aus Verträgen mit Krankenhäusern: Kunden, die unter die Richtlinie fallen, müssen die Sicherheit ihrer Lieferkette gewährleisten und fordern daher eine Benachrichtigung über Vorfälle innerhalb von Stunden, Nachweise über die zehn Maßnahmen nach Artikel 21, Offenlegung von Schwachstellen, Listen von Subunternehmern sowie Ausstiegs- und Notfallpläne. Ein Informationssicherheitsmanagementsystem mit diesen dokumentierten Elementen ist der kostengünstigste Weg, um darauf zu reagieren.
Anpheros veröffentlicht seine Sicherheitspraktiken auf der Entwicklerseite (security, reliability) und führt die Reaktion auf Vorfälle mit den Fristen der NIS2-Richtlinie und der DSGVO im selben Runbook durch.
Diese Seite erklärt die Regulierung für Produkt- und Engineering-Teams. Sie stellt keine Rechtsberatung dar; die unter Quellen verlinkten Texte sind maßgeblich, und Ihr Datenschutzbeauftragter, Ihre Benannte Stelle oder Ihr Rechtsberater entscheiden für Ihren Fall. Letzte Überprüfung: Oktober 2026.
Verwandte Seiten
- ISO 27001 vs. ISO 27799
- DSGVO Artikel 9 für Gesundheitsdaten
- Landkarte der Gesundheitsdatenschutzregulierung
- DPIA für eine Gesundheits-App
- Plattform-Sicherheit (Entwicklerseite)
Quellen
- Richtlinie (EU) 2022/2555 (NIS2), EUR-Lex
- Durchführungsverordnung (EU) 2024/2690 (NIS2 technische Anforderungen für digitale Anbieter), EUR-Lex
- Europäische Kommission: NIS2-Richtlinie – Überblick
- Verordnung (EU) 2022/123 (Gestärkte Rolle der EMA; Liste kritischer Medizinprodukte), EUR-Lex
Häufige Fragen
Ist mein 30-Personen-Unternehmen für Gesundheitssoftware betroffen?
Normalerweise nicht direkt, es sei denn, Ihr nationales Recht stuft Sie ein oder Sie bieten einen Dienst an, der in Anhang I aufgeführt ist, unabhängig von der Größe. Sie werden NIS2 trotzdem durch die Verpflichtungen zur Lieferkettensicherheit Ihrer Krankenhaus-Kunden erfüllen, die in Verträge einfließen.
Was ist ein wesentlicher Vorfall?
Ein Vorfall, der schwere operative Störungen oder finanzielle Verluste für die Einrichtung verursacht oder verursachen kann, oder der andere Personen oder Organisationen mit erheblichen materiellen oder immateriellen Schäden betrifft. Ein Ransomware-Angriff auf ein Krankenhaus ist der klassische Fall; eine kurze Unterbrechung ohne Datenfolgen in der Regel nicht.
Ersetzt NIS2 die Meldung von Datenschutzverletzungen nach der DSGVO?
Nein. Sie laufen parallel mit unterschiedlichen Empfängern (dem CSIRT oder der Cybersicherheitsbehörde gegenüber der Datenschutzbehörde), unterschiedlichen Auslösern (Dienstunterbrechung gegenüber personenbezogener Datenverletzung) und überlappenden Fristen.
Ist die ISO 27001-Zertifizierung ein Nachweis der NIS2-Konformität?
Nicht formell, aber mehrere Mitgliedstaaten und die ENISA betrachten ein zertifiziertes ISMS über den relevanten Geltungsbereich als starken Nachweis, und einige nationale Systeme akzeptieren es als Vermutung für die meisten Maßnahmen. Die Pflichten zur Meldung von Vorfällen und zur Schulung des Managements müssen weiterhin separat nachgewiesen werden.
Kostenlos in der Sandbox testen
Ihr erster FHIR-Aufruf in 5 Minuten. Eine HL7 FHIR R4 API mit der Zustimmung des Patienten: probieren Sie sie in der Sandbox aus und verbinden Sie dann Ihre eigene App oder Ihr Kliniksystem.
Kostenlos · 30 synthetische Patienten · keine Karte
Anpheros entwickelt eine Patientenakte, die der Patient kontrolliert und mit jeder Klinik teilen kann, auf einer HL7 FHIR R4-Plattform mit Sitz in der EU. Diese Anleitungen helfen Ihnen, Ihre Gesundheit zu verstehen und zu organisieren; sie ersetzen nicht Ihren Arzt.
Über Anpheros →