NIS-2 & KRITIS im Krankenhaus: Welche Cybersecurity-Pflichten jetzt gelten

Das NIS2UmsuCG gilt seit Dezember 2025 – ohne Übergangsfrist

Nach langer parlamentarischer Verzögerung wurde das NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) am 5. Dezember 2025 im Bundesgesetzblatt verkündet und trat am 6. Dezember 2025 in Kraft. Anders als ursprünglich geplant gewährt das Gesetz keine Übergangsfrist: Die Pflichten bestehen unmittelbar ab diesem Datum.

Die Grundlage ist die EU-Richtlinie 2022/2555 (NIS-2-Richtlinie), die bis Oktober 2024 in nationales Recht hätte umgesetzt werden sollen. Deutschland kam dieser Pflicht erheblich verspätet nach. Das ändert jedoch nichts daran, dass die Anforderungen nun vollständig gelten.

Welche Krankenhäuser sind betroffen?

Das NIS2UmsuCG erfasst Einrichtungen in 18 definierten Sektoren. Der Gesundheitssektor ist ein Sektor hoher Kritikalität (Anhang I). Entscheidend für die Einstufung sind Mitarbeiterzahl und Jahresumsatz:

• Wichtige Einrichtung: mindestens 50 Mitarbeitende oder Jahresumsatz über 10 Mio. EUR
• Besonders wichtige Einrichtung: mindestens 250 Mitarbeitende oder Jahresumsatz über 50 Mio. EUR (bei gleichzeitiger Bilanzsumme über 43 Mio. EUR)

In der Praxis bedeutet das: Nahezu alle deutschen Krankenhäuser überschreiten diese Schwellenwerte und sind mindestens als wichtige Einrichtung einzustufen. Größere Häuser, Klinikverbünde und Universitätsklinika fallen in die Kategorie der besonders wichtigen Einrichtungen.

Zusätzlich gilt für Krankenhäuser ab 30.000 vollstationären Fällen pro Jahr weiterhin der KRITIS-Status nach der BSI-KritisV (§ 6 Abs. 4 BSI-KritisV i. V. m. Anlage 5). Diese Einrichtungen unterlagen bereits vor NIS-2 verschärften Anforderungen nach § 8a BSIG – diese Pflichten bleiben bestehen und werden durch das NIS2UmsuCG erweitert.

Registrierung beim BSI: Frist bereits abgelaufen

Das BSI-Meldeportal wurde am 6. Januar 2026 freigeschaltet. Die Pflicht zur Erstregistrierung galt bis zum 6. März 2026. Einrichtungen, die diese Frist versäumt haben, müssen die Registrierung unverzüglich nachholen – das BSI hat angekündigt, ausstehende Registrierungen aktiv zu verfolgen und bei Nichtreaktion Bußgeldverfahren einzuleiten.

Die Registrierung erfolgt über das BSI-Portal mit ELSTER-Zertifikat oder BundID-Konto mit ausreichendem Vertrauensniveau. Einrichtungen, die erst nach dem 6. März 2026 erstmals die NIS-2-Kriterien erfüllen, haben drei Monate Zeit für die Registrierung.

Konkrete Pflichten im Überblick

Das NIS2UmsuCG verpflichtet betroffene Einrichtungen zu einem umfangreichen Maßnahmenkatalog. Die zentralen Anforderungen umfassen:

Risikomanagement und technische Maßnahmen: Konzepte zur Risikoanalyse und Informationssicherheit für IT-Systeme, Netzwerke und physische Infrastruktur. Dazu gehören Maßnahmen zur Zugriffskontrolle, Authentifizierung, Netzwerksegmentierung und Verschlüsselung.

Business Continuity und Krisenmanagement: Notfall- und Wiederherstellungspläne, Backup-Konzepte sowie Verfahren für den Weiterbetrieb im Krisenfall müssen dokumentiert vorliegen.

Meldepflichten bei Sicherheitsvorfällen: Erhebliche Sicherheitsvorfälle sind dem BSI innerhalb definierter Fristen zu melden. Die Erstmeldung muss innerhalb von 24 Stunden erfolgen, ein vollständiger Bericht innerhalb von 72 Stunden.

Lieferkettensicherheit: Einrichtungen müssen die Sicherheit in der Lieferkette berücksichtigen – also auch Anforderungen an IT-Dienstleister und Softwareanbieter stellen.

Schulungen und Governance: Die Geschäftsleitung ist persönlich verantwortlich für die Umsetzung und Überwachung der Cybersicherheitsmaßnahmen. Schulungspflichten für Leitungsorgane sind gesetzlich verankert.

Sanktionen und persönliche Haftung

Bei Verstößen drohen empfindliche Geldbußen: Für besonders wichtige Einrichtungen bis zu 10 Mio. EUR oder 2 % des weltweiten Jahresumsatzes, für wichtige Einrichtungen bis zu 7 Mio. EUR oder 1,4 % des Umsatzes.

Ein wesentlicher Unterschied zu früheren Regelungen ist die persönliche Haftung der Geschäftsleitung. Leitungsorgane können für Verstöße persönlich in Regress genommen werden, wenn sie die ihnen obliegenden Pflichten zur Überwachung der Cybersicherheitsmaßnahmen nicht erfüllt haben. Dies macht Cybersicherheit zur Chefsache – nicht nur in der IT-Abteilung.

Verhältnis zu §75c SGB V und B3S

Parallel zu NIS-2 gilt § 75c SGB V für alle deutschen Krankenhäuser (auch unterhalb der KRITIS-Schwelle). Diese Norm verpflichtet zur Umsetzung von IT-Sicherheitsmaßnahmen nach dem Stand der Technik, wobei der Branchenspezifische Sicherheitsstandard (B3S) der Deutschen Krankenhausgesellschaft in der aktuellen Version 1.3 (Stand: Oktober 2025) als anerkannter Maßstab gilt. Die BSI-Eignungsfeststellung für den B3S 1.3 wurde am 3. November 2025 mit einer Befristung auf drei Jahre erteilt.

Krankenhäuser, die bereits den B3S konsequent umsetzen, decken einen erheblichen Teil der NIS-2-Anforderungen ab. Lücken bestehen typischerweise bei der formalen Registrierung beim BSI, den Meldeprozessen und der dokumentierten Lieferkettensicherheit.

Handlungsempfehlungen für IT-Verantwortliche

Wer den aktuellen Stand noch nicht vollständig umgesetzt hat, sollte folgende Schritte priorisieren:

1. BSI-Registrierung nachholen, sofern noch nicht erfolgt
2. Einrichtungskategorie (wichtig / besonders wichtig / KRITIS) formal feststellen und dokumentieren
3. Gap-Analyse gegen die NIS-2-Anforderungen auf Basis des B3S 1.3 durchführen
4. Meldeprozesse für Sicherheitsvorfälle operativ verankern (24h-Erstmeldung)
5. Geschäftsführung und Vorstand aktiv einbinden – Governance-Dokumentation erstellen
6. Lieferanten- und Dienstleisterverträge auf NIS-2-konforme Sicherheitsanforderungen prüfen

Das NIS2UmsuCG hat den regulatorischen Rahmen für Krankenhäuser grundlegend verschärft. Die Kombination aus Registrierungspflicht, Meldepflichten, Sanktionsdrohung und persönlicher Geschäftsführerhaftung macht eine strukturierte Auseinandersetzung unausweichlich – unabhängig von der Hausgröße.