KRITIS und NIS2 im Gesundheitswesen

Welche Krankenhäuser und Gesundheitseinrichtungen unter NIS2 und KRITIS fallen, welche Pflichten seit Dezember 2025 gelten und wie die Geschäftsleitung jetzt vorgehen sollte.

Beraterin, Trainerin und Autorin

Veröffentlicht am 4 Min. Lesezeit

Kurze Antwort

KRITIS und NIS2 im Gesundheitswesen bezeichnen die gesetzlichen Pflichten zur Cybersicherheit und Resilienz von Krankenhäusern und anderen Gesundheitseinrichtungen. Seit dem 6. Dezember 2025 gilt das NIS2-Umsetzungsgesetz: Einrichtungen ab 50 Beschäftigten oder 10 Millionen Euro Umsatz fallen als wichtige, ab 250 Beschäftigten als besonders wichtige Einrichtungen unter das BSI-Gesetz. Unabhängig davon verpflichtet § 391 SGB V alle Krankenhäuser zu IT-Sicherheit nach dem Stand der Technik.

Das Wichtigste in Kürze

  • Die meisten Krankenhäuser dürften wegen ihrer Größe mindestens als wichtige, viele als besonders wichtige Einrichtung gelten.
  • Pflichten: Registrierung beim BSI, Risikomanagement nach § 30 BSIG, Meldungen nach 24 Stunden, 72 Stunden und einem Monat, Verantwortung und Schulung der Geschäftsleitung.
  • Für alle Krankenhäuser gilt § 391 SGB V; der B3S Krankenhaus ist ein anerkannter Weg, ihn zu erfüllen.
  • Das KRITIS-Dachgesetz ergänzt seit März 2026 die physische Resilienz.

Wer ist im Gesundheitswesen von NIS2 betroffen?

Kurze Antwort

Betroffen sind Einrichtungen des Sektors Gesundheit ab einer bestimmten Größe sowie alle Betreiber kritischer Anlagen. Für Krankenhäuser sind vor allem Beschäftigtenzahl, Umsatz und Bilanzsumme entscheidend.

Einstufung nach § 28 BSIG

Kategorie Kriterien (Sektor Gesundheit)
Besonders wichtige Einrichtung Betreiber kritischer Anlagen, oder mindestens 250 Beschäftigte, oder mehr als 50 Mio. Euro Jahresumsatz und mehr als 43 Mio. Euro Bilanzsumme
Wichtige Einrichtung Mindestens 50 Beschäftigte, oder mehr als 10 Mio. Euro Jahresumsatz und Bilanzsumme
Nicht erfasst Kleinere Einrichtungen unterhalb dieser Schwellen (für Krankenhäuser gilt trotzdem § 391 SGB V)

Als kritische Anlagen galten im Gesundheitsbereich nach der bisherigen BSI-Kritisverordnung unter anderem Krankenhäuser ab 30.000 vollstationären Fällen pro Jahr. Ob ein Haus erfasst ist, sollte anhand der aktuellen Verordnung geprüft werden.

Welche Pflichten bringt das NIS2-Umsetzungsgesetz?

Kurze Antwort

Registrierung beim BSI, angemessene Risikomanagementmaßnahmen, fristgerechte Meldung erheblicher Sicherheitsvorfälle und die persönliche Verantwortung der Geschäftsleitung für Umsetzung, Überwachung und eigene Schulung.

Registrierung

Betroffene Einrichtungen müssen sich beim BSI registrieren. Für Einrichtungen, die schon beim Inkrafttreten betroffen waren, galt eine Frist von drei Monaten. Wer die Registrierung noch nicht erledigt hat, sollte dies umgehend nachholen.

Risikomanagement (§ 30 BSIG)

Gefordert sind geeignete, verhältnismäßige technische und organisatorische Maßnahmen, unter anderem zu Risikoanalyse, Bewältigung von Sicherheitsvorfällen, Aufrechterhaltung des Betriebs mit Backup- und Krisenmanagement, Sicherheit der Lieferkette, Schwachstellenmanagement, Kryptografie, Zugriffskontrolle, Mehr-Faktor-Authentifizierung sowie Schulungen und Cyberhygiene.

Meldepflichten (§ 32 BSIG)

Meldung Frist
Frühe Erstmeldung spätestens 24 Stunden nach Kenntnis eines erheblichen Sicherheitsvorfalls
Meldung mit erster Bewertung spätestens 72 Stunden nach Kenntnis
Abschlussmeldung spätestens einen Monat nach der Meldung, bei laufenden Vorfällen zunächst eine Fortschrittsmeldung

Geschäftsleitung (§ 38 BSIG)

Die Geschäftsleitung muss die Risikomanagementmaßnahmen umsetzen und deren Umsetzung überwachen. Bei schuldhafter Pflichtverletzung haftet sie der Einrichtung. Außerdem muss sie regelmäßig an Schulungen teilnehmen, um Risiken und Risikomanagementpraktiken beurteilen zu können.

Wie hängen § 391 SGB V, NIS2 und B3S zusammen?

Kurze Antwort

§ 391 SGB V gilt für alle Krankenhäuser, die nicht ohnehin als Betreiber kritischer Anlagen Pflichten nach dem BSI-Gesetz haben. Er verlangt Vorkehrungen nach dem Stand der Technik und Maßnahmen zur Sensibilisierung der Beschäftigten. Der B3S Krankenhaus ist ein vom BSI als geeignet festgestellter Standard, mit dem diese Pflichten erfüllt werden können.

Für Häuser, die zusätzlich als wichtige oder besonders wichtige Einrichtung unter das BSI-Gesetz fallen, ist der B3S eine gute Grundlage für das Informationssicherheitsmanagement. Er deckt die NIS2-Anforderungen jedoch nicht automatisch vollständig ab. Registrierung, Meldewege und die Pflichten der Geschäftsleitung sollten deshalb gesondert geprüft werden.

Was regelt das KRITIS-Dachgesetz?

Kurze Antwort

Das KRITIS-Dachgesetz ist am 17. März 2026 in Kraft getreten und regelt die physische Resilienz kritischer Anlagen – also den Schutz vor Ereignissen wie Naturkatastrophen, Sabotage oder Stromausfällen. Es ergänzt das BSI-Gesetz, das die Cybersicherheit regelt.

Welche Anlagen erfasst sind, wird durch eine Rechtsverordnung bestimmt. Erst danach beginnen die Fristen für die Registrierung auf der gemeinsamen Plattform von BBK und BSI. Krankenhäuser sollten die Entwicklung verfolgen und Risikoanalysen für Stromversorgung, Wasser, Gebäude und Lieferketten bereits jetzt mit der IT-Sicherheit verzahnen.

Was sollten Krankenhäuser jetzt tun?

  1. Betroffenheit dokumentieren: Einstufung nach § 28 BSIG und Prüfung als kritische Anlage festhalten. Eine erste Orientierung gibt unser NIS2-Check für Gesundheitseinrichtungen.
  2. Registrierung prüfen: Ist die Einrichtung beim BSI registriert und sind Kontaktdaten aktuell?
  3. Lücken analysieren: Abgleich des bestehenden ISMS, zum Beispiel nach B3S, mit den Anforderungen aus § 30 BSIG.
  4. Meldeprozess aufsetzen: Wer erkennt, bewertet und meldet einen Vorfall innerhalb von 24 und 72 Stunden – auch nachts und am Wochenende?
  5. Lieferkette absichern: Anforderungen an Dienstleister und Hersteller in Verträge aufnehmen.
  6. Geschäftsleitung schulen: Regelmäßige Schulungen planen und dokumentieren.
  7. Üben und berichten: Notfallübungen, Kennzahlen und regelmäßige Berichte an die Geschäftsleitung.

Fazit

Mit dem NIS2-Umsetzungsgesetz ist Cybersicherheit im Gesundheitswesen endgültig Chefsache geworden. Die meisten Krankenhäuser sind betroffen, die Pflichten gelten bereits. Wer Betroffenheit, Registrierung, Meldeprozess und Schulung der Geschäftsleitung geklärt hat und sein ISMS auf B3S-Basis weiterentwickelt, ist gut aufgestellt – auch für die kommenden Anforderungen aus dem KRITIS-Dachgesetz.

Hinweis: Dieser Überblick ersetzt keine Rechtsberatung.

Quellen

  1. BSI-Gesetz (BSIG) in der Fassung des NIS2-Umsetzungsgesetzes. §§ 28, 30, 32 und 38.
  2. § 391 SGB V – IT-Sicherheit in Krankenhäusern. Bundesministerium der Justiz.
  3. Richtlinie (EU) 2022/2555 (NIS-2-Richtlinie). Amtsblatt der Europäischen Union.
  4. KRITIS-Dachgesetz: Stärkerer Schutz kritischer Infrastrukturen. Bundesregierung.

Passende Schulungen

Vertiefen Sie das Thema mit Ihrem Team – im offenen Seminar oder als Inhouse-Schulung.

Häufige Fragen

Fallen Krankenhäuser unter NIS2?

Krankenhäuser gehören zum Sektor Gesundheit. Nach dem BSI-Gesetz in der Fassung des NIS2-Umsetzungsgesetzes sind Einrichtungen ab 50 Beschäftigten oder mit mehr als 10 Millionen Euro Jahresumsatz und Bilanzsumme wichtige Einrichtungen, ab 250 Beschäftigten oder mehr als 50 Millionen Euro Umsatz und 43 Millionen Euro Bilanzsumme besonders wichtige Einrichtungen. Betreiber kritischer Anlagen sind immer besonders wichtige Einrichtungen.

Seit wann gilt das NIS2-Umsetzungsgesetz?

Das Gesetz zur Umsetzung der NIS-2-Richtlinie ist am 6. Dezember 2025 ohne Übergangsfrist in Kraft getreten. Die Registrierung beim BSI war für bereits betroffene Einrichtungen innerhalb von drei Monaten fällig.

Welche Meldefristen gelten bei einem Sicherheitsvorfall?

Ein erheblicher Sicherheitsvorfall ist dem BSI spätestens 24 Stunden nach Kenntnis als frühe Erstmeldung, spätestens 72 Stunden nach Kenntnis als Meldung mit erster Bewertung und spätestens einen Monat danach mit einer Abschlussmeldung zu übermitteln (§ 32 BSIG).

Haftet die Geschäftsleitung persönlich?

Nach § 38 BSIG muss die Geschäftsleitung die Risikomanagementmaßnahmen umsetzen und überwachen. Verletzt sie diese Pflichten schuldhaft, haftet sie der Einrichtung für den Schaden. Zudem muss sie regelmäßig an Schulungen teilnehmen.

Was ist der Unterschied zwischen NIS2 und dem KRITIS-Dachgesetz?

NIS2 und das BSI-Gesetz regeln die Cybersicherheit. Das KRITIS-Dachgesetz, in Kraft seit dem 17. März 2026, regelt die physische Resilienz kritischer Anlagen, etwa gegen Naturgefahren, Sabotage oder Stromausfall. Welche Anlagen erfasst sind, legt eine Rechtsverordnung fest.

Lassen Sie uns über Ihr Projekt sprechen.

Unverbindliches Erstgespräch zu Beratung, Projekt oder Schulung.

Gespräch anfrageninfo@digitalhealthexperts.de