Suche

NIS2-Beratung

NIS2-Beratung für Krankenhäuser und Gesundheitseinrichtungen

Von der Betroffenheit über die Gap-Analyse bis zum gelebten Meldeprozess – damit Ihr Haus die Pflichten aus dem BSI-Gesetz erfüllt und im Ernstfall handlungsfähig bleibt.

Kostenloses ErstgesprächNIS2-Check starten

NIS2 im Krankenhaus: Pflichten mit Augenmaß umsetzen

Seit dem 6. Dezember 2025 gilt das NIS2-Umsetzungsgesetz. Die meisten Krankenhäuser und viele MVZ und Pflegeeinrichtungen sind als wichtige oder besonders wichtige Einrichtung betroffen: Sie müssen sich beim BSI registrieren, zehn Mindestmaßnahmen zum Risikomanagement umsetzen und dokumentieren, erhebliche Sicherheitsvorfälle binnen 24 Stunden melden – und ihre Geschäftsleitung muss die Umsetzung verantworten und sich regelmäßig schulen lassen.

Viele Häuser haben mit dem B3S Krankenhaus oder einem ISMS nach ISO 27001 bereits eine gute Grundlage. Wir zeigen, was fehlt, was zuerst kommt und wie Sie es mit vertretbarem Aufwand umsetzen. Einen Überblick über alle Pflichten gibt der Artikel KRITIS und NIS2 im Gesundheitswesen.

Unsere Leistungen

  • Betroffenheit und Registrierung

    Einstufung nach § 28 BSIG (wichtige oder besonders wichtige Einrichtung), Prüfung als kritische Anlage, Unterstützung bei der Registrierung im BSI-Portal.

  • Gap-Analyse

    Abgleich Ihres Informationssicherheitsmanagements – etwa nach B3S oder ISO 27001 – mit den zehn Mindestmaßnahmen aus § 30 BSIG und den Pflichten der Geschäftsleitung.

  • Maßnahmenplan und Umsetzung

    Priorisierte Maßnahmen mit Aufwand, Verantwortlichen und Zeitplan; Begleitung bei Richtlinien, Prozessen und technischen Maßnahmen.

  • Meldeprozess und Notfallmanagement

    Meldekette für die Fristen von 24 Stunden, 72 Stunden und einem Monat, Verzahnung mit Datenschutzmeldung, Notfall- und Krisenmanagement, Übungen.

  • Geschäftsleitung

    Schulung nach § 38 BSIG, Berichtswesen zur Informationssicherheit, Entscheidungsvorlagen und Dokumentation der Überwachungspflicht.

  • Lieferkette und Dienstleister

    Anforderungen an Hersteller, Fernwartung und IT-Dienstleister, Vertragsklauseln, Bewertung kritischer Lieferanten.

Der Einstieg: Betroffenheits- und Gap-Analyse

In einem festen Paket klären wir, ob und wie Ihr Haus betroffen ist, gleichen Ihr Informationssicherheitsmanagement mit den Anforderungen aus § 30 BSIG ab und übergeben einen priorisierten Maßnahmenplan – als Entscheidungsgrundlage für Geschäftsleitung und Aufsichtsgremien.

  • Dokumentierte Einstufung nach § 28 BSIG und Hinweise zur Registrierung
  • Abgleich mit den zehn Mindestmaßnahmen, dem B3S und den Pflichten der Geschäftsleitung
  • Bewertung der Lücken nach Risiko und Aufwand
  • Maßnahmenplan mit Prioritäten, Verantwortlichen und Zeitrahmen
  • Abschlusspräsentation für die Geschäftsleitung
Gap-Analyse anfragen

So gehen wir vor

  1. Erstgespräch

    Ausgangslage, Größe, vorhandenes ISMS und dringende Fragen klären – kostenfrei und unverbindlich.

  2. Betroffenheits- und Gap-Analyse

    Einstufung dokumentieren, Bestand gegen § 30 BSIG und den B3S abgleichen, Lücken nach Risiko bewerten.

  3. Maßnahmenplan

    Priorisierte Roadmap mit schnellen Erfolgen, Aufwand und Verantwortlichen – als Entscheidungsvorlage für die Geschäftsleitung.

  4. Umsetzung

    Begleitung bei Richtlinien, Meldeprozess, Notfallmanagement, Lieferkette und technischen Maßnahmen.

  5. Nachweis und Weiterentwicklung

    Wirksamkeit prüfen, Berichte an die Geschäftsleitung, Vorbereitung auf Prüfungen und Audits.

Schulungen zu NIS2 und Informationssicherheit

NIS2 verlangt geschulte Menschen auf allen Ebenen. Den vollständigen Lernpfad zeigt die SeiteCybersecurity-Schulungen.

Wissen zu NIS2 im Gesundheitswesen

Häufige Fragen zur NIS2-Beratung

Was umfasst eine NIS2-Beratung für Krankenhäuser?

Die Prüfung der Betroffenheit und Registrierung beim BSI, eine Gap-Analyse des Informationssicherheitsmanagements gegen die Mindestmaßnahmen aus § 30 BSIG und den B3S Krankenhaus, einen priorisierten Maßnahmenplan sowie die Begleitung bei Meldeprozess, Notfallmanagement, Lieferkette und den Pflichten der Geschäftsleitung.

Reicht der B3S Krankenhaus für NIS2?

Der B3S ist eine sehr gute Grundlage für das Informationssicherheitsmanagement und erfüllt § 391 SGB V. Er deckt aber nicht automatisch alle NIS2-Pflichten ab: Registrierung, Meldewege, die Pflichten der Geschäftsleitung und die Lieferkette sollten gesondert geprüft werden.

Wie lange dauert eine Gap-Analyse?

Das hängt von Größe, Standorten und vorhandener Dokumentation ab. Für ein einzelnes Krankenhaus mit bestehendem ISMS ist eine Gap-Analyse oft in wenigen Wochen abgeschlossen; Klinikverbünde planen mehr Zeit ein. Den genauen Umfang klären wir im Erstgespräch.

Muss sich unser Krankenhaus noch beim BSI registrieren?

Wenn es als wichtige oder besonders wichtige Einrichtung gilt und noch nicht registriert ist: ja, sofort. Die gesetzliche Frist ist am 6. März 2026 abgelaufen, die Pflicht besteht aber weiter. Wir unterstützen bei Einstufung und Registrierung.

Gilt NIS2 auch für MVZ und Pflegeeinrichtungen?

Ja, wenn sie die Größenschwellen erreichen: ab 50 Beschäftigten oder mit jeweils mehr als 10 Millionen Euro Jahresumsatz und Jahresbilanzsumme als wichtige Einrichtung. Verbundene Unternehmen werden dabei grundsätzlich mitgerechnet. Eine erste Einschätzung gibt der NIS2-Check.

Bieten Sie auch Schulungen zu NIS2 an?

Ja – für die Geschäftsleitung nach § 38 BSIG, für NIS2- und Informationssicherheitsbeauftragte sowie für Notfall- und Vorfallmanagement, als offenes Seminar oder Inhouse-Schulung. Den Lernpfad zeigt die Seite Cybersecurity-Schulungen.

Lassen Sie uns über Ihr Projekt sprechen.

Unverbindliches Erstgespräch zu Beratung, Projekt oder Schulung.

Gespräch anfrageninfo@digitalhealthexperts.de