NIS2-Check für Gesundheitseinrichtungen

Arztpraxen und MVZ sind Gesundheitsdienstleister im Sinne der NIS-2-Richtlinie. Sie fallen unter NIS2, wenn sie mindestens 50 Beschäftigte haben oder Jahresumsatz und Jahresbilanzsumme jeweils mehr als 10 Millionen Euro betragen. Die meisten Einzelpraxen liegen darunter, größere MVZ und Praxisverbünde können betroffen sein.

Das ist nicht abschließend geklärt. Die NIS-2-Richtlinie verweist für den Sektor Gesundheit auf Gesundheitsdienstleister im Sinne der EU-Patientenrechterichtlinie, und deren Anwendungsbereich nimmt die Langzeitpflege aus. Pflegeeinrichtungen sollten ihre Betroffenheit deshalb im Einzelfall prüfen, etwa mit der Betroffenheitsprüfung des BSI.

Für alle Krankenhäuser, die nicht als Betreiber kritischer Anlagen ohnehin Pflichten nach dem BSI-Gesetz haben, gilt § 391 SGB V: Sie müssen angemessene Vorkehrungen für die IT-Sicherheit nach dem Stand der Technik treffen und ihre Beschäftigten sensibilisieren. Der B3S Krankenhaus ist ein anerkannter Weg, diese Pflicht zu erfüllen.

Maßgeblich sind die Beschäftigtenzahl, der Jahresumsatz und die Jahresbilanzsumme nach den Regeln der KMU-Empfehlung der EU. Bei Konzernen und Klinikverbünden können Daten verbundener Unternehmen eine Rolle spielen. In Zweifelsfällen sollte die Einstufung juristisch geprüft werden.

Das BSI-Gesetz sieht für besonders wichtige Einrichtungen Bußgelder bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes vor, für wichtige Einrichtungen bis zu 7 Millionen Euro oder 1,4 Prozent – jeweils der höhere Betrag.

Nein. Der Check gibt eine erste Orientierung auf Grundlage Ihrer Angaben. Die verbindliche Einstufung hängt vom Einzelfall ab und sollte dokumentiert und bei Unklarheiten juristisch geprüft werden.