Was muss nach NIS2 gemeldet werden?

Meldepflichtig sind erhebliche Sicherheitsvorfälle. Das sind nach § 2 Nr. 11 BSIG Vorfälle, die schwerwiegende Betriebsstörungen der Dienste oder finanzielle Verluste für die Einrichtung verursacht haben oder verursachen können, oder die andere Personen durch erhebliche materielle oder immaterielle Schäden beeinträchtigt haben oder beeinträchtigen können. Beinahevorfälle und kleinere Sicherheitsvorfälle müssen nicht gemeldet werden.

Welche Fristen gelten für die NIS2-Meldung?

Unverzüglich, spätestens 24 Stunden nach Kenntnis eine frühe Erstmeldung, spätestens 72 Stunden nach Kenntnis eine Meldung mit erster Bewertung und spätestens einen Monat nach dieser Meldung eine Abschlussmeldung. Dauert der Vorfall dann noch an, wird zunächst eine Fortschrittsmeldung abgegeben (§ 32 BSIG).

Wo meldet ein Krankenhaus einen Sicherheitsvorfall?

Über das BSI-Portal, das als gemeinsame Meldestelle von BSI und BBK dient. Einrichtungen, die noch nicht im BSI-Portal registriert sind, melden über ein Online-Formular im Melde- und Informationsportal des BSI. Betreiber kritischer Anlagen nutzen vorübergehend ihre bisherigen Meldewege.

Ersetzt die NIS2-Meldung die Datenschutzmeldung?

Nein. Sind personenbezogene Daten betroffen, muss zusätzlich innerhalb von 72 Stunden die zuständige Datenschutzaufsichtsbehörde informiert werden (Art. 33 DSGVO), bei hohem Risiko auch die betroffenen Personen (Art. 34 DSGVO). Beide Meldungen laufen parallel und sollten im Meldeprozess gemeinsam vorbereitet werden.

Kann eine Meldung zurückgezogen werden?

Nein. Eine abgegebene Meldung kann nicht storniert werden. Stellt sich der Sachverhalt als unzutreffend oder unvollständig heraus, wird er mit einer Folgemeldung korrigiert. Das BSI betont, dass frühe Meldungen auch bei Unsicherheiten erwünscht sind.

Gilt die Meldepflicht auch für kleinere Krankenhäuser?

Die Meldepflicht nach § 32 BSIG gilt für wichtige und besonders wichtige Einrichtungen, also in der Regel ab 50 Beschäftigten oder mehr als 10 Millionen Euro Umsatz und Bilanzsumme. Kleinere Krankenhäuser fallen unter § 391 SGB V, der keine Meldepflicht an das BSI enthält; die Datenschutzmeldung nach der DSGVO gilt aber für alle.

NIS2-Meldepflicht im Krankenhaus: Fristen und Ablauf

Q: Ab wann läuft die 24-Stunden-Frist?

Ab der Kenntniserlangung. Nach Auffassung des BSI ist das der Zeitpunkt, an dem eine Mitarbeiterin oder ein Mitarbeiter der Einrichtung innerhalb der Arbeitszeit von einem erheblichen Sicherheitsvorfall erfährt. Die Frist läuft nicht erst, wenn die Analyse abgeschlossen ist.

Kurze Antwort

Die NIS2-Meldepflicht verpflichtet wichtige und besonders wichtige Einrichtungen – darunter die meisten Krankenhäuser und viele MVZ und Pflegeeinrichtungen –, erhebliche Sicherheitsvorfälle dem BSI in drei Stufen zu melden: spätestens 24 Stunden nach Kenntnis als frühe Erstmeldung, nach 72 Stunden mit einer ersten Bewertung und nach einem Monat mit einer Abschlussmeldung (§ 32 BSIG). Gemeldet wird über das BSI-Portal. Sind Patientendaten betroffen, kommt die Meldung an die Datenschutzaufsicht innerhalb von 72 Stunden hinzu.

Stand: November 2026

Das Wichtigste in Kürze

Gemeldet werden nur erhebliche Sicherheitsvorfälle – etwa ein Ransomware-Angriff auf das KIS oder ein Ausfall, der die Versorgung beeinträchtigt.
Die 24-Stunden-Frist beginnt mit der Kenntnis eines Beschäftigten, nicht mit dem Abschluss der Analyse. Schnelligkeit geht vor Vollständigkeit.
Meldeweg ist das BSI-Portal; ohne Registrierung gibt es ein Online-Formular des BSI.
Die Datenschutzmeldung nach Art. 33 DSGVO läuft parallel und ersetzt die NIS2-Meldung nicht.
Versäumte oder verspätete Meldungen können mit bis zu 10 Millionen Euro geahndet werden.
Entscheidend ist eine geübte Meldekette im Haus, die rund um die Uhr funktioniert.

Wer muss melden?

Kurze Antwort

Alle besonders wichtigen und wichtigen Einrichtungen nach § 28 BSIG sowie Betreiber kritischer Anlagen. Im Gesundheitswesen sind das in der Regel Einrichtungen ab 50 Beschäftigten oder mit jeweils mehr als 10 Millionen Euro Umsatz und Bilanzsumme.

Welche Einrichtungen unter NIS2 fallen und wie die Größe berechnet wird, erklärt der Leitartikel KRITIS und NIS2 im Gesundheitswesen; eine schnelle Einschätzung liefert der NIS2-Check. Krankenhäuser unterhalb der Schwellen unterliegen § 391 SGB V. Er verlangt IT-Sicherheit nach dem Stand der Technik, enthält aber keine Meldepflicht an das BSI. Freiwillige, auch anonyme Meldungen an das BSI sind trotzdem möglich und helfen, Angriffswellen früh zu erkennen.

Was ist ein erheblicher Sicherheitsvorfall?

Kurze Antwort

Ein Vorfall, der schwerwiegende Betriebsstörungen oder finanzielle Verluste verursacht hat oder verursachen kann oder anderen Personen erhebliche Schäden zufügt oder zufügen kann (§ 2 Nr. 11 BSIG). Fällt eine kritische Dienstleistung aus oder wird sie beeinträchtigt, ist der Vorfall nach Auffassung des BSI immer erheblich.

Das BSI unterscheidet drei Stufen: Beinahevorfall (ein Ereignis, das erfolgreich verhindert wurde), Sicherheitsvorfall und erheblicher Sicherheitsvorfall. Nur der letzte ist meldepflichtig. Für Einrichtungen außerhalb der digitalen Dienste kann sich die Bewertung nach Hinweis des BSI an den Kriterien in Artikel 3 Absatz 1 der Durchführungsverordnung (EU) 2024/2690 orientieren, etwa erheblichen finanziellen Verlusten, dem Abfluss von Geschäftsgeheimnissen, dem Tod oder erheblichen Gesundheitsschäden von Personen oder einem mutmaßlich böswilligen unbefugten Zugriff, der schwere Betriebsstörungen verursachen kann.

Beispiele aus dem Krankenhaus

Ereignis	Einschätzung
Ransomware verschlüsselt Server des Krankenhausinformationssystems, Notaufnahme meldet sich von der Notfallversorgung ab	erheblich – meldepflichtig
Unbefugter Zugriff auf Patientendaten mit Hinweisen auf Datenabfluss	erheblich – meldepflichtig, zusätzlich Datenschutzmeldung
Ausfall des Laborsystems über mehrere Stunden durch Schadsoftware, Befunde nur verzögert verfügbar	in der Regel erheblich
Kompromittierung eines Dienstleisterzugangs (Fernwartung), Angreifer bewegt sich im Netz	in der Regel erheblich, auch vor sichtbaren Schäden
Phishing-Mail wird gemeldet, niemand hat geklickt	Beinahevorfall – nicht meldepflichtig
Einzelner Arbeitsplatzrechner mit Schadsoftware, sofort isoliert, keine Auswirkungen	Sicherheitsvorfall – in der Regel nicht meldepflichtig, intern dokumentieren

Im Zweifel gilt: lieber früh melden. Eine frühe Erstmeldung hat den Charakter einer Frühwarnung und kann mit Folgemeldungen korrigiert werden.

Welche Fristen gelten?

Kurze Antwort

Unverzüglich, spätestens 24 Stunden nach Kenntnis die frühe Erstmeldung, spätestens 72 Stunden nach Kenntnis die Meldung mit erster Bewertung und spätestens einen Monat danach die Abschlussmeldung. Die Fristen sind Höchstwerte, die nicht ausgereizt werden sollten.

Stufe	Frist	Inhalt (nach § 32 BSIG und BSI)
Frühe Erstmeldung	spätestens 24 Stunden nach Kenntnis	Einstufung des Vorfalls, vorläufige Beschreibung von Störung, Auswirkungen und Ursache, Zeitpunkte, Verdacht auf böswillige Handlung, mögliche grenzüberschreitende Auswirkungen, getroffene Maßnahmen, Kontaktdaten
Meldung mit erster Bewertung	spätestens 72 Stunden nach Kenntnis	Bestätigung oder Aktualisierung der Erstmeldung, Schweregrad und Auswirkungen, Ursache, Maßnahmen, gegebenenfalls Kompromittierungsindikatoren (IOCs)
Zwischenmeldung	auf Ersuchen des BSI	relevante Statusänderungen
Abschlussmeldung	spätestens einen Monat nach der 72-Stunden-Meldung	ausführliche Beschreibung, Art der Bedrohung oder Ursache, getroffene und laufende Abhilfemaßnahmen, grenzüberschreitende Auswirkungen
Fortschrittsmeldung	statt Abschlussmeldung, wenn der Vorfall nach einem Monat noch andauert	Stand der Bewältigung; die Abschlussmeldung folgt nach Abschluss

Wann beginnt die Frist? Mit der Kenntniserlangung. Das BSI versteht darunter den Zeitpunkt, an dem eine Mitarbeiterin oder ein Mitarbeiter der Einrichtung innerhalb der Arbeitszeit von dem erheblichen Vorfall erfährt. Für Krankenhäuser mit Schichtbetrieb heißt das praktisch: Auch nachts und am Wochenende muss jemand den Vorfall bewerten und die Meldung auslösen können.

Wie und wo wird gemeldet?

Kurze Antwort

Über das BSI-Portal, das als gemeinsame Meldestelle von BSI und BBK dient. Ohne Registrierung im Portal meldet die Einrichtung über ein Online-Formular des BSI; Betreiber kritischer Anlagen nutzen vorübergehend ihre bisherigen Meldewege.

Zugang vorbereiten: Die Meldung setzt den Zugang zum BSI-Portal über „Mein Unternehmenskonto“ (MUK) voraus. Wer meldet, braucht eine Berechtigung – das sollte vor dem ersten Vorfall geklärt sein, nicht währenddessen.
Schnelligkeit vor Vollständigkeit: Fehlende Angaben werden in den Folgemeldungen ergänzt.
Keine Stornierung: Eine abgegebene Meldung lässt sich nicht zurückziehen, wohl aber korrigieren.
Erreichbarkeit: Nach einer Meldung kann das BSI Rückfragen stellen und Unterstützung anbieten; die angegebenen Ansprechpersonen sollten deshalb erreichbar sein.
Fallen die IT-Systeme aus, muss die Meldung auch ohne Zugriff auf das eigene Netz möglich sein, etwa über ein separates Gerät mit Mobilfunkverbindung.

Wie spielt die NIS2-Meldung mit anderen Meldungen zusammen?

Kurze Antwort

Die NIS2-Meldung an das BSI ersetzt keine anderen Meldepflichten. Bei Patientendaten kommt die Datenschutzmeldung hinzu, bei Straftaten empfiehlt sich eine Anzeige, und Versicherer und Vertragspartner haben eigene Fristen.

Empfänger	Anlass	Frist	Grundlage
BSI (BSI-Portal)	erheblicher Sicherheitsvorfall	24 Stunden, 72 Stunden, ein Monat	§ 32 BSIG
Datenschutzaufsichtsbehörde des Landes	Verletzung des Schutzes personenbezogener Daten	72 Stunden nach Bekanntwerden	Art. 33 DSGVO
Betroffene Patientinnen und Patienten	voraussichtlich hohes Risiko für deren Rechte	unverzüglich	Art. 34 DSGVO
Polizei, Zentrale Ansprechstelle Cybercrime (ZAC) des Landes	Verdacht auf Straftat, etwa Erpressung	so früh wie möglich	Empfehlung
Cyberversicherung, Dienstleister, Träger	je nach Vertrag	laut Vertrag	Vertrag, Satzung

Weil Inhalte und Fristen sich überschneiden, lohnt sich ein gemeinsamer Ablauf mit dem Datenschutzbeauftragten: Eine Lagebewertung, aus der beide Meldungen gespeist werden, spart in den ersten Stunden wertvolle Zeit.

Wie sieht eine funktionierende Meldekette im Haus aus?

Kurze Antwort

Eine Meldekette legt fest, wer einen Vorfall erkennt, wer ihn bewertet, wer entscheidet und wer meldet – rund um die Uhr, mit Vertretungen, Vorlagen und einem Zugang zum BSI-Portal, der auch beim Ausfall der eigenen IT funktioniert.

Erkennen: Beschäftigte, IT-Bereitschaft, Dienstleister und Überwachungssysteme wissen, wohin sie einen Verdacht melden – eine Rufnummer, die immer erreichbar ist.
Bewerten: Ein festgelegtes Team (zum Beispiel IT-Bereitschaft und Informationssicherheitsbeauftragte) prüft anhand einer kurzen Entscheidungshilfe, ob ein erheblicher Vorfall vorliegt.
Entscheiden: Wer die Meldung freigibt, ist benannt, mit Vertretung. Die Geschäftsleitung wird unverzüglich informiert.
Melden: Vorbereitete Vorlagen für Erstmeldung, 72-Stunden-Meldung und Datenschutzmeldung; mindestens zwei Personen mit Zugang zum BSI-Portal.
Dokumentieren: Zeitpunkte von Kenntnis, Bewertung und Meldungen festhalten – sie sind später Grundlage für Abschlussmeldung, Prüfungen und Versicherung.
Bewältigen: Die Meldekette ist mit dem Notfall- und Krisenmanagement verzahnt, etwa mit dem Wechsel in den Papierbetrieb.
Üben: Mindestens einmal im Jahr ein Planspiel, zum Beispiel „Freitagnacht, 23 Uhr: KIS verschlüsselt“. Nur geübte Abläufe funktionieren unter Druck.
Auswerten: Nach jedem Vorfall und jeder Übung die Meldekette verbessern.

Wie Krankenhäuser den Notbetrieb nach einem Angriff vorbereiten, beschreibt der Artikel Cybersecurity im Krankenhaus. Die Verantwortung für einen funktionierenden Meldeprozess liegt bei der Geschäftsleitung – mehr dazu im Artikel NIS2-Schulungspflicht der Geschäftsleitung.

Welche Schulungen bereiten auf den Ernstfall vor?

Kurze Antwort

Wer Vorfälle bewertet, meldet und bewältigt, sollte die Methoden des BSI kennen und den Ernstfall geübt haben. Passend sind Seminare zur Vorfallbehandlung, zum Notfallmanagement und zur Steuerung der NIS2-Pflichten.

Aufgabe in der Meldekette	Passendes Seminar	Dauer
Vorfälle erkennen, bewerten und erste Maßnahmen einleiten (IT-Bereitschaft, Administration)	BSI-Vorfall-Praktiker	2 Tage
Schwere Vorfälle leiten, Forensik und Wiederanlauf koordinieren	BSI-Vorfall-Experte	3 Tage
Notbetrieb, Krisenstab und Wiederanlauf planen	IT-Notfallmanagement, ausführlich BCM-Praktiker (BSI)	1 Tag / 3 Tage
Meldeprozess und NIS2-Pflichten im Haus verantworten	Zertifizierter NIS-2-Beauftragter	3 Tage
Geschäftsleitung, die über Meldungen entscheidet	NIS-2 Richtlinie – Anforderungen verstehen und Auswirkungen bewerten	1 Tag

Ein Planspiel zur Meldekette lässt sich auch als Inhouse-Schulung mit Ihrem eigenen Team durchführen. Alle Seminare zum Thema finden Sie unter Cybersecurity-Schulungen.

Was droht bei Verstößen?

Kurze Antwort

Wer eine Meldung nicht, nicht richtig, nicht vollständig oder nicht rechtzeitig abgibt, handelt ordnungswidrig. Möglich sind Bußgelder bis zu 10 Millionen Euro für besonders wichtige und bis zu 7 Millionen Euro für wichtige Einrichtungen (§ 65 BSIG).

Bei Einrichtungen mit mehr als 500 Millionen Euro Gesamtumsatz können die Bußgelder bis zu 2 beziehungsweise 1,4 Prozent des weltweiten Umsatzes betragen. Daneben drohen Bußgelder nach der DSGVO, wenn die Datenschutzmeldung versäumt wird.

Fazit

Die NIS2-Meldepflicht ist weniger eine Formalie als ein Test für die Organisation: Wer innerhalb von 24 Stunden belastbar melden will, muss Vorfälle schnell erkennen, bewerten und entscheiden können – auch mitten in der Nacht und ohne funktionierende IT. Krankenhäuser, die Meldekette, Vorlagen und Portalzugang vorbereitet und geübt haben, gewinnen im Ernstfall die Zeit, die sie für die Versorgung ihrer Patientinnen und Patienten brauchen.

Hinweis: Dieser Überblick ersetzt keine Rechtsberatung.

Quellen

§ 32 BSIG – Meldepflichten. Bundesministerium der Justiz.
§ 2 BSIG – Begriffsbestimmungen. Nr. 1 (Beinahevorfall) und Nr. 11 (erheblicher Sicherheitsvorfall).
§ 65 BSIG – Bußgeldvorschriften. Bundesministerium der Justiz.
#nis2know: NIS-2-Meldepflicht. Bundesamt für Sicherheit in der Informationstechnik.
Anleitung zur Meldung im BSI-Portal. Bundesamt für Sicherheit in der Informationstechnik.
Durchführungsverordnung (EU) 2024/2690. Artikel 3.
Verordnung (EU) 2016/679 (DSGVO). Art. 33 und 34.
§ 391 SGB V – IT-Sicherheit in Krankenhäusern. Bundesministerium der Justiz.

Passende Schulungen

Vertiefen Sie das Thema mit Ihrem Team – im offenen Seminar oder als Inhouse-Schulung.

NIS2-Meldepflicht im Krankenhaus: Fristen, Ablauf und Vorbereitung

Wer muss melden?

Was ist ein erheblicher Sicherheitsvorfall?

Welche Fristen gelten?

Wie und wo wird gemeldet?

Wie spielt die NIS2-Meldung mit anderen Meldungen zusammen?

Wie sieht eine funktionierende Meldekette im Haus aus?

Welche Schulungen bereiten auf den Ernstfall vor?

Was droht bei Verstößen?

Fazit

Quellen

Passende Schulungen

Häufige Fragen

Lassen Sie uns über Ihr Projekt sprechen.