NIS2 Krankenhaus: Pflichten nach dem NIS2-Umsetzungsgesetz
Stand: 2. August 2026
Das NIS2-Umsetzungsgesetz (NIS2UmsuCG) gilt seit dem 6. Dezember 2025 ohne Übergangsfrist. Für Einrichtungen im Sektor Gesundheit bedeutet das: Betroffenheit klären, Registrierung beim BSI, Meldewege für Sicherheitsvorfälle und eine nachweisbare Dokumentation. Wir unterstützen organisatorisch bei Aufbau und Nachweisführung.
- Gilt seit 6. Dezember 2025 – ohne Übergangsfrist
- Sektor Gesundheit: wichtige oder besonders wichtige Einrichtungen
- Registrierungspflicht beim BSI – Frist lief am 6. März 2026 ab
- Meldung: 24 Stunden Erstmeldung, 72 Stunden Zwischenbericht, dann Abschlussbericht
Wer ist betroffen
Einrichtungen im Sektor Gesundheit
Das Gesetz erfasst den Sektor Gesundheit. Einrichtungen werden dabei als wichtige oder besonders wichtige Einrichtungen eingeordnet; davon hängt der Umfang der Pflichten ab. Die Einordnung ist anhand der Merkmale der jeweiligen Einrichtung zu prüfen – wir strukturieren diese Prüfung und dokumentieren das Ergebnis nachvollziehbar.
- Krankenhäuser und Klinikverbünde
- Medizinische Versorgungszentren (MVZ)
- Größere ambulante Versorgungsstrukturen
- Öffentliche Stellen im Gesundheitsbereich
- Dienstleister mit Bezug zur Patientenversorgung
- Einrichtungen mit bestehenden B3S- oder KHZG-Projekten
Was jetzt zu tun ist
Schritte zur NIS2-Umsetzung
Praxisnahe Reihenfolge für Einrichtungen, die jetzt aufsetzen oder Lücken schließen.
- 1
Betroffenheit und Einordnung klären
Prüfen und dokumentieren, ob die Einrichtung als wichtige oder besonders wichtige Einrichtung im Sektor Gesundheit einzuordnen ist.
- 2
Registrierung beim BSI prüfen
Es besteht eine Registrierungspflicht beim BSI; die Frist lief am 6. März 2026 ab. Stand der Registrierung feststellen und den Vorgang dokumentieren.
- 3
Meldeprozess mit 24/72-Stunden-Logik aufbauen
Zuständigkeiten, Erreichbarkeiten und Vorlagen festlegen: Erstmeldung binnen 24 Stunden, Zwischenbericht binnen 72 Stunden, danach Abschlussbericht.
- 4
Asset- und Dienstleisterverzeichnis erstellen
IT-Systeme, medizintechnische Systeme und externe Dienstleister vollständig erfassen – Grundlage für Risikobetrachtung und Nachweise.
- 5
Vorhandene B3S- und KHZG-Nachweise einbinden
Bestehende Maßnahmen und Dokumente aus B3S Krankenhaus und KHZG-Projekten aufnehmen und weiterverwenden, statt Strukturen doppelt zu führen.
- 6
Schulung und Übung der Meldekette
Verantwortliche und Mitarbeitende einweisen und den Meldeweg im Rahmen einer Übung durchspielen, damit er im Vorfall trägt.
- 7
Dokumentation nachweisfähig ablegen
Alle Nachweise strukturiert und aktuell im digitalen Datenschutzordner führen, damit sie bei Anfragen verfügbar sind.
- 8
Regelmäßige Überprüfung einplanen
Feste Intervalle für Aktualisierung von Verzeichnissen, Maßnahmen und Meldevorlagen festlegen.
Wie wir unterstützen
Organisatorische Unterstützung bei NIS2 und Datenschutz
Wir bauen die Strukturen mit Ihnen auf, dokumentieren nachvollziehbar und schulen die Beteiligten – abgestimmt mit dem Datenschutz.
- Festpreispakete zur NIS2-Umsetzung – siehe Seite „NIS2-Umsetzung“ (Betroffenheits-Check ab 490 €)
- Strukturierte Prüfung und Dokumentation der Einordnung
- Aufbau der Meldekette mit Vorlagen und Zuständigkeiten
- Asset- und Dienstleisterverzeichnis
- Verknüpfung mit B3S Krankenhaus und KHZG-Unterlagen
- Schulung von Leitung und Mitarbeitenden
- Digitaler Datenschutzordner mit Nachweisstruktur
- Abstimmung mit DSGVO-Dokumentation und TOMs
- Externer Datenschutzbeauftragter auf Wunsch
Empfohlener Einstieg
Datenschutz-Bestandsaufnahme – 690 € netto
Soll-Ist-Analyse mit vollständiger Dokumentation, AVV-Organisation, TOMs, Datenschutzerklärung und Mitarbeiterunterlagen.
Zur BestandsaufnahmeÜberblick
Alle Leistungen im Detail
Externer Datenschutzbeauftragter, Schulungen, Dokumentation, IT-Themen und Aktenvernichtung im Überblick.
Zu den LeistungenFAQ
Häufig gestellte Fragen.
- Seit wann gilt das NIS2-Umsetzungsgesetz?
- Das NIS2-Umsetzungsgesetz (NIS2UmsuCG) gilt seit dem 6. Dezember 2025. Eine Übergangsfrist ist nicht vorgesehen.
- Sind Krankenhäuser vom Anwendungsbereich erfasst?
- Der Sektor Gesundheit ist erfasst. Einrichtungen können dabei als wichtige oder als besonders wichtige Einrichtungen eingeordnet werden. Welche Einordnung zutrifft, ist im Einzelfall anhand der Merkmale der Einrichtung zu prüfen.
- Muss sich unsere Einrichtung beim BSI registrieren?
- Für betroffene Einrichtungen besteht eine Registrierungspflicht beim BSI. Die Frist für die Registrierung lief am 6. März 2026 ab.
- Welche Fristen gelten bei einem Sicherheitsvorfall?
- Vorgesehen ist eine Erstmeldung binnen 24 Stunden, ein Zwischenbericht binnen 72 Stunden und anschließend ein Abschlussbericht.
- Wie verhält sich NIS2 zu B3S Krankenhaus und KHZG?
- Es bestehen Berührungspunkte: Vorhandene Nachweise und Maßnahmen aus dem branchenspezifischen Sicherheitsstandard B3S Krankenhaus sowie aus KHZG-Projekten lassen sich in der Regel für die NIS2-Dokumentation weiterverwenden, statt Strukturen doppelt aufzubauen.
- Übernehmen Sie die rechtliche Bewertung der Betroffenheit?
- Nein. Wir unterstützen organisatorisch bei Inventarisierung, Prozessen, Meldeketten und Dokumentation. Eine Rechtsberatung im Einzelfall ist nicht Teil der Leistung.
Unverbindliches Erstgespräch
Wir schauen uns Ihre Ausgangslage an und zeigen, welche organisatorischen Schritte für Ihre Einrichtung sinnvoll sind.
daviddoermann@datenschutz-gesund.de
Hinweis: Wir leisten datenschutzfachliche und organisatorische Unterstützung, Dokumentation, Strukturierung und Schulung – keine Rechtsberatung im Einzelfall und keine anwaltliche Rechtsberatung. Die abschließende Bewertung und Verantwortung verbleiben beim Auftraggeber. Stand der Informationen: 2. August 2026.