NIS2-Umsetzung: vom Gesetzestext zur prüffähigen Nachweismappe.
Betroffenheitsprüfung, Registrierung beim BSI, Risikoanalyse nach § 30 BSIG, Meldeprozess nach § 32 BSIG und die Geschäftsleitungsschulung nach § 38 BSIG – als Festpreispaket, nach der Roadmap des BSI, mit Unterlagen, die Sie vorzeigen können.
- Was NIS2 verlangt
- Ein neues Gesetz sagt: Einrichtungen, die für die Versorgung wichtig sind, müssen ihre Computer und Daten nachweisbar schützen. Nicht nur schützen – nachweisen. Wer betroffen ist, muss sich beim Bundesamt für Sicherheit in der Informationstechnik anmelden und im Ernstfall innerhalb von 24 Stunden Meldung machen.
- Warum das die Chefetage betrifft
- Früher hieß es: Das macht die IT. Jetzt steht im Gesetz, dass die Geschäftsführung die Maßnahmen selbst freigeben, überwachen und sich dazu schulen lassen muss. Wer das nicht tut, haftet persönlich. Die IT setzt um – verantwortlich ist die Leitung.
- Was wir übernehmen
- Wir prüfen zuerst, ob Sie überhaupt betroffen sind – das kostet 490 € und kann auch mit „nein, und hier ist der Beleg dafür" enden. Wenn Sie betroffen sind, übernehmen wir Anmeldung, Unterlagen, Notfallplan und Schulung und übergeben Ihnen eine Mappe, mit der Sie auskunftsfähig sind.
- Auch wenn Sie nicht betroffen sind
- Praxen und kleine MVZ fallen meist nicht selbst darunter. Aber Kliniken müssen ihre Lieferanten prüfen – und schicken Fragebögen. Dafür gibt es das Nachweispaket für 690 €, damit Sie als Partner nicht durchfallen.
Worum es bei NIS2 überhaupt geht – in vier Sätzen
1. Die EU hat entschieden, dass Einrichtungen, deren Ausfall der Gesellschaft schadet – darunter das Gesundheitswesen –, ein nachweisbares Mindestniveau an IT-Sicherheit haben müssen.
2. Deutschland hat das mit dem NIS2-Umsetzungsgesetz in ein neu gefasstes BSI-Gesetz (BSIG) übersetzt, veröffentlicht am 5. Dezember 2025. Damit steigt die Zahl der regulierten Einrichtungen von rund 4.500 auf etwa 29.000.
3. Neu ist vor allem: Cybersicherheit ist ausdrücklich Aufgabe der Geschäftsleitung, nicht der IT-Abteilung – mit persönlicher Verantwortung nach § 38 BSIG.
4. Und: Sie werden nicht informiert. Sie müssen selbst feststellen, ob Sie betroffen sind, sich selbst beim BSI registrieren und selbst belegen können, dass Sie die Maßnahmen umgesetzt haben.
Der Satz, auf den es hinausläuft
NIS2 ist keine Technikvorschrift, sondern eine Nachweispflicht mit Chefhaftung. Die Frage im Prüffall ist nicht „Haben Sie eine Firewall?", sondern „Können Sie zeigen, wer entschieden hat, was warum, wann und mit welchem Ergebnis?"
Sind wir betroffen? Die zwei Klassen
Das BSIG unterscheidet zwei Stufen. Die Zuordnung entscheidet über Pflichtentiefe und Aufsichtsintensität.
| Klasse | Wer typischerweise dazugehört | Größenschwelle |
|---|---|---|
| Besonders wichtige Einrichtung (§ 28 Abs. 1 BSIG) | Große Kliniken und Klinikkonzerne, große Betreiber in Energie, Wasser, Verkehr, IT | Ab mehr als 250 Beschäftigten oder über 50 Mio. € Jahresumsatz |
| Wichtige Einrichtung (§ 28 Abs. 2 BSIG) | Krankenhäuser, große MVZ, Labore, Pflegekonzerne, Dienstleister im Gesundheitswesen | Ab 50 Beschäftigten oder 10 Mio. € Jahresumsatz |
| Größenunabhängig betroffen | Bestimmte Sektoren der digitalen Infrastruktur, etwa Rechenzentren und Cloud-Dienste | Ohne Schwelle |
| Indirekt betroffen | Arztpraxen, kleine MVZ, IT-Dienstleister, Aktenvernichter – als Teil der Lieferkette betroffener Einrichtungen | Keine eigene Pflicht, aber Nachweisanfragen des Auftraggebers |
Insgesamt erfasst NIS2 18 Sektoren, darunter neben Energie, Gesundheit und Verkehr auch Post- und Kurierdienste, Abfallwirtschaft, Lebensmittel und digitale Dienste. Die Einordnung nehmen wir anhand der BSI-Betroffenheitsprüfung vor und dokumentieren sie begründet.
Die zehn Maßnahmen aus § 30 BSIG, übersetzt in Klartext
§ 30 BSIG verlangt Risikomanagementmaßnahmen nach dem Stand der Technik. Das Gesetz nennt sie in Fachsprache – hier stehen sie so, wie sie im Haus tatsächlich aussehen.
- 1
Risikoanalyse und Sicherheitskonzept
Eine Liste: Was kann passieren, wie wahrscheinlich, wie schlimm, was tun wir dagegen. Schriftlich, datiert, von der Leitung freigegeben.
- 2
Bewältigung von Sicherheitsvorfällen
Ein Notfallplan, der auch nachts funktioniert: Wer wird angerufen, wer entscheidet, wer meldet an das BSI, wer spricht mit Patienten und Presse.
- 3
Aufrechterhaltung des Betriebs
Backup-Management, Wiederherstellung nach dem Notfall und Krisenmanagement. Entscheidend ist nicht, dass ein Backup läuft, sondern dass eine Rückspielung getestet und protokolliert wurde.
- 4
Sicherheit der Lieferkette
Ihre Dienstleister werden zum Teil Ihres Risikos: Praxissoftware, Rechenzentrum, Fernwartung, Entsorgung. Verträge, Anforderungen und Prüfung gehören dokumentiert.
- 5
Sicherheit in Beschaffung und Betrieb
Neue Systeme werden nicht nach Preis eingekauft, sondern nach Anforderungen – inklusive Patch- und Schwachstellenmanagement für den Betrieb.
- 6
Wirksamkeitsprüfung
Verfahren, mit denen Sie messen, ob die Maßnahmen etwas bringen. Ohne Messung ist es eine Absichtserklärung.
- 7
Cyberhygiene und Schulungen
Das Team erkennt Phishing, sperrt Bildschirme, meldet Auffälligkeiten – und jede Schulung ist je Person belegbar.
- 8
Kryptografie und Verschlüsselung
Festgelegt, was verschlüsselt wird: Notebooks, Datenträger, E-Mail-Versand von Befunden, Verbindungen nach außen.
- 9
Zugriffskontrolle und Personalsicherheit
Jeder Zugang gehört einer Person, nicht der Rezeption. Austritte werden zuverlässig entzogen, Administratorrechte sind die Ausnahme.
- 10
Multi-Faktor-Authentisierung und sichere Kommunikation
Zweiter Faktor mindestens für Fernzugriffe und Administration, gesicherte Sprach-, Video- und Textkommunikation für den Krisenfall.
Doppelter Nutzen
Diese Maßnahmen sind fast deckungsgleich mit Artikel 32 DSGVO. Wer sie für NIS2 dokumentiert, hat seine DSGVO-Sicherheitsdokumentation gleich mit erledigt.
Was § 38 BSIG von der Geschäftsleitung persönlich verlangt
Diese Pflichten kann die Leitung nicht delegieren – sie kann die Umsetzung delegieren, nicht die Verantwortung.
- Die Risikomanagementmaßnahmen nach § 30 BSIG billigen – aktiv und nachvollziehbar, nicht stillschweigend.
- Die Umsetzung veranlassen: Budget, Zuständigkeiten, Termine.
- Die Umsetzung überwachen: regelmäßige Berichte, protokollierte Befassung im Leitungsgremium.
- Regelmäßig an Schulungen teilnehmen, um Cyberrisiken beurteilen zu können. Entscheidend ist die Regelmäßigkeit, nicht ein einmaliger Termin.
- Alles davon belegbar halten – Protokolle, Freigaben, Teilnahmebestätigungen.
Wer diese Pflichten ignoriert, riskiert persönliche Haftung. Das BSI stellt zu diesem Zweck eine eigene Geschäftsleitungsschulung als Publikation bereit; wir setzen sie als Präsenz- oder Live-Online-Termin mit Teilnahmenachweis um.
Der Meldeweg nach § 32 BSIG – drei Stufen, eine Vorfall-ID
Bei einem erheblichen Sicherheitsvorfall läuft eine feste Kette. Wir hinterlegen sie vorab als Notfallblatt mit ausformulierten Textbausteinen für Ransomware, Datenabfluss und Ausfall.
- 01Erstmeldung: unverzüglich, spätestens 24 Stunden nach Kenntnis – mit Angabe, ob ein rechtswidriges oder böswilliges Handeln vermutet wird oder grenzüberschreitende Auswirkungen möglich sind.
- 02Meldung: unverzüglich, spätestens 72 Stunden nach Kenntnis – Bestätigung oder Aktualisierung der Erstmeldung, erste Bewertung von Schweregrad und Auswirkungen, gegebenenfalls Kompromittierungsindikatoren.
- 03Abschlussmeldung: spätestens einen Monat nach der Meldung – Ursache, getroffene Maßnahmen, Auswirkungen.
- 04Parallel prüfen: Liegt zugleich eine Datenschutzverletzung nach Artikel 33 DSGVO vor? Dann läuft zusätzlich die Meldung an die Datenschutzaufsicht. Beide Wege gehören in dasselbe Notfallblatt.
So läuft das Projekt: sechs Phasen nach der BSI-Roadmap
Wir arbeiten nach der vom BSI veröffentlichten #nis2know-Roadmap. Das hat einen praktischen Vorteil: Ihre Projektstruktur entspricht dann exakt der Struktur, in der die Aufsicht denkt.
- 01Phase 1 – Analyse und Grundsatzklärung: Betroffenheit prüfen, Klasse bestimmen, Geltungsbereich festlegen.
- 02Phase 2 – Organisation und Verantwortung: Rollen, Leitungsbeschluss, Registrierung beim BSI.
- 03Phase 3 – Ist-Zustand und Risikobewertung: Bestandsaufnahme der Systeme, Lücken, Risikoanalyse.
- 04Phase 4 – Ressourcen sichern und Umsetzung vorbereiten: Maßnahmenplan mit Priorität, Frist, Verantwortlichem und Budget.
- 05Phase 5 – Umsetzung der Kernmaßnahmen: die zehn Punkte aus § 30 BSIG, technisch und organisatorisch.
- 06Phase 6 – Verstetigung: Wirksamkeitsprüfung, Berichte an die Leitung, Schulungen, jährliche Aktualisierung.
Registrierung beim BSI – zwei Schritte, die oft hängen bleiben
Die Registrierungspflicht steht in § 33 Absatz 6 BSIG. Sie läuft technisch über das Unternehmenskonto und ist der Punkt, an dem die meisten Einrichtungen ohne Begleitung stehen bleiben.
- 01ELSTER-Organisationszertifikat über den Dienst „Mein Unternehmenskonto" beantragen – das dauert, weil der Versand postalisch bestätigt wird.
- 02Mit diesem Zertifikat im BSI-Portal registrieren und die Angaben zur Einrichtung erfassen.
- 03Meldekontakt und Erreichbarkeit hinterlegen und intern festhalten, wer Zugriff auf das Portal hat – im Ernstfall darf das nicht an einer einzelnen Person hängen.
- 04Registrierungsbestätigung zu den Nachweisunterlagen legen.
Wichtig zur Frist
Nach Angaben des BSI ist die gesetzliche Registrierungsfrist bereits abgelaufen. Betroffene Einrichtungen ohne Registrierung sollten sie umgehend nachholen.
Die Pakete – Festpreise, aufeinander aufbauend
Jedes Paket ist einzeln buchbar. Wer aufsteigt, bekommt das bereits bezahlte Vorpaket angerechnet.
NIS2-Betroffenheits-Check
490 €
einmalig
Alle, die zuerst wissen wollen, ob und wie stark sie betroffen sind
- Gemeinsame Durchführung der BSI-Betroffenheitsprüfung
- Einordnung als besonders wichtige, wichtige oder nicht betroffene Einrichtung
- Schriftliche Feststellung mit Begründung – auch bei „nicht betroffen"
- Erste Lückenliste zu § 30 BSIG
- 60-minütiges Auswertungsgespräch
NIS2-Startpaket
2.900 €
einmalig
Wichtige Einrichtungen: Krankenhäuser, große MVZ, Labore, Pflegeträger
- Alles aus dem Betroffenheits-Check
- Begleitung der BSI-Registrierung inklusive ELSTER-Organisationszertifikat
- Risikoanalyse und Sicherheitskonzept nach § 30 BSIG
- Notfall- und Meldeblatt nach § 32 BSIG mit Textbausteinen für 24 h / 72 h / 1 Monat
- Geschäftsleitungsschulung nach § 38 BSIG mit Teilnahmenachweis
- Maßnahmenplan mit Priorität, Frist und Verantwortlichem
NIS2-Umsetzungsprojekt
ab 8.900 €
Projekt
Besonders wichtige Einrichtungen und Häuser mit mehreren Standorten
- Vollständige Begleitung der sechs Phasen der BSI-Roadmap
- Umsetzung der zehn Kernmaßnahmen aus § 30 BSIG mit Ihrer IT
- Lieferkettenprüfung: Verträge und Anforderungen je Dienstleister
- Wirksamkeitsprüfung und Berichtsformat für das Leitungsgremium
- Notfallübung mit dem Krisenteam
- Abschlussdokumentation als prüffähige Nachweismappe
NIS2-Betreuung
290 € / 690 €
pro Monat
Laufender Betrieb nach der Umsetzung – 290 € für wichtige, 690 € für besonders wichtige Einrichtungen
- Pflege der Nachweisunterlagen und der Risikoanalyse
- Erreichbarkeit im Vorfall und Begleitung der Meldungen an BSI und Datenschutzaufsicht
- Jährliche Geschäftsleitungsschulung und Teamschulung mit Zertifikatsdatei je Person
- Quartalsbericht für die Leitung
- Aktualisierung bei Änderungen der Rechtslage
Lieferanten-Nachweispaket
690 €
einmalig
Praxen, kleine MVZ und Dienstleister, die von einer Klinik Sicherheitsnachweise abgefragt bekommen
- Beantwortung des Lieferantenfragebogens Ihres Auftraggebers
- Kurzes Sicherheitskonzept auf Ihre Größe zugeschnitten
- Nachweis über Schulung und Zugriffsregelungen
- Bestätigung zur Weitergabe an den Auftraggeber
Alle Preise netto zzgl. Umsatzsteuer, Festpreis nach schriftlichem Angebot. Kliniken mit mehreren Standorten kalkulieren wir individuell. Für die technische Umsetzung arbeiten wir mit Ihrer bestehenden IT zusammen – wir ersetzen sie nicht, wir geben ihr die Anforderungen und prüfen das Ergebnis.
Was Sie am Ende in der Hand haben
Nicht Beratung, sondern Unterlagen. Genau diese fragt eine Aufsicht ab.
- Dokumentierte Betroffenheitsfeststellung
- Registrierungsbestätigung des BSI
- Risikoanalyse und Sicherheitskonzept
- Maßnahmenplan mit Fristen
- Notfall- und Meldeblatt (24 h / 72 h / 1 Monat)
- Nachweis der Geschäftsleitungsschulung
- Schulungsnachweise je Mitarbeitendem
- Lieferkettenübersicht mit Verträgen
- Wirksamkeitsprüfung und Leitungsbericht
Warum aus einer Hand mit dem Datenschutz
NIS2 und DSGVO verlangen zu einem großen Teil dieselben Unterlagen: Risikobetrachtung, technische und organisatorische Maßnahmen, Zugriffskonzept, Backup, Verträge mit Dienstleistern, Schulungsnachweise, ein Meldeweg für Vorfälle. Wer beides getrennt beauftragt, bezahlt zweimal für dieselbe Arbeit – und bekommt zwei Dokumentensätze, die sich widersprechen.
Wir erstellen sie in einem Durchgang: NIS2-Nachweise nach BSIG, DSGVO-Nachweise nach Artikel 32 und die ärztliche Schweigepflicht nach § 203 StGB in derselben Mappe. Im Vorfall gibt es dann nur einen Ablauf, der beide Meldewege abdeckt.
FAQ
Häufig gestellte Fragen.
- Wie erfahren wir, ob NIS2 für uns gilt?
- Von niemandem. Es gibt keinen Brief und keine Benachrichtigung durch eine Behörde – jede Einrichtung muss selbst prüfen, ob sie unter das neue BSI-Gesetz fällt. Das BSI stellt dafür eine Betroffenheitsprüfung online bereit; wir gehen sie mit Ihnen durch und halten das Ergebnis schriftlich fest, auch wenn es „nicht betroffen" lautet.
- Wir sind eine Arztpraxis – sind wir betroffen?
- In der Regel nicht direkt: Die Schwellen liegen bei mindestens 50 Beschäftigten oder 10 Millionen Euro Jahresumsatz. Indirekt trifft es Sie trotzdem, sobald Sie ein betroffenes Krankenhaus oder MVZ belieferen oder mit ihm Daten austauschen – dann fragt dieses Ihre Sicherheitsnachweise ab, weil es seine Lieferkette absichern muss.
- Gibt es eine Übergangsfrist?
- Eine generelle Übergangsfrist ist nicht vorgesehen. Die Anforderungen gelten grundsätzlich ab dem Tag nach der Verkündung. Die Registrierungsfrist beim BSI ist nach Angaben des BSI bereits abgelaufen – wer betroffen ist und noch nicht registriert ist, sollte das umgehend nachholen.
- Reicht es, wenn unsere IT-Firma das macht?
- Nein. § 38 BSIG verpflichtet die Leitungsorgane selbst: Sie müssen die Risikomanagementmaßnahmen billigen, ihre Umsetzung veranlassen und überwachen und sich regelmäßig schulen lassen. „Die IT macht das schon" ist genau der Satz, der bei Verstößen zur persönlichen Haftung führt.
- Was passiert bei einem Sicherheitsvorfall?
- Dann läuft eine dreistufige Meldekette nach § 32 BSIG: frühe Erstmeldung unverzüglich, spätestens 24 Stunden nach Kenntnis, bestätigende Meldung mit erster Bewertung nach spätestens 72 Stunden, Abschlussmeldung spätestens einen Monat später. Wer diesen Ablauf erst im Ernstfall zusammensucht, verliert die entscheidenden Stunden.
- Haben wir mit ISO 27001 alles erledigt?
- ISO 27001 ist eine sehr gute Grundlage, deckt NIS2 aber nicht automatisch ab – Registrierung, Meldewege und die persönlichen Pflichten der Leitung sind gesetzliche Anforderungen, kein Normkapitel. Das BSI stellt dazu selbst einen Onepager zum Verhältnis NIS2 / ISO 27001 bereit.
- Bringt uns das außer Pflichterfüllung etwas?
- Ja, zwei Dinge. Erstens werden Sie auskunftsfähig, wenn Kliniken, Kassen, Versicherer oder Auftraggeber Sicherheitsnachweise verlangen. Zweitens fallen dieselben Unterlagen auch für DSGVO-Zwecke an – Risikoanalyse, Backup-Konzept, Zugriffsrechte, Schulungsnachweise. Wir erstellen sie einmal und verwenden sie doppelt.
Unverbindliches Erstgespräch
Wir schauen uns Ihre Ausgangslage an und sagen offen, welcher Schritt bei Ihnen als Erstes sinnvoll ist – und welcher nicht.
daviddoermann@datenschutz-gesund.de
Hinweis: Wir leisten datenschutzfachliche, technische und organisatorische Unterstützung, Dokumentation, Prüfung und Schulung – keine Rechtsberatung im Einzelfall. Die abschließende Bewertung und Verantwortung verbleiben beim Auftraggeber. Stand der Informationen: 2. September 2026. Grundlage: NIS2-Umsetzungsgesetz und das neu gefasste BSI-Gesetz (BSIG), insbesondere §§ 28, 30, 32, 33 und 38, sowie die Informationsangebote des BSI zu NIS-2 (#nis2know-Roadmap, Betroffenheitsprüfung, Registrierung, Geschäftsleitungsschulung). Diese Darstellung ist eine allgemeine Information und ersetzt keine Rechtsberatung im Einzelfall.