NIS-2 für Arztpraxen und MVZ: Wer ist betroffen?

Welche Praxen und MVZ fallen unter NIS-2?

Die deutsche Umsetzung gilt seit dem 6. Dezember 2025. Gesundheitsdienstleister gehören zum Gesundheitssektor in Anlage 1 des BSI-Gesetzes. Für die allgemeine Größeneinstufung nach § 28 BSIG gelten folgende Kriterien:

Für Betreiber kritischer Anlagen und bestimmte andere Einrichtungen gelten besondere Regeln. Zudem sind die Kennzahlen nach den einschlägigen EU-Vorgaben zu berechnen: Teilzeit wird bei den Jahresarbeitseinheiten anteilig berücksichtigt. Partnerunternehmen und verbundene Unternehmen können die Bewertung beeinflussen; § 28 Absatz 4 BSIG enthält dazu eine Ausnahme bei entsprechender Unabhängigkeit der IT-Systeme und Prozesse. Ein einzelner Praxisstandort lässt sich daher nicht immer isoliert betrachten.

Wann ist die Registrierung beim BSI erforderlich?

Nach § 33 BSIG müssen erfasste Einrichtungen ihre Angaben spätestens drei Monate nach der erstmaligen oder erneuten Einstufung übermitteln. Die NIS-2-Registrierung erfolgt über das BSI-Portal. Benötigt werden unter anderem Unternehmens- und Kontaktdaten sowie die Sektorzuordnung. Eine noch offene Registrierung sollte zeitnah geklärt werden. Sie ersetzt weder ein Sicherheitskonzept noch einen funktionierenden Notfallablauf.

Welche Sicherheitsmaßnahmen sind im Praxisalltag wichtig?

§ 30 BSIG verlangt geeignete, verhältnismäßige und wirksame Maßnahmen sowie deren Dokumentation. Ein sinnvoller Einstieg ist die Bestandsaufnahme mit Ihrem IT-Dienstleister: Was ist bereits umgesetzt, was wurde geprüft und wo bestehen Lücken?

Vorhandene technische und organisatorische Maßnahmen aus dem Datenschutz können dafür einen Ausgangspunkt bilden. Ergänzend ist zu betrachten, welche Auswirkungen Störungen auf die Leistungen und die Betriebsfähigkeit der Einrichtung haben.

Was muss die Geschäftsleitung selbst tun?

Nach § 38 BSIG muss die Geschäftsleitung die vorgeschriebenen Risikomanagementmaßnahmen umsetzen und ihre Umsetzung überwachen. Außerdem muss sie regelmäßig an geeigneten Schulungen teilnehmen. IT-Fachkräfte können die praktische Umsetzung unterstützen; die Überwachungsverantwortung bleibt bei der Leitung. Besprechen Sie deshalb Maßnahmen, Ressourcen und offene Risiken regelmäßig.

Die Vorschrift regelt auch die Haftung gegenüber der eigenen Einrichtung bei schuldhaft verursachten Schäden. Daraus folgt keine automatische persönliche Haftung bei jedem Cyberangriff. Entscheidend sind die konkrete Pflichtverletzung und die anwendbaren gesellschaftsrechtlichen Regeln.

Welche Meldefristen gelten bei einem Sicherheitsvorfall?

§ 32 BSIG betrifft erhebliche Sicherheitsvorfälle. Dazu gehören nach § 2 Nummer 11 BSIG etwa Ereignisse, die schwerwiegende Betriebsstörungen oder erhebliche Schäden bei anderen Personen verursachen können. Für erfasste Einrichtungen gilt grundsätzlich:

Dauert der Vorfall noch an, ist zunächst eine Fortschrittsmeldung erforderlich. Zwischenmeldungen können angefordert werden. Ein vorbereiteter Ablauf sollte festlegen, wer die Lage bewertet, die Leitung informiert und Meldungen übermittelt – einschließlich einer Vertretung bei Abwesenheit.

Datenschutz und NIS-2 gemeinsam organisieren

Eine BSI-Meldung ersetzt keine Meldung nach Artikel 33 DSGVO. Sind personenbezogene Daten betroffen, müssen die datenschutzrechtlichen Voraussetzungen zusätzlich geprüft werden. Auch kleinere Praxen außerhalb des NIS-2-Anwendungsbereichs können deshalb zur Meldung einer Datenschutzverletzung verpflichtet sein.

Beginnen Sie mit einer dokumentierten Einordnung, einer Liste der bestehenden Schutzmaßnahmen und klaren Ansprechpartnern. Daraus entsteht ein Maßnahmenplan mit Verantwortlichen und Terminen. Rechtliche Grenzfragen zur Einstufung sollten gezielt mit entsprechend qualifizierter Rechtsberatung geklärt werden.