NIS2: Bin ich betroffen?

Mit der EU-Richtlinie NIS2 gelten für deutlich mehr Einrichtungen Pflichten zur Informationssicherheit als bisher. Das Gesundheitswesen gehört ausdrücklich dazu. Ob Ihre Einrichtung betroffen ist, hängt von zwei Fragen ab: Was tun Sie, und wie groß sind Sie?

Die schnelle Antwort: Unser kostenloser NIS2-Check ordnet Ihre Einrichtung in zwei Minuten ein. Ihre Antworten verlassen dabei Ihren Browser nicht.

Frage 1: Gehören Sie zum Sektor Gesundheit?

Zum Sektor Gesundheitswesen zählen nach NIS2 vor allem:

• Gesundheitsdienstleister, also Arztpraxen, MVZ, Krankenhäuser und Reha-Einrichtungen,
• medizinische Labore,
• Hersteller von Arzneimitteln und Medizinprodukten sowie Forschung und Entwicklung in diesem Bereich.

Bei Pflegediensten und Pflegeeinrichtungen ist die Zuordnung nicht in jedem Fall eindeutig. Hier lohnt sich eine Einzelfallprüfung.

Frage 2: Erreichen Sie die Größenschwelle?

Kleine Einrichtungen sind in der Regel nicht betroffen. Entscheidend sind Beschäftigtenzahl, Jahresumsatz und Jahresbilanzsumme:

• Wichtige Einrichtung: ab 50 Beschäftigten oder mehr als 10 Mio. € Jahresumsatz und mehr als 10 Mio. € Bilanzsumme.
• Besonders wichtige Einrichtung: ab 250 Beschäftigten oder mehr als 50 Mio. € Jahresumsatz und mehr als 43 Mio. € Bilanzsumme.

Betreiber kritischer Anlagen, etwa große Krankenhäuser, gelten unabhängig davon als besonders wichtige Einrichtung.

Achtung bei Verbünden und Trägern

Gehört Ihre Einrichtung zu einem Verbund, einem Träger oder einer Unternehmensgruppe, zählen Beschäftigte und Umsätze verbundener Unternehmen unter Umständen mit. Ein einzelnes MVZ mit 30 Beschäftigten kann so über einen größeren Träger plötzlich über der Schwelle liegen. Das ist einer der häufigsten Gründe, warum Einrichtungen ihre Betroffenheit unterschätzen.

Was bedeutet das für Ihre Einrichtung?

• Einzelpraxis oder kleine Gemeinschaftspraxis: In aller Regel nicht betroffen, weil die Größenschwelle nicht erreicht wird.
• MVZ und Praxisverbünde: Ab 50 Beschäftigten oder bei Zugehörigkeit zu einem größeren Träger genau prüfen.
• Labore: Häufig betroffen, da viele Labore die Schwellenwerte überschreiten.
• Kliniken und Reha-Einrichtungen: Meist betroffen, größere Häuser als besonders wichtige Einrichtung.
• Pflege: Bei größeren Trägern und Verbünden im Einzelfall prüfen.

Was müssen betroffene Einrichtungen tun?

1. Beim BSI registrieren. Die Frist dafür ist für die meisten Einrichtungen bereits abgelaufen. Wer betroffen ist und sich noch nicht registriert hat, sollte das umgehend nachholen.
2. Risikomanagement umsetzen. Dazu gehören unter anderem Risikoanalyse, Notfallplanung, Datensicherung, Zugriffsschutz, Schulungen und der Blick auf die Sicherheit von Dienstleistern.
3. Sicherheitsvorfälle melden. Erhebliche Vorfälle müssen gestuft an das BSI gemeldet werden: eine erste Meldung innerhalb von 24 Stunden, eine ausführlichere innerhalb von 72 Stunden und ein Abschlussbericht nach einem Monat.
4. Geschäftsleitung einbinden. Die Leitung muss die Maßnahmen billigen, ihre Umsetzung überwachen und regelmäßig an Schulungen teilnehmen. Sie kann bei Pflichtverletzungen persönlich haften.

Bei Verstößen drohen empfindliche Bußgelder: für besonders wichtige Einrichtungen bis zu 10 Mio. € oder 2 % des weltweiten Jahresumsatzes, für wichtige Einrichtungen bis zu 7 Mio. € oder 1,4 %.

Nicht betroffen? Andere Pflichten gelten trotzdem

Auch wenn NIS2 für Sie nicht gilt, bleiben andere Vorgaben bestehen: die IT-Sicherheitsrichtlinie nach § 390 SGB V für Arzt- und Zahnarztpraxen, die Anforderungen an Krankenhäuser nach § 391 SGB V und natürlich die DSGVO. Viele Maßnahmen aus NIS2 sind ohnehin sinnvoll, um sich gegen Cyberangriffe zu schützen.

So gehen Sie vor

1. Betroffenheit klären: Machen Sie unseren kostenlosen NIS2-Check. Sie erhalten sofort eine Einschätzung, ob Sie voraussichtlich als wichtige oder besonders wichtige Einrichtung gelten.
2. Unklare Fälle prüfen lassen: Bei Verbundstrukturen oder unklarer Einrichtungsart sehen wir uns Ihre Situation im kostenlosen Erstgespräch genauer an.
3. Umsetzen: Wenn Sie betroffen sind, begleiten wir Sie von der Registrierung über die Gap-Analyse bis zum funktionierenden Meldeprozess. Mehr dazu unter NIS2-Umsetzung.