Cybersicherheit ist im Gesundheitswesen kein Zukunftsthema mehr, sondern geltendes Recht mit persönlicher Haftung für Geschäftsführungen. Die Registrierungsfrist ist bereits abgelaufen.
Das NIS2-Umsetzungsgesetz (NIS2UmsuCG) ist am 6. Dezember 2025 ohne Übergangsfrist in Kraft getreten. Rund 29.500 Unternehmen in 18 Sektoren, darunter Krankenhäuser, größere MVZ und viele Gesundheits-IT-Anbieter, unterliegen seither der Aufsicht des Bundesamts für Sicherheit in der Informationstechnik (BSI). Die Frist zur Registrierung im BSI-Portal endete bereits am 6. März 2026. Laut aktuellen Erhebungen unterschätzt jedoch knapp die Hälfte der betroffenen Unternehmen weiterhin ihre eigene Betroffenheit.
Wer betroffen ist – und warum das oft unterschätzt wird
NIS2 greift grundsätzlich ab 50 Beschäftigten oder mehr als 10 Millionen Euro Jahresumsatz in einem der regulierten Sektoren. Für das Gesundheitswesen bedeutet das: Nicht nur Krankenhäuser als klassische Betreiber kritischer Infrastruktur sind betroffen, sondern auch mittelgroße MVZ-Verbünde, Pflegeeinrichtungen bestimmter Größenordnung, Praxis-Software-Anbieter und weitere Dienstleister der Gesundheits-IT. Viele dieser Organisationen ordnen sich selbst nicht als „kritisch“ ein, weil sie sich am alten IT-Sicherheitsgesetz orientieren, das deutlich enger gefasst war.
Wer nicht registriert ist, handelt bereits jetzt in Verzug. Die Pflicht zur Nachregistrierung besteht fort, das Fehlen der Registrierung ist ein eigenständiger Bußgeldtatbestand.
Was konkret unklar ist
- Wie streng und wie schnell das BSI angesichts rund 29.500 betroffener Einrichtungen tatsächlich Aufsicht führen wird – realistisch ist ein risikobasiertes Vorgehen, das zunächst größere und kritischere Einrichtungen adressiert.
- In welchem Umfang ein bestehendes ISMS nach ISO 27001 die NIS2-Anforderungen bereits abdeckt – in der Praxis meist 70 bis 80 Prozent, während Registrierung, gestuftes Meldeverfahren und Geschäftsleitungspflichten eigens nachgewiesen werden müssen.
- Wie das Zusammenspiel mit dem seit März 2026 geltenden KRITIS-Dachgesetz im Einzelfall zu bewerten ist, das zusätzlich Anforderungen an die physische Resilienz stellt.
- Wie weit die Lieferkettenverantwortung reicht, wenn Software- oder Servicepartner selbst unterhalb der NIS2-Schwellenwerte liegen, aber vertraglich in die Sicherheitsanforderungen einbezogen werden.
Geschäftsführerhaftung als neue Realität
Anders als frühere Regelungen sieht das NIS2-Umsetzungsgesetz eine persönliche Haftung von Geschäftsleitungen für Cybersicherheitspflichtverletzungen vor. Bußgelder von bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes sind möglich. Geschäftsführungen sind zudem verpflichtet, an Schulungen zum Risikomanagement teilzunehmen und Sicherheitsmaßnahmen aktiv zu billigen. Wer das Thema allein an die IT-Abteilung delegiert, trägt das Risiko damit persönlich weiter – ein Umstand, der vielen Verantwortlichen im Gesundheitswesen noch nicht bewusst ist.
Fazit: Handeln ist dringlicher als abschließende Klarheit
Wer auf vollständige Rechtssicherheit wartet, bevor er mit der NIS2-Umsetzung beginnt, wartet auf etwas, das in absehbarer Zeit nicht eintreten wird. Betroffenheitsprüfung, Registrierung und ein belastbarer Grundstock an Risikomanagement lassen sich hingegen schon heute umsetzen – und reduzieren sowohl das regulatorische als auch das persönliche Haftungsrisiko der Geschäftsleitung erheblich.
PEC unterstützt Gesundheitseinrichtungen bei der strukturierten Einordnung und Umsetzung. Mehr dazu auf unserer Seite zu NIS2-Beratung und Cyber Resilience für Krankenhäuser oder im NIS2-Schnelltest für Krankenhäuser und MVZ.