NIS-2 im Krankenhaus: Wer ist betroffen und was ist zu tun?
Einordnung der EU-Richtlinie NIS-2 für Krankenhäuser — Pflichten, Fristen und der Weg über B3S.
Kurz gesagt: NIS-2 hebt die Anforderungen an die Informationssicherheit deutlich an. Viele Krankenhäuser fallen darunter und müssen Risikomanagement, Meldewege und eine klare Verantwortung auf Leitungsebene nachweisen. Der branchenspezifische Standard B3S ist dabei der praxisnahe Weg zur Umsetzung.
Was ist NIS-2?
NIS-2 ist eine EU-Richtlinie zur Netz- und Informationssicherheit (Richtlinie (EU) 2022/2555). Sie wird in nationales Recht überführt — in Deutschland über das NIS-2-Umsetzungsgesetz — und weitet den Kreis der verpflichteten Organisationen sowie die Anforderungen gegenüber der Vorgängerregelung deutlich aus.
Sind Krankenhäuser betroffen?
Das Gesundheitswesen zählt ausdrücklich zu den erfassten Sektoren. Ob ein Krankenhaus als besonders wichtige oder wichtige Einrichtung eingestuft wird, richtet sich nach Sektorzugehörigkeit und Größenkriterien (u. a. Beschäftigtenzahl sowie Umsatz bzw. Bilanzsumme). In der Praxis fallen viele Krankenhäuser darunter — unabhängig davon, ob sie zusätzlich die höheren KRITIS-Schwellen erreichen.
Welche Pflichten gelten?
- Angemessene technische und organisatorische Risikomanagement-Maßnahmen (Stand der Technik)
- Melde- und Registrierungspflichten — u. a. Frühwarnung binnen 24 Stunden, Meldung binnen 72 Stunden, Abschlussbericht
- Business Continuity / Notfall- und Wiederanlaufplanung
- Sicherheit in der Lieferkette und bei Dienstleistern
- Ausdrückliche Verantwortung und Überwachung durch die Leitungsebene — inklusive persönlicher Haftungsrisiken
Wie hängen NIS-2 und B3S zusammen?
Der branchenspezifische Sicherheitsstandard B3S konkretisiert den „Stand der Technik" für das Krankenhausumfeld. Er ist ein anerkannter, praxisnaher Weg, die Anforderungen strukturiert und prüffähig umzusetzen — statt jede Vorgabe einzeln zu interpretieren. Datenschutz, Informationssicherheit und KI-Governance greifen dabei ineinander; eine gemeinsame Governance vermeidet Doppelarbeit.
Erste Schritte für Ihr Haus
- Betroffenheit klären: Fällt das Haus unter NIS-2 — und in welche Kategorie?
- Verantwortung verankern: Rollen (u. a. Informationssicherheitsbeauftragter) und Leitungsverantwortung klar regeln.
- Ist-Stand erheben: vorhandene Maßnahmen den Anforderungen gegenüberstellen (Gap-Analyse), sinnvoll entlang B3S.
- Meldewege einrichten und Nachweise/Dokumentation aufbauen.
- Schritt für Schritt umsetzen statt Aktionismus — priorisiert nach Risiko.
Wie Smart-BN unterstützt: Über das Modul Governance & Beauftragte übernehmen wir u. a. die Rolle des externen Informationssicherheitsbeauftragten. Die Tools und Softwarelösungen bilden die B3S/NIS-2-Umsetzung strukturiert ab — mit Aufgabenlisten, Bearbeitungsstand und prüffähiger Dokumentation.
Häufige Fragen
Ab wann gilt NIS-2 für uns?
Maßgeblich ist die nationale Umsetzung. Unabhängig vom genauen Stichtag gilt: Wer betroffen ist, sollte frühzeitig mit Betroffenheitsprüfung, Governance und Gap-Analyse beginnen — die Umsetzung braucht Vorlauf.
Reicht unser bestehendes Datenschutz-Management?
Datenschutz und Informationssicherheit überschneiden sich, sind aber nicht dasselbe. NIS-2 verlangt eigenständige Informationssicherheits-Maßnahmen; eine abgestimmte Governance nutzt Synergien, ersetzt die Informationssicherheit aber nicht.
Müssen wir alles auf einmal umsetzen?
Nein. Sinnvoll ist ein risikobasiertes, priorisiertes Vorgehen mit nachvollziehbaren Zwischenständen — genau das lässt sich mit B3S und einer klaren Aufgabenstruktur abbilden.
Dieser Beitrag dient der allgemeinen Orientierung und stellt keine Rechtsberatung dar. Maßgeblich sind die jeweils geltenden Gesetze und der aktuelle Umsetzungsstand. Stand: 2026.