7. April 2026 • NIS2
NIS2 ist längst keine Zukunftsmusik mehr. Die Richtlinie ist in Kraft getreten, die Aufsichtsbehörden üben eine aktive Überwachung aus, und Einrichtungen des Gesundheitswesens in der gesamten EU sind gesetzlich verpflichtet, angemessene Cybersicherheitsmaßnahmen nachzuweisen. Für viele stellt sich nicht mehr die Frage, ob sie die Vorschriften einhalten sollen, sondern wo sie anfangen sollen.
Warum das Gesundheitswesen im Rahmen von NIS2 als vorrangiger Sektor gilt
NIS2 (Richtlinie über Netz- und Informationssicherheit 2) ist der EU-Rahmen, der die Mindeststandards für Cybersicherheit in kritischen Sektoren erhöht. Das Gesundheitswesen wird ausdrücklich als systemrelevanter Sektor eingestuft, der höchsten Risikokategorie gemäß der Richtlinie. Der Grund dafür ist klar: Ein Cyberangriff auf ein Krankenhaus kann Menschenleben kosten. Patientenakten-Systeme, medizinische Geräte und die Infrastruktur von Operationssälen sind alle auf eine zuverlässige IT angewiesen. Der Ransomware-Angriff im April 2026 auf ChipSoft, den größten niederländischen Anbieter von elektronischen Patientenakten, zeigt, wie real diese Schwachstelle in der Praxis ist.
In der Praxis bedeutet dies, dass die betroffenen Einrichtungen des Gesundheitswesens nachweisen müssen, dass sie angemessene technische und organisatorische Maßnahmen getroffen haben. Die Aufsichtsbehörden können die Einhaltung der Vorschriften überprüfen und Sanktionen verhängen, wenn die Verpflichtungen nicht erfüllt werden.
Welche Organisationen im Gesundheitswesen fallen unter die NIS2-Richtlinie?
NIS2 unterscheidet zwischen wesentlichen und wichtigen Einrichtungen. Im Gesundheitswesen fallen folgende Arten von Organisationen darunter:
| Art der Organisation | Kategorie |
|---|---|
| Krankenhäuser (allgemeine und universitäre) | Unverzichtbar |
| Anbieter medizinischer Diagnosedienstleistungen (Labore) | Unverzichtbar |
| Pharmaunternehmen | Unverzichtbar |
| Hersteller von Medizinprodukten | Unverzichtbar |
| Pflege- und Rehabilitationszentren (je nach Größe) | Wichtig |
| Einrichtungen für psychische Gesundheit (je nach Größe) | Wichtig |
Die Schwellenwerte lauten: mehr als 50 Beschäftigte oder ein Jahresumsatz bzw. eine Bilanzsumme von über 10 Millionen Euro. Kleinere Organisationen können dennoch unter die Richtlinie fallen, wenn sie von den nationalen Behörden als systemrelevant eingestuft werden.
Auch Organisationen, die nicht unmittelbar unter die Richtlinie fallen, sollten dies zur Kenntnis nehmen. Wenn Ihre Auftraggeber, Geldgeber oder größeren Partner der NIS2-Richtlinie unterliegen, sind sie verpflichtet, die Sicherheitsanforderungen an ihre Lieferkette weiterzugeben. Gesundheitsnetzwerke und Softwareanbieter sind davon somit indirekt betroffen.
Wichtige Verpflichtungen für Einrichtungen des Gesundheitswesens
Die NIS2-Richtlinie schreibt eine Vielzahl von Maßnahmen vor. Für Organisationen im Gesundheitswesen sind folgende Verpflichtungen am relevantesten:
Risikoanalyse und Sicherheitsrichtlinie
Sie müssen die Risiken für Ihr Netzwerk und Ihre Informationssysteme, einschließlich der Systeme von Lieferanten, die Zugriff auf Ihre Daten haben, nachweislich erfassen. Diese Risikoanalyse muss dokumentiert und auf dem neuesten Stand gehalten werden und auf Vorstandsebene formell genehmigt werden.
Meldepflichten bei Vorfällen
Erhebliche Sicherheitsvorfälle müssen der zuständigen Behörde innerhalb von 24 Stunden gemeldet werden; ein ausführlicherer Bericht ist innerhalb von 72 Stunden vorzulegen. Dazu zählen Ransomware-Angriffe, Datenschutzverletzungen im Zusammenhang mit Patientendaten sowie Ausfälle kritischer Systeme.
Sicherheit in der Lieferkette
Software-, Hardware- und Cloud-Dienstleister müssen Ihre Sicherheitsanforderungen erfüllen. Dies gilt für Anbieter von elektronischen Patientenakten, Hersteller medizinischer Geräte und externe IT-Dienstleister. Die NIS2 schreibt dokumentierte Bewertungen Ihrer wichtigsten Lieferanten vor.
Zugriffsverwaltung und Authentifizierung
Für den Zugriff auf kritische Systeme, darunter Patientenakten, Administratorkonten und Remote-Arbeitsplätze, ist eine Multi-Faktor-Authentifizierung zwingend erforderlich.
Schulungen zur Sensibilisierung der Mitarbeiter für Sicherheitsfragen
Die NIS2-Richtlinie schreibt ausdrücklich vor, dass Organisationen ihre Mitarbeiter im Bereich Cybersicherheit schulen müssen. Dies ist eine der in der Praxis am meisten unterschätzten Verpflichtungen und zugleich eine der wirkungsvollsten. Die meisten Cybervorfälle im Gesundheitswesen haben ihren Ursprung im menschlichen Verhalten: Phishing, Missbrauch von Zugangsdaten oder die versehentliche Weitergabe von Patientendaten.
Warum die Sensibilisierung für Sicherheitsfragen im Gesundheitswesen eine besondere Herausforderung darstellt
Organisationen im Gesundheitswesen sehen sich mit besonderen Umständen konfrontiert, die Schulungen zur Cybersicherheit komplexer machen als in den meisten anderen Branchen:
- Zeitdruck – Das klinische Personal hat zwischen den Schichten kaum Zeit für langwierige Schulungen.
- Hohe Fluktuation – neue Mitarbeiter müssen sich schnell ausreichend einarbeiten.
- Vielfältige Belegschaft – vom Chirurgen bis zum Reinigungspersonal: In vielen Funktionen ist der Zugriff auf sensible Systeme oder Daten erforderlich.
- Medizinische Notfälle – Sicherheitsprotokolle werden eher umgangen, wenn schnell gehandelt werden muss.
Dies erfordert einen Ansatz, der auf das Umfeld im Gesundheitswesen zugeschnitten ist: kurze, wiederholbare Schulungsmodule, die einen Bezug zur täglichen Praxis des klinischen und des Hilfspersonals herstellen, und keine allgemeinen Inhalte zur IT-Sicherheit.
Wie Guardey die Einhaltung der NIS2-Vorschriften im Gesundheitswesen unterstützt
Guardey bietet Schulungen zur Sensibilisierung für Sicherheitsfragenan, deren Inhalte speziell für den Gesundheitssektor entwickelt wurden. Die Mitarbeiter lernen, Phishing-Versuche im medizinischen Kontext zu erkennen, Patientendaten sicher zu behandeln und wissen, wie sie sich verhalten müssen, wenn sie einen Vorfall vermuten – und das alles durch kurze, leicht zugängliche Module, die sich in einen arbeitsreichen Tag einfügen.
Die Schulung orientiert sich an den NIS2-Vorschriften und hilft Unternehmen dabei, nicht nur die gesetzlichen Anforderungen zu erfüllen, sondern auch eine nachhaltige Sicherheitskultur im gesamten Unternehmen zu etablieren.
Möchten Sie genau wissen, was NIS2 für Ihre Einrichtung im Gesundheitswesen bedeutet? Der NIS2-Leitfaden 2026 fasst alle Verpflichtungen, Fristen und praktischen Schritte an einem Ort zusammen.
Gesundheitsorganisationen, die jetzt in den richtigen Ansatz zur Sensibilisierung investieren, streben nicht nur die Einhaltung von Vorschriften an. Sie bauen eine Organisation auf, die widerstandsfähiger gegen Cyberangriffe ist, die zunehmend auf diesen Sektor abzielen.
Guardey für das Gesundheitswesen
Guardey hat spezielle Schulungsmodule für das Gesundheitspersonal entwickelt. Laden Sie die Broschüre herunter oder informieren Sie sich darüber, wie ein maßgeschneidertes Programm für Ihre Organisation aussehen könnte.
