Gesundheitswesen zählt zu den zehn Anlage-1-Sektoren, die als „besonders wichtige Einrichtung" eingestuft werden können. Erfasst sind unter anderem Krankenhäuser, Labore, die pharmazeutische Industrie und Hersteller kritischer Medizinprodukte. Ab 50 Beschäftigten oder Umsatz und Bilanzsumme über 10 Millionen Euro gilt eine Einrichtung als „wichtig", ab 250 Beschäftigten oder entsprechend höheren Werten als „besonders wichtig" - für Krankenhäuser gilt in Deutschland ergänzend häufig eine gesonderte KRITIS-Einstufung unabhängig von diesen Schwellen.
Ransomware-Angriffe auf Kliniken haben in den vergangenen Jahren gezeigt, wie unmittelbar Cybersicherheit im Gesundheitswesen mit Patientensicherheit zusammenhängt - ein Grund, warum der Sektor zu den kritischeren Anlage-1-Sektoren zählt statt nur zu den sonstigen kritischen Sektoren aus Anlage 2. Ein funktionierendes Backup- und Wiederherstellungskonzept gehört hier zu den ersten Punkten, die ein Risikoregister abdecken sollte.
- Krankenhäuser und Klinikverbünde
- Medizinische Labore und Diagnostikzentren
- Hersteller kritischer Medizinprodukte
- Pharmazeutische Hersteller und Forschungseinrichtungen
Wie die Einschätzung funktioniert
NIS2, CRA und ISO 42001 - drei Regelwerke, ein Schnellcheck
NIS2, der Cyber Resilience Act (CRA) und ISO/IEC 42001 werden häufig verwechselt, weil sie sich zeitlich überschneiden und alle Sicherheitsnachweise verlangen. Sie adressieren aber unterschiedliche Ebenen: NIS2 verpflichtet Betreiber besonders wichtiger und wichtiger Einrichtungen, ihre eigene Organisation abzusichern. Der CRA verpflichtet Hersteller, sichere Produkte mit digitalen Elementen in Verkehr zu bringen. ISO 42001 ist eine freiwillige Norm für den Umgang mit KI-Systemen.
Der Compliance-Kompass ordnet die eigenen Angaben diesen drei Regelwerken zu und verweist direkt auf die passende Vorlage im ISMS-Dokumentation-Tool oder auf CRA-Klartext. Die Einschätzung ersetzt keine rechtliche Prüfung, gibt aber einen belastbaren ersten Anhaltspunkt, wo Handlungsbedarf besteht.
Häufige Fragen
Sind Arztpraxen von NIS2 betroffen?
Einzelpraxen unterschreiten die Größenschwellen von 50 Beschäftigten oder 10 Millionen Euro Jahresumsatz in aller Regel deutlich und fallen damit meist nicht unter NIS2. Größere Praxisverbünde oder medizinische Versorgungszentren können die Schwellen dagegen erreichen.
Was ist der Unterschied zwischen NIS2 und der KRITIS-Regulierung für Krankenhäuser?
NIS2 ist die EU-weite Richtlinie mit den hier genannten Größenschwellen. Die deutsche KRITIS-Regulierung nach BSI-Gesetz setzt für Krankenhäuser eigene, teils niedrigere Schwellenwerte (etwa nach Bettenzahl) und kann damit auch Häuser erfassen, die die NIS2-Schwellen unterschreiten.
Ab welcher Unternehmensgröße gilt NIS2?
In der Regel ab 50 Beschäftigten oder 10 Millionen Euro Jahresumsatz - vorausgesetzt, das Unternehmen ist einem der in Anhang I oder II der Richtlinie genannten Sektoren zuzuordnen. Unabhängig von der Größe können auch einzelne kritische Einzelanbieter erfasst sein.
Bin ich als Softwarehersteller vom Cyber Resilience Act betroffen?
Sehr wahrscheinlich. Enthält ein Produkt Software oder kann es sich mit einem Gerät oder Netz verbinden und wird es in der EU verkauft, fällt es in der Regel unter den CRA - egal ob reine Software, IoT-Gerät oder Industriesteuerung.
Muss ich mein Unternehmen nach ISO 42001 zertifizieren lassen, wenn ich KI einsetze?
Nein, ISO/IEC 42001 ist eine freiwillige Norm. Verpflichtend sind die Anforderungen der EU-KI-Verordnung, unabhängig von einer Zertifizierung. Ein KI-Managementsystem nach ISO 42001 hilft aber, diese Anforderungen strukturiert nachzuweisen.
Mehr dazu: NIS-2 im Glossar · Risikoregister im Glossar