Ransomware im Krankenhaus: Welche NIS2-Pflichten gelten?

Ein Ransomware-Angriff auf das Nipigon District Memorial Hospital in Ontario, Kanada, legte Mitte September 2026 Labor und Diagnostik lahm. Für deutsche Krankenhäuser gilt seit Dezember 2025: Ab 50 Mitarbeitern greifen die NIS2-Pflichten aus §391 SGB V, darunter eine Meldepflicht binnen 24 Stunden.

Was geschah im Nipigon District Memorial Hospital?

Bei dem Angriff wurden Patientendateien mit personenbezogenen und Gesundheitsdaten verschlüsselt. Ambulantes Labor und Diagnostische Bildgebung sind seitdem bis auf Weiteres geschlossen, das Krankenhaus arbeitet mit externen Cybersecurity-Experten und Strafverfolgungsbehörden zusammen. Täter und Angriffsvektor sind nicht bekannt.

Das Krankenhaus veröffentlichte zunächst eine „Code Grey Notice – Cybersecurity Incident" auf Facebook, die einen laufenden Vorfall beschrieb. Am 16. September 2026 folgte ein Update-Post, das den Beginn auf den Vortagesmorgen datierte.

Bürgermeisterin Suzanne Kukko bestätigte gegenüber dem Journalisten Al Cresswell, dass es sich um Ransomware handelt (DataBreaches.net). CEO Shannon Cormier erklärte laut SNNewsWatch: „Immediate priorities remain the safe delivery of patient care, containment of the incident and the secure restoration of hospital systems." Betroffene Personen sollen laut demselben Bericht „wie erforderlich und angemessen" benachrichtigt werden.

Für NIS2-pflichtige Einrichtungen in Deutschland stellt sich vor allem die Frage, welche Maßnahmen einen solchen Vorfall hätten abfedern können:

Welche §30-BSIG-Maßnahmen wirken gegen einen solchen Angriff?

§30 BSIG verpflichtet NIS2-pflichtige Einrichtungen in Deutschland zu zehn Mindestmaßnahmen. Bei einem Vorfall wie in Nipigon wären insbesondere Incident Handling, Backup- und Krisenmanagement, Schwachstellenmanagement für nicht patchbare Medizingeräte sowie Multi-Faktor-Authentifizierung einschlägig. Über die tatsächliche IT-Ausstattung des kanadischen Krankenhauses liegen keine Informationen vor.

§30 Abs. 2 Nr. 2 BSIG: Bewältigung von Sicherheitsvorfällen. Diese Maßnahme verlangt eine strukturierte Reaktion inklusive interner und externer Kommunikation. Die Einbindung externer Cybersecurity-Experten und die laufende Information der Öffentlichkeit im Update-Post des Krankenhauses zeigen, wie ein solches Incident Handling in der Praxis aussieht.

§30 Abs. 2 Nr. 3 BSIG: Aufrechterhaltung des Betriebs. Dazu gehören Backup-Management und Wiederherstellung nach einem Notfall, genau für Situationen, in denen Labor und Bildgebung auf manuelle Verfahren umgestellt werden müssen.

§30 Abs. 2 Nr. 5 BSIG: Schwachstellenmanagement. Bei nicht patchbaren Medizingeräten wie CT, MRT oder Labor-IT auf veralteten Betriebssystemen sind kompensierende Maßnahmen gefragt, wenn Herstellerpatches fehlen oder sich verspäten.

§30 Abs. 2 Nr. 10 BSIG: Multi-Faktor-Authentifizierung. Sie greift gegen den in der Praxis häufigsten Ransomware-Einstiegsvektor: kompromittierte Zugangsdaten.

Wie die Angreifer in die Systeme des Nipigon District Memorial Hospital gelangt sind, ist öffentlich nicht bekannt. Die genannten Maßnahmen sind allgemeine Mindestanforderungen aus dem deutschen NIS2-Recht, keine Aussage darüber, was beim kanadischen Krankenhaus vorhanden war oder fehlte.

Bundesweit meldete das BSI im Berichtszeitraum Juli 2024 bis Juni 2025 950 Ransomware-Vorfälle, davon 72 % mit zusätzlichem Datenleak. Für deutsche Krankenhäuser sind diese Maßnahmen nicht freiwillig, sondern seit Dezember 2025 gesetzlich verpflichtend.

Welche NIS2-Pflichten gelten für Krankenhäuser in Deutschland?

Seit Dezember 2025 verweist §391 SGB V für Krankenhäuser direkt auf die §§30, 31 und 39 BSIG. Ein Vorfall wie in Nipigon würde in Deutschland eine Meldekaskade nach §32 BSIG sowie parallel eine DSGVO-Meldung auslösen. Ob dabei ein Bußgeld drohen würde, ist reine Spekulation im Konjunktiv, nie eine Tatsachenbehauptung über ein konkretes Unternehmen.

Betroffen sind Kliniken über die generischen §28-BSIG-Schwellen, nicht über eine Bettenzahl:

• Besonders wichtige Einrichtung: ab 250 Mitarbeitern oder ab 50 Mio. € Jahresumsatz und 43 Mio. € Bilanzsumme.
• Wichtige Einrichtung: ab 50 Mitarbeitern oder ab jeweils 10 Mio. € Umsatz und Bilanzsumme.
• Ausnahme: nur die gematik ist nach §28 Abs. 6 BSIG ausgenommen.

Praktisch alle Kliniken außer Kleinstbetrieben sind damit erfasst.

Ein Vorfall mit verschlüsselten Patientendaten löst zwei parallele Meldewege aus. Die §32-BSIG-Kaskade verlangt Frühwarnung binnen 24 Stunden, Meldung binnen 72 Stunden und Abschluss binnen einem Monat, alle Fristen im Detail, an das BSI. Parallel greift die DSGVO-Meldung nach Art. 33 binnen 72 Stunden an die Landesdatenschutzbehörde, ggf. ergänzt um die Betroffenenbenachrichtigung nach Art. 34. Zwei Empfänger, zwei Fristenlogiken, kein abgestimmter Prozess.

§38 BSIG bindet die Klinikleitung persönlich ein. Sie muss die §30-Maßnahmen selbst umsetzen, überwachen und haftet bei schuldhafter Pflichtverletzung; regelmäßige Schulungen sind Pflicht.

Wäre ein deutsches Krankenhaus von einem vergleichbaren Vorfall betroffen und lägen Versäumnisse nach §30 oder §32 vor, könnte laut §65 BSIG ein Bußgeld bis zu 10 Mio. € (besonders wichtige Einrichtung) beziehungsweise 7 Mio. € (wichtige Einrichtung) drohen, zur Einordnung dient der NIS2-Bußgeldrechner. Das BSI erfasste im Berichtszeitraum Oktober 2024 bis September 2025 43 Lagebeiträge zu Leistungserbringern, bei vermuteter Dunkelziffer mangels bisheriger Meldepflicht (BSI, Cybersicherheit im Gesundheitswesen 2025, S. 1 f.). Details zur Betroffenheitsprüfung im Gesundheitswesen.

Was können deutsche Kliniken jetzt prüfen?

Deutsche Krankenhäuser sollten prüfen, ob Backups getrennt vom Netz liegen und regelmäßig getestet werden, ob eine Krisenkommunikation für den Ausfall zentraler Systeme vorbereitet ist, wie sie in Nipigon nötig wurde, und ob die eigene Meldepflichten-Kaskade nach §32 BSIG in 24 Stunden funktioniert. Der NIS2Compass Vor-Check zeigt Lücken in unter 15 Minuten. Es geht um Vorbereitung, nicht um Panik.

Zwei Schritte zahlen sich aus: Notfallverfahren für Kernsysteme testen, inklusive manueller Ausweichprozesse für Labor und Diagnostik, wie sie im Nipigon-Fall nötig wurden (§30 Abs. 2 Nr. 3 BSIG). Und die doppelte Meldepflicht organisatorisch trennen: Wer meldet im Ernstfall binnen 24 Stunden an das BSI, wer informiert parallel die Landesdatenschutzbehörde nach DSGVO Art. 33? Details dazu liefert der Beitrag NIS2-Meldepflichten: Wann, was und an wen melden?

Zuletzt lohnt sich der Blick auf die eigene NIS2-Betroffenheit: Der Vor-Check zeigt, welche der 124 Umsetzungsschritte bereits erfüllt sind.

Quellen:

• DataBreaches.net, 16.09.2026: Canada: Nipigon hospital hit by ransomware attack
• SNNewsWatch.com, Mike Stimpson (Local Journalism Initiative): Nipigon hospital hit by ransomware attack
• Nipigon District Memorial Hospital, Facebook: Cybersecurity Incident Update
• Nipigon District Memorial Hospital, Facebook: Code Grey Notice – Cybersecurity Incident
• §28 BSIG (Besonders wichtige Einrichtungen und wichtige Einrichtungen)
• §30 BSIG (Risikomanagementmaßnahmen)
• §32 BSIG (Meldepflichten)
• §38 BSIG (Umsetzungs-, Überwachungs- und Schulungspflicht für Geschäftsleitungen)
• §65 BSIG (Bußgeldvorschriften)
• §391 SGB V
• BSI: Die Lage der IT-Sicherheit in Deutschland 2025 (Kurzfassung)
• BSI: Cybersicherheit im Gesundheitswesen 2025