Verfasst vom NIS2Compass Team ·
Kliniken und größere MVZ fallen unter Anhang 1 BSIG, Sektor Gesundheitswesen. §391 SGB V verweist seit Dezember 2025 auf §§30, 31 und 39 BSIG. Die alte §75c-SGB-V-Baustelle muss konsolidiert werden. NIS2Compass liefert den strukturierten Umsetzungspfad und adressiert die Doppel-Meldepflicht DSGVO Art. 33 plus §32 BSIG.
Sektor
Anhang 1 BSIG, Sektor Gesundheitswesen: Leistungserbringer, Arzneimittelgroßhandel, Hersteller kritischer Medizinprodukte.
Größe
50+ MA oder > 10 Mio. € Umsatz. Praktisch alle Kliniken außer Kleinstkliniken. Einzelpraxen typischerweise darunter.
Sonderregulierung §391 SGB V
§391 SGB V verweist für Krankenhäuser direkt auf die BSIG-Pflichten. gematik ist nach §28 Abs. 6 BSIG befreit, Zoom-out für Apotheken und TI-Anbieter.
Der Branchenspezifische Sicherheitsstandard ist durch NIS2 nicht weg, aber Pflichten überschneiden sich ohne 1:1-Ablösung. Übergang muss strukturiert werden.
CT, MRT, Labor-IT laufen auf Alt-Betriebssystemen. §30 Nr. 5 lässt sich nicht wie in Office-IT umsetzen, kompensierende Maßnahmen nötig.
Patient-Data-Breach triggert §32 BSIG und DSGVO Art. 33 parallel. Zwei Empfänger, zwei Zeitlinien, oft kein abgestimmter Prozess.
Ein Klinikum mit 350 Betten und 8 Personen im IT-Team steht vor zwei Herausforderungen: die §75c-SGB-V-Altnachweise mit der neuen §391-SGB-V-/BSIG-Pflichtenlage konsolidieren und bei Vorfällen die parallele Meldung an BSI und Landesdatenschutzbehörde sauber steuern. NIS2Compass strukturiert den vollständigen NIS2-Umsetzungspfad auf 124 Substep-Ebene. Artikel A-17 und B-10a erklären die DSGVO-/NIS2-Koordinierung konkret. Das Vorfallsregister-Template sorgt für einheitliche Dokumentation, Grundlage für beide Meldungen. Ohne zusätzliche Klinik-IT-Beratung für 700-1.200 € pro Tag.
NIS2 Guide
124 Substeps, jeder mit Template und Artikel
DSGVO- und NIS2-Koordinierung
Artikel A-17 und B-10a erklären den Prozess
Vorfallsregister-Vorlage
Einheitliche Dokumentationsbasis für beide Meldungen
Für Kliniken zweigeteilt: Office-IT lässt sich klassisch patchen und segmentieren. Medizingeräte (CT, MRT, Laborgeräte) oft nicht. Hier gelten kompensierende Maßnahmen: Netzsegmentierung, strikte Zugangskontrolle, Monitoring.
24 h Frühwarnung, 72 h Vollmeldung, 1 Monat Abschlussbericht an BSI, parallel zur 72-h-DSGVO-Meldung an die Landesdatenschutzbehörde. Der koordinierte Prozess verhindert Doppelarbeit und Widersprüche.
Klinik-Geschäftsführung und Verwaltungsrat müssen Risikomanagementmaßnahmen billigen, die Umsetzung überwachen und selbst regelmäßig geschult werden. Persönliche Haftung bei Pflichtverletzung.
Vertiefende Blog-Artikel: Bin ich von NIS2 betroffen?, NIS2-Bußgelder und Managerhaftung, NIS2 Schritt für Schritt umsetzen.
| Kriterium | NIS2Compass | Klassische Beratung | ISMS-Tool | Selbstumsetzung |
|---|---|---|---|---|
| Monatskosten | 29 € | 700-1.200 €/Tag | 200-2.000 €/Monat | 0 € |
| §391-SGB-V-Kontext | explizit | abhängig vom Berater | allgemein | selbst |
| DSGVO- und NIS2-Koordinierung | eigener Artikel-Cluster | individuell | häufig ausgeklammert | selbst |
| Deutsche Vorlagen | ja (45+) | maßgeschneidert | meist englisch | nein |
| Onboarding | 10 Minuten | Wochen | Tage + Setup | Monate |
| Für 5-12-Personen-Klinik-IT | ja | zu teuer | zu komplex | kapazitiv schwierig |
§391 SGB V, §32 BSIG, DSGVO Art. 33: in einer Plattform koordiniert.