Für das Gesundheitswesen nennt NIS2 in Anhang I Gesundheitsdienstleister wie Krankenhäuser und Arztpraxen, EU-Referenzlaboratorien, Forschung und Entwicklung von Arzneimitteln, die Pharmaherstellung und Hersteller kritischer Medizinprodukte, in Anhang II die übrigen Medizinproduktehersteller. Jede dieser Einrichtungen fällt unter NIS2, sobald sie mindestens ein mittleres Unternehmen ist: 50 oder mehr Beschäftigte oder Umsatz und Bilanzsumme jeweils über 10 Mio. EUR. Kleinere Einrichtungen fallen nur darunter, wenn ihre Behörde sie bestimmt.
Dieser Leitfaden behandelt die Einrichtungsarten, Kliniken und Radiologie, Labore, Apotheken, Pharma, Medizinproduktehersteller, den Status als wesentliche oder wichtige Einrichtung, die geltenden Pflichten, was das Recht offenlässt, und eine Checkliste.
| Organisation | Eintrag in NIS2 | Wenn mittleres Unternehmen | Wenn groß |
|---|---|---|---|
| Krankenhaus, Klinik, Radiologie- oder andere Praxis | Anhang I: Gesundheitsdienstleister | Wichtig | Wesentlich |
| Medizinisches Labor | Anhang I: Gesundheitsdienstleister | Wichtig | Wesentlich |
| EU-Referenzlaboratorium | Anhang I | Wichtig | Wesentlich |
| Apotheke | Vertretbar Anhang I: Gesundheitsdienstleister (nicht genannt) | Wichtig | Wesentlich |
| Pharmaforschung und -entwicklung | Anhang I: Forschung und Entwicklung von Arzneimitteln | Wichtig | Wesentlich |
| Pharmahersteller | Anhang I: NACE Rev. 2 Abteilung 21 | Wichtig | Wesentlich |
| Hersteller eines kritischen Medizinprodukts | Anhang I: Liste kritischer Medizinprodukte für Notlagen im Bereich der öffentlichen Gesundheit | Wichtig | Wesentlich |
| Sonstiger Hersteller von Medizinprodukten oder In-vitro-Diagnostika | Anhang II Nummer 5 Buchstabe a | Wichtig | Wichtig |
| Arzneimittelgroßhandel oder -vertrieb | Im Sektor Gesundheitswesen nicht aufgeführt | Andere Sektoren prüfen | Andere Sektoren prüfen |
Kleine Unternehmen und Kleinstunternehmen fallen nicht darunter, es sei denn, ein größenunabhängiger Fall liegt vor, und der Mitgliedstaat kann jede dieser Einrichtungen als wesentlich einstufen. Groß heißt: 250 oder mehr Beschäftigte oder ein Umsatz über 50 Mio. EUR und eine Bilanzsumme über 43 Mio. EUR.
Welche Einrichtungen im Gesundheitswesen erfasst NIS2?
Anhang I Nummer 5 (Gesundheitswesen) nennt fünf Arten von Einrichtungen:
- „Gesundheitsdienstleister“ im Sinne des Artikels 3 Buchstabe g der Richtlinie 2011/24/EU über die Ausübung der Patientenrechte in der grenzüberschreitenden Gesundheitsversorgung.
- „EU-Referenzlaboratorien“ im Sinne des Artikels 15 der Verordnung (EU) 2022/2371 zu schwerwiegenden grenzüberschreitenden Gesundheitsgefahren.
- „Einrichtungen, die Forschungs- und Entwicklungstätigkeiten in Bezug auf Arzneimittel im Sinne des Artikels 1 Nummer 2 der Richtlinie 2001/83/EG des Europäischen Parlaments und des Rates ausüben“.
- „Einrichtungen, die pharmazeutische Erzeugnisse im Sinne des Abschnitts C Abteilung 21 der Statistischen Systematik der Wirtschaftszweige in der Europäischen Gemeinschaft (NACE Rev. 2) herstellen“.
- „Einrichtungen, die Medizinprodukte herstellen, die während einer Notlage im Bereich der öffentlichen Gesundheit als kritisch im Sinne des Artikels 22 der Verordnung (EU) 2022/123 des Europäischen Parlaments und des Rates (‚Liste kritischer Medizinprodukte für Notlagen im Bereich der öffentlichen Gesundheit‘) eingestuft werden“.
Anhang II Nummer 5 Buchstabe a ergänzt Einrichtungen, die Medizinprodukte und In-vitro-Diagnostika herstellen, mit Ausnahme derjenigen, die unter den fünften Eintrag von Anhang I oben fallen.
Die Begriffe stammen aus anderen EU-Rechtsakten. Gesundheitsdienstleister ist „jede natürliche oder juristische Person oder sonstige Einrichtung, die im Hoheitsgebiet eines Mitgliedstaats rechtmäßig Gesundheitsdienstleistungen erbringt“. Das umfasst öffentliche und private Anbieter, und die Richtlinie 2011/24/EU gilt für jegliche Gesundheitsversorgung von Patienten, „unabhängig davon, wie diese organisiert, erbracht oder finanziert wird“ (Artikel 1(2)). Die Größenregel in Artikel 2(1) NIS2, also mindestens mittleres Unternehmen nach der Empfehlung 2003/361/EG, gilt für jeden Eintrag.
Das Gesundheitswesen ist nicht neu: NIS1 nannte „Einrichtungen der medizinischen Versorgung (einschließlich Krankenhäuser und Privatkliniken)“ mit derselben Begriffsbestimmung. NIS2 ersetzt die Ermittlung durch die Mitgliedstaaten durch die Größenregel und ergänzt EU-Referenzlaboratorien, Pharmaunternehmen und Medizinproduktehersteller.
Fallen Privatkliniken und Radiologiepraxen unter NIS2?
Ja, wenn sie mindestens mittlere Unternehmen sind. Eine Klinik oder Radiologiepraxis, die rechtmäßig Gesundheitsdienstleistungen erbringt, ist Gesundheitsdienstleister, unabhängig von ihrer Rechtsform. Dann entscheidet die Größenregel:
- Beschäftigte: Mit 50 oder mehr Beschäftigten, gemessen in Jahresarbeitseinheiten (JAE), fallen Sie unter NIS2.
- Finanzen: Mit weniger Beschäftigten fallen Sie trotzdem darunter, wenn Umsatz und Bilanzsumme jeweils 10 Mio. EUR übersteigen. Bildgebung ist kapitalintensiv: Eine Praxis mit 35 Beschäftigten, 12 Mio. EUR Umsatz und 11 Mio. EUR Bilanzsumme ist ein mittleres Unternehmen.
- Gruppe: Verbundene Unternehmen zählen voll, Partnerunternehmen anteilig. Eine Praxis, die einer großen Radiologiegruppe gehört, kann aufgrund der Gruppenzahlen groß sein.
- Öffentliche Trägerschaft: Die Kontrolle durch eine öffentliche Stelle macht eine Klinik nicht schon für sich genommen zu einem großen Unternehmen; Artikel 2(1) schaltet diese Regel der Empfehlung ab.
Unterhalb der Schwelle fällt eine Praxis nicht unter NIS2, es sei denn, der Mitgliedstaat bestimmt sie nach Artikel 2(2): als einzigen Anbieter eines wesentlichen Dienstes, weil sich eine Störung ihres Dienstes „wesentlich auf die öffentliche Ordnung, die öffentliche Sicherheit oder die öffentliche Gesundheit auswirken könnte“, wegen eines wesentlichen Systemrisikos oder wegen ihrer Bedeutung auf nationaler oder regionaler Ebene. Kritische Einrichtungen nach der CER-Richtlinie fallen unabhängig von ihrer Größe darunter (Artikel 2(3)). Über diese Fälle entscheidet die nationale Behörde. Keine NIS2-Vorschrift legt eine Bettenzahl oder ein Patientenaufkommen fest.
Prüfen Sie, ob Ihr nationales Gesetz in Kraft ist: Am 8. Juli 2026 hat die Kommission Irland, Spanien, Frankreich und die Niederlande vor dem Gerichtshof verklagt, weil sie keine Umsetzungsmaßnahmen mitgeteilt hatten. Der NIS2-Betroffenheitscheck liefert eine erste Antwort anhand von Sektor, Beschäftigtenzahl und Umsatz.
Fallen Labore unter NIS2?
Es gibt drei Wege, und die meisten Labore fallen unter den zweiten.
- EU-Referenzlaboratorium. Die Kommission benennt diese durch Durchführungsrechtsakt, damit sie nationale Referenzlaboratorien bei Diagnostik, Testmethoden und Krankheitsüberwachung unterstützen. Wer Arbeit auf Referenzniveau leistet, wird dadurch noch nicht zum EU-Referenzlaboratorium.
- Gesundheitsdienstleister. Ein medizinisches Labor, das rechtmäßig Gesundheitsdienstleistungen für Patienten erbringt, etwa diagnostische Untersuchungen, erfüllt die Begriffsbestimmung, vorbehaltlich der Größenregel. Das Labor eines Krankenhauses ist Teil des Krankenhauses.
- Forschung und Entwicklung von Arzneimitteln. Ein Labor, das diese Forschung betreibt, fällt unter den F&E-Eintrag. Anhang II führt außerdem die Forschung als Sektor auf (Nummer 7).
Fallen Apotheken unter NIS2?
Manche können darunterfallen, auch wenn NIS2 sie nicht nennt. Die Richtlinie 2011/24/EU definiert Gesundheitsversorgung als Gesundheitsdienstleistungen, die von Angehörigen der Gesundheitsberufe erbracht werden, „einschließlich der Verschreibung, Abgabe und Bereitstellung von Arzneimitteln und Medizinprodukten“, und zählt Apotheker zu den Angehörigen der Gesundheitsberufe. Nach diesem Wortlaut kann eine Apotheke, die rechtmäßig Arzneimittel abgibt, die Definition des Gesundheitsdienstleisters erfüllen.
Sie muss aber mindestens ein mittleres Unternehmen sein. Eine einzelne Apotheke liegt oft sowohl unter der Beschäftigten- als auch unter der Finanzschwelle. Ein Unternehmen, das eine Apothekenkette betreibt oder mit einer größeren Gruppe verbunden ist, kann darüber liegen. Prüfen Sie, wie Ihr nationales Recht und Ihre Behörde die Definition anwenden, bevor Sie davon ausgehen, dass Sie betroffen sind oder nicht.
Fallen Pharmaunternehmen unter NIS2?
Ja, über zwei Einträge in Anhang I, wenn das Unternehmen mindestens ein mittleres Unternehmen ist:
- Forschung und Entwicklung von Arzneimitteln: Arzneimittel sind Stoffe, die als Mittel zur Heilung oder Verhütung menschlicher Krankheiten bezeichnet werden oder die angewendet werden, um eine medizinische Diagnose zu erstellen oder physiologische Funktionen wiederherzustellen, zu korrigieren oder zu beeinflussen. Nach dem Wortlaut erfasst das Biotech-Unternehmen und Auftragsforschungsinstitute (CROs), die solche Forschung und Entwicklung betreiben.
- Herstellung nach NACE-Abteilung 21: Maßgeblich ist die Tätigkeit. Ein Lohnhersteller, der pharmazeutische Zubereitungen herstellt, ist genauso erfasst wie der Markeninhaber.
Ein Unternehmen, das nur Zulassungen hält, Arzneimittel vermarktet oder vertreibt, steht nicht in der Liste des Sektors Gesundheitswesen; prüfen Sie die anderen Einträge der Anhänge, bevor Sie schließen, dass Sie nicht betroffen sind.
Fallen Hersteller von Medizinprodukten unter NIS2?
- Anhang I, kritische Produkte. Nach Artikel 22 der Verordnung (EU) 2022/123 nimmt die bei der Europäischen Arzneimittel-Agentur eingerichtete Exekutive Lenkungsgruppe für Engpässe bei Medizinprodukten eine Liste kritischer Medizinprodukte für Notlagen im Bereich der öffentlichen Gesundheit an, sobald eine Notlage im Bereich der öffentlichen Gesundheit festgestellt ist. Klären Sie mit der Agentur, ob eine Liste gilt und ob Ihre Produkte darauf stehen.
- Anhang II Nummer 5 Buchstabe a. Hersteller von Medizinprodukten und In-vitro-Diagnostika. Ab mittlerer Größe sind sie wichtige Einrichtungen, sofern der Mitgliedstaat sie nicht als wesentlich einstuft.
Artikel 21 erfasst die Systeme, die der Hersteller für seinen Betrieb und seine Dienste nutzt. Das ist etwas anderes als die Sicherheit des Produkts, das er verkauft.
Ist eine Einrichtung im Gesundheitswesen wesentlich oder wichtig?
Artikel 3 legt den Status fest. Eine Einrichtung ist wesentlich, wenn sie:
- eine große Einrichtung nach Anhang I ist, etwa ein großes Krankenhaus oder ein großer Pharmahersteller;
- von ihrem Mitgliedstaat nach Artikel 2(2) Buchstaben b bis e als wesentlich eingestuft wurde;
- eine kritische Einrichtung nach der CER-Richtlinie ist;
- sofern der Mitgliedstaat dies vorsieht, ein vor dem 16. Januar 2023 nach NIS1 ermittelter Betreiber wesentlicher Dienste ist.
Jede andere erfasste Einrichtung ist wichtig: mittlere Einrichtungen nach Anhang I und Medizinproduktehersteller nach Anhang II.
Beide haben dieselben Pflichten. Der Unterschied liegt in Aufsicht und Geldbußen. Wesentliche Einrichtungen unterliegen einer proaktiven Aufsicht, einschließlich Vor-Ort-Kontrollen und Audits (Artikel 32); wichtige Einrichtungen werden nachträglich beaufsichtigt (Artikel 33). Die Höchstbeträge der Geldbußen für Verstöße gegen Artikel 21 oder 23 müssen bei wesentlichen Einrichtungen mindestens 10 Mio. EUR oder 2 % des weltweiten Jahresumsatzes betragen, bei wichtigen Einrichtungen mindestens 7 Mio. EUR oder 1,4 %, je nachdem, welcher Betrag höher ist (Artikel 34). Siehe wesentliche und wichtige Einrichtungen im Vergleich.
Die Mitgliedstaaten mussten bis zum 17. April 2025 eine Liste ihrer Einrichtungen erstellen, und Einrichtungen müssen Änderungen ihrer Angaben innerhalb von zwei Wochen melden. Wenn Sie betroffen und nicht registriert sind, registrieren Sie sich jetzt.
Was verlangt NIS2 von einem Krankenhaus, Labor oder Pharmaunternehmen?
- Leitung (Artikel 20). Das Leitungsorgan billigt die Maßnahmen, überwacht ihre Umsetzung, kann für Verstöße der Einrichtung gegen Artikel 21 verantwortlich gemacht werden, und seine Mitglieder müssen an Schulungen teilnehmen. Siehe Verantwortung der Leitung unter NIS2.
- Maßnahmen (Artikel 21). Geeignete und verhältnismäßige Maßnahmen nach einem gefahrenübergreifenden Ansatz, einschließlich zehn Mindestmaßnahmen. Siehe die zehn Maßnahmen nach Artikel 21.
- Meldung (Artikel 23). Bei einem erheblichen Sicherheitsvorfall eine Frühwarnung an das CSIRT oder die zuständige Behörde innerhalb von 24 Stunden nach Kenntniserlangung, eine Meldung über den Sicherheitsvorfall innerhalb von 72 Stunden und ein Abschlussbericht innerhalb eines Monats nach dieser Meldung. Siehe die NIS2-Meldefristen.
Gesundheitsdaten sind nach Artikel 9 DSGVO eine besondere Kategorie personenbezogener Daten. Ein Ransomware-Angriff auf ein Krankenhaus ist meist zugleich ein NIS2-Sicherheitsvorfall und eine Verletzung des Schutzes personenbezogener Daten, die an verschiedene Behörden mit unterschiedlichen Fristen zu melden sind: siehe NIS2 und DSGVO.
Was NIS2 im Krankenhaus oder Pharmawerk offenlässt
Artikel 21 verlangt ein Management von Anlagen und die Behandlung von Schwachstellen. Er sagt nicht, was mit einem CT-Gerät, einem Laboranalysegerät oder einer Produktionssteuerung geschehen soll, deren Software nur der Hersteller aktualisieren darf. In der Praxis sind das oft die Systeme, die sich am schwersten patchen und über den Fernzugriff von Anbietern am leichtesten erreichen lassen.
NIS2 definiert einen Sicherheitsvorfall außerdem als Ereignis, das die „Verfügbarkeit, Authentizität, Integrität oder Vertraulichkeit“ gespeicherter, übermittelter oder verarbeiteter Daten oder der Dienste beeinträchtigt (Artikel 6 Nummer 6). Ein verändertes Laborergebnis oder Chargenprotokoll ist ein Sicherheitsvorfall, auch wenn nichts ausgefallen ist, und ein Wiederherstellungstest, der nur prüft, ob das System wieder läuft, belegt die Verfügbarkeit, nicht die Integrität.
Sinnvoll ist es, jeden klinischen oder Produktionsdienst seinen Systemen zuzuordnen, die Single Points of Failure zu finden und festzuhalten, was Sie nicht beheben können und warum:
REGISTER KLINISCHER GERÄTE UND OT (ein Eintrag je Gerät oder System)
Gerät / System: [CT, PACS, Laboranalysegerät, MES, ...]
Unterstützter Dienst: [Radiologie, Notfalllabor, Chargenfreigabe]
Standort / Segment: [Standort, Raum, Netzsegment]
Hersteller / Modell: [Anbieter, Modell, Softwareversion]
Wer patchen kann: [wir / nur Anbieter / niemand, Supportende]
Letztes Update: [Datum, Version]
Fernzugriff: [keiner / VPN des Anbieters / Cloud des Anbieters;
genehmigt von]
Gespeicherte Daten: [Bilder, Ergebnisse, Chargenprotokolle,
personenbezogene Daten]
Integritätsprüfung: [woran ein veränderter Datensatz auffallen würde]
Rückfall bei Ausfall: [Papierverfahren, anderer Standort, anderer Lieferant]
Risikoentscheidung: [akzeptiert / gemindert durch ...; Eigentümer; Prüfung]Legen Sie in der Praxis außerdem vorab fest, was „schwerwiegende Betriebsstörungen“ (Artikel 23(3)) für Sie bedeuten: abgesagte Eingriffe, umgeleitete Aufnahmen, eine gestoppte Charge. Die Entscheidung über die Meldung sollte nicht auf die Forensik warten. Auf der CloudSoul-Plattform, einer automatisierten Plattform mit Human-in-the-Loop-Expertise, werden Nachweise aus Ihren Systemen erhoben, und Ausnahmen wie Geräte, die nur der Anbieter patchen kann, gehen zur Prüfung an eine Person. Ein Sicherheitsaudit zeigt, wo Sie stehen; das Programm finden Sie auf der Seite zur NIS2-Compliance.
NIS2-Checkliste für das Gesundheitswesen
- Ordnen Sie jede juristische Person einem Eintrag in Anhang I oder Anhang II zu, anhand der Begriffsbestimmung, auf die der Anhang verweist.
- Berechnen Sie die Größe mit verbundenen und Partnerunternehmen und prüfen Sie neben der Beschäftigtenzahl auch die Finanzzahlen.
- Prüfen Sie, ob Ihre Behörde Sie bestimmt hat, ob Sie kritische Einrichtung nach CER sind und welche NIS1-Vorgeschichte besteht.
- Registrieren Sie sich und melden Sie Änderungen innerhalb von zwei Wochen.
- Dokumentieren Sie die Billigung der Maßnahmen nach Artikel 21 durch das Leitungsorgan und die Schulung seiner Mitglieder.
- Erstellen Sie das Geräteregister, einschließlich der Geräte, die nur der Anbieter patchen kann.
- Richten Sie die Meldekette für 24 Stunden, 72 Stunden und einen Monat ein, mit der DSGVO-Meldung parallel dazu.
- Nehmen Sie Klauseln zu Sicherheit und Meldung von Sicherheitsvorfällen in Verträge über Geräte, Software und Cloud auf.
Quellen
- Richtlinie (EU) 2022/2555 (NIS2), Artikel 2, 3, 6, 20, 21, 23, 32, 33 und 34, Anhang I Nummer 5 und Anhang II Nummer 5, EUR-Lex. Wortlaut der Artikel: Artikel 2, Artikel 3, Artikel 23.
- Richtlinie 2011/24/EU über die Ausübung der Patientenrechte in der grenzüberschreitenden Gesundheitsversorgung, Artikel 1(2) und Artikel 3 Buchstaben a, f und g, EUR-Lex.
- Verordnung (EU) 2022/2371 zu schwerwiegenden grenzüberschreitenden Gesundheitsgefahren, Artikel 15, EUR-Lex.
- Richtlinie 2001/83/EG zur Schaffung eines Gemeinschaftskodexes für Humanarzneimittel, Artikel 1, EUR-Lex.
- Verordnung (EU) 2022/123 über eine verstärkte Rolle der Europäischen Arzneimittel-Agentur, Artikel 2, 21 und 22, EUR-Lex.
- Empfehlung 2003/361/EG der Kommission (KMU-Definition), Anhang, EUR-Lex.
- Richtlinie (EU) 2016/1148 (NIS1), Anhang II, EUR-Lex.
- Verordnung (EU) 2016/679 (DSGVO), Artikel 9, EUR-Lex.
- Kommission verklagt Irland, Spanien, Frankreich und die Niederlande vor dem Gerichtshof, 8. Juli 2026, Europäische Kommission.
Häufige Fragen
Gilt NIS2 für Krankenhäuser?
Ja, wenn das Krankenhaus mindestens ein mittleres Unternehmen ist. Gesundheitsdienstleister sind eine Einrichtungsart nach Anhang I. Ein Krankenhaus mit 50 oder mehr Beschäftigten oder mit Umsatz und Bilanzsumme jeweils über 10 Mio. EUR fällt daher unter NIS2. Ein großes Krankenhaus ist eine wesentliche Einrichtung, ein mittleres eine wichtige Einrichtung.
Fallen Privatkliniken und Radiologiepraxen unter NIS2?
Sie sind Gesundheitsdienstleister, also entscheidet die Größenregel. Eine Praxis mit 50 oder mehr Beschäftigten oder mit Umsatz und Bilanzsumme jeweils über 10 Mio. EUR fällt unter NIS2, wobei die Zahlen einer Gruppe, zu der sie gehört, mitgezählt werden. Kleinere Praxen sind nur erfasst, wenn die nationale Behörde sie bestimmt, etwa als einzigen Anbieter eines wesentlichen Dienstes.
Fallen Apotheken unter NIS2?
Nur manche. NIS2 nennt Apotheken nicht, aber die Richtlinie 2011/24/EU zählt die Abgabe von Arzneimitteln zur Gesundheitsversorgung. Eine Apotheke kann daher die Definition des Gesundheitsdienstleisters erfüllen, wenn sie zugleich mindestens ein mittleres Unternehmen ist. Das ist eine einzelne Apotheke oft nicht, eine Apothekengruppe kann es sein. Prüfen Sie, wie Ihr nationales Recht Apotheken behandelt.
Fallen Pharmaunternehmen unter NIS2?
Ja, wenn sie Forschungs- und Entwicklungstätigkeiten in Bezug auf Arzneimittel ausüben oder pharmazeutische Erzeugnisse herstellen (NACE Rev. 2 Abteilung 21) und mindestens mittlere Unternehmen sind. Beides sind Einträge in Anhang I, ein großes Pharmaunternehmen ist also eine wesentliche Einrichtung. Großhändler und Vertriebsunternehmen sind im Sektor Gesundheitswesen nicht aufgeführt.
Sind Hersteller von Medizinprodukten nach NIS2 wesentliche oder wichtige Einrichtungen?
Meist wichtige. Hersteller von Medizinprodukten und In-vitro-Diagnostika stehen in Anhang II, dessen Einrichtungen wichtig sind, sofern ein Mitgliedstaat sie nicht als wesentlich einstuft. Hersteller von Produkten auf der Liste kritischer Medizinprodukte für Notlagen im Bereich der öffentlichen Gesundheit fallen unter Anhang I und sind wesentlich, wenn sie groß sind.
