NISG 2026 im Gesundheitswesen: Betroffenheit und Pflichten

NISG 2026 (Netz- und Informationssystemsicherheits-Gesetz 2026)

I. Was regelt das Netz- und Informationssystemsicherheitsgesetz 2026?

Das Netz- und Informationssystemsicherheitsgesetz 2026 – kurz NISG 2026, BGBl 2025 I 94 - ist mit 1. Oktober 2026 in Kraft getreten. Das NISG 2026 setzt damit die Bestimmungen und Vorgaben der NIS-2 Richtlinie um und verfolgt dabei das primäre Ziel Cybersicherheitskapazitäten auszubauen sowie Bedrohungen für Netz- und Informationssysteme, die in kritischen Sektoren Verwendung finden, einzudämmen. 

Mit der Einführung verpflichtender Vorkehrungs- und Sicherheitsmaßnahmen sowie von Meldepflichten bei Sicherheitsvorfällen, für Unternehmen und Einrichtungen aus kritischen Sektoren ab einer bestimmten Größe sowie für Dienstleister und Lieferanten der betroffenen Einrichtungen, soll diesem Ziel bestmöglich entsprochen werden. 

II. Wann fällt ein Betrieb in den Anwendungsbereich des NISG 2026?

Das NISG 2026 findet grundsätzlich Anwendung, wenn Betriebe zwei Voraussetzungen erfüllen:

1. Eine Tätigkeit in einem NIS-Sektor (dies ergibt sich aus Anlage 1 oder Anlage 2 zum NISG 2026) liegt vor und
2. Der Betrieb erreicht die gesetzlich vorgesehenen Größenschwellwerte (mittleres oder großes Unternehmen entsprechend der Empfehlung der Kommission zur Definition von KMU)
   

III. Was gilt für Einrichtungen des Gesundheitswesens?

Das Gesundheitswesen ist in Anlage 1 zum NISG 2026 genannt und stellt somit einen Sektor mit hoher Kritikalität nach dem NISG 2026 dar. Gesundheitsdienstleister sind damit grundsätzlich vom Anwendungsbereich des NISG 2026 erfasst.

Zum Begriff des Gesundheitsdienstleisters wird dabei auf die Patientenmobilitätsrichtlinie verwiesen und in weiterer Folge auf Anlage 1 der Gesundheitstelematik-VO 2013 (GTelV 2013). Gesundheitsdienstleister sind demnach u.a. Krankenanstalten, Sonderkrankenanstalten, Kuranstalten & selbständige Ambulatorien iSd KaKuG.

Dezidiert ausgenommen vom Begriff des Gesundheitsdienstleisters iSd NISG 2026 und somit auch vom Anwendungsbereich des NISG 2026 sind Dienstleistungen der Langzeitpflege und damit einhergehende Einrichtungen der Pflege und Pflegeanstalten. 

IV. Wann sind Gesundheitsdienstleister konkret zur Umsetzung der Bestimmungen des NISG 2026 verpflichtet?

Neben der grundsätzlichen Anwendbarkeit der NISG-2026 Bestimmungen auf das Gesundheitswesen bzw. auf Gesundheitsdienstleister kommt es für die Frage, wann eine konkrete Verpflichtung der Gesundheitsdienstleister zur Umsetzung der NISG-2026 Bestimmungen vorliegt darauf an, ob es sich beim Gesundheitsdienstleister um eine wesentliche oder wichtige Einrichtung nach § 24 NISG 2026 handelt. 

Entscheidend ist dabei die Unternehmensgröße, sprich die Anzahl der Mitarbeitenden, der Jahresumsatz sowie die Jahresbilanzsumme.

Gesundheitsdienstleister gelten dabei als wesentliche Einrichtungen, wenn sie ein großes Unternehmen betreiben (§ 24 Abs 1 Zif 3)

Gesundheitsdienstleister gelten dabei als wichtige Einrichtungen, wenn sie ein großes oder mittleres Unternehmen betreiben und nicht bereits eine wesentliche Einrichtung nach § 24 Abs 1 vorliegt (§ 24 Abs 2 Zif 1)

Wann liegt ein großes und wann ein mittleres Unternehmen vor? (§ 25 Abs 2,3)

Ein großes Unternehmen liegt vor, wenn die Einrichtung zumindest 250 Mitarbeitende beschäftigt oder wenn sie einen Jahresumsatz von über 50 Millionen Euro erzielt und sich die Jahresbilanzsumme auf über 43 Millionen Euro beläuft.

Ein mittleres Unternehmen liegt vor, wenn die Einrichtung zumindest 50 Mitarbeitende beschäftigt, oder wenn sie einen Jahresumsatz von über zehn Millionen Euro erzielt und sich die Jahresbilanzsumme auf über zehn Millionen Euro beläuft, sofern sie nicht bereits als großes Unternehmen gilt.

V. Was bedeutet das Inkrafttreten des NISG 2026 für die konkret betroffenen Gesundheitseinrichtungen?

• Registrierungspflicht
  Betroffene Einrichtungen müssen sich binnen 3 Monaten nach Inkrafttreten des NISG 2026, somit bis 31.12.2026 registrieren. Das entsprechende Registrierungsformular ist im Unternehmensserviceportal (USP) verfügbar. 
• Selbstdeklaration
  Innerhalb von 12 Monaten nach Eintritt der Registrierungspflicht, somit bis 30.09.2027 ist eine Mitteilung über die umgesetzten Risikomanagementmaßnahmen an die Cybersicherheitsbehörde zu übermitteln (Selbstdeklaration).
• Prüfungen auf Aufforderung der Cybersicherheitsbehörde
  Die Cybersicherheitsbehörde kann wesentliche und wichtige Einrichtungen auffordern die Umsetzung der Risikomanagementmaßnahmen nachzuweisen. Dies erfolgt durch eine Prüfung, die von einer unabhängigen Stelle durchgeführt wird. Bei wichtigen Einrichtungen kann dies nur bei begründeten Hinweisen auf mutmaßliche Pflichtverletzungen erfolgen (z.B. aufgrund mangelhafter Selbstdeklaration). Frühester Zeitpunkt der Aufforderung ist der 01.10.2028.
• Risikomanagementmaßnahmen und Berichtspflichten
  Seit 1.10.2026 sind Risikomanagementmaßnahmen einzuhalten und Berichtspflichten zu beachten. Verantwortlich dafür sind die Leitungsorgane (Geschäftsführende bei GmbH, Vorstand bei Aktiengesellschaft).

VI. Was passiert, wenn Unternehmen die Regelungen nicht einhalten?

Werden NIS-Bestimmungen nicht erfüllt drohen Verwaltungsstrafen in Form von Geldstrafen. Das NISG 2026 sieht dies in § 45 vor.

• Eine Nichterfüllung würde zum Beispiel vorliegen, wenn Cybersicherheitsschulungen nicht angeboten werden, Risikomanagementmaßnahmen nicht umgesetzt werden, erhebliche Cybersicherheitsvorfälle nicht gemeldet werden oder Durchsetzungsmaßnahmen nicht fristgerecht nachgekommen wird.
  Siehe dazu im Detail die Ausführungen in § 45 Abs 1 NISG 2026
  • Bei wesentlichen Einrichtungen drohen Verwaltungsstrafen in Höhe von bis zu 10 Mio. Euro oder 2 % des Gesamtjahresumsatzes des Konzerns (§ 45 Abs 2)
  • Bei wichtigen Einrichtungen drohen Verwaltungsstrafen in Höhe von bis zu 7 Mio. Euro oder 1,4 % des Gesamtjahresumsatzes des Konzerns (§ 45 Abs 3)
• Werden organisatorische Pflichten verletzt drohen Verwaltungsstrafen in Form von Geldstrafen bis zu EUR 50.000, im Wiederholungsfall bis zu EUR 100.000.
  •  Beispiele wären die Verletzung der Registrierungspflicht, die  Übermittlung falscher    oder unvollständiger Angaben, die Unterlassung der Führung einer Datenbank, eine    fehlende, falsche bzw. verspätete Übermittlung der Selbstdeklaration etc. Siehe dazu im Detail § 45 Abs 4 NISG 2026.
    

NISV 2026: (Netz- und Informationssystemsicherheits-Verordnung 2026)

I. Was regelt die NISV 2026?

Mit der Netz- und Informationssystemsicherheits-Verordnung 2026 – kurz NISV 2026 BGBL 2026 II 290) werden nähere Anforderungen an die Risikomanagementmaßnahmen im Bereich der Cybersicherheit und weitere Kriterien über das Vorliegen eines erheblichen Cybersicherheitsvorfalls festgelegt.

§ 2 NISV 2026 – Anforderungen an Risikomanagementmaßnahmen

§ 2 normiert, dass Art 2 samt Anhang der EU-Durchführungsverordnung (EU 2024/2690) auch für Einrichtungen der Anlage 1 oder 2 des NISG 2026 und somit auch für das Gesundheitswesen gilt.

• Weiterführende Informationen zu den Maßnahmen: Durchführungsverordnung zur NIS-2 Richtlinie für digitale Infrastruktur
  

§ 3 NISV 2026 – Risikokategorien

§ 3 gibt an, an welchen Risikokategorien sich die wesentlichen und wichtigen Einrichtungen zu orientieren haben.

§ 4 NISV 2026 - Kompensierende Maßnahmen

§ 4 regelt, wann kompensierende Maßnahmen umzusetzen sind, wie sie ausgestaltet und dokumentiert sein müssen.

§§ 5-7 NISV 2026 – Erhebliche Cybersicherheitsvorfälle, Planmäßige Betriebsunterbrechungen & wiederholte Cybersicherheitsvorfälle

§ 5 legt die Kriterien fest, die für die Qualifikation als erheblicher Cybersicherheitsvorfall erfüllt sein müssen.

§ 6 regelt dabei, dass planmäßige Betriebsunterbrechungen und geplante Folgen planmäßiger Wartungsarbeiten nicht als erhebliche Cybersicherheitsvorfälle gelten. 

§ 7 definiert, wann einzelne Cybersicherheitsvorfälle einen erheblichen Cybersicherheitsvorfall begründen: 

Sind Cybersicherheitsvorfälle innerhalb von sechs Monaten mindestens zwei Mal aufgetreten, weisen sie dieselbe offensichtliche Ursache und Auswirkung auf und erfüllen sie zusammen die Kriterien des § 5, können einzelne Cybersicherheitsvorfälle zusammengenommen einen erheblichen Cybersicherheitsvorfall begründen.

Weiterführende Informationen

Darüber hinaus steht unter NISG 2026 – neue Pflichten zur Cybersicherheit für Unternehmen ein umfassendes Informationsangebot zum Thema Cybersicherheit zur Verfügung, das regelmäßig von der Bundessparte für Information & Consulting - kurz BSIC auf dem aktuellen Stand gehalten wird und neben spezifischen Informationsangeboten (u.a. auch zu Ausbildungen und Zertifizierungen) und einem Betroffenheits-Check auch Webinare und Videos zum Abruf umfasst.