NIS2 ist die EU-Richtlinie für Cybersicherheit, die mittlere und große Einrichtungen wichtiger Sektoren zu Risikomanagement, Registrierung und Meldung von Sicherheitsvorfällen verpflichtet. In Deutschland gilt sie über das NIS2-Umsetzungsgesetz, das am 6. Dezember 2025 in Kraft getreten ist und vor allem das BSI-Gesetz (BSIG) neu gefasst hat. Betroffen sind nach Schätzungen rund 29.500 Einrichtungen statt bisher etwa 4.500, darunter viele Krankenhäuser und größere medizinische Versorgungszentren. Einzelpraxen und die meisten Kanzleien liegen unter den Schwellen.
Ein Beispiel aus dem Alltag
Das MVZ Muster (ein erfundenes Beispiel) betreibt fünf Standorte mit insgesamt 70 Beschäftigten. Die Geschäftsführung fragt sich, ob NIS2 sie betrifft. Die Antwort: wahrscheinlich ja. Ein MVZ erbringt Gesundheitsdienstleistungen, und das Gesundheitswesen ist ein NIS2-Sektor. Mit mindestens 50 Beschäftigten ist das MVZ eine „wichtige Einrichtung“. Es muss sich beim BSI registrieren, ein Risikomanagement für seine IT aufbauen und erhebliche Sicherheitsvorfälle melden.
Die Hausarztpraxis Dr. Muster (ebenfalls erfunden) mit zwölf Mitarbeitenden und einem Umsatz deutlich unter zehn Millionen Euro ist dagegen nicht erfasst. Für sie bleiben die DSGVO und die IT-Sicherheitsrichtlinie der Kassenärztlichen Bundesvereinigung maßgeblich.
NIS2 im Einzelnen
Wer betroffen ist
Das BSIG unterscheidet zwei Gruppen (§ 28 BSIG):
- Besonders wichtige Einrichtungen: in den Sektoren der Anlage 1 (etwa Energie, Verkehr, Bankwesen, Gesundheitswesen, digitale Infrastruktur) ab 250 Beschäftigten oder ab mehr als 50 Millionen Euro Jahresumsatz und zugleich mehr als 43 Millionen Euro Bilanzsumme. Betreiber kritischer Anlagen gehören immer dazu.
- Wichtige Einrichtungen: in den Sektoren der Anlagen 1 und 2 ab 50 Beschäftigten oder ab mehr als zehn Millionen Euro Jahresumsatz und zugleich mehr als zehn Millionen Euro Bilanzsumme.
Gezählt wird nach der EU-Empfehlung für kleine und mittlere Unternehmen. Verbundene Unternehmen können also mitzählen.
Was das für Gesundheitswesen, Kanzleien und Unternehmen heißt
- Krankenhäuser überschreiten die Schwelle von 50 Beschäftigten fast immer und sind damit erfasst. Häuser, die als kritische Anlage gelten, sind besonders wichtige Einrichtungen.
- MVZ und große Gemeinschaftspraxen sind erfasst, sobald sie die Schwellen erreichen. Die Anlage 1 nennt „Erbringer von Gesundheitsdienstleistungen“ ausdrücklich, ohne Praxen auszunehmen.
- Einzelpraxen mit weniger als 50 Beschäftigten und kleinerem Umsatz fallen in der Regel nicht darunter.
- Rechtsanwalts- und Steuerkanzleien gehören zu keinem der aufgeführten Sektoren. Sie sind deshalb in der Regel nicht direkt betroffen, können aber als Dienstleister betroffener Mandanten Anforderungen aus deren Lieferkette erhalten.
- Unternehmen in Industrie, Logistik oder Lebensmittelproduktion sollten die Anlagen genau prüfen. Das BSI bietet dafür eine Betroffenheitsprüfung an.
Die vier Kernpflichten
- Registrierung (§ 33 BSIG): Betroffene Einrichtungen müssen sich innerhalb von drei Monaten registrieren. Weil das Gesetz im Dezember 2025 in Kraft trat, ist diese Frist für die meisten abgelaufen. Das BSI fordert alle, die sich noch nicht registriert haben, auf, das umgehend nachzuholen. Der Weg führt über ein ELSTER-Organisationszertifikat („Mein Unternehmenskonto“) in das BSI-Portal.
- Risikomanagement (§ 30 BSIG): Gefordert sind unter anderem Risikoanalyse, Bewältigung von Sicherheitsvorfällen, Backup und Notfallwiederherstellung, Sicherheit der Lieferkette, Schulungen, Verschlüsselung, Zugriffskontrolle und Multi-Faktor-Authentifizierung.
- Meldepflichten (§ 32 BSIG): Ein erheblicher Sicherheitsvorfall wird gestuft gemeldet: eine frühe Erstmeldung spätestens nach 24 Stunden, eine Meldung mit erster Bewertung spätestens nach 72 Stunden und eine Abschlussmeldung spätestens einen Monat danach.
- Pflichten der Geschäftsleitung (§ 38 BSIG): Die Geschäftsleitung muss die Maßnahmen umsetzen und ihre Umsetzung überwachen. Verletzt sie diese Pflicht schuldhaft, haftet sie gegenüber der Einrichtung nach den Regeln ihrer Rechtsform. Sie muss außerdem regelmäßig an Schulungen teilnehmen.
Bußgelder
Das BSIG sieht Bußgelder bis zu zehn Millionen Euro für besonders wichtige und bis zu sieben Millionen Euro für wichtige Einrichtungen vor (§ 65 BSIG). Bei sehr großen Unternehmen kann stattdessen ein Anteil am weltweiten Umsatz gelten: 2 % beziehungsweise 1,4 %.
Dieser Beitrag ist eine allgemeine Information und keine Rechtsberatung.
Was NIS2 nicht regelt
NIS2 schützt Systeme, nicht Inhalte. Das Gesetz fragt, ob Ihre IT ausfallsicher ist und ob Angreifer draußen bleiben. Es fragt nicht, was ein Dienstleister mit Ihren Daten tun darf, solange er sie sicher verarbeitet.
Das ist eine echte Lücke. Ein Anbieter kann vorbildlich verschlüsseln, zertifizierte Rechenzentren nutzen und trotzdem in seinen Nutzungsbedingungen eine Lizenz an Ihren Inhalten verlangen. Die DSGVO schützt dabei nur, was sich einer Person zuordnen lässt. Nach Erwägungsgrund 26 DSGVO gilt sie für anonyme Informationen nicht. Werden Befunde, Schriftsätze oder Kundendaten anonymisiert, dürfen sie rechtmäßig gebündelt, lizenziert und verkauft werden, etwa an Datenhändler, Versicherer oder KI-Entwickler. Wie aus einem einzelnen Dokument ein solcher Datensatz wird, zeigt Die Datenspur.
Was das bei der Wahl von IT- und KI-Dienstleistern bedeutet
§ 30 BSIG verlangt ausdrücklich Sicherheit in der Lieferkette, auch gegenüber Diensteanbietern. Wer einen KI-Dienst auswählt, sollte deshalb nicht nur die Technik, sondern auch den Vertrag prüfen:
- Rolle: Handelt der Anbieter als Auftragsverarbeiter nach Art. 28 DSGVO, also nur auf Ihre Weisung?
- Lizenz: Nimmt er sich in den Bedingungen Rechte an Ihren Inhalten, auch für „anonymisierte“ oder „aggregierte“ Daten?
- Training und Speicherung: Wird mit Ihren Eingaben trainiert? Speichern die angebundenen Modellanbieter etwas?
- Sicherheit: Verschlüsselung bei Übertragung und Speicherung, Hosting-Region, Zugriffskontrolle, Anmeldung mit zweitem Faktor.
- Nachweise: Liegen technische und organisatorische Maßnahmen schriftlich vor? Mehr dazu unter Technische und organisatorische Maßnahmen.
Wysor ist Auftragsverarbeiter nach Art. 28 DSGVO und verarbeitet Ihre Inhalte nur, um den Dienst für Sie zu erbringen. Wir nehmen uns keine Lizenz zur Weiterverwendung, trainieren nicht mit Ihren Inhalten und verkaufen sie nicht, weder personenbezogen noch anonymisiert. Das steht im Vertrag und bindet auch jeden, dem Wysor künftig gehören könnte. Ihre Daten sind bei der Übertragung und im Ruhezustand verschlüsselt und werden in der EU gehostet. Bei jedem angebundenen KI-Modellanbieter gilt Zero Data Retention: Die Daten werden verarbeitet und danach gelöscht. Sie arbeiten in einem Arbeitsbereich mit mehreren Modellen, darunter GPT, Claude und Gemini.
Häufige Fragen
Ist das NIS2-Umsetzungsgesetz in Kraft? Ja. Das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz wurde am 5. Dezember 2025 verkündet und ist am 6. Dezember 2025 in Kraft getreten. Die Pflichten stehen im neu gefassten BSI-Gesetz.
Gilt NIS2 für Arztpraxen? Nur für große. Das Gesundheitswesen ist ein NIS2-Sektor, die Pflichten greifen aber erst ab 50 Beschäftigten oder ab mehr als zehn Millionen Euro Umsatz und Bilanzsumme. Die meisten Einzelpraxen liegen darunter, größere MVZ und Krankenhäuser oft nicht.
Gilt NIS2 für Anwaltskanzleien? Rechtsberatung ist kein NIS2-Sektor. Kanzleien sind deshalb in der Regel nicht direkt erfasst. Betreuen sie betroffene Unternehmen, können diese aber vertraglich Sicherheitsnachweise verlangen.
Was passiert, wenn man die Registrierung verpasst hat? Die gesetzliche Frist ist für die meisten abgelaufen. Das BSI empfiehlt, die Registrierung im BSI-Portal sofort nachzuholen. Die übrigen Pflichten, etwa zu Risikomanagement und Meldungen, gelten unabhängig davon.
Haftet die Geschäftsführung persönlich? Die Geschäftsleitung muss die Sicherheitsmaßnahmen umsetzen und überwachen. Verletzt sie diese Pflicht schuldhaft, haftet sie gegenüber der eigenen Einrichtung nach den gesellschaftsrechtlichen Regeln (§ 38 BSIG).
Weiterlesen
- Technische und organisatorische Maßnahmen (TOM). Was Art. 32 DSGVO verlangt, mit Checkliste.
- Datenschutz-Folgenabschätzung einfach erklärt. Wann eine DSFA Pflicht ist.
- AVV mit KI-Anbietern. Worauf es im Vertrag ankommt.
- Legal verkäuflich. Die Quellen hinter dem Markt für anonymisierte Daten.
Fragen zu NIS2, AVV oder Datensicherheit in Wysor? Schreiben Sie an [email protected] oder nutzen Sie das Kontaktformular in der App.
