Die zehn Massnahmenbereiche aus § 30 BSIG — nachweisbar umgesetzt
Das NIS2-Umsetzungsgesetz ist seit Dezember 2025 in Kraft. Die politische Phase ist vorbei, die operative Frage bleibt: Wie belegen Sie im Klinikbetrieb, dass jeder der zehn Bereiche adressiert ist?
30 Tage kostenlos · alle Timer und Vorlagen enthalten
Rechtslage
Wer muss § 30 BSIG erfüllen?
Die Einstufung entscheidet über die Tiefe der Pflichten — und über die Frage, ob ein Nachweis gegenüber dem BSI fällig wird.
| Einrichtungstyp | Einstufung nach BSIG | Pflichtentiefe |
|---|---|---|
| Krankenhaus ab 30.000 vollstationären Fällen im Jahr (KRITIS) | Besonders wichtige Einrichtung, § 28 Abs. 1 Nr. 1 BSIG | § 30, § 31 und § 39 BSIG, dazu B3S und BSI-Nachweis alle zwei Jahre. § 391 Abs. 1 SGB V tritt insoweit zurück (§ 391 Abs. 5 SGB V). |
| Krankenhaus mit 50–249 Mitarbeitenden oder ab 10 Mio. € Umsatz | Wichtige Einrichtung | § 30 BSIG, anlassbezogene Aufsicht — und § 391 Abs. 1 SGB V in vollem Umfang |
| Reha-Klinik ab 50 Mitarbeitenden | Wichtige Einrichtung | § 30 BSIG, anlassbezogene Aufsicht |
| Klinik unter 50 Mitarbeitenden und unter 10 Mio. € Umsatz | Nicht von NIS2 erfasst | § 391 Abs. 1 SGB V gilt trotzdem — als Pflicht, nicht als Empfehlung |
Die 30.000er-Schwelle ist das Kriterium für den Betreiberstatus einer kritischen Anlage, nicht für die NIS2-Kategorie: Ein Haus mit 250 oder mehr Mitarbeitenden ist auch ohne kritische Anlage besonders wichtige Einrichtung. Und kein Krankenhaus ist von der IT-Sicherheitspflicht frei. Die Abgrenzung im Detail: § 391 SGB V vs. NIS2.
Abdeckung
Die zehn Bereiche aus § 30 Abs. 2 BSIG im System
Jeder Bereich ist als Control hinterlegt, mit Verantwortlichem, Nachweisdokument und Statusampel. Was fehlt, steht in der Gap-Analyse.
| Bereich nach § 30 Abs. 2 BSIG | Abbildung in ISMShield |
|---|---|
| 1. Risikoanalyse und Sicherheit für Informationssysteme | Risikoregister mit Scoring-Matrix, Branchenkatalog mit 62 Healthcare-Risiken, Behandlungsplan nach ISO 6.1.3 |
| 2. Bewältigung von Sicherheitsvorfällen | Incident-Modul mit automatischen Meldefristen-Timern und vorausgefülltem BSI-Meldeentwurf |
| 3. Aufrechterhaltung des Betriebs — BCM, Backup, Krisenmanagement | Vollständiges BCM-Modul nach BSI 200-4: BIA, RTO/RPO, Notfallpläne, Übungen — siehe BCM Krankenhaus |
| 4. Sicherheit der Lieferkette | Lieferanten-Compliance-Fragebogen, Drittanbieter-Risiken im Register verknüpft |
| 5. Sicherheit bei Erwerb, Entwicklung und Wartung | Asset-Lebenszyklus mit Patch- und EOL-Überwachung, Wartungsnachweise je Gerät |
| 6. Bewertung der Wirksamkeit | Auditmanagement nach ISO 9.2, NC/CAPA nach 10.1, Reifegradmessung 0–5 je Kapitel |
| 7. Cyberhygiene und Schulungen | Schulungsnachweise je Mitarbeitendem mit Ablaufüberwachung über alle Bereiche |
| 8. Kryptografie und Verschlüsselung | Als Control mit Richtlinienverknüpfung und Nachweisdokument geführt |
| 9. Personalsicherheit, Zugriffskontrolle, Asset-Management | Rollen- und Rechtekonzept, vollständiges Asset-Inventar über IT, MT, HT |
| 10. Multi-Faktor-Authentifizierung und Notfallkommunikation | 2FA/TOTP im Produkt selbst, Kommunikationsbäume im BCM-Modul |
Alleinstellung
Ein Vorfall, mehrere Meldepflichten — alle Timer laufen parallel
NIS2 · 24 / 72 h / 1 Monat
Startet automatisch bei Anlage des Vorfalls. BSI-Meldeentwurf vorausgefüllt, Statusverfolgung bis zum Abschlussbericht.
KRITIS · § 8b BSIG
Sofortmeldung an das BSI, mit dem Vorfall verknüpft und als Nachweis abgelegt.
DSGVO · 72 h
Automatische Verbindung zur Datenpannen-Meldestelle, sobald personenbezogene Daten betroffen sind.
BACS · 24 h nach ISG
Für Schweizer Standorte. Läuft getrennt von der deutschen Frist und wird getrennt dokumentiert.
Medizinprodukte · 15 Tage
Vorkommnismeldung an BfArM in Deutschland, BASG in Österreich, Swissmedic in der Schweiz — nach MPSV und MDR.
EU AI Act · 15 / 10 / 2 Tage
Je nach Schwere. Hochrisiko-Anwendungen im Gesundheitswesen werden automatisch als solche erkannt.
Ablauf
Eine belastbare 12-Wochen-Struktur
- Betroffenheit und Registrierung klärenEinstufung nach BSIG feststellen, Registrierungsstatus beim BSI prüfen, Geltungsbereich des ISMS festlegen.Woche 1–2
- Gap-Analyse über die zehn BereicheDer Fünf-Dimensionen-Score zeigt je Bereich den Stand und verlinkt direkt in das offene Modul.Woche 3–4
- Quick Wins und BehandlungsplanMassnahmen priorisieren, Verantwortliche und Termine setzen, Behandlungsplan zur Freigabe an die Geschäftsleitung — per E-Mail, ohne Login für die Freigebenden.Woche 5–8
- Nachweise und BerichtDokumente aus 20 Vorlagen erzeugen, Schulungen nachweisen, Reifegrad-Report und Geschäftsführungs-Bericht als PDF.Woche 9–12
Zum Weiterlesen aus dem ISMShield-Monitor
Fachbeiträge unserer Redaktion zur NIS2-Umsetzung im Klinikbetrieb:
Einwände
Häufige Fragen zur NIS2-Umsetzung
Sind wir überhaupt von NIS2 betroffen?
Im Sektor Gesundheitswesen fallen praktisch alle Krankenhäuser unter das BSIG, sobald sie mindestens 50 Mitarbeitende beschäftigen oder einen Jahresumsatz beziehungsweise eine Bilanzsumme über 10 Mio. € aufweisen. Ab 250 Mitarbeitenden ist ein Haus besonders wichtige Einrichtung, unabhängig vom KRITIS-Status. Häuser ab 30.000 vollstationären Fällen im Jahr gelten zusätzlich als Betreiber einer kritischen Anlage.
Wichtig: auch ein Haus unterhalb aller NIS2-Schwellen ist nicht frei — § 391 Abs. 1 SGB V gilt trotzdem, als Pflicht und nicht als Empfehlung.
Was ist mit der Registrierungsfrist beim BSI?
Das NIS2-Umsetzungsgesetz ist seit dem 6. Dezember 2025 in Kraft, die Registrierungsfrist für betroffene Einrichtungen lief am 6. März 2026 ab. Wenn Sie sich bisher nicht registriert haben, ist das kein Grund, es zu lassen — die Pflicht besteht fort. Prüfen Sie den aktuellen Verfahrensstand auf den Seiten des BSI.
Haftet die Geschäftsführung wirklich persönlich?
Das BSIG nimmt die Geschäftsleitung ausdrücklich in die Pflicht: sie muss die Risikomanagementmassnahmen billigen und ihre Umsetzung überwachen, und sie ist zur Teilnahme an Schulungen verpflichtet. Gehaftet wird nach dem für die Rechtsform massgeblichen Gesellschaftsrecht. Das ist der Grund, warum der Geschäftsführungs-Report in ISMShield ein eigenes Modul ist und nicht eine Exportfunktion.
Wie helfen die Meldefristen-Timer konkret?
NIS2 verlangt eine gestufte Meldung: Erstmeldung binnen 24 Stunden, Folgemeldung binnen 72 Stunden, Abschlussbericht binnen eines Monats. Sobald Sie einen Vorfall anlegen, starten diese Timer automatisch und der BSI-Meldeentwurf ist vorausgefüllt. Ein Vorfall kann parallel weitere Pflichten auslösen — DSGVO-Datenpanne, KRITIS-Meldung, bei Schweizer Standorten die 24-Stunden-Meldung an das BACS. Alle Timer laufen dann gleichzeitig und getrennt.
Reicht eine NIS2-Software allein für die Compliance?
Nein, und niemand sollte Ihnen das versprechen. Software erzeugt Struktur, Nachweise und Fristenkontrolle. Die Massnahmen selbst — Netzsegmentierung, Backup-Konzept, Schulungen, Lieferantenprüfung — müssen Menschen umsetzen. Was ISMShield abnimmt, ist die Dokumentations- und Nachweisarbeit, die erfahrungsgemäss den grösseren Teil des Aufwands ausmacht.
Was kostet das im Vergleich zu externer Beratung?
Ein externer ISB kostet 1 200 bis 2 000 € pro Tag. Professional liegt bei 890 CHF/EUR im Monat, also etwa dem Gegenwert von fünf bis neun Beratertagen im Jahr. Die ehrliche Einordnung: die Software ersetzt keinen ISB, sie macht seine Zeit wirksamer. Wer beides braucht, findet ISMShield Professional im NIS2 Guidance Paket von BPC ohne zusätzliche Lizenzkosten enthalten.
Bereit, es selbst zu sehen?
30 Tage kostenlos, mit Ihren echten Daten, ohne Kreditkarte. Wenn es nicht passt, exportieren Sie alles und sind wieder raus.