🇩🇪 Dieser Beitrag betrifft Deutschland. In Österreich und der Schweiz gelten andere Gesetze (NISG bzw. ISG/DSG).

Von Frank Becker, Externer ISB / DSB, BPC GmbH
Aktualisiert am 22.08.2026

B3S-NIS2-Mapping für Krankenhäuser

Das BSI-Gesetz vom 2. Dezember 2025 (BGBl. 2025 I Nr. 301, S. 2) ist am 6. Dezember 2025 in Kraft getreten und ersetzt das BSIG 2009. Für Krankenhäuser, die als besonders wichtige oder wichtige Einrichtungen eingestuft werden, gelten damit neue Pflichten — während der Branchenspezifische Sicherheitsstandard „Medizinische Versorgung" (B3S), Gesamtdokument, Version 1.3.1, Stand 2026-01-06, nach seiner eigenen Fortschreibungsregelung bis zu einer Aktualisierung seine Gültigkeit behält. Dieser Artikel zeigt, wo B3S und BSIG deckungsgleich sind, wo Lücken entstehen und was Krankenhäuser jetzt konkret tun müssen.

Betrifft mich das?

Wer ist gebunden?

Das BSIG erfasst nach § 28 Abs. 1 und 2 besonders wichtige Einrichtungen und wichtige Einrichtungen. Für Krankenhäuser ist Anlage 1 Nr. 4.1.1 maßgeblich: Erfasst werden Erbringer von Gesundheitsdienstleistungen im Sinne der Richtlinie 2011/24/EU. Anlage 1 Nr. 4.1.1 knüpft damit an die Richtlinie 2011/24/EU an; ob ein nach § 108 SGB V zugelassenes Krankenhaus dieser Einrichtungsart zuzuordnen ist, bleibt eine Subsumtionsfrage und ist im Einzelfall rechtlich zu prüfen. Für die Größenschwellen gelten unabhängig davon die Werte aus § 28 Abs. 1 und 2 BSIG.

Besonders wichtige Einrichtung nach § 28 Abs. 1 Nr. 4 BSIG ist, wer der Einrichtungsart in Anlage 1 zuzuordnen ist und mindestens 250 Mitarbeiter beschäftigt oder einen Jahresumsatz von über 50 Millionen Euro und zugleich eine Jahresbilanzsumme von über 43 Millionen Euro aufweist.

Wichtige Einrichtung nach § 28 Abs. 2 Nr. 3 BSIG ist, wer der Einrichtungsart in Anlage 1 oder 2 zuzuordnen ist und mindestens 50 Mitarbeiter beschäftigt oder einen Jahresumsatz und eine Jahresbilanzsumme von jeweils über 10 Millionen Euro aufweist — sofern die Einrichtung nicht bereits als besonders wichtige Einrichtung gilt.

Krankenhäuser, die zugleich Betreiber kritischer Anlagen sind, unterliegen zusätzlich den verschärften Pflichten nach § 31 BSIG (Angriffserkennung) und § 39 BSIG (Nachweispflicht).

Wer ist ausgenommen?

§ 28 Abs. 6 BSIG nimmt bestimmte Betreiber von Diensten der Telematikinfrastruktur von den §§ 30, 31, 32, 35, 36, 38 und 39 BSIG aus: die Gesellschaft für Telematik nach § 306 Abs. 1 Satz 3 SGB V sowie Betreiber von Diensten der Telematikinfrastruktur im Hinblick auf nach § 311 Abs. 6 und § 325 SGB V zugelassene Dienste und Betreiber von Diensten, soweit sie die Telematikinfrastruktur für nach § 327 Abs. 2 bis 5 SGB V bestätigte Anwendungen nutzen. Ob und inwieweit ein Krankenhaus, das daneben als Erbringer von Gesundheitsdienstleistungen eingestuft ist, von dieser Ausnahme erfasst wird, ist im Einzelfall zu beurteilen.

Besondere Frist für Krankenhäuser

§ 61 Abs. 3 Satz 5 BSIG sieht vor, dass das Bundesamt gegenüber zugelassenen Krankenhäusern nach § 108 SGB V frühestens fünf Jahre nach Inkrafttreten des Gesetzes die Vorlage von Nachweisen anordnen kann — frühestens also ab dem 6. Dezember 2030. Hinweis: § 61 Abs. 3 Satz 5 verweist im Gesetzestext auf § 56 Abs. 6 als Ermächtigungsgrundlage für einen früheren Zeitpunkt; die inhaltlich einschlägige Verordnungsermächtigung findet sich in § 56 Abs. 5 BSIG, der dem Bundesministerium des Innern im Einvernehmen mit dem Bundesministerium für Gesundheit erlaubt, einen früheren Zeitpunkt festzulegen. Bis zu einer etwaigen Rechtsverordnung gilt die Frist frühestens ab 6. Dezember 2030.

Was ist zu tun?

Pflichten nach BSIG

Risikomanagementmaßnahmen (§ 30 Abs. 1 BSIG): Besonders wichtige Einrichtungen und wichtige Einrichtungen sind verpflichtet, geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen zu ergreifen, um Störungen der Verfügbarkeit, Integrität und Vertraulichkeit ihrer informationstechnischen Systeme, Komponenten und Prozesse zu vermeiden und Auswirkungen von Sicherheitsvorfällen möglichst gering zu halten. Die Einhaltung ist zu dokumentieren.

Mindestinhalt der Maßnahmen (§ 30 Abs. 2 BSIG): Die Maßnahmen sollen den Stand der Technik einhalten und einschlägige europäische und internationale Normen berücksichtigen; sie müssen auf einem gefahrenübergreifenden Ansatz beruhen. Der Mindestinhalt umfasst:

  1. Konzepte zur Risikoanalyse und zur Sicherheit in der Informationstechnik
  2. Bewältigung von Sicherheitsvorfällen
  3. Aufrechterhaltung des Betriebs, Backup-Management und Wiederherstellung nach einem Notfall sowie Krisenmanagement
  4. Sicherheit der Lieferkette einschließlich sicherheitsbezogener Aspekte der Beziehungen zu unmittelbaren Anbietern oder Diensteanbietern
  5. Sicherheitsmaßnahmen bei Erwerb, Entwicklung und Wartung von informationstechnischen Systemen, Komponenten und Prozessen, einschließlich Management und Offenlegung von Schwachstellen
  6. Konzepte und Verfahren zur Bewertung der Wirksamkeit von Risikomanagementmaßnahmen
  7. Grundlegende Schulungen und Sensibilisierungsmaßnahmen
  8. Konzepte und Prozesse für den Einsatz von kryptographischen Verfahren
  9. Konzepte für die Sicherheit des Personals, die Zugriffskontrolle und die Verwaltung von IKT-Systemen, -Produkten und -Prozessen
  10. Verwendung von Lösungen zur Multi-Faktor-Authentifizierung oder kontinuierlichen Authentifizierung, gesicherte Sprach-, Video- und Textkommunikation sowie gegebenenfalls gesicherte Notfallkommunikationssysteme

Diese zehn Pflichtbereiche im Einzelnen und ihre Umsetzung im Klinikalltag behandelt § 30 BSIG: Die 10 NIS2-Maßnahmen für Krankenhäuser.

Meldepflicht (§ 32 Abs. 1 BSIG): Besonders wichtige Einrichtungen und wichtige Einrichtungen müssen erhebliche Sicherheitsvorfälle an die gemeinsame Meldestelle melden: Erstmeldung unverzüglich, spätestens 24 Stunden nach Kenntniserlangung; Meldung über den Sicherheitsvorfall unverzüglich, spätestens 72 Stunden nach Kenntniserlangung; Abschlussmeldung spätestens einen Monat nach der 72-Stunden-Meldung.

Registrierung (§ 33 Abs. 1 BSIG): Besonders wichtige Einrichtungen und wichtige Einrichtungen müssen sich beim Bundesamt registrieren und Name, Anschrift, Kontaktdaten, Sektor/Branche, EU-Mitgliedstaaten der Dienstleistungserbringung sowie zuständige Aufsichtsbehörden übermitteln — spätestens drei Monate nach erstmaligem oder erneutem Gelten als solche Einrichtung.

Geschäftsleitungspflichten (§ 38 Abs. 1 und 3 BSIG): Geschäftsleitungen besonders wichtiger Einrichtungen und wichtiger Einrichtungen sind verpflichtet, die Risikomanagementmaßnahmen nach § 30 umzusetzen und deren Umsetzung zu überwachen. Sie müssen zudem regelmäßig an Schulungen teilnehmen, um ausreichende Kenntnisse zur Erkennung und Bewertung von Risiken und Risikomanagementpraktiken im Bereich der Informationssicherheit zu erlangen.

Angriffserkennung (§ 31 Abs. 2 BSIG): Betreiber kritischer Anlagen sind verpflichtet, Systeme zur Angriffserkennung einzusetzen, die geeignete Parameter und Merkmale aus dem laufenden Betrieb kontinuierlich und automatisch erfassen und auswerten; diese Systeme sollen fortwährend Bedrohungen identifizieren und vermeiden sowie Beseitigungsmaßnahmen vorsehen und müssen den Stand der Technik einhalten.

Nachweispflicht für Betreiber kritischer Anlagen (§ 39 Abs. 1 BSIG): Betreiber kritischer Anlagen haben die Umsetzung der Maßnahmen nach § 30 Abs. 1 Satz 1 i.V.m. § 31 Abs. 1 und 2 Satz 1 BSIG frühestens drei Jahre nach erstmaligem oder erneutem Gelten als Betreiber einer kritischen Anlage und anschließend alle drei Jahre durch Sicherheitsaudits, Prüfungen oder Zertifizierungen nachzuweisen und die Ergebnisse einschließlich festgestellter Sicherheitsmängel an das Bundesamt zu übermitteln.

Branchenspezifische Sicherheitsstandards (§ 30 Abs. 8 BSIG): Besonders wichtige Einrichtungen und ihre Branchenverbände können branchenspezifische Sicherheitsstandards vorschlagen; das Bundesamt stellt auf Antrag die Eignung fest und veröffentlicht diese. Im Sektor Gesundheitswesen ist, soweit keine zuständige Aufsichtsbehörde des Bundes besteht, das Benehmen mit dem Bundesministerium für Gesundheit herzustellen.

B3S v1.3.1 und BSIG im Vergleich

Was der B3S leistet

Der B3S v1.3.1 ist auf der Website der Deutschen Krankenhausgesellschaft veröffentlicht und behält nach seiner eigenen Fortschreibungsregelung bis zu einer Aktualisierung seine Gültigkeit. Das BSI stellt die Eignung eines B3S für drei Jahre fest; danach ist er für eine fortbestehende Aussage über seine Eignung erneut vorzulegen. Die geltende Eignungsfeststellung datiert vom 3. November 2025 und ist auf drei Jahre befristet.

Der B3S definiert als branchenspezifische KRITIS-Schutzziele für die kritische Dienstleistung (kDL) der stationären medizinischen Versorgung Behandlungseffektivität und Patientensicherheit. Ergänzend gelten die klassischen IT-Schutzziele Verfügbarkeit, Integrität, Authentizität und Vertraulichkeit.

Der B3S legt drei Verbindlichkeitsstufen fest: - MUSS: Einhaltung zwingend für die Umsetzung des B3S. - SOLL: Grundsätzlich erforderlich; Abweichung nur bei fehlender Sicherheitsgefährdung oder wesentlichen Gründen, nachvollziehbar zu begründen. - KANN: Empfohlen, nicht zwingend; Nicht-Umsetzung empfiehlt sich zu begründen.

Systemlandschaft: B3S-Kategorien und BSIG-Anforderungen

Der B3S strukturiert die kDL-relevante Systemlandschaft in drei Kategorien:

Informationstechnik (IT 1–IT 16): Von Arbeitsplatzsystemen (IT 1) über Serversysteme (IT 2), Storagesysteme (IT 3), IP-Datennetzwerke (IT 4), Softwaresysteme (IT 5), Security-Komponenten wie Firewall, DMZ, VPN und Malware-Schutz (IT 8), Rechenzentrumsbetrieb (IT 9) bis hin zu USV-Betrieb (IT 11), Fernwartungsbetrieb (IT 12) und Netzbereitstellung für Medizintechnik (IT 16).

Kommunikationstechnik (KT 1–KT 4): Rufsysteme und Diensttelefonie (KT 1), Mobiltelefonie (KT 2), Fax-Betrieb (KT 3) und Wechselsprechtechnik (KT 4).

Medizintechnik (MED 1–MED 6): Patientendatenmanagementsysteme (MED 1), Informationsverarbeitung diagnostischer und therapeutischer Daten (MED 2), telemedizinische Systeme (MED 3), patientengebundene Alarmierungssysteme (MED 4), Steuerung der Instandhaltung medizintechnischer Anlagen (MED 5) und Instandhaltung von Einzelgeräten (MED 6).

Der B3S klassifiziert Systeme nach Kritikalität in drei Klassen: Klasse 1 (Ausfall nur kurzzeitig kompensierbar), Klasse 2 (mittelfristig kompensierbar) und Klasse 3 (längerfristig kompensierbar). Die Zuordnung der Systeme zu den Klassen obliegt dem Betreiber.

Als kritische branchenspezifische Anwendungssysteme (KBA) benennt der B3S mindestens: KIS (KBA 1), LIS (KBA 2), RIS (KBA 3), PACS (KBA 4), Dokumenten-Management-System (KBA 5), OP-Planungssystem (KBA 6), Transportlogistik (KBA 7), Register (KBA 8), Qualitätssicherung (KBA 9) und spezialisierte klinische Anwendungen (KBA 10).

Mapping: Wo B3S und BSIG übereinstimmen

BSIG § 30 Abs. 2 B3S v1.3.1
Nr. 1: Risikoanalyse und IS-Konzepte 7-stufiger Risikomanagementprozess (Kap. 5.1), ANF-0187 (MUSS)
Nr. 2: Bewältigung von Sicherheitsvorfällen ANF-0031: Meldeverfahren mit Aufgabenzuweisung (MUSS)
Nr. 3: Betriebsaufrechterhaltung, Backup, Krisenmanagement Kritikalitätsklassen 1–3 (Kap. 5.3)
Nr. 7: Schulungen und Sensibilisierung ANF-0001: Geschäftsleitung initiiert IS-Prozess (MUSS)
Nr. 9: Personalsicherheit, Zugriffskontrolle Schutzziel AUTHENTIZITÄT; ANF-0002.1 (MUSS)

Mapping: Wo der B3S Lücken gegenüber dem BSIG aufweist

Nr. 4 — Lieferkettensicherheit: § 30 Abs. 2 Nr. 4 BSIG verlangt von besonders wichtigen und wichtigen Einrichtungen explizit ein Konzept zur Sicherheit der Lieferkette einschließlich sicherheitsbezogener Aspekte der Beziehungen zu unmittelbaren Anbietern. Der B3S benennt Abhängigkeiten von Dienstleistern und Herstellern als Bedrohungsszenario BED 2; die belegte Faktenlage des B3S weist keinen eigenständigen, strukturierten Lieferkettenprozess im Sinne des § 30 Abs. 2 Nr. 4 BSIG als MUSS-Anforderung aus. Aus Beratungssicht empfehlen wir, diesen Prozess eigenständig zu dokumentieren.

Nr. 6 — Wirksamkeitsbewertung: § 30 Abs. 2 Nr. 6 BSIG verlangt Konzepte und Verfahren zur Bewertung der Wirksamkeit von Risikomanagementmaßnahmen. Die belegte Faktenlage des B3S weist keinen formalen Wirksamkeitsbewertungsprozess als eigenständige MUSS-Anforderung aus.

Nr. 8 — Kryptographie: § 30 Abs. 2 Nr. 8 BSIG verlangt Konzepte und Prozesse für den Einsatz kryptographischer Verfahren. Die belegte Faktenlage des B3S weist keinen separaten Kryptographie-Prozess als MUSS-Anforderung aus.

Nr. 10 — Multi-Faktor-Authentifizierung: § 30 Abs. 2 Nr. 10 BSIG verlangt von besonders wichtigen und wichtigen Einrichtungen die Verwendung von Lösungen zur Multi-Faktor-Authentifizierung oder kontinuierlichen Authentifizierung. Die belegte Faktenlage des B3S weist keine explizite MUSS-Anforderung zur MFA aus.

Bedrohungs- und Gefährdungslandschaft: B3S als Analysebasis

Der B3S strukturiert die Bedrohungslandschaft in allgemeine Bedrohungsszenarien (BED 1–6, darunter Höhere Gewalt, Dienstleisterabhängigkeiten, Ausfall von Basisinfrastrukturen, Manipulation und Terrorakte), IT-spezifische Bedrohungsszenarien (BED 7–14, darunter Hacking, Ransomware, Innentäter, DDoS, Social Engineering, Phishing und APT) sowie Schwachstellenszenarien (SWS 1–7, darunter organisatorische Mängel, technische Schwachstellen, menschliche Fehlhandlungen und Verkopplung von Diensten).

Branchenspezifisch definiert der B3S 19 Gefährdungen (GEF 1–19), die von der Nichtverfügbarkeit medizinisch relevanter Daten in Diagnose-, Therapie-, Pflege- und Entlassungsprozessen (GEF 1–4) über Inkonsistenzen und Manipulationen in Datenbeständen (GEF 8–13) bis zur Fremdsteuerung von Medizingeräten und Infrastrukturkomponenten (GEF 17–19) reichen. Diese Gefährdungsstruktur ist aus Beratungssicht als Ausgangspunkt für die nach § 30 Abs. 2 Nr. 1 BSIG geforderte Risikoanalyse geeignet, da sie die gefahrenübergreifende Perspektive des BSIG auf den klinischen Kontext überträgt.

Referenzierte Normen und Standards

Der B3S v1.3.1 referenziert als Normen und Standards unter anderem DIN ISO/IEC 27001 (ISO/IEC 27001:2022), DIN ISO/IEC 27002 (ISO/IEC 27002:2022), DIN EN ISO 27799:2016-12 (Informationssicherheitsmanagement im Gesundheitswesen), ISO 22301 (Betriebliches Kontinuitätsmanagement) und DIN EN 80001-1:2023 (Risikomanagement für IT-Netzwerke mit Medizinprodukten). Ob diese Normen im B3S normativ oder informativ eingebunden sind, ist aus der belegten Faktenlage nicht abschließend ableitbar.

Hinweis zur Rechtsgrundlage im B3S

Der B3S v1.3.1 zitiert in Kapitel 2.4.1 und 2.4.2 noch § 8b Abs. 3 und 4 des BSIG 2009 (a.F.) als Rechtsgrundlage für Kontaktstellen- und Meldepflichten. Im BSIG sind diese Pflichten in § 33 (Registrierung) und § 32 (Meldung) geregelt. Für Melde- und Registrierungspflichten ist damit das BSIG die massgebliche Fundstelle, nicht die im B3S zitierte Vorgängervorschrift.

Checkliste: B3S-NIS2-Mapping für Krankenhäuser

Einstufung und Registrierung - [ ] Prüfen, ob die Einrichtung als besonders wichtige Einrichtung (§ 28 Abs. 1 Nr. 4 BSIG) oder wichtige Einrichtung (§ 28 Abs. 2 Nr. 3 BSIG) einzustufen ist — Größenschwellen und Anlage 1 Nr. 4.1.1 prüfen. - [ ] Registrierung beim Bundesamt vornehmen (§ 33 Abs. 1 BSIG): spätestens drei Monate nach erstmaligem oder erneutem Gelten als solche Einrichtung. - [ ] Prüfen, ob die Einrichtung zugleich Betreiber einer kritischen Anlage ist (verschärfte Pflichten nach §§ 31, 39 BSIG).

Risikomanagement und Dokumentation - [ ] Risikoanalyse auf Basis des B3S-Risikomanagementprozesses (Kap. 5.1, ANF-0187) durchführen und dokumentieren (§ 30 Abs. 1 und 2 Nr. 1 BSIG). - [ ] Systemlandschaft nach B3S-Kategorien (IT, KT, MED) und Kritikalitätsklassen (1–3) erfassen und Risikoobjekte sowie Risikoeigentümer benennen. - [ ] Kritische branchenspezifische Anwendungssysteme (KBA 1–10) identifizieren und in die Risikobetrachtung einbeziehen. - [ ] Lieferkettensicherheit als eigenständiges Konzept dokumentieren (§ 30 Abs. 2 Nr. 4 BSIG) — die belegte Faktenlage des B3S weist hierfür keine MUSS-Anforderung aus. - [ ] Wirksamkeitsbewertungsprozess für Risikomanagementmaßnahmen einrichten (§ 30 Abs. 2 Nr. 6 BSIG). - [ ] Kryptographiekonzept erstellen (§ 30 Abs. 2 Nr. 8 BSIG).

Technische Maßnahmen - [ ] Multi-Faktor-Authentifizierung oder kontinuierliche Authentifizierung einführen (§ 30 Abs. 2 Nr. 10 BSIG). Zuerst für KBA-Systeme und privilegierte Zugänge. - [ ] Backup-Management und Wiederherstellungsverfahren sicherstellen (§ 30 Abs. 2 Nr. 3 BSIG). Wiederherstellungsverfahren dokumentieren und regelmäßig testen. - [ ] Für Betreiber kritischer Anlagen: Systeme zur Angriffserkennung einsetzen, die kontinuierlich und automatisch Parameter erfassen und auswerten (§ 31 Abs. 2 BSIG).

Governance und Schulung - [ ] Geschäftsleitung übernimmt Verantwortung für Umsetzung und Überwachung der Risikomanagementmaßnahmen (§ 38 Abs. 1 BSIG; B3S ANF-0001, ANF-0002.1). - [ ] Informationssicherheitsleitlinie definieren, genehmigen und veröffentlichen (B3S ANF-0008). - [ ] Regelmäßige Schulungen der Geschäftsleitung zur Erkennung und Bewertung von Risiken sicherstellen (§ 38 Abs. 3 BSIG). - [ ] Schulungs- und Sensibilisierungsmaßnahmen für Mitarbeitende einrichten (§ 30 Abs. 2 Nr. 7 BSIG).

Meldeprozesse - [ ] Meldeverfahren für erhebliche Sicherheitsvorfälle einrichten: Erstmeldung ≤ 24 Stunden, Meldung ≤ 72 Stunden, Abschlussmeldung ≤ 1 Monat (§ 32 Abs. 1 BSIG; B3S ANF-0031). - [ ] Aufgaben und Prozesse für das Meldeverfahren zuweisen (B3S ANF-0031 MUSS).

Nachweisfristen - [ ] Für zugelassene Krankenhäuser nach § 108 SGB V: Nachweispflicht frühestens ab 6. Dezember 2030 (§ 61 Abs. 3 Satz 5 BSIG) — Hinweis: § 61 Abs. 3 Satz 5 verweist im Gesetzestext auf § 56 Abs. 6; die inhaltlich einschlägige Verordnungsermächtigung für einen früheren Zeitpunkt findet sich in § 56 Abs. 5 BSIG. - [ ] Für Betreiber kritischer Anlagen: Nachweispflicht frühestens drei Jahre nach erstmaligem Gelten, danach alle drei Jahre (§ 39 Abs. 1 BSIG).

Quellen

Dieser Artikel stellt keine Rechtsberatung dar. Für rechtliche Beratung wenden Sie sich an einen Anwalt.

Kostenlose NIS2-Bestandsaufnahme starten →
Weitere Artikel im Wissensbereich Aktuelle Sicherheitswarnungen für das Gesundheitswesen