🇩🇪 Dieser Beitrag betrifft Deutschland. In Österreich und der Schweiz gelten andere Gesetze (NISG 2024 bzw. ISG/nDSG).

Von Frank Becker, Externer ISB / DSB, BPC GmbH
Aktualisiert am 09.08.2026

Brandschutz Krankenhaus NIS2: Was das BSIG verlangt

Wenn Sicherheitsverantwortliche in Krankenhäusern von «Brandschutz» im Kontext von NIS2 sprechen, meinen sie meist dasselbe, was das BSI-Gesetz als Kern seiner Anforderungen formuliert: die Fähigkeit, Störungen zu verhindern, einzudämmen und den Betrieb wiederherzustellen — nicht nur bei Feuer, sondern bei jedem Sicherheitsvorfall, der die Verfügbarkeit, Integrität oder Vertraulichkeit informationstechnischer Systeme bedroht. Das BSI-Gesetz (BSIG) in der Fassung vom 2. Dezember 2025, in Kraft seit dem 6. Dezember 2025, ist die massgebliche Rechtsgrundlage für Krankenhäuser in Deutschland. Dieser Artikel klärt, wen das Gesetz bindet, welche Pflichten daraus folgen und woran man erkennt, dass sie erfüllt sind.

Betrifft mich das?

Wer gebunden ist

Das BSIG unterscheidet zwei Kategorien: besonders wichtige Einrichtungen (§ 28 Abs. 1) und wichtige Einrichtungen (§ 28 Abs. 2). Für Krankenhäuser sind folgende Kriterien entscheidend:

Besonders wichtige Einrichtung nach § 28 Abs. 1 Nr. 4 BSIG ist ein Krankenhaus, das als Erbringer von Gesundheitsdienstleistungen im Sinne der Richtlinie 2011/24/EU (Anlage 1 Nr. 4.1.1 BSIG) einzuordnen ist und entweder mindestens 250 Mitarbeitende beschäftigt oder einen Jahresumsatz von über 50 Mio. EUR und zugleich eine Jahresbilanzsumme von über 43 Mio. EUR aufweist.

Wichtige Einrichtung nach § 28 Abs. 2 Nr. 3 BSIG ist ein Krankenhaus, das derselben Einrichtungsart zuzuordnen ist, aber die Schwelle für besonders wichtige Einrichtungen nicht erreicht — vorausgesetzt, es beschäftigt mindestens 50 Mitarbeitende oder weist einen Jahresumsatz und eine Jahresbilanzsumme von jeweils über 10 Mio. EUR auf.

Zusätzlich nennt § 61 Abs. 3 Satz 5 BSIG zugelassene Krankenhäuser nach § 108 SGB V ausdrücklich: Das BSI kann gegenüber diesen Häusern die Vorlage von Nachweisen über die Erfüllung ihrer Verpflichtungen frühestens fünf Jahre nach Inkrafttreten des Gesetzes anordnen — also frühestens ab dem 6. Dezember 2030 —, es sei denn, eine Rechtsverordnung nach § 56 Abs. 6 BSIG bestimmt einen früheren Zeitpunkt. Eine solche Verordnung liegt nach aktuellem Stand nicht vor.

Die verlängerte Nachweisfrist ändert nichts daran, dass die materiellen Pflichten — insbesondere das Risikomanagement nach § 30 BSIG — ab Inkrafttreten des Gesetzes gelten. Die Frist betrifft ausschliesslich den Zeitpunkt, ab dem das BSI Nachweise anordnen darf.

Wer nicht gebunden ist

Einrichtungen der Bundesverwaltung sind von §§ 38, 40 Abs. 3, 61 und 65 BSIG ausgenommen (§ 29 BSIG). § 28 Abs. 5 BSIG nimmt zwei Gruppen von den §§ 30, 31, 32, 35, 36, 38, 39, 61 und 62 BSIG aus, und zwar getrennt: Nummer 1 erfasst Einrichtungen, die ein öffentliches Telekommunikationsnetz betreiben oder öffentlich zugängliche Telekommunikationsdienste erbringen; Nummer 2 erfasst Einrichtungen, die Energieversorgungsnetze, Energieanlagen oder digitale Energiedienste nach dem Energiewirtschaftsgesetz betreiben und den §§ 5c bis 5e EnWG unterliegen. Die Anbindung an das EnWG gehört nur zu Nummer 2.

Nach Satz 2 entfällt die Ausnahme wieder, soweit die Einrichtung über die genannten Anlagen hinaus weitere kritische Anlagen nach § 2 Nr. 22 BSIG betreibt oder aufgrund weiterer Tätigkeiten einer Einrichtungsart nach Anlage 1 oder 2 zuzuordnen ist. Für ein Krankenhaus, das primär Gesundheitsdienstleistungen erbringt, greift diese Ausnahme nicht.

§ 28 Abs. 6 Nr. 2 BSIG nimmt von den §§ 30, 31, 32, 35, 36, 38 und 39 BSIG die Gesellschaft für Telematik nach § 306 Abs. 1 Satz 3 SGB V aus, ferner Betreiber von Diensten der Telematikinfrastruktur im Hinblick auf die nach § 311 Abs. 6 und § 325 SGB V zugelassenen Dienste sowie Betreiber von Diensten, soweit sie die Telematikinfrastruktur für nach § 327 Abs. 2 bis 5 SGB V bestätigte Anwendungen nutzen. Die Ausnahme gilt jeweils nur im Hinblick auf diese Dienste, nicht für das Krankenhaus als Gesamteinrichtung.

Für Krankenhäuser in der Schweiz gilt das BSIG nicht. Was für Schweizer Spitäler gilt, erläutert der Artikel NIS2 Schweiz Spitäler: Was gilt – und was nicht.

Was ist zu tun?

1. Registrierung beim BSI (§ 33 Abs. 1 BSIG)

Besonders wichtige Einrichtungen und wichtige Einrichtungen sind verpflichtet, sich beim BSI zu registrieren — spätestens drei Monate, nachdem sie erstmals oder erneut als eine der vorgenannten Einrichtungen gelten. Zu übermitteln sind: Name, Anschrift, Kontaktdaten, Sektor und Branche, EU-Mitgliedstaaten der Diensterbringung sowie die zuständigen Aufsichtsbehörden. Änderungen dieser Angaben sind nach § 33 Abs. 5 BSIG unverzüglich, spätestens binnen zwei Wochen ab Kenntnis der Änderung, mitzuteilen.

2. Risikomanagementmaßnahmen umsetzen (§ 30 BSIG)

§ 30 Abs. 1 BSIG verpflichtet besonders wichtige Einrichtungen und wichtige Einrichtungen, geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen zu ergreifen, um Störungen der Verfügbarkeit, Integrität und Vertraulichkeit ihrer IT-Systeme, Komponenten und Prozesse zu vermeiden und Auswirkungen von Sicherheitsvorfällen möglichst gering zu halten. Die Einhaltung ist zu dokumentieren.

§ 30 Abs. 2 BSIG nennt den Mindestinhalt dieser Maßnahmen. Für Krankenhäuser sind insbesondere folgende Punkte unmittelbar relevant:

  • Risikoanalyse und IT-Sicherheitskonzepte (Nr. 1): Strukturierte Bewertung der Bedrohungslage für alle kritischen IT-Systeme — von der Patientendatenverwaltung bis zur Gebäudeleittechnik.
  • Bewältigung von Sicherheitsvorfällen (Nr. 2): Dokumentierte Incident-Response-Prozesse, die auch physische Ereignisse wie Stromausfall oder Brandschäden an Serverräumen abdecken.
  • Aufrechterhaltung des Betriebs, Backup-Management und Krisenmanagement (Nr. 3): Backup-Konzepte mit getesteten Wiederherstellungsverfahren; Notfallpläne, die den klinischen Betrieb auch bei vollständigem IT-Ausfall aufrechterhalten.
  • Sicherheit der Lieferkette (Nr. 4): Vertragliche und technische Anforderungen an Dienstleister, die Zugang zu IT-Systemen des Krankenhauses haben — von Wartungsdienstleistern bis zu Cloud-Anbietern.
  • Sicherheit bei Erwerb, Entwicklung und Wartung von IT-Systemen (Nr. 5): Schwachstellenmanagement für Medizingeräte mit Netzwerkanschluss und klinische Informationssysteme.
  • Wirksamkeitsbewertung (Nr. 6): Regelmäßige Überprüfung, ob die getroffenen Maßnahmen tatsächlich wirken.
  • Schulungen und Sensibilisierung (Nr. 7): Nachweisbare Schulungsprogramme für alle Mitarbeitenden mit IT-Zugang.
  • Kryptographische Verfahren (Nr. 8): Konzepte für Verschlüsselung im Ruhezustand und bei der Übertragung.
  • Personalsicherheit, Zugriffskontrolle und IKT-Verwaltung (Nr. 9): Rollenbasierte Zugriffskonzepte, Onboarding- und Offboarding-Prozesse.
  • Multi-Faktor-Authentifizierung und gesicherte Kommunikation (Nr. 10): Verwendung von Lösungen zur Multi-Faktor-Authentifizierung oder kontinuierlichen Authentifizierung, gesicherte Sprach-, Video- und Textkommunikation sowie gegebenenfalls gesicherte Notfallkommunikationssysteme innerhalb der Einrichtung. Der Wortlaut beschränkt die Authentifizierung nicht auf privilegierte Zugänge.

Eine praxisnahe Vorlage für die Umsetzung dieser Anforderungen bietet der Artikel NIS2 Risikomanagement Krankenhaus Vorlage.

3. Branchenspezifische Sicherheitsstandards nutzen (§ 30 Abs. 8 BSIG)

Im Sektor Gesundheitswesen können besonders wichtige Einrichtungen und ihre Branchenverbände dem BSI branchenspezifische Sicherheitsstandards vorschlagen. Das BSI stellt auf Antrag fest, ob diese Standards branchenspezifisch und geeignet sind, und veröffentlicht sie auf seiner Internetseite. Die Feststellung erfolgt nach § 30 Abs. 8 Satz 4 BSIG in doppeltem Einvernehmen: mit dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe (Nr. 1) und mit der zuständigen Aufsichtsbehörde des Bundes (Nr. 2). Für den Sektor Gesundheitswesen gilt eine Sonderregel: Besteht keine zuständige Aufsichtsbehörde des Bundes, tritt an die Stelle von Nummer 2 das Benehmen mit dem Bundesministerium für Gesundheit. Für die Feststellung werden keine Gebühren oder Auslagen erhoben. Aus Beratungssicht empfehlen wir, bestehende Branchenstandards frühzeitig auf ihre Eignung als Grundlage für einen solchen Antrag zu prüfen.

4. Geschäftsleitung in die Pflicht nehmen (§ 38 BSIG)

§ 38 Abs. 1 BSIG verpflichtet die Geschäftsleitungen besonders wichtiger Einrichtungen und wichtiger Einrichtungen, die Risikomanagementmaßnahmen nach § 30 umzusetzen und deren Umsetzung zu überwachen. § 38 Abs. 3 BSIG verpflichtet dieselben Geschäftsleitungen, regelmäßig an Schulungen teilzunehmen, um ausreichende Kenntnisse und Fähigkeiten zur Erkennung und Bewertung von Risiken und Risikomanagementpraktiken im Bereich der IT-Sicherheit zu erlangen. Adressat ist in beiden Absätzen die Geschäftsleitung selbst, nicht die Einrichtung — die Pflicht trifft die Leitungsebene also unmittelbar. Welche Folgen das für die Delegation an CISO oder IT-Abteilung hat, regelt das BSIG nicht ausdrücklich. Einen detaillierten Überblick über die konkreten Maßnahmenpflichten nach § 30 BSIG bietet der Artikel NIS2-Maßnahmen Krankenhaus § 30 BSIG.

5. Meldepflichten bei erheblichen Sicherheitsvorfällen einhalten (§ 32 BSIG)

Besonders wichtige Einrichtungen und wichtige Einrichtungen sind nach § 32 Abs. 1 BSIG verpflichtet, erhebliche Sicherheitsvorfälle an die gemeinsame Meldestelle von BSI und BBK zu melden. Ein erheblicher Sicherheitsvorfall liegt nach § 2 Nr. 11 BSIG vor, wenn er schwerwiegende Betriebsstörungen oder finanzielle Verluste verursacht hat oder verursachen kann, oder wenn er andere Personen durch erhebliche materielle oder immaterielle Schäden beeinträchtigt hat oder beeinträchtigen kann.

Die Meldefristen:

Stufe Inhalt Frist
Frühe Erstmeldung (Nr. 1) Ob der Verdacht besteht, dass der Vorfall auf rechtswidrige oder böswillige Handlungen zurückzuführen ist oder grenzüberschreitende Auswirkungen haben könnte Unverzüglich, spätestens 24 Stunden nach Kenntniserlangung
Meldung über den Vorfall (Nr. 2) Erste Bewertung, Schweregrad, Auswirkungen, ggf. Kompromittierungsindikatoren Unverzüglich, spätestens 72 Stunden nach Kenntniserlangung
Zwischenmeldung (Nr. 3) Relevante Statusaktualisierungen Auf Ersuchen des BSI
Abschlussmeldung (Nr. 4) Ausführliche Beschreibung einschliesslich Schweregrad und Auswirkungen, Art der Bedrohung bzw. zugrunde liegende Ursache, getroffene und laufende Abhilfemaßnahmen, ggf. grenzüberschreitende Auswirkungen Spätestens einen Monat nach der Meldung nach Nr. 2

Bei einem noch andauernden Sicherheitsvorfall zum Zeitpunkt der Abschlussmeldung tritt nach § 32 Abs. 2 BSIG eine Fortschrittsmeldung an deren Stelle; die Abschlussmeldung erfolgt nach abschliessender Bearbeitung.

Ein Brandschaden im Rechenzentrum, der klinische Systeme für mehrere Stunden ausser Betrieb setzt und damit die Patientenversorgung beeinträchtigt, erfüllt nach dem Wortlaut von § 2 Nr. 11 BSIG die Schwelle eines erheblichen Sicherheitsvorfalls — unabhängig davon, ob die Ursache ein technischer Defekt oder eine böswillige Handlung war.

6. Unterrichtung der Patientinnen und Patienten vorbereiten (§ 35 BSIG)

Die Meldung an das BSI ist nicht die einzige Kommunikationspflicht. Nach § 35 Abs. 1 BSIG kann das Bundesamt einer Einrichtung im Fall eines erheblichen Sicherheitsvorfalls anordnen, die Empfänger ihrer Dienste unverzüglich zu unterrichten, wenn der Vorfall die Erbringung des Dienstes beeinträchtigen könnte. «Empfänger der Dienste» ist dabei weiter als «Patientinnen und Patienten»: Der Wortlaut erfasst alle, die die Leistung beziehen — im Krankenhaus also auch einweisende Praxen und angebundene Einrichtungen. Die Unterrichtung kann auch über die eigene Internetseite erfolgen; das BSI setzt zugleich die zuständige Aufsichtsbehörde des Bundes in Kenntnis.

Zu beachten ist die Konstruktion: Es handelt sich nicht um eine von selbst greifende Pflicht, sondern um eine Anordnungsbefugnis des BSI. Wer § 35 Abs. 1 BSIG so liest, als müsse eine Klinik ihre Patienten bei jedem erheblichen Vorfall von sich aus informieren, liest die Norm strenger als sie ist. Praktisch heisst das dennoch: Der Kommunikationsweg muss stehen, bevor er gebraucht wird — eine Anordnung kommt mit einer Frist, nicht mit einer Vorlaufzeit.

Nicht anwendbar ist dagegen § 35 Abs. 2 BSIG, der eine eigenständige Informationspflicht gegenüber den Empfängern begründet. Er zählt die Sektoren abschliessend auf — Finanzwesen, Leistungen der Sozialversicherung sowie Grundsicherung für Arbeitsuchende, digitale Infrastruktur, Verwaltung von IKT-Diensten und Digitale Dienste. Der Sektor Gesundheit steht nicht darunter.

7. Nachweispflichten vorbereiten (§ 39 und § 61 BSIG)

Betreiber kritischer Anlagen haben nach § 39 Abs. 1 BSIG die Umsetzung der Maßnahmen durch Sicherheitsaudits, Prüfungen oder Zertifizierungen nachzuweisen und die Ergebnisse einschließlich festgestellter Sicherheitsmängel dem BSI zu übermitteln — frühestens drei Jahre nach erstmaliger Geltung als Betreiber einer kritischen Anlage, danach alle drei Jahre.

Für zugelassene Krankenhäuser nach § 108 SGB V gilt nach § 61 Abs. 3 Satz 5 BSIG die bereits genannte verlängerte Frist: Das BSI kann Nachweise frühestens fünf Jahre nach Inkrafttreten des Gesetzes anordnen, also frühestens ab dem 6. Dezember 2030. Aus Beratungssicht empfehlen wir dennoch, die Nachweisstrukturen — Audit-Planung, Zertifizierungsrahmen, interne Dokumentation — bereits jetzt aufzubauen, da fünf Jahre für einen vollständigen ISMS-Aufbau in einem Krankenhaus erfahrungsgemäß knapp bemessen sind.

Checkliste: Brandschutz Krankenhaus NIS2 — Pflichten und Nachweise

Einstufung und Registrierung - [ ] Prüfen, ob das Krankenhaus die Schwellenwerte für besonders wichtige oder wichtige Einrichtung nach § 28 BSIG erfüllt (≥ 250 MA oder > 50 Mio. EUR Umsatz + > 43 Mio. EUR Bilanzsumme für besonders wichtig; ≥ 50 MA oder Jahresumsatz und Jahresbilanzsumme von jeweils über 10 Mio. EUR für wichtig) - [ ] Registrierung über die gemeinsame Registrierungsmöglichkeit von BSI und BBK, spätestens drei Monate nach erstmaliger Geltung (§ 33 Abs. 1 BSIG) - [ ] Änderungen der Registrierungsangaben binnen zwei Wochen melden (§ 33 Abs. 5 BSIG)

Risikomanagement - [ ] Konzepte in Bezug auf Risikoanalyse und Sicherheit in der Informationstechnik erstellen; die Erfüllung der Anforderungen dokumentieren (§ 30 Abs. 1 und Abs. 2 Nr. 1 BSIG). Aus der Praxis: Der Umfang richtet sich nach der Verhältnismässigkeit, nicht nach Vollständigkeit — priorisieren Sie die Systeme, die den Klinikbetrieb tragen - [ ] Bewältigung von Sicherheitsvorfällen regeln (§ 30 Abs. 2 Nr. 2 BSIG). Aus der Praxis: ein Incident-Response-Konzept mit benannten Rollen und Eskalationswegen - [ ] Physische Schadensereignisse (Feuer, Überschwemmung, Stromausfall) getrennt davon behandeln: Sie fallen unter die Resilienzpflichten des § 13 KRITIS-DachG — Notfallvorsorge, baulicher und technischer Objektschutz, Notstromversorgung. Diese Pflicht trifft das Haus nur, wenn es Betreiber einer kritischen Anlage ist, nicht schon als besonders wichtige Einrichtung nach dem BSIG - [ ] Aufrechterhaltung des Betriebs sicherstellen, einschliesslich Backup-Management, Wiederherstellung nach einem Notfall und Krisenmanagement (§ 30 Abs. 2 Nr. 3 BSIG). Aus der Praxis: Wiederherstellungsverfahren dokumentieren und regelmässig testen - [ ] Sicherheit der Lieferkette einschliesslich der sicherheitsbezogenen Aspekte der Beziehungen zu unmittelbaren Anbietern und Diensteanbietern (§ 30 Abs. 2 Nr. 4 BSIG). Aus der Praxis: die Anforderungen vertraglich verankern - [ ] Sicherheitsmassnahmen bei Erwerb, Entwicklung und Wartung informationstechnischer Systeme, Komponenten und Prozesse, einschliesslich Management und Offenlegung von Schwachstellen (§ 30 Abs. 2 Nr. 5 BSIG). Aus der Praxis: Medizingeräte mit Netzwerkanschluss und klinische Informationssysteme zuerst erfassen - [ ] Multi-Faktor- oder kontinuierliche Authentifizierung einführen — der Wortlaut beschränkt sie nicht auf privilegierte Zugänge — sowie gesicherte Sprach-, Video- und Textkommunikation und ggf. Notfallkommunikationssysteme (§ 30 Abs. 2 Nr. 10 BSIG) - [ ] Schulungsprogramm für alle Mitarbeitenden mit IT-Zugang aufsetzen (§ 30 Abs. 2 Nr. 7 BSIG) - [ ] Wirksamkeit der Maßnahmen regelmäßig bewerten und dokumentieren (§ 30 Abs. 2 Nr. 6 BSIG)

Geschäftsleitung - [ ] Geschäftsleitung formell in die Umsetzung und Überwachung der Risikomanagementmaßnahmen einbinden (§ 38 Abs. 1 BSIG) - [ ] Schulungsteilnahme der Geschäftsleitung dokumentieren (§ 38 Abs. 3 BSIG)

Meldeprozesse - [ ] Interne Meldekettenverantwortliche benennen und Meldeformulare für BSI/BBK-Meldestelle vorbereiten - [ ] 24-Stunden-Erstmeldung und 72-Stunden-Folgemeldung in den Incident-Response-Prozess integrieren (§ 32 Abs. 1 Nr. 1 und 2 BSIG) - [ ] Abschlussmeldung innerhalb eines Monats nach der 72-Stunden-Meldung sicherstellen (§ 32 Abs. 1 Nr. 4 BSIG) - [ ] Zwischenmeldung auf Ersuchen des BSI einplanen (§ 32 Abs. 1 Nr. 3 BSIG) und Fortschrittsmeldung für andauernde Vorfälle vorsehen (§ 32 Abs. 2 BSIG) - [ ] Kommunikationsweg zu den Patientinnen und Patienten bereithalten, falls das BSI eine Unterrichtung anordnet (§ 35 Abs. 1 BSIG) — die Anordnung kommt mit Frist, nicht mit Vorlaufzeit

Nachweise - [ ] Audit-Planung und Zertifizierungsrahmen aufbauen — auch wenn die Nachweispflicht für § 108 SGB V-Krankenhäuser frühestens ab Dezember 2030 angeordnet werden kann (§ 61 Abs. 3 Satz 5 BSIG) - [ ] Prüfen, ob das Krankenhaus als Betreiber einer kritischen Anlage eingestuft ist — dann gilt die Dreijahresfrist nach § 39 Abs. 1 BSIG, nicht die verlängerte Frist

Sanktionen im Blick behalten - [ ] Bußgeldrahmen intern kommunizieren: bis zu 10 Mio. EUR für besonders wichtige Einrichtungen, bis zu 7 Mio. EUR für wichtige Einrichtungen bei Kernpflichtverletzungen (§ 65 Abs. 5 BSIG); bei Gesamtumsatz über 500 Mio. EUR bis zu 2 % bzw. 1,4 % des Gesamtumsatzes (§ 65 Abs. 6 und 7 BSIG)

Abgrenzung: KRITIS-Dachgesetz und § 391 SGB V

Das BSIG ist nicht das einzige relevante Regelwerk. Das KRITIS-Dachgesetz enthält physische Resilienzanforderungen, die für Krankenhäuser als Betreiber kritischer Infrastrukturen relevant sein können — dazu mehr im Artikel KRITIS-Dachgesetz Krankenhaus. Die Abgrenzung zwischen den Anforderungen nach § 391 SGB V und dem BSIG/NIS2-Regime erläutert der Artikel § 391 SGB V vs. NIS2: Der Unterschied.

Quellen

Dieser Artikel stellt keine Rechtsberatung dar. Für rechtliche Beratung wenden Sie sich an einen Anwalt.

Kostenlose NIS2-Bestandsaufnahme starten →
Weitere Artikel im Wissensbereich Aktuelle Sicherheitswarnungen für das Gesundheitswesen