🇨🇭 Dieser Beitrag betrifft die Schweiz. In Deutschland und Österreich gelten andere Gesetze (BSIG/DSGVO bzw. NISG 2024).

NIS2 Schweiz Spitäler: Was gilt – und was nicht

Metadaten - Primäres Keyword: NIS2 Schweiz Spitäler - Zieldomain: ISMShield.ai/wissen/ - Ziel-Land: Schweiz - Datum: 20.07.2026 - Status: REVIEW-GATE aktiv — alle Rechtsangaben mit Prüfmarker versehen

Einleitung

Die EU-Richtlinie NIS2 dominiert seit ihrer Umsetzung in den EU-Mitgliedstaaten die Fachdiskussion rund um Cybersicherheit im Gesundheitswesen. Schweizer CISOs und Informationssicherheitsbeauftragte (ISB) in Spitälern werden regelmässig gefragt: «Müssen wir NIS2 auch einhalten?» Die Antwort ist klar — und wird in der Praxis trotzdem oft falsch kommuniziert. Dieser Artikel grenzt ab, welches Recht für Schweizer Spitäler tatsächlich gilt, wo das Schweizer ISG ansetzt, und was die Konsequenzen für Ihr ISMS sind.

NIS2 gilt in der Schweiz nicht — Warum das trotzdem relevant ist

Die Richtlinie (EU) 2022/2555 (NIS2) ist eine EU-Richtlinie. Sie bindet ausschliesslich EU-Mitgliedstaaten und wurde dort in nationales Recht umgesetzt. Die Schweiz ist kein EU-Mitglied und hat NIS2 weder ratifiziert noch in Schweizer Recht überführt.

Für Schweizer Spitäler gilt: NIS2 begründet keine direkten Rechtspflichten.

Das ist keine Lücke — es ist ein bewusster Rechtsrahmen. Die Schweiz verfügt über eigene Instrumente: Das Informationssicherheitsgesetz (ISG, SR 128) regelt die Informationssicherheit für Bundesorgane und — partiell — Betreiber kritischer Infrastrukturen.

Warum ist NIS2 trotzdem ein Thema? Drei Gründe:

  1. Lieferkette: Schweizer Spitäler kaufen Software, Hardware und Dienstleistungen von EU-Unternehmen. Diese Anbieter unterliegen NIS2 und geben ihre Sicherheitsanforderungen vertraglich weiter — als Contractual Obligations, nicht als Gesetz.
  2. Best Practice: NIS2 kodifiziert europäischen Konsens zu Cybersicherheitsmassnahmen. CISOs orientieren sich daran als Referenzrahmen, ohne rechtlich dazu verpflichtet zu sein.
  3. Harmonisierungsdruck: Die politische Diskussion in der Schweiz dreht sich zunehmend um Annäherung an EU-Standards.

Was stattdessen gilt: Das Schweizer Rechtsfeld für Spitäler

ISG und die Meldepflicht für kritische Infrastrukturen

Das ISG gilt primär für Bundesorgane betrifft direkt die Bundesverwaltung und weitere Organisationen nach Anhang; Quelle: https://www.fedlex.admin.ch/eli/cc/2022/232/de. Für private und kantonale Spitäler ist der ISG-Geltungsbereich nicht automatisch gegeben.

Seit April 2025 gilt in der Schweiz eine Meldepflicht für Cyberangriffe auf kritische Infrastrukturen. Zuständig ist das Bundesamt für Cybersicherheit (BACS).

Wer ist betroffen?

Im Gesundheitsbereich werden im Wesentlichen Spitäler auf kantonalen Spitallisten als kritische Infrastrukturen betrachtet. Arztpraxen und ambulante Einzelpraxen fallen nicht unter diese Meldepflicht. Für sie gilt stattdessen das nDSG bei datenschutzrelevanten Vorfällen (dazu unten mehr).

Wichtiger Hinweis: Die genaue Definition, welche Gesundheitseinrichtungen als Betreiber kritischer Infrastrukturen gelten, ist gesetzlich nicht abschliessend durch einen öffentlich zugänglichen Enumerierer geregelt. Für verbindliche Auskunft zur eigenen Betroffenheit empfehlen wir die direkte Klärung mit dem BACS sowie — für rechtliche Beratung — einem auf IT-Recht spezialisierten Anwalt.

nDSG: Datenschutz mit Meldekomponente

Das neue Datenschutzgesetz (nDSG, SR 235.1) gilt seit September 2023 für alle privatrechtlichen und öffentlichen Organe, die Personendaten bearbeiten — also grundsätzlich für jedes Spital, jede Klinik und jede Arztpraxis in der Schweiz.

Kernpflichten unter dem nDSG für Spitäler:

  • Meldepflicht beim EDÖB: Verletzungen der Datensicherheit, die zu einem hohen Risiko für betroffene Personen führen, sind dem Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) so rasch wie möglich zu melden.
  • Datenschutz durch Technik (Privacy by Design/Default)
  • Verzeichnis der Bearbeitungstätigkeiten
  • Datenschutz-Folgenabschätzung bei Hochrisikobearbeitungen

Bussen bei Verstössen: Das nDSG sieht Bussen vor.

EPDG: Elektronisches Patientendossier

Das Bundesgesetz über das elektronische Patientendossier (EPDG, SR 816.1) verpflichtet stationäre Leistungserbringer (Spitäler, Geburtshäuser, Pflegeheime) zum Anschluss an eine zertifizierte Stammgemeinschaft.

Für die IT-Sicherheit bedeutet das: Schnittstellen zum EPD sind nach den technischen und organisatorischen Anforderungen der eHealth Suisse zu sichern.

Kantonale Gesundheitsgesetze

Jeder Kanton hat eigene Gesundheitsgesetze, die Datenschutz, Patientenrechte und Bewilligungspflichten regeln. Diese können zusätzliche IT-Sicherheitsanforderungen enthalten. Gibt es kantonale Gesetze mit expliziten IT-Sicherheitsvorgaben für Spitäler? Beispiele: GesG ZH, SanG BE — Quelle kantonale Gesetzessammlungen, vor Publikation exemplarisch prüfen.

Die drei häufigsten Irrtümer in der Praxis

Irrtum 1: «Wir müssen NIS2 einhalten, weil unser Softwarelieferant das verlangt»

Richtig: Ihr Lieferant kann NIS2-konforme Sicherheitsmassnahmen vertraglich verlangen. Das ist ein privatrechtliches Verhältnis, keine öffentlich-rechtliche Pflicht. Prüfen Sie Ihre Verträge — und stellen Sie sicher, dass Ihre ISMS-Dokumentation die geforderten Nachweise liefern kann.

Irrtum 2: «Das ISG gilt für uns als Spital automatisch»

Richtig: Der ISG-Geltungsbereich für private und kantonale Spitäler ist nicht selbstverständlich gegeben. Klären Sie Ihre konkrete Betroffenheit mit dem BACS oder einem Rechtsberater.

Irrtum 3: «NIS2 und ISG fordern dasselbe — wir können eins-zu-eins übertragen»

Richtig: Es gibt inhaltliche Überschneidungen (Risikomanagement, Meldepflichten, technische Massnahmen), aber die Rechtsgrundlagen, Schwellenwerte, Fristen und Adressatenkreise unterscheiden sich. Analogieschlüsse von NIS2 auf Schweizer Recht sind methodisch unzulässig und können zu falschen Compliance-Einschätzungen führen.

Was bedeutet das konkret für Ihr ISMS?

Auch ohne NIS2-Pflicht ist ein strukturiertes ISMS für Schweizer Spitäler kein optionales Extra — es ist die operative Grundlage für die Erfüllung der tatsächlich geltenden Pflichten.

Handlungsschritte:

  1. Betroffenheitsanalyse durchführen: Prüfen Sie anhand von ISG, nDSG und kantonalem Recht, welche Pflichten für Ihr Spital konkret gelten. Holen Sie rechtliche Beratung ein.
  2. Meldepflichtkatalog erstellen: Definieren Sie intern, welche Vorfälle an BACS (Meldepflicht kritische Infrastruktur) bzw. EDÖB (nDSG Datenschutzverletzung) gemeldet werden müssen — mit Zuständigkeiten und Fristen.
  3. Lieferantenverträge prüfen: Identifizieren Sie NIS2-Klauseln in Verträgen mit EU-Lieferanten und leiten Sie daraus technische und organisatorische Massnahmen ab.
  4. ISMS-Framework wählen: ISO 27001 / ISO 27799 (Gesundheitswesen) liefern einen anerkannten Rahmen, der sowohl nDSG- als auch vertraglich geforderte NIS2-Anforderungen abdecken kann.
  5. Incident-Response-Plan aktualisieren: Stellen Sie sicher, dass Ihr IR-Plan die Meldekanäle an BACS und EDÖB explizit enthält.
  6. Governance klären: Wer ist im Spital verantwortlich für die Einhaltung der Meldepflichten? ISB, CISO, Rechtsabteilung? Dokumentieren Sie die Verantwortlichkeiten.

Für eine strukturierte Ersteinschätzung Ihrer aktuellen Sicherheitslage bietet ISMShield.ai ein kostenfreies ISMS-Assessment an.

Fazit

NIS2 gilt in der Schweiz nicht. Schweizer Spitäler unterliegen stattdessen einem eigenen Rechtsrahmen aus ISG, nDSG, EPDG und kantonalen Gesetzen. Die Vermischung von EU- und Schweizer Recht ist einer der häufigsten Fehler, den CISOs und ISB in der Praxis machen — mit Konsequenzen für die Prioritätensetzung im ISMS und die Ressourcenallokation. Klären Sie Ihre konkrete Betroffenheit, bauen Sie auf anerkannte Standards wie ISO 27001/27799 auf, und richten Sie Ihre Meldeprozesse an den tatsächlich geltenden Schweizer Pflichten aus.

Rechtlicher Hinweis: Dieser Artikel dient der allgemeinen Information und stellt keine Rechtsberatung dar. Für verbindliche Aussagen zur Rechtslage Ihrer Einrichtung wenden Sie sich an eine auf IT- und Gesundheitsrecht spezialisierte Anwaltskanzlei.

REVIEW-GATE-Zusammenfassung für Redaktion:

Nr. Marker Inhalt Quelle
Kostenlose NIS2-Bestandsaufnahme starten →
Weitere Artikel im Wissensbereich Aktuelle Sicherheitswarnungen für das Gesundheitswesen