Wesentliche Einrichtung mit proaktiver BSI-Aufsicht
Anhang I bedeutet höchste Sanktionsstufe und aktive BSI-Aufsicht. Cyber-Vorfälle mit Patientendaten-Bezug haben doppelte Meldepflichten: BSI nach NIS-2 plus Datenschutz-Aufsicht nach DSGVO.
Anhang I des NIS2UmsuCG erfasst Gesundheits-Einrichtungen, Labore, Pharma-Hersteller und Medizinprodukte-Hersteller als wesentliche Einrichtungen. MDR (Medizinprodukte-Verordnung) und DSGVO mit besonderen Patientendaten-Schutz kommen hinzu. Die Cybervize-Plattform deckt ISMS, BCM und Lieferantenrisiko in einer Lösung ab.
NIS-2-Risiko-Check buchen
Krankenhäuser ab 30.000 vollstationären Behandlungsfällen pro Jahr gelten als KRITIS-Betreiber und fallen unter NIS-2-Anhang I als „besonders wichtige Einrichtung"; Medizinprodukte-Hersteller und Health-IT-Anbieter unterliegen je nach Tätigkeit Anhang I oder II plus MDR-Cybersecurity-Anforderungen. Vier Konsequenzen aus dieser Klassifikation für Krankenhäuser, Labore und Teile der Pharma-Branche. Sektor allein reicht nicht: Pharma-Hersteller und Medizinprodukte-Hersteller unterliegen unterschiedlichen Regelwerken (NIS-2-Anhang I/II, MDR, AMG); die Zuordnung hängt von Tätigkeit und Größenwerten ab. Die rechtliche Bewertung bleibt einer spezialisierten Kanzlei vorbehalten.
Anhang I bedeutet höchste Sanktionsstufe und aktive BSI-Aufsicht. Cyber-Vorfälle mit Patientendaten-Bezug haben doppelte Meldepflichten: BSI nach NIS-2 plus Datenschutz-Aufsicht nach DSGVO.
Medizinprodukte mit IT-Schnittstellen (Bildgebung, Lab-Geräte, vernetzte Implantate) unterliegen MDR plus NIS-2. Hersteller haben zusätzlich Post-Market-Surveillance-Pflichten. Krankenhäuser haben Anwender-Pflichten.
Krankenhäuser mit über 30.000 stationären Fällen pro Jahr fallen unter KRITIS-VO. Pflichten zu BSI-Standards und Sicherheits-Audits kommen on top.
Gesundheitsdaten sind besondere Kategorien nach Art. 9 DSGVO. Verarbeitung braucht spezifische Rechtsgrundlagen. Cyber-Vorfall mit Datenpanne hat verschärfte Melde-Pflichten und höhere DSGVO-Sanktionsrisiken.
Fünf NIS-2-Mindestmaßnahmen nach §30, übersetzt in das Gesundheitswesen.
Risiko-Register, das Office-IT, klinische IT (KIS, RIS, PACS) und Medizingeräte trennt aber zusammenführt. Patientensicherheits-Risiken aus Cyber-Vorfällen gesondert klassifiziert.
Lieferanten-Inventar mit Medizinprodukte-Herstellern, MDR-Status, Cybersecurity-Bill-of-Materials (CBOM) für vernetzte Geräte, Vereinbarungen zu Patches und Vulnerability-Disclosure.
Patientendaten verschlüsselt at-rest und in-transit, Schlüssel-Management nach §75c SGB V (Sektor-Anforderungen Gesundheit), Klinik-Backups in besonderer Sicherheits-Zone.
Incident-Response-Plan, der zwischen reinem Cyber-Vorfall und Vorfall mit Patientensicherheits-Auswirkung unterscheidet. Eskalation an BSI, Datenschutz-Aufsicht, Krankenhaus-Aufsicht. MDR-Hersteller haben zusätzlich BfArM zu informieren.
BCM-Plan mit Patientensicherheit als oberster Priorität. Fall-Back-Prozesse für KIS-Ausfall (Papier-Akten, manueller Workflow), Notfall-Versorgung bei Ransomware. Wiederanlauf-Reihenfolge dokumentiert.
Die Cybervize-Plattform deckt ISMS, BCM, Assessment und Lieferantenrisiko in einer Lösung ab. Für Gesundheit zusätzlich KRITIS-Reporting und Medizinprodukte-Risiko-Module relevant.
Kostenloses 30-Minuten-Erstgespräch mit indikativer NIS-2-Einordnung, Top-5-Lücken und Pfad-Empfehlung.
Mehr erfahren Service 02ISMS, Compliance und Nachweisführung aus einer Plattform. Multi-Entity, Multi-Country, KI-gestützt.
Mehr erfahren Service 03Plattform plus dauerhafte CISO-Funktion. Für Häuser ohne eigenen CISO.
Mehr erfahren Service 04Gap-Assessment, Roadmap, Implementierung über die Plattform. Festpreis ab 4.500 Euro.
Mehr erfahrenSelbst-Check verfügbar
Kostenfrei, ohne Anmeldung, etwa 5 Minuten. Detail-Auswertung optional per Email.
Branchen-Erfahrung in Gesundheitswesen und KRITIS aus 25 Jahren ISMS-Praxis bei PwC, Deloitte und KPMG. Krankenhaus-Mandate und Medizinprodukte-Hersteller Teil der Methodik. ISO 27001 Lead Auditor seit 2006.
Kostenloser Risiko-Check mit indikativer NIS-2-Einordnung, KRITIS-Schwellen-Indikator und Pfad-Empfehlung. Idealerweise dabei: IT-Leitung oder Datenschutzbeauftragte plus Geschäftsführung.
NIS-2-Risiko-Check buchenMitgliedschaften, Programme und Partnerschaften
Strukturierte NIS-2-Compliance: Gap-Assessment, Roadmap und Implementierung in 12 Wochen.
Mehr erfahrenKostenfreier Selbst-Check: Wo stehen Sie bei den zehn Pflichtbereichen aus §30 BSIG? 30 Fragen, Sofort-Ampel.
Mehr erfahrenDie zehn regulierten Sektoren, in denen die Cybervize-Plattform läuft.
Mehr erfahrenViele Unternehmen koennen nicht beantworten, wo ihre kritischen Daten liegen. Was das fuer NIS-2 bedeutet und wie ein Workshop-Tag Klarheit schafft.
Viele Unternehmen behandeln NIS2 wie ein Häkchen-Projekt. Doch Compliance ist nicht dasselbe wie Resilienz. Die Cross-Border Cybersecurity Tour #2 in Saarbrücken machte deutlich: Eine funktionierende Sicherheitsoperation schlägt jede Toolsammlung.