Kurz gesagt: NIS2 betrifft Arztpraxen, Berufsausübungsgemeinschaften und MVZ erst ab einer bestimmten Größe: mindestens 50 Beschäftigte, oder mindestens 10 Mio. Euro Jahresumsatz und mindestens 10 Mio. Euro Jahresbilanz. Wer darunter liegt, fällt nicht unter die neuen Pflichten. Wer darüber liegt, muss sich beim BSI registrieren, Mindestmaßnahmen umsetzen und erhebliche Sicherheitsvorfälle innerhalb von 24 Stunden melden.
Stand: 03.11.2026
Was ist NIS2 und seit wann gilt es in Deutschland?
NIS2 ist eine EU-Richtlinie für Cybersicherheit. Deutschland hat sie mit dem „Gesetz zur Umsetzung der NIS-2-Richtlinie und zur Regelung wesentlicher Grundzüge des Informationssicherheitsmanagements in der Bundesverwaltung“ umgesetzt. Laut der PraxisInfo der Kassenärztlichen Bundesvereinigung (KBV, Stand März 2026) ist das Gesetz seit dem 6. Dezember 2025 in Kraft. Die neuen Regelungen stehen im novellierten BSI-Gesetz, veröffentlicht im Bundesgesetzblatt 2025 I Nr. 301 vom 5. Dezember 2025.
Der Gesundheitsbereich gehört zu den Sektoren, die NIS2 abdeckt. Das heißt aber nicht, dass jede Praxis betroffen ist. Entscheidend sind die Größenschwellen.
Du kommst nicht weiter? Wir übernehmen das für dich, meist per Fernwartung. Ruf an: 0541 507 988 08, schreib uns oder buch ein Erstgespräch.
Welche Praxen und MVZ sind betroffen?
Die KBV nennt zwei Stufen:
| Einstufung | Schwelle |
|---|---|
| Wichtige Unternehmen | mindestens 50 Beschäftigte, oder mindestens 10 Mio. Euro Jahresumsatz und mindestens 10 Mio. Euro Jahresbilanz |
| Besonders wichtige Unternehmen | mindestens 250 Beschäftigte, oder mindestens 50 Mio. Euro Jahresumsatz und mindestens 43 Mio. Euro Jahresbilanzsumme |
Eingeschlossen sind ausdrücklich auch Berufsausübungsgemeinschaften (BAG). Eine Einzelpraxis mit zehn Mitarbeitenden ist also nicht betroffen. Ein größeres MVZ mit mehreren Standorten und über 50 Beschäftigten dagegen sehr wahrscheinlich. Der Bundesverband MVZ schätzt laut KBV, dass etwa 1.000 Praxen und MVZ unter die Regelung fallen.
Beim Zählen der Beschäftigten geht es um die gesamte Einrichtung, nicht um einen einzelnen Standort. Wenn du unsicher bist, bietet das BSI eine Betroffenheitsprüfung online an. Wir machen diese Prüfung auch gemeinsam mit dir, siehe unten.
Welche Pflichten gelten für wichtige Unternehmen?
- Registrierung beim BSI (§ 33 BSI-Gesetz neu): Name, Anschrift, Rechtsform, Kontaktdaten, Beschäftigtenzahl und Jahresumsatz. Registrierte Einrichtungen erhalten Zugangsdaten.
- Mindestanforderungen zur IT-Sicherheit (§ 30 BSI-Gesetz neu): Die KBV nennt als Beispiele moderne Verschlüsselung, Multi-Faktor-Authentifizierung und regelmäßige Mitarbeiterschulungen. Im Kern geht es um ein Risikomanagement, das zum Betrieb passt.
- Meldepflicht für erhebliche Sicherheitsvorfälle (§ 32 BSI-Gesetz neu) an die Meldestelle des BSI, siehe nächster Abschnitt.
- Pflichten der Geschäftsleitung (§ 38 BSI-Gesetz neu): Die Leitung muss die Maßnahmen umsetzen, überwachen und sich selbst schulen lassen. Das lässt sich nicht komplett an die IT delegieren.
- Aufsicht und Durchsetzung (§§ 61 und 62 BSI-Gesetz neu): Das BSI kann Nachweise verlangen und Maßnahmen anordnen.
Besonders wichtige Unternehmen unterliegen zusätzlichen Aufsichtsmaßnahmen und teilweise höheren Geldbußen. Betreiber kritischer Anlagen haben weitere Pflichten nach §§ 31 und 39. Für die meisten Praxen und MVZ ist die Stufe „wichtiges Unternehmen“ der relevante Fall.
Welche Meldefristen gelten bei einem Sicherheitsvorfall?
Ein erheblicher Sicherheitsvorfall liegt nach § 2 Nr. 11 BSI-Gesetz neu vor, wenn er schwerwiegende Betriebsstörungen oder finanzielle Verluste verursacht hat oder verursachen kann, oder wenn er andere Personen erheblich geschädigt hat oder schädigen kann. Die KBV nennt als Beispiele einen Netzwerkausfall mit Praxisschließung, die Manipulation eines MRT oder den Abfluss großer Mengen sensibler Patientendaten.
Dann gilt ein gestuftes Verfahren an die Meldestelle des BSI:
- 24 Stunden: Erstmeldung
- 72 Stunden: Bewertung von Schwere und Auswirkungen (ausführliche Meldung)
- 1 Monat: Abschluss- beziehungsweise Folgemeldung
Diese Fristen sind kurz. Wer am Freitagabend einen Ransomware-Befall bemerkt, muss am Samstag melden. Das klappt nur, wenn vorher feststeht, wer meldet, wie man das BSI erreicht und welche Informationen gebraucht werden. Ein Notfallplan in der Schublade ist Teil der Pflicht, nicht Kür.
Was droht bei Verstößen?
Nach § 65 BSI-Gesetz neu sind Bußgelder von bis zu 7 Millionen Euro möglich. Für besonders wichtige Unternehmen sind teilweise höhere Beträge vorgesehen. Hinzu kommt die persönliche Verantwortung der Geschäftsleitung nach § 38.
Was heißt das für Praxen unterhalb der Schwelle?
Für sie gelten die NIS2-Pflichten nicht. Die übrigen Anforderungen an IT-Sicherheit und Datenschutz in der Praxis bleiben aber bestehen. Aus unserer Erfahrung lohnt es sich, die NIS2-Mindestmaßnahmen trotzdem als Orientierung zu nehmen: Multi-Faktor-Authentifizierung, Verschlüsselung, geprüfte Backups und Schulung der Mitarbeitenden. Das sind genau die Punkte, die bei einem Angriff den Unterschied machen, unabhängig von der Praxisgröße.
So unterstützen wir dich
Wir betreuen Praxen und MVZ in Osnabrück und Umgebung und kennen die Abläufe mit Praxisverwaltungssystem, Telematikinfrastruktur und Medizintechnik. Mit unserer NIS2-Betroffenheitsprüfung klären wir zuerst, ob deine Einrichtung überhaupt unter das Gesetz fällt. Falls ja, setzen wir die technischen Mindestmaßnahmen um und bereiten mit dir den Meldeprozess vor. Entfernter helfen wir per Fernwartung.
Häufige Fragen
Ist meine Einzelpraxis mit 8 Mitarbeitenden von NIS2 betroffen?
Nein. Die Schwelle für wichtige Unternehmen liegt bei mindestens 50 Beschäftigten oder bei mindestens 10 Mio. Euro Jahresumsatz und 10 Mio. Euro Jahresbilanz.
Zählen Teilzeitkräfte und Auszubildende mit?
Die KBV-PraxisInfo macht dazu keine Angabe. Wenn du nah an der Schwelle liegst, nutze die Betroffenheitsprüfung des BSI oder sprich uns an.
Wo muss ich mich registrieren?
Beim BSI nach § 33 BSI-Gesetz neu. Du gibst Name, Anschrift, Rechtsform, Kontaktdaten, Beschäftigtenzahl und Jahresumsatz an und erhältst danach Zugangsdaten.
Muss ich jeden Virenfund melden?
Nein. Meldepflichtig sind erhebliche Sicherheitsvorfälle, also solche mit schwerwiegenden Betriebsstörungen, finanziellen Verlusten oder erheblichem Schaden für Dritte. Ein abgefangener Virus ohne Auswirkungen fällt nicht darunter.
Quellen
- PraxisInfo: Gesetzliche Vorgaben für Cybersicherheit (NIS-2) (Kassenärztliche Bundesvereinigung, abgerufen am 03.11.2026)
