Mit Inkrafttreten des Gesetzes über das Bundesamt für Sicherheit in der Informationstechnik und über die Sicherheit in der Informationstechnik von Einrichtungen (BSIG) am 6. Dezember 2025 wurde die europäische Netzwerk- und Informationssicherheit-Richtlinie 2 (NIS2-RL) in Deutschland rechtlich umgesetzt und soll die Cybersicherheit in wichtigen/kritischen Bereichen, wie z.B. Energie, Finanzwesen, Sozialversicherung und Gesundheitswesen stärken. Betroffene Unternehmen müssen sich beim Bundesamt für Sicherheit in der Informationstechnik (BSI) registrieren.
Was steckt hinter der NIS2-Richtlinie?
Die NIS2-RL ist eine neue EU-Verordnung zur Cybersicherheit wichtiger Infrastrukturen. Sie verpflichtet eine Vielzahl von Unternehmen und Institutionen, verbindliche Mindeststandards gegen u.a. IT-Ausfälle und auch Cyberangriffe umzusetzen. Ziel ist es, die Resilienz kritischer Versorgungseinrichtungen großflächig zu erhöhen.
Gilt die Richtlinie für Ihre Praxis?
Grundvoraussetzung ist es, eine Waren- oder Dienstleistung zu erbringen, die einem Sektor in Anlage 1 BSIG zugeordnet werden kann. Der Gesundheitssektor wird dort explizit aufgeführt. Sofern Ihre Praxis also als wichtige oder besonders wichtige Einrichtung bewertet wird, muss verpflichtend eine Registrierung beim BSI erfolgen.
Gemäß § 28 BSIG gilt als:
wichtige Einrichtung: wer mindestens 50 Mitarbeiter beschäftigt oder einen Jahresumsatz und eine Jahresbilanzsumme von mehr als 10 Millionen Euro aufweist.
besonders wichtige Einrichtung: wer mindestens 250 Mitarbeiter oder einen Jahresumsatz von über 50 Millionen Euro und zudem eine Jahresbilanzsumme von mehr als 43 Millionen Euro aufweist.
Ob Ihre Einrichtung betroffen ist oder nicht, können Sie mit Hilfe der vom BSI erstellten Betroffenheitsprüfung* schnell und unkompliziert bewerten. Den Link zur Prüfung finden sie unter „Weiterführende Informationen“.
*es wird empfohlen, das Ergebnis zu dokumentieren
Bis wann müssen sich betroffene Einrichtungen registrieren?
Am 6. März 2026 endete die ursprüngliche Registrierungsfrist betroffener Unternehmen. Das BSI geht jedoch davon aus, dass ein erheblicher Teil betroffener Einrichtungen bislang nicht registriert ist und hat die Frist einmalig bis 31. Juli 2026 verlängert.
Welche Konsequenzen können bei nicht geschehener Registrierung auf Sie zukommen?
Stellt das BSI im Rahmen einer möglichen Prüfung fest, dass eine Einrichtung keinen bzw. nur einen unvollständigen Nachweis gegenüber dem BSI erbracht hat und dies vorsätzlich oder fahrlässig passiert ist, kann dies als Ordnungswidrigkeit gewertet werden und gemäß den Bußgeldvorschriften aus § 65 BSIG zu hohen Geldbußen führen.
Handlungsempfehlung
Die KV Sachsen empfiehlt Einrichtungen, welche gemäß der Kriterien (Anzahl der Mitarbeiter oder Jahresumsatz) unter in den Geltungsbereich der NIS2-RL fallen könnten, sich mit der Thematik zu beschäftigen und eine mögliche Registrierungspflicht beim BSI zu prüfen und fristgerecht umzusetzen.
– Fachbereich Digitalisierung/bnr –