Mit dem IT-Sicherheitsgesetz 2.0 (BSIG) ist NIS-2 in deutsches Recht überführt worden. Viele Gesundheitseinrichtungen haben sich bereits beim Bundesamt für Sicherheit in der Informationstechnik (BSI) registriert.
Doch damit beginnt erst die eigentliche Herausforderung: Sie müssen jetzt die Risikomanagementmaßnahmen nach § 30 BSIG wirksam umsetzen.
Die Aufsichtsbehörden nehmen ihre Kontrollfunktion zunehmend wahr. Bei Verstößen drohen Bußgelder bis zu 10 Mio. € oder 2 % des weltweiten Jahresumsatzes. Zudem haften Geschäftsführer:innen persönlich für die Umsetzung und Überwachung der Maßnahmen (§ 38 BSIG).
Diese Haftungsrisiken auszuschließen bedeutet: Ihre Cybersicherheit muss in
- Prozesse,
- Zuständigkeiten und
- technische Kontrollen
übersetzt werden. Sie benötigen ein funktionierendes Informationssicherheitsmanagementsystem (ISMS) und müssen jederzeit nachweisen können, dass Ihre Maßnahmen dem Stand der Technik entsprechen.
Das ISMS übersetzt den gesetzlichen Maßnahmenkatalog in Verantwortlichkeiten, Steuerungsprozesse, technisch-organisatorische Maßnahmen sowie prüffähige Dokumentation entlang der einschlägigen Standards. Ein strukturiertes Vorgehen umfasst sechs Phasen:
Ein wirksames Umsetzungsvorgehen beginnt mit einer Analyse und Grundsatzklärung. Wo liegen die Grenzen Ihres Geltungsbereichs? Welches Sicherheitsniveau ist angemessen?
Darauf folgt die Klärung der Verantwortung. Die Geschäftsleitung muss eine tragfähige Governance-Struktur schaffen. Die Bestandsaufnahme zeigt durch eine Gap-Analyse, welche Maßnahmen aus § 30 BSIG noch fehlen und wo die größten Risiken liegen. In der Planung werden Maßnahmen priorisiert und ein realistisch finanzierter Plan mit klaren Verantwortlichen und verbindlichen Zeitachsen erstellt. Die Umsetzung verzahnt technische Schutzmaßnahmen mit Prozessen – besonders wichtig sind funktionierende Meldeprozesse nach § 32 BSIG. Die Verstetigung stellt sicher, dass NIS-2-Compliance kein Projekt mit Enddatum ist: Sie müssen kontinuierlich testen, schulen und dokumentieren.
Curacon begleitet Gesundheitseinrichtungen bei allen Schritten der NIS-2-Umsetzung. Wir prüfen Ihren Ist-Zustand durch eine Gap-Analyse und zeigen konkrete Handlungsbedarfe auf. Gemeinsam entwickeln wir ein praxistaugliches ISMS und gestalten rechtssichere Meldeprozesse für Sicherheitsvorfälle. Wir erstellen prüffähige Nachweise für Aufsichtsbehörden und qualifizieren Ihre Mitarbeiter:innen durch Schulungen für den laufenden Betrieb. Unser interdisziplinäres Team aus Rechtsberatung und IT-Beratung kennt die Besonderheiten der Gesundheitsbranche.
Warten Sie nicht auf die erste Prüfung durch das BSI. Kontaktieren Sie uns jetzt für eine unverbindliche Ersteinschätzung. Gemeinsam machen wir Ihre Einrichtung NIS-2-fit – rechtssicher, praxistauglich und wirtschaftlich vertretbar. Jetzt Kontakt aufnehmen!