Kaum ein Begriff sorgt gerade für so viel Verunsicherung in Arztpraxen, Zahnarztpraxen und MVZ wie „NIS-2″. IT-Dienstleister, Berater und Fachmedien warnen vor neuen Pflichten und Bußgeldern – oft ohne zu sagen, wen das überhaupt betrifft. Die kurze Antwort vorab: Die meisten Praxen betrifft NIS-2 gar nicht. Was für sie tatsächlich gilt, ist eine andere, weniger bekannte Regelung.
Beide Regelwerke verfolgen dasselbe Ziel – mehr IT-Sicherheit im Gesundheitswesen –, setzen aber bei völlig unterschiedlichen Einrichtungsgrößen an. Wer das verwechselt, bereitet sich entweder auf die falschen Pflichten vor oder übersieht die richtigen.
NIS-2: die Ausnahme für große Einrichtungen
Das NIS-2-Umsetzungsgesetz (NIS2UmsuCG) ist seit dem 6. Dezember 2025 in Kraft. Im Gesundheitswesen betrifft es aber nur Einrichtungen ab 50 Mitarbeitenden oder mehr als 10 Millionen Euro Jahresumsatz und Bilanzsumme. In der Praxis heißt das: vor allem größere MVZ und Klinikverbünde. Bundesweit sind das schätzungsweise rund 1.000 Einrichtungen, die seit 2026 neu unter diese Pflicht fallen.
Betroffene Einrichtungen mussten sich bis zum 6. März 2026 beim BSI registrieren – bei Versäumnis drohen Bußgelder bis zu 500.000 Euro. Eine kompakte Übersicht speziell für den Gesundheitssektor bietet der NIS-2-Onepager „Gesundheit“ des BSI.
§75b/390 SGB V: die Regel für fast alle anderen
Für die weit überwiegende Mehrheit der Einzel- und Gemeinschaftspraxen gilt stattdessen die IT-Sicherheitsrichtlinie nach §75b SGB V (für Ärzte, verbindlich seit Oktober 2025 nach Vorgabe der KBV) beziehungsweise §390 SGB V (für Zahnärzte, verbindlich seit Januar 2026 nach Vorgabe der KZBV). Betroffen sind praktisch alle rund 99.000 Arzt- und Psychotherapiepraxen sowie rund 38.000 Zahnarztpraxen in Deutschland.
Woran erkenne ich, was für mich gilt?
- Mitarbeiterzahl unter 50 und Jahresumsatz/Bilanzsumme unter 10 Mio. € → in aller Regel §75b/390 SGB V
- Mitarbeiterzahl ab 50 oder Jahresumsatz/Bilanzsumme über 10 Mio. € → NIS-2 prüfen
- Teil eines größeren MVZ- oder Klinikverbunds → NIS-2 lohnt eine genauere Prüfung, unabhängig von der einzelnen Standortgröße
Und jetzt?
Für die meisten Praxen bedeutet das: Sie müssen sich nicht mit NIS-2 belasten, sondern mit den konkreten, überschaubaren Anforderungen aus §75b/390 SGB V. Wer unsicher ist, in welche Kategorie die eigene Einrichtung fällt, sollte das im Zweifel einmal konkret klären lassen, statt sich pauschal auf das strengere Regelwerk vorzubereiten.
Schreibe einen Kommentar