Seit dem 6. Dezember 2025 gilt in Deutschland das Gesetz zur Umsetzung der europäischen NIS2-Richtlinie. Viele Pflegeeinrichtungen haben sich gefragt, ob sie sich jetzt beim BSI registrieren müssen. Die kurze Antwort: meist nicht. Die längere Antwort zeigt, warum das Thema trotzdem nicht erledigt ist.
Wer betroffen ist
NIS2 erfasst Einrichtungen bestimmter Sektoren ab einer Größe. Wichtige Einrichtungen haben mindestens 50 Beschäftigte oder mehr als 10 Millionen Euro Umsatz und Bilanzsumme, besonders wichtige Einrichtungen mindestens 250 Beschäftigte oder mehr als 50 Millionen Euro Umsatz und 43 Millionen Euro Bilanzsumme.
Im Gesundheitswesen nennt Rödl & Partner Krankenhäuser, medizinische Versorgungszentren, Labore, Pharmahersteller und Hersteller bestimmter Medizinprodukte. Langzeitpflege, ambulante Pflegedienste und Pflegeheime sind danach in der Regel nicht erfasst. Das kann sich ändern, wenn eine Einrichtung zusätzlich medizinische Leistungen mit eigener Versorgungsrelevanz erbringt.
Wenn Sie doch betroffen sind
Betroffene Einrichtungen mussten sich bis zum 6. März 2026 beim BSI registrieren. Sie brauchen ein Risikomanagement mit Informationssicherheits-Managementsystem, müssen erhebliche Sicherheitsvorfälle melden, und die Geschäftsleitung haftet persönlich. Für Träger mit Klinik, MVZ oder großen Verbünden lohnt deshalb eine genaue Prüfung, das BSI bietet dafür ein Prüfwerkzeug an.
Warum Sicherheit trotzdem Pflicht bleibt
Auch ohne NIS2 verarbeiten Pflegeeinrichtungen Gesundheitsdaten, und die Datenschutz-Grundverordnung verlangt dafür angemessene technische und organisatorische Maßnahmen. Wichtiger noch ist der Alltag: Fällt die Pflegesoftware nach einem Angriff aus, fehlen Medikationspläne, Tourenpläne und Dokumentation, und das in einem Betrieb, der rund um die Uhr läuft.
Dazu kommt die Lieferkette. Kliniken und große Träger, die unter NIS2 fallen, fragen ihre Partner zunehmend nach Sicherheitsnachweisen. Wie man darauf ehrlich antwortet, beschreibt MintCode IT im Beitrag NIS2 in der Lieferkette.
Der Grundschutz für Pflegeeinrichtungen
Für Pflegeeinrichtungen, die nicht unter NIS2 fallen, empfiehlt MintCode Care einen Grundschutz aus fünf Punkten, angefangen bei einer Sicherung, die einen Angriff übersteht:
- Sicherung, die einen Angriff übersteht: mindestens eine Kopie getrennt vom Netzwerk und regelmäßig getestet.
- Anmeldung mit zweitem Faktor: für Mail, Fernzugriff und Pflegesoftware.
- Updates ohne Ausnahme: für Server, Arbeitsplätze, Tablets und Firewall.
- Notfallplan auf Papier: Wie wird gepflegt und dokumentiert, wenn die Software nicht erreichbar ist?
- Schulung: Die meisten Angriffe beginnen mit einer Mail. Kurze, regelmäßige Hinweise wirken mehr als eine Pflichtveranstaltung im Jahr.
Diese Punkte gehören bei unserer proaktiven IT-Betreuung zum Standard.
Standpunkt von MintCode Solutions
Einordnung von MintCode: nicht betroffen heißt nicht sicher
MintCode hält es für einen Fehler, wenn Pflegedienste und Pflegeheime NIS2 als Entwarnung lesen, nur weil sie meist nicht unter das Gesetz fallen. Die Anforderungen des Gesetzes sind ein guter Maßstab, auch für kleinere Dienste. Wer sie in vernünftigem Umfang umsetzt, schützt seine Klientinnen und Klienten und ist vorbereitet, wenn ein Partner nach Nachweisen fragt.
Quellen
- Rödl & Partner: NIS-2 im Gesundheitswesen, 27. Februar 2026
- IHK Braunschweig: NIS-2-Richtlinie in Kraft getreten (Dezember 2025)
Stand: 13. Oktober 2026. Keine Rechtsberatung. Verbindliche Auskünfte geben Ihre Pflegekasse und die zuständigen Stellen.
