Informationssicherheits- und Datenschutzexpertin
December 15, 2025
5 Minuten
.svg)
NIS2 macht Cybersicherheit für Telemedizin und DiGA zur Frage der Betriebsresilienz, nicht nur des Datenschutzes.
ISO 27001 und DiGAV bilden eine starke Basis, reichen ohne NIS2-spezifische Melde- und Lieferkettenprozesse jedoch nicht aus.
Cybervorfälle können gleichzeitig medizinische und regulatorische Meldepflichten auslösen.
Nachweisbare NIS2-Compliance wird im Digital-Health-Markt zum entscheidenden Vertrauens- und Wettbewerbsvorteil.
Stellen Sie sich vor, Sie haben die letzten 18 Monate damit verbracht, Ihre Digitale Gesundheitsanwendung (DiGA) durch den anspruchsvollen "Fast-Track" des BfArM zu bringen. Sie haben Datenschutzkonzepte gewälzt, die medizinische Evidenz erbracht und die ISO 27001-Zertifizierung vorbereitet. Sie fühlen sich sicher.
Doch dann fällt das Wort NIS2.
Für viele Gründer und CTOs im Health-Tech-Bereich fühlt sich die neue EU-Richtlinie zur Netz- und Informationssicherheit (NIS2) zunächst wie "noch eine Hürde" an. Doch diese Sichtweise greift zu kurz. Während sich die DiGAV (Digitale Gesundheitsanwendungen-Verordnung) stark auf Datenschutz und funktionale Sicherheit konzentriert, ist NIS2 der Schutzschild für Ihre betriebliche Resilienz.
In einer Welt, in der Patientendaten das neue Gold sind, reicht es nicht mehr, nur "compliant" zu sein. Sie müssen widerstandsfähig sein. Dieser Artikel führt Sie durch den Dschungel der Anforderungen und zeigt Ihnen, wie NIS2, nationale Gesundheitsgesetze und Ihre bestehende Compliance-Strategie ineinandergreifen.
Bevor wir in die technischen Details eintauchen, lassen Sie uns die Begriffe entwirren. Die NIS2-Richtlinie (Network and Information Security Directive 2) und ihre deutsche Umsetzung (NIS2UmsuCG) zielen darauf ab, das Cybersicherheitsniveau in der EU drastisch zu erhöhen.
Im Gegensatz zur alten Regelung, die nur "Kritis" (Kritische Infrastrukturen) betraf, weitet NIS2 den Geltungsbereich massiv aus. Für den Gesundheitssektor gilt:
Ein entscheidender "Aha-Moment" für Telemedizin-Anbieter: Selbst wenn Sie ein kleineres Unternehmen sind, könnten Sie unter die Regulierung fallen, wenn Sie als "einziger Anbieter" einer kritischen Dienstleistung gelten oder eine Störung signifikante Auswirkungen auf die öffentliche Gesundheit hätte. Zudem fordern größere Partner (Kliniken, Versicherer), die selbst NIS2-pflichtig sind, oft dieselben Standards von ihren Lieferanten (Supply Chain Security).
Viele Anbieter sehen den Wald vor lauter Bäumen nicht. Da ist das SGB V, die DiGAV, die DSGVO und nun NIS2. Wie passt das zusammen?
Es ist kein "Entweder-oder", sondern ein Puzzle.
Hier wird es konkret. Was bedeutet NIS2 für Ihren Tech-Stack und Ihre Prozesse? Es reicht nicht, eine Firewall zu haben. NIS2 fordert einen "Gefahrenübergreifenden Ansatz".
In der DiGA-Entwicklung liegt der Fokus der Risikoanalyse (nach ISO 14971) oft auf der Gefahr für den Patienten durch die Anwendung. NIS2 dreht die Perspektive: Was gefährdet die Anwendung von außen?
Für Telemedizin-Plattformen bedeutet das:
Der ISO 27001 Vorteil: Wenn Sie für Ihre DiGA bereits eine ISO 27001 Zertifizierung anstreben oder haben, haben Sie ca. 70-80% der NIS2-Anforderungen abgedeckt. Der Rest betrifft spezifische Meldepflichten und Lieferkettensicherheit.
Eines der größten Missverständnisse liegt in den Meldepflichten.
Praxis-Beispiel: Ein Ransomware-Angriff verschlüsselt Ihre Datenbank.
Telemedizin und DiGAs sind selten monolithisch. Sie nutzen Cloud-Provider (AWS, Azure, Telekom), API-Dienste für Authentifizierung oder externe Videodienstleister.NIS2 macht Sie für die Sicherheit dieser Lieferkette verantwortlich. Sie müssen sicherstellen, dass auch Ihre Dienstleister angemessene Sicherheitsvorkehrungen treffen. Das bedeutet:
Die Integration in die Telematikinfrastruktur (TI) bringt weitere Komplexität. Das Digitale-Versorgung-Gesetz (DVG) und das Patientendaten-Schutz-Gesetz (PDSG) stellen Anforderungen an die Interoperabilität. NIS2 legt sich wie eine Schutzschicht darüber: Die Interoperabilität muss nicht nur funktionieren, sie muss resilient gegen Angriffe sein.
Ein Aspekt von NIS2 lässt Geschäftsführer besonders aufhorchen: Die persönliche Haftung. Die Geschäftsleitung muss die Umsetzung der Risikomanagementmaßnahmen billigen und überwachen. Bei Verstößen können Bußgelder nicht nur gegen das Unternehmen, sondern unter Umständen auch Sanktionen gegen die Geschäftsführung verhängt werden (z.B. vorübergehende Untersagung der Tätigkeit in "wesentlichen" Einrichtungen).Cybersicherheit ist damit endgültig kein reines IT-Thema mehr, sondern ein Board-Level-Thema.
Was passiert, wenn Ihre Telemedizin-Plattform für 48 Stunden ausfällt? Haben Sie einen Plan B? BCM ist unter NIS2 Pflicht. Für DiGAs bedeutet das: Gibt es einen Offline-Modus? Können Patienten ihre Daten lokal sichern? Wie wird die Versorgungssicherheit bei einem Cyber-Blackout gewährleistet?
Die Umsetzung von NIS2 in einem agilen Health-Tech-Umfeld erfordert Struktur, aber keine Bürokratie-Monster. Hier ist ein pragmatischer Ansatz:
NIS2 mag wie ein bürokratischer Berg wirken, doch für Telemedizin-Anbieter und DiGA-Entwickler ist es eine Chance. In einem Markt, der auf Vertrauen basiert, ist nachweisbare Cybersicherheit der stärkste Währungsfaktor. Wer seinen Partnern (Krankenkassen, Kliniken) und Patienten zeigen kann, dass er nicht nur "compliant", sondern "resilient" ist, sichert sich einen echten Wettbewerbsvorteil.
Beginnen Sie heute damit, NIS2 nicht als Pflicht, sondern als Teil Ihrer Produktqualität zu verstehen. Der Schutz der Patientendaten ist es wert.
Die ISO 27001 ist eine hervorragende Basis und deckt viele Anforderungen (technische und organisatorische Maßnahmen) ab. NIS2 geht jedoch in Bereichen wie Meldepflichten (strikte Zeitfenster), Lieferkettensicherheit und Haftung der Geschäftsleitung über den Standard der ISO 27001 hinaus. Sie müssen Ihr ISMS also um diese "NIS2-Module" erweitern.
Nicht zwingend. Während die allgemeine Regel "50 MA / 10 Mio. € Umsatz" gilt, gibt es Ausnahmen für Entitäten, die als kritisch für das gesellschaftliche Funktionieren angesehen werden. Prüfen Sie genau, ob Sie als Alleinanbieter einer essenziellen Leistung gelten könnten. Zudem fordern Investoren und B2B-Partner zunehmend NIS2-Konformität unabhängig von der gesetzlichen Pflicht.
Die DSGVO sanktioniert Datenschutzverstöße (bis zu 20 Mio. € oder 4% des weltweiten Umsatzes). NIS2 sanktioniert Mängel im Risikomanagement und Meldewesen. Für wesentliche Einrichtungen können Bußgelder bis zu 10 Mio. € oder 2% des weltweiten Umsatzes betragen. Beide Regelwerke können parallel greifen, wenn ein Datenleck durch mangelnde Sicherheitsmaßnahmen entsteht.
Nein, aber Sie müssen "Security by Design" nachweisen. Wenn Ihre Architektur grundlegende Sicherheitsmängel aufweist (z.B. fehlende Segmentierung, unverschlüsselte Backups), müssen diese behoben werden. Oft sind es eher prozessuale Anpassungen (Patch-Management, Zugriffskontrollen), die optimiert werden müssen.
Nandini Suresh ist Compliance Expert bei SECJUR und spezialisiert auf Datenschutz, Cybersecurity und geistiges Eigentum. Bevor sie zu SECJUR kam, war sie unter anderem bei Bird & Bird sowie Lorenz Seidler Gossel tätig und betreute dort internationale Mandate im Marken- und Datenschutzrecht. Durch ihre Erfahrung an der Schnittstelle von Recht, Technologie und Compliance verbindet sie juristische Präzision mit einem tiefen Verständnis für die regulatorischen Anforderungen moderner Unternehmen.
SECJUR steht für eine Welt, in der Unternehmen immer compliant sind, aber nie an Compliance denken müssen. Mit dem Digital Compliance Office automatisieren Unternehmen aufwändige Arbeitsschritte und erlangen Compliance-Standards wie DSGVO, ISO 27001 oder TISAX® bis zu 50% schneller.
Automatisieren Sie Ihre Compliance Prozesse mit dem Digital Compliance Office
Everything you need to know about the product and billing.
Im Oktober 2024 wäre Deutschland verpflichtet gewesen, die europäische NIS-2-Richtlinie in ihr nationales Recht zu integrieren. Es wird geschätzt, dass nahezu 30.000 Unternehmen in Deutschland davon betroffen sein werden. Wie reagiert die deutsche Wirtschaft auf die ambitionierten Ziele der EU? Große Konzerne, die über umfangreiche Compliance-Abteilungen verfügen, haben bereits begonnen, sich intensiv mit der NIS-2-Richtlinie zu befassen und ihre Informationssicherheit im Hinblick auf das festgelegte Datum umfassend zu überprüfen. Im Gegensatz dazu sind sich viele Unternehmen im Mittelstand häufig nicht bewusst, dass sie in den Geltungsbereich der Richtlinie fallen. Die NIS2 Richtlinie stellt eine der bedeutendsten Compliance-Herausforderungen der letzten Jahre dar – und sie wird voraussichtlich weiterhin erhebliche Auswirkungen haben.
Viele Unternehmen kämpfen mit parallelen Anforderungen aus DSGVO, TISAX und NIS2 – oft mit redundanten Dokumenten, hohem Aufwand und widersprüchlichen Prozessen. Dieser Leitfaden zeigt, wie Sie ISO 27001 als zentrales Fundament nutzen, um Ihre gesamte Compliance zu harmonisieren, Synergien zu heben und ein einziges, audit-sicheres System zu schaffen. Erfahren Sie, wie intelligentes Mapping, integrierte Richtlinien und ein einheitliches ISMS das Compliance-Chaos beenden und Ihre Organisation effizienter, sicherer und resilienter machen.
Viele Unternehmen streben eine ISO 27001-Zertifizierung an, scheitern jedoch bei der praktischen Umsetzung der Annex A Kontrollen. Dieser Leitfaden zeigt, wie Sie die 93 Maßnahmen der Version 2022 wirksam, auditfähig und risikobasiert verankern, von Governance und Schulungen über Cloud-Sicherheit bis hin zu Schwachstellen- und Änderungsmanagement. Lernen Sie, wie aus abstrakten Anforderungen gelebte Sicherheitsprozesse werden, die Ihr ISMS stärken und echten Mehrwert für Resilienz und Wettbewerbssicherheit schaffen.
.svg)
.svg)
.svg){kind=small}