Wir hatten bereits des Öfteren nachdrücklich auf den Fakt verwiesen, dass das Umsetzungsgesetz zur europäischen NIS2-Richtlinie mit dem Tag seiner Verkündung sofort gilt. Dieser Stichtag war nun der 05.12.2025, an dem die Änderungen des angepassten BSI-Gesetzes veröffentlicht wurden. (~ Bundesgesetzblatt v. 5.12.2025) Es gibt keine signifikanten Übergangsfristen für viele der relevanten Aspekte, die betroffene MVZ und Praxen beachten müssen. Bis Ende 2025(!), so empfiehlt das Bundesamt für Sicherheit in der Informationstechnik (BSI) ausdrücklich, sollten Unternehmen einen Account bei „Mein Unternehmenskonto“ angelegt haben. Solch ein 'MUK' Konto dürften bzw. sollten die meisten Unternehmen aber ohnehin bereits haben. Die von NIS2 betroffenen Unternehmen müssen sich mit dem Aufschalten der Registrierungsplattform am 6. Januar 2026 aber zwingend innerhalb von 3 Monaten, also bis zum 6. April, beim BSI registrieren. Für die Registrierung benötigen juristische Personen das erwähnte MUK (~ Pressemeldung BSI v. 05.12.2025). Bevor wir auf den Registrierungslink verweisen, werden wir noch einmal einen ‚sträflich groben‘ Überblick zur NIS2-Betroffenheit geben. Ausdrücklich sei aber erwähnt, dass ein kurzer Artikel – wie dieser – keinesfalls ausreicht, um die Tragweite der Konsequenzen gebührend zu erfassen. Für jene, für die NIS2 noch Neuland ist, empfehlen wir auch unsere vorherigen Beiträge und die BMVZ-Arbeitshilfe im Mitgliederbereich (~ Relevanz und Folgen derNIS2-Gesetzgebung für MVZ und Großpraxen). An den Grundlagen, die in der Arbeitshilfe beschrieben sind, hat sich bis zum Umsetzungsbeschluss wenig Relevantes geändert. Da aber nicht zwangsläufig jede Praxis und jedes MVZ die NIS2 Richtlinie befolgen muss, stellt sich zunächst die alles entscheidende Frage…
Bin ich betroffen? Die wohl wichtigste Frage, denn die Folgen sind zeitlich, finanziell, personell und haftungsrechtlich relevant. Grundsätzlich gelten alle Praxen und MVZ (wie auch alle anderen Dienstleistungserbringer im Gesundheitswesen) als kritische Einrichtungen. Damit fallen alle MVZ und Praxen per se schon mal in den Geltungsbereich des Gesetzes. Inwieweit Unternehmen jedoch die Anforderungen der Richtlinie befolgen müssen, hängt von der Mitarbeiteranzahl und dem Umsatz sowie der Bilanzsumme ab. Wie in vielen Teilen des Gesetzes hat der Bundesdeutsche Gesetzgeber hier die europäische Richtlinie übernommen und die Maßstäbe der EU-weiten KMU-Definition angelegt. Das bedeutet: Ab 50 Mitarbeitenden (gemeint sind hier die Vollzeitäquivalente; Azubis und Angestellte im Mutterschutz zählen gar nicht) oder ab einem Jahresumsatz von 10 Millionen Euro oder einer Bilanzsumme von 10 Millionen Euro zählt ein Unternehmen zu den Kleinunternehmen – und nicht mehr zu den Kleinstunternehmen. Die „oder“ Regel zwischen Bilanzsumme und Jahresbilanz ist dabei nicht zwangsläufig intuitiv, zudem gelten zwei-Jahres-Sonderregeln, falls ein Unternehmen Grenzwerte nur einmalig überschreitet. Mehr dazu in der ~ EU-Empfehlung 2003/361/EG oder der empfehlenswerten ‚Aufarbeitung Benutzerleitfaden zur Definition von KMU‘ (~ Link dazu). MVZ und Praxen, welche eine der erwähnten Untergrenzen treffen oder überschreiten, müssen die erste Stufe der Anforderungen erfüllen. Mittelgroße Unternehmen ab 250 Mitarbeitenden dann entsprechend verschärfte Bedingungen. Sollte sich das eigene Unternehmen gerade unterhalb der Betroffenheitsgrenze befinden, empfehlen wir zu evaluieren, ob eine Registrierung beim BSI womöglich doch Sinn ergibt, auch wenn man knapp unter der Grenze liegt.
Für alle, die betroffen sind, ergeben sich nun vorrangig Registrierungs-, Melde- und Weiterbildungspflichten. Es ist zu beachten, dass mit dem Verstreichen der Registrierungspflicht am 6. April 2026 betroffene Unternehmen auch in der Lage sein müssen, den Meldeweg korrekt einzuhalten, wenn es zum Ernstfall, wie einem Cyberangriff, kommt. Dafür bedarf es Vorbereitung. Um sich in der Materie besser zurecht zu finden, hat das BSI eine themenbezogene Webseite eingerichtet, auf der auch ein Betroffenheitstest verlinkt ist. Hier können zudem wichtige Informationen zu den Pflichten und Fristen abgeholt werden (~ NIS2 Themenseite des BSI). CAVE! Die Webseite ist gut, allerdings empfehlen wir Obacht bei der Navigation, da man sich auch zügig in der KRITIS-Gesetzgebung wiederfinden kann. KRITIS und NIS2 gehören zur gleichen Marke, sind aber zwei Paar Schuhe! Neben den Meldepflichten werden auch die erwähnten Weiterbildungen, beispielsweise für die Geschäftsführung, relevant. Bisher gab es diesbezüglich noch keine klaren Curricula, die zertifizierungswürdig waren. Das Internet wird sich ab jetzt aber zügig mit Angeboten füllen. Hier ergibt es durchaus Sinn, zu netzwerken, um gute Anbieter herauszufiltern. Gerne auch mit einer Rückmeldung an die BMVZ-Geschäftsstelle.
Obwohl NIS-2 mit reichlich Ankündigung in Kraft trat, bleibt der Eindruck, dass nun Vieles ‚im Flug‘ entschieden werden muss. Aller Voraussicht nach, muss das Gesetz ohnehin noch einmal nachjustiert werden, da bestimmte Regelungen sich mit geltendem Recht beißen, oder die Intention der EU-NIS2-RL nicht vollends im deutschen Recht erfasst ist. Zum jetzigen Stand gehen wir davon aus, dass ein erheblicher Teil der rund 1110 Praxen und MVZ mit mehr als 9 Arztsitzen von NIS2 betroffen sind, plus diejenigen, die sich über die Bilanz- oder Umsatzsumme ‚qualifizieren‘. Da in der Definition des Unternehmens im Falle einer verflochtenen Unternehmung der Gesamtkonzern als Maßstab zählt, müssen sich auch Ketten mit vielen kleinen Einrichtungen rechtssicher aufstellen. Kliniken sind – wenn auch partiell und befristet von NIS2 verschont – durch das ‚IT-Sicherheitsgesetz 2.0‘ ohnehin schon grob mit der Materie vertraut. Klinik-MVZ müssen nur gesondert darauf achten, dass sie eher unter bestimmte NIS2-Pflichten fallen, als die Klinik-Muttergesellschaft. Doch allen größeren Praxen und MVZ, die keine eigene Rechtsabteilung o.Ä. haben, empfehlen wir, zeitnah aktiv zu werden. Der Aufwand ist nicht zu unterschätzen, wie selbst der Bundesrat feststellte und darum den Praxen und MVZ ebenfalls eine Schonfrist – wie den Kliniken – einräumen wollte, allerdings ohne Erfolg! Mehr dazu in unserem angehängten Artikel vom 6. Oktober.
