Den Hackern nicht ins Netz gehen

Den Hackern nicht ins Netz gehenEine Praxis ohne Backup oder Notfallplan bei Hackerangriffen – das soll es künftig nicht mehr geben. Seit 2026 gilt ein Gesetz, das Inhaber in Sachen IT-Sicherheit persönlich in die Pflicht nimmt. Welche fünf Maßnahmen jetzt wichtig sind.

Die IT-Sicherheitspflicht für große Praxen hängt mit der NIS-2-Richtlinie der Europäischen Union zusammen, mit der Brüssel schon 2022 auf die wachsende Zahl an Cyberangriffen auf Kliniken, Praxen und andere Einrichtungen reagiert hat. Bis zur Umsetzung in deutsches Recht hat es dann allerdings gedauert: Erst am 6. Dezember 2025 trat das Gesetz hierzulande in Kraft.Betroffen sind nicht alle Praxen, sondern nur die größeren: Verbindlich ist das Gesetz für Praxen und Medizinische Versorgungszentren mit mindestens 50 Mitarbeitern oder einem Jahresumsatz ab 10 Millionen Euro. Mindestens die gleiche Summe muss auch in der Jahresbilanz stehen.Was bedeutet die IT-Sicherheitspflicht für große Praxen genau?Betroffene Einrichtungen müssen einen Maßnahmenkatalog mit 10 Punkten umsetzen, Sicherheitsvorfälle melden und die Geschäftsführung haftet persönlich. Eine vollständige Delegation an den IT-Dienstleister reicht rechtlich nicht mehr aus. Bei einem kritischen IT-Vorfall (etwa ein Hackerangriff auf Patientendaten) tickt zudem die Uhr: Vorgesehen ist eine Erstmeldung binnen 24 Stunden, eine ausführlichere Meldung nach 72 Stunden und eine Abschlussmeldung spätestens nach einem Monat. Wer zu spät oder gar nicht reagiert, riskiert saftige Bußgelder von bis zu 10 Millionen Euro oder 2 Prozent des globalen Jahresumsatzes bei besonders wichtigen Einrichtungen.

Im Kanal #reförmchen bieten wir euch einen knackigen Überblick zur Gesundheitspolitik – von A wie Ambulantisierung bis Z wie Zuzahlungsregelung.
Folgen

Noch mehr Bürokratie – ausgerechnet jetzt?Für viele kommt das Gesetz aus heiterem Himmel. Rund 1.000 Medizinische Versorgungszentren und Praxen sind seit 2026 schätzungsweise erstmals NIS-2-pflichtig, meist ohne eigenen IT-Sicherheitsbeauftragten, ohne systematisches Sicherheitsmanagement und ohne jede Erfahrung mit sowas. Das aber wohl größte Problem: Die Praxen ächzten ohnehin schon unter der Dokumentationslast: ePA-Pflicht, TI-Anwendungen, KBV-Richtlinie, dazu der ganz normale Praxisalltag mit Abrechnung und Behandlungsdokumentation.Was du jetzt tun solltest:

Betroffenheit prüfen: Bevor du irgendetwas umsetzt, muss klar sein, ob deine Praxis überhaupt unter das Gesetz fällt. Die offizielle BSI-NIS2-Betroffenheitsprüfung führt dich Schritt für Schritt durch die Schwellenlogik.

Registrieren, auch wenn die Frist schon durch ist: Betroffene Einrichtungen hätten sich eigentlich bis zum 6. März 2026 im BSI-Portal registrieren müssen. Wer das verpasst hat, ist trotzdem nicht aus der Pflicht, registriere dich schnell nach.

Notfallplan und Backups schriftlich haben: Backups müssen regelmäßig laufen, vor Cyberangriffen geschützt sein und im Zweifel auch getestet werden, sonst merkt man erst beim Ransomware-Angriff, dass die Sicherung unbrauchbar ist. Hab die wichtigsten Infos dazu schriftlich parat.

Die eigene Lieferkette nicht vergessen: IT-Dienstleister, PVS-Anbieter, Cloud-Partner, all das gehört ins Risikomanagement der Praxis. Denk dran: Eine Sicherheitslücke beim Dienstleister wird schnell zu deinem Problem.

KBV-Richtlinie und NIS-2 nicht in einen Topf werfen: Wer die IT-Sicherheitsrichtlinie nach § 390 Absatz 1 SGB V bereits umgesetzt hat, ist damit noch lange nicht NIS-2-konform. Beide Regelwerke laufen parallel und mit unterschiedlichen Anforderungen, das eine ersetzt das andere nicht.

Bildquelle: Getty Images, Unsplash