KLARHEIT · Regulierung & IT-Sicherheit
Grundschutz++ ab 2027:
Was Praxen, Kliniken und
Pflegeeinrichtungen jetzt wissen müssen
Das BSI hat den Starttermin bestätigt. NIS2 gilt bereits seit Oktober 2024. Was der Gesundheitssektor bis 2027 umsetzen muss — und warum der Zeitplan enger ist als er aussieht.
Das BSI hat es offiziell bestätigt: Die Grundschutz++-Zertifizierung startet 2027. Das klingt nach viel Zeit. Es ist wenig.
Drei Gesetze, eine Botschaft
Die aktuelle Regulierungslage im deutschen Gesundheitswesen lässt sich auf drei Ebenen zusammenfassen:
NIS2 (seit Oktober 2024): Die EU-Richtlinie zur Netzwerk- und Informationssicherheit gilt für wesentliche und wichtige Einrichtungen — darunter Krankenhäuser, größere Gesundheitseinrichtungen und Teile der Pflegebranche. Sie verpflichtet zu technischen und organisatorischen Mindestmaßnahmen, Risikomanagement und Meldepflichten bei Sicherheitsvorfällen. Bußgelder bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes sind möglich.
BSI Grundschutz++ (Zertifizierung ab 2027): Das BSI hat eine neue Zertifizierungsstufe angekündigt, die über das bestehende IT-Grundschutz-Zertifikat hinausgeht. Grundschutz++ ist die dokumentierbare Umsetzung der NIS2-Anforderungen nach BSI-Standard. Wer 2027 zertifiziert sein möchte, muss 2026 in die Umsetzung gehen.
EU Tech Sovereignty Package (Mai 2026): US-Cloud für Gesundheitsdaten ist für öffentliche Einrichtungen verboten. Krankenhäuser, Sozialträger und Pflegeeinrichtungen müssen ihre Cloud-Abhängigkeiten bis zur Umsetzung des CADA auflösen — oder nachweisen, dass ihre Systeme die Anforderungen erfüllen.
Was konkret betroffen ist
Nicht jede Arztpraxis ist gleichermaßen betroffen. Die Schwellenwerte nach NIS2:
- Wesentliche Einrichtungen: ab 250 Mitarbeiter oder €50 Mio. Jahresumsatz (z. B. größere Kliniken, Krankenhäuser)
- Wichtige Einrichtungen: ab 50 Mitarbeiter oder €10 Mio. Jahresumsatz (z. B. mittlere Praxen, MVZs, Pflegeheime)
- Kleinere Einrichtungen: noch keine direkte NIS2-Pflicht, aber: Lieferkettenanforderungen der wesentlichen Einrichtungen treffen Zulieferer und Dienstleister ebenfalls
Kurz: Wer Dienstleistungen für NIS2-pflichtige Einrichtungen erbringt — Labor, Abrechnungssoftware, IT-Dienstleister — kommt über die Hintertür in die Pflicht.
Die fünf Kernbereiche von Grundschutz++
1. Risikoanalyse Dokumentierte Bewertung aller IT-Systeme, Prozesse und Abhängigkeiten. Was wäre der Schaden bei einem Ausfall? Welche Systeme sind kritisch?
2. Maßnahmenplan Für jedes identifizierte Risiko eine geplante, terminierte Maßnahme. Nicht „irgendwann" — sondern mit Verantwortlichen und Frist.
3. Sicherheitsprüfungen Regelmäßige technische Überprüfung: Patch-Management, Zugriffsrechte, Netzwerksegmentierung, Backup-Tests. Nicht einmalig — fortlaufend.
4. Vorfallsmanagement Meldesystem für Sicherheitsvorfälle (intern + extern an BSI). Wer weiß, was zu tun ist, wenn ein Angriff passiert?
5. Lieferkettenmanagement Welche Softwareanbieter haben Zugriff auf Ihre Systeme? Erfüllen sie die Anforderungen? US-Cloud-Anbieter mit CLOUD-Act-Risiko sind hier ein explizites Problem.
Warum jetzt handeln — nicht 2026
Wer 2027 ein Grundschutz++-Zertifikat vorweisen möchte, muss mindestens 12 Monate vorher mit der Umsetzung beginnen. Denn: Die Zertifizierung prüft nicht nur den Zustand am Stichtag, sondern den Nachweis kontinuierlicher Maßnahmen über einen Zeitraum.
Wer 2026 unter Druck handelt, zahlt mehr — für teurere Notlösungen, für externe Berater, für Ausfallzeiten während der Migration, für Bußgelder im Worst Case.
Wer heute beginnt, hat Zeit für geordnete Migration, eigene Server-Architektur und Kostenkontrolle.
Klarheit über Ihre aktuelle Lage
Wir schauen gemeinsam, welche Ihrer Systeme von NIS2 und Grundschutz++ betroffen sind — konkret, ohne Berater-Deutsch, ohne Panik.
Gespräch anfragen →