NISG 2026 (NIS-2) im Gesundheits­wesen: Was jetzt umgesetzt wird

Wer ist betroffen?

NISG 2026 gilt für viele Einrichtungen bereits ab 50 Mitarbeitenden oder 10 Mio. € Umsatz – es können aber auch kleinere Betriebe, z.B. durch Lieferketten, betroffen sein. Wer unter das Gesetz fällt, muss einen organisatorischen und einen technischen Teil erfüllen. Außerdem gilt NISG 2026 automatisch für Unternehmen, die einen Bescheid nach RKEG (Resilienz kritischer Einrichtungen-Gesetz) erhalten. Hier geht es vor allem um physische Sicherheit, Krankenhäuser sind daher als wesentliche Einrichtung besonders betroffen: Das bedeutet auch strengere Regeln in der Umsetzung. Achtung: Unternehmen erhalten die RKEG Bescheide erst Ende September – NISG 2026 gilt aber bereits ab 01.Oktober 2026. Daher empfiehlt es sich, jetzt die Betroffenheit zu prüfen, statt zu warten!

Mit ISO 27001 die Nase vorn haben

Für die Umsetzung von NISG 2026 brauchen Betriebe u. a.: ein etabliertes Risikomanagement, Notfall- und Krisenmanagement, Sicherheitsmaßnahmen, Schulungen & Awareness sowie das Ausführen von Meldepflichten bei Vorfällen. Die Fristen treten bereits in wenigen Wochen in Kraft:

• 10.2026: Pflichten treten in Kraft (Unternehmen müssen ein dokumentiertes, kontinuierlich überwachtes Risikomanagementsystem implementiert haben)
• 12.2026: Registrierung abgeschlossen (Unternehmen müssen sich offiziell bei der Cybersicherheitsbehörde registriert haben)
• 09.2027: Selbstdeklaration erforderlich (Unternehmen müssen der Behörde mitteilen, wie sie ihre eigene Betroffenheit und Risikolage einschätzen)

Mit einer Zertifizierung nach ISO 27001 (Informationssicherheitsmanagement) haben Einrichtungen organisatorische Anforderungen von NISG 2026 erfüllt. Wichtig ist dabei, dass der Scope das gesamte Unternehmen umfasst und die Zertifizierung von einer qualifizierten Stelle wie CIS Certification ausgestellt wird – damit lassen sich aufgrund des Zeitdrucks gerade jetzt wertvolle Synergien bündeln:

• Weniger Zeitaufwand
• Schnellere Umsetzung
• Kombinierte Audits möglich
• Compliance & höheres Patientenvertrauen

Sinnvoll ist außerdem eine Zertifizierung nach ISO 22301, um bei Betriebsunterbrechungen und -ausfällen vorbereitet zu sein. Das NISG 2026 sowie das RKEG verlangen nach einem etablierten Notfall- und Krisenmanagement, das mit einem Business Continuity-Managementsystem nach ISO 22301 abgedeckt wird.

NISG 2026: Für Krankenhäuser überlebenswichtig

Krankenhäuser, Rehabilitationszentren, Labore, Pflegeeinrichtungen sowie weitere Gesundheitsdienstleister sollen mit NISG 2026 widerstandsfähiger gegen Cyberangriffe, IT-Ausfälle und Betriebsunterbrechungen gemacht werden. Besonders in Krankenhäusern geht es nicht nur um Informationssicherheit, sondern um katastrophale menschliche Auswirkungen. Anders als bei einem Cyberangriff auf ein Unternehmen kann ein IT-Ausfall in der Klinik lebensbedrohliche Folgen haben: Ein Angriff kann zur Verschiebung von Operationen, Verlegung von Patienten oder zur Schließung ganzer Abteilungen führen – Vorfälle, die es in Europa bereits gegeben hat.

Hinzu kommt, dass Gesundheitsdaten zu den sensibelsten und wertvollsten Daten überhaupt zählen, während viele Krankenhäuser mit historisch gewachsener, teils veralteter IT-Infrastruktur und begrenzten Sicherheitsressourcen kämpfen – was die Sicherheit noch mehr gefährdet. Extremwettersituationen wie Hitzewellen nehmen in Österreich ebenfalls zu und stellen durch den daraus resultierenden höheren Kühlbedarf in Rechenzentren, die höhere Belastung der Stromnetze und mögliche Versorgungseinschränkungen eine zusätzliche Gefahr da.

Da Kliniken nicht einfach schließen können und unter enormem Zeitdruck arbeiten, sind sie ein bevorzugtes Ziel für Ransomware-Angriffe. Mit NISG 2026 werden Gesundheitseinrichtungen nun stärker in die Pflicht genommen: Das bringt neue Pflichten mit sich, aber soll Einrichtungen vor allem dabei helfen, sich selbst zu schützen und Versorgungsqualität, Vertrauen sowie ihre Leistungs- und Zukunftsfähigkeit zu stärken.