NIS-2-Umsetzungsgesetz

NIS-2-Umsetzungsgesetz

Am 06.12.2025 ist das Gesetz zur Umsetzung der NIS-2 Richtlinie in Deutschland in Kraft getreten. Mit der Umsetzung der EU-Cybersicherheitsrichtlinie NIS-2 (EU 2022/2555) wird das Ziel verfolgt, das Cybersicherheitsniveau in Europa deutlich zu erhöhen und kritische sowie wichtige Einrichtungen besser vor IT-Sicherheitsvorfällen zu schützen. Die Richtlinie ist auf europäischer Ebene bereits seit dem 16. Januar 2023 in Kraft. Die nationale Umsetzung in Deutschland erfolgte aber erst jetzt. Damit gelten für betroffene Unternehmen neue Pflichten.

Das Gesundheitswesen ist ausdrücklich als relevanter Sektor in der NIS-2-Richtlinie genannt. Apotheken können daher grundsätzlich auch unter den Anwendungsbereich des Gesetzes fallen. Ob im Einzelfall tatsächlich eine Verpflichtung besteht, hängt jedoch maßgeblich von der Größe des Betriebes ab. In der Regel gelten die NIS-2-Pflichten nur für Unternehmen mit mindestens 50 Mitarbeitenden oder einem Jahresumsatz von mindestens 10 Millionen Euro.

Viele kleinere und mittelgroße Apotheken, die diese Schwellenwerte nicht erreichen, sind daher nicht unmittelbar betroffen. Dennoch wird dringend empfohlen, eine formale Betroffenheitsprüfung vorzunehmen. Hierfür können Sie die NIS-2-Betroffenheitspruefung des Bundesamts für Sicherheit in der Informationstechnik (BSI) und die u.a. Übersichten nutzen.

Betroffene Apotheken sind verpflichtet, sich innerhalb von 3 Monaten nach Feststellung ihrer Betroffenheit bzw. nach Inkrafttreten der Registrierungspflicht, beim Bundesamt für Sicherheit in der Informationstechnik (BSI) zu registrieren (§33 BSIG). Für diese Registrierung ist zunächst ein sogenanntes „Mein Unternehmenskonto (MUK)“ erforderlich. Dieses dient als zentrales digitales Unternehmenskonto für Verwaltungs- und Meldeprozesse. Im zweiten Schritt müssen sich betroffene Betriebe dann mit dem MUK-Nutzerkonto beim BSI-Portal (Portal wird am 06.01.2026 freigeschaltet) registrieren. Es wird empfohlen, das MUK-Konto frühzeitig einzurichten, um Verzögerungen zu vermeiden.

Darüber hinaus unterliegen betroffene Apotheken umfangreichen organisatorischen und technischen Pflichten zur Umsetzung von Cybersicherheitsrisikomanagementmaßnahmen (§ 30 BSIG).

Ein weiterer zentraler Bestandteil der NIS-2 ist die Meldepflicht bei IT-Sicherheitsvorfällen (§ 32 BSIG). Erhebliche Sicherheitsvorfälle müssen unverzüglich an das Bundesamt für Sicherheit in der Informationstechnik (BSI) gemeldet werden. Dabei gelten kurze Fristen: Eine erste Meldung hat innerhalb von 24 Stunden nach Bekanntwerden des Vorfalls sowie eine detaillierte Meldung innerhalb von 72 Stunden zu erfolgen.

Unabhängig von einer unmittelbaren Betroffenheit wird allen Apotheken empfohlen, die eigenen IT-Sicherheitsmaßnahmen zu überprüfen und an einem angemessenen Schutzniveau auszurichten. Als Hilfestellung können Sie die in Anlage beigefügten, von der ABDA erstellten, Hinweise für ein IT-Sicherheitskonzept für Apotheken sowie die IT-Sicherheitsprüfliste für Apotheken nutzen. Kontaktieren Sie ggf. auch Ihre IT-Dienstleister.

Einen ausführlichen Fragen-Antwortkatalog zu NIS-2 finden Sie auf der Seite des BSI.

< zurück