- Recht Umsetzung der NIS-2-Richtlinie im BSI-Gesetz – Neue Compliance-Pflichten für Unternehmen BVMed Legal Lunch vom 19. Mai 2026
Die NIS-2-Richtlinie stellt Unternehmen in Europa vor erhebliche neue Herausforderungen im Bereich der Cybersicherheit. Mit dem verspätet in Kraft getretenen NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS-2-UmsuCGExterner Link. Öffnet im neuen Fenster/Tab.) gelten in Deutschland seit dem 6. Dezember 2025 weitreichende Pflichten für zehntausende Unternehmen, darunter auch zahlreiche Akteure der Medizintechnikbranche.
ArtikelBerlin, 21.05.2026
Hintergrund
© Pete Linforth auf Pixabay
Ziel des NIS-2-UmsuCGExterner Link. Öffnet im neuen Fenster/Tab. und der damit verbundenen Umsetzung der NIS-2-Richlinie im deutschen BSIGExterner Link. Öffnet im neuen Fenster/Tab. ist es, ein hohes Cybersicherheitsniveau sicherzustellen. Das Gesetz verpflichtet Unternehmen zu geeigneten, verhältnismäßigen technischen, operativen und organisatorischen Risikomanagementmaßnahmen im Bereich der Cybersicherheit sowie zur Erfüllung von Berichtspflichten bei erheblichen Cyberbedrohungen. Dr. Carolin Monsees (Taylor Wessing) gab beim BVMed Legal Lunch am 19. Mai 2026 einen praxisnahen Überblick über den Anwendungsbereich, die Pflichten und die Rechtsfolgen des neuen Rechtsrahmens.
Wesentliche Inhalte
- Erweiterter Anwendungsbereich: Das Gesetz erfasst ca. 25.550 neue betroffene Unternehmen in 18 Sektoren
- Unterteilung in besonders wichtige Einrichtungen und wichtige Einrichtungen mit unterschiedlichen Pflichtenkatalogen und Durchsetzungsbefugnissen
- Umfangreiche Risikomanagementmaßnahmen nach §§ 30, 31 BSIG, darunter Risikoanalysekonzepte, Sicherheit in der Lieferkette, Krisenmanagement, Cyberhygiene-Schulungen, Multi-Faktor-Authentifizierung und Kryptografiekonzepte
- Dreistufiges Melderegime nach § 32 BSIG: Erstmeldung innerhalb von 24 Stunden, Folgemeldung innerhalb von 72 Stunden, Abschlussmeldung innerhalb eines Monats
- Registrierungspflicht innerhalb von drei Monaten nachdem sie als (besonders) wichtige Einrichtung, kritische Anlagen oder bestimmte Akteure gelten, eigenständig durch das Unternehmen
- Haftung der Leitungsorgane: Risikomanagementmaßnahmen müssen durch das Leitungspersonal umgesetzt und überwacht werde
- Keine Übergangsfrist zur Umsetzung der Pflichten nach Inkrafttreten des Gesetzes
Bedeutung für die Praxis
Das neue BSIG stellt Unternehmen vor unmittelbaren Handlungsbedarf, Übergangfristen gibt es nicht. Besonders wichtige Einrichtungen unterliegen anlasslosen Überprüfungsmaßnahmen durch das BSI, darunter stichprobenartige Audits, Prüfungen und Zertifizierungen.
Die Einbeziehung der Lieferkette in das Risikomanagement ist ein zentrales neues Element des Gesetzes. Unternehmen müssen daher nicht nur die eigene IT-Sicherheit im Blick haben, sondern auch die Sicherheitsstandards ihrer Lieferanten und Dienstleister aktiv steuern. Dies erfordert eine enge Zusammenarbeit zwischen Rechtsabteilung, IT und Einkauf.
Fazit
Die NIS-2-Richtlinie und ihre deutsche Umsetzung im BSIG markieren eine deutliche Verschärfung der Cybersicherheitsanforderungen für Unternehmen. Mit Bußgeldern von bis zu 10 Mio. EUR bzw. 2 % des weltweiten Jahresumsatzes für besonders wichtige Einrichtungen und bis zu 7 Mio. EUR bzw. 1,4 % des weltweiten Jahresumsatzes für wichtige Einrichtungen sind die Rechtsfolgen erheblich. Unternehmen, auch aus der Medizintechnikbranche, sollten jetzt handeln: Zunächst gilt es, die eigene Betroffenheit und Einrichtungskategorie zu bestimmen, anschließend konkrete Risikomanagementmaßnahmen zu planen und umzusetzen sowie laufend den Stand der Technik zu überwachen und die Maßnahmen zu aktualisieren. Eine frühzeitige und strukturierte Auseinandersetzung mit den neuen Anforderungen ist der Schlüssel zur Vermeidung von Sanktionen und vor allem zur nachhaltigen Stärkung der eigenen Cyberresilienz.
