NIS2 Medizinproduktehersteller: besonders wichtig oder wichtig?

Ein Kunde schickt Ihnen sein ISO-13485-Zertifikat und fragt: „Dann sind wir doch abgedeckt?" Es ist ein Hersteller von In-vitro-Diagnostika aus Baden-Württemberg mit 180 Beschäftigten. Auf dem Zertifikat steht nichts zum NIS2-Umsetzungsgesetz.

Produktregulierung und unternehmensweite Cybersicherheit sind zwei verschiedene Regime. MDR und IVDR regeln das Produkt. NIS2, in Deutschland umgesetzt über das geänderte BSI-Gesetz (BSIG), regelt das Unternehmen, das es herstellt. Wer NIS2 Medizinproduktehersteller berät, muss pro Kunde wissen, in welcher Anlage er steht. Das bestimmt Aufsichtsmodell, Bußgeldrahmen und Prüfungsdruck.

Pharma und Medizinprodukte stehen in zwei Anlagen

NIS2 (Richtlinie (EU) 2022/2555) verteilt Life-Sciences-Einrichtungen auf zwei Stellen. Das BSIG übernimmt diese Struktur in seinen Anlagen 1 und 2.

Anhang I, Sektor 5 (Gesundheitswesen) umfasst unter anderem:

• Hersteller von pharmazeutischen Grundstoffen und pharmazeutischen Zubereitungen;
• Einrichtungen, die Forschung und Entwicklung an Arzneimitteln betreiben;
• EU-Referenzlaboratorien;
• Hersteller von Medizinprodukten, die während einer Notlage im Bereich der öffentlichen Gesundheit als kritisch gelten, also Produkte der Liste nach Artikel 22 der Verordnung (EU) 2022/123.

Anhang II, Sektor 5 (Herstellung bestimmter kritischer Waren) umfasst Hersteller von Medizinprodukten und In-vitro-Diagnostika, die nicht auf dieser Notfallliste stehen.

Besonders wichtig oder wichtig: die Größe entscheidet

Nach Artikel 3 ist eine große Einrichtung in einem Sektor des Anhangs I eine wesentliche Einrichtung; das BSIG nennt sie „besonders wichtige Einrichtung". Eine mittlere Einrichtung in Anhang I ist eine wichtige Einrichtung. Jede erfasste Einrichtung in Anhang II ist wichtig.

Kunde	Anhang	Typische Einordnung
Großer Arzneimittelhersteller	I	Besonders wichtig
Mittleres Arzneimittel-Forschungsunternehmen	I	Wichtig
Großer Hersteller von Produkten der Notfallliste	I	Besonders wichtig
Mittlerer IVD-Hersteller	II	Wichtig
Großer Hersteller allgemeiner Medizinprodukte	II	Wichtig

Die Größe folgt aus der Empfehlung 2003/361/EG: mittel heißt mindestens 50 Beschäftigte oder mehr als 10 Mio. EUR Umsatz oder Bilanzsumme. Kleine und Kleinstunternehmen sind in der Regel nicht erfasst, mit engen Ausnahmen.

Gehen Sie nicht davon aus, dass ein Medizinproduktehersteller in Anhang I steht. Die meisten tun es nicht. Die Notfallliste wird erst nach Feststellung einer gesundheitlichen Notlage relevant; der typische Kunde steht in Anhang II.

Aufsicht in Deutschland: das BSI

In Deutschland ist das Bundesamt für Sicherheit in der Informationstechnik (BSI) die zuständige Behörde. Das NIS2-Umsetzungsgesetz ist am 6. Dezember 2025 in Kraft getreten, die Registrierungsfrist beim BSI lief am 6. März 2026 ab. Bis zum 31. Juli 2026 meldete das BSI 18.845 Registrierungen. Was das für Ihre Kunden bedeutet, lesen Sie in Deutschlands NIS2-Frist ist abgelaufen.

Die Einstufung ändert Ihr Mandat. Beide Kategorien haben dieselben Risikomanagementpflichten (Artikel 21 NIS2) und dieselben Meldepflichten (Artikel 23). Unterschiede gibt es bei Aufsicht und Bußgeld. Besonders wichtige Einrichtungen unterliegen proaktiver Aufsicht, wichtige Einrichtungen reaktiver. Artikel 34 sieht Bußgelder bis 10 Mio. EUR oder 2 % des weltweiten Jahresumsatzes für wesentliche Einrichtungen und bis 7 Mio. EUR oder 1,4 % für wichtige Einrichtungen vor.

Reaktive Aufsicht ist keine entspannte Aufsicht. Wenn ein Hersteller vernetzter Infusionspumpen von Ransomware getroffen wird, ist „wichtig" kein Trost.

Was ein Audit bei Life-Sciences-Kunden findet

Qualitätssysteme sind ausgereift. Security-Governance meist nicht.

OT- und Labornetze. Produktionslinien, Reinräume und Laborgeräte laufen auf Altsystemen, die nicht im IT-Takt patchbar sind. Segmentierung ist die realistische Maßnahme. Siehe NIS2 für Hersteller: die IT/OT-Grenze.

Validierte Systeme. Die Validierung computergestützter Systeme friert Softwarestände ein. Teams werten das als Grund, nicht zu patchen. NIS2 verlangt einen dokumentierten Schwachstellenprozess mit Ausgleichsmaßnahmen, kein Schweigen.

Lieferkettenrisiko. Lohnhersteller, CROs, Cloud-LIMS und Softwarelieferanten fallen unter Artikel 21 Absatz 2 Buchstabe d. Eine Qualitätssicherungsvereinbarung ist keine Sicherheitsbewertung.

Verantwortung der Geschäftsleitung. Das BSIG verpflichtet die Geschäftsleitung, die Maßnahmen zu billigen und zu überwachen (Artikel 20 NIS2). Der Qualitätsmanager kann das nicht für sie abzeichnen.

Produktsicherheit ist nicht Unternehmenssicherheit. Die MDR- und IVDR-Anforderungen an die Cybersicherheit von Produkten betreffen den Produktlebenszyklus. Sie liefern keinen Incident-Prozess für das Firmennetz, keine Registrierung und keine Frühwarnung binnen 24 Stunden.

Meldepflichten laufen neben der Vigilanz

Ein erheblicher Sicherheitsvorfall löst eine Frühwarnung binnen 24 Stunden, eine Vorfallmeldung binnen 72 Stunden und einen Abschlussbericht binnen eines Monats aus. Diese Fristen stehen neben den Vigilanzmeldungen für Medizinprodukte. Ein Ereignis kann beide auslösen.

Bauen Sie ein einziges Incident-Playbook: Wer entscheidet über „erheblich", wer meldet an das BSI, wer erstattet die Vigilanzmeldung. Testen Sie es einmal. Details in NIS2-Meldepflichten: 24 Stunden, 72 Stunden, 1 Monat.

Mehrere Standorte, mehrere Rechtsordnungen

Ein Hersteller mit Werken in mehreren Ländern kann unter mehrere Regime fallen. Deutschland, Italien, Polen und die Niederlande haben Gesetze in Kraft; Frankreich und Spanien haben nicht umgesetzt und wurden im Juli 2026 von der Kommission an den EuGH verwiesen.

Klären Sie pro juristischer Person, welches Recht gilt und welche Behörde zuständig ist. Siehe Artikel 26: Welche Behörde beaufsichtigt Ihren Kunden.

Was Sie diesen Monat tun

1. Rechtsträger auflisten. NIS2 gilt pro Einrichtung, nicht pro Konzernmarke.
2. Jede Einrichtung nach Anhang I und II einordnen und den Größentest anwenden.
3. Prüfen, ob ein Produkt auf der Notfallliste steht.
4. Registrierung beim BSI und in weiteren Ländern bestätigen.
5. Lücken gegen die zehn Maßnahmen aus Artikel 21 abbilden, zuerst Lieferkette und Schwachstellenmanagement.

Sie brauchen für einen Life-Sciences-Kunden schnell einen belastbaren Ausgangspunkt? Starten Sie mit einer Readiness-Bewertung. Starten Sie den kostenlosen NIS2 Quick Scan und Sie erhalten eine Gap-Analyse für die Geschäftsleitung.

Kunden einordnen, Lücken finden, zuerst Lieferkette und Schwachstellenmanagement beheben. Dort verlieren Hersteller die meisten Auditpunkte.