NIS-2-Richtlinie: BVMed informiert über neue Vorschriften zur Cybersicherheit

Auf die Hersteller von Medizinprodukten kommen neue Vorschriften zur Cybersicherheit zu. Der Bundesverband Medizintechnologie (BVMed) informiert über diese mit einem aktuellen Informationsblatt.

Grundlage dieser neuer Vorschriften, so erläutert der BVMed, ist die europäische Netzwerk- und Informationssicherheit(NIS-2)-Richtlinie aus dem Jahr 2023, die deutliche Verschärfungen der EU-Vorschriften zur Cybersicherheit enthält. Sie müsse bis 17. Oktober in nationales Recht umgesetzt werden. Seit Ende Juni liege dazu in Deutschland der vierte Referentenentwurf zu einem NIS-2-Umsetzungs- und Cybersicherheitsstärkungs-Gesetz (NIS2UmsuCG) vor. Das BVMed-Informationsblatt zu den neuen Anforderungen an die Cybersicherheit, das in Zusammenarbeit mit der Kanzlei Reusch Law erarbeitet wurde, kann unter hier heruntergeladen werden.

„Mit der NIS-2-Richtlinie werden die Anforderungen an die Cybersicherheit in der Medizinprodukte- und In-vitro-Diagnostika-Branche deutlich verschärft“, betont der BVMed. Betroffen seien Unternehmen ab 50 Beschäftigten oder einem Jahresumsatz von mehr als zehn Millionen Euro. Aus den Vorgaben der NIS-2-Richtlinie ergäben sich unter anderem folgende Anforderungen:

• Governance und Awareness: Die Geschäftsführung muss Maßnahmen zur Cybersicherheit ergreifen und überwachen sowie sämtliche Mitarbeiter zur Cybersicherheit schulen.
• Management von Cybersicherheits-Risiken: Die Unternehmen müssen Risikoanalysen durchführen und dokumentieren. Identifizierte Risiken müssen durch technische und organisatorische Maßnahmen beherrschbar gemacht werden. Die Cybersicherheit muss hierbei nicht nur im Unternehmen selbst, sondern auch in der Lieferkette gewährleistet werden.
• Berichtspflichten: Erhebliche Cybersicherheits-Vorfälle müssen in einem gestuften Meldesystem an die zuständige Aufsichtsbehörde gemeldet werden. Je nach Vorfall sind bis zu fünf Meldungen erforderlich. Im Falle von erheblichen Cyberbedrohungen sind zudem die Empfänger der Dienste zu unterrichten. Die datenschutzrechtlichen Meldepflichten bleiben daneben bestehen.

„Erst mit der Umsetzung der NIS-2-Richtlinie in deutsches Recht werden die Vorgaben zur Cybersicherheit für Unternehmen in Deutschland verbindlich“, erklärt der BVMed. Im Rahmen der Verbändeanhörung habe das für das NIS2UmsuCG federführende Bundesinnenministerium angekündigt, bis Herbst dieses Jahres einen Kabinettsentwurf vorzulegen und das parlamentarische Verfahren einzuleiten, sodass das Gesetz spätestens im Frühjahr 2025 ohne Übergangsfristen in Kraft treten solle.

Zu der NIS-2-Richtlinie zur Cybersicherheit bietet die BVMed-Akademie am 9. September ein Webinar an. Dabei geht es neben einem tiefgreifenden Verständnis der rechtlichen Vorgaben insbesondere um praktische Lösungen, wie die neuen Vorgaben effektiv in Unternehmen umgesetzt werden können. Zum Programm, den Konditionen und der Anmeldung geht es hier.