NIS2, ISO 27001 und BCM in einem System — inklusive Betriebstechnik
Entwickelt in der dichtesten Umgebung für Betriebstechnik-Compliance, die es gibt. Genau deshalb trägt es in jedem Sektor, dessen Risiko nicht im Serverraum endet.
30 Tage kostenlos · kein Kreditkartenzwang · Demo ohne Login
Ausgangslage
Warum ein Klinik-System ausserhalb der Klinik trägt
ISMShield ist im Krankenhaus entstanden — in der dichtesten Umgebung für Betriebstechnik-Compliance, die der deutschsprachige Raum kennt. Dort laufen Informationssicherheit, Anlagenpflege und Nachweisführung nicht nebeneinander, sondern in einer einzigen Kette.
Zwei Gruppen sind hier richtig. Die erste sind Einrichtungen im Gesundheitswesen, die kein Krankenhaus betreiben — Pflege, Reha, Labore: dieselbe Technik, dieselben Nachweise, aber andere Vorzeichen als im Akuthaus. Die zweite sind Sektoren, deren Versorgungsauftrag mit Medizin nichts zu tun hat — Netze, Werke, Anlagen.
Beide stehen vor derselben Lücke. Das ISMS endet am Serverraum, die Anlagen liegen in Insellösungen, und zum Audittermin wird von Hand zusammengeführt.
Die Bezeichnungen ändern sich, die Struktur nicht. Was im Krankenhaus Medizintechnik heisst, heisst im Werk Fertigungstechnik und im Netz Leittechnik — Objekt, Prüffrist, Nachweis, Verantwortlicher bleiben dieselben vier Felder.
Betroffenheit
Wer von NIS2 erfasst ist
Die Einstufung entscheidet über die Tiefe der Pflichten. Angaben je Sektor, deutsche und schweizerische Rechtslage getrennt geführt.
| Branche | Einstufung nach NIS2 | Betroffenheit | Aufsicht Deutschland | Regime Schweiz | Aufsicht Schweiz |
|---|---|---|---|---|---|
| Pflegeeinrichtungen, Reha-Kliniken und Labore | Reine Pflegeeinrichtungen und Rehakliniken ohne Krankenhausleistung fallen nicht unter Anhang I der NIS2-Richtlinie. Die Anforderungen werden dennoch relevant: erstens als Dienstleister betroffener Einrichtungen entlang der Lieferkette, zweitens über Art. 32 DSGVO sowie in der Schweiz über das nDSG und das EPDG. | Laboratorien mit einer Bewilligung nach dem Epidemiengesetz sind nach Art. 74b Abs. 1 Bst. g ISG meldepflichtig — Erstmeldung binnen 24 Stunden an das BACS. Bst. f erfasst daneben Spitäler auf den kantonalen Spitallisten; ob eine Einrichtung dort geführt wird, ist im Einzelfall zu prüfen. | Bundesamt für Cybersicherheit BACS | ||
| Stadtwerke und kommunale Versorger | Anlage 1 des BSIG — Energie, Trinkwasser und Abwasser sind eigenständige Sektoren hoher Kritikalität | Wichtige Einrichtung ab 50 Beschäftigten oder über 10 Mio. EUR Jahresumsatz und Bilanzsumme. Besonders wichtige Einrichtung ab 250 Beschäftigten oder über 50 Mio. EUR Umsatz und 43 Mio. EUR Bilanzsumme. Die Zuordnung erfolgt je Sparte, nicht für das Unternehmen als Ganzes. Rechtlich unselbständige Eigen- und Regiebetriebe sind ebenfalls erfasst. | BSI, bei Strom- und Gasnetzen zusätzlich die Bundesnetzagentur | ISG-Meldepflicht seit 1. April 2025, 24 Stunden an das BACS, ausdrücklich für Energie- und Trinkwasserversorgung sowie kommunale Verwaltungen. Seit 1. Oktober 2025 mit Bussen bis 100 000 Franken bewehrt. | Bundesamt für Cybersicherheit BACS |
| Wasser- und Abwasserversorgung | Anlage 1 Nr. 5 des BSIG — Wasser, mit den Teilsektoren 5.1 Trinkwasserversorgung und 5.2 Abwasserbeseitigung | Besonders wichtige Einrichtung ab 250 Beschäftigten oder über 50 Mio. € Umsatz und über 43 Mio. € Bilanzsumme; wichtige Einrichtung ab 50 Beschäftigten oder über 10 Mio. € Umsatz und Bilanzsumme. Betreiber kritischer Anlagen sind unabhängig von der Grösse besonders wichtige Einrichtung. | BSI | Organisationen, die öffentlich-rechtliche Aufgaben in der Trinkwasser- und Abwasserversorgung wahrnehmen, sind nach Art. 74b Abs. 1 Bst. c ISG meldepflichtig — Erstmeldung binnen 24 Stunden an das BACS. | Bundesamt für Cybersicherheit BACS |
| Abfallwirtschaft und Entsorgung | Anlage 2 Nr. 2 des BSIG — Abfallbewirtschaftung | Erfasst sind Unternehmen der Abfallwirtschaft nach dem Kreislaufwirtschaftsgesetz, ausgenommen solche, für die die Abfallbewirtschaftung nicht die Haupttätigkeit ist. In der Regel greift die Einstufung als wichtige Einrichtung: ab 50 Beschäftigten oder über 10 Mio. € Jahresumsatz und Bilanzsumme. Wer eine kritische Anlage betreibt, ist unabhängig von der Grösse besonders wichtige Einrichtung. Die Nachweispflicht nach § 39 BSIG trifft Betreiber kritischer Anlagen; für den Regelfall dieses Sektors greift sie nicht. | BSI | Organisationen, die öffentlich-rechtliche Aufgaben in der Abfallentsorgung wahrnehmen, sind nach Art. 74b Abs. 1 Bst. c ISG meldepflichtig — Erstmeldung binnen 24 Stunden an das BACS. | Bundesamt für Cybersicherheit BACS |
| Maschinenbau und verarbeitendes Gewerbe | Anlage 2 Nr. 5 des BSIG — verarbeitendes Gewerbe und Herstellung von Waren. Der Maschinenbau steht dort unter Nummer 5.4, NACE-Kategorie 28 | In der Regel greift die Einstufung als wichtige Einrichtung: ab 50 Beschäftigten oder über 10 Mio. € Jahresumsatz und Bilanzsumme. Wer eine kritische Anlage betreibt, ist unabhängig von der Grösse besonders wichtige Einrichtung. Die Nachweispflicht nach § 39 BSIG trifft Betreiber kritischer Anlagen; für den Regelfall dieses Sektors greift sie nicht. Im selben Sektor stehen Medizinprodukte und In-vitro-Diagnostika (5.1), Datenverarbeitungsgeräte und elektronische Erzeugnisse (5.2), elektrische Ausrüstungen (5.3), Kraftwagen und Kraftwagenteile (5.5) sowie sonstiger Fahrzeugbau (5.6). | BSI | Der Maschinenbau als solcher ist in der schweizerischen Meldepflicht nicht genannt. Erfasst sind nach Art. 74b Abs. 1 Bst. u ISG Herstellerinnen von Hard- und Software mit Fernwartungszugang — Erstmeldung binnen 24 Stunden an das BACS. | Bundesamt für Cybersicherheit BACS |
| Behörden des Bundes und Schweizer Verwaltungen | Kein Sektor der Anlagen 1 und 2. Einrichtungen der Bundesverwaltung stehen in § 29 BSIG: Bundesbehörden, öffentlich-rechtliche IT-Dienstleister des Bundes sowie Körperschaften, Anstalten und Stiftungen des Bundes, soweit das Bundesamt es anordnet | Ohne Grössenschwelle. Ausgenommen sind Institutionen der Sozialen Sicherung und die Deutsche Bundesbank; für Auswärtiges Amt, Bundesministerium der Verteidigung, Bundesnachrichtendienst und Bundesamt für Verfassungsschutz gelten Sonderregelungen. Für die erfassten Einrichtungen gelten die Bestimmungen für besonders wichtige Einrichtungen, ausgenommen § 38, § 40 Abs. 3, § 61 und § 65 BSIG. | BSI | Behörden von Bund, Kantonen und Gemeinden sind nach Art. 74b Abs. 1 Bst. b ISG meldepflichtig, Hochschulen nach Bst. a — Erstmeldung binnen 24 Stunden an das BACS. | Bundesamt für Cybersicherheit BACS |
| Rechenzentren, Cloud, Netze und Managed Services | Anlage 1 Nr. 6 des BSIG — Digitale Infrastruktur. Genannt sind Betreiber von Internet Exchange Points, DNS-Dienstanbieter ausgenommen Betreiber von Root-Nameservern, Top Level Domain Name Registries, Anbieter von Cloud-Computing-Diensten, Anbieter von Rechenzentrumsdiensten, Betreiber von Content Delivery Networks, Vertrauensdiensteanbieter, Betreiber öffentlicher Telekommunikationsnetze, Anbieter öffentlich zugänglicher Telekommunikationsdienste, Managed Services Provider und Managed Security Services Provider | Besonders wichtige Einrichtung ab 250 Beschäftigten oder über 50 Mio. € Umsatz und über 43 Mio. € Bilanzsumme; wichtige Einrichtung ab 50 Beschäftigten oder über 10 Mio. € Umsatz und Bilanzsumme. Unabhängig von der Grösse stets besonders wichtige Einrichtung sind qualifizierte Vertrauensdiensteanbieter, Top-Level-Domain-Registries und DNS-Diensteanbieter. Für Anbieter von Telekommunikationsdiensten greift die Einstufung als besonders wichtige Einrichtung bereits ab 50 Beschäftigten oder über 10 Mio. € Umsatz und Bilanzsumme. | BSI | Meldepflichtig sind nach Art. 74b Abs. 1 ISG Anbieterinnen von Fernmeldediensten (Bst. q), Betreiberinnen von Domain-Registern (Bst. r), Anbieterinnen von Cloud-, Such- und Sicherheitsdiensten (Bst. t) sowie Herstellerinnen von Hard- und Software mit Fernwartungszugang (Bst. u) — Erstmeldung binnen 24 Stunden an das BACS. | Bundesamt für Cybersicherheit BACS |
| Verkehrsbetriebe und Verkehrsinfrastruktur | Anlage 1 Nr. 2 des BSIG — Transport und Verkehr, mit den Teilsektoren 2.1 Luftverkehr, 2.2 Schienenverkehr, 2.3 Schifffahrt und 2.4 Strassenverkehr. Genannt sind gewerbliche Luftfahrtunternehmen, Flughäfen und ihre Leitungsorgane sowie ATM/ANS-Anbieter; Betreiber von Eisenbahninfrastruktur und Eisenbahnverkehrsunternehmen nach § 2 Abs. 3 AEG; Passagier- und Frachtbeförderung der Binnen-, See- und Küstenschifffahrt, Hafenleitungsorgane und Betreiber von Wasserstrassen-Betriebssystemen; im Strassenverkehr ausschliesslich Betreiber von Verkehrsbeeinflussungsanlagen und intelligenten Verkehrssystemen nach § 2 Nr. 1 IVSG | Besonders wichtige Einrichtung ab 250 Beschäftigten oder über 50 Mio. € Umsatz und über 43 Mio. € Bilanzsumme; wichtige Einrichtung ab 50 Beschäftigten oder über 10 Mio. € Umsatz und Bilanzsumme. Der Fahrbetrieb des öffentlichen Personennahverkehrs — Strassenbahn und Bus nach dem Personenbeförderungsgesetz — ist keine Einrichtungsart der Anlage 1. Erfasst wird er über die kritische Anlage: Schienennetz, Stellwerke und Leitzentrale des öffentlichen Strassenpersonenverkehrs ab 125 Millionen Fahrgastfahrten im Jahr. Betreiber kritischer Anlagen sind unabhängig von der Grösse besonders wichtige Einrichtung. | BSI | Meldepflichtig sind nach Art. 74b Abs. 1 ISG Bahn-, Seilbahn- und Schifffahrtsunternehmen (Bst. m), Unternehmen der Zivilluftfahrt (Bst. n) sowie die Güterbeförderung auf dem Rhein und der Hafen Basel (Bst. o) — Erstmeldung binnen 24 Stunden an das BACS. Der Busbetrieb ist dort nicht genannt. | Bundesamt für Cybersicherheit BACS |
Die Einstufung hängt von Sparte, Grösse und Anlagenschwellen ab und ist im Einzelfall zu prüfen.
Sektoren
Branchenseiten
Je Sektor eine Seite mit Betroffenheit, Anlagenklassen, Nachweispflichten und Modulzuordnung.
Pflege und Reha
NIS2 und Nachweisfuehrung ausserhalb des Akuthauses
Pflegeeinrichtungen, Reha-Kliniken und Labore →
Öffentliche Verwaltung
Bundesbehörden nach § 29 BSIG, Gemeinden nach ISG
Behörden des Bundes und Schweizer Verwaltungen →
Digitale Infrastruktur
Rechenzentrum, Cloud, Netz, MSP und MSSP
Rechenzentren, Cloud, Netze und Managed Services →
Verkehr
Schiene, Wasser, Luft — und die Leitzentrale des ÖPNV
Verkehrsbetriebe und Verkehrsinfrastruktur →
Übersetzung
Vom Krankenhaus in Ihren Sektor
Dieselbe Nachweiskette, andere Bezeichnungen.
| Im Krankenhaus | In Ihrem Sektor |
|---|---|
| Medizintechnik | Betriebstechnik mit Pruefristen |
| Haustechnik | Haustechnik — identisch |
| Hygiene | branchenspezifische Betriebspflicht |
| B3S Krankenhaus | sektoraler B3S / § 39-Nachweis |
Hier entlang. Für Kliniken gibt es die eigene Spur mit B3S Krankenhaus, Medizintechnik und Hygiene — mit den Bezeichnungen, die im Haus tatsächlich benutzt werden.
Bereit, es selbst zu sehen?
30 Tage kostenlos, mit Ihren echten Daten, ohne Kreditkarte. Wenn es nicht passt, exportieren Sie alles und sind wieder raus.