Warum das Thema gerade jetzt hochkocht
Seit dem 6. Dezember 2025 ist das NIS2-Umsetzungsgesetz in Deutschland in Kraft. Wer in den letzten Monaten in Branchenforen oder bei Verbänden mitgelesen hat, kennt die Verunsicherung: Muss ich mich beim BSI registrieren? Drohen Bußgelder? Die gesetzliche Registrierungsfrist ist laut Bundesamt für Sicherheit in der Informationstechnik (BSI) bereits abgelaufen – ein Grund, warum das Thema gerade jetzt in vielen Praxis-Postfächern landet, oft ohne klare Einordnung.
Dieser Artikel ordnet ein, was NIS2 überhaupt ist, wer betroffen ist – und warum das für die allermeisten Tierarztpraxen nicht direkt gilt. Ohne Panikmache, aber auch ohne Entwarnung, die dich in falscher Sicherheit wiegt.
Was NIS2 überhaupt ist
NIS2 ist eine EU-Richtlinie (RL 2022/2555) zur Netzwerk- und Informationssicherheit, die Mindeststandards für Cybersicherheit in bestimmten Branchen vorschreibt. Deutschland hat sie über das NIS2-Umsetzungsgesetz in nationales Recht überführt, vor allem als Änderung des BSI-Gesetzes (BSIG).
Wer betroffen ist: die Size-Cap-Regel
Betroffenheit läuft über zwei Kriterien gleichzeitig: Sektor-Zugehörigkeit und Unternehmensgröße.
Sektor: Die Einrichtung muss unter eine der Sektor-Definitionen aus Anlage 1 oder Anlage 2 BSIG fallen. Anlage 1 listet besonders kritische Sektoren wie Energie, Verkehr, Bankwesen, Gesundheitswesen, Trinkwasser und digitale Infrastruktur. Anlage 2 listet weitere kritische Sektoren wie Post, Abfallwirtschaft, Chemie, Lebensmittel und Teile des verarbeitenden Gewerbes.
Größe: Zusätzlich muss die Einrichtung die Größenschwellen aus § 28 Abs. 1 und 2 BSIG erreichen (sogenannte Size-Cap-Regel, angelehnt an die EU-KMU-Definition):
- Wichtige Einrichtung: ab 50 Mitarbeitenden oder mehr als 10 Millionen Euro Jahresumsatz
- Besonders wichtige Einrichtung: ab 250 Mitarbeitenden oder mehr als 50 Millionen Euro Jahresumsatz
Einige wenige Einrichtungsarten sind unabhängig von der Größe erfasst – etwa Anbieter öffentlicher Telekommunikationsnetze, Vertrauensdiensteanbieter und Betreiber von Top-Level-Domain-Namensregistern. Das betrifft Tierarztpraxen nicht.
Warum Tierarztpraxen in der Regel nicht betroffen sind
Der Gesundheitssektor in Anlage 1 BSIG orientiert sich an der EU-Definition für „Leistungserbringer im Gesundheitswesen". Diese Definition stammt aus Art. 3 lit. g der Richtlinie 2011/24/EU über die Ausübung der Patientenrechte in der grenzüberschreitenden Gesundheitsversorgung – und die ist konsequent auf die Versorgung menschlicher Patient:innen zugeschnitten.
Für die meisten Kleintier-, Pferde- und Tierheilpraktiker-Praxen bedeutet das: Es gibt aktuell keine direkte NIS2-Pflicht, weder Registrierung noch Risikomanagement-Nachweis nach § 30 BSIG. Wichtig ist die Formulierung „in der Regel" – die Ausnahmen dazu sind im nächsten Abschnitt.
Die Ausnahmen: wann es doch relevant wird
Zwei Konstellationen, in denen Tierarztpraxen indirekt mit NIS2 in Berührung kommen:
Größere Klinik-Konzerne mit anderer Sektor-Zuordnung. Wenn eine Tierklinik Teil eines größeren Konzerns ist, der selbst in einem erfassten Sektor tätig ist – etwa als Teil eines Pharma- oder Medizintechnik-Unternehmens –, kann die Konzernstruktur unter NIS2 fallen, auch wenn der tiermedizinische Teil selbst nicht erfasst wäre. Das ist ein Einzelfall, den größere Ketten rechtlich prüfen lassen sollten.
Lieferketten-Druck über NIS2-pflichtige Partner. § 30 Abs. 2 Nr. 4 BSIG verpflichtet NIS2-regulierte Unternehmen, Cybersicherheitsanforderungen auch an ihre Zulieferer zu stellen. Wenn eine Praxis mit einer Versicherung, einer Klinikkette oder einem Kooperationspartner zusammenarbeitet, der selbst NIS2-pflichtig ist, kann dieser Anforderungen an die eingesetzte Software und die Datenverarbeitung stellen – nicht als Gesetzespflicht für die Praxis direkt, sondern als vertragliche Erwartung.
Was trotzdem sinnvoll ist, auch ohne Pflicht
Keine NIS2-Pflicht heißt nicht: keine Verantwortung. Drei Gründe, warum sich Basis-IT-Sicherheit trotzdem lohnt:
Die DSGVO gilt unabhängig von NIS2 sowieso. Patienten- und Halter:innen-Daten sind personenbezogene Daten. Die Pflicht zu angemessenen technischen und organisatorischen Maßnahmen (Art. 32 DSGVO) besteht für jede Praxis, ganz ohne NIS2.
Das Cyberrisiko für kleine Praxen ist real. Ransomware-Angriffe richten sich zunehmend gegen kleine und mittlere Betriebe, nicht nur gegen Großkonzerne – oft, weil dort die Basis-Absicherung fehlt. Eine verschlüsselte Patientendatenbank ohne Backup ist für jede Praxisgröße ein existenzielles Risiko.
Vertrauen ist ein Wettbewerbsfaktor. Halter:innen erwarten heute, dass ihre Daten sicher verwahrt werden – unabhängig davon, ob ein Gesetz das explizit vorschreibt.
Checkliste: Basis-IT-Sicherheit ohne NIS2-Pflicht
- Regelmäßige, getestete Backups der Patientendaten – idealerweise automatisiert und außerhalb der Praxis-Hardware
- Zwei-Faktor-Authentifizierung für den Zugriff auf die Praxissoftware
- Software und Betriebssysteme zeitnah aktualisieren, keine ungepatchten Altsysteme
- Auftragsverarbeitungsvertrag (AVV) mit allen Software- und Cloud-Anbietern abschließen
- Hosting-Standort und Zertifizierungen des Software-Anbieters aktiv nachfragen, nicht nur beim Preis vergleichen
- Zugriffsrechte im Team klar vergeben, statt ein gemeinsames Login für alle zu nutzen
Wie Petflare damit umgeht
Petflare hostet Praxisdaten in Rechenzentren mit BSI-C5-Infrastruktur bei Hetzner in Falkenstein und Nürnberg und arbeitet DSGVO-konform. Das ist kein NIS2-Compliance-Versprechen – Petflare ist als Software-Anbieter keine Tierarztpraxis und für die eigene NIS2-Betroffenheit gelten andere Kriterien –, sondern der gleiche Grund, warum sich Basis-Sicherheit für jede Praxis lohnt: Patientendaten verdienen eine solide technische Grundlage, unabhängig von Gesetzespflichten. Details dazu findest du auf der Sicherheits-Seite.
Häufige Fragen
Muss ich mich als Tierarztpraxis beim BSI registrieren? In der Regel nein. Die NIS2-Registrierungspflicht betrifft Einrichtungen, die sowohl unter einen erfassten Sektor als auch über die Größenschwellen aus § 28 BSIG fallen. Tiermedizinische Praxen fallen nicht unter den NIS2-Gesundheitssektor, unabhängig von der Größe.
Gilt das anders, wenn meine Klinik mehrere Standorte hat oder zu einem Konzern gehört? Größe allein macht eine Tierarztpraxis nicht NIS2-pflichtig, weil der Sektor nicht passt. Relevant wird es nur, wenn die Konzernstruktur selbst in einem erfassten Sektor tätig ist – das ist ein Einzelfall, der sich rechtlich prüfen lässt, etwa über die unverbindliche NIS2-Betroffenheitsprüfung des BSI.
Ist DSGVO dasselbe wie NIS2? Nein. Die DSGVO schützt personenbezogene Daten und gilt für praktisch jede Praxis, unabhängig von Größe oder Sektor. NIS2 schützt die Cybersicherheit kritischer und wichtiger Infrastruktur-Sektoren und ist an Größenschwellen gekoppelt. Beide Pflichten bestehen unabhängig voneinander – DSGVO betrifft dich so oder so.
Kann sich das noch ändern? Theoretisch ja, eine Anpassung der EU-Richtlinie würde ein neues Gesetzgebungsverfahren erfordern. Laut BSI liegt der aktuelle Fokus aber auf der Umsetzung der bestehenden Richtlinie durch die Mitgliedstaaten, nicht auf Änderungen. Aktuelle Informationen dazu veröffentlicht das Bundesministerium des Innern (BMI).
Fazit
NIS2 ist seit Dezember 2025 geltendes Recht in Deutschland – aber für die allermeisten Tierarztpraxen ohne direkte Konsequenz, weil der Gesundheitssektor im Gesetz auf Humanmedizin zugeschnitten ist. Wer trotzdem verunsichert ist, sollte die eigene Situation nicht raten, sondern mit der BSI-Betroffenheitsprüfung oder im Zweifel rechtlich klären lassen. Unabhängig vom Ergebnis bleibt die DSGVO-Pflicht bestehen – und Basis-IT-Sicherheit lohnt sich für jede Praxisgröße, Gesetz hin oder her.
Quellen:
- Bundesamt für Sicherheit in der Informationstechnik: NIS-2-regulierte Unternehmen, abgerufen im August 2026.
- Bundesamt für Sicherheit in der Informationstechnik: Allgemeine FAQ zu NIS-2, abgerufen im August 2026.
- Richtlinie (EU) 2022/2555 (NIS2-Richtlinie), Amtsblatt der Europäischen Union, L333, 27.12.2022.
- Richtlinie 2011/24/EU über die Ausübung der Patientenrechte in der grenzüberschreitenden Gesundheitsversorgung, Art. 3 lit. g.
