Leitfaden Gesundheitswesen · 8 Min.
ENISA-Beschaffungsleitlinien zur Cybersicherheit für Krankenhäuser: so bewerten Sie Ihre Lieferanten
Am 22. Juli 2026 veröffentlichte ENISA aktualisierte Beschaffungsleitlinien zur Cybersicherheit von Krankenhäusern und Gesundheitsdienstleistern, eine der ersten Lieferungen des EU-Aktionsplans für die Cybersicherheit von Krankenhäusern. Sie machen die Cybersicherheit der Lieferanten zu einem festen Bestandteil des Einkaufs: Anforderungen an Lieferanten, eine praktische Checkliste und Kontrollen über den gesamten Beschaffungslebenszyklus. Das Gesundheitswesen ist ein wesentlicher NIS2-Sektor, daher ergänzt dies die Pflicht nach Artikel 21 Absatz 2 Buchstabe d, das Lieferkettenrisiko zu steuern. Dieser Leitfaden übersetzt die Leitlinien in konkrete Schritte, um einen Lieferanten vor und nach Vertragsschluss zu bewerten.
Kernpunkte
- • ENISA erwartet, dass Cybersicherheit in jede Phase der Beschaffung eingebaut wird, nicht nachträglich angehängt.
- • Der Kern ist, die Sicherheit eines Lieferanten vor Vertragsschluss zu bewerten und über die Vertragslaufzeit zu überwachen.
- • Das meiste lässt sich anhand öffentlicher Signale bewerten, mit dokumentierter Entscheidung und Nachweiskette.
Was ENISA veröffentlicht hat und warum es zählt
Die Beschaffungsleitlinien sind eine der ersten Lieferungen des 2025 gestarteten EU-Aktionsplans für die Cybersicherheit von Krankenhäusern und erscheinen zusammen mit einem neuen europäischen Cybersicherheits-Unterstützungszentrum für Gesundheitsdienstleister. Sie legen Cybersicherheitsanforderungen an Lieferanten fest, heben die Produkte und Dienste hervor, bei denen Sicherheit am wichtigsten ist, und bieten eine praktische Checkliste über den Beschaffungslebenszyklus. Da Krankenhäuser und Gesundheitsdienstleister nach NIS2 wesentliche Einrichtungen sind, ergänzt dies die Pflicht nach Artikel 21(2)(d), das von Ihren Lieferanten getragene Risiko zu identifizieren und zu steuern: Die Leitlinien beschreiben, wie das beim Einkauf und laufend danach gelingt.
Offizielle Quelle: ENISA — Beschaffungsleitlinien für Krankenhäuser und Gesundheitsdienstleister — veröffentlicht am 22. Juli 2026, eine der ersten Lieferungen des EU-Aktionsplans für die Cybersicherheit von Krankenhäusern. Geprüft am 22. Juli 2026.
Cybersicherheit über den gesamten Beschaffungslebenszyklus
Die Leitlinien decken jede Phase ab, von der Anforderungsdefinition bis zur Vertragsführung. Diese fünf Schritte übersetzen das in das, was tatsächlich über einen Lieferanten zu bewerten ist, und das meiste nutzt Informationen, die Sie ohne jeden Zugriff auf die Systeme des Lieferanten erhalten.
Cybersicherheitsanforderungen an Lieferanten vor der Ausschreibung festlegen
Legen Sie die Basis fest, die ein Lieferant erfüllen muss, bevor Sie zur Angebotsabgabe einladen: E-Mail-Authentifizierung, Verschlüsselung, Schwachstellenmanagement, Vorfallmeldung und Nachweiserwartungen. Schriftlich festgehalten wird aus 'vertrauen Sie uns' ein messbares Kriterium, an dem Sie jeden Bieter bewerten.
Kandidaten vor Vertragsschluss von außen bewerten
Prüfen Sie vor einem Vertrag die öffentliche Sicherheitslage des Lieferanten: E-Mail-Fälschbarkeit (SPF/DMARC), Zertifikatshygiene, aus dem Internet erreichbare Systeme und etwaige geleakte Zugangsdaten. Diese Due Diligence vor Vertragsschluss markiert Hochrisiko-Lieferanten, solange Sie noch einen anderen wählen können, ohne Zugriff auf deren Systeme.
Sicherheit in den Vertrag aufnehmen
Verwandeln Sie die Anforderungen in Klauseln: die Maßnahmen, die der Lieferant aufrechterhalten muss, das Recht auf Nachweise, Fristen zur Vorfallmeldung und Pflichten für Unterlieferanten. Hier werden ENISAs Anforderungen an Lieferanten durchsetzbar statt nur wünschenswert.
Kontinuierlich überwachen, nicht einmalig
Ein bei Vertragsschluss unauffälliger Lieferant driftet: Ein Zertifikat läuft ab, ein neues System wird exponiert, Zugangsdaten leaken. Die Leitlinien decken aus gutem Grund den gesamten Lebenszyklus ab. Kontinuierliche externe Überwachung hält die Lage über die Vertragslaufzeit ehrlich, statt einer alternden Momentaufnahme.
Entscheidung dokumentieren und Nachweise aufbewahren
Dokumentieren Sie die Go/No-Go-Entscheidung, die geprüften Anforderungen und die zugrunde liegenden Nachweise. Für eine wesentliche Einrichtung ist das sowohl gute Beschaffung als auch die von NIS2 erwartete Rechenschaftskette: Sie können zeigen, was Sie wann bewertet haben und warum Sie einen Lieferanten angenommen oder abgelehnt haben.
Sehen Sie, wie Sie und Ihre Lieferanten tatsächlich abschneiden
7 Tage kostenlos · keine Kreditkarte · jederzeit kündbar
Wie norppa das operationalisiert
norppa wurde genau für diese Lieferkettenpflicht gebaut. Es bewertet die externe Sicherheitslage eines Kandidaten vor Vertragsschluss (ein Urteil vor Vertragsschluss, ohne einen Überwachungsplatz zu belegen), erfasst die Go/No-Go-Beschaffungsentscheidung mit Begründung, versendet einen strukturierten Fragebogen zu den Anforderungen, die Lieferanten bestätigen müssen, und überwacht dann jeden Lieferanten kontinuierlich über mehr als 100 automatisierte Prüfungen, wobei jeder Befund dem einschlägigen NIS2-Artikel zugeordnet wird. Das Ergebnis ist die dokumentierte, den gesamten Lebenszyklus umfassende Nachweiskette, die die ENISA-Leitlinien beschreiben, ohne IT-Projekt oder Zugriff auf die Systeme des Lieferanten.
Häufige Fehler
- ✕Sicherheit als einmaliges Kästchen beim Onboarding zu behandeln, obwohl die Leitlinien den gesamten Vertragslebenszyklus abdecken.
- ✕'Muss sicher sein' in eine Ausschreibung zu schreiben, ohne messbare, prüfbare Kriterien.
- ✕Nur die Fragebogenantworten des Lieferanten zu bewerten, nie die externe Realität dahinter.
- ✕Keinen Nachweis darüber zu führen, warum ein Lieferant angenommen wurde, sodass für Prüfer oder Aufsicht keine Rechenschaftskette bleibt.
Bewerten Sie einen Gesundheitslieferanten vor Vertragsschluss
Sehen Sie einen Beispiel-Lieferantenbericht (Befunde, NIS2-Zuordnung und Nachweise) in zwei Minuten.
7 Tage kostenlos · keine Kreditkarte · jederzeit kündbar
Verwandte Leitfäden
Wie Sie NIS2 erfüllen: ein Schritt-für-Schritt-Fahrplan
Die Schritte zur NIS2-Konformität in der richtigen Reihenfolge: Anwendungsbereich bestätigen, registrieren, Verantwortung der Leitung (Art. 20), die Maßnahmen nach Art. 21 Abs. 2, Lieferkettensicherheit, Vorfallmeldung (Art. 23) und fortlaufende, nachgewiesene Absicherung.
Wer fällt unter NIS2? Wesentliche und wichtige Einrichtungen, Sektoren und Größenschwellen
Stellen Sie fest, ob NIS2 für Sie gilt: die zwei Kategorien, die Sektoren aus Anhang I/II, die Größenschwellen, größenunabhängige Ausnahmen und wie die Lieferkette Sie auch ohne Benennung erfasst.
NIS2 für Lieferanten: Sie sind nicht eingestuft, aber Ihre Kunden
Die meisten Unternehmen werden nie unter NIS2 eingestuft, müssen aber dennoch konform sein. Wie die Lieferkettenpflicht eines erfassten Kunden nach Artikel 21 Absatz 2 Buchstabe d auf Sie übergeht, was er verlangt und wie Sie glaubwürdig reagieren.
NIS2 und die Lieferkettenpflicht: was das in der Praxis bedeutet
NIS2 verpflichtet wesentliche und wichtige Einrichtungen zur Bewertung ihrer Lieferkettenrisiken. Lieferanten-Tiering, 4th-Party-Risiken, Art. 23-Meldepflicht und worauf Prüfer achten.
So entsteht ein Sicherheitsvorfall 2026: Ihre externe Angriffsfläche und Ihre Lieferkette
Die Angriffskette 2026 Schritt für Schritt — gestohlene Zugangsdaten, ausgenutzte Edge-Geräte, E-Mail-Spoofing — auf Ihrer eigenen Angriffsfläche und der Ihrer Lieferanten, und wo norppa.io die Kette durchbricht.
Lieferanten-Cyberrisikobeurteilung: was das automatisierte NIS2-Monitoring prüft
Alle Prüfkategorien erklärt: Ransomware, Dark-Web-Lecks, TLS/DNSSEC, Cookie-Sicherheit, CVE/EPSS, Sanktionen, MX-Blacklists und SAQ. Befundslebenszyklus und NIS2-Artikelzuordnung.
NIS2 Art. 21(2): Sicherheits-Checkliste für Lieferanten
Checkliste für Beschaffungs- und Sicherheitsteams: Was zu fragen ist, welche Nachweise zu sammeln sind und wie zu reagieren ist, wenn ein Lieferant Anforderungen nicht erfüllt. Mit empfohlenen Nachweisdokumenten.
NIS2-Lieferantenfragebogen (SAQ): was fragen, wie bewerten, plus Vorlage
Was Lieferanten nach Art. 21(2)(d) zu fragen ist, wie man Antworten bewertet und auf Lücken reagiert, warum Selbstauskunft Überprüfung braucht, plus eine kostenlose Vorlage.
NIS2-Vorfallmeldung: die 24- und 72-Stunden-Fristen erklärt
Was ein erheblicher Vorfall ist, der Zeitplan nach Artikel 23 (24-Stunden-Frühwarnung, 72-Stunden-Meldung, Abschlussbericht nach einem Monat) und wann der Vorfall eines Lieferanten zu Ihrer Pflicht wird.
NIS2 und die Verantwortung der Leitung: Was Vorstand und Geschäftsführung wissen müssen
Was NIS2 vom Leitungsorgan erwartet: Genehmigungs- und Aufsichtspflichten, persönliche Haftung (Art. 20), Schulung, Vorstands-KPIs und die Sanktionen nach Art. 34.
ISO 27001 und NIS2: Was Ihr ISMS bereits abdeckt, und die Lücken, die bleiben
Wenn Sie ISO 27001 halten: was auf NIS2 übertragbar ist und was nicht (gesetzliche Vorfallmeldung, Haftung der Leitung, Registrierung und kontinuierliche Lieferkettensicherung) und wie Sie die Lücke schließen.
NIS2-Bußgelder und Sanktionen: wie hoch, wer haftet und wie man sie vermeidet
Was NIS2-Sanktionen sind: die Obergrenzen nach Artikel 34 (10 Mio. € / 2 % für wesentliche, 7 Mio. € / 1,4 % für wichtige Einrichtungen), die persönliche Haftung der Leitung (Art. 20, Art. 32), nicht-monetäre Durchsetzung und wie man sie vermeidet.
NIS2 vs. DORA: Unterschiede, Überschneidungen und was für Sie gilt
Wie sich die zwei EU-Regime unterscheiden und überschneiden, warum DORA Lex specialis für Finanzunternehmen ist, was für Sie gilt und was beide für Drittparteienrisiko bedeuten.
DSGVO vs. NIS2: Überschneidungen, Unterschiede und wann ein Vorfall beide auslöst
Wie sich DSGVO und NIS2 unterscheiden und überschneiden, wann ein Vorfall beide auslöst (DSGVO Art. 33 72 h an die Datenschutzbehörde vs. NIS2 Art. 23 24 h/72 h/ein Monat an das CSIRT), die Art.-35-Kooperation und das Verbot des doppelten Bußgelds, und was beide für die Lieferanten-Sorgfaltsprüfung bedeuten.
Der EU Cyber Resilience Act (CRA): Anwendungsbereich, Zeitplan und was er für Ihre Lieferkette bedeutet
Was der CRA verlangt, seine gestaffelten Termine (in Kraft 2024, Meldung Sep. 2026, volle Konformität Dez. 2027), wer in den Anwendungsbereich fällt und warum reine SaaS oft nicht, wie er NIS2 ergänzt und was er für Beschaffung und Lieferanten-Sorgfaltsprüfung bedeutet.
Die EU-KI-Verordnung: Risikostufen, Zeitplan und die Pflichten der Betreiber (Artikel 26)
Was die EU-KI-Verordnung verlangt: die Risikostufen, die gestaffelten Termine (in Kraft 2024, verboten Feb. 2025, GPAI Aug. 2025, Hochrisiko Aug. 2026), die Betreiberpflichten nach Art. 26, wie sie sich mit NIS2 und der DSGVO stapelt und was sie für die KI-Beschaffung bedeutet.
NIS2-Umsetzungsstand: in welchen EU-Ländern es in Kraft ist
Welche der 27 EU-Mitgliedstaaten NIS2 in nationales Recht überführt haben und welche noch daran arbeiten, und warum die Lücken Ihre Lieferkette ohnehin betreffen.
NIS2-Lieferantenvertragsklauseln: was Sie von Ihren Lieferanten verlangen sollten
Die Vertragsklauseln, die die Lieferkettenpflicht von NIS2 durchsetzbar machen: Sicherheitsbasis, Meldefenster, Nachweis- und Auditrechte, Weitergabe an Subunternehmer und laufende Überprüfung.
Ihre externe Sicherheitslage unter NIS2: was Lieferanten und Kunden sehen
Die öffentlich sichtbaren Signale, die Kunden nach NIS2 Art. 21(2)(d) bewerten: E-Mail-Fälschbarkeit (SPF/DMARC), Zertifikatshygiene, aus dem Internet erreichbare Systeme und geleakte Zugangsdaten, warum jedes zählt und wie man sie prüft und behebt.
Nutzen Ihre Lieferanten KI? NIS2-Lieferantenrisiko trifft den EU AI Act
Lieferanten betten zunehmend KI in Dienste ein, von denen Sie abhängen, und deren Lieferanten ebenso. Wo KI von Lieferanten und in der n-ten Ebene Risiken nach NIS2 Art. 21(2)(d) und dem EU AI Act schafft, was zu bewerten ist und wie Sie den Überblick behalten.
Lieferanten-Identitätsbetrug und CEO-Fraud (BEC): E-Mail-Spoofing, DMARC und NIS2
Einer der häufigsten Lieferkettenangriffe braucht keinen Einbruch: gefälschte E-Mail, die eine Zahlung umlenkt oder Daten stiehlt. Wie BEC und Lieferanten-Identitätsbetrug funktionieren, welche SPF-, DKIM- und DMARC-Einstellungen sie stoppen und wie das zu NIS2 Art. 21(2)(d) passt.
Zuletzt geprüft: 19. Juni 2026
Dieser Leitfaden bietet allgemeine Informationen zum EU-Recht, keine Rechtsberatung. NIS2 wird durch das nationale Umsetzungsgesetz jedes EU-Mitgliedstaats wirksam, das im Detail abweichen kann. Prüfen Sie die für Sie geltenden Pflichten mit Ihrer zuständigen Behörde oder Ihrem Rechtsbeistand.