Inhalt
- Wichtige Hinweise zu diesem Dokument
- 1. Zusammenfassung
- 2. NIS-2 im Überblick
- 3. Künstliche Intelligenz verändert die Bedrohungslage
- 4. Die Caritas-Landschaft in Zahlen
- 5. Entscheidungsbaum zur Selbsteinordnung
- 6. Detailanalyse nach Einrichtungstyp
- 7. Komplexträger
- 8. Indirekte Betroffenheit: der Lieferketteneffekt
- 9. Alle Pflichten im Detail
- 10. Umsetzungskosten
- 11. Refinanzierung
- 12. Fristen und Sanktionen
- 13. Praktischer Leitfaden
- 14. IT- und Digitalisierungsrefinanzierung: politischer Druck ist notwendig
- Anhang A — Quellen
- Anhang B — Der Caritas-Netzwerk IT e. V. im Überblick
- Anhang C — Wie dieses Dokument entstanden ist
Wichtige Hinweise zu diesem Dokument
Dieses Dokument dient der Orientierung. Es wurde von Gerhard Müller, Informatiker und Geschäftsführer des Caritas-Netzwerk IT e. V., nach bestem Wissen und Gewissen zusammengestellt und geprüft, mit Unterstützung durch generative künstliche Intelligenz.
Anhang C legt offen, wie das Dokument entstanden ist: welches Modell eingesetzt wurde, wie recherchiert und geprüft wurde und wo die Grenzen des Verfahrens liegen.
Es ersetzt keine Rechtsberatung
Das Dokument hat informativen Charakter. Für eine formale juristische Beratung — insbesondere in komplexen Konstellationen — wenden Sie sich bitte an eine fachkundige Kanzlei oder an die Rechtsabteilung Ihres Verbandes.
Das gilt hier besonders, weil niemand die Einordnung für Sie vornimmt: Die Betroffenheitsprüfung nach dem BSI-Gesetz ist eine Selbsteinschätzung. Das BSI teilt die Betroffenheit nicht mit, es gibt kein Antragsverfahren auf Ausnahme, und eine verbindliche Einzelfallauskunft erteilt das BSI nicht. Wer sich für nicht betroffen hält, hat dafür keinen Bescheid in der Hand, sondern trägt die Begründungslast selbst [K5-4]. Kapitel 5 führt durch die Prüfung, Kapitel 6 durch die Sektoren.
Hinzu kommt: Die Refinanzierungsmöglichkeiten unterscheiden sich nach Leistungsbereich und Bundesland. Kapitel 11 zeigt die Wege auf, ersetzt aber nicht das Gespräch mit Ihrem Kostenträger.
Zwei verschiedene Stände
| Stand des Dokuments | 2. August 2026 (Fassung 2.0) |
| Stand der Rechtslage | 2. August 2026 |
Beides auseinanderzuhalten lohnt sich, denn die Rechtslage ist in Bewegung. Zwei Gesetze sind seit der Vorfassung in Kraft getreten: das BSI-Gesetz am 6. Dezember 2025 und das KRITIS-Dachgesetz am 17. März 2026. Weitere Stücke fehlen noch — die BSI-Rechtsverordnung zu den Nachweisen, die Durchführungsrechtsakte der Kommission für Teile der Lieferkette und die endgültige Fassung mehrerer Verwaltungsvorschriften. Wo dieses Dokument auf einem Entwurf beruht, steht es an der jeweiligen Stelle.
Was das Dokument nicht leistet, steht in Abschnitt 1.7. Dort sind die Rechtsfragen benannt, die sich nicht abschließend klären ließen, und die Angaben, für die sich keine belastbare Quelle finden ließ. Wer eine Aussage prüfen möchte: Hinter belegbedürftigen Sätzen steht ein Verweis wie [K9-15].
Diese Verweise sind anklickbar und führen unmittelbar zur Primärquelle — zur Norm, zur Drucksache, zur BSI-Seite. Wer mehr braucht als die Quelle selbst, findet im Begleitdokument „NIS-2 und die Caritas — Belege” zusätzlich Fundstelle, Fassung, Abrufdatum, Kernzitat und die archivierte Fassung mit Prüfsumme. Bei einem Teil der Belege — Einschätzungen und Angaben aus nicht öffentlichen Unterlagen — gibt es keine Adresse; dort bleibt der Verweis Text.
Herausgeber
Der Caritas-Netzwerk IT e. V. (caritas-netzwerk-it.de) bündelt die IT-Interessen von 154 Caritas-Rechtsträgern mit zusammen rund 60.000 Vollzeitäquivalenten. Er betreibt sechs Erfahrungsaustauschgruppen — darunter Notfallmanagement, in der die NIS-2-Thematik bereits im Februar 2024 aufgegriffen wurde —, unterhält mit der „Cyber-Feuerwehr” ein Incident-&- Response-Angebot mit 24/7-Hotline und organisiert Fachveranstaltungen wie den Fachkongress Cybersecurity gemeinsam mit der Diakonie.
Anhang B stellt den Verein, die Mitgliedschaft, die Cyber-Feuerwehr und die weiteren Angebote im Einzelnen vor.
Aktualisierungen
Dieses Dokument erscheint im CariNet in der für alle offenen Gruppe „Allgemeine Informationen zum Caritas-Netzwerk IT e. V.” im Beitrag „NIS-2 und die Caritas” jeweils in der aktuellsten Fassung.
Adresse für ausgedruckte Fassungen: https://ux.carinet.de/#/articles/93855732-485b-4815-9bf2-37a35ca54bcb/show
Lizenz
Dieses Dokument darf unter den Bedingungen der Lizenz CC BY-NC-ND 4.0 International — Namensnennung, keine kommerzielle Nutzung, keine Bearbeitungen weitergegeben werden. Die deutschsprachige Zusammenfassung steht unter https://creativecommons.org/licenses/by-nc-nd/4.0/deed.de, der verbindliche Lizenztext unter https://creativecommons.org/licenses/by-nc-nd/4.0/legalcode.
Sie dürfen das Dokument also frei weitergeben — innerhalb Ihres Trägers, an Ihre Geschäftsführung, an Ihren Verband. Nicht gestattet sind der Verkauf und die Weitergabe in bearbeiteter Form. Zitieren Sie mit Angabe von Herausgeber, Titel und Fassung.
1. Zusammenfassung
Dieses Kapitel fasst auf wenigen Seiten zusammen, was Geschäftsführungen wissen müssen. Jede Aussage ist in den folgenden Kapiteln ausgeführt und belegt; die Verweise stehen jeweils dabei.
1.1 Worum es geht
Seit dem 6. Dezember 2025 gilt das neu gefasste BSI-Gesetz. Es setzt die europäische NIS-2-Richtlinie um und verpflichtet deutlich mehr Organisationen als bisher zu Maßnahmen der IT-Sicherheit — darunter viele Träger der Caritas.
Eine Übergangsfrist gibt es nicht. Wer betroffen ist, ist es seit diesem Datum. Die Frist zur Registrierung beim Bundesamt für Sicherheit in der Informationstechnik ist inzwischen abgelaufen; eine Nachfrist besteht nicht (Kapitel 12.2).
1.2 Wer betroffen ist
Betroffen ist ein Träger, wenn drei Dinge zusammentreffen: Er gehört zu einer Einrichtungsart der Anlagen 1 oder 2 des BSIG, er bietet entgeltlich Leistungen an, und er erreicht die Größenschwelle (Kapitel 5.1).
| Einrichtungsart | Einordnung |
|---|---|
| Krankenhäuser | betroffen; ab 30.000 vollstationären Fällen zugleich kritische Anlage |
| Rettungsdienste | betroffen — das BSI hat seine frühere Bewertung revidiert |
| Ambulante Pflegedienste | rechtlich strittig (siehe unten) |
| Pflegeheime, Tages- und Kurzzeitpflege | nicht betroffen |
| Eingliederungshilfe | nicht betroffen |
| Kindertagesbetreuung, Jugendhilfe, Beratung | nicht betroffen |
Zwei Punkte, die häufig übersehen werden:
Der Rechtsträger zählt, nicht der Betrieb. Betreibt eine gGmbH neben Pflegeheimen und Kindertagesstätten auch einen Rettungsdienst, ist die gesamte gGmbH betroffen — nicht nur der Rettungsdienst (Kapitel 7.2).
Beschäftigte werden in Jahresarbeitseinheiten gezählt, nicht in Köpfen; Auszubildende zählen nicht mit. Über alle Caritas-Träger hinweg liegen die Vollzeitäquivalente bei rund zwei Dritteln der Kopfzahl (Kapitel 4.4). Wer in Köpfen rechnet, ordnet sich möglicherweise strenger ein, als das Gesetz verlangt (Kapitel 5.2).
Niemand nimmt die Einordnung ab. Sie ist Selbsteinschätzung. Das BSI teilt die Betroffenheit nicht mit, es gibt kein Antragsverfahren auf Ausnahme, und eine verbindliche Auskunft erteilt die Behörde nicht (Kapitel 5.4). Die eigene Prüfung zu dokumentieren, ist deshalb kein Formalismus, sondern der einzige Nachweis, dass sie stattgefunden hat.
1.3 Was zu tun ist
Das Gesetz verlangt Maßnahmen in zehn Bereichen — von der Risikoanalyse über Backup und Lieferkettensicherheit bis zur Mehr-Faktor-Authentisierung (Kapitel 9.2). Hinzu kommen Registrierung, Meldepflichten bei erheblichen Vorfällen und Nachweispflichten.
Drei Punkte, die in der Praxis am häufigsten unterschätzt werden:
Auslagerung entlastet nicht. Wer seine IT an einen Dienstleister vergeben hat, bleibt selbst verantwortlich und muss zusätzlich überwachen. Ein Zertifikat des Dienstleisters genügt nicht; ein allgemeines NIS-2-Konformitätszertifikat gibt es nicht (Kapitel 8.2, 8.3).
Die Meldefrist beginnt früher als gedacht. Die 24-Stunden-Frist läuft ab Kenntnis einzelner Mitarbeitender innerhalb der Arbeitszeit. Für Häuser mit Schichtbetrieb heißt das: Der interne Meldeweg muss nachts funktionieren (Kapitel 9.6).
Die eigene IT-Gesellschaft ist meist selbst betroffen. Wer den IT-Betrieb über eine eigene Gesellschaft organisiert, hat dort in der Regel einen Managed Service Provider mit eigenen Pflichten — einschließlich einer Warnpflicht gegenüber den versorgten Trägern (Kapitel 7.7).
1.4 Die Verantwortung der Geschäftsleitung
§ 38 BSIG richtet sich unmittelbar an die Geschäftsleitung. Sie muss die Maßnahmen umsetzen und ihre Umsetzung überwachen; die Aufgabe ist delegierbar, die Letztverantwortung nicht (Kapitel 9.8).
Zusätzlich besteht eine persönliche Schulungspflicht: Die Mitglieder der Geschäftsleitung müssen regelmäßig an Schulungen teilnehmen — nach der Gesetzesbegründung mindestens alle drei Jahre, nach der Handreichung des BSI im Umfang von mindestens vier Stunden. Die Teilnahme ist zu dokumentieren und dem BSI auf Verlangen vorzulegen (Kapitel 9.9). Diese Pflicht ist nicht delegierbar.
Zur Haftungsfrage, die oft überzeichnet wird. § 38 Abs. 2 BSIG verweist auf das Gesellschaftsrecht. Es handelt sich um Binnenhaftung gegenüber der eigenen Einrichtung — nicht gegenüber dem BSI oder Dritten —, sie ist nicht neu, und Verzicht wie Vergleich bleiben nach allgemeinen Regeln zulässig. Was sich tatsächlich geändert hat, ist der Maßstab: Was von der Geschäftsleitung im Bereich IT-Sicherheit verlangt wird, steht jetzt im Gesetz. Damit sinkt die Hürde für den Nachweis einer Pflichtverletzung erheblich (Kapitel 9.8).
Praktisch folgt daraus: Wer die Lage beurteilt, Maßnahmen veranlasst, Mittel bereitgestellt und die Umsetzung überwacht hat — und das dokumentieren kann —, steht anders da als jemand ohne Nachweis.
1.5 Was es kostet und wer es bezahlt
Für eine einzelne Einrichtung lässt sich der Aufwand nicht seriös beziffern. Die Deutsche Krankenhausgesellschaft hält ihn ausdrücklich für „derzeit noch nicht belastbar” schätzbar.
Belegbar ist die Rechnung des Gesetzgebers: 2,3 Mrd. Euro jährlich für die gesamte Wirtschaft bei 29.850 betroffenen Einrichtungen — daraus rückrechenbar rund 215.000 Euro laufend je besonders wichtiger und rund 86.000 Euro je wichtiger Einrichtung. Diese Werte gelten für den Durchschnitt aller Sektoren und sind kein Kostenvoranschlag, aber sie stammen aus einer Bundestagsdrucksache und nicht vom Träger (Kapitel 10.2).
Bemerkenswert ist die Verteilung: Über 99 Prozent des Aufwands entfallen auf die Sicherheitsmaßnahmen, nicht auf Melde- und Registrierungsbürokratie (Kapitel 10.1).
Zur Refinanzierung. Für die NIS-2-Umsetzung ist keine Bundesförderung vorgesehen — das stellt das BSI selbst fest (Kapitel 14.2). Und anders als ein Privatunternehmen kann ein Sozialleistungserbringer die Kosten nicht einpreisen: Veränderungswert, Beitragssatzstabilität, externer Vergleich und Zustimmungsvorbehalt begrenzen die Vergütung. Für Personalkosten besteht ein gesetzlicher Anerkennungsanspruch, für Sachkosten nicht (Kapitel 11.1).
1.6 Was sich gegenüber Version 1.0 geändert hat
Die erste Fassung dieses Dokuments erschien Ende Februar 2026. Seither hat sich die Rechtslage weiterentwickelt, und die Prüfung der damaligen Aussagen hat Korrekturen ergeben. Wer mit der Vorfassung gearbeitet hat, sollte die folgenden Punkte kennen.
Sieben inhaltliche Korrekturen
1. Ambulante Pflegedienste sind nicht mehr pauschal ausgenommen. Version 1.0 führte sie ohne Vorbehalt als „nicht betroffen”. Das BSI hat seine Auslegung inzwischen eingeschränkt: Die Ausnahme greift, wo der Schwerpunkt in „routinemäßigen, alltäglichen Verrichtungen” liegt — mit einer Rückausnahme, wenn medizinische Leistungen „einen erheblichen Teil der Tätigkeit” ausmachen. Ein Maßstab dafür existiert nicht. Zugleich vertreten der bpa und das Bundesgesundheitsministerium eine abweichende, leistungsrechtliche Auslegung. Die Frage ist ungeklärt (Kapitel 6.4).
2. Die eigene IT-Gesellschaft ist in der Regel selbst betroffen. Diese Konstellation fehlte in Version 1.0. Die Gesetzesbegründung ordnet den zentralen IT-Betrieb eines Unternehmensverbundes ausdrücklich dem Begriff des Managed Service Provider zu — mit zusätzlichen Pflichten zur Registrierung und zur Warnung der Kunden (Kapitel 7.7).
3. Die Strategien für Komplexträger tragen so nicht. Version 1.0 stellte Ausgliederung und IT-Segmentierung als Wege zur Begrenzung des Anwendungsbereichs dar. Tatsächlich zerstört eine Ausgliederung den Entlastungshebel des § 28 Abs. 3 BSIG genau dort, wo er greifen könnte, und die IT-Segmentierung wirkt auf den Anwendungsbereich überhaupt nicht. Was wirkt, steht in Kapitel 7.6.
4. Der Bußgeldrahmen war in beide Richtungen falsch dargestellt. Für Registrierungs- und Meldeverstöße nannte Version 1.0 einen Rahmen von 500.000 Euro — tatsächlich sind es bis zu 10 beziehungsweise 7 Millionen Euro. Umgekehrt greift die vielzitierte Umsatzregel von 2 Prozent erst oberhalb von 500 Mio. Euro Gesamtumsatz; unterhalb bleibt es beim festen Betrag (Kapitel 12.4).
5. Die Haftung der Geschäftsleitung ist präziser zu fassen. Es handelt sich um Binnenhaftung nach Gesellschaftsrecht, nicht um eine neue persönliche Haftung; die Vorschrift ist zudem subsidiär und enthält kein Verzichtsverbot. Ein Zitat zur angeblichen Dreijahresfrist bei der gGmbH war unzutreffend. Neu hinzugekommen ist das Haftungsprivileg des § 31a BGB für ehrenamtliche Organmitglieder (Kapitel 9.8).
6. Die TI-Pauschale entfällt nicht. In der Vorbereitung kursierte die Angabe, sie laufe zum 1. Dezember 2026 aus. Weder § 106b SGB XI noch die Finanzierungsvereinbarung enthalten eine Befristung. Zu diesem Datum endet vielmehr die Übergangsfrist für die Papierform der rechnungsbegründenden Unterlagen; danach läuft die Abrechnung ambulanter Pflegesachleistungen vollelektronisch über die Telematikinfrastruktur (Kapitel 14.1).
7. Die Investitionslücke wird jahresgleich gerechnet. Die DKG stellt den Investitionsbedarf 2023 den KHG-Förderungen desselben Jahres gegenüber — 6,52 Mrd. gegen 3,89 Mrd. Euro. Die ebenfalls belegte Zahl von 4,24 Mrd. Euro ist die Länderförderung 2024 und gehört nicht in dieselbe Gegenüberstellung (Kapitel 14.3).
Ein neues Kapitel
Kapitel 3 — Künstliche Intelligenz verändert die Bedrohungslage. Das BSI hat im Juni 2026 eine Cyber-Sicherheitswarnung veröffentlicht, die den Maßstab dessen verschiebt, was „Stand der Technik” bedeutet: Die mittlere Zeit bis zur Ausnutzung einer Schwachstelle liegt inzwischen vor der Verfügbarkeit des Patches, und „wenige Tage” gelten der Behörde ausdrücklich nicht mehr als angemessene Reaktionszeit. Die zehn Pflichten bleiben dieselben — der Maßstab nicht.
Geänderter Rechtsstand
Das BSIG ist seit Dezember 2025 dreimal geändert worden. Hinzugekommen sind unter anderem das KRITIS-Dachgesetz (in Kraft seit März 2026), die Übergangsregelung des § 66 BSIG, eine Doppelregistrierungspflicht für KRITIS-Betreiber und eine Drei-Jahres-Sperre für anlasslose Nachweisanordnungen (Kapitel 2.2, 9.4, 12.5).
Weiterhin nicht ergangen ist die angekündigte Rechtsverordnung zu § 30 BSIG; was „Stand der Technik” bedeutet, ist bis auf Weiteres selbst auszufüllen (Kapitel 2.6).
Die Kapitel sind neu nummeriert
Durch das neue Kapitel 3 verschieben sich die folgenden Kapitel um eins:
| neu | Kapitel | alt |
|---|---|---|
| 1 | Zusammenfassung | 1 |
| 2 | NIS-2 im Überblick | 2 |
| 3 | KI verändert die Bedrohungslage | neu |
| 4 | Die Caritas-Landschaft in Zahlen | 3 |
| 5 | Entscheidungsbaum zur Selbsteinordnung | 4 |
| 6 | Detailanalyse nach Einrichtungstyp | 5 |
| 7 | Komplexträger | 6 |
| 8 | Indirekte Betroffenheit / Lieferkette | 7 |
| 9 | Alle Pflichten im Detail | 8 |
| 10 | Umsetzungskosten | 9 |
| 11 | Refinanzierung | 10 |
| 12 | Fristen und Sanktionen | 11 |
| 13 | Praktischer Leitfaden | 12 |
| 14 | IT- und Digitalisierungsrefinanzierung | 13 |
Wie belegt wird
Version 1.0 führte Quellen als Sammellisten am Kapitelende. Diese Fassung belegt jede belegbedürftige Aussage einzeln: Verweise [n] im Text führen in ein eigenständiges Belegdokument, das je Aussage Fundstelle, Fassung, Abrufdatum und ein Kernzitat enthält. Damit bleibt eine Aussage auch dann nachprüfbar, wenn die zitierte Webseite nicht mehr existiert.
Wo sich etwas nicht belegen ließ, steht das im Text — etwa bei den Umsetzungskosten je Einrichtung, bei Gehältern für IT-Sicherheitspersonal und bei Schadenshöhen nach Cyberangriffen im Sektor.
Und was gleich geblieben ist
Der Zuschnitt, die Gliederungslogik und die Grundaussage der Vorfassung haben sich bewährt und sind erhalten. Auch die Rechenwege der Version 1.0 waren durchweg korrekt. Was fehlte, war die Belegdisziplin — und genau dafür ist diese Fortschreibung gemacht.
Weitere Berichtigungen betreffen die Marktbedingung bei der Zurechnung über natürliche Personen (7.3), das Fehlen einer Konzernbefreiung (7.4), die Zwischenmeldung im Meldeverfahren (9.5), die Doppelregistrierung für KRITIS-Betreiber (9.4), die Registrierungspflicht nach dem KRITIS-Dachgesetz (2.6) und die Befristung der B3S-Eignungsfeststellung (13.9).
Eine ausführlichere Darstellung enthält das Begleitdokument
2026-08-02-NIS-2-und-die-Caritas-V2-Aenderungen--CNIT-GerhardMueller.pdf. Es richtet sich an alle, die mit der Februar-Fassung gearbeitet haben und die Unterschiede kennen wollen, ohne das ganze Dokument erneut zu lesen.
Stand. Dieses Dokument gibt die Rechtslage zum 2. August 2026 wieder. Stand des Dokuments und Stand der Rechtslage sind auf der Titelseite getrennt ausgewiesen. Mehrere Rechtsakte waren zum Redaktionsschluss noch nicht ergangen (Kapitel 2.6); die dort genannten Punkte sollten vor einer Entscheidung geprüft werden.
1.7 Was dieses Dokument nicht leistet
Ein Dokument, das seine Belege offenlegt, muss auch seine Grenzen offenlegen. Die folgende Übersicht führt zusammen, was an den jeweiligen Stellen im Einzelnen steht. Sie ist bewusst vollständig — wer eine Entscheidung auf dieses Dokument stützt, soll wissen, wo sie nicht trägt.
Es ersetzt keine Rechtsberatung
Dieses Dokument ordnet ein, es entscheidet nicht. Eine verbindliche Feststellung, ob eine bestimmte Einrichtung unter das BSIG fällt, kann es nicht treffen — und das BSI trifft sie auch nicht (Kapitel 5.4). In Zweifelsfällen empfiehlt die Behörde selbst, „externe juristische Unterstützung in Anspruch zu nehmen”. Dieser Empfehlung schließt sich das Dokument an.
Vier Rechtsfragen sind ungeklärt — nicht von uns, sondern in der Sache
| Frage | Stand | Kapitel |
|---|---|---|
| Sind ambulante Pflegedienste erfasst? | BSI und Bundesgesundheitsministerium vertreten unterschiedliche Auslegungen; ein Maßstab für die Rückausnahme fehlt | 6.4 |
| Reha-Einrichtungen | Ungeklärter Widerspruch zwischen behördlicher und verbandlicher Auffassung | 6.8 |
| Die Schwester-Servicegesellschaft auf Vertragsgrundlage | Die Gesetzesbegründung behandelt nur Konzernmutter und externen Dienstleister; die häufigste Caritas-Konstellation liegt dazwischen | 7.4 |
| Verbundenheit über personenidentische Leitung | Die Marktbedingung ist im Einzelfall zu prüfen; Rechtsprechung dazu existiert nicht | 7.3 |
Zu keiner dieser Fragen gibt es Rechtsprechung oder eine veröffentlichte behördliche Einzelfallentscheidung. Das Dokument benennt die Streitstände und sagt, was für die jeweilige Auffassung spricht — mehr ist derzeit nicht möglich.
Zwei Stellen sind fachlich nicht gegengelesen
Die Normenkette der gebundenen Preisbildung (Kapitel 11.1) verknüpft vier Vorschriften aus vier Leistungsbereichen zu einem Mechanismus. Die einzelnen Normen sind im Wortlaut belegt; die Verknüpfung ist eine Argumentation dieses Dokuments und wurde nicht von Fachleuten des Vergütungsrechts geprüft.
Die Zuordnung einzelner Kostenpositionen zu laufendem und investivem Aufwand (Kapitel 11.3) folgt der handelsrechtlichen Aktivierungslogik. Sie ist eine Einschätzung, keine Aussage des Gesetzes. Im Zweifel entscheiden die Bilanzierungspraxis des Trägers und die Auffassung des Kostenträgers.
Beides sollte vor einer Kostenträgerverhandlung mit der eigenen Finanzbuchhaltung und, wo vorhanden, mit dem Verbandsjustiziariat abgeglichen werden.
Was sich nicht belegen ließ
Zu diesen Punkten wurde gesucht und nichts Belastbares gefunden. Das Dokument nennt deshalb keine Zahlen — auch keine geschätzten:
- Umsetzungskosten je Einrichtung. Es gibt eine amtliche Gesamtrechnung (Kapitel 10.1) und zwei Erhebungen aus dem Krankenhausbereich zu anderen Normen (10.4). Eine belastbare Zahl je Einrichtung für die NIS-2-Umsetzung gibt es nicht.
- Gehälter für IT-Sicherheitsfunktionen. Keine Erhebung von Verbänden oder Behörden auffindbar (10.5, 10.8). Die Gehaltsspannen der Version 1.0 sind deshalb nicht fortgeschrieben.
- Schadenshöhen nach Cyberangriffen im Gesundheits- und Sozialwesen, sowie IT-Budget-Benchmarks für die Sozialwirtschaft und Marktpreise für Maßnahmen nach § 30 BSIG. Kapitel 10.8 führt diese Negativbefunde zusammen — und zeigt, warum sie selbst ein Argument sind: Auch der Nationale Normenkontrollrat hält die Kostenbasis des Gesetzgebers für unsicher.
- Die Gesamtzahl der Betroffenen im Leitfall Kapitel 8.4. Presseangaben schwanken; auch das BSI hat sie nicht genannt. Genannt sind nur die einzeln belegten Zahlen — und die Angabe aus Pirmasens ist als Presseangabe gekennzeichnet, weil die Primärdarstellung hinter einer Bezahlschranke liegt.
- Eine Investitionslücke für Pflege, Eingliederungshilfe und Jugendhilfe. Für den Krankenhausbereich ist sie beziffert (14.3), für die übrigen Bereiche existiert keine vergleichbare Erhebung. Das ist selbst ein Befund: Wo nicht gemessen wird, lässt sich der Bedarf auch nicht geltend machen.
Zwei Recherchen sind nicht abgeschlossen
- Die Entgeltordnung der AVR Caritas 2027. Zum 1. Januar 2027 gilt für Neueinstellungen ein neues Werk. Ob es ausdrückliche Tätigkeitsmerkmale für IT-Berufe enthält, ließ sich aus den öffentlich verfügbaren Unterlagen nicht klären (10.5). Für Stellenbesetzungen ab 2027 ist das die entscheidende Frage.
- Die Prüfung von Angeboten zur Geschäftsleitungsschulung. Die Übersicht in Kapitel 13.7 nennt Anbieter, die ein auf § 38 BSIG bezogenes Format führen. Sie ist weder abschließend noch eine Empfehlung; die Angebote sind nicht inhaltlich geprüft worden. Maßstab ist die Checkliste der BSI-Handreichung.
Drei Rechtsstände können sich jederzeit ändern
Zum 2. August 2026 waren nicht ergangen: die Rechtsverordnung nach § 30 Abs. 5 BSIG zu den technischen Anforderungen, die neue Kritisverordnung nach dem KRITIS-Dachgesetz (Referentenentwurf vom 26. Mai 2026) und die Änderung der NIS-2-Richtlinie nach COM(2026) 13 (Verfahren läuft). Alle drei sind in Kapitel 2.6 dargestellt. Wer nach dem Redaktionsschluss entscheidet, sollte den Stand dieser drei Vorhaben prüfen.
Was das Dokument bewusst nicht tut
Es nennt keine Preise für Beratungs- oder Schulungsleistungen, empfiehlt keine Anbieter und nennt den im Leitfall betroffenen Dienstleister nicht namentlich. Es stellt außerdem die Mechanismen der Refinanzierung dar, nicht die Einzelprogramme aller sechzehn Länder (11.6).
Warum das hier steht. Wer ein Dokument zur Hand nimmt, um eine Entscheidung zu treffen, muss unterscheiden können zwischen dem, was belegt ist, dem, was eingeschätzt ist, und dem, was offen ist. Die Belegstufen im Begleitdokument leisten das im Einzelnen — dieser Abschnitt leistet es im Überblick.
2. NIS-2 im Überblick
Dieses Kapitel ordnet ein, woher die Pflichten kommen, nach welcher Systematik sich entscheidet, wen sie treffen — und was noch offen ist.
2.1 Von der Richtlinie zum Gesetz
Die Richtlinie (EU) 2022/2555 — kurz NIS-2 — verpflichtete die Mitgliedstaaten, ihre Cybersicherheitsvorgaben bis Oktober 2024 anzupassen. Deutschland hat diese Frist überschritten; das NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz wurde am 5. Dezember 2025 verkündet und trat am 6. Dezember 2025 in Kraft [K2-1].
Es ist ein Artikelgesetz: Es ändert mehrere Gesetze zugleich. Das eigentliche Regelwerk ist das neu gefasste BSI-Gesetz (BSIG) — auf dieses beziehen sich alle Paragraphenangaben dieses Dokuments, soweit nichts anderes vermerkt ist.
Eine Übergangsfrist gibt es nicht [K2-2]. Wer betroffen ist, ist es seit dem 6. Dezember 2025.
Zum Stand der Umsetzung in Europa. Deutschland war spät, steht damit aber nicht allein. Die Europäische Kommission hat am 8. Juli 2026 gegen vier Mitgliedstaaten Klage wegen verspäteter Umsetzung erhoben; Deutschland gehört nicht dazu [K2-3].
2.2 Rechtsstand August 2026
Das BSIG ist seit seinem Inkrafttreten dreimal geändert worden [K2-4]:
| Änderungsgesetz | Fundstelle | wirksam ab |
|---|---|---|
| Art. 4 des Gesetzes vom 11.3.2026 | BGBl. 2026 I Nr. 66 | 17.3.2026 |
| Art. 9 des Gesetzes vom 21.7.2026 | BGBl. 2026 I Nr. 221 | 29.7.2026 |
| Art. 8 Abs. 1 des Gesetzes vom 23.7.2026 | BGBl. 2026 I Nr. 226 | 29.7.2026 |
Das maßgebliche Vollzitat lautet damit [K2-4]:
BSI-Gesetz vom 2. Dezember 2025 (BGBl. 2025 I Nr. 301, S. 2), das zuletzt durch Artikel 8 Absatz 1 des Gesetzes vom 23. Juli 2026 (BGBl. 2026 I Nr. 226) geändert worden ist
Für die Praxis wichtige Folgen dieser Änderungen:
- § 28 Abs. 8 a. F. ist gestrichen, der bisherige Absatz 9 ist Absatz 8 geworden. Wer ältere Fundstellen zitiert, prüft die Absatznummer.
- § 56 ist umnummeriert; die Ermächtigung für den Krankenhausbereich steht jetzt in Absatz 5 statt Absatz 6.
- § 66 BSIG ist neu — die Übergangsregelung, die unten erläutert wird.
Das KRITIS-Dachgesetz und § 66 BSIG
Am 17. März 2026 ist das KRITIS-Dachgesetz in Kraft getreten [K2-5]. Mit ihm wurde die Bestimmung kritischer Anlagen aus dem BSIG herausgelöst und in das neue Gesetz verlagert. Der Sektor Gesundheitswesen ist von den dortigen Bereichsausnahmen nicht erfasst.
Wirksam wird diese Verlagerung aber erst, wenn die neue Kritisverordnung erlassen ist. Bis dahin ordnet § 66 BSIG an, dass das bisherige Recht weiter gilt [K2-6]:
„§ 2 Nummer 22 und 24 sowie § 33 Absatz 2 und 5 sind erst anzuwenden, wenn eine Rechtsverordnung auf der Grundlage des § 4 Absatz 3 und § 5 Absatz 1 des KRITIS-Dachgesetzes in Kraft getreten ist. Bis zum Inkrafttreten dieser Rechtsverordnung sind § 2 Nummer 22 und 24 sowie § 33 Absatz 2 in der bis einschließlich 16. März 2026 geltenden Fassung sowie § 33 Absatz 5 in der bis einschließlich 28. Juli 2026 geltenden Fassung weiter anzuwenden.”
Praktisch bedeutet das: Die BSI-Kritisverordnung gilt unverändert weiter, und damit auch der Schwellenwert von 30.000 vollstationären Fällen für Krankenhäuser (Kapitel 6.2).
Wer eine dieser Vorschriften zitiert, muss angeben, welche Fassung gemeint ist. Das ist keine Feinheit — es entscheidet über den Inhalt der Pflicht.
2.3 Die Sektoren
Das BSIG unterscheidet zwei Anlagen:
- Anlage 1 — Sektoren mit hoher Kritikalität. Dazu gehört der Sektor Gesundheit.
- Anlage 2 — sonstige kritische Sektoren, darunter Verarbeitendes Gewerbe, Lebensmittel und Forschung.
Der Unterschied wirkt sich auf die Kategorie aus: Eine Zuordnung zu Anlage 1 kann zur besonders wichtigen Einrichtung führen, eine zu Anlage 2 nur zur wichtigen Einrichtung (Kapitel 5.1).
Für den Sektor Gesundheit gilt eine Besonderheit: Er kennt in Anlage 1 nur eine patientenbezogene Einrichtungsart — „Erbringer von Gesundheitsdienstleistungen” nach Nummer 4.1.1. Was darunter fällt, bestimmt nicht das BSIG, sondern eine europäische Richtlinie. Kapitel 6 behandelt das im Einzelnen; dort liegt auch die Wurzel der ungeklärten Abgrenzungsfragen.
Eine Klarstellung zur Durchführungsverordnung. Die Durchführungsverordnung (EU) 2024/2690 wird häufig im Zusammenhang mit NIS-2 genannt. Sie gilt nicht für Gesundheitseinrichtungen, sondern ausschließlich für elf Arten digitaler Anbieter und für Vertrauensdiensteanbieter [K2-7]. Wer sie auf ein Krankenhaus anwendet, wendet die falsche Norm an.
2.4 Die Schwellenwerte
Ob eine Einrichtung betroffen ist, hängt neben der Einrichtungsart von ihrer Größe ab. Die vollständige Prüfung steht in Kapitel 5; hier die Systematik:
| Kategorie | Schwelle |
|---|---|
| besonders wichtige Einrichtung | mindestens 250 Beschäftigte oder Jahresumsatz über 50 Mio. € und Bilanzsumme über 43 Mio. € |
| wichtige Einrichtung | mindestens 50 Beschäftigte oder Jahresumsatz und Bilanzsumme jeweils über 10 Mio. € |
Zwei Punkte, die häufig falsch wiedergegeben werden und die Kapitel 5.2 ausführt:
- Die Verknüpfung ist gemischt — „oder” zwischen Beschäftigten- und Finanzkriterium, „und” innerhalb des Finanzkriteriums.
- Gezählt werden Jahresarbeitseinheiten, nicht Köpfe; Auszubildende zählen nicht mit [K2-8].
2.5 Besonders wichtig gegen wichtig
Beide Kategorien unterliegen weitgehend denselben Pflichten. Die Unterschiede liegen in Aufsicht, Nachweisen und Bußgeldhöhe.
| besonders wichtige Einrichtung | wichtige Einrichtung | |
|---|---|---|
| Pflichten nach § 30 BSIG | ja | ja |
| Registrierung, Meldung | ja | ja |
| Aufsicht | proaktiv — das BSI kann Audits und Prüfungen anordnen (§ 61 BSIG) | reaktiv — nur wenn Tatsachen die Annahme eines Verstoßes rechtfertigen (§ 62 BSIG) |
| Bußgeldrahmen für Kernpflichten | bis 10 Mio. € | bis 7 Mio. € |
Der Wortlaut des § 62 BSIG ist dabei aufschlussreich [K2-9]:
„Rechtfertigen Tatsachen die Annahme, dass eine wichtige Einrichtung Verpflichtungen nach § 30 Absatz 1 Satz 1, § 32 Absatz 1 bis 3 und § 38 Absatz 3 nicht oder nicht richtig umsetzt, so kann das Bundesamt deren Einhaltung überprüfen und Maßnahmen nach § 61 treffen.”
Bei wichtigen Einrichtungen braucht die Aufsicht also einen Anlass. Sie hat dann aber dieselben Mittel.
Eine Frist, die Zeit verschafft — aber nicht von der Pflicht befreit
§ 61 Abs. 3 BSIG enthält eine Sperre, die wenig bekannt ist [K2-9]: Gegenüber besonders wichtigen Einrichtungen, bei denen kein konkreter Anlass besteht, kann das BSI die Vorlage von Nachweisen erst „frühestens drei Jahre nach Inkrafttreten dieses Gesetzes” anordnen — also frühestens ab Dezember 2028.
Einschätzung des Autors. Das verschafft Zeit für den Aufbau, ändert aber nichts an der Pflichtenlage: Die Maßnahmen des § 30 BSIG gelten seit Dezember 2025, die Registrierungsfrist ist abgelaufen (Kapitel 12.2), und für Betreiber kritischer Anlagen gilt die Sperre ohnehin nicht — sie müssen unaufgefordert nachweisen (Kapitel 9.7). Wer die drei Jahre als Schonfrist liest, verwechselt die Nachweisanordnung mit der Pflicht selbst.
2.6 Was noch aussteht
Ein Dokument, das den Rechtsstand beschreibt, sollte auch sagen, was nicht geregelt ist. Drei Punkte:
Die Rechtsverordnung zu § 30 BSIG. § 30 Abs. 5 BSIG ermächtigt das Bundesinnenministerium, die technischen Anforderungen zu präzisieren. Zum 2. August 2026 liegt weder eine Verkündung noch ein Referentenentwurf vor [K2-10]. Was „Stand der Technik” bedeutet, ist bis auf Weiteres selbst auszufüllen (Kapitel 9.2).
Die neue Kritisverordnung. Sie soll nach dem KRITIS-Dachgesetz ergehen; bis dahin gilt die BSI-KritisV fort (§ 66 BSIG). Ein Referentenentwurf vom 26. Mai 2026 hält am Schwellenwert von 30.000 vollstationären Fällen fest; die Stellungnahmefrist endete am 16. Juni 2026. Zum 2. August 2026 ist die Verordnung nicht verkündet, die Ressortabstimmung nicht abgeschlossen und ein Kabinettsbeschluss nicht gefasst [K2-11].
Das hat eine Folge, die über den Schwellenwert hinausgeht: Das KRITIS-Dachgesetz selbst ordnet an, dass Teile seiner Registrierungspflicht — § 8 Abs. 1 Nr. 2, 6 und 7 — „erst anzuwenden [sind], wenn eine auf der Grundlage von § 4 Absatz 3 und § 5 Absatz 1 erlassene Rechtsverordnung gilt” [K2-11]. Solange die Verordnung fehlt, gilt insoweit das bis zum 16. März 2026 geltende Recht weiter.
Eine Änderung der NIS-2-Richtlinie. Die Europäische Kommission hat im Januar 2026 mit COM(2026) 13 einen „Vorschlag für eine Richtlinie […] zur Änderung der Richtlinie (EU) 2022/2555 im Hinblick auf Vereinfachungsmaßnahmen” vorgelegt — unter anderem zum Anwendungsbereich für Gesundheitsdienstleister. Der Vorschlag würde die Ausnahme für die Langzeitpflege ausdrücklich bestätigen (Kapitel 6.5).
Er ist nicht in Kraft, und das wird er auch so bald nicht sein. Das Verfahren 2026/0012(COD) steht am 2. August 2026 vor der Ausschussentscheidung: federführend ist der Industrieausschuss ITRE, die Überweisung wurde am 25. März 2026 angekündigt, mitberatend ist der Binnenmarktausschuss IMCO. Weder das Parlament noch der Rat hat eine Position beschlossen [K2-12]. Wer heute einordnet, muss nach geltendem Recht einordnen.
Was dagegen bereits gilt: die Registrierung kritischer Anlagen. Für Träger oberhalb der KRITIS-Schwelle — im Gesundheitswesen also Krankenhäuser mit mehr als 30.000 vollstationären Fällen — ist § 8 Abs. 1 KRITIS-DachG einschlägig: Registrierung „spätestens drei Monate, nachdem eine Anlage als kritische Anlage gilt, frühestens jedoch bis einschließlich zum 17. Juli 2026” [K2-5]. Der Termin liegt also bereits zurück. Wer betroffen ist und noch nicht registriert hat, sollte das vordringlich nachholen — und dabei beachten, dass die Registrierung als Betreiber kritischer Anlagen die Registrierung als besonders wichtige Einrichtung nicht ersetzt (Kapitel 9.4).
Warum das hier steht. Wer heute eine Einordnung vornimmt, sollte wissen, welche Fragen der Gesetzgeber selbst noch offen hat. Der Nationale Normenkontrollrat hat die unbestimmten Rechtsbegriffe des Umsetzungsgesetzes ausdrücklich bemängelt und eine „zeitnahe rechtliche Präzisierung” empfohlen (Kapitel 10.8). Bis dahin bleibt ein Rest Unsicherheit, den kein Leitfaden auflösen kann.
Stand. Rechtslage zum 2. August 2026, Vollzitat des BSIG wie in Abschnitt 2.2. Dieses Kapitel ist bei jeder Fortschreibung des Dokuments als erstes zu prüfen.
3. Künstliche Intelligenz verändert die Bedrohungslage
Dieses Kapitel ist neu. Es stand nicht in der Fassung vom Februar 2026, weil es die Grundlage dafür damals noch nicht gab.
Am 22. Juni 2026 hat das Bundesamt für Sicherheit in der Informationstechnik eine Cyber-Sicherheitswarnung zu den Auswirkungen der KI-Entwicklung auf die Cybersicherheit von Organisationen veröffentlicht [K3-1]. Ihre Aussagen ändern nicht, was das BSIG verlangt — die zehn Mindestmaßnahmen des § 30 BSIG sind dieselben geblieben. Sie ändern den Maßstab dafür, was „Stand der Technik” und „angemessen” bedeuten.
Für Träger im Gesundheits- und Sozialwesen ist das unbequem. Lange Freigabe- und Wartungszyklen, Abhängigkeit von Fachanwendungsherstellern und eine dünne IT-Personaldecke treffen hier auf eine Angreiferseite, die schneller geworden ist. Dieses Kapitel beschreibt die Verschiebung und zeigt, was aus ihr für die Pflichten folgt.
3.1 Was das BSI feststellt
Die Warnung trägt die Kennzeichnung TLP:CLEAR und ist damit frei weitergebbar [K3-1]. Ihr Kern: KI senkt Aufwand, Zeitbedarf und Einstiegshürden für offensive Cyberfähigkeiten. Schwachstellen werden umfassend und teilweise autonom erkannt, analysiert und in verwertbare Angriffspfade überführt.
Praktisch bedeutsam ist vor allem eine Feststellung zum Patchmanagement [K3-2]:
„Das Patchmanagement muss in die Lage versetzt werden, innerhalb kürzester Zeit (Minuten bis maximal wenige Stunden) Schwachstellen zu sichten, ihre Relevanz für die eigene Infrastruktur zu bewerten und bei Bedarf benötigte Patches auszurollen — wenige Tage sind dabei keine angemessene Reaktionsgeschwindigkeit.”
Wer diesen Satz gegen die eigene Praxis hält, erkennt das Problem sofort. In den meisten Einrichtungen vergehen zwischen dem Erscheinen eines Patches und seinem Ausrollen Wochen — mit guten Gründen, auf die Abschnitt 3.5 zurückkommt.
3.2 Das Zeitfenster hat sich geschlossen
Die Verschiebung lässt sich an einer Kennzahl zeigen. Nach dem Bericht M-Trends 2026 lag die mittlere Zeit bis zur Ausnutzung einer Schwachstelle zuletzt bei geschätzt minus sieben Tagen [K3-3]. Das negative Vorzeichen ist kein Druckfehler: Die Ausnutzung erfolgt im Mittel eine Woche, bevor der Patch verfügbar ist. Zum Vergleich: 2018 lag derselbe Wert bei 63 Tagen.
Zur Genauigkeit dieser Zahl. Die Primärquelle spricht von der mean time to exploit und bezeichnet den Wert ausdrücklich als geschätzt. Das BSI gibt ihn in seiner Warnung als „mediane Zeit” wieder. Maßgeblich ist die Primärquelle; wir führen den Wert deshalb als Mittelwert. Eine Jahresreihe zwischen 2018 und 2026 lässt sich aus keiner Primärquelle belegen und ist in Abbildung 7 bewusst nicht dargestellt.
Der Befund erklärt sich aus einem technischen Vorgang: Aus einem veröffentlichten Patch lässt sich durch Vergleich mit der Vorgängerversion ableiten, welche Lücke er schließt — und daraus binnen Minuten bis Stunden ein funktionierender Angriff entwickeln. Was früher Spezialwissen und Wochen erforderte, ist heute weitgehend automatisierbar.
3.3 Warum der CVSS-Score als alleiniger Maßstab nicht mehr trägt
Viele Einrichtungen priorisieren ihr Patchmanagement nach dem CVSS-Base-Score: Was als „kritisch” eingestuft ist, wird zuerst behandelt. Diese Praxis trägt nicht mehr allein [K3-4]:
„Beachten Sie, dass verschiedene Schwachstellen verkettet werden könnten, um einen vollständigen Angriffspfad zu erhalten, auch wenn nach CVSS keine der einzelnen Schwachstellen kritisch ist. Den Fokus beispielsweise ausschließlich auf den CVSS Base Score zu legen, ist besonders durch die Verkettungsmöglichkeit von Schwachstellen durch KI nicht ausreichend.”
Das BSI empfiehlt, technische Bewertungskriterien um solche zu ergänzen, die umgebungsabhängige Risiken und Auswirkungen einbeziehen — etwa die Environmental Metrik nach CVSS 4.0.
Für den Gesundheitssektor ist das kein theoretischer Einwand. Er ist empirisch belegt: In einem vom BSI beauftragten Projekt ließ sich in drei von vier getesteten Praxisverwaltungssystemen aus einzeln unkritischen Schwachstellen eine Kette bis zum Angriff aus dem Internet konstruieren [K3-5].
3.4 „Assume Breach” — und eine Beweislastumkehr
Die zweite Konsequenz betrifft die Grundhaltung [K3-6]:
„‚Assume Breach’ ist die Prämisse, mit denen IT-Sicherheitsverantwortliche Systeme absichern sollten. Es ist keine Frage ob, sondern wann ein System angegriffen und potentiell kompromittiert wird.”
Daraus folgt eine Aussage, die Leitungsgremien kennen sollten, weil sie die Beweislast umkehrt [K3-6]:
„Auf Basis der mit KI einhergehenden vereinfachten und erheblich beschleunigten Exploit-Entwicklung sollte grundsätzlich davon ausgegangen werden, dass nachträglich gepatchte Zero-Day-Schwachstellen bereits ausgenutzt wurden — es sei denn, es wird das Gegenteil festgestellt.”
Wer eine Lücke schließt, darf also nicht annehmen, damit sei die Sache erledigt. Er muss prüfen, ob sie vorher genutzt wurde. Das verschiebt Gewicht von der Prävention zur Detektion: Protokollierung, Angriffserkennung und Vorfallbearbeitung werden von unterstützenden Maßnahmen zu tragenden.
3.5 Warum das Gesundheits- und Sozialwesen besonders betroffen ist
Hier trifft die beschleunigte Angreiferseite auf eine Verteidigung, die sich naturgemäß langsam bewegt. Das BSI benennt die Gründe selbst — die folgende Aufzählung ist die der Behörde, nicht unsere [K3-7]: Testaufwand, Freigabeprozesse, Wartungsfenster, Herstellerabhängigkeiten und begrenzte personelle Kapazitäten.
Zugleich warnt das BSI ausdrücklich davor, das Problem durch Vollautomatisierung zu lösen [K3-2]:
„Gleichzeitig kommt eine vollständige Automatisierung in der Praxis schnell an ihre Grenzen, da das automatische Ausrollen von Patches ohne vorherige Prüfung zu Beeinträchtigungen im IT-Betrieb und damit die Durchführung geschäftskritischer Prozesse erheblich stören oder vollständig verhindert könnte.”
Diese beiden Aussagen gehören zusammen gelesen. Für einen Träger mit klinischen Fachanwendungen ist die zweite entlastend: Niemand verlangt, Patches ungeprüft in ein Krankenhausinformationssystem einzuspielen. Sie ist zugleich verpflichtend: Wer nicht sofort patchen kann, muss kompensieren — durch Verringerung der Angriffsfläche, Segmentierung und Detektion. Das Nichtstun ist von beiden Aussagen nicht gedeckt.
Und die Behörde benennt die Ursache selbst. Die Aufzählung, warum die Verteidigung nicht mithalten kann, stammt nicht aus der Fachpresse und nicht von den Betroffenen — sie steht in der Warnung [K3-7]:
„Angreifer profitieren in besonderem Maße von der Geschwindigkeit, Skalierung und Automatisierung. Verteidiger bleiben dagegen an reale Betriebsgrenzen gebunden, etwa durch Testaufwand, Freigabeprozesse, Wartungsfenster für Patches, Herstellerabhängigkeiten, rechtliche und organisatorische Abstimmungen sowie begrenzte personelle Kapazitäten. Um trotz dieser Hürden Schritt zu halten, muss die Angriffsfläche grundsätzlich minimiert werden.”
Das ist für die Diskussion im eigenen Haus wertvoll: Wer erklären muss, warum ein Patch drei Wochen braucht, kann sich auf die Aufsichtsbehörde berufen statt sich zu rechtfertigen. Der Schlusssatz sagt allerdings ebenso deutlich, was daraus folgt — nicht Nachsicht, sondern die Pflicht, die Angriffsfläche zu verkleinern.
Der Befund für Fachanwendungen
Wie groß die Abhängigkeit tatsächlich ist, hat das BSI 2026 untersuchen lassen. In einem Projekt zu digitalen Pflegedokumentationssystemen wurden in drei geprüften Produkten dreizehn Sicherheitslücken mit hohem oder kritischem Schweregrad festgestellt, schwerpunktmäßig bei Kommunikationsverschlüsselung, Authentifizierung und der Prüfung von Software-Updates [K3-8].
Bemerkenswerter noch ist ein organisatorischer Befund aus derselben Untersuchung. Von 52 befragten ambulanten Pflegediensten gaben 25 an, dass Hersteller oder IT-Dienstleister für Wartungszwecke einen permanenten Netzwerkzugang haben; neun weitere wussten es nicht [K3-8]. Das BSI zieht daraus den naheliegenden Schluss:
„Sollten Hersteller oder IT-Dienstleistende Opfer eines Cyberangriffs werden, könnten auch die Remotezugänge zu den Pflegediensten kompromittiert werden. In diesem Fall kann eine Gefahr für mehrere Pflegedienste gleichzeitig bestehen.”
Das BSI hält die Ergebnisse ausdrücklich für übertragbar — vergleichbare Befunde gab es in seinen Projekten zu Krankenhausinformationssystemen und Praxisverwaltungssystemen [K3-8]. Wer also glaubt, das Problem betreffe nur die Pflegedokumentation, unterschätzt es.
3.6 KI-Systeme sind selbst eine Angriffsfläche
Die Warnung behandelt nicht nur KI in der Hand von Angreifern, sondern auch KI im eigenen Haus [K3-9]:
„Neben der missbräuchlichen Nutzung von KI durch Angreifer erweitern KI-Systeme selbst die Angriffsfläche von IT-Umgebungen. Insbesondere große KI-Sprachmodelle (LLMs) und darauf basierende KI-Systeme weisen neue Klassen von Schwachstellen auf, etwa sogenannte Prompt Injections sowie Indirect Prompt Injections.”
Kritisch wird es dort, wo Sprachmodelle mit externen Werkzeugen oder Abläufen gekoppelt sind und ihre Ausgaben unmittelbar Aktionen auslösen. Dann können Angreifer Informationen ausleiten, Systemzugriffe anstoßen oder Schadsoftware verankern.
Die Konsequenz formuliert das BSI knapp [K3-9]:
„KI-Komponenten müssen daher wie andere sicherheitskritische IT-Systeme betrachtet und durch geeignete Schutzmaßnahmen, Isolation, Validierungsschichten und Berechtigungskonzepte abgesichert werden.”
Für Träger, die KI-gestützte Dokumentations-, Abrechnungs- oder Assistenzfunktionen einführen — und das tun derzeit viele —, ist das eine konkrete Anforderung an die Beschaffung. Hinzu kommt das Risiko manipulierter Modelle: Sie können bereits vor der Auslieferung mit einer Hintertür versehen worden sein; auf vertrauenswürdige Bezugsquellen ist deshalb zu achten wie bei jeder anderen Software auch [K3-9].
3.7 Was daraus für die Pflichten nach § 30 BSIG folgt
Die zehn Mindestmaßnahmen des § 30 Abs. 2 BSIG bleiben unverändert. Was sich verschiebt, ist der Maßstab — und zwar auf einem Weg, den das Gesetz selbst angelegt hat.
§ 30 BSIG verlangt Maßnahmen nach dem Stand der Technik. Was das ist, sagt das Gesetz nicht — das BSI stellt in seiner FAQ ausdrücklich fest, „das Gesetz selbst trifft zur Definition der Begrifflichkeit jedoch keine Aussage” und greift auf die Definition im Handbuch der Rechtsförmlichkeit des Bundesjustizministeriums zurück [K3-10]:
„Als Stand der Technik gilt der Entwicklungsstand fortschrittlicher Verfahren, Einrichtungen und Betriebsweisen, der nach herrschender Auffassung führender Fachleute das Erreichen des gesetzlich vorgegebenen Zieles gesichert erscheinen lässt. Verfahren, Einrichtungen und Betriebsweisen oder vergleichbare Verfahren, Einrichtungen und Betriebsweisen müssen sich in der Praxis bewährt haben oder sollten – wenn dies noch nicht der Fall ist – möglichst in der Praxis mit Erfolg erprobt worden sein.”
Zwei Dinge folgen daraus. Erstens: Der Stand der Technik ist kein fester Wert, sondern ein beweglicher — er hängt an der „herrschenden Auffassung führender Fachleute”, und die Warnung des BSI ist genau die Art Äußerung, die diese Auffassung verschiebt. Zweitens, und das wird oft übersehen: Der Maßstab verlangt bewährte Verfahren, nicht die jeweils neuesten. Wer eine Maßnahme einführt, die sich noch nirgends bewährt hat, erfüllt den Stand der Technik nicht besser, sondern geht ein eigenes Risiko ein.
Praktisch heißt das:
Zu Nummer 8. Die Warnung enthält keine Aussage zur Kryptographie. Wir tragen dort nichts ein, was das BSI nicht sagt. Dass Verschlüsselung und Schlüsselmanagement in den Fachanwendungen des Sektors Schwächen aufweisen, ist allerdings durch die Produktuntersuchungen belegt [K3-8] — das ist ein Sektorbefund, keine KI-bedingte Verschärfung.
3.8 Die Leitungsebene ist adressiert
Die Warnung schließt mit einer Feststellung, die sich fast wörtlich an § 38 BSIG anschließen lässt [K3-11]:
„Die vorgestellten Maßnahmen sind grundsätzlich nicht neu, werden in der Praxis aber oft vernachlässigt. Auch hier gilt, dass IT-Sicherheit als erfolgsrelevanter Baustein in einer Organisation verstanden und durch die Leitungsebene adressiert werden muss. Die Umsetzung der folgenden Maßnahmen kann daher nur gelingen, wenn IT-Sicherheit mit den nötigen Budgets — sowohl finanziell als auch durch die Schaffung einer verantwortlichen Stelle für diese Aufgabe — vorangetrieben wird und die daraus resultierenden Schritte von höchster Ebene unterstützt werden.”
Das BSI beschreibt hier sachlich, was § 38 BSIG rechtlich anordnet: Die Geschäftsleitung muss die Maßnahmen umsetzen und überwachen, und sie haftet für schuldhafte Pflichtverletzungen persönlich (Kapitel 9.8). Budget und eine benannte verantwortliche Stelle sind danach keine Frage des Wollens.
3.9 Was dieses Kapitel nicht leisten kann
Zur Beleglage. Dieses Kapitel stützt sich in seinen tragenden Aussagen auf eine einzelne behördliche Quelle. Der BSI-Lagebericht bildet die KI-bedingte Verschärfung noch nicht ab — seine aktuellste Ausgabe hat einen Datenstand vom 30. Juni 2025 —, und zwischen dem 22. Juni und dem Redaktionsschluss dieses Dokuments am 2. August 2026 hat das BSI keine Folgeveröffentlichung dazu vorgelegt; die Warnung steht unverändert in Version 1.0 [K3-12].
Das ist kein Einwand gegen ihre Aussagen — sie stammen von der zuständigen Aufsichtsbehörde. Es heißt aber, dass die Entwicklung zu verfolgen ist und dieses Kapitel bei einer Fortschreibung des Dokuments als erstes zu prüfen sein wird.
Zur Reichweite. Die Warnung beschreibt eine Verschiebung des Maßstabs, keine neuen Pflichten. Wer die zehn Maßnahmen des § 30 BSIG bisher ernsthaft betrieben hat, muss nichts grundlegend anderes tun — sondern manches schneller, manches gründlicher und einiges zum ersten Mal messen.
Stand. Die Aussagen dieses Kapitels geben die BSI-Warnung vom 22. Juni 2026 in der Fassung vom 2. August 2026 wieder.
4. Die Caritas-Landschaft in Zahlen
Bevor die Einordnung beginnt, lohnt ein Blick auf die Größenordnung: Wie viele Träger gibt es, wie groß sind sie, und wo arbeiten die Menschen?
Die Zahlen dieses Kapitels stammen aus der Zentralstatistik des Deutschen Caritasverbandes mit dem Erhebungsstichtag 31. Dezember 2024 [K4-1]. Sie wurden im Frühjahr 2026 veröffentlicht — Erhebungs- und Veröffentlichungsdatum sind also auseinanderzuhalten.
Gegenüber der Fassung vom Februar 2026 sind sämtliche Zahlen ersetzt. Dort lag ein älterer, nicht ausgewiesener Stand zugrunde.
4.1 Die Größenordnung
| Kennzahl | Wert |
|---|---|
| Einrichtungen und Dienste | 25.130 |
| Hauptamtlich Beschäftigte | 770.952 |
| davon Vollzeit | 272.406 |
| davon Teilzeit | 498.547 |
| Vollzeitäquivalente | 518.138 |
| Plätze und Betten | 1.112.378 |
| Rechtsträger | rund 5.300 |
| Auszubildende und Schülerinnen und Schüler | 51.752 |
| Frauenanteil | 81,2 % |
Erhebungsstichtag jeweils 31. Dezember 2024 [K4-1]
Die Caritas unterstützt nach eigener Angabe rund 13 Millionen Menschen im Jahr.
4.2 Nach Arbeitsfeldern: zwei Bilder, zwei Aussagen
| Arbeitsfeld | Einrichtungen | Beschäftigte | Vollzeitäquivalente |
|---|---|---|---|
| Gesundheitshilfe | 2.323 | 300.956 | 205.013 |
| Kinder- und Jugendhilfe | 11.835 | 193.618 | 132.734 |
| Altenhilfe | 3.077 | 135.081 | 86.041 |
| Eingliederungshilfe und Psychiatrie | 2.373 | 92.701 | 62.454 |
| Weitere soziale Hilfen | 4.528 | 41.911 | 27.777 |
| Familienhilfe | 994 | 6.685 | 4.120 |
| insgesamt | 25.130 | 770.952 | 518.138 |
Die beiden Abbildungen gehören zusammen, weil sich ihre Rangfolge umkehrt.
Die Gesundheitshilfe stellt mit 2.323 Einrichtungen nur 9,2 Prozent der Einrichtungen, beschäftigt aber mit 300.956 Menschen 39,0 Prozent des Personals. Bei der Kinder- und Jugendhilfe ist es umgekehrt: 47,1 Prozent der Einrichtungen, 25,1 Prozent des Personals.
Das ist für dieses Dokument nicht nur eine Beobachtung, sondern der Grund, warum die Einrichtungszahl in die Irre führt: NIS-2 knüpft an die Größe des Rechtsträgers und die Sektorzugehörigkeit an, nicht an die Zahl der Standorte. Ein Träger mit vierzig Kindertagesstätten kann unterhalb der Schwelle liegen; ein Träger mit einem Krankenhaus liegt regelmäßig darüber.
4.3 Die Trägerlandschaft
Hier liegt die für die Betroffenheit entscheidende Verteilung [K4-2]:
„Den Großteil der rund 5.300 Rechtsträger bilden kleine Organisationen mit weniger als 50 Mitarbeitenden.”
„Mit 90 Prozent aller Beschäftigten ist der überwiegende Teil der Mitarbeiterinnen und Mitarbeiter in den etwa 1.750 Rechtsträgern mit einer Größe von 50 und mehr Mitarbeitenden beschäftigt.”
Daraus folgt — eigene Rechnung aus den belegten Werten, beide Ausgangszahlen sind bereits gerundet:
| Träger ab 50 Mitarbeitenden | etwa 1.750 (rund 33 %) |
| Träger unter 50 Mitarbeitenden | etwa 3.550 (rund 67 %) |
| Beschäftigte in den größeren Trägern | rund 694.000 (90 %) |
| durchschnittliche Größe der größeren Träger | rund 397 Beschäftigte |
| durchschnittliche Größe der kleineren Träger | rund 22 Beschäftigte |
Die Betroffenheit konzentriert sich damit auf ein Drittel der Träger, in dem neun Zehntel der Beschäftigten arbeiten. Für die übrigen zwei Drittel ist NIS-2 in aller Regel keine unmittelbare Pflicht — sie können aber über die Lieferkette betroffen sein (Kapitel 8).
Vorherrschende Rechtsformen sind Verein, GmbH und Stiftung [K4-2] — für die Haftungsfrage in Kapitel 9.8 relevant, weil sich die anwendbare Norm nach der Rechtsform richtet.
4.4 Warum die Zählweise gerade hier ins Gewicht fällt
Kapitel 5.2 stellt dar, dass für die Schwellenwerte Jahresarbeitseinheiten zählen und nicht Köpfe, und dass Auszubildende nicht mitzählen. Die Zentralstatistik zeigt, welche Größenordnung das für die Caritas hat:
| Wert | Verhältnis | |
|---|---|---|
| Hauptamtlich Beschäftigte (Köpfe) | 770.952 | 100 % |
| Vollzeitäquivalente | 518.138 | 67 % |
| Auszubildende und Schülerinnen und Schüler | 51.752 | — |
Über alle Träger hinweg liegen die Vollzeitäquivalente also bei rund zwei Dritteln der Kopfzahl. Hinzu kommen 51.752 Auszubildende, die nach der KMU-Empfehlung ebenfalls nicht mitzählen.
Was das für die eigene Prüfung bedeutet. Ein Träger, der in Köpfen rechnet, kann sich oberhalb einer Schwelle sehen, die er in Jahresarbeitseinheiten nicht erreicht. Bei einer Einrichtung mit 60 Beschäftigten und hoher Teilzeitquote ist das keine theoretische Möglichkeit.
Achtung bei der Übertragung: Vollzeitäquivalent und Jahresarbeitseinheit sind nicht dasselbe. Beide rechnen Teilzeit anteilig, aber die KMU-Empfehlung nimmt zusätzlich Auszubildende sowie Personen in Mutterschafts- und Elternurlaub heraus. Die Jahresarbeitseinheiten liegen deshalb tendenziell noch etwas niedriger als die Vollzeitäquivalente. Die Zahl ist im Einzelfall aus der eigenen Personalstatistik herzuleiten, nicht aus dieser Quote zu schätzen. — Einschätzung des Autors.
4.5 Was diese Statistik nicht hergibt
Für die Betroffenheitsfrage fehlen drei Angaben, und ihr Fehlen ist kein Zufall [K4-3]:
| Fehlende Angabe | Warum sie fehlt |
|---|---|
| Zahl der Träger mit 250 und mehr Beschäftigten | nicht veröffentlicht — es ist die Trennlinie zwischen besonders wichtiger und wichtiger Einrichtung |
| Umsatz- und Bilanzdaten der Träger | in der Zentralstatistik gar nicht erhoben — damit fehlt das zweite Kriterienbein der Schwellenwertprüfung |
| Zuordnung der Träger zu Sektoren nach Anlage 1 oder 2 BSIG | methodisch nicht angelegt |
Der letzte Punkt hat einen strukturellen Grund: Die Zentralstatistik zählt Einrichtungen nach Arbeitsfeldern, nicht Rechtsträger nach Sektoren. Ein Caritasverband betreibt typischerweise Kindertagesstätte, Sozialstation, Pflegeheim und Beratungsstellen zugleich. Die Aussage „Rechtsträger X gehört zum Sektor Gesundheit” lässt sich aus der veröffentlichten Statistik nicht ableiten.
Deshalb zeigt Abbildung 12 den Prüfweg und keine Mengen. Belegt sind nur zwei Stufen: rund 5.300 Rechtsträger am Anfang und etwa 1.750 mit 50 und mehr Mitarbeitenden. Wie viele davon einem Sektor der Anlagen 1 oder 2 BSIG angehören und wie viele am Ende betroffen sind, lässt sich aus keiner veröffentlichten Quelle beantworten.
Das ist selbst ein Befund. Wenn sich aus der eigenen Verbandsstatistik nicht ableiten lässt, wie viele Träger betroffen sind, dann kann es auch niemand anders — weder das BSI noch ein Kostenträger. Es unterstreicht, was Kapitel 5.4 beschreibt: Die Einordnung bleibt Sache jedes einzelnen Trägers.
4.6 Der Konsolidierungsbefund
Zwischen 2022 und 2024 hat sich die Landschaft verändert [K4-4]:
| 2022 | 2024 | |
|---|---|---|
| Einrichtungen und Dienste | 25.453 | 25.130 |
| Rechtsträger | rund 6.000 | rund 5.300 |
| Beschäftigte | — | 770.952 |
Die Zahl der Einrichtungen ist leicht gesunken, die der Rechtsträger deutlich — um rund 700 oder etwa zwölf Prozent. Die Beschäftigtenzahl ist im selben Zeitraum gestiegen.
Weniger Träger, die im Durchschnitt größer sind.
Einschätzung des Autors. Für die NIS-2-Betroffenheit wirkt diese Entwicklung in eine Richtung: Jede Fusion, die zwei Träger unterhalb der Schwelle zu einem darüber verbindet, schafft eine neue betroffene Einrichtung. Wer eine Trägerfusion plant, sollte die Betroffenheitsprüfung für den fusionierten Rechtsträger vorher durchführen — nicht danach. Die Frage gehört in die Due-Diligence-Prüfung, und sie ist dort bislang selten zu finden.
Stand. Erhebungsstichtag aller Zahlen dieses Kapitels ist der 31. Dezember 2024; die Veröffentlichung erfolgte im Frühjahr 2026. Die Vergleichszahlen für 2022 stammen aus der vorangegangenen Erhebung.
5. Entscheidungsbaum zur Selbsteinordnung
Dieses Kapitel beantwortet die erste Frage, die jeder Träger klären muss: Bin ich betroffen?
Es beginnt mit einem Satz, der unbequem ist und am Anfang stehen muss: Diese Frage beantwortet niemand für Sie. Die Einordnung ist Selbsteinschätzung. Das BSI teilt sie nicht mit, es gibt kein Antragsverfahren, und eine verbindliche Auskunft erteilt die Behörde nicht. Abschnitt 5.4 behandelt das im Einzelnen.
5.1 Drei Voraussetzungen, die zusammentreffen müssen
Für Träger der Freien Wohlfahrtspflege ist § 28 Abs. 1 Satz 1 Nr. 4 BSIG (besonders wichtige Einrichtung) oder § 28 Abs. 2 Satz 1 Nr. 3 BSIG (wichtige Einrichtung) einschlägig. Beide verlangen kumulativ [K5-1]:
| Voraussetzung | behandelt in | |
|---|---|---|
| a | Zuordnung zu einer Einrichtungsart der Anlage 1 oder 2 BSIG | Kapitel 6 |
| b | entgeltliches Anbieten von Waren oder Dienstleistungen | dieses Kapitel |
| c | Erreichen der Größenschwelle | dieses Kapitel |
Fehlt eine der drei, greift die Einordnung nicht.
Zur Voraussetzung b. Für gemeinnützige Träger stellt sich gelegentlich die Frage, ob sie „entgeltlich” anbieten. Sie tun es: Pflegesätze, Leistungsentgelte und Vergütungen nach den Sozialgesetzbüchern sind Entgelte. Gemeinnützigkeit ändert daran nichts — sie betrifft die steuerliche Behandlung, nicht die Entgeltlichkeit der Leistung. — Einschätzung des Autors.
Ein Sonderfall vorab: Betreiber kritischer Anlagen sind nach § 28 Abs. 1 Satz 1 Nr. 1 BSIG unmittelbar besonders wichtige Einrichtungen — ohne Prüfung von Einrichtungsart und Größe [K5-1]. Für Krankenhäuser oberhalb von 30.000 vollstationären Fällen endet die Prüfung damit bereits hier (Kapitel 6.2).
5.2 Die Größenschwellen
Hier liegt der häufigste Lesefehler.
| Kategorie | Schwelle |
|---|---|
| besonders wichtige Einrichtung (§ 28 Abs. 1 S. 1 Nr. 4) | mindestens 250 Mitarbeitende oder Jahresumsatz über 50 Mio. € und Jahresbilanzsumme über 43 Mio. € |
| wichtige Einrichtung (§ 28 Abs. 2 S. 1 Nr. 3) | mindestens 50 Mitarbeitende oder Jahresumsatz und Jahresbilanzsumme von jeweils über 10 Mio. € |
Die Verknüpfung ist gemischt [K5-1]: Zwischen dem Beschäftigtenkriterium und dem Finanzkriterium steht ein oder — eines von beiden genügt. Innerhalb des Finanzkriteriums steht ein und — Umsatz und Bilanzsumme müssen die Schwelle überschreiten.
Berichtigung gegenüber der Fassung vom Februar 2026. Dort wird die Schwellenwertformel an mehreren Stellen verkürzt wiedergegeben, unter anderem als „250 Mitarbeitende oder 50 Mio. Euro Umsatz”. Das lässt die Bilanzsumme weg und führt dazu, dass sich Träger als betroffen einordnen, die es nach dem Wortlaut nicht sind [K5-2].
Wie Beschäftigte gezählt werden
Nicht in Köpfen. § 28 Abs. 4 BSIG verweist für die Bestimmung von Mitarbeiterzahl, Jahresumsatz und Jahresbilanzsumme auf die Empfehlung 2003/361/EG der Europäischen Kommission [K5-1]. Nach deren Anhang gilt [K5-3]:
- gezählt werden Jahresarbeitseinheiten — wer ein volles Jahr in Vollzeit gearbeitet hat, zählt als eine Einheit,
- Teilzeitkräfte gehen anteilig ein,
- Auszubildende sowie Personen in Mutterschafts- oder Elternurlaub zählen nicht mit.
Für Träger mit hoher Teilzeitquote — in Pflege und Kindertagesbetreuung die Regel — kann die Zahl der Jahresarbeitseinheiten deutlich unter der Kopfzahl liegen. Wer in Köpfen rechnet, ordnet sich möglicherweise strenger ein, als das Gesetz verlangt.
Diese Zählweise fehlt in der Fassung vom Februar 2026 vollständig. Sie ist keine Auslegungsfrage, sondern geltendes Recht.
Eine Erleichterung für Träger mit kommunaler Beteiligung: § 28 Abs. 4 BSIG nimmt Artikel 3 Absatz 4 des Anhangs ausdrücklich aus [K5-1]. Die dort geregelte Sperre, nach der eine Beteiligung öffentlicher Stellen ab 25 Prozent die KMU-Eigenschaft ausschließt, gilt im NIS-2-Kontext also nicht.
Und eine mögliche Verschärfung: Verbundenheit kann auch ohne Kapitalbeteiligung entstehen — etwa über eine gemeinsam handelnde natürliche Person. Das gilt allerdings nur, wenn die Unternehmen „ganz oder teilweise in demselben Markt oder in benachbarten Märkten tätig sind” [K5-8]. Bei personenidentischen Geschäftsführungen sind daher beide Voraussetzungen zu prüfen (Kapitel 7.3).
5.3 Der Entscheidungsbaum
Die Prüfschritte in der Reihenfolge, in der sie sinnvoll sind:
1. Betreiber einer kritischen Anlage? Krankenhaus über 30.000 vollstationären Fällen? → besonders wichtige Einrichtung, Prüfung beendet.
2. Welche Rechtsperson wird geprüft? Jede juristische Person einzeln. Der Anknüpfungspunkt ist der Rechtsträger, nicht der Betrieb (Kapitel 7.2).
3. Fällt eine Tätigkeit unter Anlage 1 oder 2 BSIG? Kapitel 6 beantwortet das für die Einrichtungsarten der Caritas. Bei ambulanten Pflegediensten ist die Antwort offen — dieser Zweig endet nicht mit Ja oder Nein, sondern mit einer dokumentierten Einschätzung (Kapitel 6.4).
4. Ist die regulierte Tätigkeit vernachlässigbar? Nur zu prüfen, wenn sie klein ist. § 28 Abs. 3 BSIG ist enger, als er klingt (Kapitel 7.5) — und die Prüfung hat einen offenen Ausgang.
5. Größe ermitteln — in Jahresarbeitseinheiten. Nach Abschnitt 5.2.
6. Zurechnung prüfen. Bestehen Partner- oder Verbundverhältnisse? Übt die Gesellschaft bestimmenden Einfluss auf ihre eigene IT aus (Kapitel 7.4)?
7. Ergebnis festhalten — mit Datum, Datenbasis und Begründung.
5.4 Was das BSI nicht leistet
Diese vier Feststellungen gehören zusammen und ergeben eine Lage, die Geschäftsführungen kennen sollten.
Das BSI teilt die Betroffenheit nicht mit. Die Prüfung nach § 28 Abs. 1 Nr. 4 BSIG wird von den möglicherweise Betroffenen selbst durchgeführt [K5-4].
Es gibt kein Antragsverfahren auf Ausnahme. § 37 BSIG sieht kein antragsgebundenes Verfahren vor; die Initiative geht allein von Bundesbehörden aus [K5-5].
Das BSI erteilt keine verbindliche Einzelfallauskunft und empfiehlt in Zweifelsfällen ausdrücklich externe juristische Unterstützung [K5-6].
Es berät nicht im Einzelfall. Angeboten werden FAQ, Infopakete, Webinare und die Betroffenheitsprüfung; Rechtsberatung bleibt Anwältinnen und Anwälten vorbehalten [K5-7].
Was das praktisch bedeutet. Die Verantwortung für eine haftungsbewehrte Rechtsfrage liegt vollständig beim Träger. Es gibt keine Stelle, bei der man sich absichern kann — weder durch Anfrage noch durch Antrag. Zugleich ist die Verletzung der Registrierungspflicht bußgeldbewehrt (Kapitel 12.4), und die Geschäftsleitung trägt die Verantwortung für die Einordnung — mit den in Kapitel 9.8 dargestellten haftungsrechtlichen Folgen.
Einschätzung des Autors. Daraus folgt keine Empfehlung zur vorsorglichen Übererfüllung — wer sich ohne Not als betroffen einordnet, übernimmt Pflichten, die ihn nicht treffen, und bindet Mittel, die anderswo fehlen. Es folgt aber die dringende Empfehlung, die eigene Prüfung zu dokumentieren. Sie ist der einzige Nachweis, dass eine Einordnung überhaupt stattgefunden hat.
5.5 Die Betroffenheitsprüfung des BSI
Das BSI stellt eine Online-Betroffenheitsprüfung bereit. Sie ist eine unverbindliche Hilfe [K5-4] — ein Fragebogen, der durch die Systematik führt, kein Bescheid.
Ihr Nutzen liegt darin, die Prüfschritte in der richtigen Reihenfolge abzuarbeiten. Ihre Grenze liegt dort, wo dieses Dokument auch an Grenzen stößt: bei den ungeklärten Einordnungsfragen (Kapitel 6.4) und bei den Komplexträger-Fragen (Kapitel 7). Ein Werkzeug, das eine eindeutige Antwort ausgibt, kann eine uneindeutige Rechtslage nicht abbilden.
5.6 Die Dokumentation der eigenen Einordnung
Weil niemand die Einordnung abnimmt, ist ihre Dokumentation der einzige verfügbare Nachweis. Sie sollte enthalten:
| Was | Warum |
|---|---|
| Datum der Prüfung | belegt, wann die Frage überhaupt gestellt wurde |
| geprüfte Rechtsträger | zeigt, dass jede juristische Person betrachtet wurde |
| zugeordnete Einrichtungsarten mit Fundstelle | macht die Einordnung nachvollziehbar |
| Zahl der Jahresarbeitseinheiten und Herleitung | die Zahl muss aus der Personalstatistik ableitbar sein, nicht geschätzt |
| Umsatz und Bilanzsumme | beide, wegen der Verknüpfung in Abschnitt 5.2 |
| Prüfung der Vernachlässigbarkeit, falls einschlägig | mit den Kriterien aus Kapitel 7.5 |
| Zurechnungsprüfung | Partner- und Verbundverhältnisse, bestimmender Einfluss auf die IT |
| Ergebnis und Begründung | auch und gerade, wenn es „nicht betroffen” lautet |
| Wiedervorlage | die Rechtslage ist in Bewegung (Kapitel 2.6) |
Die Wiedervorlage ist kein Formalismus. Ein Träger, der 2026 zu dem Ergebnis „nicht betroffen” kommt, kann 2027 anders dastehen — durch Wachstum, durch Umstrukturierung, durch eine geänderte Verwaltungsauffassung oder durch die Kritisverordnung, die noch aussteht. — Einschätzung des Autors.
Stand. Rechtslage zum 2. August 2026. Die Auslegung des § 28 Abs. 3 BSIG ist nicht gerichtlich geklärt; zur Einordnung ambulanter Pflegedienste bestehen gegenläufige Auffassungen (Kapitel 6.4).
6. Detailanalyse nach Einrichtungstyp
Kapitel 5 hat gezeigt, wie die Einordnung abläuft. Dieses Kapitel beantwortet sie für die Einrichtungsarten, die in der Caritas vorkommen — soweit sie sich beantworten lässt.
Denn das ist der wichtigste Hinweis vorab: Nicht jede Frage ist geklärt. Für einen Teil der Einrichtungsarten liegt eine eindeutige behördliche Auslegung vor. Für einen anderen Teil stehen sich unterschiedliche Auffassungen gegenüber, ohne dass ein Gericht entschieden hätte. Dieses Kapitel unterscheidet beides ausdrücklich, statt eine Klarheit zu behaupten, die es nicht gibt.
6.1 Der Ausgangspunkt: eine einzige Einrichtungsart
Der Sektor Gesundheit kennt in Anlage 1 BSIG nur eine patientenbezogene Einrichtungsart: „Erbringer von Gesundheitsdienstleistungen” nach Anlage 1 Nummer 4.1.1 BSIG [K6-1]. Alles hängt daran, ob eine Einrichtung darunter fällt.
Was ein Gesundheitsdienstleister ist, sagt das BSIG nicht selbst. Es verweist auf die Richtlinie 2011/24/EU über die Ausübung der Patientenrechte in der grenzüberschreitenden Gesundheitsversorgung — die sogenannte Patientenmobilitätsrichtlinie [K6-2]. Damit gilt ein europäischer Rechtsbegriff, und das ist die Wurzel fast aller Abgrenzungsprobleme dieses Kapitels.
Die Diakonie hat den Kern in einer Analyse präzise benannt [K6-3]: Es handele sich um europäische Rechtsbegriffe, „die mit der deutschen Rechtsordnung und den Versorgungsstrukturen nicht kohärent sind”. Die Richtlinie regelt ihren Anwendungsbereich ausdrücklich „unabhängig davon, wie die Dienstleistung organisiert, erbracht oder finanziert wird”. Daraus folgt:
Die gesetzliche Grundlage der Leistung oder die Zulassungsart der Einrichtung nach nationalem Recht ist kein verlässliches Abgrenzungskriterium. Es kommt auf die jeweils erbrachte Dienstleistung an.
Wer also fragt „Rechne ich nach SGB V oder SGB XI ab?“, stellt eine Frage, die das europäische Recht so nicht kennt. Genau hier liegt der Streit, den Abschnitt 6.4 behandelt.
6.2 Krankenhäuser — betroffen
Für Krankenhäuser ist die Lage eindeutig. Das BSI beschreibt eine zweistufige Prüfung [K6-4]:
Erste Stufe: kritische Anlage. Ein zugelassenes Krankenhaus nach § 108 SGB V kann Betreiber einer kritischen Anlage sein, wenn es den Schwellenwert von 30.000 vollstationären Fällen pro Jahr überschreitet [K6-5]. Ist das der Fall, ist es damit automatisch besonders wichtige Einrichtung nach § 28 Abs. 1 Nr. 1 BSIG — eine weitere Prüfung erübrigt sich.
Zweite Stufe: Größenschwellen. Wird der KRITIS-Schwellenwert nicht erreicht, ist zu prüfen, ob eine Betroffenheit über § 28 Abs. 1 Nr. 4 (besonders wichtig) oder § 28 Abs. 2 Nr. 3 BSIG (wichtig) besteht. Krankenhäuser fallen dabei unter Anlage 1 Nr. 4.1.1 BSIG.
Ein Krankenhaus ist also entweder über die Fallzahl oder über die Größe erfasst — in aller Regel eines von beidem.
Stand der Kritisverordnung. Der Schwellenwert von 30.000 vollstationären Fällen gilt unverändert fort. Zwar wurde die Bestimmung kritischer Anlagen mit dem KRITIS-Dachgesetz aus dem BSIG herausgelöst; nach § 66 BSIG bleibt jedoch das bisherige Recht anwendbar, solange die neue Kritisverordnung nicht in Kraft ist [K6-6]. Auch der Referentenentwurf hält am Schwellenwert von 30.000 Fällen fest.
Für Krankenhäuser gelten zusätzlich sozialrechtliche Vorgaben, insbesondere § 391 SGB V, der inzwischen auf § 30 Abs. 8 BSIG verweist [K6-7]. Kapitel 9 behandelt das Verhältnis beider Regelungen.
6.3 Rettungsdienste — betroffen, und das ist neu
Rettungsdienste sind erfasst. Das BSI hat seine ursprüngliche Bewertung ausdrücklich revidiert und begründet die heutige Einordnung so [K6-8]:
„Rettungsdienste fallen unter den Begriff der ‚Gesundheitsvorsorge’ und gelten daher als Gesundheitsdienstleister im Sinne des BSIG. Im Rettungsdienst wird in der Regel Personal eingesetzt, das als ‚Angehörige von Gesundheitsberufen’ gilt. Neben Ärztinnen und Ärzten dürfte der Beruf der Notfallsanitäterinnen und Notfallsanitäter im Sinne des 2005/36/EG reguliert sein (siehe: § 1 NotSanG). Die Tätigkeit eines Rettungsdienstes dient der Beurteilung, Erhalt und Wiederherstellung des Gesundheitszustandes und wird direkt gegenüber Patientinnen und Patienten erbracht.”
Für Caritas-Träger ist das die praktisch folgenreichste Einordnung des ganzen Kapitels. Der Rettungsdienst ist bei vielen Trägern ein vergleichsweise kleiner Bereich — und zieht doch den gesamten Rechtsträger in den Anwendungsbereich, weil das BSIG an die juristische Person anknüpft (Kapitel 7.2).
Das BSI benennt selbst den Gegenhebel und verweist dafür ausdrücklich auf § 28 Abs. 3 BSIG [K6-8]. Bemerkenswert ist das gewählte Beispiel: die Luftrettung. Für die Prüfung der Vernachlässigbarkeit gelten dann die in Kapitel 7.5 dargestellten Maßstäbe — einschließlich der Satzungsfrage, die gemeinnützige Träger besonders trifft.
6.4 Ambulante Pflegedienste — ungeklärt
Dies ist die schwierigste Frage des Dokuments, und sie hat sich seit der Version 1.0 verändert. Version 1.0 führte ambulante Pflegedienste ohne Vorbehalt als „nicht betroffen”. Das ist nicht mehr haltbar.
Was das BSI sagt
Das BSI hält am Regelfall der Nichtbetroffenheit fest, hat die Ausnahme aber eingeschränkt und eine Rückausnahme eingeführt [K6-9]:
„Dementsprechend fallen ambulante Pflegedienste sowie Pflegeheime und Einrichtungen zur Tages- und Kurzzeitpflege grundsätzlich nicht in den Geltungsbereich des BSIG. Eine Registrierung ist in der Regel nicht notwendig. […] Eine Abgrenzung ist jedoch nicht immer eindeutig möglich und im Einzelfall, insbesondere bei der zusätzlichen Erbringung von medizinischen Dienstleistungen, ggf. mit juristischer Unterstützung, zu prüfen. So können bestimmte Einrichtungen von dem Anwendungsbereich des BSIG erfasst sein, wenn die Erbringung medizinischer Leistungen einen erheblichen Teil der Tätigkeit ausmacht.”
Damit ist die Ausnahme nicht mehr einrichtungs-, sondern tätigkeitsbezogen. Sie greift, wo der Schwerpunkt „in der Unterstützung bei routinemäßigen, alltäglichen Verrichtungen” liegt [K6-10].
Einen Maßstab für „erheblicher Teil” nennt das BSI nicht. Keine Quote, kein Umsatzanteil, kein anderes Maß. Zur Behandlungspflege nach § 37 SGB V oder zur Hilfsmittelversorgung äußert es sich nicht.
Was der bpa und das Bundesgesundheitsministerium sagen
Der bpa vertritt eine andere, leistungsrechtsbezogene Auslegung und beruft sich dabei auf das BMG [K6-11]:
„Umfasst sind nach Aussage des Bundesministerium für Gesundheit (BMG) grundsätzlich Leistungen nach dem SGB V. Daher ist davon auszugehen, dass z. B. Leistungserbringer im Bereich der häuslichen Krankenpflege (HKP), der außerklinischen Intensivpflege (AKI) oder der Palliativversorgung (SAPV) Gesundheitsdienstleistungen im Sinne des BSIG erbringen.”
Nach dieser Linie wäre ein ambulanter Dienst mit Leistungen nach SGB V erfasst — unabhängig davon, wo sein tätigkeitsbezogener Schwerpunkt liegt.
Warum beide Auffassungen zu gegenläufigen Ergebnissen führen
Für den praktisch häufigen Fall — ein ambulanter Dienst mit erheblichem Anteil an Behandlungspflege — führen die beiden Auslegungen auseinander:
| Auslegung | Kriterium | Ergebnis |
|---|---|---|
| BSI | Schwerpunkt der tatsächlichen Tätigkeit | eher nicht erfasst, solange alltägliche Verrichtungen überwiegen |
| bpa / BMG | Leistungsrecht (SGB V gegen SGB XI) | erfasst, sobald SGB-V-Leistungen erbracht werden |
Gegen die leistungsrechtliche Abgrenzung spricht ein methodisches Argument, das die Diakonie formuliert hat [K6-3]: Die Patientenmobilitätsrichtlinie gilt ausdrücklich unabhängig davon, wie eine Leistung „organisiert, erbracht oder finanziert wird”. Das nationale Leistungsrecht ist danach gerade kein zulässiges Abgrenzungskriterium.
Für die Auslegung des BSI spricht, dass sie näher am Wortlaut der Richtlinie bleibt. Gegen sie spricht, dass sie einen unbestimmten Begriff — „erheblicher Teil” — an die Stelle eines bestimmbaren setzt.
Diese Frage ist nicht geklärt. Es gibt dazu keine Rechtsprechung und keine verbindliche Auskunft. Das BSI selbst empfiehlt in Zweifelsfällen ausdrücklich juristische Unterstützung.
Was Träger jetzt tun können
Einschätzung des Autors. Solange die Frage offen ist, ist die belastbarste Vorbereitung nicht eine Festlegung, sondern eine dokumentierte Prüfung:
- Den Anteil der Behandlungspflege am Leistungsgeschehen kennen — nach Umsatz, Einsatzzeiten oder Fallzahlen, je nachdem, was die eigene Leistungsdokumentation hergibt.
- Die eigene Einordnung schriftlich begründen, mit Datum und Datenbasis.
- Die Entwicklung verfolgen. Der Kommissionsvorschlag COM(2026) 13 will die Langzeitpflege-Ausnahme ausdrücklich bestätigen (Kapitel 2.6); ein Regelungsvorhaben zur Anpassung des Anwendungsbereichs für ambulante Dienste ist im Lobbyregister verzeichnet [K6-12].
- Die Entscheidung nicht auf die lange Bank schieben. Wer sich für „nicht betroffen” entscheidet, trägt das Risiko selbst — es gibt weder ein Antragsverfahren noch eine verbindliche Auskunft (Kapitel 5.4).
Ein tröstlicher Umstand: Die Maßnahmen nach § 30 BSIG sind für einen Pflegedienst ohnehin überwiegend gute Praxis. Wer sie umsetzt, verliert wenig, falls sich die Betroffenheit später bestätigt — und gewinnt Sicherheit unabhängig davon.
6.5 Stationäre Pflege und Langzeitpflege — nicht erfasst
Für Pflegeheime, Tages- und Kurzzeitpflege gilt die Ausnahme der Langzeitpflege [K6-9]. Ihre Rechtsgrundlage ist stärker, als in Version 1.0 dargestellt: Sie steht in Artikel 1 Absatz 3 Buchstabe a der Richtlinie 2011/24/EU — im verfügenden Teil, nicht nur in Erwägungsgrund 14 [K6-2]. Ein Erwägungsgrund ist Auslegungshilfe; der verfügende Teil ist Norm.
Zusätzlich hat die Europäische Kommission mit COM(2026) 13 vom 20. Januar 2026 vorgeschlagen, Anhang I der NIS-2-Richtlinie so zu fassen, dass Gesundheitsdienstleister erfasst sind „ausgenommen Dienstleister, für die die Richtlinie 2011/24/EU gemäß Artikel 1 Absatz 3 Buchstabe a nicht gilt” [K6-13]. Die Kommission will die Ausnahme also bestätigen und begründet das mit Auslegungsschwierigkeiten in der Umsetzungspraxis. Der Vorschlag ist noch nicht in Kraft.
Auch hier gilt allerdings die Schwerpunktbetrachtung aus Abschnitt 6.4: Die Ausnahme greift für Einrichtungen, „deren Schwerpunkt in der Unterstützung bei routinemäßigen, alltäglichen Verrichtungen liegt”. Eine Pflegeeinrichtung mit angegliederter außerklinischer Intensivpflege sollte das prüfen.
6.6 Eingliederungshilfe — nicht erfasst
Einrichtungen der Eingliederungshilfe sind in den Anlagen 1 und 2 BSIG nicht als eigene Einrichtungsart vorgesehen und daher nicht erfasst [K6-14]. Eine Betroffenheit käme nur in Betracht, wenn die Einrichtung im Einzelfall als Gesundheitsdienstleister nach Anlage 1 Nr. 4.1.1 BSIG einzustufen wäre.
Das ist für die Caritas eine wichtige Entlastung — Werkstätten, besondere Wohnformen und Angebote der Teilhabe fallen als solche nicht unter das BSIG. Zu beachten bleibt die Wirkung über den Rechtsträger: Betreibt dieselbe gGmbH auch einen Rettungsdienst oder ein Krankenhaus, ist der Träger insgesamt betroffen (Kapitel 7.2).
6.7 Weitere Einrichtungsarten im Überblick
Das BSI hat sein Infopaket zum Gesundheitswesen seit Februar 2026 erheblich erweitert und behandelt inzwischen dreizehn Fallgruppen. Die folgende Übersicht fasst die für die Caritas einschlägigen zusammen [K6-15].
| Einrichtungsart | Einordnung | Grundlage |
|---|---|---|
| Krankenhaus | erfasst | Anlage 1 Nr. 4.1.1; ab 30.000 Fällen zugleich KRITIS |
| Rettungsdienst, einschließlich Luftrettung | erfasst | Gesundheitsvorsorge, reglementierte Gesundheitsberufe |
| Pflegeheim, Tages- und Kurzzeitpflege | nicht erfasst | Langzeitpflege-Ausnahme |
| Ambulanter Pflegedienst | strittig | siehe 6.4 |
| Eingliederungshilfe | nicht erfasst | keine Einrichtungsart der Anlagen |
| Ambulanzen | kommt darauf an | medizinischer Charakter im Einzelfall; bei palliativen Ambulanzen regelmäßig nicht erfasst |
| Reha- und Kureinrichtungen | kommt darauf an | nach BSI regelmäßig nicht erfasst — siehe Hinweis unten |
| Physiotherapie | nicht erfasst | rehabilitativer oder präventiver Charakter überwiegt |
| Homecare, Hauswirtschaft, Catering | nicht erfasst | Kern der Tätigkeit nicht medizinisch |
| Sanitätshäuser, Orthopädietechnik | nicht als Gesundheitsdienstleister | ggf. Anlage 2 Nr. 5.1 (Herstellung von Medizinprodukten) bei Schwellenüberschreitung |
| Schulungseinrichtungen | nicht erfasst | Ausbildungsaspekt steht im Vordergrund |
| Krankenkassen | nur als KRITIS-Betreiber | Schwellenwerte der BSI-KritisV, Anhang 9 Teil 2 |
| Kindertagesbetreuung, Jugendhilfe, Beratungsdienste | nicht erfasst | keine Einrichtungsart der Anlagen |
Hinweis zu Reha-Einrichtungen — ein offener Widerspruch. Das BSI ordnet Reha- und Kureinrichtungen regelmäßig als nicht erfasst ein, weil „die Unterstützung bzw. Wiederherstellung der alltäglichen Lebensführung […] im Mittelpunkt” stehe [K6-15]. Die Diakonie ging in ihrer Analyse vom November 2024 dagegen davon aus, dass gerade Einrichtungen der medizinischen Rehabilitation erfasst seien [K6-3]. Der Widerspruch ist nicht aufgelöst. Die Diakonie-Analyse bezieht sich allerdings auf einen früheren Gesetzentwurf und ist nicht fortgeschrieben; die BSI-Aussage ist aktueller. Träger mit Reha-Einrichtungen sollten die Frage im Einzelfall prüfen lassen.
6.8 Randfälle, die leicht übersehen werden
Zwei Konstellationen kommen bei Komplexträgern vor und werden selten mitgedacht.
Zentralküchen mit Fremdbelieferung. Der Sektor „Produktion, Verarbeitung und Vertrieb von Lebensmitteln” erfasst Unternehmen, die „im Großhandel sowie in der industriellen Produktion und Verarbeitung tätig sind”; das BSI legt das „sowie” ausdrücklich als „oder” aus [K6-16]. Gastronomiebetriebe fallen in der Regel nicht darunter. Eine große Zentralküche, die auch andere Einrichtungen oder „Essen auf Rädern” beliefert, sollte gleichwohl prüfen, ob sie in den Bereich des Großhandels hineinwächst.
Eigene Energieanlagen. Blockheizkraftwerke und Photovoltaikanlagen auf dem Klinikgelände führen für sich genommen nicht in den Anwendungsbereich; die Schwelle für Photovoltaik liegt bei einer installierten Nennleistung von mindestens 104 Megawatt [K6-17]. Relevant wird es erst, wenn ein Energieversorgungsnetz betrieben wird — dann besteht eine Registrierungspflicht auch unterhalb der Schwellen.
Stand. Dieses Kapitel gibt die Rechtslage und die behördliche Auslegung zum August 2026 wieder. Die Einordnung ambulanter Pflegedienste ist streitig; zu Reha-Einrichtungen besteht ein ungeklärter Widerspruch zwischen behördlicher und verbandlicher Auffassung. Rechtsprechung liegt zu keiner dieser Fragen vor.
7. Komplexträger
Die meisten Träger der Caritas sind keine Einzelunternehmen mit einem Geschäftszweck, sondern gewachsene Gebilde: ein Krankenhaus, mehrere Pflegeheime, ambulante Dienste, eine Werkstatt für behinderte Menschen, Kindertagesstätten, Beratungsstellen — teils in einer Rechtsperson, teils in Tochtergesellschaften, oft mit einer gemeinsamen IT. Für die Einordnung nach dem BSIG ist das die schwierigste Ausgangslage, und sie ist zugleich die häufigste.
Dieses Kapitel beantwortet vier Fragen: Woran knüpft das Gesetz an? Wann werden die Zahlen mehrerer Gesellschaften zusammengerechnet? Was lässt sich gestalten — und was nicht? Und was gilt für die eigene IT-Gesellschaft?
Musterbeispiel. Alle Rechenwege dieses Dokuments beziehen sich auf denselben gedachten Träger: die Caritas XY gGmbH mit rund 2.500 Mitarbeitenden, darunter ein Krankenhaus mit 800 Mitarbeitenden, Pflegeeinrichtungen mit 700, eine Werkstatt für behinderte Menschen mit 400, Kindertagesstätten mit 250, Beratungsdienste mit 150 und eine Verwaltung mit 200 Mitarbeitenden.
7.1 Anatomie eines Komplexträgers
Charakteristisch für die Freie Wohlfahrtspflege ist, dass fachlich sehr unterschiedliche Bereiche unter einem rechtlichen Dach zusammenkommen. Historisch hat das gute Gründe: gemeinsame Verwaltung, gemeinsame Finanzierung, gemeinsame Trägeridentität. Für die IT bedeutet es meist eine gemeinsame Infrastruktur — ein Verzeichnisdienst, ein Mailsystem, ein Rechenzentrum oder ein gemeinsamer Dienstleister.
Genau diese Bündelung, die betriebswirtschaftlich und sicherheitstechnisch sinnvoll ist, führt bei der NIS-2-Einordnung zu Fragen, die ein Einzelträger nicht hat.
7.2 Der Grundsatz: Anknüpfungspunkt ist der Rechtsträger
Das BSIG knüpft an die Einrichtung an, und Einrichtung ist die natürliche oder juristische Person — nicht der Betrieb, nicht der Standort, nicht die Abteilung [K7-1].
Daraus folgen drei Konsequenzen, die in der Praxis regelmäßig unterschätzt werden:
Erstens: Ein betroffener Bereich zieht den gesamten Rechtsträger hinein. Betreibt die Caritas XY gGmbH ein Krankenhaus, ist nicht „das Krankenhaus” betroffen, sondern die gGmbH — mit allen ihren Bereichen. Die Pflichten nach § 30 BSIG gelten dann grundsätzlich für die informationstechnischen Systeme, die der Erbringung der Dienste dienen, nicht nur für die des Krankenhauses.
Zweitens: Die Schwellenwerte werden am Rechtsträger gemessen, nicht am Bereich. Die 2.500 Mitarbeitenden der gGmbH zählen, nicht die 800 des Krankenhauses.
Drittens: Rechtlich selbständige Töchter sind eigene Einrichtungen — mit der wichtigen Einschränkung, die Abschnitt 7.3 behandelt.
7.3 Wann Zahlen zusammengerechnet werden: § 28 Abs. 4 BSIG
Wäre allein die einzelne Gesellschaft maßgeblich, ließe sich jede Schwelle durch Aufspaltung unterlaufen. Deshalb verweist das BSIG für die Größenbestimmung auf die Empfehlung 2003/361/EG der Europäischen Kommission [K7-2] und ordnet in § 28 Abs. 4 BSIG an, unter welchen Voraussetzungen die Daten von Partner- und verbundenen Unternehmen hinzuzurechnen sind.
Zwei Punkte daraus verdienen besondere Aufmerksamkeit, weil sie in der Praxis häufig übersehen werden.
Beschäftigte werden in Jahresarbeitseinheiten gezählt, nicht in Köpfen. Maßgeblich ist Art. 5 des Anhangs zur Empfehlung 2003/361/EG: Gezählt wird, wer ein volles Jahr vollzeitig gearbeitet hat; Teilzeitkräfte und Saisonarbeitskräfte gehen anteilig ein. Auszubildende und Personen in Mutterschafts- oder Elternurlaub zählen nicht mit [K7-3].
Für die Caritas ist das kein Detail. Bei einer Teilzeitquote, wie sie in Pflege und Kindertagesbetreuung üblich ist, kann die Zahl der Jahresarbeitseinheiten deutlich unter der Kopfzahl liegen. Wer mit Köpfen rechnet, ordnet sich möglicherweise strenger ein, als das Gesetz verlangt.
Praktische Folge. Die Zählung nach Jahresarbeitseinheiten ist zu dokumentieren, bevor sie gebraucht wird. Sie ist nachvollziehbar herzuleiten — aus der Personalstatistik, nicht aus einer Schätzung.
Verbundenheit kann auch ohne Kapitalbeteiligung entstehen — aber nur unter einer Bedingung, die häufig übersehen wird [K7-4]:
„Unternehmen, die durch eine natürliche Person oder eine gemeinsam handelnde Gruppe natürlicher Personen miteinander in einer dieser Beziehungen stehen, gelten gleichermaßen als verbundene Unternehmen, sofern diese Unternehmen ganz oder teilweise in demselben Markt oder in benachbarten Märkten tätig sind.”
Bei Caritas-Strukturen mit personenidentischen Geschäftsführungen oder Vorstandsdoppelmandaten ist die erste Voraussetzung häufig erfüllt. Die zweite — Tätigkeit auf demselben oder einem benachbarten Markt — ist gesondert zu prüfen. Als benachbarter Markt gilt nach der Empfehlung „der Markt für ein Produkt oder eine Dienstleistung, der dem betreffenden Markt unmittelbar vor- oder nachgeschaltet ist”.
Praktische Folge. Zwei Träger mit derselben Geschäftsführung, die beide Pflegeleistungen erbringen, dürften auf demselben Markt tätig sein. Ein Pflegeträger und eine Kita-gGmbH mit personenidentischer Leitung sind es möglicherweise nicht. Die Marktabgrenzung ist damit ein eigener Prüfschritt, der über die Zurechnung entscheidet. — Einschätzung des Autors.
Eine Erleichterung gibt es allerdings: Die sonst geltende Regel, nach der öffentliche Stellen mit einer Beteiligung ab 25 Prozent die KMU-Eigenschaft ausschließen, ist für NIS-2 ausdrücklich nicht anwendbar [K7-5]. Für Träger mit kommunaler Beteiligung ist das erheblich.
7.4 Die Umkehrwirkung: zentrale IT zieht in den Anwendungsbereich hinein
Hier liegt der für Komplexträger folgenreichste Befund dieses Kapitels — und er läuft der Intuition zuwider.
§ 28 Abs. 4 Satz 2 BSIG befreit eine Tochtergesellschaft von der Zurechnung, wenn sie bestimmenden Einfluss auf ihre eigene IT ausübt. Was das bedeutet, sagt die Gesetzesbegründung [K7-6]:
„Ein bestimmender Einfluss […] liegt insbesondere vor, wenn grundsätzliche Entscheidungen zur Beschaffung, zum Betrieb und zur Konfiguration der informationstechnischen Systeme, Komponenten und Prozesse durch die Einrichtung eigenverantwortlich getroffen werden können. Dies ist beispielsweise regelmäßig zu verneinen, wenn die informationstechnischen Systeme, Komponenten und Prozesse vollständig durch eine Konzernmutter betrieben werden […]. Ein bestimmender Einfluss liegt jedoch regelmäßig vor, wenn die informationstechnischen Systeme, Komponenten und Prozesse im Auftrag durch einen Dienstleister betrieben werden, da hier durch vertragliche Regelungen bestimmender Einfluss […] ausgeübt werden kann.”
Übersetzt in die Praxis:
| Konstellation | Bestimmender Einfluss? | Folge |
|---|---|---|
| Tochter entscheidet selbst über Beschaffung, Betrieb, Konfiguration | ja | Verbundzahlen werden nicht hinzugerechnet |
| IT wird vollständig durch die Konzernmutter betrieben, Tochter ohne Einfluss | nein | Verbundzahlen werden hinzugerechnet |
| IT wird im Auftrag durch einen Dienstleister betrieben, Steuerung über Vertrag | ja | Verbundzahlen werden nicht hinzugerechnet |
Das heißt: Wer die IT zentralisiert, um sie besser zu beherrschen, kann damit Töchter in den Anwendungsbereich ziehen, die für sich genommen unter den Schwellen lägen. Wer dieselbe Leistung über einen Dienstleistungsvertrag bezieht, behält den bestimmenden Einfluss.
Einschätzung des Autors. Daraus folgt ausdrücklich kein Rat zur Dezentralisierung. § 28 Abs. 4 Satz 2 BSIG ist eine Schwellenwertregel, keine Sicherheitsregel; das Sicherheitsniveau bleibt das vorrangige Ziel, und eine zersplitterte IT-Landschaft ist regelmäßig unsicherer. Der richtige Schluss ist ein anderer: Die Governance der zentralen IT sollte bewusst gestaltet werden, weil sie über den Anwendungsbereich mitentscheidet.
Der typische Caritas-Fall liegt zwischen den beiden Polen der Begründung: Die IT wird häufig von einer Schwester- oder Servicegesellschaft erbracht, nicht von einer Konzernmutter im gesellschaftsrechtlichen Sinn, und auf Grundlage eines Dienstleistungsvertrags. Nach dem Wortlaut der Begründung spricht das für den Erhalt des bestimmenden Einflusses.
Diese Konstellation ist nicht ausdrücklich geklärt. Eine Fundstelle, die die Schwester-Servicegesellschaft auf Vertragsgrundlage behandelt, existiert nicht. Die Zuordnung zu einem der beiden Pole ist offen.
Wer sich auf den Erhalt des bestimmenden Einflusses beruft, sollte das belegen können. Praktisch heißt das: schriftlicher Dienstleistungsvertrag mit Leistungsschein, dokumentierte Entscheidungszuständigkeit der Geschäftsführung für IT-Beschaffungen ab einer definierten Schwelle, eigene Freigabe von Architektur- und Konfigurationsentscheidungen, Kündigungs- und Anbieterwechselmöglichkeit. Wo dagegen eine Konzernrichtlinie die IT-Standards verbindlich vorgibt und die Tochter faktisch nichts entscheidet, trägt die Argumentation nicht — unabhängig davon, wie der Vertrag überschrieben ist.
Keine Konzernbefreiung. Eine verbreitete Hoffnung räumt das BSI in seiner FAQ ausdrücklich aus: dass die Muttergesellschaft die Pflichten stellvertretend für den Verbund erfüllen könne. Auf die Frage, ob bei Mutter- und Tochterunternehmen mit gemeinsamer IT beide erfasst werden oder ob es genügt, wenn die Anforderungen durch den Mutterkonzern erfüllt werden, antwortet das BSI [K7-15]:
„Beide Unternehmen werden erfasst und unterliegen den Anforderungen von §§ 30 ff. BSIG. Zu beachten ist jedoch, ob im Einzelfall die Voraussetzungen des § 28 Absatz 4 Satz 2 BSIG vorliegen.”
Registrierung, Meldewege, Nachweise und Geschäftsleiterpflichten treffen damit jede erfasste Gesellschaft einzeln. Ein gemeinsames Informationssicherheits- management für den Verbund ist möglich und sinnvoll — es ersetzt aber nicht die Registrierung der einzelnen Rechtsträger und nicht die Schulung ihrer jeweiligen Geschäftsleitungen.
Und eine Randnotiz mit Folgen für internationale Strukturen. Auch verbundene Unternehmen, die nicht in Deutschland oder der EU tätig sind, werden bei der Berechnung der Schwellenwerte einbezogen [K7-15]. Für Träger mit Auslandsprojekten oder Beteiligungen außerhalb der EU ist das zu beachten.
7.5 Die vernachlässigbare Geschäftstätigkeit: § 28 Abs. 3 BSIG
§ 28 Abs. 3 BSIG erlaubt, Geschäftstätigkeiten bei der Zuordnung zu einer Einrichtungsart unberücksichtigt zu lassen, wenn sie „im Hinblick auf die gesamte Geschäftstätigkeit der Einrichtung vernachlässigbar sind”.
Auf den ersten Blick wirkt das wie ein Ausweg für Komplexträger. Die Gesetzesbegründung [K7-7] zeigt, dass die Vorschrift enger ist, als sie klingt:
„Damit wird im Einzelfall vermieden, dass eine nur geringfügige Nebentätigkeit zu einer unverhältnismäßigen Identifizierung als wichtige oder besonders wichtige Einrichtung führt. Mögliche Anhaltspunkte für diese Bewertung können etwa die Anzahl der in diesem Bereich tätigen Mitarbeiter, der durch diese Geschäftstätigkeit erwirtschaftete Umsatz oder die Bilanzsumme für diesen Bereich sein. Ein Indiz, dass es sich nicht um eine vernachlässigbare Geschäftstätigkeit handelt, kann ihre Nennung in einem Gesellschaftervertrag, einer Satzung oder einem vergleichbaren Gründungsdokument der Einrichtung sein. Entscheidend ist dabei unter Berücksichtigung aller relevanten Anhaltspunkte das Gesamtbild […].”
Daraus ergeben sich vier Festlegungen:
- Normzweck ist Verhältnismäßigkeit. Vermieden werden soll die „unverhältnismäßige Identifizierung” — ein Argument, das ein Träger gegenüber der Aufsicht führen kann.
- Drei quantitative Anhaltspunkte, alternativ nebeneinander: Mitarbeitende im Bereich, Umsatz des Bereichs, Bilanzsumme des Bereichs.
- Ein qualitatives Gegenindiz: die Nennung der Tätigkeit in Satzung oder Gesellschaftsvertrag.
- Keine feste Schwelle. Es gibt keinen Prozentwert; maßgeblich ist das Gesamtbild.
Hinzu kommt eine Aussage des Innenausschusses, die die Reichweite der Vorschrift betrifft. Bei einer Änderung des § 28 Abs. 5 Satz 4 BSIG stellte er ausdrücklich fest [K7-8]:
„Der Begriff der Nebentätigkeit ist dabei weiter zu verstehen als der der ‚vernachlässigbaren Tätigkeit’ des § 28 Absatz 3.”
Wer § 28 Abs. 3 BSIG als großzügige Bagatellklausel liest, liest an dieser Stelle vorbei. Der Gesetzgeber hat die Vernachlässigbarkeit ausdrücklich als den engeren von zwei Begriffen bezeichnet.
Der Satzungszweck als Falle für gemeinnützige Träger
Einschätzung des Autors. Das Gegenindiz aus Nummer 3 trifft gemeinnützige Komplexträger härter als erwerbswirtschaftliche Konzerne. Satzungen und Gesellschaftsverträge gemeinnütziger Körperschaften zählen ihre Tätigkeitsfelder aus steuerrechtlichen Gründen typischerweise sehr ausführlich auf — die Zweckbetriebseigenschaft nach den §§ 65 ff. AO verlangt eine hinreichend bestimmte Zweckbeschreibung. Ein erwerbswirtschaftlicher Konzern kommt dagegen meist mit einer knappen Generalklausel aus.
Ein Rettungsdienst, der wirtschaftlich zwei Prozent der Geschäftstätigkeit ausmacht, steht bei einem gemeinnützigen Träger deshalb mit hoher Wahrscheinlichkeit in der Satzung — und wird damit nach der Gesetzesbegründung zum Indiz gegen die Vernachlässigbarkeit.
Dagegen lässt sich argumentieren: Die Begründung formuliert die Satzungsnennung ausdrücklich nur als Indiz und als eines von mehreren, während sie das „Gesamtbild” für entscheidend erklärt. Der satzungsmäßige Zweckkatalog dient zudem einem anderen Zweck — er ist steuerlich veranlasst und sagt über das wirtschaftliche Gewicht der Tätigkeit wenig aus. Wer eine Satzungsänderung ohnehin plant, sollte diesen Aspekt gleichwohl nicht unbedacht lassen.
Hinweis. Zur Auslegung des § 28 Abs. 3 BSIG existiert bislang keine veröffentlichte Rechtsprechung und keine bekannt gewordene behördliche Einzelfallentscheidung [K7-9]. Die vorstehenden Überlegungen sind Auslegungsargumente, keine gesicherte Rechtslage.
Mehrere Kanzleien weisen zudem darauf hin, dass § 28 Abs. 3 BSIG keine Entsprechung in der NIS-2-Richtlinie hat und deshalb möglicherweise europarechtswidrig ist [K7-10]. Ein Träger, der seine Einordnung allein auf diese Vorschrift stützt, sollte das Risiko kennen.
7.6 Was wirkt — und was nicht
In der Beratungspraxis kursieren zwei Gestaltungsansätze, die weniger leisten, als ihnen zugeschrieben wird.
Ausgliederung: wirkt, aber nicht dort, wo man sie am ehesten erwägt
Die Ausgliederung eines betroffenen Bereichs in eine eigene Gesellschaft kann den Anwendungsbereich begrenzen. Sie setzt allerdings dreierlei voraus: eine echte rechtliche Trennung, tatsächliche IT-Unabhängigkeit der neuen Gesellschaft und das Eingreifen des § 28 Abs. 4 Satz 2 BSIG. Ohne IT-Trennung ist die Ausgliederung für den Anwendungsbereich wirkungslos — vgl. Abschnitt 7.4.
Entscheidend ist ein Punkt, der leicht übersehen wird: Die Ausgliederung zerstört den Hebel des § 28 Abs. 3 BSIG genau dort, wo er greifen könnte. Die Vernachlässigbarkeit wird am jeweiligen Rechtsträger gemessen. In einer ausgegliederten Rettungsdienst-gGmbH macht der Rettungsdienst hundert Prozent der Geschäftstätigkeit aus — vernachlässigbar ist dort nichts mehr.
Für das Musterbeispiel heißt das: Beim Krankenhaus mit 800 von 2.500 Mitarbeitenden war § 28 Abs. 3 BSIG ohnehin nicht verfügbar; dort kann eine Ausgliederung den Kreis der betroffenen Systeme tatsächlich verkleinern. Bei einem kleinen Rettungsdienst mit 30 Mitarbeitenden verhält es sich umgekehrt: Solange er Teil des Gesamtträgers ist, kommt eine Vernachlässigbarkeitsprüfung überhaupt in Betracht — nach der Ausgliederung nicht mehr.
Hinzu kommen die bekannten Kosten: doppelte IT-Infrastrukturen, höherer Verwaltungsaufwand, und neue Fragen in der Lieferkette, wenn die Gesellschaften einander Leistungen erbringen (siehe Kapitel 8).
IT-Segmentierung: wichtig für die Maßnahmen, wirkungslos für den Scope
Die Trennung der Netze in Segmente ist eine sinnvolle und für die Maßnahmen nach § 30 BSIG oft unerlässliche Sicherheitsarchitektur. Auf den Anwendungsbereich wirkt sie nicht: Ob eine Einrichtung betroffen ist, entscheidet sich nach § 28 BSIG anhand von Einrichtungsart und Größe, nicht anhand der Netzarchitektur. Wer segmentiert, verringert Risiken und kann den Umfang der Maßnahmen differenzieren — er ändert aber nichts daran, ob er reguliert ist.
Die drei Hebel, die tatsächlich tragen
Einschätzung des Autors, gestützt auf die vorstehend belegte Rechtslage:
- § 28 Abs. 3 BSIG — die Vernachlässigbarkeit des regulierten Bereichs, gemessen am jeweiligen Rechtsträger. Wirkt nur, solange der Bereich nicht ausgegliedert ist.
- Die korrekte Zählung in Jahresarbeitseinheiten ohne Auszubildende. Kein Gestaltungsspielraum, sondern die richtige Anwendung des geltenden Maßstabs.
- Nachweisbare Eigenverantwortung der Töchter für ihre IT nach § 28 Abs. 4 Satz 2 BSIG — mit dem in Abschnitt 7.4 beschriebenen Zielkonflikt zur IT-Zentralisierung.
7.7 Die eigene IT-Gesellschaft: Managed Service Provider
Viele Caritas-Verbünde betreiben ihre IT über eine eigene Gesellschaft — als Tochter, als Schwester oder innerhalb der Holding. Diese Konstellation hat eine Folge, die im Verbund oft nicht gesehen wird: Die IT-Gesellschaft ist in der Regel selbst betroffen, unabhängig davon, wie es um die Träger steht, die sie versorgt.
Die Gesetzesbegründung zum Begriff des Managed Service Provider sagt das ausdrücklich [K7-11]:
„Die Rolle des MSP setzt einen gewissen Grad an tatsächlichem Zugriff auf IKT-Produkte, -Netzwerke oder -Infrastrukturen voraus und ist insofern etwa von reinen Beratungstätigkeiten abzugrenzen. Eine Mindestanzahl an Kunden ist dagegen nicht Voraussetzung für die Einstufung als MSP, so fallen z. B. auch Unternehmen, die ausschließlich den zentralen IT-Betrieb eines Unternehmensverbundes übernehmen, in der Regel unter den Begriff des MSP.”
Drei Abgrenzungskriterien lassen sich daraus entnehmen:
- positiv: ein gewisser Grad an tatsächlichem Zugriff auf die Systeme,
- negativ: reine Beratung genügt nicht,
- ausdrücklich unerheblich: die Zahl der Kunden. Eine Gesellschaft, die ausschließlich für die eigenen Schwestern arbeitet, ist nicht privilegiert.
Das BSI hat diese Linie in seiner FAQ bestätigt und um eine Abgrenzung ergänzt [K7-12]: Eine Gesellschaft, die einen Dienst nur geschäftlich verantwortet, den technischen Betrieb aber vollständig durch ein anderes Unternehmen erbringen lässt und selbst keinen tatsächlichen Zugriff hat, ist kein MSP. Die MSP-Eigenschaft trifft dann diejenige Gesellschaft, die den Betrieb tatsächlich durchführt.
Für die Praxis ergibt das eine klare Unterscheidung:
| Konstellation | MSP? |
|---|---|
| Reine Führungsholding, keine operativen IT-Leistungen, kein Systemzugriff | nein |
| Gesellschaft mit administrativem Zugriff, die Installation, Betrieb, Verwaltung oder Wartung erbringt | in der Regel ja |
| Versorgung auch konzernfremder Dritter (etwa kleinerer Sozialunternehmen) | ja — die Dienstleistereigenschaft ist dann zweifelsfrei |
Zwei Pflichten, die über die Betroffenheit hinausgehen
Ist die IT-Gesellschaft MSP, gehört sie zum Sektor „Verwaltung von IKT-Diensten”. Daraus folgen zwei Pflichten, die ein Krankenhaus- oder Pflegeträger nicht hat:
Die besondere Registrierung nach § 34 BSIG [K7-13]. Sie gilt für die in § 60 Abs. 1 Satz 1 BSIG genannten Einrichtungsarten — dort sind Managed Service Provider und Managed Security Service Provider ausdrücklich aufgeführt. Die Frist beträgt drei Monate.
Die Unterrichtungspflicht nach § 35 Abs. 2 BSIG [K7-14] — hier lohnt der genaue Wortlaut, weil die Vorschrift enger ist, als sie oft wiedergegeben wird:
„Besonders wichtige Einrichtungen und wichtige Einrichtungen aus den Sektoren Finanzwesen, Leistungen der Sozialversicherung sowie Grundsicherung für Arbeitsuchende, digitale Infrastruktur, Verwaltung von IKT-Diensten und Digitale Dienste teilen den potenziell von einer erheblichen Cyberbedrohung betroffenen Empfängern ihrer Dienste und dem Bundesamt unverzüglich alle Maßnahmen oder Abhilfemaßnahmen mit, die diese Empfänger als Reaktion auf diese Bedrohung ergreifen können. […] Die Pflichten […] gelten nur dann, wenn in Abwägung der Interessen der Einrichtung und des Empfängers die Interessen des Empfängers überwiegen.”
Drei Einschränkungen sind darin enthalten:
- Die Pflicht trifft nicht alle betroffenen Einrichtungen, sondern nur die genannten Sektoren. Eine IT-Gesellschaft als MSP fällt darunter, ein Krankenhausträger nicht.
- Sie bezieht sich auf erhebliche Cyberbedrohungen, nicht auf bereits eingetretene Sicherheitsvorfälle.
- Sie steht unter einer Interessenabwägung.
Für eingetretene Sicherheitsvorfälle regelt § 35 Abs. 1 BSIG etwas anderes: Dort kann das BSI anordnen, dass die Empfänger der Dienste unterrichtet werden. Es handelt sich also um eine Anordnungsbefugnis der Behörde, nicht um eine automatische Pflicht der Einrichtung.
Was daraus für die Praxis folgt. Wer darauf vertraut, im Ernstfall vom eigenen IT-Dienstleister gesetzlich informiert zu werden, vertraut auf weniger, als er denkt. Die vertragliche Regelung einer Informationspflicht mit Frist ist deshalb kein Zusatz zur gesetzlichen Lage, sondern ihr notwendiger Ersatz (Kapitel 8.4). — Einschätzung des Autors.
Die zweite Pflicht hat eine praktische Dimension, die vor dem Ernstfall geklärt sein sollte: Wer informiert im Verbund wen, in welcher Frist, über welchen Weg — und wer entscheidet darüber. Eine IT-Gesellschaft, die im Vorfall zugleich mit der Wiederherstellung befasst ist, braucht dafür einen vorbereiteten Prozess.
7.8 Prüffolge für Caritas-Komplexträger
Die folgende Reihenfolge führt durch die Einordnung. Sie ersetzt keine rechtliche Prüfung des Einzelfalls, ordnet aber die Fragen so, dass jede Antwort die nächste Frage bestimmt.
- Rechtsträger auflisten. Welche juristischen Personen gehören zum Verbund? Jede ist gesondert zu prüfen.
- Regulierte Tätigkeiten je Rechtsträger bestimmen. Welche Bereiche fallen unter Anlage 1 oder 2 BSIG? (Kapitel 6)
- Vernachlässigbarkeit prüfen — nur wenn der regulierte Bereich gering ist: Mitarbeitende, Umsatz, Bilanzsumme des Bereichs, dazu die Satzungsfrage. Ergebnis dokumentieren, einschließlich der Gründe.
- Größe in Jahresarbeitseinheiten ermitteln, ohne Auszubildende.
- Zurechnung prüfen: Bestehen Partner- oder Verbundverhältnisse — auch über personenidentische Geschäftsführungen? Übt die Gesellschaft bestimmenden Einfluss auf ihre eigene IT aus?
- IT-Gesellschaft gesondert prüfen (Abschnitt 7.7).
- Ergebnis festhalten. Die Einordnung ist Selbsteinschätzung; das BSI erteilt keine verbindliche Auskunft (Kapitel 5). Die Dokumentation der eigenen Prüfung ist deshalb kein Formalismus, sondern der einzige Nachweis, dass sie stattgefunden hat.
Stand. Dieses Kapitel gibt die Rechtslage zum August 2026 wieder. Zur Auslegung der §§ 28 Abs. 3 und 4 BSIG liegt weder Rechtsprechung noch eine veröffentlichte behördliche Entscheidung vor; die angekündigte Rechtsverordnung zur Konkretisierung des § 30 BSIG ist nicht ergangen.
8. Indirekte Betroffenheit: der Lieferketteneffekt
Nicht jede Einrichtung, die von NIS-2 betroffen ist, ist es unmittelbar. Und nicht jede Einrichtung, die nicht betroffen ist, bleibt unbehelligt.
Dieses Kapitel behandelt zwei Wirkungsrichtungen: Anforderungen, die von betroffenen Trägern an ihre Zulieferer weitergereicht werden — und Risiken, die umgekehrt von Dienstleistern zum Träger zurückkommen.
8.1 Die Kaskade
§ 30 Abs. 2 Nr. 4 BSIG verlangt Maßnahmen zur „Sicherheit der Lieferkette einschließlich sicherheitsbezogener Aspekte der Beziehungen zu unmittelbaren Anbietern” [K8-1]. Wer betroffen ist, muss also nicht nur die eigenen Systeme sichern, sondern auch die Beziehungen zu denen, die daran mitwirken.
Daraus entsteht eine Kaskade: Ein betroffenes Krankenhaus stellt Anforderungen an seinen IT-Dienstleister, an den Hersteller des Krankenhausinformationssystems, an den Abrechnungsdienstleister. Diese sind ihrerseits vielleicht selbst betroffen — oder eben nicht, bekommen die Anforderungen aber trotzdem.
Für Caritas-Träger bedeutet das zweierlei. Wer betroffen ist, muss die Anforderungen weitergeben. Wer nicht betroffen ist, aber für betroffene Träger arbeitet, bekommt sie gestellt — vertraglich, nicht gesetzlich, aber mit derselben praktischen Wirkung.
8.2 Auslagerung entlastet nicht
Viele Träger haben ihre IT ausgelagert — an einen Verbandsdienstleister, ein kirchliches Rechenzentrum oder einen kommerziellen Anbieter. Das ändert an den Pflichten nichts.
Das BSI stellt das ausdrücklich klar [K8-2]:
„Auch wenn die IT komplett ausgelagert ist, bleiben Sie als besonders wichtige oder wichtige Einrichtung selbst verantwortlich. Sie müssen sicherstellen, dass Ihre Dienstleister die nötigen NIS-2-Vorgaben umsetzen, diese regelmäßig überprüft werden und dass Vorfälle ordnungsgemäß gemeldet werden. Verträge allein genügen nicht — die Geschäftsleitung bleibt in der Pflicht, das Risikomanagement zu steuern und umzusetzen.”
Aus der Auslagerung folgt also keine Entlastung, sondern eine zusätzliche Aufgabe — die Überwachungspflicht. Bemerkenswert ist die Adressierung: Das BSI nimmt nicht die IT-Abteilung in die Pflicht, sondern die Geschäftsleitung.
Praktische Folge. Ein Vertrag, der Leistungen beschreibt, genügt dafür nicht. Es braucht Regelungen darüber, wie der Träger die Einhaltung überprüfen kann: Berichtspflichten, Auditrechte, Informationspflichten bei Vorfällen. Wer das nicht vereinbart hat, kann seine Überwachungspflicht nicht erfüllen — und muss nachverhandeln.
8.3 Es gibt kein NIS-2-Zertifikat
Eine verbreitete Erwartung geht dahin, der Dienstleister müsse ein Zertifikat vorlegen, und damit sei die Sache erledigt. Das trifft nicht zu.
Ein allgemeines NIS-2-Konformitätszertifikat existiert nicht [K8-3]. Und ein vorhandenes Zertifikat des Dienstleisters — ISO/IEC 27001, TISAX oder ein anderes — genügt für sich genommen nicht, um die Lieferkettenanforderung zu erfüllen. Das BSI verlangt eine individuelle Beurteilung [K8-4].
Was ein Zertifikat leistet: Es ist ein Indiz und erspart eigene Prüfschritte. Was es nicht leistet: die Beurteilung, ob der Dienstleister für diese Einrichtung und diese Leistung angemessen abgesichert ist.
8.4 Der Leitfall: ein Angriff auf einen Abrechnungsdienstleister
Wie Lieferkettenrisiko in der Praxis aussieht, zeigt ein Vorfall aus dem Frühjahr 2026 — und er zeigt es anders, als man erwarten würde.
Am 14. April 2026 wurde ein externer Dienstleister angegriffen, der für zahlreiche deutsche Kliniken privatärztliche und wahlärztliche Leistungen abrechnet [K8-5]. Betroffen war mehr als ein Dutzend Häuser, darunter mehrere Universitätskliniken.
Bemerkenswert ist zunächst, was nicht geschah: Die Patientenversorgung war zu keinem Zeitpunkt beeinträchtigt. Die Uniklinik Köln stellt ausdrücklich fest, dass „zu keinem Zeitpunkt […] die klinischen Systeme oder die Patientenversorgung betroffen” waren [K8-5]. Kein Notbetrieb, keine abgesagten Operationen, keine Verlegungen.
Abgeflossen sind Daten. Stammdaten, behandelnde Ärzte, Rechnungssummen, in erheblichem Umfang auch Gesundheitsdaten und Diagnosen, vereinzelt Bankverbindungen. Belegte Einzelzahlen:
| Einrichtung | Betroffene Personen |
|---|---|
| Uniklinik Köln | rund 30.000, davon 843 mit Gesundheitsdaten und 5 mit Finanzdaten |
| Universitätskliniken Freiburg, Heidelberg, Tübingen, Ulm | zusammen über 71.000 |
| Klinikum Karlsruhe | rund 4.100, davon rund 1.100 mit Gesundheitsdaten |
| Städtisches Krankenhaus Pirmasens | 1.488 (Presseangabe, siehe unten) |
Zur Gesamtzahl. Sie ist nicht belastbar. Presseangaben schwanken zwischen „mehr als 100.000” und „mehr als 120.000”; eine bestätigte Gesamtzahl liegt nicht vor. Auch das Bundesamt hat sie nicht genannt: Es erklärte lediglich, über „den IT-Sicherheitsvorfall mit Bezug zu mehreren Kliniken in Deutschland” informiert worden zu sein, „zu Details eines Vorfalls bei Dritten äußere man sich allerdings nicht” [K8-5]. Dieses Dokument nennt deshalb nur die einzeln belegten Zahlen.
Zur Zahl aus Pirmasens. Sie stammt aus der regionalen Tagespresse, die nur gegen Bezahlung zugänglich ist; eine archivfeste Fassung liegt nicht vor [K8-5]. Sie ist hier als Presseangabe gekennzeichnet. Die übrigen Zahlen der Tabelle stehen in Mitteilungen der Häuser selbst oder im Deutschen Ärzteblatt.
Was in diesem Fall funktioniert hat
Bevor der Lehrsatz kommt, gehört ein Gegenbefund in die Darstellung. Das Klinikum Karlsruhe hält in seiner Mitteilung fest [K8-5]:
„Der Angriff richtete sich ausschließlich gegen den externen Dienstleister. Auf die IT-Systeme des Klinikums Karlsruhe konnten die Hacker aufgrund der bestehenden umfangreichen Sicherheitssysteme nicht zugreifen.”
Die Trennung zwischen Dienstleister und Klinik hat also gehalten. Das ist kein Detail am Rande: Der Zugang zu einem Abrechnungsdienstleister hätte ein Einfallstor in die Klinik-IT sein können, und war es nicht. Wer in Trennung, Segmentierung und Zugriffsbegrenzung investiert, investiert genau in diesen Unterschied — zwischen einem Datenschutzvorfall und einem Betriebsstillstand.
Der eigentliche Lehrsatz: der Informationsverzug
Der Angriff erfolgte am 14. April. Die betroffenen Kliniken informierten die Öffentlichkeit ab dem 21. Mai — mehr als fünf Wochen später. Ein Haus wurde vom Dienstleister sogar erst am 20. Mai überhaupt in Kenntnis gesetzt [K8-5].
Das ist der Kern des Lieferkettenrisikos. Nicht, dass ein Dienstleister angegriffen wird — das lässt sich nie ausschließen. Sondern dass der Träger es wochenlang nicht erfährt, während seine Meldefristen laufen, seine Patientinnen und Patienten nicht informiert sind und seine Aufsichtsbehörde nichts weiß.
Man könnte meinen, dagegen helfe § 35 Abs. 2 BSIG, der bestimmte Einrichtungen zur Unterrichtung ihrer Kunden verpflichtet. Die Vorschrift ist jedoch enger, als ihr Ruf (Kapitel 7.7): Sie gilt nur für bestimmte Sektoren, betrifft Cyberbedrohungen und nicht eingetretene Vorfälle, und steht unter einer Interessenabwägung. Für eingetretene Sicherheitsvorfälle sieht § 35 Abs. 1 BSIG lediglich eine Anordnungsbefugnis des BSI vor — keine automatische Pflicht des Dienstleisters.
Hinzu kommt eine Vorfrage: Ob ein Abrechnungsdienstleister überhaupt zu den erfassten Sektoren gehört, hängt davon ab, ob er als Managed Service Provider einzuordnen ist. Wer Daten verarbeitet, ohne die IT des Kunden zu betreiben, ist es möglicherweise nicht.
Was ein Träger daraus mitnehmen sollte. In jeden Vertrag mit einem Dienstleister, der personenbezogene Daten verarbeitet oder Systemzugriff hat, gehört eine Informationspflicht mit Frist. Nicht „unverzüglich” — eine Frist in Stunden. Das ist kein Zusatz zur gesetzlichen Lage, sondern ihr Ersatz: Die gesetzliche Unterrichtungspflicht greift nur unter Voraussetzungen, die im Ernstfall erst geprüft werden müssten — und die Prüfung nimmt der Dienstleister vor, nicht der Träger.
8.5 Was von Dienstleistern und Herstellern zu verlangen ist
Aus den vorstehenden Belegen ergeben sich sechs Punkte, die vertraglich zu regeln sind. Diese Aufstellung ist eine Einschätzung des Autors, gestützt auf die zitierten Anforderungen:
- Informationspflicht bei Vorfällen, mit Frist in Stunden — nicht mit unbestimmten Rechtsbegriffen.
- Benennung, ob sich der Dienstleister als Managed Service Provider einordnet und ob er nach § 34 BSIG registriert ist.
- Auskunfts- und Prüfrechte, damit die Überwachungspflicht aus 8.2 erfüllbar ist.
- Regelungen zu Fernzugängen: Wer hat wann Zugriff, wie wird er authentifiziert, wie wird er protokolliert? Nach den Untersuchungen des BSI haben 25 von 52 befragten ambulanten Pflegediensten einen permanenten Herstellerzugang (Kapitel 3.5) — das ist die am häufigsten übersehene Angriffsfläche. Für diesen Punkt muss man nichts selbst erfinden: Die Best-Practice-Empfehlungen des UP KRITIS nennen vier Regeln, die sich direkt in einen Vertrag übernehmen lassen [K8-9]:
„Zugänge zur KRITIS-IT sollten nie direkt, sondern immer über Sprungserver oder vergleichbare Funktionalität in die geschützten Zonen hinein und auf KRITIS-IT erfolgen.” · „Für Fernzugänge sollte mindestens eine 2-Faktor-Authentifizierung eingesetzt werden.” · „Fernzugänge sollten nur zeitbeschränkt geöffnet werden bzw. automatisch geschlossen werden.” · „Fernzugänge sollten immer ‚von innen’, also durch bewusstes Handeln des Auftraggebers, geöffnet werden.”
Die letzte Regel ist der Gegenentwurf zum Dauerzugang: Nicht der Hersteller entscheidet, wann er hereinkommt, sondern der Träger. - Nachweise zur Produktsicherheit, belegt durch europäische oder internationale Normen [K8-6].
- Regelungen für den Ausstieg: Datenrückgabe, Löschung, Übergang.
Woher diese Anforderungen stammen. Die Aufstellung oben ist eine Einschätzung; die Fernzugangsregeln sind es nicht. Sie stehen in den Best-Practice-Empfehlungen für Anforderungen an Lieferanten zur Gewährleistung der Informationssicherheit in Kritischen Infrastrukturen des UP KRITIS, Version 4.0, freigegeben am 7. November 2023 [K8-9]. Deren erklärter Zweck ist es, Sicherheitsanforderungen „in einer Form zur Verwendung in Vereinbarungen mit dem Lieferanten zu dokumentieren” — sie sind also als Vertragsbaustein gedacht. Zwei Einschränkungen gehören dazu: Das Dokument stammt aus der Zeit vor dem BSIG 2025 und richtet sich an KRITIS-Betreiber, und es ist ausdrücklich eine Empfehlung; es stehe dem Betreiber frei, „Anforderungen sowohl auszuschließen oder abzuändern als auch darüberhinausgehende Anforderungen zu definieren”. Als Steinbruch für die eigene Vertragsgestaltung ist es trotzdem die beste verfügbare Grundlage.
8.6 Gemeinsame Anforderungskataloge
Ein einzelner Träger hat gegenüber dem Hersteller seines Krankenhausinformationssystems oder seiner Pflegedokumentation wenig Verhandlungsmacht. Viele Träger gemeinsam hätten sie.
Das BSI begrüßt einheitliche Fragenkataloge für Lieferanten ausdrücklich [K8-6] und hat für die Anforderungen an Lieferanten Best-Practice-Empfehlungen veröffentlicht. Zugleich zeigen seine eigenen Produktuntersuchungen, wo die Defizite liegen: dreizehn Lücken mit hohem oder kritischem Schweregrad in drei geprüften Pflegedokumentationssystemen, Schwerpunkte bei Kommunikationsverschlüsselung, Authentifizierung und der Prüfung von Software-Updates (Kapitel 3.5).
Einschätzung des Autors. Hier liegt der aussichtsreichste Hebel der Freien Wohlfahrtspflege. Er kostet wenig, braucht keine Gesetzesänderung, und die Aufsichtsbehörde hat ihn ausdrücklich begrüßt. Vor allem setzt er dort an, wo die Untersuchungen die größten Mängel gefunden haben — nicht bei den Trägern, sondern bei den Produkten, die sie einsetzen müssen. Kapitel 14.6 greift das als verbandspolitische Aufgabe auf.
8.7 Wenn der eigene Träger der Dienstleister ist
Der Vollständigkeit halber: Die Kaskade wirkt auch in die andere Richtung. Wer für andere Träger IT-Leistungen erbringt — als Servicegesellschaft, als Rechenzentrum, im Rahmen einer Kooperation — ist möglicherweise selbst Managed Service Provider mit eigenen Pflichten, einschließlich der besonderen Registrierung nach § 34 BSIG und der Warnpflicht nach § 35 Abs. 2 BSIG.
Kapitel 7.7 behandelt das im Einzelnen. Für Kooperationsmodelle, die aus Kostengründen erwogen werden (Kapitel 10.6), ist es die wichtigste Nebenwirkung.
Stand. Rechtslage zum 2. August 2026. Der in 8.4 geschilderte Vorfall ist über Primärquellen der betroffenen Einrichtungen und Fachpresse belegt; eine abschließende behördliche Aufarbeitung lag zum Redaktionsschluss nicht vor.
9. Alle Pflichten im Detail
Wer nach den vorangegangenen Kapiteln zu dem Ergebnis gekommen ist, betroffen zu sein, findet hier, was daraus folgt. Das Kapitel ist nach Pflichten gegliedert, nicht nach Paragraphen — die Fundstelle steht jeweils dabei.
Zwei Vorbemerkungen:
Die Pflichten gelten sofort. Eine allgemeine Übergangsfrist sieht das BSIG nicht vor [K9-1]. Wer heute feststellt, betroffen zu sein, ist es seit dem 6. Dezember 2025.
Der Umfang richtet sich nach der Kategorie. Besonders wichtige und wichtige Einrichtungen unterliegen weitgehend denselben Pflichten; sie unterscheiden sich in der Aufsicht, den Nachweispflichten und der Höhe möglicher Bußgelder (Kapitel 12).
9.1 Überblick: welche Pflicht trifft wen
| Pflicht | Norm | besonders wichtig | wichtig | KRITIS zusätzlich |
|---|---|---|---|---|
| Risikomanagementmaßnahmen | § 30 BSIG | ja | ja | erweiterte Anforderungen |
| Registrierung | § 33 BSIG | ja | ja | Doppelregistrierung |
| Besondere Registrierung für MSP u. a. | § 34 BSIG | bei Einrichtungsart | bei Einrichtungsart | — |
| Meldung erheblicher Sicherheitsvorfälle | § 32 BSIG | ja | ja | — |
| Unterrichtung von Kunden | § 35 Abs. 2 BSIG | bei MSP u. a. | bei MSP u. a. | — |
| Nachweise gegenüber dem BSI | § 39 BSIG | auf Anordnung | auf Anordnung | unaufgefordert, alle drei Jahre |
| Umsetzung, Überwachung, Schulung durch die Geschäftsleitung | § 38 BSIG | ja | ja | — |
9.2 Die zehn Mindestmaßnahmen des § 30 BSIG
§ 30 BSIG verlangt „geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen” nach dem Stand der Technik. Absatz 2 zählt zehn Bereiche auf, die mindestens abzudecken sind [K9-2]:
| Nr. | Wortlaut des Gesetzes |
|---|---|
| 1 | Konzepte in Bezug auf die Risikoanalyse und auf die Sicherheit in der Informationstechnik |
| 2 | Bewältigung von Sicherheitsvorfällen |
| 3 | Aufrechterhaltung des Betriebs, wie Backup-Management und Wiederherstellung nach einem Notfall |
| 4 | Sicherheit der Lieferkette einschließlich sicherheitsbezogener Aspekte der Beziehungen zu unmittelbaren Anbietern |
| 5 | Sicherheitsmaßnahmen bei Erwerb, Entwicklung und Wartung von informationstechnischen Systemen |
| 6 | Konzepte und Verfahren zur Bewertung der Wirksamkeit von Risikomanagementmaßnahmen |
| 7 | grundlegende Schulungen und Sensibilisierungsmaßnahmen im Bereich der Sicherheit in der Informationstechnik |
| 8 | Konzepte und Prozesse für den Einsatz von kryptographischen Verfahren |
| 9 | Erstellung von Konzepten für die Sicherheit des Personals, die Zugriffskontrolle und Verwaltung |
| 10 | Verwendung von Lösungen zur Multi-Faktor-Authentifizierung oder kontinuierlichen Authentifizierung |
Zwei Hinweise zur Auslegung:
Der Ansatz ist gefahrenübergreifend. Die Maßnahmen sollen nicht nur Cyberangriffe abdecken, sondern auch Ausfälle, Elementarschäden und menschliches Versagen. Die Detailtiefe richtet sich nach Größe und Risikoprofil der Einrichtung [K9-3].
Zertifikate ersetzen die Umsetzung nicht. Weder eine ISO-27001-Zertifizierung noch der IT-Grundschutz sind verpflichtend, und keines von beiden genügt für sich genommen. Sie können ein Baustein sein, müssen aber daraufhin geprüft werden, ob sie die Anforderungen des § 30 BSIG tatsächlich abdecken [K9-4]. Ein allgemeines NIS-2-Konformitätszertifikat existiert nicht (Kapitel 8.3).
Was „Stand der Technik” derzeit bedeutet
§ 30 Abs. 5 BSIG ermächtigt das Bundesministerium des Innern, die technischen Anforderungen durch Rechtsverordnung zu präzisieren. Diese Rechtsverordnung ist nicht ergangen — zum 2. August 2026 liegt weder eine Verkündung noch ein Referentenentwurf vor [K9-5].
Für Träger heißt das: Der Maßstab ist bis auf Weiteres selbst auszufüllen. Anhaltspunkte liefern der IT-Grundschutz, einschlägige Normen und — für den Gesundheitssektor besonders — der branchenspezifische Sicherheitsstandard B3S (Kapitel 13.9). Und er liefert sich aus der Lagebeurteilung der Aufsichtsbehörde: Genau deshalb ist die KI-Warnung des BSI vom Juni 2026 rechtlich erheblich, ohne den Gesetzestext zu ändern (Kapitel 3.7).
9.3 Registrierung nach § 33 BSIG
Die Registrierung ist die erste Pflicht, die praktisch wirksam wird — und die einzige, deren Versäumnis sich nicht nachholen lässt, ohne dass es auffällt.
Frist. Die Registrierung hat binnen drei Monaten zu erfolgen, nachdem eine Einrichtung erstmals als besonders wichtige oder wichtige Einrichtung gilt [K9-6]. Für Einrichtungen, die das mit Inkrafttreten des BSIG am 6. Dezember 2025 wurden, ist diese Frist abgelaufen. Eine Nachfrist gibt es nicht (Kapitel 12.2).
Verfahren. Zweistufig: Zunächst Anmeldung bei „Mein Unternehmenskonto” (MUK), dann Registrierung im BSI-Portal [K9-7]. Die Festlegung des BSI nach § 33 Abs. 6 BSIG stellt dabei klar, dass die Authentifizierung mit dem ELSTER-Organisationszertifikat „bei jeder Anmeldung im BSI-Portal erforderlich” ist [K9-12] — es geht also nicht um einen einmaligen Vorgang, sondern um einen dauerhaft verfügbar zu haltenden Zugang. Die Einzelheiten stehen im Leitfaden (Kapitel 13.1).
Änderungen sind binnen zwei Wochen zu melden. § 33 Abs. 5 BSIG verlangt, Änderungen der registrierten Angaben unverzüglich, spätestens aber binnen zwei Wochen ab Kenntnis zu übermitteln [K9-8]. Das betrifft in der Praxis vor allem Wechsel der Kontaktperson und Änderungen der IP-Bereiche — beides passiert häufiger, als die Frist vermuten lässt.
Zur Fassung dieser Vorschrift. § 33 Abs. 5 BSIG wurde durch das Gesetz vom 21. Juli 2026 neu gefasst (BGBl. 2026 I Nr. 221, in Kraft am 29. Juli 2026). Anzuwenden ist gleichwohl weiterhin die Altfassung: § 66 BSIG schiebt die Neufassung auf, bis die Kritisverordnung nach dem KRITIS-Dachgesetz in Kraft tritt [K9-9]. Beide Wortlaute liegen vor [K9-9]:
- Anzuwenden (bis 28.7.2026 geltende Fassung): Geänderte Versorgungskennzahlen und Typen kritischer Komponenten sind einmal jährlich zu übermitteln, alle anderen Angaben unverzüglich, spätestens jedoch zwei Wochen ab Kenntnis.
- Noch nicht anzuwenden (Fassung ab 29.7.2026): „Wenn sich nach Absatz 1 zu übermittelnde Angaben ändern, sind diese Änderungen dem Bundesamt unverzüglich, spätestens jedoch binnen zwei Wochen ab dem Zeitpunkt, zu dem die Einrichtung Kenntnis von der Änderung erhalten hat, zu übermitteln.”
Die Zwei-Wochen-Frist gilt in beiden Fassungen. Der Unterschied betrifft allein Betreiber kritischer Anlagen: Für Versorgungskennzahlen und kritische Komponenten genügte nach der Altfassung eine jährliche Meldung — diese Ausnahme entfällt künftig. Für Träger ohne kritische Anlage ändert sich nichts.
Anzugeben sind unter anderem die öffentlichen und statischen IP-Adressen und Netzbereiche, die in der eigenen Zuständigkeit liegen — nicht dagegen dynamische Adressen oder solche aus Shared Hosting [K9-10]. Ferner ist eine erreichbare Kontaktstelle zu benennen; das Gesetz macht keine Vorgaben zur Qualifikation der Person, verlangt aber Erreichbarkeit [K9-11].
9.4 Doppelregistrierung für KRITIS-Betreiber
Neu und leicht zu übersehen: Das BSI hat am 26. Juni 2026 eine Festlegung nach § 33 Abs. 6 BSIG veröffentlicht, aus der sich für Betreiber kritischer Anlagen eine Doppelregistrierungspflicht ergibt [K9-12].
Der Wortlaut der Festlegung ist eindeutig [K9-12]:
„Die Registrierung als Betreiber kritischer Anlagen erfolgt derzeit weiterhin über das Melde- und Informationsportal (MIP 2). Zusätzlich müssen alle Betreiber kritischer Anlagen eine Registrierung als besonders wichtige Einrichtung (bwE) vornehmen, wobei die KRITIS Betreiber ID anzugeben ist.”
Für Krankenhausträger oberhalb der Schwelle von 30.000 vollstationären Fällen bedeutet das: Die Registrierung als besonders wichtige Einrichtung ersetzt die Registrierung als KRITIS-Betreiber nicht. Beide sind vorzunehmen — über zwei verschiedene Portale, und bei der zweiten ist die KRITIS-Betreiber-ID anzugeben. Wer sie nicht zur Hand hat, sollte sie vor Beginn der Registrierung heraussuchen.
Diese Pflicht ist in der Fassung vom Februar 2026 nicht enthalten, weil die Festlegung erst danach erging.
9.5 Meldung von Sicherheitsvorfällen
Erhebliche Sicherheitsvorfälle sind dem BSI zu melden, und zwar in drei Stufen [K9-13]:
| Stufe | Frist | Inhalt |
|---|---|---|
| Erstmeldung | unverzüglich, spätestens 24 Stunden nach Kenntniserlangung | erste Einschätzung, ob rechtswidrige oder böswillige Handlung vorliegt |
| Folgemeldung | spätestens 72 Stunden nach Kenntniserlangung | Aktualisierung, erste Bewertung von Schweregrad und Auswirkungen |
| Abschlussmeldung | spätestens ein Monat nach der Folgemeldung | ausführliche Beschreibung, Ursache, Abhilfemaßnahmen, grenzüberschreitende Auswirkungen |
Dazwischen kann eine vierte Meldung treten: § 32 Abs. 1 S. 1 Nr. 3 BSIG sieht eine Zwischenmeldung über relevante Statusaktualisierungen vor — allerdings nur „auf Ersuchen des Bundesamtes” [K9-13]. Sie ist damit keine Regelpflicht, mit der im Ablaufplan fest zu rechnen wäre, aber eine, auf die man vorbereitet sein sollte: Wer den Sachstand ohnehin fortlaufend dokumentiert, kann sie ohne zusätzlichen Aufwand liefern.
Freiwillige Meldungen sind zusätzlich möglich; § 5 Abs. 2 BSIG eröffnet den Weg über das BSI-Portal auch für nicht meldepflichtige Vorfälle [K9-14].
9.6 Zwei Begriffe, die über die Einhaltung entscheiden
Die Fristen des Abschnitts 9.5 klingen großzügig. Zwei Auslegungen des BSI machen sie enger, als sie wirken.
„Schnelligkeit vor Vollständigkeit.” So formuliert es das BSI wörtlich [K9-15]:
„Grundsätzlich verfolgt das BSI den Ansatz Schnelligkeit vor Vollständigkeit. […] Können im Rahmen dieser unverzüglichen Meldung noch nicht alle erforderlichen Angaben zur IT-Störung gemacht werden, ist die Meldung als Erstmeldung zu kennzeichnen. Sobald fehlende Informationen bekannt sind, ist eine Folgemeldung und letztendlich eine Abschlussmeldung vorzulegen.”
Erwartet wird also eine unverzügliche erste Meldung, die später ergänzt wird — nicht ein fertiger Bericht nach 24 Stunden. Wer wartet, bis der Sachverhalt geklärt ist, verletzt die Frist, auch wenn er am Ende genauer meldet.
„Kenntniserlangung” beginnt früher als gedacht. Auch hier ist der Wortlaut eindeutig [K9-15]:
„Mit ‚Kenntniserlangung’ ist gemeint, dass eine Mitarbeiterin oder ein Mitarbeiter der Einrichtung innerhalb der Arbeitszeit Kenntnis über einen erheblichen Sicherheitsvorfall erlangt.”
Für Einrichtungen mit Schichtbetrieb und Rufbereitschaft ist das der praktisch wichtigste Satz des ganzen Kapitels. Bemerkt eine Nachtwache um 23 Uhr, dass Systeme nicht mehr erreichbar sind, läuft die Frist ab diesem Zeitpunkt — nicht ab dem Morgen, an dem die IT-Leitung davon erfährt.
Organisatorische Folge. Es genügt nicht, einen Meldeweg zum BSI einzurichten. Es braucht einen internen Weg, auf dem eine Wahrnehmung um 23 Uhr innerhalb von Stunden bei der Stelle ankommt, die melden kann und darf. Das ist eine Frage der Dienstanweisung, nicht der Technik. Kapitel 13.2 greift das auf.
Und eine Entlastung, die selten zitiert wird. Dieselbe FAQ-Antwort enthält einen Satz, der im Ernstfall zählt [K9-15]:
„Im Zweifelsfall ist die Meldung nachrangig gegenüber der Eindämmung der akuten Folgen der IT-Störung.”
Wer also am ersten Abend eines Angriffs zwischen Abschalten und Formularausfüllen entscheiden muss, darf abschalten. Die Meldung entfällt dadurch nicht — sie tritt nur in der Reihenfolge zurück. Diese Aussage sollte in der internen Regelung ausdrücklich stehen, damit im Krisenfall niemand den falschen Vorrang wählt.
9.7 Nachweise gegenüber dem BSI
Hier unterscheiden sich die Kategorien deutlich.
Wichtige und besonders wichtige Einrichtungen müssen die Einhaltung grundsätzlich nur auf Anordnung des BSI nachweisen [K9-16]. Das Gesetz verlangt keine turnusmäßige Vorlage.
Betreiber kritischer Anlagen müssen dagegen unaufgefordert Nachweise einreichen. § 39 Abs. 1 BSIG bestimmt den Zyklus normativ [K9-16]: Die Umsetzung ist nachzuweisen „frühestens drei Jahre nachdem sie erstmals oder spätestens drei Jahre nachdem sie erneut als ein Betreiber einer kritischen Anlage gelten, und anschließend alle drei Jahre”. Die betroffenen Betreiber wurden am 8. Dezember 2025 individuell über ihre Fristen informiert [K9-17].
Für Betreiber, die schon vor dem 6. Dezember 2025 Betreiber Kritischer Infrastrukturen waren, knüpft § 39 Abs. 3 BSIG an den letzten Nachweis nach altem Recht an — der neue Termin liegt frühestens drei Jahre danach [K9-16].
Eine Ausnahme: Nach § 39 Abs. 4 BSIG gilt die Nachweispflicht nicht für Betreiber, die auf Grundlage des § 5 Abs. 7 KRITIS-Dachgesetz als solche bestimmt wurden [K9-16]. Für Krankenhausträger, die über den Schwellenwert der BSI-KritisV erfasst sind, greift diese Ausnahme nicht.
Als Nachweismittel kommen in Betracht: interne Dokumentation, Zertifizierungen (ISO/IEC 27001, IT-Grundschutz), Schulungsnachweise und Auditberichte [K9-4]. Für Prüfungen nach § 39 BSIG gelten besondere Anforderungen an die prüfende Stelle [K9-18].
Praktischer Hinweis. „Nur auf Anordnung” heißt nicht „erst bei Anordnung dokumentieren”. Wer eine Anordnung erhält, hat keine Zeit mehr, eine Dokumentation aufzubauen. Die Nachweisfähigkeit ist laufend herzustellen — sie ist zugleich das, was im Haftungsfall die Geschäftsleitung entlastet (Abschnitt 9.8).
9.8 Governance und Haftung: § 38 BSIG
Diese Vorschrift richtet sich unmittelbar an die Geschäftsleitung. Sie trägt drei Pflichten und eine Rechtsfolge [K9-19].
Absatz 1 — Billigen, Umsetzen, Überwachen. Die Gesetzesbegründung konkretisiert die Pflicht [K9-24]: Die Geschäftsleitung hat „die konkret zu ergreifenden Maßnahmen zunächst als für geeignet zu billigen und deren Umsetzung kontinuierlich zu überwachen”. Und weiter, für die Frage der Delegation entscheidend:
„Auch bei Einschaltung von Hilfspersonen bleibt das Leitungsorgan letztverantwortlich.”
Die Aufgabe lässt sich also delegieren, die Verantwortung nicht.
Absatz 2 — Haftung. Der Wortlaut lautet [K9-19]:
„Geschäftsleitungen, die ihre Pflichten nach Absatz 1 verletzen, haften ihrer Einrichtung für einen schuldhaft verursachten Schaden nach den auf die Rechtsform der Einrichtung anwendbaren Regeln des Gesellschaftsrechts. Nach diesem Gesetz haften sie nur, wenn die für die Einrichtung maßgeblichen gesellschaftsrechtlichen Bestimmungen keine Haftungsregelung nach Satz 1 enthalten.”
Diese Vorschrift wird häufig verkürzt als „persönliche Haftung der Geschäftsleitung” wiedergegeben. Das ist missverständlich — und die Gesetzesbegründung sagt es selbst deutlich [K9-24]:
„Die Binnenhaftung des Geschäftsleitungsorgans bei Verletzung von Pflichten nach dem BSI-Gesetz ergibt sich grundsätzlich aus den allgemeinen Grundsätzen (bspw. § 93 AktG). Für solche Rechtsformen, für die nach den anwendbaren gesellschaftsrechtlichen Bestimmungen keine solche Binnenhaftung besteht, sieht die Vorschrift einen Auffangtatbestand vor.”
Der Gesetzgeber selbst bezeichnet die Regelung also als Auffangtatbestand für Binnenhaftung. Vier Punkte gehören dazu:
Erstens: Es ist Binnenhaftung. Anspruchsinhaber ist die eigene Einrichtung — nicht das BSI, nicht geschädigte Dritte, nicht Patientinnen und Patienten. Die Bußgelder des § 65 BSIG richten sich gegen die Einrichtung, nicht gegen die Geschäftsleitung persönlich (Kapitel 12.4).
Zweitens: Es ist keine neue Haftung. § 38 Abs. 2 BSIG schafft keinen eigenen Anspruch, sondern verweist auf das Gesellschaftsrecht. Satz 2 macht die Haftung nach dem BSIG ausdrücklich subsidiär — sie greift nur, wenn das Gesellschaftsrecht schweigt. Da jede hier einschlägige Rechtsform eine Haftungsregelung kennt (§ 43 GmbHG, § 93 AktG, §§ 27, 664, 280 BGB), läuft der Auffangtatbestand für Caritas-Träger praktisch leer.
Drittens: Verzicht und Vergleich sind zulässig. Ein früherer Entwurfsstand sah vor, dass ein Verzicht der Einrichtung auf Ersatzansprüche unwirksam sein sollte. Diese Regelung ist nicht Gesetz geworden [K9-23]; weder der Normtext noch die Begründung enthalten ein Verzichts- oder Vergleichsverbot. Gesellschafterversammlung oder Mitgliederversammlung können daher nach den allgemeinen gesellschaftsrechtlichen Regeln entlasten und verzichten — bei der Aktiengesellschaft mit der Sperrfrist des § 93 Abs. 4 Satz 3 AktG, bei gGmbH und eingetragenem Verein ohne eine solche.
Viertens: Jemand muss ihn geltend machen. Bei einer Caritas-gGmbH wäre das typischerweise der Verband als Gesellschafter — gegen den eigenen Geschäftsführer.
Was von der Rechtsform abhängt:
| Rechtsform | Haftungsnorm | Verjährung |
|---|---|---|
| gGmbH | § 43 GmbHG | fünf Jahre (§ 43 Abs. 4 GmbHG) |
| eingetragener Verein | §§ 27, 664 ff., 280 BGB | regelmäßig drei Jahre (§ 195 BGB) |
| Aktiengesellschaft | § 93 AktG | fünf Jahre; Verzicht erst nach drei Jahren (§ 93 Abs. 4 S. 3 AktG) |
| Stiftung | § 84a BGB (bundeseinheitlich seit 1.7.2023) | regelmäßig drei Jahre (§ 195 BGB) |
Für ehrenamtliche Vorstände gilt zusätzlich ein Haftungsprivileg, das in der Diskussion um NIS-2 fast nie erwähnt wird. § 31a Abs. 1 BGB — über § 84a Abs. 3 BGB auch für Stiftungen — bestimmt [K9-20]:
„Sind Organmitglieder oder besondere Vertreter unentgeltlich tätig oder erhalten sie für ihre Tätigkeit eine Vergütung, die 3.300 Euro jährlich nicht übersteigt, haften sie dem Verein für einen bei der Wahrnehmung ihrer Pflichten verursachten Schaden nur bei Vorliegen von Vorsatz oder grober Fahrlässigkeit. […] Ist streitig, ob ein Organmitglied […] einen Schaden vorsätzlich oder grob fahrlässig verursacht hat, trägt der Verein […] die Beweislast.”
Für Stiftungen kommt § 84a Abs. 2 S. 2 BGB hinzu: Eine Pflichtverletzung liegt nicht vor, wenn das Organmitglied „vernünftigerweise annehmen durfte, auf der Grundlage angemessener Informationen zum Wohle der Stiftung zu handeln”. Und die Satzung darf die Haftung nach § 84a Abs. 1 S. 3 BGB weiter beschränken.
Was daraus folgt — und was nicht. Ein ehrenamtlicher Vorstand, der sich informiert, beraten lässt und dokumentiert entscheidet, haftet praktisch nicht. Wer sich dagegen gar nicht kümmert, kann grob fahrlässig handeln. Das Haftungsprivileg schützt die sorgfältige Entscheidung, nicht das Wegsehen.
Berichtigung gegenüber der Fassung vom Februar 2026. Version 1.0 nennt für die gGmbH eine Dreijahresfrist, vor deren Ablauf die Gesellschaft auf Ersatzansprüche nicht verzichten könne. Das trifft nicht zu: § 43 GmbHG kennt keine solche Frist, sondern eine fünfjährige Verjährung. Die Dreijahresfrist steht in § 93 Abs. 4 Satz 3 AktG und gilt für die Aktiengesellschaft — für gGmbH und eingetragenen Verein also nicht [K9-20].
Wo die Haftung praktisch relevant wird
Einschätzung des Autors. Zwei Konstellationen bleiben, in denen aus der theoretischen Haftung eine tatsächliche wird:
- Insolvenz. Der Insolvenzverwalter prüft Ersatzansprüche gegen die Geschäftsleitung; ein vorheriger Verzicht der Gesellschafter bindet ihn nicht ohne Weiteres. Das ist der praktisch häufigste Weg, auf dem Geschäftsführerhaftung geltend gemacht wird.
- Wechsel in der Trägerschaft. Neue Gesellschafter oder ein neuer Vorstand haben andere Interessen als diejenigen, die entlastet hätten.
Was § 38 BSIG tatsächlich verändert
Nicht die Haftung, sondern den Maßstab. § 43 Abs. 1 GmbHG verlangt „die Sorgfalt eines ordentlichen Geschäftsmannes”. Was das im Bereich der IT-Sicherheit bedeutet, war auslegungsbedürftig. Seit dem 6. Dezember 2025 steht es im Gesetz: Risikomanagementmaßnahmen umsetzen und ihre Umsetzung überwachen.
Damit sinkt die Hürde für den Nachweis einer Pflichtverletzung erheblich. Wer nichts unternommen hat, kann sich nicht mehr darauf berufen, der Maßstab sei unklar gewesen. Das ist der reale Effekt der Vorschrift — und er ist erheblich, aber ein anderer, als die verbreitete Rede von der persönlichen Haftung nahelegt. — Einschätzung des Autors.
Was entlastet. Die Haftung setzt Verschulden voraus. Wer nachweisen kann, dass er die Lage beurteilt, Maßnahmen veranlasst, Mittel bereitgestellt und die Umsetzung überwacht hat, steht anders da als jemand, der nichts dokumentiert hat. Deshalb ist die Dokumentation der Governance kein Selbstzweck — sie ist der einzige verfügbare Entlastungsnachweis.
9.9 Die Schulungspflicht der Geschäftsleitung
§ 38 Abs. 3 BSIG verpflichtet die Mitglieder der Geschäftsleitung, regelmäßig an Schulungen teilzunehmen, um Kenntnisse und Fähigkeiten zu erlangen in Bezug auf [K9-19]:
- das Erkennen und Bewerten von Risiken,
- Risikomanagementpraktiken im Bereich der IT-Sicherheit,
- die Bewertung der Auswirkungen von Risiken auf die erbrachten Dienste.
Wer ist schulungspflichtig?
Die Antwort steht in einer Legaldefinition, und sie ist enger, als der Begriff vermuten lässt [K9-25]:
„‚Geschäftsleitung’ eine natürliche Person, die nach Gesetz, Satzung oder Gesellschaftsvertrag zur Führung der Geschäfte und zur Vertretung einer besonders wichtigen Einrichtung oder wichtigen Einrichtung berufen ist; Leiterinnen und Leiter von Einrichtungen der Bundesverwaltung nach § 29 gelten nicht als Geschäftsleitung” (§ 2 Nr. 13 BSIG)
Drei Merkmale müssen zusammen vorliegen:
- Berufung nach Gesetz, Satzung oder Gesellschaftsvertrag — also organschaftlich, nicht durch rechtsgeschäftliche Vollmacht und nicht faktisch,
- Führung der Geschäfte,
- und Vertretung der Einrichtung.
Daraus folgt eine Abgrenzung, die in der Praxis überrascht:
| erfasst | nicht erfasst |
|---|---|
| Geschäftsführerinnen und Geschäftsführer einer gGmbH | Prokuristinnen und Prokuristen |
| Vorstand eines eingetragenen Vereins, soweit die Satzung ihm Geschäftsführung und Vertretung zuweist | Handlungsbevollmächtigte |
| Vorstand einer Stiftung | Bereichs-, Pflegedienst-, kaufmännische und IT-Leitungen |
| Vorstand einer Aktiengesellschaft | Aufsichts- und Verwaltungsräte |
| alle Mitglieder eines mehrköpfigen Organs | faktische Leitung ohne Bestellung |
Es sind also nicht alle, die die Geschäfte leiten — aber alle, die organschaftlich dazu berufen sind. Das BSI geht davon aus, dass die Pflicht „in der großen Mehrheit der Einrichtungen mehrere Personen trifft” [K9-21]. Bei einer gGmbH mit drei Geschäftsführern sind alle drei pflichtig, nicht nur der Vorsitzende.
Für Vereine ist der Blick in die Satzung unerlässlich. Bei Caritasverbänden in der Rechtsform des eingetragenen Vereins fallen Vertretungsorgan und operative Leitung nicht immer zusammen. Ist ein hauptamtlicher Geschäftsführer lediglich bevollmächtigt und die Vertretung liegt beim — womöglich ehrenamtlichen — Vorstand nach § 26 BGB, dann trifft die Schulungspflicht den Vorstand, nicht den Geschäftsführer. Umgekehrt gilt sie für einen hauptamtlichen Vorstand, der nach der Satzung vertritt, in vollem Umfang. Wer die Pflicht zuordnen will, muss die Satzung lesen — die Organigrammlogik genügt nicht. — Einschätzung des Autors.
Weitere Personen können einbezogen werden, etwa Zuarbeitende oder Träger anderweitiger Entscheidungsvollmacht. Das BSI hält das für sinnvoll, es ist aber eine Empfehlung und keine Pflicht [K9-21].
Eine Unstimmigkeit in den Materialien. Die Kostenschätzung des Gesetzentwurfs rechnet mit „zehn leitenden Beschäftigten je Unternehmen” und vermerkt selbst, es sei unklar, „wer im Unternehmen konkret zu den Geschäftsleitern zählt” (Kapitel 10.3). Die Legaldefinition des § 2 Nr. 13 BSIG ist demgegenüber deutlich enger. Maßgeblich ist die Definition, nicht die Annahme der Kostenrechnung.
Wie oft und wie lange? Der Gesetzestext sagt nur „regelmäßig”. Zwei Quellen konkretisieren das unterschiedlich weit:
Die Gesetzesbegründung bestimmt [K9-24]:
„Als ‚regelmäßig’ im Sinne dieser Vorschrift gelten Schulungen, die mindestens alle 3 Jahre angeboten werden.”
Die Handreichung des BSI macht demgegenüber keine feste Vorgabe [K9-21]:
„Das BSIG macht zu Intervall und Dauer der verpflichtenden Schulungen von Geschäftsleitungen keine konkreten Vorgaben über den Begriff ‚regelmäßig’ hinaus.”
Stattdessen empfiehlt das BSI einen risikobasierten Ansatz: Intervall und Dauer seien „dem Risiko angemessen zu wählen und sich nach der Risikoexposition der Einrichtung und individuellen Fähigkeiten der Geschäftsleitungen zu richten, wobei gewährleistet sein muss, dass informierte Entscheidungen getroffen werden können”. Empfohlen wird eine ausführliche initiale Schulung mit anschließenden regelmäßigen Folgeschulungen [K9-21].
Verbindlich ist dagegen die Dokumentation [K9-21]:
„Wichtig ist, dass Geschäftsleitungen die Dauer und das Intervall der Schulungen stets an den oben genannten Kriterien ausgerichtet wählen sowie eine lückenlose Dokumentation über Datum, Zeitraum und Inhalte der durchgeführten Schulungen führen.”
Zu einer verbreiteten Angabe. In Fachbeiträgen kursiert die Formel „mindestens vier Stunden in drei Jahren”. Die Vier-Stunden-Angabe steht nicht in der Handreichung des BSI; sie lässt sich dort nicht belegen. Belegt ist allein der Dreijahres-Rhythmus aus der Gesetzesbegründung. Wer eine Schulung plant, sollte sich am risikobasierten Maßstab des BSI orientieren, nicht an einer Stundenzahl.
Die Handreichung ist als Checkliste aufgebaut, mit der sich prüfen lässt, ob ein Schulungsangebot die drei gesetzlichen Aspekte tatsächlich in konkrete Inhalte übersetzt. Das ist der Maßstab für die Auswahl eines Angebots.
Nicht zu verwechseln mit der Beschäftigtenschulung
Zwei verschiedene Pflichten, die in der Praxis und in der Anbieterwerbung regelmäßig vermengt werden:
| § 38 Abs. 3 BSIG | § 30 Abs. 2 Nr. 7 BSIG | |
|---|---|---|
| Wer | Mitglieder der Geschäftsleitung persönlich | Beschäftigte |
| Was | Risikoerkennung, Risikomanagement, Auswirkungsbewertung | grundlegende Schulungen und Sensibilisierung |
| Turnus | mindestens alle 3 Jahre (Gesetzesbegründung); Dauer risikobasiert | nicht festgelegt |
| Delegierbar | nein | ja, als Programm organisierbar |
| Typisches Format | Fachseminar | E-Learning-Programm |
Eine Awareness-Plattform erfüllt § 38 Abs. 3 nicht, ein Geschäftsleitungsseminar erfüllt § 30 Abs. 2 Nr. 7 nicht. Träger brauchen beides. Wer nur eines hat, hat ein Compliance-Gefühl ohne Compliance.
9.10 Was für Krankenhäuser zusätzlich gilt
Für Krankenhäuser tritt § 391 SGB V hinzu, der inzwischen auf § 30 Abs. 8 BSIG verweist [K9-22]. § 30 Abs. 8 BSIG eröffnet besonders wichtigen Einrichtungen die Möglichkeit, branchenspezifische Sicherheitsstandards vorzuschlagen, deren Eignung das BSI feststellt [K9-2]. Für das Krankenhauswesen ist das der B3S (Kapitel 13.9).
Praktisch heißt das: Wer den B3S umsetzt, arbeitet an einem Standard, dessen Eignung behördlich festgestellt ist — das erleichtert den Nachweis nach § 39 BSIG erheblich. Er ersetzt die eigene Prüfung nach § 30 BSIG aber nicht automatisch.
Stand. Dieses Kapitel gibt die Rechtslage zum 2. August 2026 wieder. Die Rechtsverordnung nach § 30 Abs. 5 BSIG ist nicht ergangen; § 33 Abs. 5 und weitere Vorschriften gelten nach § 66 BSIG teilweise in ihrer Altfassung fort. Beide Punkte sind bei jeder Fortschreibung als erstes zu prüfen.
10. Umsetzungskosten
Was kostet die Umsetzung? Die ehrliche Antwort lautet: Für eine einzelne Einrichtung lässt sich das nicht seriös beziffern — und das ist keine Schwäche dieses Dokuments, sondern der Stand der Dinge.
Das eigentliche Problem liegt ohnehin woanders als bei der Höhe. Die Deutsche Krankenhausgesellschaft benennt es in ihrer Stellungnahme zum Gesetzgebungsverfahren deutlich [K10-1]:
„Krankenhäuser haben derzeit keinerlei Refinanzierungsmöglichkeiten der aus Digitalisierungsmaßnahmen entstehenden laufenden Kosten. […] Im Gegensatz zu anderen vom Gesetz betroffenen Sektoren und Branchen haben Krankenhäuser keine Möglichkeit, diese steigenden Kosten an anderer Stelle auszugleichen.”
Ein Industrieunternehmen kann höhere IT-Sicherheitskosten in den Preis einrechnen. Ein Krankenhaus kann das nicht — seine Preise sind gebunden (Kapitel 11). Das ist der Unterschied, der dieses Kapitel und das folgende zusammenhält.
Was es gibt, ist eine amtliche Rechnung des Gesetzgebers mit offengelegter Methodik. Dieses Kapitel führt sie vor, zeigt ihre Grenzen und benennt, was sich darüber hinaus belegen lässt und was nicht.
Gegenüber der Fassung vom Februar 2026 ist dieses Kapitel vollständig neu aufgebaut. Die dort genannten Eurobeträge waren ohne Quellenangabe; sie sind durch die Materialien des Gesetzgebungsverfahrens ersetzt.
10.1 Was der Gesetzgeber veranschlagt hat
Jeder Gesetzentwurf muss den Erfüllungsaufwand ausweisen. Für das NIS-2-Umsetzungsgesetz beziffert die Bundesregierung ihn für die Wirtschaft auf [K10-2]:
| Betrag | |
|---|---|
| jährlicher Erfüllungsaufwand | 2,3 Mrd. Euro |
| einmaliger Erfüllungsaufwand | 2,2 Mrd. Euro |
| zugrunde gelegte Zahl betroffener Einrichtungen | 29.850 |
Hinzu kommen 119 Mio. Euro jährlicher Aufwand für die Bundesverwaltung — der Nationale Normenkontrollrat beziffert den Personalbedarf auf rund 920 zusätzliche Planstellen [K10-3]. Den Sozialversicherungsträgern entstehen laufende Ausgaben von rund 16,6 Mio. Euro jährlich.
Der wichtigste Befund für die Diskussion im eigenen Haus
Die Melde- und Registrierungspflichten, die in der Wahrnehmung vieler Träger den größten Aufwand verursachen, sind in dieser Rechnung die mit Abstand kleinste Position [K10-4]:
| Position | jährlich, gesamte Wirtschaft |
|---|---|
| Melde-, Unterrichtungs- und Auskunftspflichten | 1,342 Mio. Euro |
| Registrierungspflichten | 0,049 Mio. Euro |
| Sicherheitsmaßnahmen nach § 30 BSIG und Schulungen | Rest |
Über 99 Prozent des jährlichen Aufwands entfallen auf die materiellen Sicherheitsmaßnahmen, nicht auf die Bürokratie. Wer NIS-2 vor allem als Meldepflichten-Thema behandelt, arbeitet am Kern vorbei — und wer die Kosten fürchtet, fürchtet in Wahrheit die IT-Sicherheit, nicht die Verwaltung.
10.2 Der Aufwand je Einrichtung — und warum er nicht Ihr Aufwand ist
Aus den veröffentlichten Parametern lässt sich der Aufwand je Einrichtung zurückrechnen. Die Bundesregierung legt zugrunde [K10-5]:
| besonders wichtige Einrichtung | wichtige Einrichtung | |
|---|---|---|
| Fallzahl | 2.950 | 17.900 |
| Zeitaufwand je Fall und Jahr | 2.752 Stunden | 1.100 Stunden |
| Lohnsatz | 56,08 €/Stunde | 56,08 €/Stunde |
| Sachkosten je Fall und Jahr | 60.700 € | 24.300 € |
| Summe je Einrichtung und Jahr | rund 215.000 € | rund 86.000 € |
Die Rückrechnung stimmt exakt mit den Aggregatwerten der amtlichen Tabelle überein; sie ist keine eigene Schätzung, sondern eine Umformung der veröffentlichten Zahlen.
Diese Werte sind kein Kostenvoranschlag. Sie gelten für den Durchschnitt großer und mittlerer Unternehmen aller Sektoren. Die zugrunde liegenden Zeit- und Sachkostenwerte stammen aus einer Befragung von KRITIS-Betreibern durch das Statistische Bundesamt von Ende 2020; für wichtige Einrichtungen hat das Ressort „mangels verfügbarer Daten” einen um 60 Prozent geringeren Aufwand angenommen. Eine Übertragung auf einen konkreten Träger ist methodisch nicht gedeckt [K10-5].
Wozu die Zahlen dann taugen: als Größenordnung, als Vergleichsmaßstab gegenüber Kostenträgern und als Beleg dafür, dass der Gesetzgeber selbst von einem sechsstelligen jährlichen Aufwand je betroffener Einrichtung ausgeht. Das ist in Verhandlungen mehr wert als eine eigene Schätzung.
Zwei Fallstricke beim Zitieren
Die 61.000 Euro sind nicht der Gesamtaufwand. Der Normenkontrollrat nennt in seiner Stellungnahme „einen jährlichen Aufwand/Fall von 61 000 Euro für besonders wichtige und 24 000 Euro für wichtige Einrichtungen” [K10-6]. Diese Werte entsprechen nach der Detailtabelle des Ressorts jedoch nur den Sachkosten — die Personalkosten sind nicht enthalten. Wer sie als Gesamtaufwand zitiert, liegt um rund den Faktor 3,5 zu niedrig. Da die NKR-Stellungnahme kürzer und leichter zu finden ist als die Detailtabelle, ist das ein naheliegender Fehler.
Der Einmalaufwand ist keine Erhebung. Die 2,2 Mrd. Euro beruhen auf einer ausdrücklich gekennzeichneten Annahme [K10-7]:
„Hinsichtlich des einmaligen Aufwands liegen keine Anhaltspunkte für eine Schätzung vor. Es wird vereinfachend angenommen, dass […] einmaliger Aufwand anfällt, welcher der Höhe des jährlichen Aufwands eines Jahres entspricht.”
Das Verhältnis „einmalig zu laufend” ist also per Annahme 1 : 1 und nicht gemessen. Eine Darstellung, die es als Befund ausgibt, wäre irreführend.
10.3 Was der Gesetzgeber für Schulungen ansetzt
Für die Schulungspflichten nach § 38 Abs. 3 BSIG und § 30 Abs. 2 Nr. 7 BSIG veranschlagt die Bundesregierung rund 165 Mio. Euro jährlich für die gesamte Wirtschaft [K10-8]. Zugrunde liegen:
- vier Stunden je leitendem Beschäftigten bei einem Lohnsatz von 62,40 Euro und 110 Euro Sachkosten,
- eine Stunde je übrigem Beschäftigten bei 37,10 Euro, ohne Sachkosten.
Diese vier Stunden sind kein Maßstab. Die Begründung bezeichnet die Annahme selbst als frei: Es werde „frei angenommen, dass es sich im Durchschnitt um eine halbtägige Schulung handelt (4 Stunden)” [K10-8]. Auch die Fallzahl beruht auf einer gesetzten Größe — „einmal im Jahr zehn leitende Beschäftigte je Unternehmen”, halbiert um die Annahme, dass die Hälfte der Unternehmen ohnehin schon schult. Wer aus dieser Kalkulation eine Vorgabe „vier Stunden” ableitet, verwechselt eine Kostenschätzung mit einer Rechtspflicht (siehe den Hinweis in Kapitel 9.9).
Die Begründung stellt zugleich drei Punkte fest, die Träger entlasten [K10-8]. Erstens ist der Pflichtinhalt gesetzlich unbestimmt:
„So sollen die Schulungen zwar regelmäßig absolviert werden, eine konkrete Periodizität wird allerdings nicht vorgegeben. Zusätzlich ist unklar, wer im Unternehmen konkret zu den Geschäftsleitern zählt. Schließlich ist nicht zu erkennen, wie umfangreich die speziellen Cybersicherheitsschulungen sein müssen.”
Zweitens rechnet der Gesetzgeber mit kostenfreien Angeboten: Für Beschäftigte werde „überwiegend auf kostenfreie Angebote, die es bereits heute gibt” zurückgegriffen — der Entwurf verweist auf die IT-Grundschutz-Schulungen des BSI. Drittens gilt das auch für die Geschäftsleitung: Gebe es hinreichende kostenlose Online-Schulungen, „würden die Sachkosten entsprechend bedeutend geringer ausfallen”.
Zur Unklarheit über den Adressatenkreis. Die Begründung stammt aus dem Regierungsentwurf. Das verkündete Gesetz enthält in § 2 Nr. 13 BSIG inzwischen eine Legaldefinition der Geschäftsleitung, die die Frage weitgehend beantwortet (Kapitel 9.9). Für die Kostenschätzung bleibt der Befund gleichwohl von Bedeutung: Sie beruht auf zehn Personen je Einrichtung, während die Legaldefinition auf die vertretungsberechtigten Organmitglieder abstellt — in Caritas-Strukturen regelmäßig deutlich weniger.
10.4 Kostenstruktur: welche Blöcke entstehen
Weil sich Beträge je Einrichtung nicht belegen lassen, zeigt dieses Dokument die Struktur der Kosten statt erfundener Zahlen.
Die einzigen gefundenen Erhebungen mit offengelegter Methodik stammen aus dem Krankenhausbereich. Goldmedia hat im Auftrag der DKG zweimal erhoben [K10-9]:
| 2019 | 2023 | |
|---|---|---|
| Bezugsnorm | IT-Sicherheitsgesetz, B3S | § 75c SGB V |
| Stichprobe | n = 62 (29,2 % Rücklauf) | n = 152 |
| einmalig je Krankenhaus | 1,5 bis 2,0 Mio. Euro | 818 TEUR |
| laufend je Krankenhaus | 500.000 bis 600.000 Euro/Jahr | 403 TEUR/Jahr |
| hochgerechnet insgesamt | — | 1.492,2 Mio. Euro einmalig, 735,6 Mio. Euro/Jahr |
Ein Befund aus der Erhebung 2023 verdient besondere Aufmerksamkeit. Von den einmaligen Zusatzinvestitionen entfallen rund 837 Mio. Euro auf die IT-Abteilung — aber rund 278 Mio. Euro auf das Facility Management, nach den Worten der Erhebung „ein Drittel des zusätzlichen IT-Investitionsaufwandes”. Zutrittskontrolle, Serverraum, Brandschutz, bauliche Absicherung: Wer nur das IT-Budget betrachtet, unterschätzt den Aufwand systematisch um eine Größenordnung, die sich nicht wegdiskutieren lässt.
Zur Verwendung dieser Zahlen. Beide Erhebungen betreffen ausschließlich Krankenhäuser und beziehen sich auf andere Normen als § 30 BSIG — die 2019er auf den B3S, die 2023er auf § 75c SGB V, die Vorgängernorm des heutigen § 391 SGB V. Sie taugen als Strukturvorlage — welche Kostenblöcke entstehen und in welchem Verhältnis — nicht als Preisangabe für die NIS-2-Umsetzung. Alter und Zuschnitt sind bei jeder Verwendung auszuweisen.
10.5 Personalkosten und der AVR-Rahmen
Der größte Kostenblock ist Personal. Genau hier ist die Beleglage am schwächsten.
Eine belastbare Gehaltserhebung für IT-Sicherheitsfunktionen in Deutschland ließ sich nicht finden — weder von Verbänden noch von Behörden [K10-10]. Die in der Fassung vom Februar 2026 genannten Gehaltsspannen sind damit nicht belegt; sie werden in diesem Dokument nicht fortgeschrieben.
Was sich belegen lässt, ist der Lohnsatz, mit dem der Gesetzgeber selbst rechnet: 56,08 Euro je Stunde, gemischt aus 25 Prozent mittlerem und 75 Prozent hohem Qualifikationsniveau nach dem Leitfaden zur Ermittlung des Erfüllungsaufwands [K10-5]. Das entspricht überschlägig einer Vollzeitstelle im mittleren sechsstelligen Jahresbereich einschließlich Arbeitgeberkosten — und ist damit selbst schon eine Größenordnung, die viele Träger überrascht.
Der eigentliche Engpass kirchlicher Träger ist nicht der Preis, sondern der Rahmen. Vergütungen richten sich nach den AVR; die Eingruppierung von IT-Fachkräften folgt einem Tarifwerk, das für Sozial- und Pflegeberufe entwickelt wurde. Ob und wie sich Marktgehälter für IT-Sicherheitsfunktionen darin abbilden lassen, ist die praktisch entscheidende Frage.
Zwei Befunde dazu, beide mit Vorbehalt [K10-11]. Erstens: Die bisherige Anlage 2 AVR kennt keine eigenen Tätigkeitsmerkmale für IT-Berufe. Eingruppiert wird über die Auffangbestimmung — Mitarbeitende, „die auf Grund gleichwertiger Fähigkeiten und Erfahrungen hinsichtlich Aufgabenbereich und Verantwortung den Mitarbeitern in Tätigkeitsmerkmalen dieser Vergütungsgruppe vergleichbar sind”. Das eröffnet Spielraum, verlangt aber eine tragfähige Begründung im Einzelfall.
Zweitens, und das macht die Frage zeitkritisch: Zum 1. Januar 2027 tritt die AVR Caritas 2027 mit einer neuen Entgeltordnung in Kraft. Für Beschäftigte in den Anlagen 2, 2d und 2e gibt es erstmals ein Recht, auf Antrag in die neue Entgeltordnung übergeleitet zu werden (§ 59 Abs. 2 AVR Caritas 2027) — und Neueinstellungen erfolgen ab dann ausschließlich in der neuen Entgeltordnung. Wer 2027 eine Stelle für Informationssicherheit besetzt, gruppiert also nach einem anderen Werk ein als heute.
Diese Frage ist in diesem Dokument nicht abschließend beantwortet. Ob die neue Entgeltordnung ausdrückliche IT-Tätigkeitsmerkmale enthält, ließ sich aus den öffentlich verfügbaren Unterlagen nicht klären [K10-11]. Träger sollten das mit ihrer Personalabteilung klären, bevor sie eine Stelle ausschreiben — und dabei berücksichtigen, ob die Besetzung vor oder nach dem 1. Januar 2027 erfolgt.
Einschätzung des Autors. Wo die Eingruppierung keine marktfähige Vergütung erlaubt, bleiben drei Wege: externe Beauftragung, geteilte Stellen mehrerer Träger (Abschnitt 10.6) oder Qualifizierung vorhandener Beschäftigter. Der dritte Weg ist der langsamste und zugleich der einzige, der Wissen im Haus aufbaut — und er ist teilweise förderfähig, allerdings nicht für Pflichtschulungen (Kapitel 11.7).
10.6 Kosten senken durch Kooperation
Mehrere Träger können Aufgaben bündeln, für die eine einzelne Einrichtung keine Vollzeitstelle trägt: die Funktion des Informationssicherheitsbeauftragten, Sicherheitsüberwachung, Auditvorbereitung, Schulungsprogramme.
Die Fassung vom Februar 2026 enthielt dazu eine Modellrechnung mit Einsparquoten. Diese Zahlen sind nicht belegt und werden nicht fortgeschrieben. Die zugrunde liegende Überlegung bleibt richtig: Fixkostendegression wirkt bei IT-Sicherheitsfunktionen besonders stark, weil ein erheblicher Teil des Aufwands unabhängig von der Zahl der versorgten Einrichtungen anfällt.
Achtung, ein Nebeneffekt. Wer IT-Sicherheitsleistungen für andere Träger erbringt, wird dadurch möglicherweise selbst zum Managed Service Provider — mit eigener Registrierungs- und Warnpflicht (Kapitel 7.7). Kooperationsmodelle sind deshalb vorher auf ihre regulatorische Wirkung zu prüfen.
10.7 Die Kosten der Nichterfüllung
Diese Seite lässt sich teilweise gut belegen — und teilweise gar nicht.
Belegbar: der Bußgeldrahmen. § 65 BSIG ist Gesetzestext (Kapitel 12.4). Für Verstöße gegen die Melde- und Registrierungspflichten drohen bis zu 10 Mio. Euro bei besonders wichtigen und bis zu 7 Mio. Euro bei wichtigen Einrichtungen.
Belegbar: die Haftung der Geschäftsleitung nach § 38 Abs. 2 BSIG — als Innenhaftung gegenüber der eigenen Einrichtung und mit den Einschränkungen, die Kapitel 9.8 darstellt.
Nicht belegbar: Schadenshöhen. Für Cyberangriffe auf deutsche Gesundheits- und Sozialeinrichtungen ließen sich keine belastbaren Schadensbezifferungen finden [K10-12]. Was sich findet, sind Einzelfälle mit Angaben, die einer Prüfung nicht standhalten oder etwas anderes messen, als sie zu messen scheinen — das Fallbeispiel in Kapitel 3 zeigt, wie leicht ein Jahresfehlbetrag zum „Angriffsschaden” wird.
Warum hier kein Balkenvergleich steht. Erfüllungskosten sind laufender Aufwand, die Kosten der Nichterfüllung sind ein Risikowert: ein möglicher Betrag, multipliziert mit einer unbekannten Wahrscheinlichkeit. Ein Diagramm, das beide nebeneinanderstellt, behauptet eine Vergleichbarkeit, die nicht besteht. Wer so argumentiert, macht sich angreifbar — und muss die Rechnung zurücknehmen, sobald jemand nach der Eintrittswahrscheinlichkeit fragt.
Die tragfähige Argumentation ist eine andere: Der Aufwand ist bekannt und planbar; das Risiko ist es nicht. Genau deshalb ist die Umsetzung eine Entscheidung der Geschäftsleitung und keine des IT-Budgets.
10.8 Was sich nicht beziffern lässt — und warum das ein Argument ist
Zusammengefasst konnte für die folgenden Größen keine belastbare Quelle gefunden werden [K10-10], [K10-12]:
- Umsetzungskosten je Einrichtung im Sozial- und Gesundheitswesen
- Gehälter für IT-Sicherheitsfunktionen
- Schadenshöhen bei Cyberangriffen auf deutsche Einrichtungen des Sektors
- IT-Budget-Benchmarks für die Sozialwirtschaft
- Marktpreise für Maßnahmen nach § 30 BSIG
Das ist unbefriedigend, aber es ist selbst eine Aussage. Der Nationale Normenkontrollrat hat in seiner Stellungnahme genau darauf hingewiesen [K10-13]:
„Diese Rechtsunsicherheit erschwert u. a. eine verlässliche Betroffenheitsanalyse, weshalb auch die dem Erfüllungsaufwand zugrunde liegende Schätzung der Fallzahl mit vermeidbarer Unsicherheit behaftet ist. Der NKR empfiehlt deshalb eine zeitnahe rechtliche Präzisierung.”
Der NKR erhebt gegen die Darstellung der Regelungsfolgen im Übrigen keine Einwände und bezeichnet sie als „nachvollziehbar und methodengerecht” — aber er hält fest, dass die Unsicherheit vermeidbar wäre.
Für die Argumentation gegenüber Kostenträgern ist das nützlich: Wenn selbst das Kontrollgremium des Gesetzgebers die Kostenbasis für unsicher hält und eine rechtliche Präzisierung anmahnt, lässt sich schwer verlangen, dass ein einzelner Träger belastbare Zahlen vorlegt, bevor über Refinanzierung gesprochen wird (Kapitel 11).
Stand. Die Zahlen dieses Kapitels stammen aus dem Gesetzgebungsverfahren zum NIS-2-Umsetzungsgesetz (BT-Drs. 21/1501, Stand des Regierungsentwurfs vom 8. September 2025). Eine Nachmessung des tatsächlichen Erfüllungsaufwands durch das Statistische Bundesamt hat der NKR angemahnt; sie liegt zum 2. August 2026 nicht vor.
11. Refinanzierung
Die Pflichten gelten unabhängig davon, ob jemand sie bezahlt. Die Frage, wer sie bezahlt, entscheidet aber darüber, ob sie erfüllt werden können.
Dieses Kapitel beantwortet sie für die vier Leistungsbereiche, in denen Caritas-Träger arbeiten. Es beginnt mit dem Mechanismus, der allen gemeinsam ist — und der erklärt, warum die Antwort im Sozialbereich anders ausfällt als in der Privatwirtschaft.
11.1 Warum Sozialleistungserbringer Kosten nicht einpreisen können
Ein Handwerksbetrieb, dem der Gesetzgeber neue Pflichten auferlegt, schlägt die Kosten auf seine Preise. Ein Pflegeheim kann das nicht. Das ist kein Klagen, sondern eine Folge des Vergütungsrechts — und es lässt sich für jeden Leistungsbereich mit dem Gesetzeswortlaut belegen [K11-1]:
| Bereich | Norm | Mechanismus |
|---|---|---|
| Krankenhaus | § 10 Abs. 4 S. 1 KHEntgG | Der Basisfallwert darf den bundeseinheitlich festgelegten Veränderungswert nicht überschreiten |
| Pflege | § 84 Abs. 2 SGB XI | Beitragssatzstabilität ist zu beachten; Vergleichsdaten anderer Einrichtungen sind zu berücksichtigen |
| Eingliederungshilfe | § 124 Abs. 1 S. 3 SGB IX | Vergütung ist angemessen, wenn sie im unteren Drittel vergleichbarer Anbieter liegt |
| Kinder- und Jugendhilfe | § 78c Abs. 2 SGB VIII | Erhöhung für Investitionen nur bei vorheriger Zustimmung des öffentlichen Trägers |
Die Präzisierung, auf die es ankommt
Es ist nicht so, dass IT-Sicherheitskosten rechtlich unzulässig wären. Sie sind grundsätzlich berücksichtigungsfähig. Das Problem liegt in den Deckelungs- und Vergleichsmechanismen: Wer als erster IT-Sicherheitskosten einpreist, verlässt das untere Drittel beziehungsweise die Vergleichsgruppe — und trägt die Beweislast für den höheren Aufwand.
Beim Krankenhaus kommt eine Besonderheit hinzu, die den Kern trifft: Von der Obergrenze des Veränderungswerts gibt es Ausnahmen, etwa für Tarifsteigerungen (§ 10 Abs. 5 KHEntgG). Für gesetzlich veranlasste IT-Sicherheitsaufwendungen gibt es keine [K11-1].
Die Lücke, die den Unterschied macht
Dieselbe Asymmetrie zeigt sich in der Eingliederungshilfe noch schärfer. § 124 Abs. 1 Satz 6 SGB IX schließt aus, tarifliche und kirchliche Vergütungen als unwirtschaftlich abzulehnen — für Personalkosten besteht damit ein normativer Anerkennungsanspruch [K11-1].
Für Sach- und IT-Sicherheitskosten gibt es keine vergleichbare Norm.
Das ist die Lücke, durch die die NIS-2-Kosten fallen: Der Gesetzgeber hat für Personalkosten vorgesorgt, für gesetzlich erzwungene Sachkosten nicht. Wer diesen Punkt in Verhandlungen vorträgt, argumentiert nicht mit Billigkeit, sondern mit einer Regelungslücke.
Zur Belastbarkeit dieser Argumentation. Die vier Normen sind jeweils im Wortlaut belegt [K11-1]. Ihre Verknüpfung zu einem gemeinsamen Mechanismus ist dagegen eine Argumentation dieses Dokuments; sie wurde nicht von Fachleuten des Vergütungsrechts gegengelesen. Vor einer Kostenträgerverhandlung sollte sie mit dem Verbandsjustiziariat oder der eigenen Rechtsberatung abgeglichen werden. Die Einzelnormen tragen unabhängig davon — jede für ihren Leistungsbereich.
11.2 Krankenhaus
Betriebskosten. IT-Sicherheitskosten sind Betriebskosten und damit über die DRG-Erlöse zu decken. Die Steigerung des Basisfallwerts unterliegt dem Veränderungswert (Abschnitt 11.1); ein Zuschlag für NIS-2 existiert nicht.
Investitionskosten sind Sache der Länder (§ 9 KHG). Die Investitionslücke ist seit Jahren dokumentiert und wird in Kapitel 14 behandelt.
Krankenhaustransformationsfonds. Der KHTF ist das größte aktuelle Förderinstrument. Für IT-Sicherheit gilt eine wichtige Einschränkung [K11-2]: Sie ist in § 3 KHTFV zwar ausdrücklich genannt, aber nur akzessorisch — also als Bestandteil eines Strukturvorhabens, nicht als eigener Fördertatbestand. Wer ausschließlich IT-Sicherheit fördern lassen will, findet dafür keine Grundlage.
Die Antragsfristen wurden durch das Krankenhausanpassungsgesetz gestrichen [K11-2]; die erste Bewilligung erfolgte am 17. April 2026.
Für Träger heißt das: IT-Sicherheitsmaßnahmen sollten dort, wo ohnehin ein Strukturvorhaben ansteht, von Anfang an mitgeplant werden. Nachträglich lassen sie sich nicht anhängen.
11.3 Pflege
Hier ist die wichtigste Unterscheidung eine, die im Gesetz steht und in der Praxis oft übersehen wird.
Die Zweiteilung nach § 82 Abs. 2 SGB XI
§ 82 Abs. 2 Nr. 1 SGB XI verbietet, Aufwendungen für die Herstellung, Anschaffung und Wiederbeschaffung abschreibungsfähiger Anlagegüter in die Pflegevergütung einzurechnen — mit ausdrücklicher Ausnahme der Verbrauchsgüter [K11-3].
Für NIS-2-Aufwendungen folgt daraus eine Zweiteilung:
| pflegesatzfähig (laufender Betriebsaufwand) | nicht pflegesatzfähig (aktivierungspflichtig) |
|---|---|
| Softwaremiete und Lizenzen im Abonnement | Firewalls, Netzwerkkomponenten, Server |
| Managed Security Services, SOC-Leistungen | dauerhafte Softwarelizenzen als Anlagevermögen |
| externe Beratung, Auditkosten | |
| Schulungen | |
| anteilige Personalkosten der Informationssicherheitsfunktion | |
| Cyberversicherung |
Die zweite Spalte ist über die Investitionsfinanzierung zu decken — Landesförderung oder gesonderte Berechnung nach § 82 Abs. 3 und 4 SGB XI.
Praktische Folge für die Beschaffung. Dieselbe Leistung kann je nach Vertragsgestaltung in die eine oder andere Spalte fallen. Ein SOC als Dienstleistung ist laufender Aufwand; eine gekaufte SIEM-Appliance ist Anlagevermögen. Wer die Refinanzierung mitdenkt, trifft diese Entscheidung bewusst — nicht erst beim Jahresabschluss.
Zur Belastbarkeit der Tabelle. Die Zweiteilung steht im Gesetz; die Zuordnung der einzelnen Positionen steht dort nicht [K11-3]. Sie folgt der handelsrechtlichen Aktivierungslogik und ist eine Einschätzung dieses Dokuments, nicht fachlich gegengelesen. Im Zweifel entscheiden die Bilanzierungspraxis des Trägers und die Auffassung des Kostenträgers. Vor einer Verhandlung ist die Zuordnung mit der eigenen Finanzbuchhaltung abzugleichen — sie ist als Ausgangspunkt gedacht, nicht als Ergebnis.
Pflegesatzverhandlung
Das Verfahren nach §§ 84, 85 SGB XI ist prospektiv und fristgebunden; die Einrichtung trägt die Darlegungslast für ihre Kosten [K11-4]. IT-Sicherheitskosten sind also vorher zu beziffern und zu begründen — rückwirkend lassen sie sich nicht geltend machen.
Was sich ändern könnte: das Pflegeneuordnungsgesetz
Der Referentenentwurf eines Pflegeneuordnungsgesetzes vom Juni 2026 sieht drei für dieses Thema erhebliche Änderungen vor [K11-5]:
- Die Digitalisierungsförderung des § 8 Abs. 8 SGB XI wandert nach § 11 Abs. 3 SGB XI — und vollstationäre Einrichtungen werden ausgeschlossen.
- Ein neues Programm über 1,6 Mrd. Euro aus dem Sondervermögen (Vergabe 2027–2031) nennt „Maßnahmen zur Erhöhung der IT-Sicherheit” ausdrücklich im Förderkatalog.
- Ein neuer § 113e soll für digitale Technik erstmals die Investitionsabgrenzung des § 82 Abs. 2 SGB XI durchbrechen.
Alles davon ist Entwurf. Das Vorhaben war zum 2. August 2026 nicht im Kabinett — die Befassung wurde seit Mai 2026 wiederholt verschoben, zuletzt für den 22. und 29. Juli angekündigt und an beiden Terminen nicht aufgerufen. Da der Bundestag erst im September wieder tagt, ist eine erste Lesung frühestens im Herbst 2026 zu erwarten [K11-5]. Es kann sich ändern oder scheitern. Träger sollten die Entwicklung verfolgen, aber keine Planung darauf stützen.
11.4 Eingliederungshilfe
Maßgeblich sind die Leistungs- und Vergütungsvereinbarungen nach §§ 123 ff. SGB IX. Der externe Vergleich des § 124 Abs. 1 SGB IX wirkt hier besonders unmittelbar: Wer IT-Sicherheitskosten einpreist, während vergleichbare Anbieter es noch nicht tun, verlässt das untere Drittel.
Nach § 124 Abs. 1 Satz 4 SGB IX kann eine Vergütung oberhalb des unteren Drittels gleichwohl angemessen sein, „sofern sie nachvollziehbar auf einem höheren Aufwand des Leistungserbringers beruht und wirtschaftlicher Betriebsführung entspricht” [K11-1]. Genau hier ist der gesetzliche Zwang das beste Argument: Der höhere Aufwand beruht nicht auf einer unternehmerischen Entscheidung, sondern auf § 30 BSIG.
11.5 Kinder- und Jugendhilfe
§ 78c Abs. 2 SGB VIII verlangt für eine Erhöhung der Vergütung wegen Investitionen die vorherige Zustimmung des öffentlichen Trägers [K11-1]. Das ist eine Zeitfalle: Wer investiert und danach verhandelt, hat den Anspruch verloren.
Für laufende Aufwendungen gilt der allgemeine Grundsatz der Leistungsgerechtigkeit.
11.6 Förderprogramme — und warum sie oft nicht passen
Es gibt Förderprogramme für IT-Sicherheit. Die meisten passen für Caritas-Komplexträger nicht.
Ein belegtes Beispiel: Das nordrhein-westfälische Programm „MID-Digitale Sicherheit” schließt Krankenhäuser ausdrücklich aus und richtet sich nur an Unternehmen mit weniger als 250 Beschäftigten [K11-6]. Ein Träger, der wegen seiner Größe unter NIS-2 fällt, ist damit zu groß für die Förderung, die ihm helfen würde.
Einschätzung des Autors. Das ist kein Zufall, sondern strukturell: Die Schwellen der Mittelstandsförderung und die Schwellen der NIS-2-Regulierung laufen gegeneinander. Wer reguliert ist, ist meist nicht förderfähig. Diese Beobachtung gehört in die politische Argumentation (Kapitel 14).
Die Programme des Bundes sind in den Belegen zu diesem Kapitel im Einzelnen nachgewiesen. Länderprogramme unterscheiden sich erheblich; dieses Dokument stellt die Mechanismen dar, nicht die Einzelprogramme aller Länder.
11.7 Qualifizierungschancengesetz — der Weg und seine Grenze
Die Weiterbildungsförderung nach § 82 SGB III kann helfen, eigene Beschäftigte zu qualifizieren, statt teure Fachkräfte am Markt zu suchen. Zwei Einschränkungen sind allerdings entscheidend [K11-7]:
Pflichtschulungen sind nicht förderfähig. § 82 Abs. 1 Satz 2 SGB III ist eindeutig [K11-7]:
„Ausgeschlossen von der Förderung ist die Teilnahme an Maßnahmen, zu deren Durchführung der Arbeitgeber auf Grund bundes- oder landesrechtlicher Regelungen verpflichtet ist.”
Die Schulungen nach § 38 Abs. 3 und § 30 Abs. 2 Nr. 7 BSIG fallen damit heraus. Hinzu kommt eine zweite Hürde, die sie ohnehin ausschlösse: Gefördert wird nur, wenn „die Maßnahme mehr als 120 Stunden dauert” (§ 82 Abs. 1 S. 1 Nr. 4) und wenn Kenntnisse vermittelt werden, die „über ausschließlich arbeitsplatzbezogene kurzfristige Anpassungsfortbildungen hinausgehen” (Nr. 1). Ein zweitägiges Geschäftsleitungsseminar erreicht beides nicht. Förderfähig sind dagegen echte Qualifizierungen — etwa zur Fachkraft für Informationssicherheit.
Die Betriebsgröße drückt den Zuschuss. § 82 Abs. 6 Nr. 2 SGB III zählt Konzernbeschäftigte mit. Caritas-Träger landen damit fast immer in der Klasse „500 und mehr Beschäftigte” — dort beträgt der Entgeltzuschuss nur 25 Prozent.
Der Hinweis auf dieses Instrument ist berechtigt, weckt aber falsche Erwartungen, wenn beide Einschränkungen fehlen. Es finanziert den Aufbau eigener Kompetenz, nicht die Erfüllung der Schulungspflicht.
11.8 Die Gemeinkostenumlage als internes Instrument
Für Komplexträger entstehen IT-Sicherheitskosten zentral, müssen aber in verschiedenen Leistungsbereichen mit verschiedenen Kostenträgern refinanziert werden. Die Gemeinkostenumlage verteilt sie nach einem nachvollziehbaren Schlüssel — üblicherweise nach Beschäftigten, Plätzen oder Umsatzanteilen.
Das ist eine Modellrechnung, keine Erhebung. Ihr Wert liegt nicht in der Zahl, sondern in der Nachvollziehbarkeit: Ein Kostenträger, der eine Position abwehren will, fragt zuerst nach dem Verteilungsschlüssel.
Zur Verwendung von Beispielrechnungen. Wer eine Umlage in eine Verhandlung einbringt, sollte sie ausdrücklich als Modellrechnung kennzeichnen und die Ausgangswerte belegen können. Eine Zahl, die als Erhebung auftritt und sich als Beispiel entpuppt, beschädigt die eigene Position mehr, als sie ihr nützt.
11.9 Argumentationshilfe für Kostenträgerverhandlungen
Fünf Punkte, die sich aus den vorstehenden Belegen ergeben:
1. Der Aufwand ist gesetzlich erzwungen, nicht unternehmerisch gewählt. Das ist der Kern. § 30 BSIG lässt kein Ermessen, und § 38 Abs. 1 BSIG verpflichtet die Geschäftsleitung ausdrücklich zur Umsetzung und Überwachung. Ein Kostenträger, der die Position streicht, verlangt implizit einen Rechtsverstoß.
2. Der Gesetzgeber selbst rechnet mit sechsstelligen Jahresbeträgen. Die amtliche Schätzung liegt bei rund 215.000 Euro je besonders wichtiger und rund 86.000 Euro je wichtiger Einrichtung (Kapitel 10.2). Diese Zahl stammt nicht vom Träger, sondern aus der Bundestagsdrucksache.
3. Für Personalkosten gibt es einen Anerkennungsanspruch, für Sachkosten nicht. § 124 Abs. 1 Satz 6 SGB IX schützt tarifliche und kirchliche Vergütungen. Die Lücke bei den Sachkosten ist eine Regelungslücke, kein Wirtschaftlichkeitsproblem des Trägers.
4. Die Abgrenzung laufend gegen investiv vorher klären. In der Pflege entscheidet § 82 Abs. 2 SGB XI darüber, ob eine Position überhaupt in die Verhandlung gehört (Abschnitt 11.3).
5. Rechtzeitig sein. Pflegesatzverfahren sind prospektiv; § 78c SGB VIII verlangt vorherige Zustimmung. Wer nach der Investition verhandelt, verhandelt zu spät.
Was dieses Kapitel nicht leisten kann. Es ersetzt keine Verhandlungsberatung, und es kennt die Praxis der einzelnen Kostenträger nicht. Die Mechanismen sind bundesrechtlich vorgegeben, ihre Handhabung ist länderspezifisch und im Einzelfall unterschiedlich.
Stand. Rechtslage zum 2. August 2026. Das Pflegeneuordnungsgesetz ist Referentenentwurf und war nicht im Kabinett; alle daraus abgeleiteten Aussagen stehen unter Vorbehalt. Der Verkündungsstand der Kritisverordnung und die Förderaufrufe zum Sofortprogramm des Bundesgesundheitsministeriums waren zum Redaktionsschluss offen.
12. Fristen und Sanktionen
Dieses Kapitel enthält zwei Botschaften, die in verschiedene Richtungen weisen.
Die erste ist unbequem: Die Registrierungsfrist ist abgelaufen. Eine Nachfrist gibt es nicht, und der Verstoß ist bußgeldbewehrt.
Die zweite entlastet: Der Bußgeldrahmen ist für die meisten Caritas-Träger niedriger, als vielfach angenommen. Die oft zitierte Umsatzregel greift erst oberhalb einer Schwelle, die die wenigsten erreichen.
12.1 Fristenübersicht
| Was | Frist | Grundlage |
|---|---|---|
| Geltung der Pflichten | seit 6. Dezember 2025, ohne Übergangsfrist | Inkrafttreten des BSIG [K12-1] |
| Registrierung | binnen drei Monaten, nachdem die Einrichtung erstmals als solche gilt | § 33 Abs. 1 BSIG |
| Änderung registrierter Angaben | unverzüglich, spätestens zwei Wochen ab Kenntnis | § 33 Abs. 5 BSIG |
| Erstmeldung eines erheblichen Vorfalls | unverzüglich, spätestens 24 Stunden | § 32 BSIG |
| Folgemeldung | spätestens 72 Stunden | § 32 BSIG |
| Abschlussmeldung | spätestens ein Monat | § 32 BSIG |
| Nachweise KRITIS-Betreiber | alle drei Jahre, unaufgefordert | § 39 BSIG |
| Nachweise übrige Einrichtungen | nur auf Anordnung | § 39 BSIG |
| Schulung der Geschäftsleitung | „regelmäßig”; nach BSI-Handreichung mindestens vier Stunden in drei Jahren | § 38 Abs. 3 BSIG |
Die Einzelheiten stehen in Kapitel 9.
12.2 Die Registrierungsfrist ist abgelaufen — und es gibt keine Nachfrist
Wer seit dem 6. Dezember 2025 als besonders wichtige oder wichtige Einrichtung gilt, hätte sich binnen drei Monaten registrieren müssen. Diese Frist ist verstrichen.
Eine förmliche Nachfrist ließ sich in keiner Primärquelle des BSI finden [K12-2]. Das BSI kommuniziert stattdessen: Frist abgelaufen, unverzügliche Nachholung.
Eine verbreitete Verwechslung. In der Diskussion kursiert das Datum 31. Juli 2026 als angebliche Nachfrist. Dieses Datum existiert tatsächlich in einer BSI-Quelle — aber in anderem Zusammenhang: Bis dahin steht KRITIS-Betreibern das Meldeportal MIP-2 weiter zur Verfügung, voraussichtlich sogar bis zum 31. Dezember 2026 [K12-2]. Das ist eine Aussage über ein Meldewerkzeug, nicht über die Registrierungspflicht. Wer sich darauf verlässt, verlässt sich auf nichts.
Wie viele haben sich registriert?
Die amtliche Statistik des BSI weist zum Stichtag 2. April 2026 aus [K12-3]:
| Zahl | |
|---|---|
| Registrierungen im BSI-Portal | 15.477 |
| davon wichtige Einrichtungen | 9.894 |
| davon besonders wichtige Einrichtungen | 5.583 |
| darunter KRITIS-Betreiber | 1.260 |
| Sektor Gesundheit (Anlage 1) | 3.004 |
| erwartete Einrichtungen insgesamt | rund 29.500 |
Rund die Hälfte also.
Zur Zahl. Das BSI weist zwei Werte aus: 15.477 Registrierungen im BSI-Portal und 15.691 als Gesamtzahl einschließlich 214 registrierter Nebenniederlassungen (cross border) [K12-3]. Für die Betrachtung deutscher Träger ist die erste Zahl die einschlägige. Die für den 31. Juli 2026 angekündigte Aktualisierung lag zum Redaktionsschluss dieses Dokuments am 2. August 2026 noch nicht vor; die genannten Zahlen geben den Stand vom 2. April 2026 wieder.
Einschätzung des Autors. Aus der geringen Quote folgt kein Schutz. Eine Aufsichtsbehörde, die feststellt, dass die Hälfte der Adressaten sich nicht registriert hat, wird eher tätig als weniger. Und die Registrierung ist die Pflicht, deren Verletzung sich am einfachsten feststellen lässt — sie erfordert keine Prüfung vor Ort, sondern nur einen Abgleich.
12.3 Nachweispflichten
Betreiber kritischer Anlagen — für die Caritas vor allem Krankenhäuser oberhalb von 30.000 vollstationären Fällen — müssen unaufgefordert Nachweise vorlegen. Der Zyklus wurde von zwei auf drei Jahre verlängert; die betroffenen Betreiber wurden am 8. Dezember 2025 individuell über ihre Fristen informiert [K12-4].
Alle übrigen Einrichtungen müssen die Einhaltung nur auf Anordnung nachweisen [K12-5].
Das entlastet nicht so sehr, wie es klingt. Wer eine Anordnung erhält, hat keine Zeit mehr, eine Dokumentation aufzubauen — siehe Kapitel 9.7.
12.4 Der Bußgeldrahmen
Hier ist die Beleglage eindeutig: § 65 BSIG ist Gesetzestext. Und hier korrigiert dieses Dokument eine Darstellung der Fassung vom Februar 2026.
Die Staffelung
§ 65 Abs. 5 BSIG kennt sechs Stufen, nicht eine [K12-6]:
| Höchstbetrag | Fallgruppe |
|---|---|
| 10 Mio. € | Kernpflichten, besonders wichtige Einrichtung |
| 7 Mio. € | Kernpflichten, wichtige Einrichtung |
| 5 Mio. € | bestimmte Verstöße nach Abs. 2 Nr. 11 |
| 2 Mio. € | bestimmte Anordnungsverstöße |
| 1 Mio. € | Verstöße nach Abs. 1 und Abs. 2 Nr. 10 |
| 500.000 € | u. a. Zertifikatsnutzung, VO (EU) 2019/881 |
| 100.000 € | u. a. fahrlässige Nichtgewährung von Einsichtnahmen |
Melde- und Registrierungsverstöße — die praktisch häufigsten — fallen unter die oberste Stufe: bis zu 10 Mio. Euro bei besonders wichtigen und 7 Mio. Euro bei wichtigen Einrichtungen [K12-6].
Berichtigung gegenüber der Fassung vom Februar 2026. Version 1.0 nennt für Nicht-Registrierung und Meldepflichtverletzung an mehreren Stellen einen Rahmen von 500.000 Euro. Dieser Betrag steht in § 65 Abs. 5 Nr. 5 BSIG, betrifft aber andere Tatbestände — unter anderem die Zertifikatsnutzung und die EU-Verordnung 2019/881. Die Melde- und Registrierungspflichten der §§ 32 und 33 BSIG sind in § 65 Abs. 2 Nr. 4 bis 7 BSIG erfasst und der obersten Stufe zugeordnet. Die bisherige Angabe war also zu niedrig, und zwar um den Faktor zwanzig [K12-6].
Die Umsatzregel — und warum sie die meisten nicht betrifft
Häufig liest man die Formel „bis zu 10 Mio. Euro oder 2 Prozent des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist”. Diese Formel gibt den deutschen Gesetzeswortlaut nicht wieder [K12-6].
§ 65 Abs. 6 und 7 BSIG formulieren die Umsatzregel als Abweichung oberhalb einer Schwelle, nicht als Höchstwertvergleich:
- Besonders wichtige Einrichtungen mit mehr als 500 Mio. Euro Gesamtumsatz: bis zu 2 Prozent des Gesamtumsatzes,
- wichtige Einrichtungen mit mehr als 500 Mio. Euro Gesamtumsatz: bis zu 1,4 Prozent.
Unterhalb dieser Schwelle bleibt es bei den festen Höchstbeträgen. Für die große Mehrheit der Caritas-Träger gilt damit ausschließlich der feste Rahmen.
Die Zurechnungsfrage, die Verbünde betrifft
Ein Detail entscheidet darüber, wer die Schwelle erreicht. § 65 Abs. 8 BSIG bestimmt [K12-6]:
„Gesamtumsatz im Sinne der Absätze 6 und 7 ist die Summe aller Umsatzerlöse, die das Unternehmen, dem die besonders wichtige Einrichtung oder die wichtige Einrichtung angehört, in dem der Behördenentscheidung vorausgegangenen Geschäftsjahr weltweit erzielt hat. Der Gesamtumsatz kann geschätzt werden.”
Maßgeblich ist also nicht der Umsatz der Einrichtung, sondern der des Unternehmens, dem sie angehört. Für große Trägerverbünde ist das die entscheidende Frage — sie kann dazu führen, dass die Umsatzschwelle doch erreicht wird, obwohl die einzelne Gesellschaft weit darunter liegt.
Diese Zurechnung ist nicht dieselbe wie die des § 28 Abs. 4 BSIG. Kapitel 7.3 behandelt die Zurechnung für die Betroffenheit; hier geht es um die Bemessungsgrundlage für Bußgelder. Beide Fragen können unterschiedlich ausfallen. Wer die Schwelle für erreichbar hält, sollte das rechtlich prüfen lassen.
Ein weiterer Vorbehalt
Die höchsten Stufen knüpfen nicht an jeden Verstoß an, sondern an einen abschließend aufgezählten Katalog. Die pauschale Aussage „bis zu 10 Millionen Euro Bußgeld bei Verstößen gegen NIS-2” ist deshalb zu unspezifisch — sie stimmt für die Kernpflichten und stimmt nicht für alles andere.
12.5 Aufsicht
Die Aufsichtsbefugnisse unterscheiden sich nach Kategorie.
Besonders wichtige Einrichtungen. Nach § 61 Abs. 1 BSIG kann das BSI anordnen, Audits, Prüfungen oder Zertifizierungen durch unabhängige Stellen durchführen zu lassen — bezogen auf die Pflichten nach den §§ 30, 31, 32 und § 38 Abs. 3 BSIG [K12-7].
Wichtige Einrichtungen. Hier braucht die Aufsicht einen Anlass [K12-7]:
„Rechtfertigen Tatsachen die Annahme, dass eine wichtige Einrichtung Verpflichtungen nach § 30 Absatz 1 Satz 1, § 32 Absatz 1 bis 3 und § 38 Absatz 3 nicht oder nicht richtig umsetzt, so kann das Bundesamt deren Einhaltung überprüfen und Maßnahmen nach § 61 treffen.” (§ 62 BSIG)
Liegt ein solcher Anlass vor, stehen dieselben Mittel zur Verfügung.
Die Drei-Jahres-Sperre des § 61 Abs. 3 BSIG
Wenig bekannt und für die Planung erheblich: Gegenüber besonders wichtigen Einrichtungen, bei denen kein konkreter Anlass besteht, kann das BSI die Vorlage von Nachweisen erst „frühestens drei Jahre nach Inkrafttreten dieses Gesetzes” anordnen [K12-7] — also frühestens ab Dezember 2028.
Was diese Frist nicht bedeutet. Sie verschiebt die Nachweisanordnung, nicht die Pflicht. Die Maßnahmen des § 30 BSIG gelten seit Dezember 2025, die Registrierungsfrist ist abgelaufen, und für Betreiber kritischer Anlagen gilt die Sperre nicht — sie müssen unaufgefordert nachweisen (Abschnitt 12.3). Anlassbezogene Anordnungen nach § 61 Abs. 1 BSIG sind ebenfalls jederzeit möglich. — Einschätzung des Autors.
Einschätzung des Autors. Für Träger heißt das nicht, dass wichtige Einrichtungen unbehelligt bleiben. Anlässe entstehen aus Meldungen Dritter, aus Vorfällen bei Dienstleistern und aus dem schlichten Abgleich der Registrierungsliste.
12.6 Persönliche Haftung
Neben den Bußgeldern gegen die Einrichtung steht die Haftung der Geschäftsleitung nach § 38 Abs. 2 BSIG. Sie ist in Kapitel 9.8 dargestellt — einschließlich der vier Punkte, die sie erheblich relativieren: Es ist Innenhaftung gegenüber der eigenen Einrichtung, sie ist nicht neu, Verzicht und Vergleich sind zulässig, und jemand muss sie geltend machen.
Zwei Punkte gehören in dieses Kapitel:
Der Maßstab hat sich verschärft, nicht die Haftung. § 38 Abs. 1 BSIG benennt erstmals ausdrücklich, was von der Geschäftsleitung im Bereich IT-Sicherheit verlangt wird — umsetzen und überwachen. Wer die Lage beurteilt, Maßnahmen veranlasst, Mittel bereitgestellt und die Umsetzung überwacht hat, steht deshalb anders da als jemand, der nichts dokumentiert hat.
Die Schulungspflicht ist nicht delegierbar. Sie trifft die Mitglieder der Geschäftsleitung persönlich (Kapitel 9.9). Eine unterlassene Schulung ist damit ein Umstand, der im Haftungsfall gegen die Geschäftsleitung spricht — unabhängig davon, ob sie gesondert sanktioniert wird.
12.7 Was jetzt zu tun ist
Für Träger, die feststellen, dass Fristen verstrichen sind:
- Registrierung unverzüglich nachholen. Das ist die einzige Pflicht, deren Versäumnis von außen sofort erkennbar ist.
- Das Datum der eigenen Feststellung dokumentieren. Wer nachweisen kann, wann er die Betroffenheit erkannt und wie schnell er reagiert hat, steht besser da als jemand ohne Zeitschiene.
- Meldewege einrichten, bevor der erste Vorfall eintritt. Die 24-Stunden-Frist läuft ab Kenntnis einzelner Mitarbeitender (Kapitel 9.6) — ohne internen Meldeweg ist sie nicht einzuhalten.
- Die Governance-Dokumentation aufbauen. Sie ist der Entlastungsnachweis für die Geschäftsleitung.
Stand. Rechtslage zum 2. August 2026. Die Registrierungszahlen geben den Stichtag 2. April 2026 wieder; eine aktualisierte Statistik war zum Redaktionsschluss angekündigt, aber nicht veröffentlicht.
13. Praktischer Leitfaden
Die vorangegangenen Kapitel haben beschrieben, was gilt. Dieses beschreibt, was zu tun ist — in der Reihenfolge, in der es sinnvoll ist.
Eine Vorbemerkung zur Reihenfolge: Die Fassung vom Februar 2026 stellte die Entscheidung über das Sicherheitsframework an das Ende eines 90-Tage-Fahrplans. Eine fachliche Rückmeldung hat darauf hingewiesen, dass das die Praxis auf den Kopf stellt — zuerst kommt die Bestandsaufnahme, dann die Entscheidung über den Rahmen, dann alles Weitere. Der Hinweis ist berechtigt, und dieses Kapitel folgt ihm.
13.1 Sofort: Registrierung
Die Registrierungsfrist ist abgelaufen (Kapitel 12.2). Wer noch nicht registriert ist, holt das als Erstes nach.
Das Verfahren ist zweistufig [K13-1]:
- Anmeldung bei „Mein Unternehmenskonto” (MUK) — dem Nutzerkonto für Organisationen nach dem Onlinezugangsgesetz, technisch auf ELSTER aufgebaut. Benötigt wird ein ELSTER-Organisationszertifikat. Wer bereits eines für steuerliche Zwecke hat, kann es verwenden.
- Registrierung im BSI-Portal unter
portal.bsi.bund.de.
Was bereitzuhalten ist:
| Angabe | Hinweis |
|---|---|
| Einrichtungsart nach Anlage 1 oder 2 BSIG | ergibt sich aus Kapitel 6 |
| Kategorie: besonders wichtig oder wichtig | ergibt sich aus Kapitel 5 |
| NACE-Code | identisch mit der WZ-Nummer nach der Klassifikation der Wirtschaftszweige 2008 [K13-2] |
| Kontaktstelle mit Telefon und E-Mail | muss erreichbar sein; Qualifikationsvorgaben macht das Gesetz nicht |
| öffentliche, statische IP-Adressen und Netzbereiche | in CIDR-Notation; keine dynamischen Adressen, kein Shared Hosting [K13-3] |
| bei Trägern mit mehreren Gesellschaften | jede betroffene juristische Person gesondert |
Für Komplexträger. Die Wahl des NACE-Codes ist bei gemischtem Leistungsspektrum keine Formalie — sie wirkt auf die Einordnung zurück (Kapitel 5). Wer unsicher ist, dokumentiert die Begründung seiner Wahl.
KRITIS-Betreiber registrieren doppelt. Aus der Festlegung des BSI nach § 33 Abs. 6 BSIG ergibt sich, dass die Registrierung als besonders wichtige Einrichtung die Registrierung als Betreiber einer kritischen Anlage nicht ersetzt (Kapitel 9.4) [K13-4].
Änderungen binnen zwei Wochen melden (§ 33 Abs. 5 BSIG). In der Praxis betrifft das vor allem Wechsel der Kontaktperson und der IP-Bereiche. Es lohnt sich, dafür eine Zuständigkeit zu benennen — sonst fällt es niemandem auf.
13.2 Sofort: Meldewege einrichten
Der zweite Schritt duldet ebenfalls keinen Aufschub, weil er vor dem ersten Vorfall stehen muss.
Die 24-Stunden-Frist läuft ab Kenntniserlangung, und das stellt bereits auf die Kenntnis einzelner Mitarbeitender innerhalb der Arbeitszeit ab (Kapitel 9.6) [K13-5]. Für Einrichtungen mit Schichtbetrieb heißt das: Der Meldeweg muss nachts und am Wochenende funktionieren.
Was einzurichten ist:
- Ein interner Meldeweg, auf dem eine Wahrnehmung an jedem Tag und zu jeder Stunde binnen weniger Stunden bei der meldeberechtigten Stelle ankommt. Das ist eine Frage der Dienstanweisung, nicht der Technik.
- Eine klare Meldeberechtigung. Wer darf im Namen der Einrichtung an das BSI melden — und wer entscheidet, wenn diese Person nicht erreichbar ist?
- Zugang zum BSI-Portal für mindestens zwei Personen.
- Eine Vorlage für die Erstmeldung. Der Maßstab ist „Schnelligkeit vor Vollständigkeit” [K13-5]; die Erstmeldung soll nicht auf Klärung warten.
- Schulung der Schichtleitungen, woran ein meldepflichtiger Vorfall zu erkennen ist und was dann zu tun ist.
Ein häufiger Fehler. Viele Träger richten den Meldeweg zum BSI ein und übersehen den Weg von der Nachtwache zur IT-Leitung. Der zweite ist der kritischere: Die Behörde ist rund um die Uhr erreichbar, die eigene Rufbereitschaft oft nicht.
13.3 Zuerst: Gap-Analyse und Rahmenentscheidung
Bevor Maßnahmen beginnen, braucht es zwei Dinge — und beide gehören an den Anfang, nicht in den Verlauf.
Die Gap-Analyse stellt fest, wo die Einrichtung heute steht. Sie geht die zehn Maßnahmenbereiche des § 30 Abs. 2 BSIG durch (Kapitel 9.2) und hält für jeden fest, was vorhanden, was teilweise vorhanden und was nicht vorhanden ist.
Die Rahmenentscheidung legt fest, an welchem Standard sich die Umsetzung orientiert. Sie bestimmt Struktur, Dokumentationsform und Prüfbarkeit aller weiteren Schritte — und lässt sich später nur mit erheblichem Aufwand ändern.
Warum in dieser Reihenfolge. Ohne Gap-Analyse fehlt die Grundlage für die Rahmenentscheidung; ohne Rahmenentscheidung entstehen Dokumente, die später umgeschrieben werden müssen. Beides gehört in dieselbe frühe Phase, und die Gap-Analyse kommt zuerst.
13.4 Die Wahl des Rahmens
Vier Wege kommen in Betracht. Keiner ist verpflichtend — auch der IT-Grundschutz nicht [K13-6] —, und keiner genügt für sich allein als Nachweis der Erfüllung des § 30 BSIG (Kapitel 9.2).
| Rahmen | Eignung | Anmerkung |
|---|---|---|
| B3S Krankenhaus | Krankenhausträger | Branchenspezifisch, Eignung durch das BSI festgestellt; Fassung 1.3.1 gültig bis November 2028 [K13-7] |
| BSI IT-Grundschutz | mittlere und große Träger | Sehr umfangreich, aber vollständig und behördlich verankert; das BSI stellt Schulungen kostenfrei bereit |
| ISO/IEC 27001 | Träger mit internationalen Bezügen oder Zertifizierungsbedarf | Zertifizierbar, aber allein kein Nachweis der NIS-2-Konformität [K13-8]; der praktische Umfang entsteht erst durch die ergänzende ISO/IEC 27002 mit dem Maßnahmenkatalog |
| CISIS12 | kleinere Träger als Einstieg | Zwölf Schritte, geringerer Aufwand |
Berichtigung gegenüber der Fassung vom Februar 2026. Dort wird der Umfang der ISO/IEC 27001 mit „ca. 100 Seiten Norm” angegeben und damit der Eindruck erweckt, die Norm enthalte den vollständigen Maßnahmenkatalog. Sie tut es nicht: Der Katalog steht in der ergänzenden ISO/IEC 27002. Wer nur die 27001 beschafft, hat die Maßnahmen noch nicht. Eine Seitenzahl nennen wir hier bewusst nicht — die Normen sind kostenpflichtig, und der Umfang schwankt mit Ausgabe und Sprachfassung [K13-8].
Und wichtiger als der Umfang: Eine Zertifizierung nach ISO/IEC 27001 genügt für sich genommen nicht. Das BSI nennt dafür zwei Gründe [K13-8]: Erstens legen Einrichtungen den Geltungsbereich ihres ISMS selbst fest — er kann sich auf einzelne Bereiche oder Standorte beschränken, während das BSIG die Umsetzung „für den gesamten relevanten Einrichtungsbetrieb” verlangt. Zweitens erlaubt die Norm neben der Risikoreduktion auch Risikoakzeptanz und Risikotransfer, während nach dem BSIG „ein pauschaler Risikotransfer oder eine generelle Risikoakzeptanz … ausgeschlossen” ist.
Ergänzend existieren die Standards VdS 10000 und 10100, die zwischen CISIS12 und ISO 27001 liegen. Sie sind für den hier behandelten Anwendungsfall keine naheliegende Wahl, sollen aber nicht unerwähnt bleiben.
13.5 Der 90-Tage-Fahrplan
Tage 1 bis 10 — was keinen Aufschub duldet
- Registrierung nachholen, falls noch nicht erfolgt (13.1)
- Internen Meldeweg einrichten (13.2)
- Verantwortliche Stelle für Informationssicherheit benennen — auch vorläufig
- Geschäftsleitung informieren: Pflichtenlage, Haftung, Schulungspflicht
Tage 11 bis 30 — Bestandsaufnahme
- Gap-Analyse über die zehn Maßnahmenbereiche des § 30 Abs. 2 BSIG
- Bestandsaufnahme der IT-Dienstleister und ihrer Zugänge — insbesondere permanenter Herstellerzugänge (Kapitel 3.5)
- Prüfung, ob eigene IT-Gesellschaften als Managed Service Provider einzuordnen sind (Kapitel 7.7)
Tage 31 bis 45 — Entscheidungen
- Rahmenentscheidung (13.4)
- Ressourcenentscheidung: eigene Stelle, externe Beauftragung oder Kooperation (Kapitel 10.5, 10.6)
- Refinanzierungsweg klären und Fristen der Kostenträgerverhandlungen prüfen (Kapitel 11)
Tage 46 bis 90 — Umsetzung beginnen
- Maßnahmen nach Priorität aus der Gap-Analyse angehen
- Schulung der Geschäftsleitung terminieren (13.7)
- Beschäftigtenschulung planen (13.8)
- Dokumentationsstruktur aufbauen — sie ist der Entlastungsnachweis (Kapitel 9.8)
- Erste Wirksamkeitsprüfung ansetzen
Der Plan ist ein Vorschlag, keine Rechtspflicht. Neunzig Tage sind keine gesetzliche Frist; das Gesetz kennt für die Umsetzung überhaupt keine Frist, sondern verlangt sie sofort (Kapitel 12.1). Der Plan ordnet, was ohnehin zu tun ist.
13.6 Reifegrad einschätzen
Die Abbildung ist eine Vorlage zum Ausfüllen, keine Darstellung erhobener Werte. Für den Sozial- und Gesundheitsbereich existiert kein belastbarer Reifegrad-Benchmark (Kapitel 10.8) — ein Vergleich mit Durchschnittswerten ist deshalb nicht möglich.
Der Nutzen liegt anderswo: Eine ausgefüllte Selbsteinschätzung, jährlich wiederholt, zeigt Entwicklung und dient zugleich als Dokumentation gegenüber der Geschäftsleitung und im Nachweisfall.
13.7 Die Schulung der Geschäftsleitung
Die Pflicht steht in § 38 Abs. 3 BSIG und ist nicht delegierbar (Kapitel 9.9). Sie trifft in der Regel mehrere Personen: alle, die nach § 2 Nr. 13 BSIG organschaftlich zur Führung der Geschäfte und zur Vertretung berufen sind — nicht dagegen Prokuristen, Bereichsleitungen oder Aufsichtsgremien (Kapitel 9.9). Bei Vereinen entscheidet die Satzung, ob die Pflicht den hauptamtlichen Geschäftsführer oder den Vorstand trifft.
Zum Turnus: Die Gesetzesbegründung nennt mindestens alle drei Jahre. Die Handreichung des BSI macht darüber hinaus keine feste Vorgabe zu Dauer und Intervall, sondern verlangt eine risikoangemessene Wahl — orientiert an der Risikoexposition der Einrichtung und den Vorkenntnissen der Geschäftsleitung. Empfohlen wird eine ausführliche Erstschulung mit regelmäßigen Folgeschulungen [K13-9].
Verbindlich ist die Dokumentation: lückenlos, mit Datum, Zeitraum und Inhalten.
Der Prüfmaßstab für Angebote ist die BSI-Checkliste, nicht der Werbetext des Anbieters. Die Handreichung ist ausdrücklich so aufgebaut, dass sich damit prüfen lässt, ob ein Angebot die abstrakten Vorgaben in konkrete Inhalte übersetzt.
Wo geschult werden kann
Eine kursierende Angabe, die nicht trägt. In Fachbeiträgen und Anbieterwerbung findet sich die Formel „mindestens vier Stunden in drei Jahren”. Die Vier-Stunden-Angabe steht nicht in der BSI-Handreichung. Wer ein Angebot allein danach auswählt, wählt nach einem Kriterium, das die Aufsichtsbehörde nicht aufgestellt hat.
Zur folgenden Übersicht. Sie nennt beispielhaft Anbieter, die zum Stand August 2026 ein ausdrücklich auf § 38 BSIG bezogenes Format für Geschäftsleitungen führen. Sie ist weder abschließend noch als Empfehlung zu verstehen. Aufgenommen wurden Anbieter, die entweder einen Schwerpunkt in der Sozial- und Gesundheitswirtschaft haben oder bundesweit branchenneutral tätig sind. Maßstab für die Eignung ist die Checkliste der BSI-Handreichung. Preise und Termine sind bewusst nicht genannt, weil sie veralten.
Zuerst im eigenen Verbund fragen. Bevor ein kommerzielles Angebot beauftragt wird, lohnt die Nachfrage bei den Strukturen, denen der Träger ohnehin angehört: Caritas-Netzwerk IT e. V., Diözesan-Caritasverband, Deutscher Caritasverband, Fortbildungswerke der verfassten Kirche, für Krankenhausträger die Landeskrankenhausgesellschaften. Diese Wege sind in der Regel günstiger und näher an der Trägerwirklichkeit.
Anbieter mit Schwerpunkt Sozial- und Gesundheitswirtschaft [K13-10]:
| Anbieter | Format |
|---|---|
| Althammer & Kill | NIS-2-Management-Pflichtschulung |
| CURACON | NIS-2-Schulung für Geschäftsführungen |
| Solidaris | Fachpublikationen zur Schulungspflicht; eigenes Seminarformat nicht verifiziert |
Branchenneutrale Anbieter [K13-10]: Bitkom Akademie, Haufe Akademie, TÜV-Akademie, Fraunhofer (Lernlabor Cybersicherheit), ASW Baden-Württemberg.
Kostenfreie Formate. Das BSI führt in unregelmäßigen Abständen Webinare zu NIS-2 durch [K13-11]. Sie ersetzen eine Schulung nach § 38 Abs. 3 BSIG nicht ohne Weiteres, können aber Bestandteil sein.
13.8 Die Schulung der Beschäftigten
Eine andere Pflicht, die regelmäßig mit der vorigen verwechselt wird: § 30 Abs. 2 Nr. 7 BSIG verlangt „grundlegende Schulungen und Sensibilisierungsmaßnahmen im Bereich der Sicherheit in der Informationstechnik” für die Beschäftigten (Kapitel 9.9).
| § 38 Abs. 3 BSIG | § 30 Abs. 2 Nr. 7 BSIG | |
|---|---|---|
| Wer | Geschäftsleitung persönlich | Beschäftigte |
| Delegierbar | nein | ja |
| Typisches Format | Fachseminar | E-Learning-Programm |
Eine Awareness-Plattform erfüllt § 38 Abs. 3 nicht; ein Geschäftsleitungsseminar erfüllt § 30 Abs. 2 Nr. 7 nicht. Träger brauchen beides. Die Vermengung beider Pflichten ist in der Anbieterwerbung verbreitet und führt zu einem Compliance-Gefühl ohne Compliance.
Für die Beschäftigtenschulung stellt das BSI Material bereit; die Gesetzesbegründung geht ausdrücklich davon aus, dass „überwiegend auf kostenfreie Angebote, die es bereits heute gibt” zurückgegriffen werden kann [K13-12]. Kommerzielle Awareness-Plattformen — etwa SoSafe — bieten hier Programme mit Nachweisfunktion; ein Format für die Geschäftsleitungsschulung nach § 38 Abs. 3 BSIG ließ sich für sie nicht belegen [K13-10].
13.9 B3S Krankenhaus
Für Krankenhausträger ist der branchenspezifische Sicherheitsstandard der naheliegende Rahmen. Herausgeberin ist die Deutsche Krankenhausgesellschaft; die aktuelle Fassung 1.3.1 trägt den Stand 6. Januar 2026 [K13-7].
Sein Vorteil: Die Eignung ist durch das BSI festgestellt (§ 30 Abs. 8 BSIG), was den Nachweis nach § 39 BSIG erheblich erleichtert. Er ersetzt die eigene Prüfung nach § 30 BSIG nicht automatisch (Kapitel 9.10).
Die Befristung im Blick behalten. Das BSI hat die Eignung am 3. November 2025 festgestellt und dabei ausdrücklich auf drei Jahre befristet — die Geltung endet damit im November 2028 [K13-7]. Eine Feinheit gehört dazu: Die Feststellung erging für die Fassung 1.3; die 1.3.1 ist eine redaktionelle, mit dem BSI abgestimmte Überarbeitung, keine neue Eignungsfeststellung. Wer den B3S als Nachweisgrundlage einsetzt, sollte den Ablauf der Befristung terminieren und die Nachfolgefassung nicht erst kurz vorher prüfen.
Praxishinweis. Die zum B3S gehörenden Prüfhilfen werden von vielen Trägern als separates Instrument geführt und dann nicht gepflegt. Sinnvoller ist, die Anforderungen in das eigene Managementsystem zu überführen, statt eine Parallelstruktur zu unterhalten. — Einschätzung des Autors.
13.10 Ressourcen
| Was | Wo | Wofür |
|---|---|---|
| NIS-2-Betroffenheitsprüfung des BSI | betroffenheitspruefung-nis-2.bsi.de | unverbindliche Hilfe, keine verbindliche Auskunft (Kapitel 5.5) |
| BSI-Portal | Registrierungspflicht | Registrierung und Meldungen |
| BSI-FAQ, allgemein | FAQ zu NIS-2 | die wichtigste öffentliche Quelle zur Verwaltungsauffassung |
| BSI-FAQ, sektorspezifisch | Sektorspezifische FAQ | Auslegung je Sektor, für das Gesundheitswesen einschlägig |
| Infopaket Gesundheitswesen | NIS-2 Gesundheit | Einstieg für Krankenhäuser und Gesundheitsdienstleister |
| Infopaket Lieferkette | NIS-2 Lieferkette | Anforderungen an Dienstleister (Kapitel 8) |
| Infopaket Meldepflicht | NIS-2 Meldepflichten | Fristen und Meldewege (Kapitel 9.5) |
| Infopaket ISO 27001 | NIS-2 und ISO 27001 | Verhältnis von Zertifizierung und BSIG (Kapitel 13.4) |
| Handreichung Geschäftsleitungsschulung | PDF beim BSI | Prüfmaßstab für Schulungsangebote (Kapitel 13.7) |
| Grundschutz-Checkliste Lieferkette | PDF beim BSI | Fragenkatalog für Dienstleistergespräche |
| NIS-2 in Zahlen | Statistik des BSI | Registrierungsstand, Aufsichtspraxis (Kapitel 12.6) |
| Caritas-Netzwerk IT e. V. | caritas-netzwerk-it.de | Erfahrungsaustausch, Cyber-Feuerwehr — siehe Anhang B |
Alle Verweise sind zum 2. August 2026 geprüft. Webadressen ändern sich; die vollständigen Fundstellen mit Abrufdatum stehen im Belegdokument. Das BSI schreibt seine Seiten ohne Änderungshistorie fort — wer sich auf eine Aussage stützt, sollte sie mit Datum festhalten.
13.11 Wenn die Zeit knapp ist: sechs Sofortmaßnahmen
Für Träger, die feststellen, dass sie spät dran sind — in dieser Reihenfolge:
- Registrieren. Die einzige Pflicht, deren Verletzung von außen sofort erkennbar ist.
- Internen Meldeweg festlegen, schriftlich, mit Erreichbarkeit rund um die Uhr.
- Verantwortliche Stelle benennen — auch vorläufig und auch in Teilzeit.
- Geschäftsleitung informieren und die Schulung terminieren. Die Haftung ist persönlich, die Schulungspflicht nicht delegierbar.
- Herstellerzugänge erfassen. Permanente Fernzugänge sind die am häufigsten übersehene Angriffsfläche (Kapitel 3.5).
- Backups auf Wiederherstellbarkeit prüfen — nicht auf Vorhandensein. Die Wiederherstellbarkeit selbst ist inzwischen Angriffsziel (Kapitel 3).
Diese sechs Punkte ersetzen keine Umsetzung. Sie stellen sicher, dass die dringendsten Lücken geschlossen sind, während der Rest aufgebaut wird. — Einschätzung des Autors.
Stand. Rechtslage und Verweise zum 2. August 2026. Die Anbieterübersicht in 13.7 gibt den Recherchestand desselben Tages wieder und erhebt keinen Anspruch auf Vollständigkeit.
14. IT- und Digitalisierungsrefinanzierung: politischer Druck ist notwendig
Die vorangegangenen Kapitel haben beschrieben, was gilt und was zu tun ist. Dieses Kapitel beschreibt, was sich ändern muss.
Zur Einordnung dieses Kapitels. Es enthält Forderungen und Bewertungen und ist damit anderer Art als die übrigen. Tatsachenbehauptungen sind wie überall im Dokument belegt; Bewertungen und Forderungen sind als solche gekennzeichnet. Dieses Dokument wird vom Caritas-Netzwerk IT e. V. herausgegeben, der an dem in Abschnitt 14.5 wiedergegebenen Forderungskatalog beteiligt ist — der Herausgeber berichtet hier also auch über die eigene Position.
14.1 Die Gesetzeswand
Träger der Freien Wohlfahrtspflege stehen nicht vor einer Anforderung, sondern vor mehreren, die sich überlagern: NIS-2 und BSIG, Anbindung an die Telematikinfrastruktur, Vorgaben aus dem SGB V, Datenschutz, Barrierefreiheit, Dokumentationspflichten. Jede für sich ist begründbar. In der Summe entsteht ein Aufwand, für den kein Finanzierungsweg mitgeliefert wurde.
Ein Beispiel für die Richtung, in die sich das entwickelt, liefert die ambulante Pflege. Die Vereinbarung nach § 105 Abs. 2 Satz 2 SGB XI über die Abrechnung ambulanter Pflegesachleistungen setzt eine Frist, die inzwischen nah ist [K14-1]:
„Für einen Übergangszeitraum von zwei Jahren […] (bis 30.11.2026) ist ersatzweise eine papiergebundene Übermittlung rechnungsbegründender Unterlagen in Verbindung mit der elektronischen Übermittlung der Abrechnungsdaten außerhalb der TI […] möglich.” · „Ab 01.12.2026 erfolgt die Abrechnung ausschließlich innerhalb der TI in vollelektronischer Form.”
Wer bis dahin nicht angebunden ist und das KIM-Verfahren nicht beherrscht, kann seine Leistungen nicht mehr abrechnen — die IT-Anbindung wird damit von einer Ordnungspflicht zur Voraussetzung des Zahlungseingangs.
Eine Berichtigung in eigener Sache. In der Vorbereitung dieses Dokuments kursierte die Angabe, zum 1. Dezember 2026 entfalle die TI-Pauschale. Das trifft nicht zu. Weder § 106b SGB XI noch die Finanzierungsvereinbarung enthalten eine Befristung; beide ordnen im Gegenteil an, dass die bestehende Vereinbarung „bis zum Abschluss einer neuen Vereinbarung fort[gilt]“. Die Pauschale wird sogar jährlich zum 1. Januar an den Punktwert nach § 87 Abs. 2e SGB V angepasst und ist damit gestiegen [K14-1]. Verwechselt worden waren zwei Dinge: das Ende der Papier-Übergangsfrist und ein Auslaufen der Finanzierung.
Der Befund bleibt trotzdem bestehen, er liegt nur anders: Die Anbindungspflicht wird verschärft, ohne dass die Refinanzierung mitwächst. Und für die NIS-2-Pflichten, um die es in diesem Dokument geht, gibt es überhaupt keine Pauschale.
14.2 Für NIS-2 ist keine Förderung vorgesehen — amtlich festgestellt
Das ist keine Klage eines Verbandes, sondern die Auskunft der zuständigen Aufsichtsbehörde. Auf die Frage „Wird es eine finanzielle Förderung seitens des Bundes zur NIS-2-Umsetzung in Unternehmen geben?” antwortet das BSI in seiner NIS-2-FAQ in einem Satz [K14-2]:
„Eine finanzielle Förderung zur Umsetzung der Vorgaben des NIS-2-Umsetzungsgesetzes ist seitens des Bundes derzeit nicht vorgesehen.”
Damit steht fest, was sonst umstritten wäre: Der Gesetzgeber hat Pflichten geschaffen und ihre Finanzierung nicht geregelt.
Für sich selbst hat der Bund dagegen gerechnet. Die Beschlussempfehlung zum NIS-2-Umsetzungsgesetz weist für den Bundeshaushalt einmalige Ausgaben von rund 59 Mio. Euro und bis 2029 durchschnittlich rund 212 Mio. Euro jährlich aus — „beides in Summe 906 Millionen Euro bis 2029”. Den Sozialversicherungsträgern werden 16,6 Mio. Euro jährlich zugerechnet. Und für Länder und Kommunen heißt es knapp: „Mehrausgaben für Länder und Kommunen entstehen nicht.” [K10-2]
Dem stehen die 2,3 Milliarden Euro jährlich gegenüber, die dieselbe Drucksache als Erfüllungsaufwand der Wirtschaft beziffert (Kapitel 10.1). Der Bund hat die Kosten also gesehen und für den eigenen Apparat eingeplant — für die Einrichtungen, die den größeren Teil tragen, ist keine Förderung vorgesehen. Wer in einer Kostenträgerverhandlung darauf verwiesen wird, es gebe ja Förderprogramme, kann diese Auskunft entgegenhalten.
Für das Sofortprogramm Cybersicherheit des Bundesgesundheitsministeriums werden in Verbandsmitteilungen und Fachpresse Größenordnungen „bis zu 1,8 Milliarden Euro” genannt [K14-3]. Diese Zahl stammt aus einer Vergabebekanntmachung und bezieht sich auf das Gesamtprogramm über die Laufzeit; sie ist mit dem Haushaltsansatz für 2026 nicht kongruent, und Förderaufrufe waren zum Redaktionsschluss dieses Dokuments nicht veröffentlicht. Die Größenordnung ist zudem auf den Krankenhausbereich zugeschnitten — Pflege und kleinere Träger erreicht sie nicht.
14.3 Die Investitionslücke
Für den Krankenhausbereich ist die Lücke beziffert. Die Deutsche Krankenhausgesellschaft stellt in ihrer Bestandsaufnahme 2025 für dasselbe Jahr 2023 gegenüber [K14-4]:
„Vergleicht man den ermittelten Investitionsbedarf für 2023 in Höhe von 6,52 Milliarden Euro mit den tatsächlich im gleichen Jahr geleisteten KHG-Förderungen in Höhe von 3,89 Milliarden Euro, ergibt sich eine Differenz von über 2,64 Milliarden Euro, was prozentual etwa 41 % entspricht.”
Der Vergleich ist also jahresgleich und damit methodisch belastbar. Zwei weitere Zahlen derselben Erhebung ordnen ihn ein: Für 2024 stellten die Länder rund 4,24 Mrd. Euro zur Investitionsförderung nach § 9 KHG bereit — nominal etwas mehr, real aber ein Wertverlust von rund 39,5 Prozent gegenüber 1991. Und der bestandserhaltende Investitionsbedarf steigt weiter: für 2025 beziffert ihn die DKG auf 6,91 Mrd. Euro [K14-4].
Für Pflege, Eingliederungshilfe und Jugendhilfe existiert keine vergleichbare Erhebung. Das ist selbst ein Befund: Wo nicht gemessen wird, lässt sich der Bedarf auch nicht geltend machen.
14.4 Warum das Argument im Sozialbereich anders liegt
An dieser Stelle ist ein Einwand ernst zu nehmen, der aus der Fachöffentlichkeit an die Version 1.0 herangetragen wurde: Die Position „die Politik ordnet an und muss dann auch zahlen” lasse sich nur im sozialen Bereich vertreten. Im Privatbereich zahle einem auch niemand, was man von Gesetzes wegen tun müsse.
Der Einwand trifft einen wunden Punkt — aber er übersieht den entscheidenden Unterschied.
Ein Privatunternehmen kann Compliance-Kosten einpreisen. Ein Sozialleistungserbringer kann das nicht.
Das ist keine Behauptung, sondern folgt aus dem Vergütungsrecht (Kapitel 11.1):
| Bereich | Deckel |
|---|---|
| Krankenhaus | Veränderungswert nach § 10 Abs. 4 KHEntgG — Ausnahmen für Tarif, nicht für IT-Sicherheit |
| Pflege | Beitragssatzstabilität, § 84 Abs. 2 SGB XI |
| Eingliederungshilfe | unteres Drittel des externen Vergleichs, § 124 Abs. 1 S. 3 SGB IX |
| Jugendhilfe | Zustimmungsvorbehalt, § 78c Abs. 2 SGB VIII |
Und schärfer noch: § 124 Abs. 1 Satz 6 SGB IX schützt tarifliche und kirchliche Vergütungen ausdrücklich vor der Einstufung als unwirtschaftlich. Für Sachkosten gibt es keine solche Norm. Der Gesetzgeber hat für Personalkosten vorgesorgt und für gesetzlich erzwungene Sachkosten nicht.
Bewertung. Damit ist die Forderung nach Refinanzierung keine Bitte um Sonderbehandlung, sondern der Hinweis auf eine Regelungslücke. Ein Handwerksbetrieb kann auf einen gesetzlich erzwungenen Kostenblock mit seiner Preisliste reagieren; ein Pflegeheim mit verhandeltem Pflegesatz kann es nicht. Wer beide gleich behandelt, behandelt Ungleiches gleich.
14.5 Was gefordert wird
Im Juli 2026 haben der Deutsche Caritasverband, die Diakonie Deutschland, das Caritas-Netzwerk IT e. V., der Verband diakonischer Dienstgeber sowie Caritas- und Diakonieverbände aus Baden-Württemberg einen gemeinsamen Fünf-Punkte-Forderungskatalog vorgelegt [K14-5]. Kernanliegen: Cybersicherheit als betriebsnotwendige Leistung anzuerkennen und dauerhaft in der Regelfinanzierung zu verankern.
1. Regulierung praxisgerecht ausgestalten
„Die nationale Umsetzung von NIS-2 muss praxisnah weiterentwickelt werden — mit klareren Betroffenheitskriterien, ohne das Schutzniveau abzusenken.”
Die Forderung deckt sich mit einer Feststellung des Nationalen Normenkontrollrats, der die unbestimmten Rechtsbegriffe bemängelt und eine „zeitnahe rechtliche Präzisierung” empfiehlt (Kapitel 10.8). Kapitel 6.4 dieses Dokuments zeigt am Beispiel der ambulanten Pflege, was fehlende Klarheit praktisch bedeutet.
2. Klare Zuständigkeiten schaffen
„Die Freie Wohlfahrtspflege benötigt auf Bundesebene eine verbindliche, ressortübergreifend abgestimmte Anlaufstelle für Cybersicherheit.”
3. IT-Sicherheit in der Regelfinanzierung verankern
„IT-Sicherheit muss als betriebsnotwendige Vorhalteleistung transparent in regulären Finanzierungssystemen — in Leistungsentgelten, Pflegesätzen, Zuwendungen sowie Sozialgesetzbüchern — berücksichtigt werden.”
Das ist die zentrale Forderung, und sie zielt genau auf die in Abschnitt 14.4 beschriebene Lücke.
4. Ein Förderprogramm für Pflege und Soziales auflegen
„Ein Investitionsprogramm für Cybersicherheit analog zum Krankenhauszukunftsgesetz, ausdrücklich einschließlich Pflegeeinrichtungen und kleinerer Träger außerhalb der NIS-2-Regelung.”
Der Zusatz „außerhalb der NIS-2-Regelung” ist bedeutsam. Wie Kapitel 11.6 zeigt, laufen die Schwellen von Regulierung und Förderung gegeneinander: Wer reguliert ist, ist für Mittelstandsprogramme oft zu groß; wer klein genug für die Förderung ist, fällt nicht unter die Pflicht — braucht die Sicherheit aber genauso.
5. Gemeinsame, souveräne Strukturen ermöglichen
„Rechtliche und finanzielle Unterstützung für kooperative IT-Dienste und souveräne Betreiberlösungen der Freien Wohlfahrtspflege.”
Auch hier gibt es einen konkreten Anknüpfungspunkt im geltenden Recht: Wer IT-Sicherheitsleistungen für andere Träger erbringt, wird dadurch möglicherweise selbst zum Managed Service Provider mit eigenen Pflichten (Kapitel 7.7, 10.6). Kooperation, die politisch gewollt ist, wird dadurch regulatorisch verteuert.
14.6 Was die Träger selbst tun können
Forderungen an die Politik ersetzen kein eigenes Handeln. Drei Ansatzpunkte ergeben sich aus den vorangegangenen Kapiteln.
Kosten sichtbar machen. Was nicht beziffert wird, wird nicht verhandelt. Die amtliche Schätzung des Gesetzgebers — rund 215.000 Euro laufend je besonders wichtiger Einrichtung (Kapitel 10.2) — ist ein belastbarer Ausgangspunkt, weil sie nicht vom Träger stammt.
Gemeinsam auftreten. Einzelne Träger, die in Pflegesatzverhandlungen IT-Sicherheitskosten geltend machen, verlassen das untere Drittel des externen Vergleichs. Tun es viele gleichzeitig, verschiebt sich der Vergleichsmaßstab. Das ist kein Kartell, sondern die Konsequenz aus § 124 Abs. 1 SGB IX.
Anforderungen an Hersteller bündeln. Das BSI begrüßt ausdrücklich einheitliche Fragenkataloge für Lieferanten (Kapitel 8.6). Die Untersuchungen zu Pflegedokumentations- und Praxisverwaltungssystemen (Kapitel 3.5) zeigen, dass der Bedarf besteht. Ein gemeinsamer Anforderungskatalog der Freien Wohlfahrtspflege gegenüber den Herstellern von Fachanwendungen wäre ein Hebel, den kein einzelner Träger hat.
Bewertung. Der dritte Punkt scheint der aussichtsreichste. Er kostet wenig, braucht keine Gesetzesänderung, und die Aufsichtsbehörde hat ihn ausdrücklich begrüßt. Er setzt zudem an der Stelle an, an der die Untersuchungen des BSI die größten Defizite gefunden haben — nicht bei den Trägern, sondern bei den Produkten, die sie einsetzen müssen.
14.7 Warum das dringlich ist
Kapitel 3 hat beschrieben, wie sich die Bedrohungslage verschoben hat: Die mittlere Zeit bis zur Ausnutzung einer Schwachstelle liegt inzwischen vor der Verfügbarkeit des Patches, und das BSI bezeichnet „wenige Tage” ausdrücklich als keine angemessene Reaktionsgeschwindigkeit mehr.
Die Betriebsgrenzen der Verteidigung — Testaufwand, Freigabeprozesse, Wartungsfenster, Herstellerabhängigkeiten, begrenzte personelle Kapazitäten — hat dieselbe Behörde benannt. Sie lassen sich nicht durch Anstrengung überwinden, sondern nur durch Ressourcen.
Bewertung. Damit ist die Refinanzierungsfrage keine Verteilungsfrage mehr, sondern eine Frage der Versorgungssicherheit. Ein Träger, der die geforderten Reaktionszeiten mit vorhandenem Personal nicht erreichen kann, wird sie auch mit gutem Willen nicht erreichen. Das ist der Punkt, an dem die politische Forderung und der Auftrag dieses Dokuments zusammenfallen: Beide zielen darauf, dass Einrichtungen ihre Versorgungsaufgabe auch dann erfüllen können, wenn sie angegriffen werden.
Stand. Rechtslage und Verbandspositionen zum 2. August 2026. Der Fünf-Punkte-Katalog datiert vom Juli 2026. Zum Sofortprogramm des Bundesgesundheitsministeriums waren zum Redaktionsschluss keine Förderaufrufe veröffentlicht.
Anhang A — Quellen
A.1 Wie Sie eine Aussage nachschlagen
Hinter belegbedürftigen Aussagen dieses Dokuments steht ein Verweis in eckigen Klammern, etwa [K9-15]. Der Verweis ist anklickbar und führt direkt zur Primärquelle.
Für 103 der 144 Belege ist eine Adresse hinterlegt. Wo keine steht, hat die Quelle keine — das betrifft Einschätzungen, nicht öffentliche Unterlagen und Angaben aus Erhebungen, die nur auf Anfrage vorliegen.
Darüber hinaus verweist die Kennung auf das Begleitdokument „NIS-2 und die Caritas — Belege”, das zu jeder der 144 belegten Aussagen angibt:
- die stabile Kennung — Fundstelle im Bundesgesetzblatt, Drucksachennummer oder CELEX-Nummer, also das, was die Quelle unabhängig von ihrer Internetadresse bezeichnet,
- die Fassung, bei Normen zwingend,
- Quelle und Abrufdatum,
- eine Archivfassung mit Prüfsumme,
- ein Kernzitat im Wortlaut.
Warum dieser Aufwand? Normen ändern sich bei gleichbleibender Adresse. Behördenseiten werden ohne Änderungshistorie fortgeschrieben. Und Verweise verfallen: Von den 144 Verweisen der Vorfassung waren neun Monate später neun tot und 24 umgeleitet. Ein Kernzitat mit Fundstelle überlebt das.
Dieser Anhang führt die Rechtsgrundlagen und die tragenden Institutionenquellen. Er ersetzt das Begleitdokument nicht, sondern erlaubt es, die Normenkette auch ohne dieses nachzuvollziehen.
Alle Internetquellen wurden am 2. August 2026 abgerufen.
A.2 Europäisches Recht
| Rechtsakt | Kennung | Bedeutung für dieses Dokument |
|---|---|---|
| Richtlinie (EU) 2022/2555 — NIS-2-Richtlinie | CELEX 32022L2555 | Grundlage des gesamten Regelwerks; Art. 2 Abs. 1 UAbs. 2 zum Anwendungsbereich |
| Empfehlung 2003/361/EG — KMU-Definition | CELEX 32003H0361 | Art. 3 Abs. 3 und Art. 5 des Anhangs: Verbundene Unternehmen und Jahresarbeitseinheiten — maßgeblich für die Größenschwellen (Kapitel 5, 7) |
| Durchführungsverordnung (EU) 2024/2690 | CELEX 32024R2690 | technische und methodische Anforderungen für digitale Dienste |
| Richtlinie 2011/24/EU — Patientenmobilität | CELEX 32011L0024 | Art. 1 Abs. 3 Buchst. a und Art. 3 Buchst. g: Begriff des Gesundheitsdienstleisters, auf den das BSIG verweist (Kapitel 6) |
| COM(2026) 13 vom 20.1.2026 | CELEX 52026PC0013 | Vorschlag zur Änderung — Entwurfsstand, noch nicht geltendes Recht (Kapitel 2) |
Volltexte über EUR-Lex: https://eur-lex.europa.eu — mit der CELEX-Nummer direkt adressierbar.
A.3 Bundesrecht — die tragenden Normen
BSI-Gesetz (BSIG)
Fundstelle: BGBl. 2025 I Nr. 301 · In Kraft: 6. Dezember 2025, ohne Übergangsfrist · Volltext: https://www.gesetze-im-internet.de/bsig_2025/
| Norm | Gegenstand | Kapitel |
|---|---|---|
| § 2 Nr. 13, Nr. 26 | Begriffsbestimmungen | 2, 6 |
| § 5 Abs. 2 | Aufgaben des BSI | 9 |
| § 28 | Anwendungsbereich, Größenschwellen; Abs. 4: Zurechnung verbundener Unternehmen | 5, 7 |
| § 30 | Risikomanagementmaßnahmen — die zehn Pflichten; Abs. 2 Nr. 4: Lieferkette | 9, 11 |
| § 32 | Meldepflichten — 24 Stunden, 72 Stunden, Zwischenmeldung, ein Monat | 9 |
| § 33 | Registrierungspflicht; Abs. 5: Registrierung durch das BSI; Abs. 6: Festlegung | 9 |
| § 34 Abs. 1 i. V. m. § 60 Abs. 1 S. 1 | Nachweispflichten | 9, 12 |
| § 35 Abs. 2 | Unterrichtung der Empfänger | 9 |
| § 37 | Ausnahmen — kein Antragsverfahren | 5 |
| § 38 | Pflichten der Geschäftsleitung: Umsetzung, Überwachung, Schulung, Haftung | 9, 12 |
| § 39 Abs. 1, 3, 4 | Aufsichtsbefugnisse | 12 |
| §§ 61, 62 | Bußgeldvorschriften | 12 |
| § 65 | Bußgeldrahmen | 12 |
| § 66 | Übergangsvorschriften (neu gefasst durch das KRITIS-Dachgesetz) | 2, 12 |
| Anlage 1 | Sektoren besonders wichtiger Einrichtungen — Nr. 4: Gesundheitswesen | 6 |
| Anlage 2 | Sektoren wichtiger Einrichtungen | 6 |
KRITIS-Dachgesetz
Fundstelle: BGBl. 2026 I Nr. 66 (Gesetz vom 11. März 2026) · In Kraft: 17. März 2026. Ändert unter anderem § 66 BSIG und begründet eine eigene Registrierungspflicht für Betreiber kritischer Anlagen (Kapitel 2.6, 9.4).
BSI-Kritisverordnung (BSI-KritisV)
Anhang 5 bestimmt die Schwellenwerte für kritische Anlagen im Gesundheitswesen (Kapitel 6). https://www.gesetze-im-internet.de/bsi-kritisv/
A.4 Angrenzendes Bundesrecht
Diese Normen entscheiden nicht über die Betroffenheit, sondern über die Refinanzierung und die Haftung — und damit über die Frage, wer die Umsetzung bezahlt.
Sozialrecht
| Norm | Gegenstand | Kapitel |
|---|---|---|
| § 391 SGB V | Telematikinfrastruktur | 14 |
| § 82 Abs. 2 Nr. 1, Abs. 3 und 4 SGB XI | Investitionskosten in der Pflege | 11 |
| §§ 84, 85 SGB XI (insb. § 85 Abs. 3) | Pflegesatzverfahren — „Art, Inhalt, Umfang und Kosten der Leistungen” | 11 |
| § 105 Abs. 2 und 3 SGB XI | Abrechnung; Abs. 2 S. 2: Papier-Übergangsfrist bis 30.11.2026 | 14 |
| § 106b Abs. 5 SGB XI | Fortgeltung der TI-Pauschale | 14 |
| §§ 123 ff., § 124 Abs. 1 S. 4 SGB IX | Vergütungsvereinbarung in der Eingliederungshilfe | 11 |
| § 78c, § 78c Abs. 2 SGB VIII | Entgeltvereinbarung in der Kinder- und Jugendhilfe | 11 |
| § 82 Abs. 1 S. 2, Abs. 6 Nr. 2 SGB III | Förderung der Weiterbildung | 10 |
Krankenhausrecht
| Norm | Gegenstand | Kapitel |
|---|---|---|
| § 9 KHG | Investitionsförderung der Länder | 11 |
| § 10 KHEntgG | Landesbasisfallwert, gedeckelt durch den Veränderungswert | 11 |
| § 3 KHTFV | Transformationsfonds — nur akzessorisch zu einem Strukturvorhaben | 11 |
| Krankenhausanpassungsgesetz | BGBl. 2026 I Nr. 98 | 11 |
Gesellschafts- und Vereinsrecht
| Norm | Gegenstand | Kapitel |
|---|---|---|
| § 43 GmbHG | Sorgfaltspflicht des Geschäftsführers; Abs. 3 S. 2 zum Verzicht | 9, 12 |
| § 93 Abs. 4 S. 3 AktG | Verzicht auf Ersatzansprüche | 12 |
| §§ 27, 664 ff., 195 BGB | Vereinsvorstand, Auftragsrecht, Verjährung | 9 |
| § 31a BGB | Haftungsprivileg ehrenamtlicher Organmitglieder | 9 |
| § 84a BGB | Stiftungshaftung — bundeseinheitlich seit 1.7.2023 | 9 |
A.5 Gesetzesmaterialien
Materialien sind kein geltendes Recht, aber sie erklären, wie eine Norm gemeint ist. Dieses Dokument stützt sich an mehreren Stellen darauf — jeweils gekennzeichnet.
| Fundstelle | Inhalt |
|---|---|
| BT-Drs. 21/1501 vom 8.9.2025 | Regierungsentwurf des NIS-2-Umsetzungsgesetzes mit Begründung. Herangezogen: Vorblatt Abschnitte D und E.3 (Erfüllungsaufwand), S. 109 ff. (Kostenschätzung), S. 132 (§ 2 Nr. 26), S. 144 f. (§ 28 Abs. 3 und 4), S. 154 f. (§ 38) |
| BT-Drs. 21/2782 vom 12.11.2025, S. 20 | Bericht des Ausschusses für Inneres und Heimat — Änderungen gegenüber dem Entwurf |
| NKR-Stellungnahme Nr. 7657 (BMI), in BT-Drs. 21/1501, S. 186–190 | Nationaler Normenkontrollrat zum Erfüllungsaufwand |
Volltexte: https://dserver.bundestag.de
A.6 Untergesetzliche Regelwerke und Standards
| Quelle | Fassung | Kapitel |
|---|---|---|
| B3S Krankenhaus — Branchenspezifischer Sicherheitsstandard für die Gesundheitsversorgung im Krankenhaus | Eignungsfeststellung vom 3.11.2025, auf drei Jahre befristet | 13 |
| BSI, Festlegung nach § 33 Abs. 6 BSIG | Version 1.0 vom 26.6.2026 | 9 |
| UP KRITIS — Best-Practice-Empfehlungen für Anforderungen an Lieferanten | — | 8 |
| ISO/IEC 27001 mit ergänzender ISO/IEC 27002 | — | 13 |
A.7 Behörden-, Verbands- und Marktquellen
Bundesamt für Sicherheit in der Informationstechnik
- Allgemeine NIS-2-FAQ — Themenbereiche Anwendungsbereich und Betroffenheit, Pflichten, Umsetzungshilfen. https://www.bsi.bund.de
Zur Zitierweise: Die FAQ-Einträge haben keine eigene Adresse und tragen kein Änderungsdatum. Das Begleitdokument sichert sie deshalb im Wortlaut.
- Handreichung zur Umsetzung von § 38 Abs. 3 BSIG — Schulungspflicht der Geschäftsleitung (Kapitel 9)
- Cyber-Sicherheitswarnung, Art BITS-B, Kennzeichen 262788, Version 1.0 vom 22.6.2026 (Kapitel 3)
- Pressemitteilung vom 5.12.2025 zum Inkrafttreten
Hinweis zu BSI-Adressen. Zum 1. Juni 2026 wurden zahlreiche BSI-Seiten nach
/BSI-Portal/verschoben. Ältere Verweise laufen ins Leere; die Nachfolgeadressen sind im Begleitdokument hinterlegt.
Verbände und Erhebungen
| Quelle | Gegenstand | Kapitel |
|---|---|---|
| Deutsche Krankenhausgesellschaft, Bestandsaufnahme zur Krankenhausplanung und Investitionsfinanzierung | Investitionslücke — jahresgleich gerechnet | 11 |
| Deutsche Krankenhausgesellschaft, Stellungnahme zum Gesetzentwurf | Erfüllungsaufwand | 10 |
| Caritaspanel und Zentralstatistik des Deutschen Caritasverbandes | Trägerlandschaft, Beschäftigte, Größenverteilung | 4 |
| Referentenentwurf eines Pflegeneuordnungsgesetzes (PNOG), Stand 4./5. Juni 2026 | Entwurfsstand | 14 |
| M-Trends 2026, Google/Mandiant, veröffentlicht 23.3.2026 | Bedrohungslage, Angriffsdauer | 3 |
A.8 Zum Archiv
Die Save-Page-Now-Schnittstelle des Internet Archive war am 2. August 2026 nicht verfügbar. Stattdessen wurde ein lokales Archiv angelegt: je Quelle die Originaldatei, ein Textextrakt, eine SHA-256-Prüfsumme und das Abrufdatum.
Die lokale Fassung ist der tragende Beleg. Ein Wayback-Snapshot ist, wo vorhanden, als Zusatzangabe vermerkt — bei einem Teil der Quellen ist er älter als das Abrufdatum und belegt den hier zitierten Wortlaut daher nicht. Solche Fälle sind im Begleitdokument gekennzeichnet.
Anhang B — Der Caritas-Netzwerk IT e. V. im Überblick
Der Caritas-Netzwerk IT e. V. ist ein eingetragener Verein mit Sitz in Frankfurt am Main (Amtsgericht Frankfurt am Main, Vereinsregister VR 16954). Er wurde im August 2021 gegründet, im Januar 2022 eingetragen und versteht sich als strategische Interessenvertretung und Kooperationsplattform für IT-Themen in der Caritas-Welt.
Der Verein bündelt die Bedarfe, das Fachwissen und die Zusammenarbeit seiner Mitglieder, um professionelle IT-Strategien und IT-Strukturen nachhaltig und finanzierbar aufzubauen. Dabei werden IT-Fragen der Träger als Geschäftskooperation behandelt — der Verein dient seinen Mitgliedern als strategischer Partner für innovative, bedarfsgerechte, sichere und digitale Lösungen.
Durch gemeinsame Sprache und gebündelte Positionen kann der Verein gegenüber Politik, Software- und Hardwareherstellern sowie Infrastrukturbetreibern für geeignete Rahmenbedingungen eintreten, die eine gute Unterstützung der Sorgearbeit ermöglichen. Das Leitmotiv lautet „Sozial braucht Digital”.
Mitglieder und Reichweite
Mitglied im Caritas-Netzwerk IT e. V. können ausschließlich Rechtsträger der Caritas werden. Der Verein ist darüber hinaus offen für die Zusammenarbeit mit allen Organisationen der Sozialwirtschaft.
Seit der Gründung ist der Verein stark gewachsen: von rund 100 Gründungsmitgliedern auf mittlerweile 154 Caritas-Rechtsträger (Stand Juli 2026). Die Mitgliedsorganisationen repräsentieren zusammen rund 60.000 Vollzeitäquivalente.
Organisation und Struktur
Ehrenamtlicher Vorstand
Der Verein wird von einem ehrenamtlichen Vorstand geleitet, der im Caritas-Verbandswesen breit vernetzt ist und die operative sowie strategische Ausrichtung verantwortet:
| Name | Funktion |
|---|---|
| Dr. Rainer Brockhoff | Vorstandsmitglied (ehem. Caritasdirektor der Diözese Rottenburg-Stuttgart) |
| Markus Nikolaus | Vorstandsmitglied (Finanzvorstand Caritasverband für die Stadt Köln) |
| Alexander Rees | Vorstandsmitglied (Bereichsleitung Digitales, Deutscher Caritasverband e. V.) |
Geschäftsstelle
Die operative Arbeit wird von der Geschäftsstelle geleistet:
Gerhard Müller — Geschäftsführer
Mirco Beyer — Referent für Kooperationsentwicklung
Elena Böhringer — Referentin für Digitalisierung
Gabriella Bamberger — Vorstandsassistenz & Mitgliederverwaltung
Interesse an einer Mitgliedschaft? Gabriella Bamberger ist die erste Ansprechpartnerin für alle Fragen rund um den Beitritt zum Verein. Kontakt zum Verein unter https://caritas-netzwerk-it.de/kontakt.
Angebote und Leistungen
Erfahrungsaustauschgruppen
Die Erfahrungsaustauschgruppen sind ein Herzstück des Vereins. In ihnen kommen Fachleute aus der Caritas-Welt als „Teilgeber:innen” zusammen, um sich zu konkreten IT-Themen auszutauschen. Der Grundgedanke: Voneinander lernen, miteinander wachsen. Die Treffen finden ca. alle vier Wochen virtuell über Microsoft Teams statt und werden unter der Chatham House Rule geführt.
Aktuelle Erfahrungsaustauschgruppen:
- Notfallmanagement — Backup-Strategien, Notfallkonzepte, Incident & Response, IT-Notfallvorsorge
- Einführung und Nutzung von Microsoft 365 — Migration, produktiver Einsatz, Change-Management, rechtliche Rahmenbedingungen
- Einführung und Nutzung von KI — Einsatzszenarien, rechtliche Grundlagen, Tools, Chancen und Herausforderungen
- Kunden und potenzielle Kunden von SoCura — Austausch für Einrichtungen, die SoCura als IT-Dienstleister nutzen oder dies erwägen
- Connext Vivendi — Einführung, Konfiguration, Updates und Best Practices der Fachsoftware
- Digitalisierung & Strategie — seit Mai 2026
Zusammen erreichen die Gruppen über 500 Teilnehmende. Alle Treffen werden aufgezeichnet und KI-gestützt zusammengefasst (mit redaktioneller Prüfung). Die Zusammenfassungen werden im CariNet und per Mail veröffentlicht und bilden eine wachsende Wissensbasis.
Für NIS-2 ist die Gruppe Notfallmanagement der naheliegende Ort — sie hat die Thematik bereits im Februar 2024 aufgegriffen.
Cyber-Feuerwehr: Incident & Response
Der Verein bietet allen Mitgliedern des Deutschen Caritasverbandes den IT-Sicherheitsservice „Incident & Response” an — eine Cyber-Feuerwehr für den Ernstfall, in Kooperation mit dem IT-Dienstleister SVA. Der Dienst hat bereits zahlreiche Mitglieder erfolgreich durch IT-Krisen begleitet.
Kernleistungen:
- 24/7-Hotline: Rund-um-die-Uhr-Erreichbarkeit, sieben Tage die Woche
- Remote-Unterstützung innerhalb von höchstens vier Stunden, Vor-Ort-Hilfe bei Bedarf innerhalb von 24 Stunden
- 100 Stunden Expertenhilfe pro Vorfall
- Professionelles Onboarding zur Vorbereitung auf IT-Notfälle, Playbooks, Workshops
- Kosten: 1,00 € pro Vollzeitäquivalent und Monat (Mitglieder); 1,50 € (Nichtmitglieder)
Auch Caritas-Träger ohne Vereinsmitgliedschaft können teilnehmen.
CariNet — die Community-Plattform
CariNet (https://carinet.de) ist die zentrale Intranet- und Community-Plattform des Vereins. Sie bietet Zusammenfassungen der Treffen, Wissensbeiträge und Best Practices, Ankündigungen, ein Mitgliederverzeichnis sowie weiterführende Materialien wie Präsentationen und Leitfäden. Mitglieder haben Schreibrechte und können sich aktiv einbringen.
Newsletter
Der Verein gibt ca. alle vier bis sechs Wochen einen Newsletter heraus, der über Neuigkeiten, Veranstaltungen, Impulse aus den Erfahrungsaustauschgruppen und relevante IT-Trends in der freien Wohlfahrt informiert. Der Newsletter kann auch von Nicht-Mitgliedern kostenfrei abonniert werden.
Veranstaltungen, Arbeitsgruppen und Netzwerk
Neben den Erfahrungsaustauschgruppen organisiert der Verein — normalerweise in Kooperation mit anderen Organisationen wie dem Deutschen Caritasverband (DCV) oder der Diakonie — Fachtagungen, Arbeitsgruppen und Projekte zu übergreifenden IT-Themen. Mitglieder erhalten Zugang zu einem breiten Netzwerk von IT-Fachleuten aus der gesamten Caritas-Landschaft.
Beispiele für Veranstaltungen 2026:
- Fachkongress Cybersecurity — 11./12. Juni 2026 in Berlin (gemeinsam mit der Diakonie)
- IT-Leiter-Tagung — 30. September bis 2. Oktober 2026 in Köln (gemeinsam mit dem DCV)
- Souverän.Digital.Sozial — Vortragsreihe und Konferenz, nächste Konferenz 10./11. März 2027
Mitgliedschaftsbeiträge
Die Mitgliedschaft im Caritas-Netzwerk IT e. V. ist bewusst niedrigschwellig und solidarisch gestaltet. Die Beiträge bemessen sich nach der Anzahl der Vollzeitäquivalente (VZÄ) der Mitgliedsorganisation:
- Einmalige Aufnahmegebühr: 1,00 € pro Vollzeitäquivalent, höchstens 3.000 €
- Jährlicher Mitgliedsbeitrag: 2,00 € pro Vollzeitäquivalent
Der Mehrwert einer Mitgliedschaft
- Strategische Interessenvertretung gegenüber Politik, Herstellern und Infrastrukturbetreibern
- Strukturierter Erfahrungsaustausch mit IT- bzw. Digitalisierungs-Fachleuten aus der gesamten Caritas
- Gemeinsame Bedarfsermittlung und Definition von Standards
- Zugang zur Cyber-Feuerwehr mit 24/7-Hotline zu vergünstigten Konditionen
- Nutzung der Community-Plattform CariNet als Wissensbasis und Austauschforum
- Teilnahme an Fachtagungen, Arbeitsgruppen und Projekten
- Regelmäßiger Newsletter mit relevanten IT-Trends der Sozialwirtschaft
Kontakt
Caritas-Netzwerk IT e. V.
Alte Mainzer Gasse 10, 60311 Frankfurt am Main
Vereinsregister: VR 16954, Amtsgericht Frankfurt am Main
Webseite: https://www.caritas-netzwerk-it.de · Kontaktinformationen: https://www.caritas-netzwerk-it.de/kontakt
Satzung, Mitgliederliste, Vereinspräsentation und das Template-Angebot zur Cyber-Feuerwehr sind in der für alle offenen CariNet-Gruppe „Allgemeine Informationen zum Caritas-Netzwerk IT e. V.” einsehbar.
Geschäftsstelle:
Gerhard Müller (Geschäftsführer) — Gerhard.Mueller@caritas-netzwerk-it.de
Mirco Beyer (Referent für Kooperationsentwicklung) — Mirco.Beyer@caritas-netzwerk-it.de
Elena Böhringer (Referentin für Digitalisierung) — Elena.Boehringer@caritas-netzwerk-it.de
Gabriella Bamberger (Vorstandsassistenz & Mitgliederverwaltung) — Gabriella.Bamberger@caritas-netzwerk-it.de
Stand der Vereinsangaben: August 2026.
Anhang C — Wie dieses Dokument entstanden ist
Der Vorspann nennt es in einem Halbsatz: zusammengestellt „mit Unterstützung durch generative künstliche Intelligenz”. Dieser Anhang macht daraus eine nachprüfbare Angabe — wer was gemacht hat, womit geprüft wurde und wo die Grenzen des Verfahrens liegen.
Das ist keine Selbstbeschreibung um ihrer selbst willen. Wer ein Dokument zur Grundlage einer Entscheidung macht, die im Ernstfall eine Bußgeldbewehrung berührt, sollte wissen, wie belastbar es ist und woran das hängt.
C.1 Der Anlass
Version 1.0 erschien Ende Februar 2026. Sie war fachlich brauchbar, hatte aber zwei Schwächen, die sich erst im Gebrauch zeigten:
Die Rechtslage lief davon. Zwischen Februar und August 2026 trat das KRITIS-Dachgesetz in Kraft (17.3.2026), das unter anderem § 66 BSIG neu fasste. Behördenseiten wurden umgezogen: Von den 144 Verweisen der Vorfassung waren neun tot und 24 umgeleitet.
Die Belegdisziplin fehlte. Eine Bestandsaufnahme aller Aussagen der Version 1.0 ergab:
| erfasste Aussagen | 903 |
| davon mit Fundstelle belegt | 121 |
| Belegquote | 13 % |
| unbelegt | 251 |
| durch Rechtsänderung veraltet | 112 |
| zu prüfen | 420 |
Die 13 Prozent waren zudem ungleich verteilt: Sie konzentrierten sich auf den praktischen Leitfaden, der ohnehin auf Portale verweist. Das Kapitel zu den Pflichten nach §§ 30, 32, 33 und 38 BSIG enthielt keine einzige Fundstelle — also gerade dort, wo eine Fehleinschätzung teuer wird.
Daraus entstand der Auftrag für Version 2.0: nicht nur fortschreiben, sondern jede belegbedürftige Aussage auf eine Primärquelle zurückführen.
C.2 Das Vorgehen
Die Arbeit lief in sechs Paketen. Jedes wurde abgeschlossen, bevor das nächste begann — die Reihenfolge ist nicht beliebig, denn ein Text lässt sich nicht belegen, wenn die Recherche noch läuft.
| Paket | Inhalt | Ergebnis |
|---|---|---|
| 1 | Aussagenkatalog aus Version 1.0 | 903 Aussagen, 94 Geldbeträge, 30 Normen, 52 Verweise, jeweils mit Status |
| 2 | Recherche in zehn Feldern | Primärquellen zu Rechtsstand, Sektoren, Komplexträgern, Refinanzierung, Bedrohungslage, Kosten |
| 3 | Text | 14 Kapitel |
| 4 | Abbildungen | 38 Diagramme |
| 5 | Belegdokument | 144 Belege |
| 6 | Erzeugung und Qualitätssicherung | Gesamtdokument, Prüfläufe, dieser Anhang |
Der Doppellauf
Für die vier tragenden Recherchefelder wurde die Recherche zweimal unabhängig durchgeführt und beide Ergebnisse gegeneinandergestellt. Was nur in einem Lauf auftauchte, wurde an der Primärquelle nachgeprüft.
Das war der wirksamste einzelne Prüfschritt des Projekts. Der Zweitlauf deckte drei sachliche Fehler und acht Lücken auf. Mindestens zwei davon wären ins Dokument gelangt — darunter eine behauptete Nachfrist für die Registrierung bis zum 31. Juli 2026, die es nicht gibt. Bei einer bußgeldbewehrten Pflicht wäre das ein gefährlicher Fehler gewesen.
Keiner dieser Fehler wäre durch Gegenprüfen der vorhandenen Belege gefunden worden. Eine falsche Aussage mit einem passenden Beleg sieht richtig aus. Nur eine unabhängige zweite Erhebung findet, was in der ersten fehlt.
Nebenbei zeigte der Doppellauf, dass eine Vollständigkeitsbehauptung des ersten Laufs nicht zutraf: Er hatte 68 statt 85 FAQ-Einträge erfasst.
C.3 Womit gearbeitet wurde
Das Sprachmodell
| Modell | Claude Opus 5 (claude-opus-5), Variante mit 1 Million Token Kontext |
| Umgebung | Claude Code, Anthropics Kommandozeilenwerkzeug |
| Zeitraum | Analyse, Recherche und Fortschreibung bis zum 2. August 2026 |
| Herausgeber des Modells | Anthropic |
Das Modell hat recherchiert, Quellen ausgewertet, Text und Abbildungen entworfen, die Belege zusammengetragen und die Prüfskripte geschrieben. Die Arbeit erfolgte durchgehend im Dialog: Aufträge, Zwischenstände und Entscheidungen wurden vom Herausgeber vorgegeben und abgenommen.
Zur Vorfassung. Version 1.0 entstand ebenfalls mit KI-Unterstützung. Welches Modell dort im Einzelnen verwendet wurde, ist nicht dokumentiert; die vorliegende Fortschreibung stützt sich nicht auf die Vorfassung, sondern hat deren Aussagen neu geprüft.
Die Werkzeugkette
| Werkzeug | Fassung | Wofür |
|---|---|---|
| Pandoc | 3.10.1 | Markdown nach Word, über eine Formatvorlage |
| Mermaid | 11.16.0 | Fluss- und Sequenzdiagramme |
| D2 | 0.7.1 | Struktur- und Schichtdiagramme |
| rsvg-convert | — | SVG nach PNG für die Kontrollansicht |
Die Kapitel liegen als einzelne Markdown-Dateien vor und werden zu einem Dokument zusammengeführt. Abbildungen sind vektoriell eingebettet: Sie bleiben beim Vergrößern scharf und lassen sich in Word bearbeiten.
C.4 Wie geprüft wurde
Die Prüfung war maschinell, wo Maschinen zuverlässiger sind als Menschen, und menschlich, wo Urteil nötig ist.
Belege
| Prüfung | Ergebnis |
|---|---|
| Jeder Verweis im Text hat einen Beleg | 144 von 144 |
| Jeder Beleg wird im Text verwendet | 144 von 144 |
| Tote Querverweise zwischen Belegen | keine |
| Offene Belegmarken im Text | keine |
| Pflichtfelder je Beleg vollständig | nach Nachtrag von 26 Belegen erfüllt |
Jeder Beleg der Stufe 1 trägt ein Kernzitat im Wortlaut. Das macht ihn selbsttragend: Er belegt die Aussage auch dann noch, wenn die Quelle verschwindet.
Quellen
Alle 84 Quellen wurden lokal archiviert — Originaldatei, Textextrakt, SHA-256-Prüfsumme, Abrufdatum. Die Prüfsumme erlaubt es festzustellen, ob eine Datei nachträglich verändert wurde.
Das war eine Ersatzlösung: Die Save-Page-Now-Schnittstelle des Internet Archive war am 2. August 2026 nicht erreichbar. Für 35 der 84 Quellen existiert ein älterer Wayback-Schnappschuss; wo er älter ist als das Abrufdatum, ist er gekennzeichnet, denn er belegt den zitierten Wortlaut dann nicht.
Zusätzlich wurden alle 144 Verweise der Vorfassung auf Erreichbarkeit geprüft und die Nachfolgeadressen der umgezogenen BSI-Seiten ermittelt.
Abbildungen
Alle 38 Abbildungen durchliefen eine achtteilige Prüfliste: Schriftgröße nach dem Einsetzen, Farbpalette, Beschriftung, Belegbarkeit der Zahlen, Alternativtexte, Sichtprüfung, Abgleich mit dem Kapiteltext.
Vier Abbildungen fielen durch — ihre Schrift lag nach der Skalierung auf Satzbreite unter 6 Punkt und wäre im Druck nicht lesbar gewesen. Ursache war eine Fehlannahme des Prüfwerkzeugs, das die Schriftgröße nicht misst, sondern einen Standardwert unterstellt. Zwei Zahlenangaben in Abbildungen wichen vom Kapiteltext ab und wurden korrigiert.
Was die Prüfung gefunden hat
Sieben Aussagen der Vorfassung erwiesen sich als sachlich falsch, nicht nur als veraltet. Zwei Beispiele:
- Version 1.0 stellte die Investitionslücke der Krankenhäuser aus zwei verschiedenen Jahren gegenüber. Jahresgleich gerechnet fällt sie anders aus.
- Version 1.0 behauptete, die TI-Pauschale entfalle zum 1. Dezember 2026. Tatsächlich ordnet § 106b Abs. 5 S. 2 SGB XI ihre Fortgeltung an; das Datum betrifft das Ende einer Papier-Übergangsfrist.
Beide Fehler sind im Begleitdokument „Was sich in Version 2.0 geändert hat” nachgezeichnet, zusammen mit acht weiteren Berichtigungen.
Bemerkenswert ist auch, was nicht falsch war: Die Rechenwege der Vorfassung waren durchweg korrekt. Die Fehler lagen in den zugrunde gelegten Werten und in der Zuordnung von Normen — nicht in der Methodik. Vier Punkte, die zunächst als Fehler verdächtigt wurden, hielten der Prüfung stand und blieben unverändert.
C.5 Was dieses Verfahren nicht leistet
Hier ist Offenheit wichtiger als ein guter Eindruck.
Kein fachliches Gegenlesen. Zwei Stellen sind aus Einzelnormen abgeleitet, aber nicht von einer fachkundigen Person durchgesehen worden: die Normenkette der gebundenen Preisbildung und die Zuordnung von Kosten zu laufend oder investiv. Beide sind in Abschnitt 1.7 benannt. Sie brauchen keine weitere Recherche, sondern eine Durchsicht im Vergütungsrecht und in der Finanzbuchhaltung.
Keine juristische Prüfung. Weder das Modell noch der Herausgeber sind Juristen. Das Dokument gibt Normen wieder und ordnet sie ein; es ersetzt keine Rechtsberatung — siehe den Vorspann.
Keine kostenpflichtigen Rechtsdatenbanken. Recherchiert wurde in frei zugänglichen Quellen. juris und beck-online standen nicht zur Verfügung. Wo das eine Aussage einschränkt, steht es am Beleg.
Vier Rechtsfragen blieben offen. Sie sind in Abschnitt 1.7 einzeln benannt, statt sie durch eine plausible Formulierung zu überdecken.
Ein Sprachmodell kann irren. Es erzeugt flüssigen, überzeugend klingenden Text auch dort, wo die Grundlage dünn ist — das ist die eigentliche Gefahr, nicht der offensichtliche Fehler. Das Belegkonzept ist die Antwort darauf: Wo kein Kernzitat steht, steht auch keine belegte Aussage. Der Doppellauf hat gezeigt, dass diese Vorsicht berechtigt war.
C.6 Wie Sie es selbst nachprüfen können
- Eine einzelne Aussage prüfen: Verweis wie
[K9-15]im Begleitdokument „NIS-2 und die Caritas — Belege” nachschlagen. Dort stehen Fundstelle, Fassung, Abrufdatum und Kernzitat. - Eine Norm nachlesen: Anhang A führt die Rechtsgrundlagen mit Fundstelle im Bundesgesetzblatt beziehungsweise CELEX-Nummer.
- Prüfen, was sich geändert hat: Das Begleitdokument „Was sich in Version 2.0 geändert hat” stellt beide Fassungen gegenüber, einschließlich der Kapitelnummerierung.
- Die Grenzen kennen: Abschnitt 1.7 „Was dieses Dokument nicht leistet”.
Warum dieser Anhang. Ein Dokument, das für sich in Anspruch nimmt, jede Aussage zu belegen, muss auch die eigene Entstehung offenlegen. Sonst bleibt die Belegdisziplin eine Behauptung.