NIS-2-Umsetzungsgesetz: Was Sozialstationen und Pflegedienste jetzt wissen müssen
Ein Gesetz, das den Kreis der Betroffenen deutlich erweitert
Seit dem 6. Dezember 2025 ist das NIS-2-Umsetzungsgesetz in Deutschland in Kraft. Es setzt die europäische NIS-2-Richtlinie in nationales Recht um und modernisiert das deutsche Cybersicherheitsrecht grundlegend – mit einer spürbaren Folge: Der Kreis der beaufsichtigten Einrichtungen wächst von bisher rund 4.500 auf etwa 29.500 Organisationen. Erstmals sind damit auch deutlich mehr mittelständische Unternehmen betroffen, darunter Einrichtungen aus dem Gesundheits- und Pflegesektor, der ausdrücklich zu den 18 erfassten Wirtschaftsbereichen zählt.
Wer konkret in der Pflicht ist
Ob eine Sozialstation oder ein Pflegedienst tatsächlich unter das Gesetz fällt, hängt von Größenschwellen ab. Als „wichtige Einrichtung“ gilt grundsätzlich, wer mindestens 50 Beschäftigte hat oder einen Jahresumsatz von mindestens 10 Millionen Euro bei gleichzeitig mindestens 10 Millionen Euro Bilanzsumme erreicht. Für „besonders wichtige Einrichtungen“ liegen die Schwellen bei mindestens 250 Beschäftigten beziehungsweise 50 Millionen Euro Umsatz und 43 Millionen Euro Bilanzsumme. Kleinere ambulante Pflegedienste und Sozialstationen bleiben damit in aller Regel außen vor – größere Träger mit mehreren hundert Mitarbeitenden oder mehreren Standorten sollten die eigene Einordnung dagegen konkret prüfen, da die Zugehörigkeit zum Gesundheitssektor allein noch keine Ausnahme begründet.
Was das Gesetz von betroffenen Einrichtungen verlangt
Wer unter das Gesetz fällt, muss sich beim Bundesamt für Sicherheit in der Informationstechnik (BSI) registrieren, ein strukturiertes Risikomanagement für die IT-Sicherheit einführen und erhebliche Sicherheitsvorfälle melden. Das BSI empfahl betroffenen Organisationen, sich bis Jahresende 2025 ein sogenanntes Unternehmenskonto einzurichten; das eigentliche Registrierungsportal wurde am 6. Januar 2026 freigeschaltet. Eine Übergangsfrist für die grundsätzlichen Pflichten gibt es praktisch nicht – die Anforderungen gelten seit dem Inkrafttreten unmittelbar. Bemerkenswert ist zudem eine Verschiebung der Verantwortung: Das Gesetz weist die Zuständigkeit für Cybersicherheitsmaßnahmen ausdrücklich der Geschäftsführung zu, die im Fall von Verstößen auch persönlich haftbar gemacht werden kann.
Warum ein zweiter Blick sich trotzdem lohnt
Auch Einrichtungen, die nach heutigem Stand unterhalb der Schwellenwerte liegen, sind von der Entwicklung nicht ganz unberührt. Größere Trägerverbünde, Klinikkonzerne oder Softwareanbieter, mit denen Sozialstationen zusammenarbeiten, fallen oft direkt unter das Gesetz – und geben strengere Sicherheitsanforderungen in der Praxis häufig vertraglich an ihre Dienstleister und Partner weiter. Wer schon heute strukturiertes Risikomanagement, dokumentierte Meldewege und eine klare Verantwortlichkeit für IT-Sicherheit etabliert, ist damit nicht nur für eine mögliche künftige Einstufung vorbereitet, sondern erfüllt in der Praxis ohnehin, was auch Cyberversicherer und größere Kooperationspartner zunehmend erwarten.
Was jetzt sinnvoll ist
Für Sozialstationen und Pflegedienste empfiehlt sich ein nüchterner erster Schritt: die eigene Größe und Struktur anhand der genannten Schwellenwerte durchrechnen, und im Zweifel eine rechtliche Einschätzung einholen, ob eine Registrierungspflicht besteht. Unabhängig vom Ergebnis lohnt sich ein Blick auf den eigenen Stand bei Risikomanagement, Vorfallserkennung und Meldewegen – Themen, die unabhängig von einer gesetzlichen Pflicht ohnehin zur Basisabsicherung gehören sollten.
Was strukturiertes Risikomanagement in der Praxis bedeutet
Hinter dem etwas abstrakten Begriff „Risikomanagement“ steckt in der Praxis eine überschaubare Anzahl konkreter Bausteine: eine aktuelle Übersicht, welche Systeme und Daten im Betrieb überhaupt existieren und wie kritisch sie sind, ein Plan für den Ernstfall (wer wird informiert, welche Systeme müssen zuerst wieder laufen), ein regelmäßiges Patch- und Update-Management sowie eine klare Regelung, wer im Haus für IT-Sicherheit zuständig ist. Keiner dieser Bausteine setzt eine NIS-2-Pflicht voraus – sie zahlen unabhängig davon auf die tägliche Betriebssicherheit ein, etwa wenn es um Cyberversicherungen oder die Absicherung sensibler Patienten- und Klientendaten geht.
bitman-Perspektive
Ob NIS-2 direkt greift oder nicht: Strukturiertes IT-Sicherheitsmanagement ist für Sozialstationen und Pflegedienste längst keine Kür mehr. Wir unterstützen Sie dabei, Ihre aktuelle Einordnung zu klären und die technischen Grundlagen zu schaffen, die im Ernstfall wirklich zählen – unabhängig davon, ob eine gesetzliche Pflicht besteht.