Fällt unser Träger unter NIS2? Pflege, Eingliederungs­hilfe und Jugendhilfe im Vergleich

Stand: 8. Oktober 2026. Die Seiten des BSI tragen kein Datum. Seinen Diskussionsstand im Infopaket Gesundheit bezeichnet das BSI selbst als nicht abschließend. Ob ein bestimmter Träger erfasst ist, bleibt eine Prüfung im Einzelfall.

Wie die Einordnung zustande kommt

NIS2 ist die zweite europäische Richtlinie zur Sicherheit von Netz- und Informationssystemen (Richtlinie (EU) 2022/2555). Deutschland hat sie mit dem NIS2-Umsetzungs­gesetz umgesetzt, in Kraft seit dem 6. Dezember 2025 (BGBl. 2025 I Nr. 301, Art. 30). Sein Kern ist das neu gefasste BSI-Gesetz (BSIG). Welche Branchen erfasst sind, regeln dessen Anlagen 1 und 2. Pflege, Eingliederungs­hilfe, Jugendhilfe, Beratung oder Wohlfahrts­pflege kommen dort nicht vor.

Für soziale Träger bleibt deshalb vor allem eine Tür: Anlage 1 Nr. 4.1.1, die „Erbringer von Gesundheits­dienst­leistungen im Sinne der Richtlinie 2011/24/EU“. Was das heißt, bestimmt diese Richtlinie über die Patientenrechte in der grenzüberschreitenden Gesundheitsversorgung (Patientenmobilitätsrichtlinie). Gesundheitsversorgung sind danach Gesundheits­dienst­leistungen, die Angehörige der Gesundheitsberufe gegenüber Patienten erbringen, um deren Gesundheitszustand zu beurteilen, zu erhalten oder wiederherzustellen (Art. 3 Buchst. a Richtlinie 2011/24/EU). Gesundheitsdienstleister ist, wer solche Leistungen rechtmäßig erbringt (Art. 3 Buchst. g).

Ausgenommen ist die Langzeitpflege, deren Ziel die Unterstützung bei routinemäßigen, alltäglichen Verrichtungen ist (Art. 1 Abs. 3 Buchst. a Richtlinie 2011/24/EU). Auf dieser Ausnahme beruhen die Pflegezeilen der Tabelle. Das BSI teilt keinem Träger verbindlich mit, ob er betroffen ist; die Betroffenheit sei individuell zu prüfen (allgemeine FAQ, Infopaket Gesundheit).

Pflegeheime, Tages- und Kurzzeitpflege

Bei Pflegeheimen sagt das BSI am deutlichsten, dass sie nicht erfasst sind. Nach seiner Sektor-FAQ fallen Einrichtungen der Langzeitpflege nicht unter den Sektor Gesundheitsdienstleistung. Das Infopaket Gesundheit nennt Pflegeheime sowie Tages- und Kurzzeitpflege ausdrücklich als grundsätzlich nicht erfasst. Auch die Gesetzesbegründung nimmt die Langzeitpflege allgemein aus (Bundestagsdrucksache 21/1501, S. 177 f.). Das BSI schränkt aber ein: Einrichtungen können erfasst sein, wenn medizinische Leistungen einen erheblichen Teil der Tätigkeit ausmachen. Wo diese Grenze liegt, sagt es nicht.

Ambulante Pflege

Zur ambulanten Pflege ordnen Behörde und Verbände unterschiedlich ein. Das BSI zählt ambulante Pflegedienste zu den grundsätzlich nicht erfassten Einrichtungen, mit derselben Einschränkung. Der Paritätische sieht häusliche Pflegedienste ebenso, das Caritas-Netzwerk IT führt sie als rechtlich strittig.

Der bpa stellt dagegen darauf ab, nach welchem Gesetz die Leistung bezahlt wird. Er beruft sich auf eine Aussage des Bundesgesundheitsministeriums, nach der grundsätzlich Leistungen nach dem Fünften Buch Sozialgesetzbuch (SGB V, gesetzliche Krankenversicherung) erfasst seien (bpa, Arbeitshilfe, Stand 3. Februar 2026). Das betrifft häusliche Krankenpflege, außerklinische Intensivpflege (etwa bei Beatmung) und spezialisierte ambulante Palliativversorgung (Palliativteams für Schwerkranke zu Hause). Eine Veröffentlichung des Ministeriums dazu habe ich nicht gefunden. Wer in nennenswertem Umfang ärztlich verordnete medizinische Pflege leistet, behandelt diese Zeile besser als offen.

Hospize

Hospize ordnet das BSI ausdrücklich als Gesundheitsdienstleister ein, weil die palliativmedizinische Versorgung im Mittelpunkt der Hospizarbeit steht (Infopaket Gesundheit); die Größenschwelle muss hinzukommen.

Reha und Vorsorge

Bei Reha- und Kureinrichtungen steht nach dem BSI die Wiederherstellung der alltäglichen Lebensführung im Mittelpunkt. Sie gelten deshalb grundsätzlich nicht als Gesundheitsdienstleister, es sei denn, medizinische Leistungen gehen über die rein kurativen oder rehabilitativen Ziele hinaus und machen einen erheblichen Teil der Tätigkeit aus (Infopaket Gesundheit).

Eingliederungs­hilfe und Werkstätten

Das BSI beantwortet die Frage, ob die Eingliederungs­hilfe betroffen ist, mit „Nein“ und schränkt sofort ein. Sie sei nicht ausdrücklich als eigene Einrichtungsart vorgesehen; eine Betroffenheit käme in Betracht, wenn eine Einrichtung als Gesundheitsdienstleister einzustufen wäre (Sektor-FAQ, Frage 4). Ein „nie erfasst“ ist das also nicht. Wann ein Angebot mit therapeutischem oder ärztlichem Anteil diese Schwelle erreicht, sagt keine Behörde. Zu Werkstätten für behinderte Menschen gibt es keine Behördenaussage. Der Paritätische äußert sich dazu nicht; das Caritas-Netzwerk IT ordnet die Eingliederungs­hilfe als nicht erfasst ein.

Kinder- und Jugendhilfe, Beratung, Wohnungslosenhilfe, Migration

Für diese Felder gibt es keine Behördenaussage. Eine passende Einrichtungsart enthält das Gesetz ebenfalls nicht. Das stützt die Einordnung des Caritas-Netzwerks IT, das Jugendhilfe und Beratungsdienste mit dieser Begründung als nicht erfasst führt; eine Behördenaussage ist es nicht. Offen ist der Rand: Beratung mit heilkundlichem Anteil, etwa Psychotherapie, hat das BSI nicht ausdrücklich bewertet.

Das Gesetz knüpft an den Rechtsträger an, nicht an das einzelne Haus

Rechtsträger ist die juristische Person hinter den Einrichtungen: die gGmbH, der Verein oder die Stiftung. Das Gesetz knüpft an natürliche oder juristische Personen an (§ 28 Abs. 1 Nr. 4 und Abs. 2 Nr. 3 BSIG), nicht an das Pflegeheim oder die Beratungsstelle. Das BSI meint mit Einrichtung die Einheit, die die Tätigkeit tatsächlich erbringt; eine Muttergesellschaft wird nicht automatisch erfasst, nur weil eine Tochter erfasst ist (allgemeine FAQ, Frage 26). Dass ein erfasster Teilbereich den ganzen Rechtsträger erfasst, ist eine Folgerung aus dem Gesetzeswortlaut; das Caritas-Netzwerk IT teilt sie als Verbandsauffassung. Eine Behördenaussage dazu habe ich nicht gefunden.

Bei kommunalen Trägern gilt eine Besonderheit. Das Gesetz nennt rechtlich unselbstständige Einheiten einer Gebietskörperschaft ausdrücklich (§ 28 Abs. 1 Nr. 4 BSIG), nimmt aber Einheiten und Gesellschaften in ausschließlicher Hand von Ländern und Kommunen aus, wenn sie zur Leistungserbringung für Verwaltungen errichtet wurden und durch vergleichbares Landesrecht reguliert werden (§ 28 Abs. 8 BSIG). Ein kommunaler Träger, der Leistungen für Bürgerinnen und Bürger erbringt, ist damit nicht ohne Weiteres ausgenommen. Das BSI hält kommunale Eigen- und Regiebetriebe normalerweise für nicht erfasst, außer sie betreiben kritische Anlagen oder überschreiten die Schwellen (allgemeine FAQ, Frage 2 zum Anwendungsbereich). Das Landesrecht ist zu prüfen.

Für Träger mit gemischtem Angebot hat das Folgen. Betreibt eine gGmbH neben Pflegeheimen ein Hospiz, kann der kleine erfasste Bereich den ganzen Träger in den Anwendungsbereich bringen. Außer Acht bleiben dürfen nur Tätigkeiten, die im Verhältnis zur gesamten Geschäftstätigkeit vernachlässigbar sind (§ 28 Abs. 3 BSIG). Das BSI nennt dafür Mitarbeiterzahl, Umsatz und Bilanzsumme des Bereichs sowie das Gesamtbild als Anhaltspunkte; seine Auslegungshilfe hält eine am Markt angebotene Tätigkeit eines einzelnen Unternehmens dagegen nicht für vernachlässigbar (allgemeine FAQ, Anwendungsbereich, Frage 1). Beides lässt sich schwer zusammenbringen. Als verlässlichen Ausweg sehe ich die Vorschrift nicht; eine Gerichtsentscheidung dazu habe ich nicht gefunden.

Offen ist auch, ob dann die gesamte IT des Trägers unter die Pflichten fällt. Das Gesetz spricht von den Systemen, die für die Erbringung der Dienste genutzt werden (§ 30 Abs. 1 BSIG). Die Begründung zur Ausnahme für Telekommunikation und Energie geht davon aus, dass im Ergebnis alle IT-Systeme einer Einrichtung reguliert sind (Bundestagsdrucksache 21/1501, S. 145). Ob sich das auf soziale Träger übertragen lässt, ist nicht geklärt. Außerdem gehört zur Prüfung:

• Zahlen verbundener Gesellschaften werden zugerechnet, außer der Träger betreibt seine IT unabhängig von ihnen (§ 28 Abs. 4 BSIG).
• Eine eigene IT-Gesellschaft, die mit administrativem Zugriff die Systeme anderer Gesellschaften betreut, ist nach dem BSI ein Managed Service Provider, also ein IT-Dienstleister für fremde Systeme (Anlage 1 Nr. 6.1.10 BSIG; allgemeine FAQ, Frage 17). Sie kann dann selbst erfasst sein.

Ab 50 Beschäftigten: die Schwellen und wie gezählt wird

Erfasst ist nur, wer einer Einrichtungsart angehört, entgeltlich Leistungen für andere anbietet und eine Größenschwelle erreicht (§ 28 Abs. 1 und 2 BSIG):

• Wichtige Einrichtung: mindestens 50 Beschäftigte oder Jahresumsatz und Jahresbilanzsumme von jeweils über 10 Millionen Euro.
• Besonders wichtige Einrichtung: mindestens 250 Beschäftigte oder ein Jahresumsatz über 50 Millionen Euro und zugleich eine Jahresbilanzsumme über 43 Millionen Euro.

Gezählt wird nach der Mittelstandsempfehlung der EU-Kommission (§ 28 Abs. 4 BSIG mit Empfehlung 2003/361/EG). Maßgeblich sind Jahresarbeitseinheiten, also Vollzeitstellen; Teilzeit zählt anteilig, Auszubildende zählen nicht. Grundlage ist der letzte Rechnungsabschluss. Der Status wechselt erst, wenn eine Schwelle in zwei aufeinanderfolgenden Geschäftsjahren über- oder unterschritten wird (Anhang Art. 4 und 5 der Empfehlung).

Ob Ehrenamtliche, Freiwilligendienstleistende, Honorarkräfte oder Beschäftigte einer Werkstatt mitzählen, beantworten weder die Empfehlung noch das BSI. Auch zur Entgeltlichkeit fehlt eine Behördenaussage; dass Leistungen gegen Entgelte von Kostenträgern wie Pflegekassen darunter fallen, liegt nahe, ist aber nicht ausdrücklich geklärt.

Was die Geschäfts­leitung persönlich trifft

Geschäfts­leitung ist jede Person, die nach Gesetz, Satzung oder Gesellschaftsvertrag zur Führung der Geschäfte und zur Vertretung berufen ist (§ 2 Nr. 13 BSIG). Ist der Träger erfasst, treffen sie zwei Pflichten aus § 38 BSIG, dazu eine Haftungsfolge.

Umsetzen und überwachen. Die Geschäfts­leitung muss die Risikomanagementmaßnahmen umsetzen und ihre Umsetzung überwachen (§ 38 Abs. 1 BSIG). Nach der Begründung des Gesetzentwurfs hat sie die Maßnahmen zuvor als geeignet zu billigen und bleibt letztverantwortlich, auch wenn sie Hilfspersonen einschaltet (Bundestagsdrucksache 21/1501, S. 154). Wer die Aufgabe an die IT-Leitung abgibt, wird dadurch nicht entlastet.

Selbst an Schulungen teilnehmen. Die Geschäfts­leitung muss in wiederkehrenden Abständen selbst an Schulungen teilnehmen, um Risiken der Informations­sicherheit bewerten zu können (§ 38 Abs. 3 BSIG). In welchen Abständen, sagt das Gesetz nicht. Die Begründung nennt Schulungen, die mindestens alle drei Jahre angeboten werden; das BSI hält dieses Intervall in den seltensten Fällen für ausreichend. Wer teilgenommen hat, dokumentiert das intern und legt es dem BSI auf Verlangen vor (Handreichung Geschäfts­leitungsschulungen).

Haftung gegenüber dem eigenen Träger. Wer die Pflichten nach Absatz 1 schuldhaft verletzt, haftet der Einrichtung für den Schaden nach den Regeln des Gesellschaftsrechts, die für ihre Rechtsform gelten; nach dem BSIG selbst haftet die Geschäfts­leitung nur, wenn diese Regeln keine Haftung vorsehen (§ 38 Abs. 2 BSIG). Ob mit „Gesellschaftsrecht“ auch das Vereins- und Stiftungsrecht gemeint ist, ist ungeklärt. Die Sorgfaltsmaßstäbe für GmbH-Geschäftsführer (§ 43 GmbHG) und ehrenamtliche Vereinsvorstände (§ 31a BGB) beschreibt der Beitrag zur Verantwortung der Leitung für Datenschutz und KI.

§ 38 selbst ist kein Bußgeldtatbestand. Bußgelder sieht § 65 BSIG für Verstöße gegen die Pflichten der Einrichtung vor; die Rahmen verweisen auf § 30 des Gesetzes über Ordnungswidrigkeiten (OWiG), der Geldbußen gegen juristische Personen regelt. Ob daneben nach dem allgemeinen Ordnungswidrigkeitenrecht (§§ 9 und 130 OWiG) auch gegen einzelne Mitglieder der Geschäfts­leitung vorgegangen werden kann, habe ich nicht abschließend geklärt. Befolgt eine besonders wichtige Einrichtung Anordnungen des BSI trotz Fristsetzung nicht, kann das BSI das der zuständigen Aufsichts­behörde mitteilen. Diese kann dann als letztes Mittel unzuverlässigen Geschäfts­leitungen die Tätigkeit vorübergehend untersagen, solange die Anordnungen nicht befolgt werden (§ 61 Abs. 9 BSIG). Für wichtige Einrichtungen verweist § 62 BSIG allgemein auf die Maßnahmen nach § 61; Absatz 9 nennt aber nur besonders wichtige Einrichtungen.

Was ein erfasster Träger tun muss

Erfasste Einrichtungen müssen geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen ergreifen und dokumentieren (§ 30 Abs. 1 BSIG). Das Gesetz nennt zehn Mindestbereiche, darunter Risikoanalyse, Vorfallbewältigung, Backup, Sicherheit der Lieferkette und Multi-Faktor-Authentifizierung (§ 30 Abs. 2 BSIG). Die Maßnahmen sollen den Stand der Technik einhalten und einschlägige Normen berücksichtigen; einen bestimmten Standard schreibt das Gesetz nicht vor. Ein KI-Management­system nach ISO/IEC 42001 regelt etwas anderes, wie der Beitrag zu ISO 42001 für soziale Träger zeigt.

Registrieren müssen sich erfasste Einrichtungen spätestens drei Monate, nachdem sie erstmals als solche gelten (§ 33 Abs. 1 BSIG). Für Träger, die schon mit Inkrafttreten erfasst waren, ergibt das rechnerisch den 6. März 2026. Eine Nachfrist nennt das Gesetz nicht; unterbleibt die Registrierung, kann das BSI sie selbst vornehmen (§ 33 Abs. 3 BSIG).

Bei einem Vorfall laufen zwei Meldepflichten nebeneinander, an verschiedene Stellen. Ein erheblicher Sicherheitsvorfall nach BSIG muss keine personenbezogenen Daten betreffen; eine Datenpanne nach Art. 33 der Datenschutz-Grundverordnung (DSGVO) muss kein erheblicher Sicherheitsvorfall sein.

Katholische Träger melden Datenpannen nach § 33 des Gesetzes über den Kirchlichen Datenschutz (KDG), evangelische nach § 32 des Datenschutzgesetzes der EKD (DSG-EKD), jeweils an die kirchliche Aufsicht. Wie die 72 Stunden der Datenschutzmeldung ablaufen, steht im Beitrag zur Datenpanne in der Einrichtung.

Hat eine Aufsichts­behörde nach Art. 55 oder 56 DSGVO wegen desselben Verhaltens ein Bußgeld verhängt, darf nach dem BSIG keine weitere Geldbuße folgen (§ 65 Abs. 11 BSIG). Für Bußgelder kirchlicher Aufsichten nach KDG oder DSG-EKD ist das ungeklärt. Verstöße gegen Maßnahmen-, Dokumentations- und Meldepflichten können bei wichtigen Einrichtungen mit bis zu 7 Millionen Euro geahndet werden, bei besonders wichtigen mit bis zu 10 Millionen Euro; bei der Registrierung reicht der Rahmen bis 500.000 Euro (§ 65 Abs. 5 BSIG).

Wenn erfasst, wenn nicht erfasst, wenn unklar

Wenn der Träger erfasst ist

Ohne Antrag und ohne Bescheid gelten die Pflichten, für bereits erfasste Träger seit dem 6. Dezember 2025. Vorrang haben die Registrierung, falls sie fehlt, ein Meldeweg für die Erstmeldung binnen 24 Stunden und ein dokumentiertes Risikomanagement. Die Meldepflicht gilt allerdings frühestens ab Einrichtung des Meldewegs durch das BSI (§ 32 Abs. 1 Satz 2 BSIG). Die Geschäfts­leitung plant ihre eigene Schulung ein.

Wenn der Träger nicht erfasst ist

Registrierung, Meldung an das BSI und die Pflichten aus § 38 entfallen. Die Pflichten zur Sicherheit der Daten sind dann andere, entfallen aber nicht. Nach der DSGVO braucht es Maßnahmen für ein dem Risiko angemessenes Schutzniveau, einschließlich Verfügbarkeit und rascher Wiederherstellung nach einem Zwischenfall (Art. 32 DSGVO). Katholische Träger verpflichtet § 26 KDG dazu (in der Fassung des jeweiligen Bistums), evangelische Träger § 27 DSG-EKD, der in Abs. 6 ausdrücklich IT-Sicherheit verlangt.

Druck kann über Verträge kommen: Erfasste Partner, etwa ein Krankenhaus, müssen die Sicherheit ihrer Lieferkette regeln (§ 30 Abs. 2 Nr. 4 BSIG) und können Anforderungen an Dienstleister weitergeben. Was ein Angriff auch ohne NIS2 bedeutet, zeigt der Fall eines Wohlfahrts­verbands in den ersten Tagen nach einem Cyberangriff.

Wenn es unklar bleibt

Das betrifft vor allem Träger mit ärztlich verordneter medizinischer Pflege, Reha, Hospiz oder therapeutischen Angeboten unter einem größeren Dach. Das BSI rät bei Unklarheiten zu juristischer Unterstützung (Infopaket Gesundheit; allgemeine FAQ). Zu prüfen ist auch, ob Tätigkeiten außerhalb der Pflege unter eine andere Einrichtungsart der Anlagen 1 und 2 fallen.

Ändern kann sich die Lage noch. Die EU-Kommission hat im Januar 2026 vorgeschlagen, die Langzeitpflege in der NIS2-Richtlinie ausdrücklich auszunehmen, weil es Probleme bei der Auslegung des Anwendungsbereichs gab (COM(2026) 13). Beschlossen ist der Vorschlag nicht; das Verfahren liegt im Ausschuss des Europäischen Parlaments. Was bis 2028 sonst ansteht, sammelt der Fristenkalender.

Die Überwachung von Sicherheit der Verarbeitung und Meldewegen nach DSGVO, KDG und DSG-EKD gehört zu den Aufgaben des externen Datenschutz­beauftragten; die Einordnung nach NIS2 im Einzelfall bleibt eine juristische Prüfung.

Weitere Fragen

Quellen

1. Bundesgesetzblatt: Gesetz zur Umsetzung der NIS-2-Richtlinie und zur Regelung wesentlicher Grundzüge des Informations­sicherheitsmanagements in der Bundesverwaltung vom 2. Dezember 2025, BGBl. 2025 I Nr. 301, ausgegeben am 5. Dezember 2025, Art. 30. recht.bund.de (PDF), abgerufen am 8. Oktober 2026.
2. Bundesministerium der Justiz und für Verbraucherschutz: BSI-Gesetz (BSIG) vom 2. Dezember 2025, zuletzt geändert durch Gesetz vom 23. Juli 2026 (BGBl. 2026 I Nr. 226), §§ 2, 28, 30, 32, 33, 38, 61, 62, 65 und Anlagen 1 und 2. gesetze-im-internet.de, abgerufen am 8. Oktober 2026.
3. Bundesministerium der Justiz und für Verbraucherschutz: Gesetz über Ordnungswidrigkeiten (OWiG), §§ 9, 30 und 130. § 9 OWiG, § 30 OWiG und § 130 OWiG, abgerufen am 8. Oktober 2026.
4. Deutscher Bundestag: Gesetzentwurf der Bundesregierung zur Umsetzung der NIS-2-Richtlinie, Drucksache 21/1501 vom 8. September 2025, S. 113, 144 f., 154 und 177 f. bundestag.de (PDF), abgerufen am 8. Oktober 2026.
5. Bundesamt für Sicherheit in der Informationstechnik (BSI): Sektorspezifische Fragen und Antworten zu NIS-2, Abschnitt Gesundheit, Fragen 1 und 4. bsi.bund.de, abgerufen am 8. Oktober 2026 (Seite ohne Datum).
6. Bundesamt für Sicherheit in der Informationstechnik (BSI): Allgemeine FAQ zu NIS-2, Abschnitte Anwendungsbereich und Betroffenheit (mit Auslegungshilfe zu § 28 Abs. 3), Pflichten und Anforderungen, Registrierung, Geschäfts­leitung. bsi.bund.de, abgerufen am 8. Oktober 2026 (Seite ohne Datum).
7. Bundesamt für Sicherheit in der Informationstechnik (BSI): #nis2know: Gesundheitswesen (Infopaket Gesundheit), Fallbeispiele Pflegedienste, Hospize, Reha- und Kureinrichtungen, Krankenhäuser, Rettungsdienste. bsi.bund.de, abgerufen am 8. Oktober 2026 (Seite ohne Datum).
8. Bundesamt für Sicherheit in der Informationstechnik (BSI): Geschäfts­leitungsschulungen gemäß BSIG (NIS-2), Handreichung, Version 1.0 vom 17. April 2026, Kapitel 1.2 und 1.5. bsi.bund.de (PDF), abgerufen am 8. Oktober 2026.
9. Europäisches Parlament und Rat: Richtlinie (EU) 2022/2555 (NIS-2-Richtlinie), Art. 20 und Anhang I Nr. 5. EUR-Lex, abgerufen am 8. Oktober 2026.
10. Europäisches Parlament und Rat: Richtlinie 2011/24/EU über die Ausübung der Patientenrechte in der grenzüberschreitenden Gesundheitsversorgung, Art. 1 Abs. 2 und 3, Art. 3. EUR-Lex, abgerufen am 8. Oktober 2026.
11. Europäische Kommission: Empfehlung 2003/361/EG betreffend die Definition der Kleinstunternehmen sowie der kleinen und mittleren Unternehmen, Anhang Art. 3 bis 5. EUR-Lex, abgerufen am 8. Oktober 2026.
12. Europäische Kommission: Vorschlag zur Änderung der Richtlinie (EU) 2022/2555, COM(2026) 13 final vom 20. Januar 2026, Erwägungsgrund 3 und Änderung von Anhang I. EUR-Lex, abgerufen am 8. Oktober 2026.
13. Europäisches Parlament: Legislative Observatory, Procedure File 2026/0012(COD). europarl.europa.eu, abgerufen am 8. Oktober 2026.
14. Europäisches Parlament und Rat: Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung), Art. 32, 33, 55 und 56. EUR-Lex, abgerufen am 8. Oktober 2026.
15. Verband der Diözesen Deutschlands, bekannt gemacht vom Bistum Augsburg: Gesetz über den Kirchlichen Datenschutz (KDG), geändert durch Beschluss vom 24. November 2025, Amtsblatt für die Diözese Augsburg 2026, Nr. 2, §§ 26 und 33. bistum-augsburg.de (PDF), abgerufen am 8. Oktober 2026.
16. Evangelische Kirche in Deutschland: EKD-Datenschutzgesetz (DSG-EKD), Bekanntmachung der Neufassung vom 15. Januar 2025, ABl. EKD 2025, S. 1, §§ 27 und 32. kirchenrecht-ekd.de (PDF), abgerufen am 8. Oktober 2026.
17. Bundesministerium der Justiz und für Verbraucherschutz: § 31a Bürgerliches Gesetzbuch und § 43 GmbH-Gesetz. § 31a BGB und § 43 GmbHG, abgerufen am 8. Oktober 2026.
18. Der Paritätische Gesamtverband: NIS2. Deutsche Umsetzung der europäischen Regeln für Cybersicherheit, Fachinfo vom 28. Januar 2026 (Verbandsinformation). der-paritaetische.de, abgerufen am 8. Oktober 2026.
19. Caritas-Netzwerk IT e. V.: NIS-2 und die Caritas, Fassung 2.0 vom 2. August 2026, Kapitel 6 (Verbandsauffassung; nach eigenen Angaben ohne juristische Prüfung). caritas-netzwerk-it.de, abgerufen am 8. Oktober 2026.
20. Bundesverband privater Anbieter sozialer Dienste e. V. (bpa): Neue Vorgaben zur Cybersicherheit für Pflegeunternehmen, Arbeitshilfe zu NIS-2, Stand 3. Februar 2026, Abschnitt C.1 (Verbandsinformation). bpa.de (PDF), abgerufen am 8. Oktober 2026.

Christian Monat

Ich bin externer Datenschutz­beauftragter mit IHK-Abschluss und seit 2019 in Team- und Einrichtungsleitung im Sozialwesen tätig. Hier schreibe ich über Datenschutz, Schweigepflicht und den geregelten Einsatz von KI in der Sozialen Arbeit und Pflege. Mehr über mich

Der Beitrag erklärt die Rechtslage und ersetzt keine Rechtsberatung im Einzelfall.