Cybersicherheit: Welche Regelwerke zu beachten sind

Der Gesetzgeber hat den regulatorischen Rahmen in den letzten zehn Jahren massiv verschärft: NIS-2, das KRITIS-Dachgesetz, das Datenschutzgesetz der EKD (DSG-EKD) und ein deutlich gestärktes BSI machen Cybersicherheit zu einer originären Leitungsaufgabe. Mit der NIS-2-Richtlinie hat die EU ihren Ansatz zur Cybersicherheit grundlegend ausgeweitet. In Deutschland trat das Umsetzungsgesetz am 6. Dezember 2025 in Kraft – ohne Übergangsfristen.

Die Folgen sind konkret: Die Zahl der vom BSI beaufsichtigten Unternehmen und Einrichtungen wächst auf rund 30.000. Erfasst werden nicht nur klassische Betreiber kritischer Infrastrukturen, sondern auch „wichtige“ und „besonders wichtige Einrichtungen“ – häufig mittelständische Organisationen. Dazu können kleinere Krankenhäuser, Reha-Kliniken, MVZ, Rettungsdienste gehören, aber ggf. auch Dienstleister und Zulieferer durch Supply-Chain-Regeln, die sich bisher nicht als „kritisch“ wahrgenommen haben (§ 28 Abs. 2 BSIG). Werkstätten sollten prüfen, ob durch NIS-2 oder den IT-Sicherheitsstandard TISAX im Automobilumfeld neue Compliance-Vorgaben als Zulieferer zu erfüllen sind. Tabelle 1 gibt einen Überblick der von NIS-2 betroffenen Einrichtungsbereiche und Hilfearten.

Besonders für Komplexträger ist zu beachten, dass NIS-2 auf die Organisation als Rechtsträger abstellt. Die im BSI-Gesetz definierten Schwellwerte gelten für die gesamte Organisation. Wenn eine diakonische Stiftung als Gesundheitsdienstleister in einem Teilbereich tätig ist, müssen NIS-2-Vorgaben unter Umständen für die gesamte Organisation umgesetzt werden.

In diesem Fall gilt ein Bündel verbindlicher Pflichten:

• Registrierung beim BSI (§ 33 u. 34 BSIG), wenn die Organisation unter die NIS-2-Richtlinie fällt. Die Frist ist am 6. März 2026 abgelaufen.
  Praxis-Tipp: Eventuell betroffene Organisationen sollten sich dennoch registrieren und parallel eine Betroffenheitsanalyse durchführen. Je nach Ergebnis kann eine Registrierung später wieder zurückgezogen werden.

• Meldepflichten bei schwerwiegenden Sicherheitsvorfällen (§32 BSIG): Erstmeldung binnen 24 Stunden, ergänzende Meldung binnen 72 Stunden, Abschlussbericht spätestens nach einem Monat.​
• Unterrichtungspflichten bei schwerwiegenden Sicherheitsvorfällen (§ 35 BSIG): Analog zu den Auflagen des DSG-EKD, Betroffene bei Datenpannen zu informieren, formalisiert auch das NIS-2 diese Pflichten.
• Risikomanagementmaßnahmen nach § 30 BSIG: Das BSI-Gesetz definiert zehn wesentliche Maßnahmen, die in der Organisation etabliert und nach „Stand der Technik“ umgesetzt werden müssen. Hierzu zählen die Multi-Faktor-Authentifizierung, Prozesse zur Bewältigung von Sicherheitsvorfällen, Backup & Wiederherstellung, Schulungen, Zugriffsmanagement und weitere mehr.

Bemerkenswert aus Leitungssicht: NIS2 adressiert ausdrücklich die Unternehmensführung. Leitungsorgane müssen Cybersicherheitsmaßnahmen genehmigen, überwachen und sich selbst schulen lassen (§ 38 BSIG); sie bleiben für Verstöße in ihrem Verantwortungsbereich haftbar. Die Einstufungsfrage ist daher kein Detailthema, sondern haftungsrelevant.

Auch das DSG-EKD bleibt ein zentrales Normgefüge. Es verlangt „geeignete technische und organisatorische Maßnahmen“ zum Schutz personenbezogener Daten. Gerade im diakonischen Umfeld geht es dabei um besonders sensible Informationen wie Gesundheits- und Sozialdaten.​

Für die Praxis heißt das: Sicherheitsmängel können gleichzeitig Datenschutzverstöße darstellen – mit entsprechenden aufsichtsrechtlichen Konsequenzen.

Kirchliche und diakonische Unternehmen müssen darüber hinaus die IT-Sicherheitsverordnung der-EKD beachten: Diese schreibt die Erstellung eines IT-Sicherheitskonzepts für Organisationen unterschiedlicher Größe vor. Es sollte ähnliche Maßnahmen und Strukturen enthalten, wie sie im NIS-2-Umsetzungsgesetz vorgesehen sind.

Die rechtliche Verantwortung konzentriert sich auf die Organe der juristischen Person – also Vorstände und Geschäftsführungen. Mehrere Haftungsebenen greifen ineinander:

• Aufsichtsrechtlich: Bußgelder und Auflagen bei Verstößen gegen NIS-2/BSIG oder DSG-EKD.
• Zivilrechtlich: Schadensersatzansprüche Betroffener bei vermeidbaren Sicherheitsmängeln.
• Organhaftung intern: Regressforderungen bei groben Pflichtverletzungen.

Der zentrale Maßstab ist die Sorgfaltspflicht. Von der Geschäftsführung wird kein technisches Detailwissen erwartet, wohl aber, dass sie Risiken kennt, Prioritäten setzt, angemessene Ressourcen bereitstellt und Entscheidungen nachvollziehbar dokumentiert.