NIS2 für Pflegeeinrichtungen: Wer betroffen ist und was zu tun ist

Kurze Antwort

NIS2 für Pflegeeinrichtungen betrifft weniger Einrichtungen, als oft angenommen wird. Das BSI-Gesetz erfasst im Sektor Gesundheit nur Erbringer von Gesundheitsdienstleistungen im Sinne der Richtlinie 2011/24/EU; Einrichtungen der Langzeitpflege fallen nach Auffassung des BSI nicht darunter. Pflegeheime und reine SGB-XI-Pflegedienste sind deshalb in der Regel nicht betroffen. Offen ist die Lage bei Diensten mit häuslicher Krankenpflege und bei Trägern, die zugleich Krankenhäuser, MVZ oder eine eigene IT-Gesellschaft betreiben.

Stand: November 2026

Das Wichtigste in Kürze

• Langzeitpflege ist nach Richtlinie 2011/24/EU, Gesetzesbegründung und BSI-FAQ kein Gesundheitsdienstleister im Sinne des BSI-Gesetzes.
• Häusliche Krankenpflege und außerklinische Intensivpflege nach dem SGB V sind nicht ausdrücklich geregelt; hier ist eine dokumentierte Einzelfallprüfung nötig.
• Betroffen sind erfasste Einrichtungen ab 50 Beschäftigten oder jeweils mehr als 10 Millionen Euro Umsatz und Bilanzsumme; verbundene Unternehmen werden mitgerechnet.
• Träger prüfen je Rechtsträger: Krankenhaus, MVZ und konzerneigene IT-Gesellschaft können betroffen sein, auch wenn die Pflegeheime es nicht sind.
• Betroffene müssen sich registrieren, Risikomanagement nach § 30 BSIG betreiben, Vorfälle nach § 32 BSIG melden und die Geschäftsleitung schulen.
• Das BSI bestätigt die Betroffenheit nicht; die Entscheidung liegt bei der Einrichtung und sollte schriftlich begründet sein.

Fallen Pflegeeinrichtungen unter die Sektordefinition?

Kurze Antwort

Für die Langzeitpflege nein. Anlage 1 Nr. 4.1.1 BSIG erfasst „Erbringer von Gesundheitsdienstleistungen im Sinne der Richtlinie 2011/24/EU“. Diese Richtlinie nimmt Dienstleistungen der Langzeitpflege aus, deren Ziel die Unterstützung bei routinemäßigen, alltäglichen Verrichtungen ist.

Die Herleitung in drei Schritten:

1. BSI-Gesetz: Der Sektor Gesundheit in Anlage 1 enthält keine eigene Definition, sondern verweist auf die Patientenmobilitätsrichtlinie 2011/24/EU.
2. Richtlinie 2011/24/EU: Gesundheitsversorgung sind Gesundheitsdienstleistungen, die Angehörige der Gesundheitsberufe gegenüber Patientinnen und Patienten erbringen, um deren Gesundheitszustand zu beurteilen, zu erhalten oder wiederherzustellen (Art. 3 Buchst. a). Ausgenommen ist nach Art. 1 Abs. 3 Buchst. a die Langzeitpflege, die Menschen bei alltäglichen Verrichtungen unterstützt.
3. Gesetzesbegründung und BSI: Die Begründung zum NIS2-Umsetzungsgesetz folgert daraus, dass Einrichtungen der Langzeitpflege nicht als Gesundheitsdienstleister gelten. Das BSI beantwortet die Frage, ob der Sektor Einrichtungen der Langzeitpflege umfasst, in seinen sektorspezifischen FAQ mit Nein.

Schwieriger ist es bei Leistungen, die über die Langzeitpflege hinausgehen. Häusliche Krankenpflege nach § 37 SGB V und außerklinische Intensivpflege nach § 37c SGB V werden ärztlich verordnet und von Pflegefachpersonen erbracht, die nach der Richtlinie zu den Gesundheitsberufen zählen. Ob solche Leistungen als Gesundheitsdienstleistung gelten, regeln weder BSI-Gesetz noch BSI-FAQ ausdrücklich. Für Tages-, Nacht- und Kurzzeitpflege enthalten die FAQ ebenfalls keine eigene Aussage.

Einrichtung oder Leistung	Einschätzung (Stand November 2026)
Stationäre Langzeitpflege (Pflegeheim nach SGB XI)	nach BSI-FAQ nicht im Sektor Gesundheit
Ambulanter Dienst ausschließlich mit Leistungen nach SGB XI	als Langzeitpflege in der Regel nicht erfasst
Ambulanter Dienst mit häuslicher Krankenpflege (§ 37 SGB V)	nicht abschließend geklärt; Anteil und Art der Leistungen prüfen und dokumentieren
Außerklinische Intensivpflege (§ 37c SGB V)	nicht abschließend geklärt; Einzelfallprüfung
Tages-, Nacht- und Kurzzeitpflege	keine ausdrückliche BSI-Aussage; Einzelfallprüfung
Krankenhaus oder MVZ desselben Trägers	Gesundheitsdienstleister, betroffen ab den Größenschwellen
Konzerneigene IT-Gesellschaft mit administrativem Zugriff	kann als Managed Service Provider im Sektor Digitale Infrastruktur erfasst sein

Bei gemischten Einrichtungen hilft § 28 Abs. 3 BSIG: Geschäftstätigkeiten, die gemessen an der gesamten Tätigkeit vernachlässigbar sind, dürfen bei der Zuordnung unberücksichtigt bleiben. Nach den FAQ des BSI sind dafür Beschäftigte, Umsatz und Bilanzsumme des Bereichs Anhaltspunkte; wird die Tätigkeit in Satzung oder Gesellschaftsvertrag genannt, spricht das gegen Vernachlässigbarkeit.

Welche Schwellenwerte gelten?

Kurze Antwort

Ist eine Einrichtung einem erfassten Sektor zugeordnet, ist sie ab 50 Beschäftigten oder mit jeweils mehr als 10 Millionen Euro Umsatz und Bilanzsumme eine wichtige Einrichtung, ab 250 Beschäftigten oder mit mehr als 50 Millionen Euro Umsatz und mehr als 43 Millionen Euro Bilanzsumme eine besonders wichtige.

Kategorie	Kriterien nach § 28 BSIG
Besonders wichtige Einrichtung	Betreiber kritischer Anlagen, oder mindestens 250 Beschäftigte, oder mehr als 50 Mio. Euro Jahresumsatz und mehr als 43 Mio. Euro Jahresbilanzsumme
Wichtige Einrichtung	mindestens 50 Beschäftigte, oder jeweils mehr als 10 Mio. Euro Jahresumsatz und Jahresbilanzsumme

Gerechnet wird nach der EU-Empfehlung 2003/361/EG. Daten von Partner- und verbundenen Unternehmen werden grundsätzlich hinzugerechnet, nach Auffassung des BSI auch, wenn diese außerhalb Deutschlands tätig sind. Sie bleiben außen vor, wenn die Einrichtung bei ihren IT-Systemen, Komponenten und Prozessen von diesen Unternehmen unabhängig ist (§ 28 Abs. 4 BSIG).

Wichtig für die Pflege: Die Größenschwellen allein begründen keine Betroffenheit. Ein Pflegeheim mit 300 Beschäftigten bleibt außerhalb des BSI-Gesetzes, wenn es keinem erfassten Sektor angehört.

Was gilt für Träger mit mehreren Einrichtungen?

Kurze Antwort

Die Betroffenheit wird je Einrichtung, also je Rechtsträger, geprüft. Die Muttergesellschaft wird nicht automatisch betroffen, weil eine Tochter betroffen ist, und umgekehrt. Über die Zurechnung von Beschäftigten und Umsätzen können aber kleine Gesellschaften des Verbunds die Schwellen überschreiten.

Typische Konstellationen bei Trägern von Pflegeeinrichtungen:

• Pflegeheime in eigenen Gesellschaften, daneben ein Krankenhaus oder MVZ: Die Pflegegesellschaften sind als Langzeitpflege in der Regel nicht erfasst. Das Krankenhaus oder MVZ ist Gesundheitsdienstleister; durch die Zurechnung der Verbunddaten kann es auch mit wenigen eigenen Beschäftigten wichtige oder besonders wichtige Einrichtung sein.
• Krankenhaus und Pflegeeinrichtungen in einer Gesellschaft: Die Gesellschaft ist als Gesundheitsdienstleister erfasst. Die Pflichten aus § 30 BSIG beziehen sich auf die IT-Systeme, Komponenten und Prozesse, die sie für die Erbringung ihrer Dienste nutzt. Teilen Krankenhaus und Pflege dieselbe IT, lässt sich die Pflege in der Praxis kaum ausklammern.
• Eigene IT-Gesellschaft: Erbringt sie mit administrativem Zugriff operative IT-Leistungen für die anderen Gesellschaften, ist sie nach den FAQ des BSI als Managed Service Provider einzuordnen, auch wenn sie nur innerhalb des Verbunds tätig ist. Ab den Größenschwellen ist sie selbst betroffen, unabhängig davon, ob die betreuten Pflegeheime es sind.

Jede betroffene Gesellschaft braucht ein eigenes Profil in „Mein Unternehmenskonto“ und registriert sich selbst beim BSI.

Welche Pflichten haben betroffene Einrichtungen?

Kurze Antwort

Registrierung beim BSI (§ 33), Risikomanagementmaßnahmen (§ 30), Meldung erheblicher Sicherheitsvorfälle (§ 32) sowie Umsetzung, Überwachung und Schulung durch die Geschäftsleitung (§ 38 BSIG).

Registrierung (§ 33 BSIG): spätestens drei Monate nach Eintritt der Betroffenheit, mit Angaben wie Name, Rechtsform, Kontaktdaten, öffentlichen IP-Adressbereichen und Sektor. Für Einrichtungen, die schon beim Inkrafttreten des Gesetzes am 6. Dezember 2025 betroffen waren, lief die Frist am 6. März 2026 ab. Änderungen sind binnen zwei Wochen zu melden. Den Ablauf beschreibt der Artikel NIS2-Registrierung beim BSI.

Risikomanagement (§ 30 BSIG): geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen nach dem Stand der Technik, dokumentiert. Die zehn Mindestmaßnahmen mit Beispielen aus Trägern mit Pflege und Klinik:

Maßnahme nach § 30 Abs. 2 BSIG	Beispiel
Risikoanalyse und Sicherheitskonzepte	Welche Systeme braucht die Versorgung, etwa Pflegedokumentation, Medikation, Dienstplanung?
Bewältigung von Sicherheitsvorfällen	Meldekette, auch nachts und am Wochenende
Aufrechterhaltung des Betriebs	Backups, Wiederanlauf, Papierdokumentation bei Ausfall
Sicherheit der Lieferkette	Anforderungen an Software-Anbieter und Fernwartung
Sicherheit bei Erwerb, Entwicklung und Wartung	Schwachstellen- und Patchmanagement
Bewertung der Wirksamkeit	Interne Prüfungen, Kennzahlen, Übungen
Schulungen und Sensibilisierung	Regelmäßige Awareness-Schulungen für alle Beschäftigten
Kryptografie	Verschlüsselung mobiler Geräte im ambulanten Dienst
Personalsicherheit, Zugriffskontrolle, Verwaltung der IT-Systeme	Rollen und Rechte, Ein- und Austritte, Inventar
Multi-Faktor-Authentifizierung, gesicherte Kommunikation, Notfallkommunikation	MFA für Fernzugänge, Notfall-Telefonliste

Meldepflichten (§ 32 BSIG): Erhebliche Sicherheitsvorfälle sind binnen 24 Stunden nach Kenntnis als frühe Erstmeldung, binnen 72 Stunden mit erster Bewertung und spätestens einen Monat danach mit einer Abschlussmeldung zu melden. Details im Artikel NIS2-Meldepflicht.

Geschäftsleitung (§ 38 BSIG): Sie muss die Maßnahmen umsetzen und überwachen, haftet bei schuldhafter Pflichtverletzung nach dem jeweiligen Gesellschaftsrecht und muss regelmäßig an Schulungen teilnehmen. Mehr dazu im Artikel NIS2-Schulungspflicht der Geschäftsleitung.

Welche Bußgelder drohen?

Kurze Antwort

Bis zu 10 Millionen Euro für besonders wichtige und bis zu 7 Millionen Euro für wichtige Einrichtungen, bei mehr als 500 Millionen Euro Gesamtumsatz bis zu 2 beziehungsweise 1,4 Prozent des weltweiten Umsatzes (§ 65 BSIG).

Wer die Registrierungsangaben nicht oder nicht rechtzeitig übermittelt, riskiert ein Bußgeld von bis zu 500.000 Euro. Für große Trägerverbünde ist die Umsatzgrenze relevant, weil der Gesamtumsatz des Unternehmens zugrunde gelegt wird.

Wie stellen Sie die Betroffenheit sicher fest?

Kurze Antwort

Mit einer schriftlich begründeten Prüfung je Rechtsträger. Die Betroffenheitsprüfung des BSI gibt eine erste Orientierung, ist aber ausdrücklich rechtlich unverbindlich; das BSI teilt die Betroffenheit nicht individuell mit.

Für Pflegeeinrichtungen sollte die Dokumentation mindestens enthalten:

1. Leistungsprofil: Welche Leistungen erbringt die Gesellschaft nach SGB XI, welche nach SGB V (§ 37, § 37c), mit welchem Anteil an Umsatz und Beschäftigten?
2. Sektorzuordnung: Begründung, warum die Leistungen Langzeitpflege sind oder als Gesundheitsdienstleistung gelten können, mit Verweis auf Anlage 1 BSIG, Richtlinie 2011/24/EU und BSI-FAQ.
3. Größe: Beschäftigte, Umsatz und Bilanzsumme nach Empfehlung 2003/361/EG, einschließlich verbundener Unternehmen, und gegebenenfalls Begründung der IT-Unabhängigkeit.
4. Weitere Einrichtungsarten: Ist die Gesellschaft auch IT-Dienstleister für andere?
5. Ergebnis und Wiedervorlage: Entscheidung, Datum, Verantwortliche und Termin zur erneuten Prüfung, etwa bei Wachstum oder neuen Leistungen.

Eine schnelle erste Einschätzung bietet unser NIS2-Check für Gesundheitseinrichtungen. Bei strittigen Fällen empfiehlt auch das BSI juristische Unterstützung.

Wie gehen Träger mit mehreren Einrichtungen vor?

Kurze Antwort

Zuerst eine Landkarte aller Gesellschaften und Leistungen, dann die Prüfung je Rechtsträger, danach ein gemeinsames Sicherheitsmanagement für den Verbund, das betroffene und nicht betroffene Gesellschaften einbezieht.

1. Verbund erfassen: alle Gesellschaften mit Leistungen, Beschäftigten, Umsatz, Bilanzsumme und gemeinsam genutzter IT.
2. Je Gesellschaft prüfen und das Ergebnis dokumentieren (siehe oben).
3. Betroffene registrieren: eigenes Unternehmenskonto, Registrierung im BSI-Portal, Ansprechpersonen benennen.
4. Gemeinsames ISMS aufbauen: Ein Informationssicherheitsmanagement für den ganzen Verbund vermeidet Doppelarbeit. Gemeinsam genutzte IT wird ohnehin nach dem höchsten Schutzbedarf abgesichert.
5. Meldekette festlegen: Wer meldet für welche Gesellschaft, wie wird die Datenschutzmeldung nach Art. 33 DSGVO eingebunden?
6. Geschäftsleitungen schulen: Für jede betroffene Gesellschaft gilt § 38 BSIG; Schulungen dokumentieren.
7. Nicht betroffene Pflegegesellschaften einbeziehen: Sie unterliegen weiter der DSGVO und sind über gemeinsame Netze oft eng mit betroffenen Gesellschaften verbunden.

Wie ein Informationssicherheitsbeauftragter diese Aufgaben steuert, beschreibt der Artikel Informationssicherheitsbeauftragter im Krankenhaus.

Welche Schulungen helfen bei der Umsetzung?

Kurze Antwort

Geschäftsleitungen betroffener Gesellschaften müssen sich nach § 38 BSIG regelmäßig schulen lassen. Für die Umsetzung brauchen Träger außerdem Fachleute für Informationssicherheit und sensibilisierte Beschäftigte.

Aufgabe	Passendes Seminar	Dauer
Betroffenheit und Pflichten bewerten (Geschäftsleitung, Vorstand)	NIS-2 Richtlinie – Anforderungen verstehen und Auswirkungen bewerten	1 Tag
NIS2-Umsetzung im Verbund steuern	Zertifizierter NIS-2-Beauftragter	3 Tage
Informationssicherheitsmanagement aufbauen	Informationssicherheitsbeauftragte(r) mit TÜV-Rheinland-geprüfter Qualifikation	3 Tage
Patientendaten und Systeme technisch schützen	Healthcare-Security	3 Tage
Alle Beschäftigten sensibilisieren	IT-Security Awareness	1 Tag

Alle Seminare sind auch als Inhouse-Schulung für Ihren Träger möglich. Weitere Angebote finden Sie unter Cybersecurity-Schulungen.

Fazit

Für die meisten Pflegeheime und reinen SGB-XI-Pflegedienste gilt NIS2 nicht, weil die Langzeitpflege nicht zum Sektor Gesundheit des BSI-Gesetzes gehört. Entwarnung für alle bedeutet das nicht: Dienste mit häuslicher Krankenpflege oder Intensivpflege bewegen sich in einem ungeklärten Bereich, und Träger mit Krankenhaus, MVZ oder eigener IT-Gesellschaft sind oft über diese Gesellschaften betroffen. Entscheidend ist eine nachvollziehbare, dokumentierte Prüfung je Rechtsträger. Wer zudem die Maßnahmen aus § 30 BSIG als Maßstab nimmt, erfüllt auch die Anforderungen der DSGVO besser und ist auf Angriffe vorbereitet.

Hinweis: Dieser Überblick ersetzt keine Rechtsberatung.

Quellen

1. Anlage 1 BSIG. Bundesministerium der Justiz. Nr. 4.1.1 und 6.1.10.
2. Richtlinie 2011/24/EU (Patientenmobilitätsrichtlinie). Art. 1 Abs. 3 Buchst. a und Art. 3.
3. Sektorspezifische FAQ zu NIS-2. Bundesamt für Sicherheit in der Informationstechnik. Abschnitt Gesundheit.
4. FAQ zu NIS-2 (allgemein). Bundesamt für Sicherheit in der Informationstechnik. Anwendungsbereich, Managed Service Provider, Registrierung.
5. NIS-2-Betroffenheitsprüfung. Bundesamt für Sicherheit in der Informationstechnik.
6. § 28 BSIG – Einstufung und Schwellenwerte. Bundesministerium der Justiz.
7. § 30 BSIG – Risikomanagement. Bundesministerium der Justiz.
8. § 32 BSIG – Meldepflichten und § 33 BSIG – Registrierung. Bundesministerium der Justiz.
9. § 38 BSIG – Pflichten der Geschäftsleitung. Bundesministerium der Justiz.
10. § 65 BSIG – Bußgeldvorschriften. Bundesministerium der Justiz.

Passende Schulungen

Vertiefen Sie das Thema mit Ihrem Team – im offenen Seminar oder als Inhouse-Schulung.

• NIS-2 Richtlinie – Anforderungen verstehen und Auswirkungen für Unternehmen bewerten1 Tag · nächster Termin 06.11.2026
• Zertifizierter NIS-2-Beauftragter: Sicherheit im Fokus - NIS-2 verstehen und in der Praxis effektiv umsetzen3 Tage · nächster Termin 11.–13.11.2026
• Healthcare-Security – Patientendaten, Systeme und Versorgung sicher schützen3 Tage · nächster Termin 09.–11.11.2026
• BSI - Informationssicherheitsbeauftragte(r) mit TÜV Rheinland geprüfter Qualifikation3 Tage · nächster Termin 09.–11.11.2026
• Alle Seminare: CybersecurityTermine, Inhalte und Inhouse-Angebote