Orientierungshilfe "NIS-2 für Sozialwirtschaft und kirchliche Organisationen"
Herausgeber: FINSOZ e.V. Fachgruppe IT-Compliance Mai 2025
Die NIS-2-Verordnung (Network and Information Systems Directive) wurde von der Europäischen Union mit Wirkung zum 18.10.2024 eingeführt, um die Cybersicherheit in kritischen Infrastrukturen zu erhöhen und den Schutz der Netz- und Informationssysteme in den Mitgliedstaaten zu stärken. Sie baut auf der ersten NIS-Richtlinie auf und ist aufgrund der zunehmenden Zahl von Cyberangriffen und Bedrohungen in verschiedenen Sektoren entstanden.
Die Verordnung richtet sich an Unternehmen und Organisationen, die für die Bereitstellung wichtiger Dienste direkt oder indirekt verantwortlich sind. Organisationen sollten sich intensiv mit der NIS-2 auseinandersetzen, da die Anforderungen nicht nur technische Maßnahmen, sondern auch organisatorische Anpassungen und eine erhöhte Verantwortung im Bereich der Cybersicherheit umfassen.
In der NIS-2-Verordnung ist von „wichtigen“ und „besonders wichtigen“ Einrichtungen die Rede. Es gibt Schwellwerte anhand von Mitarbeiterzahl und Umsatz/Bilanzsummen, die zu berücksichtigen sind. Doch was gilt für Träger und Einrichtungen in der Sozialwirtschaft?
Eine pauschale Antwort ist gerade für Komplexträger mit den unterschiedlichen Leistungsangeboten in Pflege, Betreuung, Eingliederungshilfe, medizinischer Versorgung und weiteren Tätigkeitsfeldern nicht pauschal möglich. Für Teilbereiche ist anzunehmen, dass Betreuung und Pflege nicht als „Gesundheitsdienstleister“ im Sinne der Verordnung zu verstehen sind. In anderen Betätigungsfeldern wird eine Bewertung anders ausfallen müssen.
Darüber hinaus gibt es mittelbare Abhängigkeiten, die bei Dienstleistern wie auch von den Trägern selbst zu beachten sind. So können Verpflichtungen entstehen, weil Träger als Dienstleister und Zulieferer für andere tätig sind (z. B. in Werkstätten). Weiterhin müssen sich Sozialträger möglicherweise auch mit den Sicherheitspraktiken ihrer Zulieferer und Dienstleister beschäftigen.
Die Orientierungshilfe "NIS-2 für Sozialwirtschaft und kirchliche Organisationen" soll für eine erste Betroffenheitsanalyse Orientierung bieten. Dabei sollten weitere gesetzliche Auflagen nicht außer Acht gelassen werden (vgl. Abschnitt 3).
Wie auch immer eine Bewertung im Einzelfall ausfallen mag, eine Resilienz gegenüber Cybervorfällen und die kontinuierliche Risikobewertung sollte im Interesse einer jeden Organisation sein.
Erwerb und Kosten:
Der Leitfaden kann hier direkt kostenlos bestellt werden.
Bitte füllen Sie nachfolgendes Formular aus.