Compliance abhaken: Jetzt mit SECJUR durchstarten und ab Januar 2024 zahlen.
.svg)
.svg)
NIS2 Checkliste für gemeinnützige Organisationen: Rettungsdienst ja, Langzeitpflege nein, Ehrenamtliche zählen nicht mit und wie der Vorstand haftet.
Wohlfahrt und NGO sind keine Sektoren des Gesetzes. Die richtige Frage lautet deshalb nicht, ob NIS2 für gemeinnützige Organisationen gilt, sondern welche Einrichtung innerhalb eines Verbands erfasst ist. Und dort ist die Antwort präziser, als sie in Zusammenfassungen meist erscheint.
Die Anlage 1 des BSIG nennt im Gesundheitswesen Erbringer von Gesundheitsdienstleistungen im Sinne der Richtlinie 2011/24/EU. Das BSI hat für zwei Bereiche, die bei Wohlfahrtsverbänden häufig unter einem Dach liegen, ausdrücklich Position bezogen. Rettungsdienste fallen darunter, weil sie unter den Begriff der Gesundheitsvorsorge fallen, Gesundheitsfachkräfte wie Notfallsanitäter einsetzen und die Leistung unmittelbar am Patienten erbringen.
Für die Pflege gilt das Gegenteil. Einrichtungen der Langzeitpflege, deren Schwerpunkt in der Unterstützung bei routinemäßigen, alltäglichen Verrichtungen liegt, gelten nicht als Gesundheitsdienstleister, denn Artikel 1 Absatz 3 Buchstabe a der Richtlinie 2011/24/EU nimmt sie ausdrücklich aus. Ambulante Pflegedienste und Pflegeheime bleiben damit in der Regel außerhalb, sofern sie nicht in erheblichem Umfang medizinische Leistungen erbringen. Ein Verband mit Rettungswache, Klinik und Pflegeheim führt deshalb drei Prüfungen mit drei Ergebnissen, und genau diese Differenzierung ist das erste Dokument, das ein Prüfer sehen will.
Nein, und das entscheidet in vielen Organisationen über die Betroffenheit. § 28 Absatz 4 BSIG verweist für die Beschäftigtenzahl auf die Empfehlung 2003/361/EG der Kommission, und deren Anhang rechnet in Jahresarbeitseinheiten. Gezählt werden Beschäftigte, Teilzeitkräfte anteilig; Auszubildende und Personen mit Ausbildungs- oder Praktikumsvertrag zählen nicht mit, Zeiten des Mutterschafts- und Elternurlaubs ebenfalls nicht. Ehrenamtliche ohne Arbeitsvertrag sind keine Beschäftigten im Sinne dieser Berechnung.
Dazu kommt ein zweites Tatbestandsmerkmal, das in gemeinnützigen Strukturen oft übersehen wird: § 28 Absatz 1 Nummer 4 und Absatz 2 Nummer 3 BSIG erfassen nur Einrichtungen, die anderen Personen Waren oder Dienstleistungen entgeltlich anbieten. Rein spenden- oder zuwendungsfinanzierte Tätigkeit ohne Entgeltverhältnis liegt außerhalb, entgeltliche Leistungen etwa gegenüber Kostenträgern liegen innerhalb. Beide Punkte gehören schriftlich geprüft und begründet, weil sie die Betroffenheit an der Wurzel entscheiden.
Es heißt verhältnismäßig, und der Maßstab steht im Gesetz. § 30 Absatz 1 BSIG verlangt geeignete, verhältnismäßige und wirksame Maßnahmen und nennt dafür fünf Kriterien: Risikoexposition, Größe der Einrichtung, Umsetzungskosten sowie Eintrittswahrscheinlichkeit und Schwere möglicher Vorfälle. Ein Verband mit fünfzig Beschäftigten schuldet damit nicht das Programm eines Konzerns.
Die Untergrenze ist aber gesetzt. § 30 Absatz 2 BSIG nennt zehn Themen, die mindestens abgedeckt sein müssen, und drei davon sind mit kleinem Budget umsetzbar: die Aufrechterhaltung des Betriebs einschließlich Backup-Management und Wiederherstellung nach Nummer 3, grundlegende Schulungen und Sensibilisierung nach Nummer 7 und Mehrfaktor-Authentifizierung nach Nummer 10. Der Umfang ist verhandelbar, die Themen sind es nicht. Wer das in dieser Reihenfolge angeht, hat mit wenig Geld den größten Teil der Wirkung.
Zweistufig, und für das Ehrenamt gibt es eine Privilegierung. § 38 Absatz 1 BSIG verpflichtet die Leitung, die Risikomanagementmaßnahmen umzusetzen und ihre Umsetzung zu überwachen, Absatz 3 verlangt regelmäßige Schulungen der Leitung selbst, und Absatz 2 verweist auf die Haftung nach den Regeln des jeweiligen Gesellschaftsrechts.
Für den eingetragenen Verein ist das § 31a BGB: Organmitglieder, die unentgeltlich tätig sind oder eine Vergütung von nicht mehr als 3.300 Euro jährlich erhalten, haften dem Verein für einen bei der Wahrnehmung ihrer Pflichten verursachten Schaden nur bei Vorsatz oder grober Fahrlässigkeit, und nach Absatz 2 können sie vom Verein Freistellung verlangen, wenn ein Dritter sie in Anspruch nimmt. Wichtig ist die Grenze dieser Privilegierung: Sie betrifft die Haftung gegenüber dem Verein, nicht das Bußgeld nach § 65 BSIG und nicht die Schulungspflicht. Ein Vorstandsbeschluss, ein Protokoll der Überwachung und ein Schulungsnachweis sind also auch im Ehrenamt zu führen, und sie sind gleichzeitig der beste Nachweis dafür, dass keine grobe Fahrlässigkeit vorlag.
Drei. Erstens der Zugangswechsel im Ehrenamt. Helferinnen und Helfer kommen und gehen häufiger als Angestellte, und geteilte Logins überleben jeden Wechsel. Namentliche Konten und eine Regel für das Entziehen sind hier wirksamer als jede zusätzliche Richtlinie.
Zweitens die Spender- und Klientendaten in Fremdwerkzeugen. Tabellen, Newsletter-Dienste und Spendenplattformen verarbeiten sensible Daten, und für diese Dienstleister braucht es eine Übersicht mit Verantwortlichen, unabhängig davon, ob die eigene Einrichtung NIS2-pflichtig ist. Drittens die dokumentierte Nichtbetroffenheit je Einrichtung. Wer zu dem Ergebnis kommt, nicht erfasst zu sein, braucht dieselbe schriftliche Begründung wie jemand, der erfasst ist, denn Zuwendungsgeber und regulierte Auftraggeber fragen genau danach.
Die Checkliste richtet sich an Vorstände und Geschäftsführungen, IT- und Datenschutzverantwortliche sowie Verantwortliche in Wohlfahrtsverbänden, Trägern der freien Wohlfahrtspflege, Stiftungen und Vereinen. Laden Sie sie kostenfrei herunter.
Sprechen Sie mit unseren Expert:innen und erfahren Sie, wie das Digital Compliance Office Ihre Compliance automatisiert.
Gespräch vereinbaren