NIS2 ohne Übergangsfrist: Pflicht für Barmittelverwaltung

Seit dem 6. Dezember 2025 gilt das NIS2-Umsetzungsgesetz in Deutschland, ohne Übergangsfrist. Rund 29.500 Unternehmen fallen seither unter die neuen Cybersicherheitspflichten, mehr als sechsmal so viele wie zuvor. Für die Barmittelverwaltung in der Sozialwirtschaft bedeutet das: Wer Bewohnergelder digital führt, muss jetzt auch nachweisen können, wer wann worauf zugegriffen hat.

Verunsicherung statt Klarheit: Wer wirklich betroffen ist

Die Fachpresse beschreibt seit Monaten dieselbe Reaktion in der Pflegebranche: Verunsicherung. Ob ein einzelnes Pflegeheim, ein ambulanter Dienst oder eine Wohngruppe unter das NIS2-Umsetzungsgesetz fällt, hängt an harten Schwellenwerten: 50 Beschäftigte oder 10 Millionen Euro Jahresumsatz für wichtige Einrichtungen, 250 Beschäftigte oder 50 Millionen Euro für besonders wichtige. Einzelne Standorte bleiben oft darunter. Träger mit mehreren Einrichtungen, mehreren Hilfearten und einer gemeinsamen Verwaltung erreichen diese Zahlen dagegen schnell, auch wenn keine einzelne Einrichtung für sich genommen betroffen wäre. Elf von insgesamt achtzehn NIS2-Sektoren gelten dabei als besonders kritisch, Gesundheit ist einer davon. Das eigentliche Problem liegt tiefer: Nicht die einzelne Einrichtung, sondern die Trägerstruktur entscheidet.

Die Nachfrist ist vorbei, das Risiko bleibt

Die offizielle Registrierungsfrist lief am 6. März 2026 ab, das Bundesamt für Sicherheit in der Informationstechnik gewährte danach eine Nachfrist bis zum 31. Juli 2026. Die ist jetzt vorbei. Wer die Registrierung versäumt hat, riskiert ein Bußgeld von bis zu 500.000 Euro. Bei sonstigen Verstößen gegen die Cybersicherheitspflichten drohen besonders wichtigen Einrichtungen bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes, je nachdem, was höher ausfällt. Wer meldepflichtig ist, muss außerdem liefern: 24 Stunden für die Frühwarnung nach einem Sicherheitsvorfall, 72 Stunden für die Folgemeldung, ein Monat für den Abschlussbericht. Ohne lückenlose Protokollierung lässt sich diese Frist kaum einhalten. Hinzu kommt: Paragraf 28 NIS2UmsuCG zieht auch Dienstleister und Zulieferer in die Pflicht, ähnlich einem Lieferketten-Gesetz für IT-Sicherheit. Altenheim.net berichtet bereits von Marktbereinigungs-Ängsten in der Branche: Kleine Träger ohne eigene IT-Abteilung drohen bei der Umsetzung abgehängt zu werden. Aufsicht und Kostenträger fragen künftig nicht mehr nur nach der Kassenführung, sondern auch danach, wer digital worauf zugreifen darf.

Protokollierte Zugriffsverwaltung als Antwort

Wer die eigene Betroffenheit noch nicht abschließend geklärt hat, steht trotzdem nicht ohne Werkzeug da. Eine lückenlos protokollierte, revisionssichere Zugriffsverwaltung bei der digitalen Barmittel- und Verwahrgeldverwaltung liefert genau den Nachweis, den NIS2 verlangt und den Heimaufsicht sowie Kostenträger ohnehin längst erwarten. Wer zugreift, wann und worauf: Diese drei Fragen beantwortet ein digitales System automatisch, eine Excel-Tabelle mit geteiltem Passwort dagegen nie. Jede Buchung, jede Änderung und jede Auszahlung bleibt einer konkreten Nutzerin oder einem konkreten Nutzer zugeordnet, nachvollziehbar auch Monate später bei einer Prüfung durch Heimaufsicht oder Kostenträger. Als digitale Zahlungsinfrastruktur für die deutsche Sozialwirtschaft bildet Parto genau diese Zugriffsspur ab, von der einzelnen Buchung bis zur Auswertung je Einrichtung. Wie eine andere neue Regulierung schon heute die Barmittelverwaltung verändert, zeigt unser Artikel zur KI-Verordnung und Barmittelverwaltung. Sicherheit und Selbstbestimmung schließen sich dabei nicht aus: Wer den Zugriff sauber kontrolliert, schafft die Grundlage, auf der Bewohnerinnen und Bewohner ihr Geld weiterhin selbst verwalten.

Fazit

Ob die eigene Einrichtung formal unter NIS2 fällt, lässt sich oft erst nach genauer Prüfung der eigenen Trägerstruktur sagen. Die Frage, wer auf Bewohnergelder zugreifen darf und wie das nachvollziehbar bleibt, stellt sich unabhängig davon schon heute. NIS2-Konformität ist machbar, wenn Zugriffsverwaltung in der Barmittelverwaltung von Anfang an digital und lückenlos mitgedacht wird, nicht nachträglich draufgesetzt.