Ob Verschlüsselungstrojaner, Serverausfall beim Anbieter oder ein einfacher Stromausfall im eigenen Haus: Wenn die Software für Dokumentation, Dienstplanung und Medikation nicht mehr erreichbar ist, steht eine Einrichtung nicht still. Wer vorher festgelegt hat, welches System zuerst wieder laufen muss und wie in der Zwischenzeit auf Papier gearbeitet wird, übersteht den Ausfall ohne Versorgungslücke und ohne Nachweisproblem gegenüber Aufsicht oder Kostenträger. Dieser Beitrag ordnet die rechtlichen Pflichten ein und liefert einen Generator für den eigenen Notfall-Kurzplan.
Das Wichtigste in Kürze
- Das Datenschutzrecht verlangt von jedem Träger, der personenbezogene Daten verarbeitet, dass seine Systeme verfügbar und belastbar sind und sich nach einem Ausfall rasch wiederherstellen lassen.
- Der Business-Continuity-Standard des Bundesamts für Sicherheit in der Informationstechnik hilft dabei, für jedes System festzulegen, wie lange ein Ausfall höchstens dauern darf und wie die Datensicherung dagegen schützt.
- Verschlüsselt Ransomware personenbezogene Daten, muss der Träger das der Datenschutzaufsicht binnen 72 Stunden melden, wenn ein Risiko für die Betroffenen besteht.
- Ein schriftlicher Notfall-Kurzplan mit Ersatzverfahren auf Papier, Verantwortlichen und Notfallkontakten hält Betreuung, Pflege und Dokumentation auch ohne Software am Laufen.
- Legen Sie den Kurzplan mit dem Generator dieses Beitrags noch in diesem Quartal an und üben Sie ihn mindestens einmal im Jahr.
Betriebsfortführung (Business Continuity): die Fähigkeit einer Einrichtung, ihre wichtigsten Aufgaben, allen voran Betreuung, Pflege und Dokumentation, auch bei einem Ausfall der IT in einem vorher festgelegten Rahmen fortzusetzen.
Maximal tolerierbare Ausfallzeit: die Zeitspanne, die ein System oder ein Prozess höchstens ausfallen darf, bevor der Schaden für die Einrichtung oder die Betroffenen nicht mehr hinnehmbar ist (BSI-Standard 200-4).
Welche Pflichten berühren sich, wenn die Fachsoftware ausfällt?
Fachsoftware für Dokumentation, Dienstplanung und Medikation trägt heute das Tagesgeschäft in Pflege, Eingliederungshilfe, Kinder- und Jugendhilfe und den übrigen Feldern der Sozialen Arbeit. Fällt sie aus, ob durch einen Verschlüsselungstrojaner, einen Serverausfall beim Anbieter oder einen Stromausfall im eigenen Haus, berühren sich mehrere Pflichten gleichzeitig. Die Betreuung und Pflege der Klientinnen, Bewohner und Kinder muss weiterlaufen, unabhängig davon, ob ein Bildschirm zur Verfügung steht. Die laufende Dokumentation darf nicht abreißen, weil sie für die nächste Übergabe, für die Abrechnung und für eine mögliche Prüfung gebraucht wird. Und die Leitung ist ohnehin verpflichtet, auf einen solchen Ausfall vorbereitet zu sein, unabhängig davon, ob am Ende ein Datenschutzvorfall vorliegt.
Wie gut eine Einrichtung darauf vorbereitet ist, hängt auch davon ab, was der Vertrag mit dem Softwareanbieter zu Verfügbarkeit und Wiederherstellung regelt. Wie sich das prüfen lässt, zeigt ein eigener Beitrag zum Vertragscheck für Fachsoftware. Die folgenden Abschnitte ordnen die rechtlichen Pflichten und zeigen, wie ein Notfall-Kurzplan sie in wenigen Schritten umsetzt.
Was verlangt Artikel 32 der Datenschutz-Grundverordnung von der Leitung?
Artikel 32 der Datenschutz-Grundverordnung bindet jeden Träger, der personenbezogene Daten verarbeitet, also praktisch jede Einrichtung mit Klientenakten, Pflegedokumentation oder Personalunterlagen. Er verlangt unter Berücksichtigung des Stands der Technik, der Implementierungskosten sowie der Art, des Umfangs und der Risiken der eigenen Verarbeitung geeignete technische und organisatorische Maßnahmen (Art. 32 Abs. 1 DSGVO). Das Gesetz schreibt keine bestimmte Technik vor, es bindet den Aufwand an die tatsächliche Risikolage der Einrichtung.
Drei Anforderungen betreffen einen IT-Ausfall unmittelbar. Die Systeme müssen auf Dauer verfügbar und belastbar sein (Art. 32 Abs. 1 Buchst. b DSGVO). Nach einem physischen oder technischen Zwischenfall, worunter ein Serverausfall ebenso fällt wie ein Verschlüsselungstrojaner, muss die Verfügbarkeit der Daten rasch wiederherstellbar sein (Art. 32 Abs. 1 Buchst. c DSGVO). Und ein Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit der eigenen Maßnahmen muss bestehen (Art. 32 Abs. 1 Buchst. d DSGVO). Diese dritte Anforderung wird leicht übersehen: Ein Notfallplan, der seit der Erstellung nie getestet wurde, erfüllt sie nicht.
Beispiel
Angenommen, in einer ambulanten Pflegeeinrichtung verschlüsselt ein Trojaner nachts den Server mit der Dokumentationssoftware. Ohne vorher festgelegten Plan weiß am Morgen niemand, welches System zuerst wieder laufen muss und wer die Medikamentengabe in der Zwischenzeit auf Papier festhält. Genau diese Lücke soll ein Notfallplan vorher schließen.
Für die Leitung heißt das: Wer erst reagiert, wenn die Software tatsächlich ausfällt, handelt zu spät. Die Pflicht besteht schon vorher, in der Vorbereitung.
Wie baut der BSI-Standard 200-4 eine Notfallplanung auf und wie sichert man Daten richtig?
Wie eine Einrichtung die Pflicht aus Artikel 32 DSGVO in die Praxis übersetzt, sagt das Datenschutzrecht selbst nicht. Hier setzt der BSI-Standard 200-4 des Bundesamts für Sicherheit in der Informationstechnik an. Er bietet eine praxisnahe Anleitung für ein Business Continuity Management, also für die Fähigkeit einer Organisation, ihre wichtigsten Aufgaben auch bei einer Störung fortzusetzen, und verzahnt das mit Informationssicherheit und Krisenmanagement. Eine Zertifizierung ist dafür nicht vorgesehen, der Standard lässt sich unabhängig von der Größe der Einrichtung anwenden.
Ein Datenschutzrecht, das Verfügbarkeit und rasche Wiederherstellung verlangt, aber keinen Weg dorthin vorschreibt: Genau diese Lücke füllt der Business-Continuity-Standard des Bundesamts für Sicherheit in der Informationstechnik.
Zentral ist die maximal tolerierbare Ausfallzeit: die Zeitspanne, die ein Prozess oder ein System höchstens ausfallen darf, bevor der Schaden für die Einrichtung nicht mehr hinnehmbar ist. Für ein System, an dem die laufende Versorgung unmittelbar hängt, etwa die Pflegedokumentation, fällt diese Zeitspanne kürzer aus als für ein System ohne direkten Versorgungsbezug, etwa die interne Weiterbildungsverwaltung. Die Einrichtung legt diesen Wert für jedes System selbst fest, danach richtet sich die Reihenfolge des Wiederanlaufs.
Ein zentraler Baustein jeder Notfallplanung ist die Datensicherung. Der IT-Grundschutz-Baustein CON.3 des Bundesamts für Sicherheit in der Informationstechnik verlangt ein dokumentiertes Datensicherungskonzept, in dem eine Einrichtung festhält, was wie oft gesichert wird. Die Sicherungen gehören physisch getrennt von den Produktivsystemen aufbewahrt, damit ein Angriff, der die Fachsoftware verschlüsselt, nicht auch die Sicherung mit erfasst. Und die Wiederherstellung aus der Sicherung muss regelmäßig getestet werden, denn eine Sicherung, die sich im Ernstfall nicht zurückspielen lässt, ist keine. Welche Regeln für den Einsatz solcher Systeme, digital wie KI-gestützt, zusätzlich in ein QM-Handbuch gehören, zeigt ein eigener Beitrag zu den Regeln für den KI-Einsatz im QM-Handbuch.
Gilt NIS2 für Träger der Sozialen Arbeit und Pflege?
Seit die NIS2-Richtlinie über das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz am 6. Dezember 2025 in deutsches Recht übernommen wurde, lässt sich die Frage, ob ein Träger davon betroffen ist, anhand der Sektorliste in Anlage 1 des BSI-Gesetzes beantworten. Der Sektor Gesundheitswesen erfasst dort an erster Stelle Erbringer von Gesundheitsdienstleistungen im Sinne der Richtlinie 2011/24/EU, daneben EU-Referenzlaboratorien sowie Unternehmen der Arzneimittelforschung, der Arzneimittelherstellung und der Herstellung kritischer Medizinprodukte (Anlage 1 Nr. 4.1.1 BSIG).
Einrichtungen der Langzeitpflege sind davon ausdrücklich ausgenommen: Weil ihr Ziel die Unterstützung von Personen bei routinemäßigen, alltäglichen Verrichtungen ist und nicht die Gesundheitsdienstleistung selbst, fallen sie nach der Gesetzesbegründung nicht unter diese Definition. Eingliederungshilfe, Kinder- und Jugendhilfe, Suchthilfe und die übrigen Felder der Sozialen Arbeit werden in der Sektorliste nicht genannt.
Für Träger, die ausschließlich Pflege, Eingliederungshilfe, Kinder- und Jugendhilfe oder vergleichbare Aufgaben der Sozialen Arbeit übernehmen, folgt daraus: NIS2 verpflichtet sie nach heutigem Stand nicht unmittelbar. Das ändert nichts an der Pflicht aus Artikel 32 DSGVO, die unabhängig von Branche und Sektor für jede Verarbeitung personenbezogener Daten gilt. Wer zusätzlich ein Krankenhaus betreibt oder Medizinprodukte herstellt, prüft die eigene Einstufung gesondert, dieser Beitrag deckt das nicht ab.
Was gilt für Dokumentation und Meldepflicht, wenn der Ausfall eintritt?
Ein IT-Ausfall hebt die Dokumentationspflichten nicht auf, er verändert nur das Medium. Für die Behandlungsdokumentation lässt § 630f Abs. 1 BGB ausdrücklich Papierform und elektronische Form gleichermaßen zu, solange die Dokumentation in unmittelbarem zeitlichen Zusammenhang mit der Maßnahme erfolgt. Auch der Gesamtplan der Eingliederungshilfe bedarf ohnehin der Schriftform (§ 121 Abs. 2 SGB IX), Papier ist hier also nicht die Ausnahme, sondern die im Gesetz genannte Form. Für die Hilfeplanung nach § 36 SGB VIII gilt im Kern dasselbe: Die Feststellungen zum Hilfebedarf müssen weiterhin im Zusammenwirken mehrerer Fachkräfte getroffen und nachvollziehbar festgehalten werden, unabhängig davon, ob die Fachsoftware gerade läuft. Auch die Pflegedokumentation bleibt an die Maßstäbe und Grundsätze nach § 113 SGB XI gebunden, die Anforderungen an sie stellen.
Beispiel
Angenommen, in einer Wohngruppe fällt nachts die Dokumentationssoftware aus. Die Fachkraft trägt die Medikamentenvergabe und die Übergabe an die nächste Schicht auf dem vorgehaltenen Papierformular ein und überträgt den Eintrag, sobald das System wieder läuft. Die Dokumentationspflicht ist damit erfüllt, der Ausfall selbst wird zusätzlich im Notfall-Kurzplan vermerkt.
Wer während eines Ausfalls auf Papier dokumentiert, erfüllt die genannten Pflichten weiter. Wichtig ist, die Papierunterlagen nach dem Wiederanlauf vollständig und zeitnah in die Fachsoftware zu übertragen und sie bis dahin sicher, aber zugänglich aufzubewahren. Wie lange Klientenakten insgesamt aufbewahrt werden müssen, unabhängig vom Ausfall, zeigt der Beitrag zu Aufbewahrungsfristen und Fristenordnung.
Anders liegt der Fall, wenn der Ausfall nicht durch einen technischen Defekt, sondern durch einen Cyberangriff entsteht und dabei personenbezogene Daten verschlüsselt, gelöscht oder unzugänglich werden. Nach Art. 4 Nr. 12 DSGVO zählt bereits dieser Verlust der Verfügbarkeit als Verletzung des Schutzes personenbezogener Daten, unabhängig davon, ob zusätzlich Daten kopiert oder veröffentlicht wurden.
72 Stunden
bleiben nach Art. 33 Abs. 1 DSGVO Zeit, um eine Datenschutzverletzung mit Risiko für die Betroffenen der zuständigen Aufsichtsbehörde zu melden, gerechnet ab Kenntnis der Einrichtung.
Die Meldung muss die Art der Verletzung, die ungefähre Zahl der betroffenen Personen und Datensätze, die Kontaktdaten einer Anlaufstelle, die wahrscheinlichen Folgen sowie die ergriffenen oder geplanten Abhilfemaßnahmen enthalten (Art. 33 Abs. 3 DSGVO). Besteht zusätzlich ein hohes Risiko für die Rechte und Freiheiten der Betroffenen, müssen auch sie selbst unverzüglich benachrichtigt werden (Art. 34 Abs. 1 DSGVO), es sei denn, die Daten waren durch eine eigene Verschlüsselung für Unbefugte ohnehin unzugänglich oder die Einrichtung hat das hohe Risiko nachträglich beseitigt (Art. 34 Abs. 3 DSGVO). Wer noch keine Ansprechperson für den Ernstfall benannt hat, benennt sie vor dem nächsten Vorfall, nicht währenddessen.
Wie kommt man von der Pflicht zum eigenen Notfall-Kurzplan?
Zwischen digitalem Normalbetrieb und einem Ausfall ohne Fachsoftware liegt für jede Aufgabe ein Ersatzverfahren, das vorher feststehen muss und nicht erst im Ernstfall entstehen sollte. Die folgende Übersicht zeigt das Prinzip, die acht Schritte danach führen zum eigenen Notfall-Kurzplan.
| Aufgabe | Digitaler Normalbetrieb | Notbetrieb ohne Fachsoftware |
|---|---|---|
| Dokumentation | Eintrag direkt in der Fachsoftware, zeitnah zur Maßnahme. | Papierformular oder Übergabebuch, zeitnah, spätere vollständige Übertragung in die Software. |
| Dienstplanung | Digitaler Dienstplan, laufend aktualisiert. | Aktueller Ausdruck vom Vortag, Änderungen handschriftlich vermerkt. |
| Medikation | Digitaler Medikationsplan mit Abzeichnung. | Aktueller Ausdruck des Medikationsplans, griffbereit an zentraler Stelle. |
| Übergabe | Digitale Übergabe oder interner Chat. | Mündliche Übergabe, zusätzlich mit schriftlichem Vermerk festgehalten. |
| Meldungen an Behörden | Onlineportal oder E-Mail an Aufsicht oder Kostenträger. | Telefon oder Fax an die zuständige Stelle, Nachreichung sobald die Software wieder läuft. |
Kernaussage: Jede Aufgabe braucht ein eigenes Ersatzverfahren, keine allgemeine Notfallregel deckt alle gleichzeitig ab.
Kritische Systeme benennen
Listen Sie alle Systeme auf, von denen Betreuung, Pflege, Dienstplanung oder Meldewesen abhängen, und ordnen Sie sie danach, wie unmittelbar ein Ausfall die Versorgung träfe.
Maximal tolerierbare Ausfallzeit festlegen
Legen Sie für jedes System fest, wie viele Stunden es höchstens ausfallen darf, bevor der Schaden nicht mehr hinnehmbar ist (BSI-Standard 200-4).
Ersatzverfahren auf Papier festlegen
Bestimmen Sie für jedes System, wie im Ausfall gearbeitet wird: Papierformular, ausgedruckter Dienstplan, ausgedruckter Medikationsplan oder mündliche Übergabe mit schriftlichem Vermerk.
Verantwortliche benennen
Benennen Sie für jedes System eine verantwortliche Person mit Vertretung, die im Ernstfall weiß, dass sie zuständig ist.
Notfallkontakte zusammenstellen
Stellen Sie Telefonnummern für IT-Dienstleister, die informationssicherheits- oder datenschutzbeauftragte Person und die Leitung zusammen, bei einem Cyberangriff zusätzlich die zuständige Meldestelle.
Wiederanlauf-Reihenfolge festlegen
Legen Sie fest, welches System zuerst wieder laufen muss, orientiert an der maximal tolerierbaren Ausfallzeit.
Kurzplan drucken und aushängen
Drucken Sie den fertigen Kurzplan aus und hängen Sie ihn an einer für den Dienst zugänglichen Stelle aus, zusammen mit den Papierformularen für die Ersatzverfahren.
Test durchführen und dokumentieren
Üben Sie den Ablauf mindestens einmal im Jahr, auch ohne echten Ausfall, und halten Sie das Ergebnis fest. Das erfüllt zugleich die Pflicht zur regelmäßigen Überprüfung aus Art. 32 Abs. 1 Buchst. d DSGVO.
Werkzeug: Notfall-Kurzplan für den IT-Ausfall
Der folgende Generator setzt die acht Schritte in ein druckbares Ergebnis um. Tragen Sie Ihre kritischen Systeme mit maximal tolerierbarer Ausfallzeit, Ersatzverfahren und Verantwortlichen ein, dazu die wichtigsten Notfallkontakte. Der Generator ordnet die Systeme anschließend nach Ausfallzeit zur Wiederanlauf-Reihenfolge und erzeugt eine druckbare Seite für den Aushang. Er läuft vollständig in Ihrem Browser, ohne Server und ohne Speicherung Ihrer Angaben. Schließen Sie die Seite, gehen die Eingaben verloren, drucken oder kopieren Sie den Kurzplan deshalb, bevor Sie die Seite verlassen.
Tragen Sie hier keine Zugangsdaten, Passwörter oder Zugangscodes ein. Der Kurzplan ist für den Aushang bestimmt und für andere Personen lesbar.
Tragen Sie mindestens ein System vollständig ein (Bezeichnung, Ausfallzeit, Ersatzverfahren, Verantwortliche Person), dann erscheint hier der druckbare Kurzplan.
| Wiederanlauf | System | Max. Ausfallzeit | Ersatzverfahren | Verantwortlich |
|---|
| Rolle | Name | Telefon |
|---|
Was in den nächsten Wochen zu tun ist
Drei Schritte tragen die nächsten Wochen. Benennen Sie die kritischen Systeme Ihrer Einrichtung und legen Sie für jedes eine maximal tolerierbare Ausfallzeit fest. Bestimmen Sie für jedes System ein Ersatzverfahren auf Papier und eine verantwortliche Person. Und erzeugen Sie mit dem Generator dieses Beitrags einen ersten Kurzplan, den Sie ausdrucken und im Team besprechen. Wer diese drei Schritte vor dem nächsten Ausfall klärt, muss in der akuten Lage nicht improvisieren.
Stand 25. September 2026: Der Beitrag erklärt Rechtslage und Verfahren zu diesem Stand, insbesondere zu Art. 32 bis 34 DSGVO, dem BSI-Standard 200-4 und der Sektorliste des BSI-Gesetzes nach dem NIS2-Umsetzungsgesetz. Er ersetzt keine Rechtsberatung im Einzelfall und keine individuelle IT-Sicherheitsberatung.
Als externer Qualitätsmanagementbeauftragter und Informationssicherheitsbeauftragter (IHK) ordne ich für Träger im Sozialwesen und in der Pflege ein, wie Notfallplanung und Informationssicherheit in ein bestehendes Qualitätsmanagement einzubauen sind, etwa im Rahmen eines System-Checks. Mehr dazu steht im Beitrag zum integrierten Managementsystem für das Sozialwesen.
Häufige Fragen
Muss meine Einrichtung einen Notfallplan für IT-Ausfälle haben?
Eine ausdrückliche Pflicht zu einem eigenen Notfallplan nennt die Datenschutz-Grundverordnung nicht wörtlich. Art. 32 Abs. 1 Buchst. c DSGVO verlangt aber von jedem Träger, der personenbezogene Daten verarbeitet, die Fähigkeit, deren Verfügbarkeit nach einem Zwischenfall rasch wiederherzustellen. Ohne einen vorher festgelegten Plan lässt sich das im Ernstfall kaum nachweisen.
Wie lange darf die Fachsoftware ausfallen, bevor es zum Problem wird?
Das hängt vom einzelnen System ab und lässt sich nicht pauschal beantworten. Der BSI-Standard 200-4 nennt dafür die maximal tolerierbare Ausfallzeit: die Zeitspanne, die ein Prozess höchstens ausfallen darf, bevor der Schaden nicht mehr hinnehmbar ist. Der Generator in diesem Beitrag hilft, diese Zeitspanne für jedes System der eigenen Einrichtung festzulegen.
Muss ich einen Ransomware-Angriff bei der Datenschutzaufsicht melden?
Sobald personenbezogene Daten dadurch verschlüsselt, gelöscht oder unzugänglich werden, greift die Meldepflicht. Nach Art. 4 Nr. 12 DSGVO zählt bereits der Verlust der Verfügbarkeit als Datenschutzverletzung, unabhängig davon, ob zusätzlich Daten gestohlen wurden. Die Meldung an die Aufsichtsbehörde ist dann binnen 72 Stunden fällig (Art. 33 Abs. 1 DSGVO), außer die Verletzung stellt voraussichtlich kein Risiko für die Rechte und Freiheiten der Betroffenen dar.
Gilt NIS2 für meine Einrichtung in der Pflege oder Eingliederungshilfe?
Nach Anlage 1 des BSI-Gesetzes erfasst der Sektor Gesundheitswesen Erbringer von Gesundheitsdienstleistungen im Sinne der Richtlinie 2011/24/EU. Einrichtungen der Langzeitpflege sind davon ausdrücklich ausgenommen, weil ihr Zweck die Unterstützung bei alltäglichen Verrichtungen ist, nicht die Gesundheitsdienstleistung selbst. Eingliederungshilfe und Kinder- und Jugendhilfe werden in der Sektorliste nicht genannt.
Wie sichere ich meine Daten, damit Ransomware sie nicht verschlüsseln kann?
Die Datensicherung gehört physisch getrennt von den Originalsystemen aufbewahrt, damit ein Angriff auf die Produktivsysteme sie nicht mit erfasst. Das Bundesamt für Sicherheit in der Informationstechnik verlangt im Baustein CON.3 des IT-Grundschutz-Kompendiums zusätzlich, die Wiederherstellung regelmäßig zu testen. Nur eine Sicherung, die sich tatsächlich zurückspielen lässt, schützt im Ernstfall.
Darf ich während eines IT-Ausfalls weiter auf Papier dokumentieren?
Ja. § 630f Abs. 1 BGB erlaubt für die Behandlungsdokumentation ausdrücklich Papierform oder elektronische Form gleichermaßen, solange die Dokumentation zeitnah erfolgt. Übertragen Sie die Papierunterlagen nach dem Wiederanlauf vollständig in die Fachsoftware und bewahren Sie die Originale bis dahin sicher auf.
Zum Weiterlesen
- KI per Update: Was Träger bei der Fachsoftware prüfen müssenWas beim Vertrag mit dem Softwareanbieter zu Verfügbarkeit und Wiederherstellung zu prüfen ist, zeigt der Beitrag zum Vertragscheck für Fachsoftware.
- Leistung: Laufende Begleitung als externer QMBWie sich Notfallplanung und Informationssicherheit in ein bestehendes Qualitätsmanagement einbauen lassen, ordnet die Leistung des externen Qualitätsmanagementbeauftragten ein.
Quellen
- EUR-Lex, konsolidierte Fassung: Art. 4 Nr. 12, Art. 32, Art. 33 und Art. 34 Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung), abgerufen am 25.09.2026.
- Bundesamt für Sicherheit in der Informationstechnik: BSI-Standard 200-4, Business Continuity Management, abgerufen am 25.09.2026.
- Bundesamt für Sicherheit in der Informationstechnik, IT-Grundschutz-Kompendium: Baustein CON.3, Datensicherungskonzept (PDF), abgerufen am 25.09.2026.
- Bundesamt für Sicherheit in der Informationstechnik: Back-up: Doppelt gesichert hält besser, abgerufen am 25.09.2026.
- Bundesanzeiger Verlag, Bundesgesetzblatt: Gesetz zur Umsetzung der NIS-2-Richtlinie und zur Regelung wesentlicher Grundzüge des Informationssicherheitsmanagements in der Bundesverwaltung, BGBl. I Nr. 301 vom 05.12.2025, abgerufen am 25.09.2026.
- Bundesministerium der Justiz, gesetze-im-internet.de: Anlage 1 BSIG, Sektorliste, abgerufen am 25.09.2026.
- Bundesamt für Sicherheit in der Informationstechnik: #nis2know: Gesundheitswesen, abgerufen am 25.09.2026.
- Bundesministerium der Justiz, gesetze-im-internet.de: § 630f BGB, abgerufen am 25.09.2026.
- Bundesministerium der Justiz, gesetze-im-internet.de: § 121 SGB IX, § 36 SGB VIII und § 113 SGB XI, abgerufen am 25.09.2026.
Stand aller Angaben: 25. September 2026.
Christian Monat
Externer Qualitätsmanagementbeauftragter aus Chemnitz. Berufserfahrung in Eingliederungshilfe, Sozialpsychiatrie und Suchthilfe, seit 2019 in Leitungsfunktionen. Mehr über mich
