Stand: 7. August 2026. Dieser Artikel beschreibt ein Förderprogramm, dessen Förderrichtlinie zum Redaktionsschluss noch nicht veröffentlicht ist. Wir kennzeichnen durchgehend, welche Angaben durch Primärquellen belegt sind und welche offen bleiben. Der Beitrag wird bei Veröffentlichung der Förderrichtlinie aktualisiert.
Kurzfassung
Das Bundesministerium für Gesundheit (BMG) bereitet mit dem „Sofortprogramm Cybersicherheit“ ein Förderprogramm mit einem Volumen von rund 1,8 Milliarden Euro vor. Es soll Krankenhäuser und weitere versorgungskritische Gesundheitseinrichtungen bei der Umsetzung der Anforderungen aus dem NIS2-Umsetzungsgesetz unterstützen.
Gesichert ist: Das Programm existiert, es ist haushalterisch unterlegt, das Vergabeverfahren für den Projektträger ist abgeschlossen, und gefördert werden Maßnahmen entlang des NIS2-Maßnahmenkatalogs. Nicht gesichert ist: Förderquote, Eigenanteil, förderfähige Kostenarten, Antragsberechtigung im Detail und der Termin des ersten Förderaufrufs.
Einrichtungen, die jetzt eine dokumentierte Betroffenheitsprüfung, eine Gap-Analyse gegen § 30 BSIG und eine priorisierte Maßnahmenliste vorliegen haben, werden nach Veröffentlichung des Förderaufrufs binnen weniger Wochen antragsfähig sein. Wer erst dann beginnt, verliert ein bis zwei Quartale.
Was ist das Sofortprogramm Cybersicherheit?
Das Sofortprogramm ist die finanzielle Flankierung der NIS2-Umsetzung im deutschen Gesundheitswesen. Die Bundesregierung hat den Zweck in der Antwort auf eine parlamentarische Anfrage vom 4. Mai 2026 (Bundestags-Drucksache 21/5713) benannt: Das BMG konzipiert ein Sofortprogramm Cybersicherheit mit einem Finanzvolumen von 1,83 Milliarden Euro, mit dem betroffene und versorgungskritische Einrichtungen bei der Umsetzung der durch das NIS2-Umsetzungsgesetz vorgesehenen IT- und Cybersicherheitsmaßnahmen unterstützt werden sollen.
Der Hintergrund ist eine Schere, die sich über Jahre geöffnet hat. Mit dem novellierten BSI-Gesetz treffen erstmals verbindliche und bußgeldbewehrte Informationssicherheitspflichten auf einen Sektor mit erheblichem Investitionsstau. Der Bundesverband der Krankenhaus-IT hat in seiner Stellungnahme vom Juli 2026 darauf hingewiesen, dass die Mittel des Krankenhauszukunftsgesetzes zwar Impulse gesetzt, den tatsächlichen Bedarf aber nicht flächendeckend gedeckt haben — insbesondere nicht die laufenden Betriebs-, Personal- und Wartungskosten, die Informationssicherheit dauerhaft verursacht.
Struktur und Volumen
Nach den Vergabeunterlagen des BMG umfasst das Gesamtprogramm bis zu 1,84 Milliarden Euro und gliedert sich in zwei Teile:
- Teil A — Krankenhausförderung
- Teil B — Sofortprogramm für weitere systemrelevante Gesundheitseinrichtungen
Haushalterisch waren im Bundeshaushalt 190 Millionen Euro für 2026 sowie Verpflichtungsermächtigungen in Höhe von einer Milliarde Euro für die Jahre 2027 bis 2029 verankert.
Bemerkenswert an Teil B: Das Programm ist ausdrücklich nicht auf formal als KRITIS eingestufte Häuser begrenzt. Das entspricht einer zentralen Forderung der Fachverbände, die darauf hingewiesen haben, dass auch kleinere und mittlere Einrichtungen einen unverzichtbaren Versorgungsbeitrag leisten und Zugang zur Förderung brauchen.
Verfahrensstand: Wo steht das Programm?
Das BMG wickelt das Programm nicht selbst ab, sondern über einen externen Projektträger. Dessen Beauftragung war die Voraussetzung für alles Weitere — und das Vergabeverfahren dazu ist inzwischen durchlaufen.
| Datum | Schritt |
|---|---|
| 7./8. Juni 2026 | Auftragsbekanntmachung auf der Vergabeplattform des Bundes, offenes Verfahren |
| 13. Juli 2026 | Ablauf der Angebotsfrist |
| ab 1. September 2026 | Geplanter Beginn der Rahmenvereinbarung |
| bis 30. September 2026 | Entwicklung von Musterklauseln und Musterverträgen |
| danach | Erster Förderaufruf |
| bis 31. Dezember 2029 | Programmlaufzeit, Verlängerungsoption bis 2030 |
Wichtige Klarstellung: Die am 13. Juli 2026 abgelaufene Angebotsfrist betraf ausschließlich Dienstleister, die sich um die Projektträgerschaft beworben haben. Für Krankenhäuser ist damit keine Frist verstrichen. Die für Einrichtungen relevante Frist wird erst mit dem Förderaufruf bekanntgegeben.
Über die Programmlaufzeit sind mindestens zwei Förderaufrufe vorgesehen. Ein verpasster erster Aufruf ist damit kein endgültiger Ausschluss — wohl aber ein Nachteil, weil erfahrungsgemäß die erste Runde besser dotiert und weniger überzeichnet ist.
Der Projektträger als „Cybersicherheitshub“
Der Projektträger übernimmt laut Leistungsbeschreibung die fachliche Prüfung der Förderanträge, die Betreuung bewilligter Projekte und die Beratung der Antragstellenden über einen zentralen Anlaufpunkt. Die Letztentscheidung über jede Fördermaßnahme verbleibt beim BMG.
Zwei Aufgaben des Projektträgers verdienen besondere Aufmerksamkeit:
Das Verzeichnis berechtigter IT-Dienstleister. Der Projektträger prüft die fachliche Qualifikation der relevanten IT-Dienstleister anhand definierter Vorgaben und führt sie in einem Webportal. Für Einrichtungen bedeutet das: Die Wahl des Umsetzungspartners ist voraussichtlich nicht frei, sondern auf gelistete Anbieter beschränkt. Wer bereits mit einem Dienstleister arbeitet, sollte frühzeitig klären, ob dieser eine Listung anstrebt.
Verpflichtende Reifegradmessungen. Die fachliche Erfolgskontrolle erfolgt über Reifegradmessungen, die auf etablierten Reifegradmodellen aufbauen. Die Teilnahme ist verpflichtender Bestandteil der Förderung; sie erfolgt jährlich sowie zum Projektabschluss. Ergänzend sind Meilensteinberichte und Mittelabflussmeldungen im Halbjahresturnus vorgesehen.
Der letzte Punkt ist mehr als Verwaltungsformalie. Eine Förderung, deren Erfolgskontrolle auf einer wiederholten Reifegradmessung beruht, setzt voraus, dass die Einrichtung ihren Reifegrad überhaupt strukturiert erheben und über Jahre fortschreiben kann. Einrichtungen ohne funktionierendes ISMS werden hier auch nach Bewilligung Schwierigkeiten bekommen.
Was wird gefördert?
Die Leistungsbeschreibung benennt als Gegenstand der Förderung Maßnahmen zur IT-Sicherheit auf Basis des NIS2-Maßnahmenkatalogs. Das ist die inhaltlich präziseste öffentlich verfügbare Aussage — und sie ist aussagekräftig.
Maßgeblich sind damit die Risikomanagementmaßnahmen nach § 30 BSIG. Dazu gehören unter anderem:
- Risikoanalyse und Sicherheitskonzepte
- Bewältigung von Sicherheitsvorfällen
- Business Continuity Management, Backup- und Krisenmanagement
- Sicherheit der Lieferkette
- Sicherheit bei Erwerb, Entwicklung und Wartung von IT-Systemen
- Bewertung der Wirksamkeit von Risikomanagementmaßnahmen
- Cyberhygiene und Schulungen
- Kryptografie und Verschlüsselung
- Personalsicherheit, Zugriffskontrolle, Asset Management
- Multi-Faktor-Authentisierung und gesicherte Kommunikation
Wer förderfähige Projekte vorbereitet, sollte sie entlang dieser Systematik strukturieren — nicht entlang von Produktkategorien. Ein Antrag, der ein konkretes Produkt beschreibt, ist schwerer prüfbar als einer, der eine identifizierte Lücke im Maßnahmenkatalog adressiert.
Was noch offen ist
Dieser Abschnitt ist der ehrlichste Teil des Artikels. Zum Stand 7. August 2026 ist Folgendes nicht bekannt:
Die Förderrichtlinie. Sie ist die einzige verbindliche Quelle für Förderquote, Antragsberechtigung, Eigenanteil, Bagatellgrenzen und förderfähige Kostenarten. Ohne sie ist jede Aussage zu konkreten Beträgen pro Einrichtung Spekulation.
Ob Betriebs- und Personalkosten förderfähig sind. Die Fachverbände fordern dies ausdrücklich, weil das KHZG genau hier nicht getragen hat und Informationssicherheit eine Daueraufgabe ist. Eine Zusage des BMG liegt nicht vor.
Der Termin des ersten Förderaufrufs. Aus dem Verfahrensstand lässt sich frühestens das vierte Quartal 2026 ableiten, realistisch eher das erste Halbjahr 2027.
Die Abgrenzung zu bestehenden Fördertöpfen. Krankenhauszukunftsfonds und Krankenhaustransformationsfonds laufen parallel weiter. Beim KHZG waren Krankenhäuser, die als Kritische Infrastruktur über den Krankenhausstrukturfonds förderfähig waren, von der IT-Sicherheitsförderung über den Krankenhauszukunftsfonds ausgeschlossen, um Doppelförderung zu vermeiden. Eine vergleichbare Abgrenzungsregel ist beim Sofortprogramm zu erwarten; wie sie ausgestaltet wird, ist offen.
Ob die BSI-Registrierung formale Fördervoraussetzung ist. Hierzu gibt es keine veröffentlichte Regelung. Inhaltlich ist die Kopplung eng — das Programm finanziert ausdrücklich NIS2-Umsetzung —, aber ein formales Erfordernis lässt sich derzeit nicht belegen.
Der Zusammenhang mit der NIS2-Registrierung
Auch ohne formale Kopplung sollten Einrichtungen den Registrierungsstatus klären. Das novellierte BSI-Gesetz ist am 6. Dezember 2025 in Kraft getreten, das Meldeportal des BSI seit dem 6. Januar 2026 in Betrieb. Die gesetzliche Registrierungsfrist nach § 33 BSIG lief am 6. März 2026 ab.
Die Beteiligung blieb deutlich hinter den Erwartungen zurück: Von rund 29.500 betroffenen Einrichtungen in Deutschland hatten sich zum Stichtag etwa 11.500 registriert. Das BSI hat daraufhin gegenüber Wirtschaftsverbänden eine Nachfrist bis zum 31. Juli 2026 kommuniziert. Diese Kulanzregelung ändert nichts daran, dass das Versäumnis der gesetzlichen Frist eine bußgeldbewehrte Ordnungswidrigkeit darstellt.
Praktisch relevant für die Förderung: Ohne Registrierung fehlt der dokumentierte Nachweis der Betroffenheit — und damit die naheliegendste Grundlage, um die eigene Antragsberechtigung gegenüber dem Projektträger zu belegen. Unabhängig von der Förderung gilt zudem, dass besonders wichtige Einrichtungen die Umsetzung der Maßnahmen nach § 30 BSIG bis Dezember 2028 nachweisen müssen.
Das ist der eigentliche Punkt: Die Pflicht besteht ohnehin. Die Förderung beschleunigt sie, ersetzt sie aber nicht. Einrichtungen, die die Umsetzung bis zum ersten Förderaufruf aufschieben, verlieren Zeit gegen eine Frist, die nicht verhandelbar ist.
Weiterlesen: KRITIS-Dachgesetz: Was Krankenhäuser jetzt tun müssen
Was Einrichtungen jetzt tun sollten
Bis zur Veröffentlichung der Förderrichtlinie lässt sich die Antragsfähigkeit vollständig vorbereiten. Fünf Schritte, in dieser Reihenfolge:
- Betroffenheit klären und dokumentieren. Einstufung als wichtige oder besonders wichtige Einrichtung, Registrierungsstatus prüfen, gegebenenfalls nachholen.
- Gap-Analyse gegen § 30 BSIG. Systematisch, entlang des Maßnahmenkatalogs, mit dokumentiertem Erfüllungsgrad je Maßnahme. Diese Analyse ist die Grundlage jedes belastbaren Antrags — und zugleich die Basis der späteren Reifegradmessung.
- Maßnahmen priorisieren und in Projektzuschnitte überführen. Nicht produktbezogen, sondern maßnahmenbezogen. Jedes Vorhaben sollte einer benennbaren Lücke aus Schritt 2 zugeordnet sein.
- Interne Zuständigkeiten und Entscheidungswege festlegen. Wer zeichnet den Antrag? Wer verantwortet Mittelabruf, Meilensteinberichte und Verwendungsnachweis? Zuwendungsrecht bindet erhebliche administrative Kapazität.
- Umsetzungspartner klären. Frühzeitig prüfen, ob die vorgesehenen Dienstleister eine Listung im Verzeichnis anstreben.
Der gemeinsame Nenner: Keiner dieser Schritte ist verlorene Arbeit, falls die Förderung anders ausfällt als erwartet. Alle fünf sind ohnehin zur Erfüllung der gesetzlichen Pflichten erforderlich.
Häufige Fragen
Ist die Frist für das Sofortprogramm abgelaufen?
Nein. Die am 13. Juli 2026 abgelaufene Frist betraf ausschließlich Dienstleister, die sich um die Projektträgerschaft beworben haben. Für Krankenhäuser hat die Antragsphase noch nicht begonnen.
Wie hoch ist die Förderquote?
Unbekannt. Die Förderquote wird erst mit der Förderrichtlinie festgelegt.
Sind auch kleinere Häuser antragsberechtigt?
Das Programm adressiert nach den vorliegenden Unterlagen Krankenhäuser sowie weitere systemrelevante und versorgungskritische Gesundheitseinrichtungen und ist damit nicht auf KRITIS-Betreiber begrenzt. Die genaue Abgrenzung regelt die Förderrichtlinie.
Kann ich Maßnahmen fördern lassen, die ich schon begonnen habe?
Im Zuwendungsrecht gilt regelmäßig das Verbot des vorzeitigen Maßnahmenbeginns. Wie das Sofortprogramm dies handhabt, ist offen. Vorbereitende Arbeiten wie Analysen und Konzepte sind davon üblicherweise nicht betroffen — die Umsetzung investiver Maßnahmen sollte bis zur Klärung zurückgestellt werden, sofern sie nicht ohnehin dringlich ist.
Ersetzt die Förderung das KHZG?
Nein. Krankenhauszukunftsfonds und Krankenhaustransformationsfonds bestehen fort. Eine Abgrenzungsregel zur Vermeidung von Doppelförderung ist zu erwarten.
Quellen
- Deutscher Bundestag, Drucksache 21/5713 vom 4. Mai 2026 — dserver.bundestag.de
- Vergabeunterlagen „Projektträger des Bundesministeriums für Gesundheit für das Förderprogramm Sofortprogramm Cybersicherheit“, e-Vergabe des Bundes, Ausschreibungs-ID 831357 — evergabe-online.de
- Stellungnahme des KH-IT Bundesverbandes vom 3. Juli 2026 — krankenhaus-it.de
- BMG, Fragen und Antworten zum Krankenhauszukunftsgesetz — bundesgesundheitsministerium.de
Dieser Beitrag stellt keine Rechts- oder Förderberatung dar. Maßgeblich sind ausschließlich die jeweils geltenden Rechtsvorschriften und die noch zu veröffentlichende Förderrichtlinie.