NIS-2: Wer ist betroffen?

Rechtsgrundlage der NIS-2-Betroffenheit

Ob ein Unternehmen betroffen ist, regelt § 28 BSIG in Verbindung mit den Anlagen 1 und 2 zum BSI-Gesetz. Das BSI stellt nach eigenen Angaben keine verbindliche Betroffenheit fest; die Prüfung liegt beim Unternehmen. Ein Antrag auf Ausnahme ist nicht vorgesehen.

Die Prüfung läuft in drei Schritten: Einrichtungsart bestimmen, Größe ermitteln, Kategorie ableiten.

Schritt 1: Sektor und Einrichtungsart

Die Anlagen beschreiben nicht nur Sektoren, sondern konkrete Einrichtungsarten. Entscheidend ist, ob Ihr Unternehmen eine dieser Tätigkeiten entgeltlich ausübt.

Anlage 1 (Sektoren mit hoher Kritikalität)

• Energie (Strom, Fernwärme und -kälte, Kraftstoff und Heizöl, Gas)
• Transport und Verkehr (Luft, Schiene, Schifffahrt, Straße)
• Finanzwesen (Bankwesen, Finanzmarktinfrastrukturen)
• Gesundheit
• Wasser (Trinkwasser, Abwasser)
• Digitale Infrastruktur, darunter auch Managed Service Provider und Managed Security Service Provider
• Weltraum

Anlage 2 (sonstige kritische Sektoren)

• Post- und Kurierdienste
• Abfallbewirtschaftung
• Produktion, Herstellung und Handel mit chemischen Stoffen
• Produktion, Verarbeitung und Vertrieb von Lebensmitteln (Großhandel, industrielle Produktion)
• Verarbeitendes Gewerbe: Medizinprodukte und In-vitro-Diagnostika, Datenverarbeitungsgeräte und elektronische Erzeugnisse, elektrische Ausrüstungen, Maschinenbau, Kraftwagen und -teile, sonstiger Fahrzeugbau
• Anbieter digitaler Dienste (Online-Marktplätze, Suchmaschinen, soziale Netzwerke)
• Forschung

Tätigkeiten, die im Verhältnis zur gesamten Geschäftstätigkeit vernachlässigbar sind, können nach § 28 Abs. 3 BSIG bei der Zuordnung unberücksichtigt bleiben. Wo die Grenze liegt, ist im Einzelfall zu begründen.

Schritt 2: Größe ermitteln

Für die Größe verweist § 28 Abs. 4 BSIG auf die EU-Empfehlung 2003/361/EG zur Definition kleiner und mittlerer Unternehmen. Laut BSI gilt:

• Beschäftigte werden in Jahresarbeitseinheiten gezählt, Teilzeit also anteilig.
• Auszubildende zählen nicht mit.
• Die Schwellen müssen in zwei aufeinanderfolgenden Geschäftsjahren überschritten sein.
• Daten verbundener oder Partnerunternehmen werden nicht hinzugerechnet, wenn das Unternehmen bei der Gestaltung und dem Betrieb seiner IT-Systeme und Prozesse unabhängig ist.

Schritt 3: Kategorie ableiten

Besonders wichtige Einrichtungen

• größenunabhängig: Betreiber kritischer Anlagen, qualifizierte Vertrauensdiensteanbieter, Top-Level-Domain-Registries und DNS-Diensteanbieter
• Anbieter öffentlicher Telekommunikationsdienste oder -netze ab 50 Beschäftigten oder mit jeweils mehr als 10 Mio. Euro Umsatz und Bilanzsumme
• Unternehmen aus Anlage 1 mit mindestens 250 Beschäftigten oder mehr als 50 Mio. Euro Umsatz und mehr als 43 Mio. Euro Bilanzsumme

Wichtige Einrichtungen

• größenunabhängig: (nicht qualifizierte) Vertrauensdiensteanbieter
• kleinere Telekommunikationsanbieter unterhalb der genannten Schwellen
• Unternehmen aus Anlage 1 oder 2 mit mindestens 50 Beschäftigten oder jeweils mehr als 10 Mio. Euro Umsatz und Bilanzsumme, sofern sie nicht schon besonders wichtig sind

Für einige Bereiche gelten Sonderregeln. Finanzunternehmen im Anwendungsbereich von DORA sind von zentralen BSIG-Pflichten ausgenommen, weil DORA vorgeht. Für bestimmte Energie- und Telekommunikationsunternehmen gelten Pflichten aus dem Fachrecht statt aus dem BSIG.

Typische Grenzfälle in der Praxis

• IT-Dienstleister: Wer für Kunden IT-Systeme betreut, kann als Managed Service Provider unter Anlage 1 fallen. Hier lohnt eine genaue Prüfung der Definition.
• Mischbetriebe: Ein Handwerks- oder Handelsbetrieb mit einer kleinen Fertigungssparte muss klären, ob diese Tätigkeit vernachlässigbar ist.
• Konzerntöchter: Die Unabhängigkeitsprüfung nach § 28 Abs. 4 BSIG entscheidet, ob Zahlen der Gruppe mitzählen.
• Wachstum: Wer die Schwelle neu überschreitet, wird betroffen, sobald die Voraussetzungen vorliegen; ab dann läuft die Dreimonatsfrist für die Registrierung.

Dokumentation der Prüfung

Halten Sie fest, welche Einrichtungsarten Sie geprüft haben, welche Zahlen (Beschäftigte, Umsatz, Bilanzsumme der letzten zwei Geschäftsjahre) zugrunde liegen und wie Sie Grenzfälle bewertet haben. Diese Dokumentation hilft bei Rückfragen des BSI und sollte jährlich oder bei größeren Veränderungen aktualisiert werden. Die BSI-Betroffenheitsprüfung (betroffenheitspruefung-nis-2.bsi.de) liefert eine erste Einschätzung, ist aber ausdrücklich nicht rechtlich bindend.

Wenn Sie nicht betroffen sind

Auch dann ist das Thema nicht erledigt. Betroffene Kunden müssen nach § 30 Abs. 2 Nr. 4 BSIG die Sicherheit ihrer Lieferkette berücksichtigen und fragen deshalb nach Sicherheitsmaßnahmen, Notfallplänen oder Nachweisen. Eine dokumentierte Basis-Absicherung erleichtert diese Gespräche erheblich.

Beispiele zur Orientierung

Die folgenden Beispiele sind vereinfacht und ersetzen keine Einzelfallprüfung:

• Ein Maschinenbauer mit 120 Beschäftigten fällt unter Anlage 2 (verarbeitendes Gewerbe, Maschinenbau) und überschreitet die Schwelle von 50 Beschäftigten. Er ist in der Regel wichtige Einrichtung.
• Ein Pflegedienst mit 40 Beschäftigten, aber mehr als 10 Mio. Euro Umsatz und Bilanzsumme kann als Einrichtung des Gesundheitssektors über die finanziellen Schwellen erfasst sein. Hier kommt es auf die genaue Einrichtungsart in Anlage 1 an.
• Ein Steuerbüro mit 25 Beschäftigten gehört keinem der genannten Sektoren an und ist nicht direkt betroffen, kann aber Mandanten haben, die Sicherheitsanforderungen weitergeben.
• Ein IT-Systemhaus mit 55 Beschäftigten, das Server und Netzwerke seiner Kunden betreut, sollte die Einordnung als Managed Service Provider sorgfältig prüfen.

Wann sich die Einstufung ändert

Die Betroffenheit ist kein einmaliges Ergebnis. Neue Geschäftsfelder, Zukäufe, Ausgründungen oder Wachstum können die Einordnung verändern. Ändern sich Angaben wie Name, Rechtsform oder Anschrift einer registrierten Einrichtung, sind sie nach § 33 Abs. 5 BSIG unverzüglich, spätestens binnen zwei Wochen, mitzuteilen. Planen Sie daher eine jährliche Überprüfung ein, am besten zusammen mit dem Jahresabschluss, wenn die maßgeblichen Zahlen vorliegen.