NIS2 Betroffenheitsprüfung: Ist Ihr Unternehmen von NIS2 betroffen?

Eine NIS2 Betroffenheitsprüfung klärt, ob und in welcher Kategorie Ihr Unternehmen unter das BSIG in der Fassung des NIS2-Umsetzungsgesetzes fällt. Geprüft werden die Zuordnung zu einer der 18 Sektoren beziehungsweise Einrichtungsarten der Anlagen 1 und 2, die Größe (mindestens 50 Beschäftigte oder jeweils mehr als 10 Millionen Euro Jahresumsatz und Bilanzsumme) sowie Sonderfälle. Ergebnis ist die Einstufung als besonders wichtige, wichtige oder nicht betroffene Einrichtung, aus der die Pflichten folgen.

In vier Schritten: 1) Alle Geschäftstätigkeiten erfassen und mit den Einrichtungsarten der Anlagen 1 und 2 BSIG abgleichen, vernachlässigbare Nebentätigkeiten dürfen außer Betracht bleiben. 2) Größe nach der KMU-Empfehlung bestimmen: mindestens 50 Beschäftigte oder jeweils mehr als 10 Millionen Euro Jahresumsatz und Bilanzsumme, Daten verbundener Unternehmen grundsätzlich eingerechnet. 3) Sonderfälle prüfen: Betreiber kritischer Anlagen, qualifizierte Vertrauensdiensteanbieter, Top Level Domain Name Registries und DNS-Diensteanbieter sind unabhängig von der Größe besonders wichtige Einrichtungen. 4) Ausnahmen prüfen, etwa für Finanzunternehmen nach DORA. Die NIS-2-Betroffenheitsprüfung des BSI gibt eine erste Orientierung, ist aber nach Angabe des BSI rechtlich nicht bindend.

Nach § 28 BSIG gilt: Wichtige Einrichtung ist, wer einer Einrichtungsart aus Anlage 1 oder 2 angehört und mindestens 50 Beschäftigte hat oder jeweils mehr als 10 Millionen Euro Jahresumsatz und Jahresbilanzsumme. Besonders wichtige Einrichtung ist, wer einer Einrichtungsart aus Anlage 1 angehört und mindestens 250 Beschäftigte hat oder mehr als 50 Millionen Euro Jahresumsatz und zugleich mehr als 43 Millionen Euro Jahresbilanzsumme. Gezählt wird nach der KMU-Empfehlung 2003/361/EG in Jahresarbeitseinheiten; Daten verbundener und Partnerunternehmen werden einbezogen, außer das Unternehmen ist bei seinen IT-Systemen und Prozessen unabhängig von ihnen (§ 28 Abs. 4 BSIG).

Wir erfassen zuerst Gesellschaften, Beteiligungen und Geschäftstätigkeiten. Dann ordnen wir jede Tätigkeit einer Einrichtungsart der Anlagen 1 und 2 zu, berechnen die Größe nach der KMU-Empfehlung einschließlich verbundener Unternehmen und prüfen Sonderfälle wie kritische Anlagen und Ausnahmen nach § 28 Abs. 5 und 6 BSIG. Das Ergebnis halten wir je Gesellschaft mit Begründung fest, bereiten die Registrierung vor und benennen die Pflichten, die aus der Einstufung folgen.

Entscheidend sind Einrichtungsart und Größe, nicht ein allgemeines Risiko. Besonders wichtig sind Unternehmen aus Anlage 1 (etwa Energie, Verkehr, Finanzmarktinfrastrukturen, Gesundheit, Wasser, digitale Infrastruktur, Verwaltung von IKT-Diensten) ab 250 Beschäftigten oder mehr als 50 Millionen Euro Umsatz und mehr als 43 Millionen Euro Bilanzsumme, außerdem Betreiber kritischer Anlagen und einige digitale Anbieter unabhängig von der Größe. Wichtig sind kleinere Unternehmen aus Anlage 1 sowie Unternehmen aus Anlage 2 (etwa Post, Abfall, Chemie, Lebensmittel, verarbeitendes Gewerbe, digitale Dienste, Forschung) ab 50 Beschäftigten oder jeweils mehr als 10 Millionen Euro Umsatz und Bilanzsumme. Die Maßnahmenpflichten nach § 30 BSIG sind für beide gleich; unterschiedlich sind Aufsicht (§§ 61, 62 BSIG) und Bußgeldrahmen (§ 65 BSIG).

Ja, die Einstufung ist sogar Aufgabe des Unternehmens selbst, und das BSI bietet dafür einen Online-Fragebogen und einen Entscheidungsbaum. Das Ergebnis ist nach Angabe des BSI rechtlich nicht bindend, und das BSI nimmt keine verbindliche Einzelfallprüfung vor. Eine begründete externe Prüfung empfiehlt sich bei Konzernen und Beteiligungen, bei mehreren Geschäftstätigkeiten, bei Zweifeln an der Einrichtungsart oder an der Zurechnung verbundener Unternehmen. Eine unterlassene oder verspätete Registrierung kann mit einer Geldbuße bis zu 500.000 Euro geahndet werden (§ 65 Abs. 2 Nr. 6, Abs. 5 BSIG).

Ja, sinnvoll ist eine Wiederholung nach jedem Jahresabschluss sowie nach Zukäufen, Ausgliederungen oder neuen Geschäftstätigkeiten. Nach der KMU-Empfehlung, auf die § 28 Abs. 4 BSIG verweist, ändert sich die Größenklasse in der Regel erst, wenn Schwellen in zwei aufeinanderfolgenden Geschäftsjahren über- oder unterschritten werden. Wer neu unter das BSIG fällt, muss sich binnen drei Monaten beim BSI registrieren; Änderungen registrierter Angaben sind binnen zwei Wochen zu melden (§ 33 Abs. 1 und 5 BSIG).

Nein. Wer nicht selbst die Kriterien des § 28 BSIG erfüllt, ist nicht direkt betroffen. Betroffene Unternehmen müssen aber die Sicherheit ihrer Lieferkette steuern (§ 30 Abs. 2 Nr. 4 BSIG) und geben Anforderungen vertraglich an ihre Dienstleister weiter. Das BSI weist ausdrücklich darauf hin, dass dadurch zahlreiche Dienstleister indirekt betroffen sind.

Für Finanzunternehmen im Sinne von Art. 2 Abs. 2 DORA gelten die zentralen Pflichten des BSIG nicht, nämlich die §§ 30, 31, 32, 35, 36, 38 und 39 (§ 28 Abs. 6 BSIG); für sie ist DORA maßgeblich. Ähnliche Ausnahmen bestehen nach § 28 Abs. 5 BSIG für Betreiber öffentlicher Telekommunikationsnetze und bestimmte Energieunternehmen, die den Regeln des Energiewirtschaftsgesetzes unterliegen. Ob in einer Gruppe dennoch einzelne Gesellschaften unter das BSIG fallen, klärt die Betroffenheitsprüfung.