NIS2 besonders wichtige Einrichtungen: Anforderungen, Aufsicht und Compliance

Besonders wichtige Einrichtungen sind die strenger beaufsichtigte der beiden Kategorien des BSI-Gesetzes (in der Richtlinie "essential entities"). Nach § 28 Abs. 1 BSIG gehören dazu: 1. Betreiber kritischer Anlagen, 2. qualifizierte Vertrauensdiensteanbieter, Top Level Domain Name Registries und DNS-Diensteanbieter, unabhängig von ihrer Größe, 3. Anbieter öffentlich zugänglicher Telekommunikationsdienste und Betreiber öffentlicher Telekommunikationsnetze mit mindestens 50 Beschäftigten oder mit mehr als 10 Mio. Euro Jahresumsatz und Bilanzsumme, 4. Unternehmen, die einer Einrichtungsart aus Anlage 1 BSIG zuzuordnen sind und mindestens 250 Beschäftigte haben oder mehr als 50 Mio. Euro Jahresumsatz und zugleich mehr als 43 Mio. Euro Bilanzsumme. Einrichtungen der Bundesverwaltung folgen eigenen Regeln (§ 29 BSIG).

Die Pflichten sind im Kern gleich: Beide Kategorien müssen die Risikomanagementmaßnahmen nach § 30 BSIG umsetzen und dokumentieren, erhebliche Sicherheitsvorfälle nach § 32 BSIG melden und sich nach § 33 BSIG registrieren. Der Unterschied liegt in der Aufsicht und im Bußgeldrahmen. Bei besonders wichtigen Einrichtungen kann das BSI ohne Anlass prüfen, Audits anordnen und später Nachweise verlangen (§ 61 BSIG); bei wichtigen Einrichtungen wird es nur tätig, wenn Tatsachen auf Verstöße hindeuten (§ 62 BSIG). Die Bußgeldobergrenze liegt bei 10 Mio. Euro statt 7 Mio. Euro, bei mehr als 500 Mio. Euro Gesamtumsatz bei 2 % statt 1,4 % des weltweiten Umsatzes (§ 65 BSIG). Unternehmen aus Anlage 2 BSIG können höchstens wichtige Einrichtungen sein.

Besonders wichtige Einrichtungen müssen: 1. sich spätestens drei Monate nach Eintritt der Betroffenheit über "Mein Unternehmenskonto" und das BSI-Portal registrieren und Änderungen binnen zwei Wochen melden (§ 33 BSIG), 2. die zehn Risikomanagementmaßnahmen aus § 30 Abs. 2 BSIG umsetzen und die Einhaltung dokumentieren, 3. erhebliche Sicherheitsvorfälle binnen 24 Stunden, 72 Stunden und mit Abschlussmeldung an das BSI melden (§ 32 BSIG), 4. auf Anordnung die Empfänger ihrer Dienste über erhebliche Vorfälle unterrichten (§ 35 BSIG), 5. ihre Geschäftsleitung die Maßnahmen umsetzen und überwachen lassen und regelmäßig schulen (§ 38 BSIG), 6. Prüfungen des BSI dulden, Unterlagen vorlegen und Auskunft erteilen (§ 61 BSIG). Betreiber kritischer Anlagen haben zusätzliche Pflichten, etwa den Nachweis alle drei Jahre nach § 39 BSIG.

Prüfen Sie drei Fragen der Reihe nach. Erstens: Erbringt Ihr Unternehmen eine Tätigkeit, die einer Einrichtungsart aus Anlage 1 BSIG entspricht (Energie, Transport und Verkehr, Finanzwesen, Gesundheit, Wasser, digitale Infrastruktur, Weltraum)? Geschäftstätigkeiten, die im Verhältnis zur gesamten Tätigkeit vernachlässigbar sind, können außer Betracht bleiben (§ 28 Abs. 3 BSIG). Zweitens: Haben Sie mindestens 250 Beschäftigte oder mehr als 50 Mio. Euro Jahresumsatz und zugleich mehr als 43 Mio. Euro Bilanzsumme, gerechnet nach der KMU-Empfehlung 2003/361/EG? Drittens: Gehören Sie zu einem größenunabhängigen Fall, etwa als Betreiber einer kritischen Anlage, qualifizierter Vertrauensdiensteanbieter oder DNS-Diensteanbieter? Trifft Anlage 1 zu, aber nur die Schwelle von 50 Beschäftigten, sind Sie eine wichtige Einrichtung. Das BSI bietet dazu eine Betroffenheitsprüfung an; die Einstufung bleibt Ihre Verantwortung und sollte schriftlich begründet werden.

Verstöße gegen die Risikomanagementmaßnahmen, die Dokumentation, die Meldepflichten oder bestimmte Anordnungen des BSI können bei besonders wichtigen Einrichtungen mit bis zu 10 Mio. Euro geahndet werden; hat das Unternehmen, dem die Einrichtung angehört, mehr als 500 Mio. Euro weltweiten Gesamtumsatz, mit bis zu 2 % dieses Umsatzes (§ 65 Abs. 5 und 6 BSIG). Eine versäumte oder fehlerhafte Registrierung kann bis zu 500.000 Euro kosten. Kommt eine besonders wichtige Einrichtung Anordnungen des BSI trotz Fristsetzung nicht nach, kann die zuständige Aufsichtsbehörde als letztes Mittel Genehmigungen aussetzen und unzuverlässigen Geschäftsleitungen die Tätigkeit vorübergehend untersagen (§ 61 Abs. 9 BSIG). Die Geschäftsleitung haftet ihrer Einrichtung für schuldhaft verursachte Schäden nach Gesellschaftsrecht (§ 38 Abs. 2 BSIG).

Erhebliche Sicherheitsvorfälle meldet die Einrichtung an die gemeinsame Meldestelle von BSI und BBK im BSI-Portal (§ 32 BSIG): eine frühe Erstmeldung unverzüglich, spätestens 24 Stunden nach Kenntniserlangung, eine Meldung mit erster Bewertung spätestens nach 72 Stunden, auf Ersuchen des BSI Zwischenmeldungen und spätestens einen Monat nach der 72-Stunden-Meldung eine Abschlussmeldung; dauert der Vorfall an, zunächst eine Fortschrittsmeldung. Erheblich ist ein Vorfall, der schwerwiegende Betriebsstörungen oder finanzielle Verluste verursacht oder verursachen kann oder andere Personen erheblich schädigt (§ 2 Nr. 11 BSIG). Die Pflichten sind für wichtige Einrichtungen identisch; Ablauf und Meldeinhalte erläutert unsere Seite zur NIS2-Meldepflicht.

Kern der NIS2-Anforderungen sind die zehn Mindestmaßnahmen aus § 30 Abs. 2 BSIG: Konzepte zur Risikoanalyse und IT-Sicherheit, Bewältigung von Sicherheitsvorfällen, Aufrechterhaltung des Betriebs mit Backup- und Krisenmanagement, Sicherheit der Lieferkette, Sicherheit bei Erwerb, Entwicklung und Wartung einschließlich Schwachstellenmanagement, Bewertung der Wirksamkeit, Schulungen und Sensibilisierung, Kryptografie, Personalsicherheit mit Zugriffskontrolle und Asset-Management sowie Multi-Faktor-Authentifizierung und gesicherte Kommunikation. Die Maßnahmen müssen dem Stand der Technik entsprechen, verhältnismäßig sein und dokumentiert werden. Hinzu kommen Meldung, Registrierung und die Pflichten der Geschäftsleitung. Wie Sie die Maßnahmen umsetzen, beschreibt unsere Seite zu den NIS2-Maßnahmen.

Grundsätzlich ja: Für Beschäftigtenzahl, Umsatz und Bilanzsumme gilt die KMU-Empfehlung 2003/361/EG, nach der Daten von Partner- und verbundenen Unternehmen einzubeziehen sind. Das BSI-Gesetz macht davon eine wichtige Ausnahme: Die Daten verbundener Unternehmen werden nicht hinzugerechnet, wenn Ihr Unternehmen mit Blick auf Beschaffenheit und Betrieb seiner IT-Systeme rechtlich, wirtschaftlich und tatsächlich unabhängig ist (§ 28 Abs. 4 BSIG). Ob diese Unabhängigkeit vorliegt, sollte für jede Gesellschaft einzeln geprüft und begründet werden.

Für Finanzunternehmen im Sinne der DORA-Verordnung (EU) 2022/2554 gelten die Risikomanagementmaßnahmen, die Meldepflichten und weitere Pflichten aus §§ 30, 31, 32, 35, 36, 38 und 39 BSIG nicht (§ 28 Abs. 6 BSIG). Sie melden IKT-Vorfälle nach DORA an die BaFin, nicht zusätzlich nach § 32 BSIG an das BSI. Die Registrierungspflicht nach § 33 BSIG ist in dieser Ausnahme nicht genannt; ob sie im Einzelfall greift, sollte geprüft werden.

Ja. Betreiber kritischer Anlagen gelten nach § 28 Abs. 1 Nr. 1 BSIG unabhängig von ihrer Unternehmensgröße als besonders wichtige Einrichtungen. Für sie kommen Pflichten hinzu, die andere besonders wichtige Einrichtungen nicht haben: zusätzliche Angaben zur betroffenen Anlage bei Meldungen (§ 32 Abs. 3 BSIG) und der Nachweis der Maßnahmen durch Audits, Prüfungen oder Zertifizierungen alle drei Jahre (§ 39 BSIG). Die Registrierung kritischer Anlagen richtet sich nach dem KRITIS-Dachgesetz.