NIS2 grenzüberschreitend: Zuständigkeit und Pflichten in mehreren EU-Staaten

Der Begriff hat zwei Ebenen. Auf Ebene der Behörden arbeiten die Mitgliedstaaten in der Kooperationsgruppe (Art. 14 NIS2, strategisch), im CSIRTs-Netzwerk (Art. 15, operativ) und in EU-CyCLONe (Art. 16, großflächige Krisen) zusammen und leisten einander Amtshilfe (Art. 37). Für Unternehmen geht es um drei praktische Fragen: Welche Behörde ist für welche Gesellschaft zuständig, wo und mit welchen Angaben muss registriert werden, und wie werden grenzüberschreitende Auswirkungen eines Vorfalls gemeldet. In Deutschland ist das BSI nationale Verbindungsstelle sowie zentrale Melde- und Anlaufstelle (§ 40 BSIG).

EU-CyCLONe (European Cyber Crisis Liaison Organisation Network) ist das Netzwerk der nationalen Behörden für Cyberkrisenmanagement nach Art. 16 NIS2. Es unterstützt die koordinierte Bewältigung großflächiger Cybersicherheitsvorfälle und Krisen auf operativer Ebene und sorgt für ein gemeinsames Lagebild. ENISA stellt das Sekretariat. Die Kommission ist Mitglied, wenn ein großflächiger Vorfall erhebliche Auswirkungen auf Dienste im Anwendungsbereich der Richtlinie hat oder haben kann, sonst Beobachterin. EU-CyCLONe arbeitet mit dem CSIRTs-Netzwerk zusammen und legt dem Europäischen Parlament und dem Rat alle 18 Monate einen Bericht vor. Unternehmen sind dort nicht Mitglied; ihr Weg zu den Behörden führt über die nationale Meldestelle.

Auf drei Ebenen: Im CSIRTs-Netzwerk (Art. 15 NIS2) tauschen die nationalen Computer-Notfallteams und CERT-EU operative Informationen aus; ENISA stellt das Sekretariat. EU-CyCLONe (Art. 16) koordiniert die Reaktion auf großflächige Vorfälle und Krisen. Die Kooperationsgruppe (Art. 14) aus Mitgliedstaaten, Kommission und ENISA gibt Leitlinien zur Umsetzung und organisiert Peer Reviews (Art. 19). Hinzu kommt die Amtshilfe zwischen Aufsichtsbehörden, wenn ein Unternehmen in mehreren Staaten tätig ist (Art. 37). Meldet eine Einrichtung in Deutschland einen Vorfall, der andere Mitgliedstaaten betrifft, unterrichtet das BSI die anderen betroffenen Staaten und ENISA (§ 40 Abs. 4 BSIG).

Grundsätzlich der Staat, in dem die jeweilige Gesellschaft niedergelassen ist (Art. 26 Abs. 1 NIS2); für eine Niederlassung in Deutschland ist das BSI zuständig (§ 59 BSIG). Mit Niederlassungen in mehreren Staaten unterliegen Sie der Aufsicht jedes dieser Staaten. Ausnahmen nach Art. 26 Abs. 1 NIS2: Telekommunikationsanbieter unterstehen dem Staat, in dem sie ihre Dienste erbringen. DNS-Diensteanbieter, TLD-Registries, Registrierungsdienstleister für Domains, Cloud- und Rechenzentrumsanbieter, Content Delivery Networks, Managed Service und Managed Security Service Provider, Online-Marktplätze, Suchmaschinen und soziale Netzwerke unterstehen nur dem Staat ihrer Hauptniederlassung in der EU, der dann EU-weit zuständig ist (§ 60 BSIG). Einrichtungen der öffentlichen Verwaltung unterstehen dem Staat, der sie errichtet hat.

Für Finanzunternehmen im Sinne von DORA gilt in Deutschland ein eigenes Regime: Die NIS2-Pflichten zu Risikomanagement, Meldung, Unterrichtung und Geschäftsleitung (§§ 30, 31, 32, 35, 36, 38 und 39 BSIG) gelten für sie nicht (§ 28 Abs. 6 BSIG); Vorfälle melden sie nach DORA an die Finanzaufsicht. Grenzüberschreitend regelt DORA vor allem die Aufsicht über kritische IKT-Drittdienstleister durch die Europäischen Aufsichtsbehörden. In gemischten Gruppen gilt deshalb oft beides nebeneinander: DORA für die Finanztöchter, NIS2 für die übrigen Gesellschaften.

Ein Vorfall einer in Deutschland niedergelassenen Einrichtung geht an die gemeinsame Meldestelle von BSI und BBK (§ 32 BSIG). Schon die frühe Erstmeldung innerhalb von 24 Stunden gibt an, ob grenzüberschreitende Auswirkungen möglich sind; die Abschlussmeldung beschreibt sie. Das BSI leitet Meldungen an die zentralen Anlaufstellen der anderen betroffenen Mitgliedstaaten weiter und unterrichtet bei Vorfällen in zwei oder mehr Staaten diese Staaten und ENISA (§ 40 Abs. 4 BSIG). Ihre Niederlassungen in anderen Staaten melden nach dem dortigen Umsetzungsgesetz. Fristen und Inhalte im Einzelnen erläutert unsere Seite zur NIS2 Meldepflicht.

In Deutschland registriert sich jede besonders wichtige oder wichtige Einrichtung beim BSI (§ 33 BSIG) und gibt dabei alle EU-Staaten an, in denen sie Dienste erbringt. Änderungen sind binnen zwei Wochen nachzutragen. Cloud-, Rechenzentrums-, DNS-, MSP- und MSSP-Anbieter sowie Online-Plattformen mit Hauptniederlassung in Deutschland registrieren sich nach § 34 BSIG zusätzlich mit Hauptniederlassung, sonstigen EU-Niederlassungen und IP-Adressbereichen; das BSI leitet diese Angaben an ENISA weiter. Niederlassungen in anderen Staaten registrieren sich dort nach dem jeweiligen Umsetzungsgesetz. Die Schritte im BSI-Portal beschreibt unser Beitrag zur NIS2-Registrierung.

Die Hauptniederlassung zählt nur für Anbieter digitaler Dienste wie Cloud, Rechenzentren, DNS, Managed Services und Online-Plattformen. Maßgeblich ist der Mitgliedstaat, in dem die Entscheidungen zum Cybersicherheits-Risikomanagement vorwiegend getroffen werden; lässt er sich nicht bestimmen, der Staat, in dem die Cybersicherheitsmaßnahmen durchgeführt werden, und zuletzt die Niederlassung mit den meisten Beschäftigten in der EU (Art. 26 Abs. 2 NIS2, § 60 Abs. 2 BSIG). Der Standort der Server ist nicht entscheidend (Erwägungsgrund 114). Halten Sie die Begründung schriftlich fest, sie ist im Zweifel gegenüber der Aufsicht zu belegen.

Für die Schwellenwerte nach § 28 BSIG gilt die KMU-Empfehlung der Kommission (2003/361/EG). Daten von Partner- oder verbundenen Unternehmen werden jedoch nicht hinzugerechnet, wenn Ihr Unternehmen bei seinen IT-Systemen, Komponenten und Prozessen von ihnen unabhängig ist (§ 28 Abs. 4 BSIG). Jede Gesellschaft wird zudem in dem Staat beaufsichtigt, in dem sie niedergelassen ist. In einer Gruppe kann deshalb eine Gesellschaft besonders wichtig, eine andere wichtig und eine dritte gar nicht betroffen sein.

Ja, für Ihre Gesellschaften in der EU: Eine Tochter in Deutschland unterliegt als Niederlassung der Aufsicht des BSI, wenn sie die Voraussetzungen des § 28 BSIG erfüllt. Für Anbieter digitaler Dienste nach § 60 BSIG ohne Niederlassung in der EU gilt zusätzlich: Sie müssen einen Vertreter in einem Mitgliedstaat benennen, in dem sie Dienste anbieten; sitzt der Vertreter in Deutschland, ist das BSI zuständig (§ 60 Abs. 3 BSIG). Die Benennung schützt das Unternehmen selbst nicht vor rechtlichen Schritten.