Ablauf
Fallen wir unter NIS2?
Die Betroffenheit stellt nach § 33 Abs. 1 BSIG die Einrichtung selbst fest. Das Bundesamt registriert von Amts wegen erst, wenn diese Pflicht nicht erfüllt wird. Die Zuordnung folgt der ausgeübten Tätigkeit und nicht dem Unternehmensgegenstand. Die drei Monate laufen ab dem Zeitpunkt, zu dem eine Einrichtung erstmals oder erneut als erfasst gilt, also bei jedem Statuswechsel erneut.
Über fünfzig Beschäftigte, die Prüfung fehlt
Das Unternehmen stellt Maschinen her und liegt über fünfzig Beschäftigten. Ob es damit unter das neue BSI-Gesetz fällt, hat bisher niemand geprüft. Eine Nachricht des Bundesamts ist nicht eingegangen. Daraus wird geschlossen, die Frage sei beantwortet.
Eine Mitteilung des Bundesamts kommt nicht
Wovon die Prüfung ausgeht, ist meist die Erwartung, die Behörde werde sich bei den erfassten Einrichtungen melden. Das Gesetz kehrt die Reihenfolge um. § 33 Abs. 1 BSIG richtet die Registrierungspflicht an die Einrichtung. Nach § 33 Abs. 3 BSIG darf das Bundesamt eine Registrierung von Amts wegen erst dann selbst vornehmen, wenn diese Pflicht nicht erfüllt wird.
Ein Fragenkatalog zur Betroffenheit steht auf den Seiten des Bundesamts bereit. Zu dessen Gewicht sagt es selbst das Nötige.
Die NIS-2-Betroffenheitsprüfung ersetzt die Prüfung zur Selbst-Identifizierung nicht und hat für eventuelle Verfahren keine Indizwirkung.
Damit bleibt der eigene Vermerk. § 33 Abs. 4 BSIG gibt ihm seine Funktion. Rechtfertigen Tatsachen die Annahme, eine Einrichtung habe die Registrierung unterlassen, hat sie auf Verlangen Unterlagen vorzulegen und Auskunft zu erteilen. Ein datiertes Prüfergebnis wäre dann die Antwort darauf.
Die Zuordnung folgt der Tätigkeit und nicht dem Handelsregister
Woran die Zuordnung hängt, ist weder der Unternehmensgegenstand noch das Selbstbild. Die Anlagen 1 und 2 des BSIG führen je sieben Sektoren. Ihre Einrichtungsarten sind vielfach über eine Wirtschaftstätigkeit nach der Statistischen Systematik NACE Rev. 2 bestimmt. Der Maschinenbau steht dort als Abteilung 28 in Anlage 2. Ein Maschinenbauer über fünfzig Beschäftigten wäre damit eine wichtige Einrichtung.
Vier Schritte bis zum Ergebnis
Schritt 1
Tätigkeiten einordnen
Fällt eine der ausgeübten Tätigkeiten unter eine Einrichtungsart der Anlagen 1 oder 2. § 28 Abs. 1 Nr. 4 BSIG setzt zusätzlich voraus, dass Waren oder Dienstleistungen entgeltlich angeboten werden.
Schritt 2
Nebentätigkeiten aussondern
Nach § 28 Abs. 3 BSIG dürfen Geschäftstätigkeiten unberücksichtigt bleiben, die im Hinblick auf die gesamte Geschäftstätigkeit vernachlässigbar sind. Alles Übrige bleibt erfasst.
Schritt 3
Größe bestimmen
Beschäftigtenzahl, Jahresumsatz und Jahresbilanzsumme nach § 28 Abs. 1 und 2 BSIG, dazu die Zurechnung im Verbund nach Absatz 4 in beiden Richtungen.
Schritt 4
Ergebnis festhalten
Mit Datum, Grundlage und den zugrunde gelegten Zahlen, auch bei einem negativen Ergebnis. § 33 Abs. 4 BSIG kann die Vorlage von Unterlagen verlangen.
Die Zurechnung im Verbund ist keine Selbstverständlichkeit
Ob die Zahlen des Verbundes mitzählen, wird entweder übergangen oder pauschal bejaht. Beide Antworten gehen an § 28 Abs. 4 BSIG vorbei. Satz 1 verweist auf die Empfehlung 2003/361/EG der Kommission und damit auf die Zurechnung bei Partner- und verbundenen Unternehmen. Satz 2 nimmt sie zurück, wenn die Einrichtung bei Beschaffenheit und Betrieb ihrer informationstechnischen Systeme von diesen Unternehmen unabhängig ist.
Drei Stellen, an denen die Selbsteinschätzung kippt
Mehrere Geschäftsfelder unter einem Rechtsträger
Eingeordnet wird je Tätigkeit und nicht je Gesellschaft. Ein Unternehmen kann in einem Feld erfasst sein und in den übrigen nicht. § 28 Abs. 3 BSIG erlaubt allein das Aussondern des Vernachlässigbaren. Das Ergebnis wäre danach eine Teilbetroffenheit.
Eine Tochtergesellschaft unter der Schwelle
Sie kann über die Zurechnung nach § 28 Abs. 4 S. 1 BSIG erfasst sein. Umgekehrt kann die Zurechnung nach Satz 2 ausscheiden. Dafür kommt es auf die tatsächliche Unabhängigkeit der Systeme an und nicht auf die Beteiligungsverhältnisse.
Ein Ergebnis aus dem vorletzten Jahr
Es veraltet mit dem nächsten Zukauf und mit jeder neuen Tätigkeit. § 33 Abs. 1 BSIG knüpft die Frist an das erstmalige oder erneute Gelten. Deshalb läuft sie bei einem Statuswechsel von Neuem.
Zwei Registrierungspflichten, von denen die zweite übersehen wird
Ob mit der Übermittlung nach § 33 BSIG alles getan ist, entscheidet die Einrichtungsart. Für die in § 60 Abs. 1 S. 1 BSIG genannten Arten ordnet § 34 Abs. 1 BSIG eine zweite Übermittlung an, mit eigenem Inhalt und eigener Frist für Änderungen. Darunter fallen Managed Service Provider, Anbieter von Cloud-Computing-Diensten und Betreiber von Rechenzentrumsdiensten.
Zwei Pflichten, zwei Inhalte
| § 33 BSIG | Merkmal | § 34 BSIG |
|---|---|---|
| Jede erfasste Einrichtung | Wen es trifft | Nur die Arten des § 60 Abs. 1 S. 1 BSIGDNS-Dienste, Cloud-Computing, Rechenzentrumsdienste, Content Delivery Networks, Managed Service und Managed Security Service Provider, Online-Marktplätze, Suchmaschinen und soziale Netzwerke. |
| Name, Anschrift, Sektor, Mitgliedstaaten, Aufsichtsbehörden | Was zu übermitteln ist | Zusätzlich Hauptniederlassung und IP-BereicheDie Hauptniederlassung in der Union nach § 60 Abs. 2 BSIG und die öffentlichen IP-Adressbereiche der Einrichtung. |
| Frist unter der Übergangsregelung§ 66 BSIG setzt die Anwendung des § 33 Abs. 5 BSIG aus, bis eine Rechtsverordnung nach dem KRITIS-Dachgesetz in Kraft tritt. | Bei einer Änderung | Unverzüglich, längstens drei Monate§ 34 Abs. 2 BSIG, gerechnet ab dem Tag, an dem die Änderung eingetreten ist. |
| An das Bundesamt | Wohin die Angaben gehen | Weiter an die Agentur der UnionNach § 34 Abs. 3 BSIG an die Agentur der Europäischen Union für Cybersicherheit, mit Ausnahme der IP-Bereiche. |
Der Grund für die zweite Pflicht ist die Zuständigkeit. Nach § 60 Abs. 1 BSIG ist das Bundesamt für diese Arten unionsweit zentral zuständig, sobald die Hauptniederlassung in Deutschland liegt.
So unterstützen wir Sie bei der NIS2-Einordnung
Die Prüfung selbst dauert wenige Stunden, sobald die Angaben zur Verbundstruktur vorliegen. Der Aufwand liegt in deren Beschaffung. Deshalb liegt es nahe, die Prüfung an den Jahresabschluss zu hängen, bei dem dieselben Zahlen ohnehin zusammenkommen. Am Ende steht ein datierter Vermerk und bei einem positiven Ergebnis die Registrierung.
Bei uns liegt die Prüfung als Teil der Sicherheit der Verarbeitung nach Art. 32 DSGVO. Die Vertretung gegenüber dem Bundesamt, die Verteidigung in einem Bußgeldverfahren nach § 65 BSIG und die Haftung der Geschäftsleitung sind Rechtsberatung außerhalb unseres Nebenrechtsgebiets. Sie laufen über die angegliederte lexICT legal Rechtsanwaltsgesellschaft.
Häufige Fragen
Meldet sich das Bundesamt, wenn wir betroffen sind?
Nicht als erster Schritt. § 33 Abs. 1 BSIG richtet die Pflicht an die Einrichtung. Nach § 33 Abs. 3 BSIG registriert das Bundesamt von Amts wegen erst, wenn die Pflicht nicht erfüllt wird. Auch die vom Bundesamt bereitgestellte Betroffenheitsprüfung dient nach seinen eigenen Angaben allein der Orientierung und ersetzt die Selbst-Identifizierung nicht.
Zählen verbundene Unternehmen mit?
Im Ausgangspunkt ja, denn § 28 Abs. 4 S. 1 BSIG verweist auf die Empfehlung 2003/361/EG. Satz 2 nimmt die Zurechnung jedoch zurück, wenn die Einrichtung bei Beschaffenheit und Betrieb ihrer informationstechnischen Systeme von den Partner- und verbundenen Unternehmen unabhängig ist. Die Prüfung wäre danach zweistufig. Die zweite Stufe wird häufig übergangen.
Die Frist ist abgelaufen. Was jetzt?
Die Pflicht besteht fort, denn § 33 Abs. 1 BSIG knüpft an das Gelten als Einrichtung und nicht an einen Stichtag. Eine verspätete Übermittlung ist deshalb geboten. Sie bleibt eine Ordnungswidrigkeit nach § 65 Abs. 2 Nr. 6 BSIG, wobei der Rahmen dafür nach § 65 Abs. 5 Nr. 5 BSIG bis zu fünfhunderttausend Euro reicht und nicht bis zu den Beträgen, die für die Risikomanagement- und Meldepflichten gelten.
Wir sind erfasst. Gilt dann alles?
Nicht notwendig. § 28 Abs. 5 BSIG nimmt Telekommunikations- und Energieunternehmen von einem Teil der Pflichten aus, soweit sie eigenen Regelungen unterliegen. § 28 Abs. 6 BSIG nimmt Finanzunternehmen nach der Verordnung (EU) 2022/2554 sowie Teile der Telematikinfrastruktur aus. Die Registrierungspflicht bleibt davon unberührt.
Was hat das mit Datenschutz zu tun?
Die Maßnahmen überschneiden sich mit Art. 32 DSGVO. Die Betroffenheit entscheidet, welcher Maßstab zusätzlich anzulegen ist. Bei den Sanktionen zieht § 65 Abs. 11 BSIG eine Grenze. Hat die Datenschutzaufsicht für dasselbe Verhalten eine Geldbuße verhängt, darf eine weitere nach dem BSIG nicht verhängt werden.
Weitere Fragen aus diesem Bereich
Cyber Resilience Act
Hersteller ist nach Art. 3 Nr. 13 CRA auch, wer ein Produkt entwickeln lässt und unter eigenem Namen oder eigener Marke vermarktet, und zwar unabhängig von einer Bezahlung.
Sicherheit in der Lieferkette
§ 30 Abs. 2 Nr. 4 BSIG erfasst die Beziehungen zu unmittelbaren Anbietern und Diensteanbietern und reicht nicht weiter in die Kette.
Kontaktieren Sie uns!
Wir haben Ihr Interesse geweckt? Sie haben Fragen? Sie möchten ein unverbindliches Angebot? Wir freuen uns auf Ihre Nachricht!
Kontakt aufnehmenAlternativ können Sie um einen Rückruf bitten.