Die NIS2-Richtlinie: was tatsächlich drinsteht

Richtlinie (EU) 2022/2555, veröffentlicht im Amtsblatt L 333 vom 27. Dezember 2022, Seite 80. Zehn Kapitel, davon sind zwei für einen Betrieb interessant:

Dazu Anhang I mit elf Sektoren, Anhang II mit sieben und Anhang III mit einer Vergleichstabelle zur alten Richtlinie.

Wenn Sie also nachschlagen wollen, was von einem Unternehmen verlangt wird, springen Sie zu Kapitel IV. Der Rest richtet sich an Behörden.

Die Richtlinie teilt Betriebe in zwei Gruppen ein, und der Mechanismus wird oft falsch erzählt.

Nach Art. 3 Abs. 1 lit. a der Richtlinie ist wesentliche Einrichtung, wer einer Art aus Anhang I zuzuordnen ist und die Schwellenwerte für mittlere Unternehmen überschreitet.

Nach Art. 3 Abs. 2 der Richtlinie sind wichtige Einrichtungen alle übrigen Einrichtungen aus Anhang I oder II, also alle, die nicht wesentlich sind.

Damit ist der häufigste Irrtum erledigt: Anhang I ist nicht gleich wesentlich. Wer in Anhang I steht, aber unter 250 Beschäftigten bleibt, ist wichtig, nicht wesentlich. Die Kategorie hängt an Anhang und Größe.

Unabhängig von der Größe wesentlich sind nur wenige, unter anderem qualifizierte Vertrauensdiensteanbieter, Domänennamenregister oberster Stufe und DNS-Diensteanbieter (Art. 3 Abs. 1 lit. b der Richtlinie).

Das überrascht die meisten. In Art. 2 Abs. 1 der Richtlinie steht keine Mitarbeiterzahl und kein Eurobetrag. Dort steht ein Verweis auf die Empfehlung der Kommission 2003/361/EG und auf ihre Schwellenwerte für mittlere Unternehmen.

Die konkreten Zahlen stehen erst im deutschen Recht, in § 28 BSIG: 50 Beschäftigte, 250 Beschäftigte, 10 Millionen, 43 Millionen, 50 Millionen Euro.

Wer Ihnen also sagt, „die Richtlinie sagt ab 50 Mitarbeitern", hat sie nicht gelesen.

Anhang I, elf Sektoren: Energie, Verkehr, Bankwesen, Finanzmarktinfrastrukturen, Gesundheitswesen, Trinkwasser, Abwasser, Digitale Infrastruktur, Verwaltung von IKT-Diensten zwischen Unternehmen, Öffentliche Verwaltung, Weltraum.

Anhang II, sieben Sektoren: Post- und Kurierdienste, Abfallbewirtschaftung, Chemie, Lebensmittel, Verarbeitendes Gewerbe, Anbieter digitaler Dienste, Forschung.

Elf plus sieben ist achtzehn. Das ist die Zahl, die überall zitiert wird, und sie stimmt. Für die Richtlinie.

Und hier wird es praktisch. Das deutsche Gesetz ordnet dieselben Einrichtungsarten anders, und an einer Stelle weicht es inhaltlich ab.

Die letzte Zeile ist die, auf die es für einen Mittelständler ankommt. Die berühmte Formel „10 Millionen oder 2 Prozent vom Weltumsatz" steht in der Richtlinie. Deutschland hat sie so nicht übernommen. Wer sie Ihnen vorhält, zitiert den falschen Text. Was die Geschäftsleitung selbst schuldet, regelt § 38 BSIG.

Zwei weitere Unterschiede, die man kennen sollte:

Kommunen sind draußen. Art. 2 Abs. 5 der Richtlinie stellt es den Mitgliedstaaten frei, die lokale Verwaltungsebene einzubeziehen. Deutschland hat davon keinen Gebrauch gemacht. Eine Stadtverwaltung fällt also nicht allein deshalb unter NIS2. Wer eine kritische Anlage betreibt, fällt weiter darunter.

Die Auffangtatbestände fehlen. Art. 2 Abs. 2 lit. b bis e der Richtlinie erlaubt es, auch kleine Einrichtungen zu erfassen, etwa wenn jemand der einzige Anbieter eines unerlässlichen Dienstes ist oder ein Systemrisiko besteht. Deutschland hat diese Fälle nicht als eigene Kategorie ins BSIG übernommen.

Art. 23 Abs. 1 der Richtlinie sagt zur Meldung eines Sicherheitsvorfalls wörtlich: „Mit der bloßen Meldung wird keine höhere Haftung der meldenden Einrichtung begründet."

Wer also überlegt, ob eine Meldung ihm später vorgehalten wird: Die Richtlinie sagt ausdrücklich Nein.

Lesen Sie die Anlagen des BSIG, nicht die Anhänge der Richtlinie. Sie sind kürzer und sie sind das, woran das BSI misst.

Prüfen Sie bei jedem Angebot, worauf sich der Anbieter beruft. Wer nur die Richtlinie zitiert, arbeitet mit dem falschen Text. In Deutschland gilt das BSIG. Was Art. 32 DSGVO daneben von Ihnen verlangt, gilt unabhängig von NIS2.

Und wenn im Fragebogen Ihres Kunden „wesentliche Einrichtung" steht: Dann zitiert er aus der Richtlinie, und gemeint ist das, was das deutsche Gesetz besonders wichtige Einrichtung nennt.