NIS2: Betrifft das Ihren Betrieb?

Der häufigste Irrtum zuerst: Viele warten darauf, dass sich eine Behörde meldet. Die meldet sich nicht.

Das BSI sagt das selbst, wörtlich in seinen Fragen und Antworten zu NIS-2:

„Die Prüfung der Betroffenheit ist nach Maßgabe der genannten Vorschrift durch die eventuell Betroffenen selbst durchzuführen, eine Mitteilung der Betroffenheit durch das BSI erfolgt nicht."

Sie prüfen also selbst. Die Regel dafür steht in § 28 BSIG. Bundesweit sind rund 29.500 Unternehmen und Einrichtungen betroffen, so die Zahl des BSI.

Betroffen ist ein Betrieb nur, wenn beides zutrifft.

Erstens die Tätigkeit. Sie muss einer Einrichtungsart aus Anlage 1 oder Anlage 2 des BSI-Gesetzes zuzuordnen sein. Das sind zusammen vierzehn Sektoren, sieben je Anlage.

Zweitens die Größe. Für die wichtige Einrichtung gilt: mindestens 50 Beschäftigte (§ 28 Abs. 2 Nr. 3 lit. a BSIG). Oder Jahresumsatz und Jahresbilanzsumme jeweils über 10 Millionen Euro (§ 28 Abs. 2 Nr. 3 lit. b BSIG).

Auf das kleine „und" in der zweiten Zeile kommt es an. Beide Werte müssen über 10 Millionen liegen. Ein Betrieb mit 25 Leuten und 12 Millionen Umsatz, dessen Bilanzsumme bei 3 Millionen liegt, reißt die Schwelle nicht. Der Entscheidungsbaum des BSI schreibt es genauso: „Jahresumsatz > 10 Mio. € und Jahresbilanzsumme > 10 Mio. €".

Zwischen den beiden Wegen, also zwischen Beschäftigten und Geld, steht dagegen ein echtes Oder. Einer von beiden reicht.

Eine Stufe darüber sitzt die besonders wichtige Einrichtung: ab 250 Beschäftigten, oder ab einem Umsatz über 50 Millionen und einer Bilanzsumme über 43 Millionen Euro (§ 28 Abs. 1 Nr. 4 BSIG). Für Betriebe dieser Größe ist diese Seite nicht geschrieben.

Die vierzehn Sektoren lesen sich breit. Anlage 1: Energie, Transport und Verkehr, Finanzwesen, Gesundheit, Wasser, Digitale Infrastruktur, Weltraum. Anlage 2: Post- und Kurierdienste, Abfallbewirtschaftung, Chemie, Lebensmittel, Verarbeitendes Gewerbe, Anbieter digitaler Dienste, Forschung.

Wer da „Verarbeitendes Gewerbe" liest, denkt sofort, er sei dabei. Ist er meistens nicht.

Das BSI setzt diesen Satz auf jede Seite seiner eigenen Prüfung: „Bitte beachten Sie, dass Gesetz und Anlagen Definitionen für die betroffenen Einrichtungsarten enthalten. Eine reine Zuordnung zu einem der genannten Sektoren führt nicht automatisch zu einer Betroffenheit."

Die Anlagen benennen nämlich keine Branchen, sondern Einrichtungsarten. Unter „Verarbeitendes Gewerbe" fallen Medizinprodukte, Datenverarbeitungsgeräte, elektrische Ausrüstungen, Maschinenbau und Fahrzeugbau. Ein Schlosser ist nicht dabei. Ein Maschinenbauer mit 60 Leuten schon.

Dasselbe bei Lebensmitteln. Gemeint sind Großhandel sowie industrielle Produktion und Verarbeitung. Eine Bäckerei mit drei Filialen ist nicht gemeint.

Wenn Ihre Tätigkeit in den Anlagen vorkommt, wird die Zahl wichtig. Und die ist fast immer niedriger, als die Lohnliste vermuten lässt.

Gezählt wird nämlich nicht in Köpfen. § 28 Abs. 4 Satz 1 BSIG verweist auf die Empfehlung der Kommission 2003/361/EG. Nach Art. 5 des Anhangs dieser Empfehlung wird in Jahresarbeitseinheiten gerechnet:

• Zwei Halbtagskräfte sind eine Einheit.
• Auszubildende zählen gar nicht mit.
• Eltern- und Mutterschutzzeiten werden nicht mitgerechnet.
• Wer nur einen Teil des Jahres da war, zählt anteilig.

Fünfzig Köpfe sind selten fünfzig Jahresarbeitseinheiten.

Dazu kommt eine zweite Bremse. Ein einzelnes gutes Jahr macht niemanden betroffen. Nach Art. 4 Abs. 2 des Anhangs der Empfehlung 2003/361/EG braucht es die Überschreitung in zwei aufeinanderfolgenden Geschäftsjahren. Das BSI bestätigt das in seinen Fragen und Antworten ausdrücklich und nennt als Beispiel saisonale Spitzen, die eben nicht zählen. Ausnahme: neu gegründete Unternehmen.

Zwei Punkte gehen in die andere Richtung, und die übersieht man leicht:

Der Verbund zählt mit. Gehört Ihr Betrieb zu einer Gruppe, werden die Zahlen der Partner- und verbundenen Unternehmen hinzugerechnet, auch die außerhalb der EU (§ 28 Abs. 4 Satz 1 BSIG). Es gibt eine Ausnahme in Satz 2: Wer über Beschaffung, Betrieb und Einrichtung seiner eigenen IT selbst entscheidet, bleibt unabhängig und rechnet allein. Wichtig für Sie: Eine an einen externen Dienstleister vergebene IT macht Sie nach der Gesetzesbegründung nicht abhängig. Abhängig macht die Konzernmutter, die Ihre IT betreibt.

Kleine Nebengeschäfte dürfen draußen bleiben. Nach § 28 Abs. 3 BSIG können Geschäftstätigkeiten unberücksichtigt bleiben, die im Verhältnis zum Gesamtgeschäft vernachlässigbar sind. Das BSI sieht sich dafür Mitarbeiterzahl, Umsatz und Bilanzsumme dieses Bereichs an.

Und zum Schluss der Rechnung: Schreiben Sie das Ergebnis mit Datum auf. Eine halbe Seite reicht. Wer in zwei Jahren gefragt wird, warum er sich nicht registriert hat, hat dann etwas in der Hand.

Es gibt Betriebe, die unabhängig von ihrer Größe unter das Gesetz fallen. Für unsere Zielgruppe ist das selten, aber nicht nie:

• Betreiber kritischer Anlagen, also KRITIS (§ 28 Abs. 1 Nr. 1 BSIG).
• Qualifizierte Vertrauensdiensteanbieter, Top-Level-Domain-Registries und DNS-Diensteanbieter (§ 28 Abs. 1 Nr. 2 BSIG).
• Nicht qualifizierte Vertrauensdiensteanbieter (§ 28 Abs. 2 Nr. 1 BSIG).
• Anbieter öffentlich zugänglicher Telekommunikationsdienste und Betreiber öffentlicher Telekommunikationsnetze (§ 28 Abs. 1 Nr. 3 und Abs. 2 Nr. 2 BSIG). Für die gibt es keine Untergrenze, nur eine andere Einstufung.

Wenn nichts davon auf Sie zutrifft und Sie unter den Schwellen liegen, gilt das Gesetz für Sie nicht. Wir sagen das so deutlich, weil gerade viel Gegenteiliges verkauft wird.

Das BSI stellt seine eigene Betroffenheitsprüfung ins Netz, unter betroffenheitspruefung-nis-2.bsi.de. Zehn Fragen, ein paar Minuten, keine Anmeldung. Das BSI erfasst dabei nach eigener Angabe keine Daten, die Rückschlüsse auf Ihr Unternehmen zulassen.

Eine Einschränkung nennt das BSI selbst: „Die NIS-2-Betroffenheitsprüfung dient als automatische Orientierungshilfe auf Grundlage von Eigenangaben, deren Ergebnis nicht rechtlich bindend ist." Sie ersetzt Ihre eigene Prüfung nicht. Sie ist der schnellste erste Blick.

Zurück zum Fragebogen, denn das ist der Weg, auf dem NIS2 bei Ihnen ankommt.

Ihr Kunde muss die Sicherheit seiner Lieferkette im Griff haben, einschließlich der Beziehungen zu seinen unmittelbaren Anbietern und Diensteanbietern (§ 30 Abs. 2 Nr. 4 BSIG). Umsetzen kann er das nur über Verträge. Deshalb tauchen jetzt Sicherheitsanforderungen, Meldepflichten und Prüfrechte in ganz gewöhnlichen Dienstleistungsverträgen auf.

Für Sie heißt das zwei Dinge, und beide sind gute Nachrichten:

Sie haben keine gesetzliche Pflicht aus NIS2. Sie bekommen eine vertragliche, wenn Sie unterschreiben. Und was vertraglich ist, ist verhandelbar.

Das Wort im Gesetz lautet „unmittelbar". Die Pflicht Ihres Kunden reicht auf seine direkten Lieferanten, nicht weiter durch die ganze Kette.

Das Risiko ist damit auch kein Bußgeld. Das Risiko ist der Auftrag. Wer den Fragebogen nicht beantworten kann, fliegt im Zweifel aus der Lieferantenliste.

Wir sind Ihr IT-Dienstleister, keine Kanzlei und kein Zertifizierer.

Was wir beantworten können, ist die technische Hälfte des Fragebogens: Sicherung und getesteter Rückspielvorgang, Patchstand, Virenschutz, Zugriffsrechte, Mehrfaktor-Anmeldung, Meldewege. Bei den meisten unserer Kunden ist das ohnehin unsere Arbeit. Wir müssen sie nur aufschreiben.

Was wir nicht machen: IT-Recht, IT-Forensik und förmliche Zertifizierungen. Dafür haben wir Partner, und wir sagen es Ihnen vorher.

Und was Sie ohne uns tun können, sagen wir auch: Die Betroffenheitsprüfung des BSI klicken Sie selbst durch. Die Mehrfaktor-Anmeldung ist in Microsoft 365 ein Schalter. Eine Liste, wer auf welche Daten darf, schreibt Ihre Buchhaltung in einer Stunde. Dafür brauchen Sie niemanden.

Was bei KI-Inhalten zu kennzeichnen ist und was Art. 32 DSGVO von Ihrem Betrieb verlangt, steht auf zwei eigenen Seiten.