Die Prüfung nehmen Sie selbst vor, das BSI teilt Ihnen das Ergebnis nicht mit. Dieser Leitfaden führt durch Sektoren, Schwellen und Konzernfragen, mit Beispielen aus der Industrie.
In drei Fragen zur Antwort
- Tätigkeit. Passt eine Ihrer Tätigkeiten zu einer Einrichtungsart aus Anlage 1 oder 2 BSIG?
- Größe. Erreichen Sie die Schwellen, und zählen dabei Zahlen einer Gruppe mit?
- Sonderfall. Gilt eine größenunabhängige Regel oder ein Sonderregime?
Halten Sie die Antworten mit Quelle fest. Die Einstufung ist die Grundlage für alle weiteren Schritte und für Rückfragen.
Welche Sektoren erfasst sind
| Anlage | Sektoren |
|---|---|
| Anlage 1 BSIG | Energie, Transport und Verkehr, Finanzwesen, Gesundheit, Wasser, Digitale Infrastruktur, Weltraum |
| Anlage 2 BSIG | Post- und Kurierdienste, Abfallbewirtschaftung, Chemie, Lebensmittel, Verarbeitendes Gewerbe, Anbieter digitaler Dienste, Forschung |
Entscheidend ist die Einrichtungsart innerhalb des Sektors, nicht die eigene Branchenbezeichnung. Maßgeblich ist, was Sie tatsächlich tun.
Industrie: das gehört zu Anlage 2
Für die Industrie ist Anlage 2 BSIG meist der Einstieg. Viele Einrichtungsarten sind über NACE-Abteilungen beschrieben. Laut BSI gilt NACE Rev. 2 im Stand von 2008.
- Elektronik (Abteilung 26): Herstellung von Datenverarbeitungsgeräten, elektronischen und optischen Erzeugnissen.
- Elektrik (Abteilung 27): Herstellung von elektrischen Ausrüstungen.
- Maschinenbau (Abteilung 28): auch Hersteller, die selbst keine kritische Infrastruktur betreiben.
- Fahrzeuge (Abteilungen 29 und 30): Kraftwagen und Kraftwagenteile sowie sonstiger Fahrzeugbau.
- Medizintechnik: Hersteller von Medizinprodukten und In-vitro-Diagnostika.
- Chemie: Hersteller und Importeure in Kategorie 20 mit Registrierungspflicht nach der REACH-Verordnung.
- Lebensmittel: Unternehmen im Großhandel sowie in der industriellen Produktion und Verarbeitung.
Die Größenschwellen
| Einstufung | Mitarbeitende | oder Umsatz und Bilanzsumme |
|---|---|---|
| Besonders wichtig (nur Anlage 1) | ab 250 | über 50 Mio. Euro Umsatz und über 43 Mio. Euro Bilanzsumme |
| Wichtig (Anlage 1 und 2) | ab 50 | jeweils über 10 Mio. Euro |
Unternehmen aus Anlage 2 sind höchstens wichtige Einrichtungen, auch wenn sie sehr groß sind. Das gilt, solange sie nicht zugleich zu einem Fall von § 28 Abs. 1 BSIG gehören, etwa als Betreiber einer kritischen Anlage.
So zählen Sie richtig
§ 28 Abs. 4 BSIG verweist auf die KMU-Empfehlung 2003/361/EG, mit Ausnahme von Art. 3 Abs. 4 ihres Anhangs. Daraus folgt:
- Jahresarbeitseinheiten: Gezählt wird nicht nach Köpfen. Teilzeit und Saisonarbeit gehen anteilig ein.
- Auszubildende: Sie zählen nicht mit, ebenso wenig Mutterschafts- und Elternurlaub.
- Beide Finanzwerte: Umsatz und Bilanzsumme müssen zusammen überschritten sein. Die Mitarbeiterzahl steht als Alternative daneben.
- Letzter Abschluss: Maßgeblich sind die Daten des letzten Rechnungsabschlusses, der Umsatz ohne Mehrwertsteuer.
- Zwei Jahre: Laut BSI führt erst eine Überschreitung in zwei aufeinanderfolgenden Geschäftsjahren zur Betroffenheit. Für Neugründungen gilt das nicht.
Fälle unabhängig von der Größe
- Betreiber kritischer Anlagen: immer besonders wichtig. Solange die Verordnung nach dem KRITIS-Dachgesetz nicht in Kraft ist, gilt die bisherige Bestimmung kritischer Anlagen weiter (§ 66 BSIG), in der Praxis die BSI-KritisV.
- Qualifizierte Vertrauensdiensteanbieter, Top Level Domain Name Registries und DNS-Diensteanbieter: immer besonders wichtig.
- Andere Vertrauensdiensteanbieter: immer wichtig.
- Öffentliche Telekommunikation: ab 50 Mitarbeitenden oder über 10 Mio. Euro Umsatz und Bilanzsumme besonders wichtig, darunter wichtig.
Konzern und Unternehmensgruppe
In Gruppen entstehen die meisten Fragen. Diese Punkte ergeben sich aus § 28 Abs. 4 BSIG und den FAQ des BSI:
- Jede Einrichtung für sich: Die Betroffenheit wird einrichtungsbezogen geprüft. Die Mutter wird nicht automatisch pflichtig, nur weil eine Tochter betroffen ist.
- Zahlen der Gruppe: Verbundene Unternehmen zählen grundsätzlich voll mit, auch außerhalb der EU, Partnerunternehmen anteilig.
- Unabhängige IT: Die Zahlen werden nicht hinzugerechnet, wenn das Unternehmen mit Blick auf seine IT unabhängig ist. Laut Gesetzesbegründung kommt es darauf an, ob es über Beschaffung, Betrieb und Konfiguration eigenverantwortlich entscheiden kann.
- IT durch die Mutter: Betreibt die Konzernmutter die Systeme vollständig, wird diese Unabhängigkeit regelmäßig verneint. Bei einem beauftragten Dienstleister wird sie regelmäßig bejaht.
- Gemeinsame IT: Erfüllen Mutter und Tochter die Voraussetzungen, sind beide erfasst, soweit § 28 Abs. 4 Satz 2 BSIG nicht greift.
- Konzern-IT-Gesellschaft: Erbringt sie mit administrativem Zugriff operative Leistungen an Systemen anderer Gesellschaften, ordnet das BSI sie als Managed Service Provider ein.
Vernachlässigbare Tätigkeiten
Geschäftstätigkeiten, die im Hinblick auf die gesamte Tätigkeit vernachlässigbar sind, können unberücksichtigt bleiben (§ 28 Abs. 3 BSIG). Das BSI legt das eng aus: Bei einem einzelnen Unternehmen sind das Tätigkeiten, die ausschließlich internen Zwecken dienen, zum Beispiel eine Photovoltaikanlage für den Eigenbedarf. Was Sie am Markt anbieten, ist nicht vernachlässigbar.
Sonderregime
Einzelne Pflichten können durch andere Regeln ersetzt sein. Die Registrierung nach § 33 BSIG ist in diesen Ausnahmen nicht genannt.
- Finanzwesen: Für Finanzunternehmen unter DORA gelten §§ 30, 31, 32, 35, 36, 38 und 39 BSIG nicht (§ 28 Abs. 6 BSIG).
- Telekommunikation und Energie: § 28 Abs. 5 BSIG nimmt Betreiber öffentlicher Telekommunikationsnetze und bestimmte Energiebetreiber von zentralen Pflichten aus, mit Rückausnahmen für weitere Tätigkeiten.
- Telematikinfrastruktur: Für die Gesellschaft für Telematik und bestimmte Dienste greift ebenfalls § 28 Abs. 6 BSIG.
Zulieferer ohne eigene Betroffenheit
Fallen Sie nicht unter § 28 BSIG, gelten die Pflichten nicht unmittelbar für Sie. Ihre Kunden müssen aber die Sicherheit ihrer Lieferkette berücksichtigen (§ 30 Abs. 2 Nr. 4 BSIG). Laut BSI können nicht betroffene Zulieferer dadurch mittelbar betroffen sein, etwa über Verträge und Nachweise.
Beispiele aus der Industrie
Alle Beispiele sind erfunden und vereinfacht.
| Unternehmen | Prüfung | Ergebnis |
|---|---|---|
| Maschinenbauer, 180 Mitarbeitende, eigenständig | Abteilung 28, Anlage 2, Schwelle 50 erreicht | Wichtige Einrichtung |
| Kunststoffverarbeiter, 300 Mitarbeitende | Abteilung 22, keine Einrichtungsart aus den Anlagen | Nicht erfasst, als Zulieferer mittelbar betroffen |
| Tochter eines Schaltanlagenbauers, 40 Mitarbeitende, IT vollständig bei der Mutter | Abteilung 27, Zahlen der Gruppe zählen mit | Je nach Gruppengröße wichtige Einrichtung |
| Wasserversorger, 260 Mitarbeitende | Anlage 1, Schwelle 250 erreicht | Besonders wichtige Einrichtung |
Checkliste
- Alle Tätigkeiten und Gesellschaften aufgelistet.
- Je Tätigkeit NACE-Code und Einrichtungsart geprüft.
- Jahresarbeitseinheiten, Umsatz und Bilanzsumme mit Quelle erfasst.
- Verbundene und Partnerunternehmen geprüft.
- Unabhängigkeit der IT geprüft und begründet.
- Kritische Anlagen und Sonderregime geprüft.
- Einstufung je Gesellschaft dokumentiert.
- Jährliche Überprüfung und Anlässe wie Zukäufe festgelegt.
Betroffenheit prüfen mit Complass
Eine Tabelle hält das Ergebnis fest, aber nicht die Begründung, den Verlauf und die Folgen. In Complass bleibt das zusammen:
- Erste Einschätzung: Der kostenlose Betroffenheits-Check läuft ohne Anmeldung in wenigen Minuten und fragt auch nach der Unternehmensgruppe.
- Betroffenheitscheck im Portal: Das Ergebnis nennt Regel, Begründung, Fundstelle mit Link in den Gesetzestext und Fristen. Bei „Weiß nicht“ lautet es „Prüfung offen“.
- Je Gesellschaft: Sie wählen die Rechtsperson, und das Ergebnis setzt deren NIS2-Einstufung. Partner- und verbundene Unternehmen rechnet das Portal nicht automatisch ein, es weist darauf hin.
- Nachvollziehbar: Eine neue Prüfung wird ein neuer Datensatz, der Verlauf bleibt sichtbar. Das Ergebnis gibt es als PDF.
- Was daraus folgt: Das Cockpit zeigt die Pflichten zur Einstufung, der Check schlägt passende Projekte vor.
Häufige Fragen
Ab wie vielen Mitarbeitenden gilt NIS2?
In der Regel ab 50 Mitarbeitenden in einem erfassten Sektor. Alternativ reichen über 10 Millionen Euro Umsatz und zugleich Bilanzsumme. Für einige Einrichtungsarten spielt die Größe keine Rolle.
Sagt uns das BSI, ob wir betroffen sind?
Nein. Jede Einrichtung prüft selbst. Das BSI bietet dafür eine NIS-2-Betroffenheitsprüfung an, leistet aber keine Einzelfallberatung. Lassen Sie Grenzfälle rechtlich prüfen.
Wir haben Gesellschaften in anderen EU-Staaten. Was gilt dort?
Das BSI ist für Einrichtungen zuständig, die in Deutschland niedergelassen sind (§ 59 BSIG). Für Gesellschaften in anderen Mitgliedstaaten gilt das dortige Umsetzungsgesetz. Für bestimmte digitale Einrichtungsarten kommt es auf die Hauptniederlassung an (§ 60 BSIG).
Was ändert sich, wenn wir wachsen?
Werden Sie erstmals oder erneut zur Einrichtung, beginnt die Registrierungspflicht nach § 33 BSIG. Prüfen Sie Ihre Einstufung deshalb jährlich und bei Zukäufen.
In einer Demo zeigen wir Ihnen, wie Sie von der Einstufung direkt in die Umsetzung kommen.
Weiterlesen
- Kostenloser Betroffenheits-Check
- Leitfaden „NIS2 umsetzen: der Leitfaden in Schritten“
- Leitfaden „Registrierung beim BSI Schritt für Schritt“
- Whitepaper „NIS2 für Unternehmen aller Branchen: direkt betroffen oder über Ihre Kunden“
- Whitepaper „Der Sicherheitsfragebogen Ihres Kunden: NIS2 für Zulieferer und Dienstleister“
- NIS2 und BSIG in Complass: Betroffenheit, Pflichten und Umsetzung
Keine Rechtsberatung. Dieser Leitfaden gibt einen allgemeinen Überblick und ersetzt nicht die Prüfung im Einzelfall. Maßgeblich ist der aktuelle Wortlaut des BSIG.