Das Bundesamt für Sicherheit in der Informationstechnik (BSI) stellt Unternehmen umfangreiche Informationen und Hilfestellungen zur Umsetzung der NIS-2-Anforderungen bereit. Dazu gehören auch Antworten auf allgemeine und sektorspezifische Fragen zum Anwendungsbereich und zur Betroffenheit einzelner Unternehmen.
Unter anderem geht es dabei um die Frage, ob eine Konzern-IT die Voraussetzungen eines „Managed Service Providers“ nach der NIS-2-Richtlinie beziehungsweise ihrer Umsetzung im BSIG erfüllt. Das BSI macht anhand von Beispielen deutlich, dass eine Konzern-IT nicht automatisch als Managed Service Provider einzustufen ist. Entscheidend ist unter anderem, ob die maßgeblichen Schwellenwerte bei Beschäftigtenzahl, Jahresumsatz und Jahresbilanz überschritten werden. Werden diese nicht erreicht, kann die Konzern-IT außerhalb des Anwendungsbereichs bleiben.
Das BSI-FAQ zu NIS-2 regulierte Unternehmen
Das BSI stellt sowohl ein allgemeines FAQ als auch sektorspezifische FAQ zu NIS-2 bereit. Letztere betreffen unter anderem die Bereiche Gesundheit, digitale Infrastruktur und Finanzwesen.
Das allgemeine FAQ deckt zahlreiche praktische Fragen ab. Dazu gehören insbesondere Anwendungsbereich und Betroffenheit, Gesetzgebungsverfahren und Zuständigkeiten, Pflichten und Anforderungen, Registrierung und Meldepflichten sowie Fragen zu NACE-Codes und Unternehmensstrukturen. Weitere Themen sind Lieferketten und Sicherheit, branchenspezifische Besonderheiten, Umsetzungshilfen, Unterstützungsangebote des BSI und die Verantwortung der Geschäftsleitung.
Gerade beim Anwendungsbereich arbeitet das BSI mit mehreren Beispielszenarien. Diese zeigen etwa, wann ein Unternehmen unter NIS-2 fallen kann oder wann das Kriterium der vernachlässigbaren Geschäftspraktiken nach § 28 Absatz 3 BSIG greifen könnte.
Wann liegt eine vernachlässigbare Geschäftstätigkeit vor?
Unter einer „vernachlässigbaren“ Geschäftstätigkeit nach § 28 Abs. 3 BSIG versteht das BSI Tätigkeiten, die im Verhältnis zur gesamten Geschäftstätigkeit nur eine untergeordnete Rolle spielen. Maßgeblich ist eine Gesamtbetrachtung, etwa anhand von Mitarbeiterzahl, Umsatz und Bilanzsumme.
Bei verbundenen Unternehmen kann eine Tätigkeit insbesondere dann vernachlässigbar sein, wenn sie nur konzernintern angeboten wird und bestimmte Schwellen nicht überschreitet. Das BSI nennt ausdrücklich auch Konzern-IT als mögliches Beispiel. Wird die Tätigkeit dagegen am Markt angeboten, spricht dies gegen eine Einstufung als vernachlässigbar.
Wann gilt eine Konzern-IT als Managed Service Provider?
Das BSI erläutert, unter welchen Voraussetzungen ein Konzernunternehmen mit seinen IT-Dienstleistungen als Managed Service Provider (MSP) einzustufen sein kann und damit in den Anwendungsbereich des BSIG fällt. Als MSP gilt grundsätzlich nur, wer Systeme der Informations- und Kommunikationstechnik (IKT-Systeme) installiert, verwaltet, betreibt oder wartet und dabei einen tatsächlichen administrativen Zugriff auf diese Systeme hat.
Entscheidend ist daher nicht, wer einen IT-Dienst gegenüber Kunden anbietet, sondern wer ihn technisch wirklich betreibt. Eine Gesellschaft, die etwa ein Kundenportal anbietet, den technischen Betrieb aber vollständig an ein anderes Konzernunternehmen oder einen Dritten auslagert, ist daher selbst regelmäßig kein MSP. Gleiches gilt für reinen IT-Anwendersupport ohne technischen Zugriff oder Problemlösungskompetenz auf Systemebene.
Die Einstufung erfolgt anders, wenn eine zentrale Konzern-IT mit administrativem Zugriff operative IT-Leistungen für andere Konzerngesellschaften erbringt. In diesem Fall kann sie als MSP eingestuft werden. Dabei spielt es keine Rolle, ob die Leistungen ausschließlich konzernintern erbracht werden oder ob konkret kritische Anwendungen betroffen sind.
Gilt die NIS-2 für mein Unternehmen, wenn es selbst nicht betroffen ist, aber NIS-2-Unternehmen beliefert?
Auch Unternehmen, die selbst nicht unter NIS-2 fallen, können mittelbar von den Anforderungen des BSIG betroffen sein. Das ist insbesondere dann der Fall, wenn sie Waren oder Dienstleistungen an NIS-2-regulierte Unternehmen liefern.
Nach § 30 Abs. 2 Nr. 4 BSIG müssen betroffene Einrichtungen die Sicherheit ihrer Lieferkette berücksichtigen. Dazu können vertragliche Anforderungen an Zulieferer und Dienstleister gehören, etwa zu Risikomanagement, Patchmanagement, dem Umgang mit Cybervorfällen sowie zu Security by Design und Security by Default.
Nicht regulierte Unternehmen sollten deshalb prüfen, ob ihre eigenen Sicherheitsmaßnahmen den Anforderungen ihrer NIS-2-pflichtigen Auftraggeber genügen. Auch ohne eigene unmittelbare Betroffenheit können so vertragliche oder organisatorische Pflichten entstehen.
Einordnung: Fällt Ihr Unternehmen unter NIS-2?
Ob ein Unternehmen in den Anwendungsbereich des BSIG oder NIS-2 Umsetzungsgesetz fällt, hängt zunächst davon ab, ob das Unternehmen einer der in den Anlagen 1 und 2 genannten Einrichtungsarten zuzuordnen ist. Zusätzlich müssen grundsätzlich die gesetzlichen Schwellenwerte zu Beschäftigtenzahl oder Umsatz nach § 28 Abs. 1 und 2 BSIG erreicht oder überschritten werden.
Bestimmte Einrichtungen werden jedoch unabhängig von ihrer Größe erfasst. Dazu gehören etwa TLD-Namensregister, DNS-Diensteanbieter, Anbieter öffentlicher elektronischer Kommunikationsnetze oder -dienste sowie Vertrauensdiensteanbieter.
Für Unternehmen stellt das BSI eine NIS-2-Betroffenheitsprüfung (hier abrufbar) bereit. Sie führt anhand konkreter, am Gesetz orientierter Fragen durch die wichtigsten Kriterien und bietet damit eine erste Orientierung, ob eine Einordnung als wichtige oder besonders wichtige Einrichtung in Betracht kommt.
Fazit
Die BSI-FAQ zeigen, dass die NIS-2-Betroffenheit stark von der konkreten Unternehmensstruktur und den tatsächlich erbrachten Leistungen abhängt.
Gerade bei Konzern-IT, Managed Services und Lieferketten lohnt sich deshalb eine genaue Prüfung. Die Betroffenheitsprüfung des BSI bietet dafür eine erste Orientierung, ersetzt aber nicht die grundsätzliche Überprüfung und Bewertung.
Bereit, die Compliance Ihres Unternehmens in erfahrene Hände zu legen?
Wir helfen Ihnen dabei, rechtliche Risiken zu minimieren und die Integrität Ihres Unternehmens zu wahren.
