Warum ein schneller Größencheck nicht genügt
Die Formel „50 Beschäftigte oder zehn Millionen Euro Umsatz“ ist eine nützliche Warnlampe, aber keine vollständige Betroffenheitsprüfung. Das BSI-Gesetz unterscheidet besonders wichtige und wichtige Einrichtungen, verweist auf die Einrichtungsarten der Anlagen 1 und 2 und enthält Sonderregeln. Wer nur zwei Kennzahlen betrachtet, kann sich zu früh in Sicherheit wiegen oder unnötig beunruhigen. Beides ist keine belastbare Grundlage für Entscheidungen und Budgets.
Die Prüfung sollte deshalb nachvollziehbar dokumentiert werden. Festgehalten werden die betrachtete Gesellschaft, ihre tatsächlichen Tätigkeiten, Größenangaben, Konzernbezüge, Ausnahmen und offene Fragen. Auch Datum und Quellen gehören dazu. Ändert sich das Geschäftsmodell, wächst das Unternehmen oder kommt eine neue Dienstleistung hinzu, muss die Einordnung erneut geprüft werden. Betroffenheit ist kein Aufkleber, den man einmal auf die Akte klebt.
Zuerst Tätigkeiten und Einrichtungsarten zuordnen
Ausgangspunkt ist nicht der allgemeine Branchenname, sondern die tatsächlich angebotene Ware oder Dienstleistung. Die Anlagen nennen Einrichtungsarten unter anderem aus Energie, Verkehr, Gesundheit, Wasser, digitaler Infrastruktur, IKT-Diensten, Post, Abfall, Chemie, Lebensmitteln und Fertigung. Ein Unternehmen kann mehreren Einrichtungsarten zugeordnet sein. Auch eine Nebenleistung kann relevant werden, wenn sie eine gesetzlich beschriebene Tätigkeit erfüllt.
Die praktische Prüfung beginnt daher mit einer verständlichen Beschreibung von Leistungen, Kunden und Wertschöpfung. Anschließend wird jede relevante Tätigkeit mit den gesetzlichen Einrichtungsarten abgeglichen. Produktnamen und interne Abteilungsbezeichnungen helfen dabei nur begrenzt. Entscheidend ist, was das Unternehmen tatsächlich tut. Bleibt die Zuordnung unklar, wird die Annahme dokumentiert und fachlich oder rechtlich geprüft, statt sie durch eine optimistische Formulierung verschwinden zu lassen.
Ein Hersteller kann beispielsweise aufgrund einer in Anlage 2 genannten Fertigungsart erfasst sein. Ein digitaler Anbieter kann zugleich Dienste bereitstellen, die unter Anlage 1 fallen. Die Einstufung folgt dann nicht dem gewünschten Etikett, sondern den gesetzlichen Merkmalen. Deshalb sollten Fachbereich, Recht, Finanzen und Informationssicherheit ihre Informationen zusammenführen. Jeder besitzt nur einen Teil des Bildes; allein bleibt der Ausschnitt bequem, aber unvollständig.
Größe und Unternehmensverbund sauber berechnen
Für viele Einrichtungsarten sind Mitarbeiterzahl, Jahresumsatz und Jahresbilanzsumme relevant. Besonders wichtige Einrichtungen der Anlage 1 erreichen grundsätzlich mindestens 250 Beschäftigte oder überschreiten sowohl 50 Millionen Euro Jahresumsatz als auch 43 Millionen Euro Jahresbilanzsumme. Wichtige Einrichtungen der Anlagen 1 und 2 erreichen grundsätzlich mindestens 50 Beschäftigte oder überschreiten sowohl zehn Millionen Euro Jahresumsatz als auch zehn Millionen Euro Jahresbilanzsumme. Der genaue Gesetzestext und die anzuwendenden Berechnungsregeln müssen im Einzelfall geprüft werden.
Gerade bei Unternehmensgruppen wird es anspruchsvoller. Partnerunternehmen und verbundene Unternehmen können die Größenberechnung beeinflussen. Gleichzeitig enthält das BSIG für bestimmte Konstellationen Möglichkeiten, Daten verbundener Unternehmen unberücksichtigt zu lassen, wenn deren Systeme tatsächlich unabhängig sind. Das ist keine pauschale Konzernbefreiung. Beteiligungen, Kontrolle, gemeinsam genutzte IT, Personal und Dienste müssen konkret betrachtet und die Schlussfolgerung dokumentiert werden.
Für die Kennzahlen braucht es einen festen Stichtag und eine nachvollziehbare Datenquelle. Beschäftigtenzahlen aus einer Präsentation, Umsatz aus einem anderen Geschäftsjahr und Bilanzwerte einer falschen Gesellschaft ergeben gemeinsam zwar eine Tabelle, aber keine verlässliche Prüfung. Finanzabteilung und Personalbereich sollten die verwendeten Werte bestätigen. Bei Veränderungen empfiehlt sich ein regelmäßiger oder anlassbezogener Wiederholungscheck.
Sondertatbestände und Vorrangregeln beachten
Daneben gelten Sondertatbestände unabhängig von den allgemeinen Größenschwellen, etwa für bestimmte Betreiber kritischer Anlagen, Vertrauensdienste, DNS-Dienste oder Telekommunikationsanbieter. Sektorale Regelungen können ebenfalls eine Rolle spielen. Ein Onlinecheck des BSI unterstützt die Orientierung, ersetzt aber bei komplexen Tätigkeiten, Sonderfällen oder Unternehmensstrukturen keine vertiefte Einordnung.
Die Prüfung sollte außerdem zwischen direkter gesetzlicher Betroffenheit und Anforderungen aus der Lieferkette unterscheiden. Nicht jeder Lieferant einer NIS2-Einrichtung wird dadurch selbst zur wichtigen Einrichtung. Regulierte Kunden müssen jedoch Risiken ihrer Lieferketten berücksichtigen. Sie werden Sicherheitsnachweise, vertragliche Regelungen, Meldewege oder Prüfungsrechte verlangen. Rechtlich ist das etwas anderes; wirtschaftlich kann es sehr deutlich spürbar werden.
Eine belastbare Prüfung in fünf Schritten
- Relevante Gesellschaft und tatsächlich angebotene Leistungen benennen.
- Zuordnung zu Anlage 1 oder 2 für jede Tätigkeit begründen.
- Beschäftigte, Umsatz, Bilanzsumme und Verflechtungen mit Stichtag dokumentieren.
- Sondertatbestände, Ausnahmen und sektorale Vorrangregeln prüfen.
- Ergebnis, Unsicherheiten, Verantwortliche und Termin der nächsten Prüfung festlegen.
Das Ergebnis sollte nicht nur „betroffen“ oder „nicht betroffen“ lauten. Sinnvoll sind Begründung, Datenstand, geprüfte Varianten und verbleibende Unsicherheiten. Bei Betroffenheit folgt die Zuordnung als besonders wichtige oder wichtige Einrichtung und anschließend die Registrierung. Bei Nichtbetroffenheit bleibt festzuhalten, welche Veränderungen eine erneute Prüfung auslösen. So entsteht ein belastbarer Entscheidungsnachweis statt einer Momentaufnahme.
Unklare Grenzfälle gehören ausdrücklich benannt. Dann kann die Geschäftsleitung entscheiden, ob zusätzliche rechtliche Prüfung nötig ist oder vorsorglich Maßnahmen umgesetzt werden. Viele Sicherheitsmaßnahmen sind auch ohne gesetzliche Pflicht sinnvoll. Dennoch sollte man sauber trennen, was das Gesetz verlangt, was ein Kunde fordert und was das Unternehmen aus eigenem Risikoverständnis tut. Diese Klarheit verhindert später Diskussionen mit erstaunlich vielen unterschiedlichen Erinnerungen.
Nach einer positiven Einstufung ist die Arbeit nicht beendet, sondern nur eindeutig eröffnet. Nun sind Registrierung, Verantwortlichkeiten, Risikomanagement und Meldewege umzusetzen. Auch die Kategorie ist relevant, weil das Gesetz besonders wichtige und wichtige Einrichtungen unterscheidet. Das Ergebnis der Prüfung sollte deshalb an die Verantwortlichen übergeben und in den regelmäßigen Steuerungsprozess aufgenommen werden.
Bei einem negativen Ergebnis bleibt die Lieferkettenperspektive bestehen. Kunden können angemessene Sicherheitsmaßnahmen verlangen, weil ihre eigene Leistung von dem Lieferanten abhängt. Solche Anforderungen sollten auf das tatsächliche Risiko zugeschnitten sein. Ein pauschaler Katalog mit hundert Fragen erzeugt vor allem hundert Antworten. Ob die wichtige Dienstleistung nach einem Angriff wieder verfügbar ist, steht damit noch nicht fest.
Kurz gesagt
Eine belastbare NIS2-Betroffenheitsprüfung verbindet Tätigkeit, Einrichtungsart, Größe, Sonderregeln und Unternehmensstruktur. Sie arbeitet mit bestätigten Kennzahlen, dokumentiert Annahmen und trennt direkte Regulierung von Anforderungen aus der Lieferkette. Das BSI-Angebot ist ein guter Einstieg; Grenzfälle brauchen zusätzliche Prüfung. Wer das Ergebnis regelmäßig überprüft, verhindert, dass eine einmal richtige Einordnung still und unbemerkt veraltet.
Quellen und weiterführende Informationen
Zuletzt fachlich geprüft: