NIS‑2: BSI kon­kre­ti­siert „ver­nach­läs­sig­ba­re Geschäftstätigkeiten“

Schwel­len­wer­te für ver­nach­läs­sig­ba­re Tätig­kei­ten und ihre recht­li­chen Grenzen

Das Bun­des­amt für Sicher­heit in der Infor­ma­ti­ons­tech­nik (BSI) kon­kre­ti­siert in sei­nen NIS-2-FAQ, wann Geschäfts­tä­tig­kei­ten bei der Prü­fung des Anwen­dungs­be­reichs des BSI-Gesetzes (BSIG) unbe­rück­sich­tigt blei­ben kön­nen. Für die Bewer­tung ver­nach­läs­sig­ba­rer Geschäfts­tä­tig­kei­ten bei ver­bun­de­nen Unter­neh­men nennt es kon­kre­te Schwel­len­wer­te. Die Aus­le­gungs­hil­fe wirft jedoch recht­li­che Fra­gen auf.

Wel­che Schwel­len­wer­te nennt das BSI?

Nach § 28 Abs. 3 BSIG kön­nen Geschäfts­tä­tig­kei­ten bei der Zuord­nung zu den regu­lier­ten Ein­rich­tungs­ar­ten unbe­rück­sich­tigt blei­ben, wenn sie im Ver­hält­nis zur gesam­ten Geschäfts­tä­tig­keit der Ein­rich­tung ver­nach­läs­sig­bar sind.

Bei ver­bun­de­nen Unter­neh­men ver­langt das BSI, dass die betref­fen­de Tätig­keit aus­schließ­lich inner­halb des Unter­neh­mens­ver­bunds ange­bo­ten wird. Zusätz­lich müs­sen in die­sem Bereich weni­ger als 50 Mit­ar­bei­ter tätig sein. Der Anteil an Jah­res­um­satz und Jah­res­bi­lanz­sum­me der Ein­rich­tung muss jeweils unter 10 % lie­gen. Bei Unter­neh­men mit mehr als 500 Mit­ar­bei­tern lässt das BSI alter­na­tiv einen Mit­ar­bei­ter­an­teil von weni­ger als 10 % zu. Die wirt­schaft­li­chen Gren­zen blei­ben bestehen. Als Bei­spiel für die Anwen­dung die­ser Kri­te­ri­en nennt das BSI die Konzern-IT ein­schließ­lich Mana­ged Konzern-IT.

Konzern-IT und Mana­ged Konzern-IT als expli­zit genann­te Beispiele

Denkt man die­se Aus­le­gungs­hil­fe wei­ter, könn­te auch ein Unter­neh­men mit 49 Ange­stell­ten unter die Aus­nah­me fal­len, des­sen sat­zungs­mä­ßi­ger Zweck aus­schließ­lich in der Erbrin­gung von IT-Dienstleistungen besteht. Vor­aus­set­zung wäre, dass es als 100%ige Toch­ter­ge­sell­schaft sei­ne Dienst­leis­tun­gen aus­schließ­lich inner­halb des Unter­neh­mens­ver­bunds anbie­tet und die wirt­schaft­li­chen Schwel­len­wer­te unter­schrei­tet. Bie­tet es sei­ne Dienst­leis­tun­gen hin­ge­gen auf dem frei­en Markt an, wür­de es den Cyber­si­cher­heits­an­for­de­run­gen des BSIG unter­fal­len. Die­se Dif­fe­ren­zie­rung erscheint aus Cyber­si­cher­heits­ge­sichts­punk­ten und ange­sichts des kla­ren Schutz­zwecks der NIS-2-Richtlinie in die­ser Form nicht haltbar.

Gera­de bei zen­tra­len IT-Dienstleistungen zeigt sich die begrenz­te Aus­sa­ge­kraft die­ser Kenn­zah­len. Eine mit weni­gen Mit­ar­bei­tern betrie­be­ne IT-Einheit kann Zugrif­fe auf die Sys­te­me zahl­rei­cher Kon­zern­ge­sell­schaf­ten ver­wal­ten und deren Geschäfts­be­trieb maß­geb­lich absi­chern. Ihr gerin­ger Anteil am Umsatz oder an der Bilanz­sum­me lässt für sich genom­men kei­nen Schluss auf die Aus­wir­kun­gen auf die Cyber­si­cher­heit des Gesamt­kon­zerns zu. Die NIS-2-Richtlinie bezweckt jedoch gera­de, sol­che Risi­ken für die Cyber­si­cher­heit zu begrenzen.

War­um bestehen uni­ons­recht­li­che Bedenken?

Die NIS-2-Richtlinie legt einen ver­pflich­tend umzu­set­zen­den Min­dest­stan­dard fest. Art. 5 erlaubt den Mit­glied­staa­ten ein höhe­res Cyber­si­cher­heits­ni­veau. Eine all­ge­mei­ne Aus­nah­me für ver­nach­läs­sig­ba­re Tätig­kei­ten sieht die Richt­li­nie dage­gen nicht vor. An der Ver­ein­bar­keit der deut­schen Rege­lung und der vom BSI genann­ten Schwel­len­wer­te mit die­sen Vor­ga­ben bestehen daher erheb­li­che euro­pa­recht­li­che Zweifel.

Was Unter­neh­men jetzt tun sollten

Die FAQ erläu­tern die Rechts­auf­fas­sung des BSI. Eine ver­bind­li­che Frei­stel­lung ent­hal­ten sie nicht. Unter­neh­men soll­ten die Vor­aus­set­zun­gen der Aus­nah­me für die jewei­li­ge Gesell­schaft prü­fen und ihre Ein­ord­nung doku­men­tie­ren. Die Bezugs­grö­ßen der Schwel­len­wer­te sind dabei sorg­fäl­tig zu bestim­men. Die Grö­ßen­be­rech­nung unter Berück­sich­ti­gung von Partner- und ver­bun­de­nen Unter­neh­men nach § 28 Abs. 4 BSIG ist von der Bewer­tung einer Tätig­keit als ver­nach­läs­sig­bar zu unterscheiden.

Auch bei einer Aus­nah­me kön­nen ver­trag­li­che Sicher­heits­an­for­de­run­gen fort­be­stehen. Regu­lier­te Kun­den müs­sen die Sicher­heit ihrer Lie­fer­ket­te ein­schließ­lich unmit­tel­ba­rer Diens­te­an­bie­ter berück­sich­ti­gen (§ 30 Abs. 2 Nr. 4 BSIG). Dar­aus kön­nen Anfor­de­run­gen an Dienst­leis­ter fol­gen, die selbst nicht unmit­tel­bar dem BSIG unterliegen.

Fazit

Die BSI-Auslegungshilfe bie­tet Ori­en­tie­rung, aber kei­ne ver­bind­li­che Frei­stel­lung. Unter­neh­men soll­ten die Aus­nah­me sorg­fäl­tig prü­fen und ihre Ein­ord­nung dokumentieren.