„Wir sind doch kein Energieversorger“: Die fünf Irrtümer zur NIS2-Betroffenheit

Es gibt eine Frage, die in Erstgesprächen zu IT-Sicherheit seit einem Jahr häufiger gestellt wird als jede andere: Betrifft uns NIS2? Und es gibt eine Antwort, die fast immer zuerst kommt, bevor die Frage überhaupt geprüft ist: „Wahrscheinlich nicht, wir sind doch kein Energieversorger.“ Dieser Beitrag nimmt die fünf Annahmen auseinander, die hinter solchen Antworten stehen. Alle fünf sind verbreitet, alle fünf sind nachvollziehbar, und alle fünf sind falsch – nachlesbar in § 28 des BSI-Gesetzes und seinen beiden Anlagen.

Irrtum eins: NIS2 gilt nur für kritische Infrastruktur

Das alte BSI-Gesetz kannte vor allem Betreiber kritischer Infrastrukturen – Kraftwerke, Wasserwerke, große Kliniken. Wenige Hundert Häuser, die ohnehin wussten, dass sie gemeint sind. Das neue Gesetz hat diese Gruppe behalten und eine zweite, sehr viel größere daneben gestellt: die wichtigen und besonders wichtigen Einrichtungen. Sie werden nicht über die Kritikalität einer Anlage bestimmt, sondern über Sektor und Größe. Ein Maschinenbauer mit 60 Beschäftigten ist keine kritische Infrastruktur. Er ist eine wichtige Einrichtung.

Der Unterschied ist nicht nur begrifflich. Für Betreiber kritischer Anlagen gelten zusätzliche Pflichten nach § 31 – etwa Systeme zur Angriffserkennung. Für wichtige Einrichtungen gelten die Pflichten nach § 30, die Meldepflichten nach § 32, die Registrierung nach § 33 und die Pflichten der Geschäftsleitung nach § 38. Das ist weniger als für Kraftwerke. Es ist aber sehr viel mehr als nichts.

Irrtum zwei: Es beginnt bei 250 Beschäftigten

Die Zahl 250 steht im Gesetz, aber sie trennt nicht „betroffen“ von „nicht betroffen“. Sie trennt zwei Pflichtenstufen innerhalb der Anlage 1: Ab 250 Beschäftigten – oder mehr als 50 Millionen Euro Umsatz und 43 Millionen Euro Bilanzsumme – ist ein Unternehmen eines Sektors mit hoher Kritikalität besonders wichtige Einrichtung. Die Betroffenheit selbst beginnt früher: bei 50 Beschäftigten oder mehr als 10 Millionen Euro Umsatz und zugleich mehr als 10 Millionen Euro Bilanzsumme. Das gilt für die Anlagen 1 und 2 gleichermaßen.

Woher die 250 im Gespräch kommt, ist leicht zu erklären: Sie ist die Grenze der EU-Definition für Großunternehmen, und sie taucht in vielen Darstellungen prominent auf. Für die Frage „Sind wir erfasst?“ ist sie die falsche Zahl. Die richtige ist 50.

Irrtum drei: Wir erreichen die Umsatzschwelle nicht, also sind wir raus

Die Schwellen sind alternativ, nicht kumulativ. Ein Unternehmen ist wichtige Einrichtung, wenn es mindestens 50 Beschäftigte hat – oder wenn es die Finanzschwelle überschreitet. Einer der beiden Wege genügt. Ein Logistiker mit 80 Beschäftigten und 9 Millionen Euro Umsatz erreicht die Finanzschwelle nicht und ist trotzdem erfasst, weil er die Beschäftigtenschwelle erreicht. Umgekehrt kann ein Handelsunternehmen mit 40 Beschäftigten über die Finanzschwelle hineinfallen, wenn Umsatz und Bilanzsumme beide über 10 Millionen Euro liegen.

Beim Finanzweg lohnt ein genauer Blick auf das „und“: Das Gesetz verlangt, dass Umsatz und Bilanzsumme beide über der Grenze liegen. Ein Handelsunternehmen mit hohem Umsatz und schlanker Bilanz ist über diesen Weg nicht erfasst. Das ist die einzige Stelle, an der die Schwellen enger sind, als sie klingen.

Irrtum vier: Unsere Branche steht nicht drin

Die Anlagen 1 und 2 nennen vierzehn Sektoren, und einige davon lesen sich so, als beträfen sie nur Konzerne: Energie, Finanzwesen, Weltraum. Zwischen ihnen stehen aber Sektoren, die den Mittelstand in der Fläche treffen. Anlage 2 nennt das verarbeitende Gewerbe mit Maschinenbau, Fahrzeugbau, elektrischen Ausrüstungen, Datenverarbeitungsgeräten und Medizinprodukten. Sie nennt Lebensmittelunternehmen in Großhandel und industrieller Produktion, Hersteller chemischer Stoffe, die Abfallbewirtschaftung. Anlage 1 nennt Gesundheitsdienstleister, Straßenverkehrsunternehmen, Rechenzentrums- und Managed-Service-Anbieter.

Die Einrichtungsarten sind dabei teils über andere Rechtsakte definiert – Lebensmittelunternehmen nach der Basisverordnung, Chemiehersteller nach REACH, das verarbeitende Gewerbe über Abteilungen der statistischen Systematik. Wer prüfen will, ob seine Branche drinsteht, muss deshalb nicht nach dem Namen seiner Branche suchen, sondern nach der Tätigkeit. Ein Hersteller von Steuerungstechnik findet sich nicht unter „Steuerungstechnik“, sondern unter „Herstellung von elektrischen Ausrüstungen“.

Irrtum fünf: Wir sind nur Zulieferer, das betrifft unsere Kunden

Das ist der Irrtum, der am teuersten wird – nicht wegen eines Bußgelds, sondern wegen eines Auftrags. § 30 Abs. 2 Nr. 4 BSIG verpflichtet jede erfasste Einrichtung, die Sicherheit ihrer Lieferkette zu regeln, einschließlich der Beziehungen zu Anbietern und Dienstleistern. Was das für den Zulieferer bedeutet, steht nicht im Gesetz, sondern im Vertrag seines Kunden: Fragebögen, Nachweise über Sicherungen und Zugriffskontrolle, Meldewege, mitunter eine Zertifizierung.

Ein Zulieferer mit 30 Beschäftigten, der ein Krankenhaus, einen Automobilhersteller oder ein Rechenzentrum beliefert, ist nach § 28 nicht erfasst. Das BSI kennt ihn nicht. Sein Kunde schon – und der ist verpflichtet, Anforderungen an ihn zu stellen. Wer sie nicht erfüllen kann, verliert nicht das Bußgeld, sondern den Rahmenvertrag. Für die Metropolregion mit ihrer Dichte an Zulieferern für Chemie, Automobil und Gesundheit ist dieser Weg der häufigere.

Was stattdessen zu tun ist

Die Prüfung dauert, wenn die Unterlagen vorliegen, eine halbe Stunde. Erst die drei Fälle ohne Schwelle – kritische Anlage, Vertrauens- oder DNS-Dienste, Telekommunikation. Dann der Sektor, geprüft an der Tätigkeit, nicht am Branchennamen. Dann die Schwellen, beide Wege. Dann die Kunden: Wer von ihnen ist erfasst, und was verlangt er? Das Ergebnis gehört aufgeschrieben, mit Datum, denn ab dem Tag der Betroffenheit laufen drei Monate bis zur Registrierung – und niemand teilt diesen Tag mit.

Was diese Prüfung nicht ersetzt, ist die rechtliche Bewertung im Einzelfall – etwa bei Konzernstrukturen, bei Mischtätigkeiten oder bei den Sonderregeln des § 28 Abs. 5 bis 8. Sie sagt aber, ob sich die Frage stellt. Und in sehr viel mehr Häusern, als der Satz vom Energieversorger vermuten lässt, stellt sie sich.

Verwandte Themen: Wer hier weiterdenkt, liest bei NIS2-Umsetzung, Angriffserkennung unter NIS2 und NIS2 weiter.