NIS-2 in Sonderkonstellationen — Konzern, DORA, Insolvenz

1. Worum es geht — drei Sonderkonstellationen

Die normale BSIG-/NIS-2-Umsetzungsprüfung beginnt mit zwei Fragen: Gehört die Einrichtung zu einem erfassten Sektor, und erreicht sie die maßgeblichen Größen- oder Sondertatbestände? Diese Grundprüfung steht in Schwellenwerte (250 MA / 50 Mio. €). A6-01 setzt danach an. Der Artikel fragt, ob ein Fall von der Standardprüfung abweicht, weil Konzernstrukturen, DORA [EU-DORA]-Finanzaufsicht oder eine Cyber-bedingte Krise hinzutreten.

A6-01 ist ein Navigations-Pillar. Er gibt der Geschäftsleitung genug Orientierung, um den Sonderfall zu erkennen und die richtige Vertiefung anzusteuern. Die vollständige Konzern-Schwellenberechnung steht in Konzern: Größenklassen & IT-Tochter, die DORA-Tiefe in DORA — Pflichten & Aufsicht, die Insolvenz-Cyber-Mechanik in Insolvenz in der Cyber-Krise. Der Hub bleibt trotzdem eigenständig: Du sollst am Ende dieses Artikels erkennen können, welche Sonderprüfung zuerst kommt.

Die drei Sonderfälle haben unterschiedliche Funktionen. Der Konzern-Sonderfall verändert vor allem die Größenklassenprüfung. Der DORA-Sonderfall verschiebt bestimmte aufsichtsrechtliche BSIG-Pflichten in eine finanzaufsichtliche Resilienzarchitektur. Der Insolvenz-Sonderfall fügt eine zweite Dringlichkeitsebene hinzu, wenn der Cyber-Vorfall Liquidität oder Fortführung gefährdet. Das sind keine drei Varianten derselben Entlastung, sondern drei verschiedene Prüfpfade.

Für Geschäftsleitungen und Berater ist deshalb entscheidend, den ersten Fehler zu vermeiden: nicht mit dem gewünschten Regime starten. Eine GmbH-Tochter kann klein wirken und dennoch über Partner- oder verbundene Unternehmen in die Schwellenprüfung geraten. Ein Finanzunternehmen kann DORA-reguliert sein und trotzdem gesellschaftsrechtlich überwacht werden müssen. Eine Cyber-Krise kann technisch beherrschbar erscheinen und trotzdem insolvenzrechtliche Fristen auslösen.

Demut-Hinweis: Eine Sonderkonstellation ist keine Entwarnung. Sie verändert die Prüfreihenfolge, die zuständige Normwelt oder die Zurechnung. Sie ersetzt nicht die Einzelfallprüfung.

2. Sonderfall Konzern — Mutter, Tochter, Holding, IT-Tochter

Im Konzern ist die gefährlichste Verkürzung der Satz: „Die Tochter ist klein, also nicht erfasst.“ Fast ebenso falsch ist die Gegenformel: „Der Konzern ist groß, also sind alle Gesellschaften erfasst.“ Das BSIG arbeitet nicht mit einer pauschalen Konzernbetroffenheit. Es prüft die einzelne Einrichtung, knüpft bei Mitarbeiteranzahl, Jahresumsatz und Jahresbilanzsumme aber an die Empfehlung der Kommission (2003/361/EG) an.

„Partnerunternehmen“ und „verbundene Unternehmen“ sind Begriffe aus dieser Empfehlung. Vereinfacht gesagt beschreiben sie Beteiligungs- und Kontrollbeziehungen, die bei der Größenklassenermittlung relevant sein können. In der A6-01-Perspektive geht es nicht um die vollständige Berechnung, sondern um den Mechanismus: Die betrachtete Gesellschaft wird nicht isoliert geprüft, wenn die Empfehlung eine Hinzurechnung verlangt. Zugleich enthält § 28 Abs. 4 Satz 2 BSIG [N-BSIG-28] eine besondere Rückausnahme für IT-unabhängige Einheiten.

Bei der Bestimmung von Mitarbeiteranzahl, Jahresumsatz und Jahresbilanzsumme nach den Absätzen 1 und 2 ist außer für rechtlich unselbstständige Organisationseinheiten einer Gebietskörperschaft die Empfehlung der Kommission (2003/361/EG) mit Ausnahme von Artikel 3 Absatz 4 des Anhangs anzuwenden.
Die Daten von Partner- oder verbundenen Unternehmen im Sinne der Empfehlung der Kommission (2003/361/EG) sind nicht hinzuzurechnen, wenn das Unternehmen unter Berücksichtigung der rechtlichen, wirtschaftlichen und tatsächlichen Umstände mit Blick auf die Beschaffenheit und den Betrieb der informationstechnischen Systeme, Komponenten und Prozesse unabhängig von seinen Partner- oder verbundenen Unternehmen ist.
— § 28 Abs. 4 Satz 1 und Satz 2 BSIG

Damit entsteht eine dreistufige Konzernprüfung. Erstens: Welche einzelne Gesellschaft oder Organisationseinheit übt die relevante Tätigkeit aus? Zweitens: Welche Partner- oder verbundenen Unternehmen sind nach der Empfehlung der Kommission (2003/361/EG) mitzudenken? Drittens: Greift die IT-Unabhängigkeits-Rückausnahme, weil Beschaffenheit und Betrieb der informationstechnischen Systeme, Komponenten und Prozesse rechtlich, wirtschaftlich und tatsächlich unabhängig sind?

Diese Rückausnahme ist besonders wichtig für IT-Töchter, Shared-Service-Gesellschaften und Holding-Strukturen. Eine Holding kann finanzielle Kontrolle ausüben, ohne den Betrieb der IT-Systeme der Tochter tatsächlich zu prägen. Umgekehrt kann eine formal kleinere Gesellschaft über zentrale Konzern-IT so eng eingebunden sein, dass eine isolierte Betrachtung nicht trägt. Die Antwort hängt an Strukturen, Verträgen, Entscheidungswegen, Systembetrieb, Sicherheitsarchitektur und tatsächlicher Steuerung.

Für die Praxis bedeutet das: Der Organigramm-Blick reicht nicht aus. Gefragt werden muss, wer IT-Architektur freigibt, wer Sicherheitsmaßnahmen finanziert, wer Incident-Response-Prozesse steuert, wer Administratorenrechte hält und wer über zentrale Systeme entscheidet. Auch Dienstleistungsverträge innerhalb der Gruppe sind relevant, weil sie zeigen können, ob eine Einheit IT tatsächlich selbst beherrscht oder operativ vom Konzern abhängig ist. Diese Prüfung bleibt ein Einzelfall, weil § 28 Abs. 4 Satz 2 BSIG mehrere tatsächliche und rechtliche Umstände zusammenzieht.

§ 28 Abs. 3 BSIG gehört in derselben Prüfung an eine andere Stelle. Er betrifft die Zuordnung zu den Einrichtungsarten nach Anlagen 1 und 2. Geschäftstätigkeiten, die im Verhältnis zur gesamten Geschäftstätigkeit vernachlässigbar sind, können dort unberücksichtigt bleiben. Das ist nicht die Größenklassenrechnung nach § 28 Abs. 4 BSIG. Wer diese Absätze vermischt, kann entweder zu viel oder zu wenig hinzurechnen.

Konzern-Kausalkette: Einzelne Einrichtung bestimmen → Einrichtungsart nach Anlagen 1 und 2 prüfen → vernachlässigbare Tätigkeiten bei der Zuordnung nach § 28 Abs. 3 BSIG einordnen. Danach Mitarbeiteranzahl, Jahresumsatz und Jahresbilanzsumme nach § 28 Abs. 4 Satz 1 BSIG mit der Empfehlung der Kommission (2003/361/EG) bestimmen → IT-Unabhängigkeits-Rückausnahme nach § 28 Abs. 4 Satz 2 BSIG prüfen. Ergebnis: Größenklasse und Status als besonders wichtige Einrichtung, wichtige Einrichtung oder nicht erfasste Einrichtung feststellen.

Die vollständige Berechnung und die IT-Tochter-Box stehen in Konzern: Größenklassen & IT-Tochter. Die allgemeine Schwellen- und Größenklassen-Prüfung ist in Schwellenwerte (250 MA / 50 Mio. €) dargestellt.

3. Sonderfall DORA-Finanzunternehmen

DORA [EU-DORA] ist die Verordnung (EU) 2022/2554 über die digitale operationale Resilienz im Finanzsektor. Sie regelt für Finanzunternehmen unter anderem IKT-Risikomanagement, Vorfallsmeldungen, Tests und das Management von IKT-Drittparteienrisiken. Im deutschen BSIG wird DORA über § 28 Abs. 6 BSIG [N-BSIG-28] als Sonderregime sichtbar.

„Finanzunternehmen“ ist hier kein Alltagswort für jedes Unternehmen mit Finanzbezug. Gemeint ist die DORA-Kategorie nach Art. 2 Abs. 2 der Verordnung (EU) 2022/2554, ergänzt um die im BSIG ausdrücklich genannten KWG- und VAG-Erstreckungsfälle. Diese genaue Adressatengrenze entscheidet, ob § 28 Abs. 6 Nr. 1 BSIG überhaupt öffnet.

Qualifizierte Vertrauensdienste und andere eIDAS [EU-eIDAS]-Konstellationen sind davon zu trennen. Sie können für Sondertatbestände und digitale Vertrauensinfrastrukturen wichtig sein, sind aber kein DORA-Finanzunternehmen-Fall. Für den Hub genügt deshalb ein eigener eIDAS-Prüfanker: Liegt eine eIDAS-geprägte Sonderrolle vor, muss sie neben DORA, Telematik, TK/EnWG und Konzernzurechnung gesondert dokumentiert werden.

„Lex specialis“ bedeutet: Eine speziellere Regel verdrängt für ihren geregelten Ausschnitt die allgemeinere Regel. § 28 Abs. 6 BSIG verdrängt aber nicht das gesamte BSIG und erst recht nicht das Gesellschaftsrecht. Er nennt eine bestimmte Adressatengruppe und eine bestimmte Liste von BSIG-Vorschriften.

Die §§ 30, 31, 32, 35, 36, 38 und 39 gelten nicht für

1. Finanzunternehmen nach Artikel 2 Absatz 2 der Verordnung (EU) 2022/2554 und Unternehmen, für die die Anforderungen der Verordnung (EU) 2022/2554 aufgrund von § 1a Absatz 2 und 2a des Kreditwesengesetzes oder § 293 Absatz 5 des Versicherungsaufsichtsgesetzes gelten,
2. die Gesellschaft für Telematik nach § 306 Absatz 1 Satz 3 des Fünften Buches Sozialgesetzbuch, Betreiber von Diensten der Telematikinfrastruktur im Hinblick auf die nach § 311 Absatz 6 und § 325 des Fünften Buches Sozialgesetzbuch zugelassenen Dienste und Betreiber von Diensten, soweit sie die Telematikinfrastruktur für nach § 327 Absatz 2 bis 5 des Fünften Buches Sozialgesetzbuch bestätigte Anwendungen nutzen.
   — § 28 Abs. 6 BSIG

Für Finanzunternehmen heißt das: Die §§ 30, 31, 32, 35, 36, 38 und 39 BSIG gelten in den genannten Konstellationen nicht. Die operative Resilienz-, Melde- und Aufsichtsarchitektur läuft dann über DORA und die zuständige Aufsicht. In Deutschland ist je nach Finanzunternehmen, Meldegegenstand und Aufsichtsspur insbesondere die BaFin maßgeblich; eine Bundesbank-Einbindung ist dort zu prüfen, wo das jeweilige Melde- oder Aufsichtsregime sie vorsieht.

Die Grenze ist genauso wichtig wie die Ausnahme. § 28 Abs. 6 BSIG nennt die zurücktretenden Vorschriften abschließend. Nicht genannte BSIG-Vorschriften fallen nicht automatisch weg. § 33 BSIG [N-BSIG-33] darf daher nicht beiläufig als mitverdrängt behandelt werden, wenn § 28 Abs. 6 BSIG zitiert wird.

Die zweite Nummer des Absatzes darf nicht im DORA-Block verschwinden. Die Gesellschaft für Telematik und bestimmte Betreiber oder Nutzer von Diensten der Telematikinfrastruktur werden zwar im selben Absatz genannt, sind aber keine DORA-Finanzunternehmen. Für den Leser ist diese Trennung wichtig, weil der gleiche Carve-out-Mechanismus auf unterschiedliche Spezialregime verweist.

Ebenso wichtig ist die DORA-IKT-Drittdienstleister-Abgrenzung. DORA enthält Regeln über IKT-Drittparteienrisiken und einen Überwachungsrahmen für kritische IKT-Drittdienstleister. Daraus folgt nicht, dass jeder Cloud-Anbieter, Auslagerungsdienstleister oder konzerninterne IT-Service-Provider selbst ein Finanzunternehmen nach § 28 Abs. 6 Nr. 1 BSIG ist. DORA-Nähe ist keine Statusdefinition. Der IT-Dienstleister braucht eine eigene BSIG-, DORA- oder Spezialregime-Prüfung.

DORA-Kausalkette: Finanzunternehmen nach Art. 2 Abs. 2 DORA oder ausdrücklich erfassten KWG-/VAG-Erstreckungsfall bestimmen → § 28 Abs. 6 Nr. 1 BSIG prüfen → ausschließlich die dort genannten §§ 30, 31, 32, 35, 36, 38 und 39 BSIG treten zurück. Danach DORA- und zuständige Aufsichtsarchitektur prüfen; je nach Finanzunternehmen und Meldegegenstand in Deutschland insbesondere BaFin, mit Bundesbank-Einbindung dort, wo das jeweilige Melde- oder Aufsichtsregime sie vorsieht. Nicht genannte BSIG-Pflichten nicht automatisch streichen → Gesellschaftsrecht nach § 43 GmbHG [N-GmbHG-43], § 93 AktG [N-AktG-93] und § 116 AktG [N-AktG-116] gesondert prüfen. Separater Telematik-Pfad: § 28 Abs. 6 Nr. 2 BSIG betrifft ausschließlich die dort genannten SGB-V-Konstellationen und ist kein DORA-Finanzunternehmen-Fall.

Faktenfalle 17 betrifft die Geschäftsleitung. DORA verschiebt die regulatorische Architektur, suspendiert aber nicht die gesellschaftsrechtliche Verantwortung. Geschäftsführer bleiben an § 43 GmbHG gebunden, Vorstände an § 93 AktG, Aufsichtsräte an den Maßstab des § 116 AktG. Ob daraus persönliche Haftung entsteht, hängt an Pflichtverletzung, Verschulden, Schaden, Kausalität und dem jeweiligen Innen- oder Außenhaftungsmaßstab. Die DORA-Tiefe steht in DORA — Pflichten & Aufsicht; die DORA-oder-BSIG-Grundabgrenzung steht in DORA oder BSIG?.

4. Sonderfall Insolvenz und Cyber-Krise

Ein Cyber-Vorfall ist kein Insolvenzereignis kraft Etikett. Er kann aber eine Krise auslösen oder sichtbar machen. Typische Wirkpfade sind Produktionsstillstand, gesperrte Systeme, Forderungsausfälle, Notbetriebskosten, Wiederanlaufkosten, Kundenverlust, Versicherungsstreit und ein Liquiditätsabriss über mehrere Tage oder Wochen.

„Zahlungsunfähigkeit“ meint im insolvenzrechtlichen Zusammenhang § 17 InsO [N-InsO-17]. „Drohende Zahlungsunfähigkeit“ nach § 18 InsO [N-InsO-18] und die Krisenfrüherkennungs- und Gegenmaßnahmenlogik des StaRUG liegen davor und dürfen nicht übersprungen werden, wenn die Cyber-Krise Finanzierung, Covenants oder Fortführungserwartungen erschüttert. „Überschuldung“ verweist auf § 19 InsO [N-InsO-19]. Für Geschäftsleitungen besonders gefährlich ist der Zeitpunkt, an dem aus einer operativen Cyber-Krise eine vorinsolvenzliche oder insolvenzrechtlich relevante Lage wird. Dann wird nicht mehr allein gefragt, ob IT-Systeme wiederhergestellt werden können. Es wird gefragt, ob der Rechtsträger noch zahlen kann, ob eine Fortbestehensprognose trägt und welche Zahlungen nach Eintritt der Insolvenzreife zulässig bleiben.

Insolvenz-Kausalkette: Cyber-Vorfall → mögliche Betriebsunterbrechung oder Liquiditätsbelastung → Liquiditätsstatus, Finanzierungsannahmen, Covenants, Cash-Pool- oder Treasury-Sweeps und Fortbestehensprognose prüfen. Danach vorinsolvenzliche Krisenfrüherkennung und Gegenmaßnahmen nach StaRUG sowie mögliche drohende Zahlungsunfähigkeit (§ 18 InsO), Zahlungsunfähigkeit (§ 17 InsO) oder Überschuldung (§ 19 InsO) prüfen. Bei antragspflichtigem Rechtsträger und Eintritt der Insolvenzreife § 15a InsO [N-InsO-15a] beachten: unverzüglich, spätestens innerhalb der gesetzlichen Höchstfristen von drei Wochen bei Zahlungsunfähigkeit und sechs Wochen bei Überschuldung. Ab Insolvenzreife § 15b InsO [N-InsO-15b]-Zahlungsregime prüfen. Persönliche Folgen nach dem jeweiligen Haftungs- oder Sanktionsmaßstab einordnen.

Das ist der Grund, warum das Lösegeld-Paradoxon im dedizierten Satelliten Lösegeld — ja oder nein? vertieft wird; die insolvenzrechtliche Zahlungs-Mechanik dazu steht in Insolvenz in der Cyber-Krise. Eine Zahlung kann operativ als Rettungsversuch erscheinen und insolvenzrechtlich dennoch problematisch werden. Umgekehrt kann ein Zahlungsstopp operative Schäden erhöhen. Zusätzlich können Sanktions-, Außenwirtschafts-, Krypto-Transfer-, Geldwäsche-, Strafrechts-, Versicherungs- und D&O-/AVB-Fragen ausgelöst werden; eine Lösegeld- oder Wallet-Entscheidung gehört deshalb in einen anwaltlich begleiteten Sanktions- und Zahlungsweg-Check. A6-01 löst diese Abwägung nicht im Detail. Der Hub markiert, wann der Fall aus dem reinen Cyber-Compliance-Kontext in die Insolvenz- und Nebenregimeprüfung kippt.

Für die Geschäftsleitung ist die Dokumentationsspur entscheidend. Sie sollte zeigen, wann der Vorfall erkannt wurde, welche Liquiditätsdaten vorlagen, welche Wiederanlaufannahmen bestanden, welche externen Berater eingebunden wurden, wie Lohn- und Sozialversicherungsbeiträge einschließlich § 266a StGB [N-StGB-266a] eingeordnet wurden und wann die insolvenzrechtliche Prüfung eskaliert ist. Das schützt nicht automatisch, aber es macht später nachvollziehbar, dass Cyber-, Finanz-, Zahlungs-, Versicherungs- und Organentscheidungen nicht vermischt wurden.

Versicherungsrecht ist in dieser Lage kein Entlastungsautomat. Cyber-Police, D&O, Strafrechtsschutz, Anzeige- und Auskunftsobliegenheiten, Deckungsstreit, Vorschüsse und Liquiditätseffekte sind eigenständige Prüfspuren. Ob und wann eine Versicherung praktisch entlastet, hängt von Police, AVB, Schadenart, Meldezeitpunkt, Ausschlüssen, Insolvenz- und Rollenlage ab.

Die Innenhaftung der Geschäftsleitung ist in Innenhaftung der Geschäftsleitung vertieft. Der Überblick über Haftung und Sanktionen steht in Haftung und Sanktionen — Überblick.

5. Weitere Bereichsausnahmen und Sonderlagen

Neben Konzern, DORA [EU-DORA] und Insolvenz enthält § 28 BSIG [N-BSIG-28] weitere Sonderlagen. Sie sind für A6-01 kein eigener Satellitenschwerpunkt, müssen aber im Hub sichtbar sein. Sonst entsteht die falsche Annahme, DORA sei die einzige Bereichsausnahme.

Eine „kritische Anlage“ ist im BSIG-Kontext der Anknüpfungspunkt für besonders sensible Versorgungs- und Infrastrukturfunktionen. A6-01 entscheidet die KRITIS-Tiefe nicht selbst. Der Hub muss aber zeigen, wann kritische Anlagen die Rückausnahmen in § 28 Abs. 5 oder den engen Carve-out in § 28 Abs. 7 BSIG auslösen können.

Für Telekommunikation und Energiewirtschaft ist außerdem wichtig, dass § 28 Abs. 5 BSIG nicht dieselbe Normliste wie § 28 Abs. 6 BSIG enthält. Absatz 5 nimmt zusätzlich §§ 61 und 62 BSIG auf und enthält danach eigene Rückausnahmen. Das ist der typische Ort, an dem eine zu kurze Zusammenfassung falsch wird.

Die §§ 30, 31, 32, 35, 36, 38, 39, 61 und 62 gelten nicht für besonders wichtige Einrichtungen und wichtige Einrichtungen, die

1. ein öffentliches Telekommunikationsnetz betreiben oder öffentlich zugängliche Telekommunikationsdienste erbringen oder
2. Energieversorgungsnetze, Energieanlagen oder digitale Energiedienste nach dem Energiewirtschaftsgesetz betreiben und den Regelungen der §§ 5c bis 5e des Energiewirtschaftsgesetzes unterliegen.
   Satz 1 gilt nicht für die dort aufgeführten besonders wichtigen und wichtigen Einrichtungen, soweit sie über die in Satz 1 Nummer 1 und 2 genannten Anlagen hinaus weitere kritische Anlagen nach § 2 Nummer 22 betreiben oder aufgrund weiterer Tätigkeiten einer der in Anlage 1 oder 2 bestimmten Einrichtungsarten zuzuordnen sind. Satz 2 gilt für alle informationstechnischen Systeme, die für den Betrieb der weiteren kritischen Anlagen erforderlich sind.
   Im Fall, dass der Betrieb einer Energieanlage nach Satz 1 Nummer 2 einer in Satz 1 aufgeführten besonders wichtigen und wichtigen Einrichtung im Hinblick auf die gesamte Geschäftstätigkeit dieser Einrichtung eine Nebentätigkeit darstellt, findet dieser Absatz keine Anwendung.
   — § 28 Abs. 5 BSIG

Satz 4 ist als Grenze der Bereichsausnahme zu lesen: Stellt der Betrieb einer Energieanlage im Verhältnis zur gesamten Geschäftstätigkeit dieser Einrichtung eine Nebentätigkeit dar, trägt § 28 Abs. 5 BSIG die Entlastung nicht.

TKG- und EnWG-Fälle dürfen deshalb nicht nur als negative BSIG-Prüfung behandelt werden. Die Bereichsausnahme verschiebt bestimmte BSIG-Pflichten, kann aber eigene Telekommunikations- oder Energieaufsicht, Sicherheitsanforderungen, Meldewege, Nachweis- und Rechtsfolgenketten auslösen. Für A6-01 reicht der Warnanker: Wer § 28 Abs. 5 BSIG bejaht, muss parallel die jeweilige TKG- oder EnWG-Spur öffnen und darf sie nicht als bloße Entlastung aus dem BSIG verbuchen.

§ 32 gilt nicht für Betreiber kritischer Anlagen, soweit sie eine Anlage für Unternehmen nach Absatz 6 Nummer 1 betreiben.
— § 28 Abs. 7 BSIG

Dieses Gesetz findet keine Anwendung auf rechtlich unselbstständige Organisationseinheiten von Gebietskörperschaften und auf juristische Personen, an denen ausschließlich Gebietskörperschaften, ausgenommen der Bund, beteiligt sind, wenn sie

1. zu dem Zweck errichtet wurden, im öffentlichen Auftrag Leistungen für Verwaltungen zu erbringen, und
2. durch vergleichbare landesrechtliche Vorschriften unter Bezugnahme auf diesen Absatz reguliert werden.
   — § 28 Abs. 8 BSIG

Für die KRITIS-DachG [N-KRITISDachG]-Abgrenzung ist zusätzlich § 66 BSIG [N-BSIG-66] wichtig. Das KRITIS-DachG ist nicht insgesamt „suspendiert“. § 66 BSIG ordnet vielmehr eine Übergangslogik für bestimmte BSIG-Begriffe und § 33 Abs. 2 BSIG [N-BSIG-33] an.

§ 2 Nummer 22 und 24 und § 33 Absatz 2 sind erst anzuwenden, wenn eine auf der Grundlage von § 4 Absatz 3 und § 5 Absatz 1 des KRITIS-Dachgesetzes erlassene Rechtsverordnung gilt. Bis zur Geltung dieser Rechtsverordnung ist § 2 Nummer 22 und 24 in der bis einschließlich 16. März 2026 geltenden Fassung weiter anzuwenden.
— § 66 BSIG

Sondertatbestände und die KRITIS-DachG-Abgrenzung stehen in Sondertatbestände + KRITIS.

6. Wie du erkennst, welcher Sonderfall greift — die Prüfreihenfolge

Die Sonderprüfung beginnt nicht mit dem gewünschten Ergebnis. Sie beginnt mit der Normwelt, die den Fall tatsächlich prägt. In der Praxis hilft eine feste Reihenfolge.

Mehrere Sonderfälle können zusammentreffen. Eine Finanzholding kann eine Konzernfrage, eine DORA [EU-DORA]-Frage und eine Organhaftungsfrage zugleich haben. Eine IT-Tochter kann konzernrechtlich unabhängig erscheinen, aber als Dienstleister eines Finanzunternehmens DORA-nah sein. Ein Angriff auf ein Energieunternehmen kann zugleich BSIG-, EnWG- und Liquiditätsfolgen auslösen.

In solchen Mischlagen sollte die Prüfung nicht in Schlagworten dokumentiert werden. Besser ist eine Matrix: Gesellschaft, Tätigkeit, Einrichtungsart, Größenwerte, Konzernzurechnung, Spezialregime, Organverantwortung und Krisenstatus. Diese Matrix trennt die Rechtsfolgen und verhindert, dass eine Ausnahme in einer Normwelt als Entwarnung in einer anderen gelesen wird.

Die Geschäftsleitungspflichten aus § 38 BSIG [N-BSIG-38] sind in NIS-2-Pflichten der Geschäftsleitung (§ 38 BSIG) dargestellt, soweit § 38 BSIG im jeweiligen Sonderregime anwendbar bleibt. A6-01 ersetzt diese Pflichtendarstellung nicht, sondern zeigt, wann Sonderregime die Prüfung verändern.

7. Folgen-Überblick und Cross-Normwelt-Hinweis

Die wichtigste Struktur in Sonderkonstellationen lautet: Normwelten trennen. BSIG-Aufsichtsrecht, DORA [EU-DORA]-Finanzaufsicht, Datenschutzrecht, TKG-/EnWG-Spezialaufsicht, Gesellschaftsrecht, Insolvenzrecht, Versicherungsrecht, Sanktions-/Krypto-Zahlungswege und KRITIS-DachG [N-KRITISDachG]-Übergangsrecht beantworten verschiedene Fragen. Wer sie vermischt, erzeugt falsche Entwarnung oder falsche Schärfe.

Das BSIG fragt, ob eine Einrichtung besonders wichtige Einrichtung oder wichtige Einrichtung ist und welche aufsichtsrechtlichen Pflichten gelten. DORA fragt für Finanzunternehmen nach digitaler operationaler Resilienz im Finanzsektor. Die DSGVO [EU-DSGVO] fragt, ob ein Cyber-Vorfall zugleich eine Datenschutzverletzung mit eigener Melde- und Haftungsspur ist. TKG und EnWG können eigene Sicherheits-, Melde- und Aufsichtspflichten tragen. Das Gesellschaftsrecht fragt, ob Geschäftsleiter und Aufsichtsgremien ihre Sorgfalts-, Organisations- und Überwachungspflichten erfüllt haben. Das Insolvenzrecht fragt nach Zahlungsunfähigkeit, drohender Zahlungsunfähigkeit, Überschuldung, Antragspflicht und Zahlungen nach Insolvenzreife. Versicherungs- und Sanktionsrecht fragen nach Anzeige-, Auskunfts-, Deckungs-, Zahlungs- und Screeningfolgen.

Für Geschäftsleitungen bedeutet das: Eine aufsichtsrechtliche Bereichsausnahme kann Pflichten verschieben, aber sie macht den Organmaßstab nicht gegenstandslos. Eine persönliche Haftungspräventions- oder Verteidigungsargumentation lässt sich daher nicht aus dem Etikett „Konzern“, „DORA“ oder „Cyber-Krise“ ableiten. Sie muss über saubere Zuständigkeitsordnung, dokumentierte Prüfung, risikogerechte Maßnahmen, rechtzeitige Eskalation und die jeweiligen Haftungsvoraussetzungen begründet werden.

Umgekehrt entstehen Compliance-Schulden oft dort, wo ein Sonderregime als Aktenvermerk abgelegt wird, ohne die Folgefragen zu stellen. Ein DORA-Vermerk ersetzt keine Aufsichtsratsinformation, insbesondere nicht bei Krisen-, Liquiditäts-, Lösegeld- oder Cash-Pool-Entscheidungen. Eine Konzernmatrix ersetzt keine IT-Unabhängigkeitsprüfung. Ein Incident-Ticket ersetzt keine Liquiditäts- und Fortbestehensprüfung, wenn der Angriff betriebliche Kernprozesse blockiert.

Der praktische Prüfmaßstab ist nüchtern: Wer hat entschieden, auf welcher Grundlage, mit welchem Informationsstand und mit welcher Kontrolle? Bei Konzernfällen kommt hinzu, ob die einzelne Einrichtung ihre IT beherrscht. Bei DORA-Fällen kommt hinzu, ob die Geschäftsleitung die finanzaufsichtliche Resilienzarchitektur mit dem gesellschaftsrechtlichen Maßstab verbunden hat. Bei Cyber-Krisen kommt hinzu, ob die Insolvenznähe rechtzeitig erkannt wurde.

Der Überblick über Haftung und Sanktionen steht in Haftung und Sanktionen — Überblick. Die Innenhaftung der Geschäftsleitung ist in Innenhaftung der Geschäftsleitung vertieft. Für Aufsichtsräte ist § 116 AktG [N-AktG-116] mitzudenken, weil der Aufsichtsrat nicht aus der Verantwortung fällt, wenn das operative Management unter einem Spezialregime arbeitet.

8. Schnittstellen

• Schwellenwerte (250 MA / 50 Mio. €): Die allgemeine Schwellen- und Größenklassen-Prüfung ist dort dargestellt.
• Sondertatbestände + KRITIS: Sondertatbestände und die KRITIS-DachG [N-KRITISDachG]-Abgrenzung stehen dort.
• DORA oder BSIG?: Die DORA [EU-DORA]-oder-BSIG-Grundabgrenzung steht dort.
• NIS-2-Pflichten der Geschäftsleitung (§ 38 BSIG): Die Geschäftsleitungspflichten aus § 38 BSIG [N-BSIG-38] sind dort dargestellt.
• Haftung und Sanktionen — Überblick: Der Überblick über Haftung und Sanktionen steht dort.
• Innenhaftung der Geschäftsleitung: Die Innenhaftung der Geschäftsleitung ist dort vertieft.
• Konzern: Größenklassen & IT-Tochter: Die vollständige Konzern-Schwellenberechnung und die IT-Tochter-Konstellation stehen dort.
• Insolvenz in der Cyber-Krise: Die Insolvenz-Cyber-Mechanik mit § 15a/§ 15b InsO [N-InsO-15b] steht dort.
• DORA — Pflichten & Aufsicht: Die DORA-Tiefe, insbesondere Art. 5 DORA und BaFin-Aufsicht, steht dort.

9. Kurzantworten auf die 24 Lese-Fragen

1. Ist A6-01 eine vollständige Anwendungsbereichsprüfung? Nein. A6-01 ist ein Navigations-Pillar für Sonderkonstellationen. Die allgemeine Schwellen- und Größenklassen-Prüfung („Bin ich überhaupt erfasst?“) steht in Schwellenwerte (250 MA / 50 Mio. €); A6-01 setzt danach an.
2. Welche drei Sonderkonstellationen gibt es? Konzern (verändert die Größenklassenprüfung), DORA-Finanzunternehmen (verschiebt bestimmte BSIG-Pflichten in die Finanzaufsicht) und Insolvenz/Cyber-Krise (fügt eine zweite Dringlichkeitsebene hinzu). Das sind drei verschiedene Prüfpfade, nicht drei Varianten derselben Entlastung.
3. Macht der Konzern alle Töchter automatisch betroffen — oder keine? Weder noch. Das BSIG kennt keine pauschale Konzernbetroffenheit; es prüft die einzelne Einrichtung, knüpft bei Mitarbeiteranzahl, Jahresumsatz und Jahresbilanzsumme aber an die Empfehlung der Kommission (2003/361/EG) an (§ 28 Abs. 4 BSIG).
4. Was ist die IT-Unabhängigkeits-Rückausnahme? Nach § 28 Abs. 4 Satz 2 BSIG werden Daten von Partner- oder verbundenen Unternehmen nicht hinzugerechnet, wenn die Einrichtung mit Blick auf Beschaffenheit und Betrieb ihrer informationstechnischen Systeme rechtlich, wirtschaftlich und tatsächlich unabhängig ist.
5. Was bedeuten „Partner-“ und „verbundene Unternehmen“? Es sind Begriffe der Empfehlung 2003/361/EG. Sie beschreiben Beteiligungs- und Kontrollbeziehungen, die bei der Größenklassenermittlung zu einer Hinzurechnung führen können. Die vollständige Berechnung steht in Konzern: Größenklassen & IT-Tochter.
6. Was ist DORA und wie wird es im BSIG sichtbar? DORA ist die Verordnung (EU) 2022/2554 über die digitale operationale Resilienz im Finanzsektor. Im BSIG wird sie über § 28 Abs. 6 BSIG als Sonderregime sichtbar.
7. Welche BSIG-Pflichten treten für DORA-Finanzunternehmen zurück? Abschließend die §§ 30, 31, 32, 35, 36, 38 und 39 BSIG. Nicht genannte BSIG-Vorschriften — etwa § 33 BSIG — fallen nicht automatisch weg.
8. Wer ist „Finanzunternehmen“? Die DORA-Kategorie nach Art. 2 Abs. 2 der Verordnung (EU) 2022/2554, ergänzt um die im BSIG genannten KWG-/VAG-Erstreckungsfälle (§ 1a Abs. 2 und 2a KWG, § 293 Abs. 5 VAG). Kein Alltagswort für jedes Unternehmen mit Finanzbezug.
9. Suspendiert DORA das Gesellschaftsrecht? Nein (Faktenfalle 17). § 28 Abs. 6 BSIG verschiebt die regulatorische Architektur, nicht die Organverantwortung: Geschäftsführer bleiben an § 43 GmbHG, Vorstände an § 93 AktG, Aufsichtsräte an § 116 AktG gebunden.
10. Ist jeder IT-Dienstleister eines Finanzunternehmens selbst DORA-Finanzunternehmen? Nein. DORA-Nähe ist keine Statusdefinition. Cloud-Anbieter, Auslagerungs- oder konzerninterne IT-Service-Provider brauchen eine eigene BSIG-, DORA- oder Spezialregime-Prüfung.
11. Was ist mit der Telematik in § 28 Abs. 6 Nr. 2 BSIG? Die Gesellschaft für Telematik und bestimmte Betreiber/Nutzer von Telematikinfrastruktur-Diensten (SGB-V-Konstellationen) sind ein eigener Pfad — kein DORA-Finanzunternehmen-Fall, obwohl im selben Absatz genannt.
12. Welche Rolle spielen eIDAS-Vertrauensdienste? Qualifizierte Vertrauensdienste und andere eIDAS-Konstellationen sind ein eigener Sondertatbestand, kein DORA-Fall. Sie sind neben DORA, Telematik, TK/EnWG und Konzernzurechnung gesondert zu dokumentieren.
13. Wann macht ein Cyber-Vorfall eine Insolvenzlage? Nicht der Angriff als solcher, sondern seine Finanzwirkung: wenn Betriebsunterbrechung, Forderungsausfälle, Notbetriebs- und Wiederanlaufkosten Liquidität oder Vermögensstatus so treffen, dass die Insolvenzreife in Reichweite kommt.
14. Was liegt vor der Insolvenzreife? Die StaRUG-Krisenfrüherkennung und -Gegenmaßnahmen (§ 1 StaRUG) sowie die drohende Zahlungsunfähigkeit (§ 18 InsO). Beide dürfen nicht übersprungen werden, wenn die Cyber-Krise Finanzierung, Covenants oder Fortführungserwartungen erschüttert.
15. Was bedeuten § 17 und § 19 InsO? § 17 InsO ist die Zahlungsunfähigkeit, § 19 InsO die Überschuldung. Beide sind insolvenzrechtliche Tatbestände, die an die Finanzlage anknüpfen — nicht an den Angriff.
16. Welche Antragsfristen gelten nach § 15a InsO? Der Antrag ist ohne schuldhaftes Zögern zu stellen, spätestens innerhalb der Höchstfristen von drei Wochen bei Zahlungsunfähigkeit und sechs Wochen bei Überschuldung. Es sind Höchstfristen, keine frei verfügbaren Wartezeiten.
17. Was ist nach Insolvenzreife mit Zahlungen? Ab Insolvenzreife greift das Zahlungsregime des § 15b InsO. Die insolvenzrechtliche Mechanik mit § 15a/§ 15b InsO ist in Insolvenz in der Cyber-Krise vertieft.
18. Warum ist die Lösegeldzahlung ein Paradoxon? Sie kann operativ als Rettungsversuch erscheinen und zugleich insolvenz-, straf-, sanktions- und deckungsrechtlich problematisch sein. A6-01 entscheidet die Abwägung nicht, sondern markiert, wann der Fall in die Insolvenz- und Nebenregimeprüfung kippt; Tiefe in Insolvenz in der Cyber-Krise.
19. Welche Nebenregime kann eine Lösegeldentscheidung auslösen? Sanktions-, Außenwirtschafts-, Krypto-Transfer-, Geldwäsche-, Strafrechts-, Versicherungs- und D&O-/AVB-Fragen. Eine Lösegeld- oder Wallet-Entscheidung gehört in einen anwaltlich begleiteten Sanktions- und Zahlungsweg-Check.
20. Welche Rolle spielt § 266a StGB in der Krise? Lohn- und Sozialversicherungsbeiträge — einschließlich der Strafbewehrung nach § 266a StGB — sind in der Dokumentationsspur gesondert einzuordnen und nicht mit anderen Zahlungsentscheidungen zu vermischen.
21. Was regelt § 28 Abs. 5 BSIG für Telekommunikation und Energie? Eine andere Normliste als Absatz 6 — sie nimmt zusätzlich §§ 61 und 62 BSIG auf. Satz 2 enthält eine Rückausnahme bei weiteren kritischen Anlagen, Satz 4 nimmt die Entlastung zurück, wenn der Betrieb einer Energieanlage nur eine Nebentätigkeit ist.
22. Was regeln § 28 Abs. 7 und Abs. 8 BSIG? Abs. 7: § 32 BSIG gilt nicht für Betreiber kritischer Anlagen, soweit sie eine Anlage für Unternehmen nach Abs. 6 Nr. 1 betreiben — daraus folgt kein umfassender Carve-out. Abs. 8: eng umrissene Gebietskörperschafts-Konstellationen, keine Pauschal-Ausnahme für alle öffentlichen Einrichtungen.
23. Gilt das KRITIS-Dachgesetz schon vollständig? Nicht für alle Begriffe: § 66 BSIG ordnet an, dass § 2 Nummer 22 und 24 sowie § 33 Absatz 2 BSIG erst mit der KRITIS-DachG-Rechtsverordnung anzuwenden sind; bis dahin gilt die bis einschließlich 16. März 2026 geltende Fassung weiter. Das KRITIS-Dachgesetz ist aber nicht insgesamt suspendiert.
24. In welcher Reihenfolge prüft man? In sechs Schritten: Einrichtungsart/Sonderrolle → Größenwerte (§ 28 Abs. 1/2/4 BSIG) → IT-Unabhängigkeits-Rückausnahme → DORA-/Telematik-Konstellation (§ 28 Abs. 6) → Bereichsausnahme (§ 28 Abs. 5/7/8) → Cyber-bedingte Krisenlage. Bei Mischlagen hilft eine Matrix; die Normwelten sind zu trennen, nicht zu vermischen.

10. Quellen

Der Quellenapparat ordnet die im Text mit sichtbaren Quellenankern gekennzeichneten Belege den amtlichen Fundstellen zu. Die Anker stehen bei der ersten tragenden Nennung pro Abschnitt und springen auf den jeweiligen Eintrag in diesem Apparat.

10.1 Nationale Normen

• [N-BSIG-28] § 28 BSIG — besonders wichtige und wichtige Einrichtungen, Schwellen, Bereichs-Ausnahmen. Fundstelle: https://www.gesetze-im-internet.de/bsig_2025/__28.html

• [N-BSIG-33] § 33 BSIG — Registrierungspflicht. Fundstelle: https://www.gesetze-im-internet.de/bsig_2025/__33.html

• [N-BSIG-38] § 38 BSIG — Geschäftsleitungspflichten (Umsetzen, Überwachen, Schulen). Fundstelle: https://www.gesetze-im-internet.de/bsig_2025/__38.html

• [N-BSIG-66] § 66 BSIG — Anwendungs- und Übergangsbestimmungen (KRITIS-DachG-Suspendierung). Fundstelle: https://www.gesetze-im-internet.de/bsig_2025/__66.html

• [N-GmbHG-43] § 43 GmbHG — Haftung der Geschäftsführer. Fundstelle: https://www.gesetze-im-internet.de/gmbhg/__43.html

• [N-AktG-93] § 93 AktG — Sorgfaltspflicht und Verantwortlichkeit des Vorstands. Fundstelle: https://www.gesetze-im-internet.de/aktg/__93.html

• [N-AktG-116] § 116 AktG — Sorgfaltspflicht und Verantwortlichkeit der Aufsichtsratsmitglieder. Fundstelle: https://www.gesetze-im-internet.de/aktg/__116.html

• [N-InsO-15a] § 15a InsO — Antragspflicht bei Insolvenzreife. Fundstelle: https://www.gesetze-im-internet.de/inso/__15a.html

• [N-InsO-15b] § 15b InsO — Zahlungen nach Eintritt der Insolvenzreife. Fundstelle: https://www.gesetze-im-internet.de/inso/__15b.html

• [N-KRITISDachG] KRITIS-Dachgesetz — BGBl. 2026 I Nr. 66 vom 16.3.2026. Fundstelle: https://www.recht.bund.de/bgbl/1/2026/66/VO

• [N-InsO-17] § 17 InsO — Zahlungsunfähigkeit. Fundstelle: https://www.gesetze-im-internet.de/inso/__17.html

• [N-InsO-19] § 19 InsO — Überschuldung. Fundstelle: https://www.gesetze-im-internet.de/inso/__19.html

• [N-InsO-18] § 18 InsO — drohende Zahlungsunfähigkeit (Eigenantragsgrund, Prognosezeitraum 24 Monate). Fundstelle: https://www.gesetze-im-internet.de/inso/__18.html

• [N-StGB-266a] § 266a StGB — Vorenthalten und Veruntreuen von Arbeitsentgelt. Fundstelle: https://www.gesetze-im-internet.de/stgb/__266a.html

• [N-BSIG-30] § 30 BSIG — Risikomanagementmaßnahmen. Fundstelle: https://www.gesetze-im-internet.de/bsig_2025/__30.html (ergänzende Quelle, im Body nicht eigens verankert)

• [N-BSIG-32] § 32 BSIG — Meldepflichten / Meldekaskade. Fundstelle: https://www.gesetze-im-internet.de/bsig_2025/__32.html (ergänzende Quelle, im Body nicht eigens verankert)

• [N-BSIG-61] § 61 BSIG — Aufsicht besonders wichtiger Einrichtungen. Fundstelle: https://www.gesetze-im-internet.de/bsig_2025/__61.html (ergänzende Quelle, im Body nicht eigens verankert)

• [N-BSIG-62] § 62 BSIG — Aufsicht wichtiger Einrichtungen. Fundstelle: https://www.gesetze-im-internet.de/bsig_2025/__62.html (ergänzende Quelle, im Body nicht eigens verankert)

• [N-StaRUG-1] § 1 StaRUG — Krisenfrüherkennung und Krisenmanagement (Pflicht des Geschäftsleiters). Fundstelle: https://www.gesetze-im-internet.de/starug/__1.html (ergänzende Quelle, im Body nicht eigens verankert)

• [N-StaRUG-42] § 42 StaRUG — Anzeige von Zahlungsunfähigkeit und Überschuldung; Strafvorschrift. Fundstelle: https://www.gesetze-im-internet.de/starug/__42.html (ergänzende Quelle, im Body nicht eigens verankert)

• [N-StaRUG-43] § 43 StaRUG — Pflichten und Haftung der Organe. Fundstelle: https://www.gesetze-im-internet.de/starug/__43.html (ergänzende Quelle, im Body nicht eigens verankert)

• [N-TKG-165] §§ 165, 167 und 168 TKG — Sicherheits-, Melde- und Schutzmaßnahmen (TK-Spezialaufsicht zu § 28 Abs. 5 Nr. 1 BSIG). Fundstelle: https://www.gesetze-im-internet.de/tkg_2021/ (ergänzende Quelle, im Body nicht eigens verankert)

• [N-EnWG-5c-5e] §§ 5c bis 5e EnWG — IT-Sicherheit, Melde- und Leitungspflichten Energie (zu § 28 Abs. 5 Nr. 2 BSIG). Fundstelle: https://www.gesetze-im-internet.de/enwg_2005/ (ergänzende Quelle, im Body nicht eigens verankert)

• [N-KWG-1a] § 1a Abs. 2 und 2a KWG — DORA-Erstreckung für Institute (zu § 28 Abs. 6 Nr. 1 BSIG). Fundstelle: https://www.gesetze-im-internet.de/kredwg/__1a.html (ergänzende Quelle, im Body nicht eigens verankert)

• [N-VAG-293] § 293 Abs. 5 VAG — DORA-Erstreckung im Versicherungsaufsichtsrecht (zu § 28 Abs. 6 Nr. 1 BSIG). Fundstelle: https://www.gesetze-im-internet.de/vag_2016/__293.html (ergänzende Quelle, im Body nicht eigens verankert)

• [N-SGBV-TI] §§ 306, 311, 325 und 327 SGB V — Telematikinfrastruktur (zu § 28 Abs. 6 Nr. 2 BSIG). Fundstelle: https://www.gesetze-im-internet.de/sgb_5/ (ergänzende Quelle, im Body nicht eigens verankert)

10.2 EU-Recht

• [EU-DORA] Verordnung (EU) 2022/2554 (DORA). Fundstelle: https://eur-lex.europa.eu/eli/reg/2022/2554/oj

• [EU-DSGVO] Verordnung (EU) 2016/679 (DSGVO); Berichtigung ABl. L 74 vom 4.3.2021. Fundstelle: https://eur-lex.europa.eu/eli/reg/2016/679/oj

• [EU-eIDAS] Verordnung (EU) Nr. 910/2014 (eIDAS) i.d.F. der Verordnung (EU) 2024/1183. Fundstelle: https://eur-lex.europa.eu/eli/reg/2014/910/oj

• [EU-KMU] Empfehlung 2003/361/EG der Kommission (KMU-Definition; Partner- und verbundene Unternehmen). Fundstelle: https://eur-lex.europa.eu/eli/reco/2003/361/oj (ergänzende Quelle, im Body nicht eigens verankert)

• [EU-SANKT-796] Verordnung (EU) 2019/796 über restriktive Maßnahmen gegen Cyberangriffe (EU-Cyber-Sanktionsrahmen). Fundstelle: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32019R0796 (ergänzende Quelle, im Body nicht eigens verankert)

10.3 Rechtsprechung

10.4 Behörden und amtliche Praxis

• [B-BAFIN] BaFin — Aufsicht über DORA-Finanzunternehmen. Fundstelle: https://www.bafin.de/ (ergänzende Quelle, im Body nicht eigens verankert)

• [B-BSI] Bundesamt für Sicherheit in der Informationstechnik (BSI) — FAQ zu NIS-2, Betroffenheitsprüfung, MUK-Portal, Registrierung/Meldung. Fundstelle: https://www.bsi.bund.de/DE/Themen/Regulierte-Wirtschaft/NIS-2-regulierte-Unternehmen/ (ergänzende Quelle, im Body nicht eigens verankert)

• [B-BUBA] Deutsche Bundesbank — DORA-/IKT-Vorfallsmeldewesen und Informationsregister nach Art. 28 Abs. 3 DORA. Fundstelle: https://www.bundesbank.de/de/service/meldewesen/finanzaufsicht/europaeisches-meldewesen/digital-operational-resilience-act-dora--951046 (ergänzende Quelle, im Body nicht eigens verankert)

10.5 Markt, AVB, Versicherer und Banken

• [M-AVB-OFFEN] Markt-, AVB-, Versicherer-, Banken- und Termsheet-Aussagen sind bewusst nicht als allgemeiner Marktstandard freigegeben. Sie sind bedingungs-, marktstands- und einzelfallabhängig und ersetzen keine konkrete AVB-, Policen- oder Termsheet-Prüfung und keine Deckungszusage. (ergänzende Quelle, im Body nicht eigens verankert)

10.6 Prüfstatus und Schlusssatz

Maßgeblich sind die amtlichen deutschen Gesetzesfassungen (gesetze-im-internet.de) beziehungsweise die konsolidierten EU-Fassungen (EUR-Lex) sowie für Rechtsprechung die amtlichen Volltexte und Leitsätze.

11. CyberSchutzEngel-Hinweis

CyberSchutzEngel ordnet NIS-2-Sonderkonstellationen als Teil der Haftungsprävention ein: nicht als Entlastungsversprechen, sondern als strukturierte Trennung von Aufsichtsrecht, Gesellschaftsrecht, Finanzaufsicht, Datenschutzrecht, Spezialaufsicht, Versicherungsrecht und Insolvenzrecht.