NIS-2 im Konzern — Größenklassen, Zurechnung und die IT-Tochter

1. Worum es geht — der Konzern verändert die Rechnung, nicht den Tatbestand

Die gefährlichste Frage im Konzern klingt harmlos: „Zählt die Mutter bei unseren NIS-2-Schwellen mit?“ Die zweite Frage folgt sofort: „Und was ist mit unserer IT-Tochter?“

Die 30-Sekunden-Antwort lautet:

NIS-2 wird im Konzern nicht „für den Konzern“ geprüft. Geprüft wird jede einzelne Gesellschaft oder sonstige Einrichtung. Die Einrichtungsart und die Tätigkeit bleiben gesellschaftsbezogen. Der Konzern kann aber die Größenberechnung verändern, weil Daten von Partnerunternehmen und verbundenen Unternehmen nach der Empfehlung der Kommission (2003/361/EG) einzubeziehen sein können. § 28 Abs. 4 Satz 2 BSIG kann diese Hinzurechnung verhindern, wenn die betrachtete Gesellschaft mit Blick auf Beschaffenheit und Betrieb ihrer IT-Systeme, Komponenten und Prozesse wirklich unabhängig ist.

Zwei Fehlformeln führen in der Praxis zu falschen Entscheidungen:

Dieser Artikel rechnet deshalb nicht „den Konzern“ im gesellschaftsrechtlichen Sinn. Er erklärt die Rechenmethode für § 28 BSIG: welche Daten zählen, wann Partnerunternehmen oder verbundene Unternehmen hinzugerechnet werden, was die Staatsklausel-Ausnahme bedeutet, wann die IT-Unabhängigkeits-Klausel greifen kann und warum eine Konzern-IT-Tochter zwei getrennte Prüfungen braucht.

Die Grundlagen zu Anwendungsbereich, Sektoren und Schwellen stehen in Schwellenwerte (250 MA / 50 Mio. €). Der Sonderkonstellationen-Hub ist Konzern, DORA & Insolvenz — Sonderfälle. Die DORA-oder-BSIG-Abgrenzung steht in DORA oder BSIG?. Größenunabhängige Sondertatbestände stehen in Sondertatbestände + KRITIS. Das Pflichtenprogramm und die Lieferketten-Einbindung stehen in NIS-2-Pflichten der Geschäftsleitung (§ 38 BSIG).

Für diesen Artikel dient als Navigationsbild:

1. Welche Gesellschaft übt die relevante Tätigkeit aus?
2. Gehört diese Tätigkeit zu einer Einrichtungsart in Anlage 1 oder Anlage 2 BSIG oder zu einem sonstigen §-28-Einstiegspfad?
3. Welche eigenen Mitarbeiter-, Umsatz- und Bilanzdaten hat die Gesellschaft?
4. Gibt es Partnerunternehmen oder verbundene Unternehmen nach der Empfehlung der Kommission (2003/361/EG)?
5. Müssen deren Daten nach Art. 6 des Anhangs hinzugerechnet werden?
6. Verhindert § 28 Abs. 4 Satz 2 BSIG die Hinzurechnung wegen IT-Unabhängigkeit?
7. Welche Einstufung ergibt sich je Gesellschaft?
8. Welcher Statusvermerk, welche Registrierung und welches Pflichtenrouting folgen daraus?

Interne Arbeitsdatenliste für die Geschäftsleitung: Beteiligungsquoten, Stimmrechte, Organbestellungsrechte, Beherrschungsverträge oder Satzungsrechte, natürliche Personen als gemeinsame Gesellschafter, Märkte und benachbarte Märkte, letzter Rechnungsabschluss, Umsatz ohne Mehrwertsteuer, Bilanzsumme, Jahresarbeitseinheiten, Zwei-Jahres-Verlauf, IT-Betriebsmodell, zentrale IT-Dienste, Verträge mit der IT-Tochter und Nachweise zur IT-Unabhängigkeit. Die Liste ist eine Organisationshilfe und kein zusätzlicher gesetzlicher Tatbestand.

2. Die Rechen-Grundnorm: § 28 Abs. 4 Satz 1 BSIG

§ 28 BSIG unterscheidet besonders wichtige Einrichtungen und wichtige Einrichtungen. Für diesen Artikel ist vor allem Absatz 4 maßgeblich. Er sagt, wie Mitarbeiteranzahl, Jahresumsatz und Jahresbilanzsumme zu bestimmen sind. [N-BSIG-28]

Bei der Bestimmung von Mitarbeiteranzahl, Jahresumsatz und Jahresbilanzsumme nach den Absätzen 1 und 2 ist außer für rechtlich unselbstständige Organisationseinheiten einer Gebietskörperschaft die Empfehlung der Kommission (2003/361/EG) mit Ausnahme von Artikel 3 Absatz 4 des Anhangs anzuwenden. Die Daten von Partner- oder verbundenen Unternehmen im Sinne der Empfehlung der Kommission (2003/361/EG) sind nicht hinzuzurechnen, wenn das Unternehmen unter Berücksichtigung der rechtlichen, wirtschaftlichen und tatsächlichen Umstände mit Blick auf die Beschaffenheit und den Betrieb der informationstechnischen Systeme, Komponenten und Prozesse unabhängig von seinen Partner- oder verbundenen Unternehmen ist.

— § 28 Abs. 4 Satz 1 und Satz 2 BSIG

Daraus folgt eine einfache, aber harte Trennung:

Vor der Größenrechnung ist der einschlägige §-28-Einstiegspfad festzustellen. § 28 Abs. 1 und Abs. 2 BSIG enthalten mehrere, teils größenabhängige und teils größenunabhängige Wege. Betreiber kritischer Anlagen, Vertrauensdiensteanbieter, Top Level Domain Name Registries, DNS-Diensteanbieter, Telekommunikationsanbieter und sonstige Anlage-1-/Anlage-2-Einrichtungen werden deshalb nicht nach demselben Einstiegssatz geprüft. Dieser Artikel vertieft die Größenrechnung nur für einen zuvor bestimmten größenabhängigen Pfad. Das Verfehlen einer Größenstufe schließt ausschließlich diesen Pfad aus; andere §-28-Tatbestände bleiben gesondert zu prüfen. Für sonstige Anlage-1- und Anlage-2-Einrichtungen ist insbesondere zu klären, ob eine natürliche oder juristische Person oder eine rechtlich unselbstständige Organisationseinheit einer Gebietskörperschaft anderen natürlichen oder juristischen Personen entgeltlich Waren oder Dienstleistungen anbietet und einer der bestimmten Einrichtungsarten zuzuordnen ist. Die vollständige Pfadzuordnung wird über Schwellenwerte (250 MA / 50 Mio. €) und Sondertatbestände + KRITIS geroutet. [N-BSIG-ANL1] [N-BSIG-ANL2]

§ 28 Abs. 3 BSIG ist dabei kein Rechenabsatz. Er betrifft die Zuordnung zu einer Einrichtungsart. Vernachlässigbare Geschäftstätigkeiten können bei der Zuordnung zu Anlage 1 oder Anlage 2 unberücksichtigt bleiben. Wer das prüft, entscheidet noch nicht über Mitarbeiterzahl, Umsatz oder Bilanzsumme, sondern über den Tätigkeitszuschnitt.

§ 28 Abs. 5 bis 7 BSIG enthalten sektorale Sonder- und Rückausnahmen, die Anwendbarkeit, Status oder Pflichtenprogramm verändern können. Sie ändern nicht die Rechenmechanik des Absatzes 4, müssen aber nach der Größenrechnung und vor einer endgültigen Status- oder Pflichtenaussage eigenständig geprüft werden. A6-02 bildet diese Sonderpfade nicht vollständig ab und ersetzt insoweit nicht das Routing über Schwellenwerte (250 MA / 50 Mio. €), DORA oder BSIG? und NIS-2-Pflichten der Geschäftsleitung (§ 38 BSIG).

Für öffentliche und kommunale Konstellationen steht daneben § 28 Abs. 8 BSIG als eigenständige Nichtanwendungsprüfung. Danach findet das Gesetz keine Anwendung auf rechtlich unselbstständige Organisationseinheiten von Gebietskörperschaften und auf juristische Personen, an denen ausschließlich Gebietskörperschaften, ausgenommen der Bund, beteiligt sind, wenn sie zu dem Zweck errichtet wurden, im öffentlichen Auftrag Leistungen für Verwaltungen zu erbringen, und durch vergleichbare landesrechtliche Vorschriften unter Bezugnahme auf diesen Absatz reguliert werden. Diese Klausel ersetzt die Staatsklausel-Prüfung nicht. Die Reihenfolge lautet: zuerst § 28 Abs. 8, dann Einrichtungsart und §-28-Einstiegspfad, danach die dafür vorgesehene Größenbestimmung. Greift Absatz 8 nicht, ist aber die Empfehlung nach § 28 Abs. 4 Satz 1 für eine rechtlich unselbstständige Organisationseinheit nicht anzuwenden, liefert die Art.-3-/Art.-6-Rechnung dieses Artikels keine Ersatzmethode. Die maßgeblichen Mitarbeiter-, Umsatz- und Bilanzdaten sind dann für den konkreten nationalen Einstiegspfad gesondert herzuleiten.

Negativkette: Wird die Hinzurechnung durch Satz 2 verhindert, wird allein die Hinzurechnung nicht ausgelöst. Die eigene Einrichtungsart, die eigenen Daten und andere Sondertatbestände folgen weiter ihren eigenen Voraussetzungen. Die Dokumentation bleibt.

3. Die Empfehlung 2003/361/EG: Größenklassen und Unternehmenstypen

Die Empfehlung der Kommission (2003/361/EG) ist keine allgemeine NIS-2-Verordnung. Für § 28 BSIG wird sie durch die nationale Verweisung in § 28 Abs. 4 Satz 1 relevant. Genau deshalb muss man sie anwenden, aber nicht mit deutschem Gesellschafts- oder Bilanzrecht verwechseln. [EU-2003-361]

Art. 1 des Anhangs beginnt mit dem Unternehmensbegriff. Als Unternehmen gilt jede Einheit, unabhängig von ihrer Rechtsform, die eine wirtschaftliche Tätigkeit ausübt. Das ist für kommunale Betriebe, Vereine, Stiftungen und Zweckgesellschaften wichtig: Die Rechtsform entscheidet nicht allein. Entscheidend ist, ob wirtschaftliche Tätigkeit vorliegt.

Größenklassen nach Art. 2 des Anhangs

Die Größenklasse der Kleinstunternehmen sowie der kleinen und mittleren Unternehmen (KMU) setzt sich aus Unternehmen zusammen, die weniger als 250 Personen beschäftigen und die entweder einen Jahresumsatz von höchstens 50 Mio. EUR erzielen oder deren Jahresbilanzsumme sich auf höchstens 43 Mio. EUR beläuft.

— Art. 2 Abs. 1 Anhang zur Empfehlung der Kommission (2003/361/EG)

Für § 28 BSIG ist wichtig: Die Empfehlung liefert Rechendaten und Unternehmenstypen. Die BSIG-Schwellen werden anschließend nach § 28 Abs. 1 und Abs. 2 angewandt. Man darf die Schwellenlogik der Empfehlung nicht ungeprüft in § 28 BSIG hineinlesen.

Diese Herkunft ist unionsrechtlich angelegt: Art. 2 Abs. 1 der NIS-2-Richtlinie knüpft für Einrichtungen der Anhänge I und II an mittlere Unternehmen im Sinne von Art. 2 des Anhangs zur Empfehlung 2003/361/EG oder an Unternehmen oberhalb dieser Schwellen an; Art. 3 Abs. 4 des Anhangs gilt für Richtlinienzwecke nicht. § 28 Abs. 4 BSIG setzt diese Rechenwelt national um, formuliert aber die konkrete deutsche Größenbestimmung im eigenen Wortlaut. [EU-NIS2]

Eigenständige Unternehmen, Partnerunternehmen und verbundene Unternehmen

Art. 3 des Anhangs unterscheidet drei Typen.

Partnerunternehmen entstehen nicht erst bei Mehrheit. 25 % Kapital oder Stimmrechte können die Partnerschwelle auslösen. Die Quote kann allein oder gemeinsam mit verbundenen Unternehmen erreicht werden.

Die Empfehlung enthält aber Rückausnahmen. Ein Unternehmen gilt trotz 25-%-Schwelle weiterhin als eigenständig, wenn bestimmte Investoren beteiligt sind und diese nicht einzeln oder gemeinsam mit dem betreffenden Unternehmen verbunden sind. Dazu gehören staatliche Beteiligungsgesellschaften, Risikokapitalgesellschaften und Business Angels bis zu einem Gesamtinvestitionsbetrag von 1.250.000 EUR in dasselbe Unternehmen, Universitäten und Forschungszentren ohne Gewinnzweck, institutionelle Anleger einschließlich regionaler Entwicklungsfonds sowie autonome Gebietskörperschaften mit einem Jahreshaushalt von weniger als 10 Mio. EUR und weniger als 5.000 Einwohnern.

Verbundene Unternehmen liegen insbesondere vor, wenn eines der folgenden Verhältnisse besteht:

1. Mehrheit der Stimmrechte der Aktionäre oder Gesellschafter eines anderen Unternehmens.
2. Recht zur Bestellung oder Abberufung der Mehrheit des Verwaltungs-, Leitungs- oder Aufsichtsgremiums.
3. Beherrschender Einfluss kraft Vertrag oder Satzungsklausel.
4. Alleinkontrolle über die Mehrheit der Stimmrechte aufgrund einer Vereinbarung mit anderen Aktionären oder Gesellschaftern.

Drei Zusatzmechaniken sind für Mittelstandsgruppen besonders wichtig.

Erstens enthält die Empfehlung eine Vermutung gegen beherrschenden Einfluss, wenn sich die genannten Investoren nicht direkt oder indirekt in die Verwaltung des betroffenen Unternehmens einmischen. Das schützt aber ausschließlich, solange die Einmischung tatsächlich fehlt.

Zweitens erfasst die Verbundenheit auch Ketten. Es genügt also nicht, die unmittelbare Mutter oder den direkten Gesellschafter isoliert anzusehen. Eine mittelbare Struktur über mehrere Zwischengesellschaften kann in der Rechnung voll durchschlagen.

Drittens können Unternehmen auch über natürliche Personen verbunden sein. Zwei Schwester-Gesellschaften desselben Gesellschafters können verbundene Unternehmen sein, wenn die natürliche Person oder eine gemeinsam handelnde Gruppe natürlicher Personen die Art.-3-Abs.-3-Beziehung vermittelt und die Gesellschaften ganz oder teilweise in demselben Markt oder in benachbarten Märkten tätig sind. Ein benachbarter Markt ist unmittelbar vor- oder nachgeschaltet.

Art. 3 Abs. 5 ist für das Rechen- und Prüfblatt relevant. Die dort vorgesehene Erklärung ist keine frei verfügbare Selbsteinstufung. Sie setzt einen konkret dokumentierten Beteiligungssachverhalt voraus, insbesondere wenn sich die Kapitalverteilung nicht genau feststellen lässt, und muss die nach Treu und Glauben getragene Annahme sowie ihre Tatsachengrundlage benennen. Die Erklärung ersetzt weder die Prüfung feststellbarer Eigentums- und Stimmrechtsverhältnisse noch den Kontroll- und Untersuchungsvorbehalt.

Faktenfalle: „Verbundene Unternehmen“ in diesem Artikel meint verbundene Unternehmen nach der Empfehlung der Kommission (2003/361/EG). Das ist nicht ohne Weiteres dasselbe wie verbundene Unternehmen nach §§ 15 ff. AktG und nicht ohne Weiteres der Konsolidierungskreis nach § 290 HGB. AktG und HGB helfen als Warnlampen, ersetzen aber nicht Art. 3 und Art. 6 des Anhangs. [N-AKTG-15] [N-HGB-290]

4. Die Berechnungsmechanik: Art. 4, 5 und 6 des Anhangs

Wenn der Unternehmenstyp feststeht, wird gerechnet. Dafür sind Art. 4, Art. 5 und Art. 6 des Anhangs maßgeblich.

Art. 4: Stichtag, Jahresbasis, zwei Jahre und Neugründung

Die Daten beziehen sich auf den letzten Rechnungsabschluss und werden auf Jahresbasis berechnet. Der Umsatz wird ohne Mehrwertsteuer und ohne sonstige indirekte Steuern angesetzt.

Stellt ein Unternehmen am Stichtag des Rechnungsabschlusses fest, dass es auf Jahresbasis die in Artikel 2 genannten Schwellenwerte für die Mitarbeiterzahl oder die Bilanzsumme über- oder unterschreitet, so verliert bzw. erwirbt es dadurch den Status eines mittleren Unternehmens, eines kleinen Unternehmens bzw. eines Kleinstunternehmens erst dann, wenn es in zwei aufeinander folgenden Geschäftsjahren zu einer Über- oder Unterschreitung kommt.

— Art. 4 Abs. 2 Anhang zur Empfehlung der Kommission (2003/361/EG)

Für die im Direktzitat ausdrücklich genannten Schwellenwerte der Mitarbeiterzahl und der Bilanzsumme verhindert die Zwei-Jahres-Regel einen sofortigen Größenklassenwechsel. Der deutsche Wortlaut nennt den Umsatz an dieser Stelle nicht ausdrücklich. Eine ausschließlich umsatzgetriebene Über- oder Unterschreitung wird deshalb nicht pauschal derselben Rechtsfolge unterstellt, sondern anhand der maßgeblichen amtlichen Sprachfassung gesondert geprüft. Für BSIG-Zwecke bleibt zusätzlich offen, wie der Größenklassenwechsel zeitlich auf Registrierung und konkrete Pflichten durchschlägt. Als konservative interne Arbeitsmethode werden Mitarbeiterzahl, Umsatz und Bilanzsumme über mindestens zwei Geschäftsjahre getrennt dokumentiert; erstmalige und zweite aufeinanderfolgende Über- oder Unterschreitung sowie Neugründungen werden als eigene Entscheidungsknoten geführt.

Bei neu gegründeten Unternehmen ohne Jahresabschluss werden die entsprechenden Daten im Laufe des Geschäftsjahres nach Treu und Glauben geschätzt. Das ist die Art.-4-Abs.-3-Mechanik für Neugründungen. Für eine neue Tochter trägt die Aussage also nicht: „Es gibt noch keinen Abschluss.“ Erforderlich ist eine nachvollziehbare Schätzung mit Annahmen.

Art. 5: Mitarbeiterzahl ist JAE, nicht Kopfzahl

Die Mitarbeiterzahl entspricht der Zahl der Jahresarbeitseinheiten (JAE), d. h. der Zahl der Personen, die in dem betroffenen Unternehmen oder auf Rechnung dieses Unternehmens während des gesamten Berichtsjahres einer Vollzeitbeschäftigung nachgegangen sind. Für die Arbeit von Personen, die nicht das ganze Jahr gearbeitet haben oder die im Rahmen einer Teilzeitregelung tätig waren, und für Saisonarbeit wird der jeweilige Bruchteil an JAE gezählt. In die Mitarbeiterzahl gehen ein: a) Lohn- und Gehaltsempfänger; b) für das Unternehmen tätige Personen, die in einem Unterordnungsverhältnis zu diesem stehen und nach nationalem Recht Arbeitnehmern gleichgestellt sind; c) mitarbeitende Eigentümer; d) Teilhaber, die eine regelmäßige Tätigkeit in dem Unternehmen ausüben und finanzielle Vorteile aus dem Unternehmen ziehen. Auszubildende oder in der beruflichen Ausbildung stehende Personen, die einen Lehr- bzw. Berufsausbildungsvertrag haben, sind in der Mitarbeiterzahl nicht berücksichtigt. Die Dauer des Mutterschafts- bzw. Elternurlaubs wird nicht mitgerechnet.

— Art. 5 Anhang zur Empfehlung der Kommission (2003/361/EG)

JAE ist eine Rechengröße. 100 Köpfe können weniger als 100 JAE sein, wenn viele Beschäftigte Teilzeit arbeiten oder unterjährig eingetreten sind. Umgekehrt kann eine Geschäftsleitung falsch unter den Schwellen landen, wenn sie mitarbeitende Eigentümer oder regelmäßig tätige Teilhaber übersieht.

Art. 6: Eigenständig, anteilig, 100 %

Art. 6 ist der Rechenmotor.

Für Partnerunternehmen gilt die unmittelbar vor- oder nachgeschaltete Partnerbeziehung. Partner der Partner werden nicht unendlich weiterverfolgt. Verbundene Ketten werden dagegen direkt und indirekt zu 100 % in den jeweiligen Datenblock einbezogen, soweit die Daten nicht bereits konsolidiert sind. Bei einem Partnerunternehmen mit eigenen verbundenen Unternehmen wird deshalb zunächst der Partnerblock gebildet und erst danach die Partnerquote gegenüber der betrachteten Gesellschaft angewandt. Partner der verbundenen Unternehmen werden anteilig berücksichtigt. Art. 6 Abs. 4 greift, wenn konsolidierte Abschlüsse keine Mitarbeiterzahl ausweisen. Die grafische Konzernstruktur trägt die Einordnung nicht; erforderlich ist eine geklammerte Art.-6-Rechnung mit sichtbarer Konsolidierungs- und Quotenlogik.

Die Zurechnung ist keine Haftungs- oder Pflichtzurechnung. Sie ist eine Rechenzurechnung. Sie entscheidet, welche Mitarbeiter-, Umsatz- und Bilanzdaten für die einzelne betrachtete Gesellschaft in den Schwellenvergleich eingehen.

Gegenprobe: Stehen im Rechen- und Prüfblatt zu jeder Hinzurechnung ein Beziehungstyp, eine Normstelle, eine Quote, die Reihenfolge von Datenblock und Quote sowie eine Daten- und Konsolidierungsquelle? Wenn dort allein „Konzern“ steht, ist die Rechnung nicht belastbar.

5. Der BSIG-Sonderweg Nr. 1: die IT-Unabhängigkeits-Klausel — § 28 Abs. 4 Satz 2

§ 28 Abs. 4 Satz 2 BSIG ist der wichtigste Sonderweg für Konzerne. Er verhindert nicht die eigene Prüfung der Gesellschaft. Er verhindert ausschließlich die Hinzurechnung von Daten der Partnerunternehmen oder verbundenen Unternehmen, wenn die betrachtete Gesellschaft IT-unabhängig ist.

Der Satz hat fünf Prüfungselemente:

1. Es gibt Partnerunternehmen oder verbundene Unternehmen im Sinne der Empfehlung.
2. Die rechtlichen Umstände sind zu prüfen.
3. Die wirtschaftlichen Umstände sind zu prüfen.
4. Die tatsächlichen Umstände sind zu prüfen.
5. Alle drei Ebenen müssen mit Blick auf Beschaffenheit und Betrieb der informationstechnischen Systeme, Komponenten und Prozesse bewertet werden.

Das ist eine materielle Ausnahmeregel für die Größenberechnung. Wer sich auf Satz 2 stützt, muss die tatsächlichen Grundlagen der behaupteten IT-Unabhängigkeit nachvollziehbar dokumentieren; ein reines Organigramm genügt dafür nicht. Die Dokumentation schafft die Ausnahme jedoch nicht, bindet die Behörde nicht und bewirkt weder Enthaftung noch einen Safe Harbor.

Die NIS-2-Richtlinie stützt diese Lesart in Erwägungsgrund 16. Dort wird der Grad der Unabhängigkeit gegenüber Partnerunternehmen und verbundenen Unternehmen erwähnt, insbesondere in Bezug auf die Netz- und Informationssysteme, die eine Einrichtung bei der Erbringung ihrer Dienste nutzt, und in Bezug auf die erbrachten Dienste. Die deutsche BSIG-Fassung arbeitet enger mit „informationstechnischen Systemen, Komponenten und Prozessen“. Diese Differenz ist Auslegungshilfe, aber kein zusätzlicher Tatbestand. [EU-NIS2]

Die im Quellenapparat genannten Bundestagsmaterialien können als Auslegungshilfe für § 28 Abs. 4 Satz 2 herangezogen werden, sofern ihr Bezug zum in Kraft gesetzten Wortlaut verifiziert ist; sie sind kein Normtext. [MAT-BT-20-13184] Als Indizien nennen sie insbesondere den bestimmenden Einfluss auf Beschaffung, Betrieb und Konfiguration der IT-Systeme. Eigener bestimmender Einfluss der betrachteten Gesellschaft spricht eher für Unabhängigkeit. Liegt dieser Einfluss dagegen bei der Konzernmutter oder einer zentralen IT-Gesellschaft und hat die betrachtete Gesellschaft keine wirksame eigene Steuerungsmöglichkeit, spricht das eher dagegen. Wird ein externer Dienstleister eingesetzt, kann die vertragliche Steuerung durch die betrachtete Gesellschaft für eigene Einflussmöglichkeiten sprechen.

Beziehungsbezogene Prüfung als offene Auslegungs- und Dokumentationsfrage

Der Normtext beantwortet nicht ausdrücklich, ob IT-Unabhängigkeit nur einheitlich gegenüber dem gesamten Kreis der einzubeziehenden Partner- und verbundenen Unternehmen oder mit partieller Wirkung für einzelne Beziehungen beurteilt werden kann. Eine beziehungs- und clusterbezogene Sachverhaltsaufbereitung ist eine konservative Dokumentationsmethode, darf aber ohne gesonderte rechtliche Begründung nicht als feststehende partielle Nichtzurechnung behandelt werden. Wird nur für einzelne Beziehungen oder IT-Cluster Unabhängigkeit geltend gemacht, sind Vollzurechnung und partielle Lesart alternativ zu rechnen und die Rechtsfrage im Statusvermerk offen auszuweisen.

Auslegungsvorbehalt: Satz 2 ist keine Gestaltungsgarantie. Gemeinsame ERP-, AD-, Netzwerk-, SOC-, Backup-, Cloud- oder Service-Desk-Strukturen können gegen Unabhängigkeit sprechen. Sie schließen Unabhängigkeit nicht gedanklich aus, erhöhen aber die Anforderungen an die Tatsachenaufklärung. Die Indikatoren in der Tabelle beweisen für sich allein weder eine vollständige noch eine partielle Nichtzurechnung.

Negativkette: Greift Satz 2 in dem rechtlich tragfähigen Umfang, wird die entsprechende Hinzurechnung fremder Daten nicht ausgelöst. Die Prüfung der eigenen Daten und der eigenen Einrichtungsart läuft weiter. Bei nur teilweise behaupteter Unabhängigkeit darf keine selektive Nichtzurechnung ohne ausdrücklich dokumentierte Rechtsbegründung als Endergebnis verwendet werden.

6. Der BSIG-Sonderweg Nr. 2: die ausgenommene Staatsklausel

Art. 3 Abs. 4 des Anhangs zur Empfehlung enthält die sogenannte Staatsklausel:

Außer den in Absatz 2 Unterabsatz 2 angeführten Fällen kann ein Unternehmen nicht als KMU angesehen werden, wenn 25 % oder mehr seines Kapitals oder seiner Stimmrechte direkt oder indirekt von einem oder mehreren öffentlichen Stellen oder Körperschaften des öffentlichen Rechts einzeln oder gemeinsam kontrolliert werden.

— Art. 3 Abs. 4 Anhang zur Empfehlung der Kommission (2003/361/EG)

§ 28 Abs. 4 Satz 1 BSIG nimmt genau diese Klausel aus. Für die BSIG-Größenberechnung gilt also nicht: „Die Stadt hält 30 %, deshalb ist das Stadtwerk ohne weitere Prüfung kein KMU.“ Die öffentliche Beteiligung kann trotzdem relevant sein, aber nicht über den Automatismus des Art. 3 Abs. 4.

Die Rechnung läuft stattdessen über Art. 3 Abs. 1 bis 3 und Art. 6 des Anhangs. Man prüft also: Ist die Kommune oder eine kommunale Gesellschaft überhaupt „Unternehmen“ im Sinne von Art. 1? Gibt es Partner- oder Verbundenheitsbeziehungen? Greift eine Investoren-Rückausnahme, insbesondere für autonome Gebietskörperschaften mit Jahreshaushalt unter 10 Mio. EUR und weniger als 5.000 Einwohnern? Welche Daten wären hinzuzurechnen?

Die Frage, wann eine Gebietskörperschaft selbst Unternehmen im Sinne von Art. 1 ist, bleibt eine Auslegungsfrage. Eine Kommune übt nicht schon deshalb wirtschaftliche Tätigkeit aus, weil sie Hoheitsaufgaben wahrnimmt. Umgekehrt kann eine kommunale Eigengesellschaft wirtschaftlich tätig sein. Als konservative interne Prüfmethode wird öffentliche Beteiligung weder als Entwarnung noch als Automatismus behandelt; die in Betracht kommenden Rechenwege werden getrennt dokumentiert. Diese Methode ersetzt keine rechtliche Einzelfallentscheidung.

Für rechtlich unselbstständige Organisationseinheiten einer Gebietskörperschaft sagt § 28 Abs. 4 Satz 1 zusätzlich, dass die Empfehlung bei der Bestimmung der Mitarbeiteranzahl, des Jahresumsatzes und der Jahresbilanzsumme nicht anzuwenden ist. § 28 Abs. 8 BSIG geht noch weiter: In den dort genannten Public-Sector-Konstellationen findet das Gesetz nicht Anwendung. Für A6-02 ist das ein Routingpunkt zu Schwellenwerte (250 MA / 50 Mio. €), kein kommunalrechtlicher Spezialartikel.

Negativkette: Die ausgenommene Staatsklausel löst den Nicht-KMU-Automatismus nicht aus. Die normale Art.-3-/Art.-6-Rechnung folgt weiter ihrem Tatbestand. Die Beteiligungs- und Public-Sector-Dokumentation bleibt.

7. Die dreistufige Konzernprüfung — ausgerechnet

Die Konzernprüfung besteht aus drei Stufen:

Beispiel: operative Tochter im Anlage-1-Sektor

Fiktive Einjahresdaten zur reinen Rechendemonstration. Für das Beispiel wird unterstellt, dass keine für Art. 6 maßgeblichen konsolidierten Daten verwendet werden und keine Position bereits in einer anderen Tabellenzeile enthalten ist. In einem realen Fall ist zuerst zu prüfen, ob ein konsolidierter Abschluss oder konsolidierte Einzelangaben die Daten bereits enthalten. Die Zahlen allein entscheiden weder den zeitlichen Statuswechsel nach Art. 4 noch den endgültigen §-28-Einstiegspfad:

Variante A: keine Satz-2-Unabhängigkeit im rechtlich maßgeblichen Umfang belegbar.

Variante B: IT-Unabhängigkeit gegenüber dem gesamten für diese Rechnung einzubeziehenden Kreis ist in einem rechtlich tragfähigen Umfang belegt.

Wird Unabhängigkeit nur gegenüber einer einzelnen Gesellschaft oder einem einzelnen IT-Cluster behauptet, liefert dieses Beispiel kein abschließendes Teilergebnis. Dann sind mindestens Vollzurechnung und partielle Lesart nebeneinander zu rechnen; die selektive Rechtsfolge bleibt bis zu ihrer belastbaren Begründung offen.

Das Beispiel zeigt die zentrale Konsequenz: Nicht die M AG wird wegen der Tochter zur Anlage-1-Einrichtung. Die T GmbH bleibt Trägerin ihres eigenen Tatbestands. Die M AG und die IT GmbH können als Rechendatenlieferanten wirken, solange Satz 2 die Hinzurechnung nicht in einem rechtlich tragfähigen Umfang verhindert.

Negativkette: Erreicht die Gesellschaft die Schwellen eines größenabhängigen §-28-Einstiegspfads nicht, wird ausschließlich dieser Pfad nicht ausgelöst. Größenunabhängige Einstiegspfade, KRITIS-Anlagen und sonstige Sonderfälle folgen weiter ihrem eigenen Tatbestand. Der Zeitpunkt eines Größenklassenwechsels ist zusätzlich nach der Art.-4-Zeitmechanik zu prüfen. Das Rechen- und Prüfblatt bleibt als Nachweis der Entscheidung erhalten, verändert aber den Status nicht.

8. Die IT-Tochter-Spezialkonstellation

Die IT-Tochter ist die häufigste Fehlerquelle im Konzern. Sie muss doppelt geprüft werden.

Prüfung A: IT-Tochter als Zurechnungsfaktor

Die IT GmbH kann Partnerunternehmen oder verbundenes Unternehmen anderer Konzerngesellschaften sein. Dann liefert sie grundsätzlich Rechendaten nach Art. 6. Ob diese Daten hinzugerechnet werden, hängt von § 28 Abs. 4 Satz 2 BSIG ab.

Dabei genügt nicht die Aussage: „Die IT ist ein Dienstleister.“ Entscheidend ist, ob die betrachtete operative Gesellschaft trotz IT-Dienstleistung rechtlich, wirtschaftlich und tatsächlich unabhängig ist, und zwar mit Blick auf Beschaffenheit und Betrieb der IT-Systeme, Komponenten und Prozesse.

Prüfung B: IT-Tochter als eigene Einrichtung

Die IT-Tochter kann selbst eine Einrichtung sein, wenn sie eine relevante Einrichtungsart erfüllt und die Schwellen erreicht. Besonders im Blick stehen Anlage 1, Sektor 6:

Ist die IT-Tochter Anbieterin von Cloud-Computing-Diensten, Anbieterin von Rechenzentrumsdiensten, Managed Services Provider oder Managed Security Services Provider und erfüllt sie den einschlägigen §-28-Einstiegspfad, kann sie einen eigenen BSIG-Status erreichen. [N-BSIG-2] [N-BSIG-ANL1] Welche Pflichten tatsächlich gelten, ist erst nach Prüfung der Sonder- und Rückausnahmen nach § 28 Abs. 5 bis 8, der Registrierungsschiene und eines vorrangigen Spezialregimes zu bestimmen. Die DORA-oder-BSIG-Abgrenzung steht in DORA oder BSIG?.

Die schwierige Frage lautet: Begründet eine rein konzerninterne Erbringung bereits die Einrichtungsart? Die Antwort wird nicht pauschal vorweggenommen. Der Wortlaut des einschlägigen §-28-Einstiegspfads und der Einrichtungsart ist gegen die tatsächliche Dienstleistung zu lesen. Als konservative interne Prüfmethode werden rein konzerninterne IT-Leistungen nicht vorschnell ausgeklammert; Dienstleistung, Vertragslage, Nutzerkreis, Entgeltlichkeit, IT-Betrieb und Schwellen werden dokumentiert. Die endgültige Einordnung bleibt eine einzelfallbezogene Rechtsfrage und kann aktuelle Behördenpraxis oder Rechtsrat erfordern.

Auch wenn die IT-Tochter keinen eigenen Status erreicht, bleibt sie praktisch relevant. Sie kann über Lieferketten-, Dienstleister- und Vertragsanforderungen der bedienten regulierten Gesellschaften eingebunden werden. Das Pflichtenprogramm steht in NIS-2-Pflichten der Geschäftsleitung (§ 38 BSIG).

Negativkette: Hat die IT-Tochter keinen eigenen Status, werden eigene BSIG-Pflichten aus diesem Status nicht ausgelöst. Die Einbindung über Verträge, Lieferkette und Pflichten der bedienten Gesellschaften folgt weiter ihrem eigenen Tatbestand. Die Rollen-Dokumentation bleibt.

9. Typische Konstellationen

Negativkette: Konzern- oder Rechengröße allein löst bei einer Gesellschaft ohne eigenen einschlägigen §-28-Tatbestand keinen Status aus. Neben Anlage-1-/Anlage-2-Tätigkeiten bleiben größenunabhängige und sonstige Einstiegspfade gesondert zu prüfen. Jede weitere Konzerngesellschaft folgt ihrem eigenen Tatbestand und erhält einen eigenen Statusvermerk.

10. Behörden-Praxis: die BSI-Betroffenheitsprüfung

Die BSI-Betroffenheitsprüfung kann als Orientierungshilfe genutzt werden. Sie ersetzt weder die Selbstidentifizierung noch die juristische Konzernrechnung.

Nach dem für diesen Artikel dokumentierten Stand vom 11. Juni 2026 beschreibt der Disclaimer die Betroffenheitsprüfung als automatische Orientierungshilfe auf Grundlage von Eigenangaben: Das Ergebnis ist nicht rechtlich bindend, ersetzt die Prüfung zur Selbstidentifizierung nicht, hat für eventuelle Verfahren keine Indizwirkung und erhebt keinen Anspruch auf Vollständigkeit und Richtigkeit; Einrichtungen der Bundes-, Landes- und Kommunalverwaltung werden dort nicht betrachtet. Da das Werkzeug dynamisch ist, muss der aktuelle Disclaimer vor jeder Nutzung tagesaktuell erneut geprüft werden. [BEH-BSI-BP]

Für Konzerne kann das Tool eine erste Struktur geben. Das maßgebliche Rechen- und Prüfblatt bleibt jedoch die eigene normbasierte Prüfung von Beteiligungsketten, Stimmrechtsvereinbarungen, natürlichen Personen, ausländischen Konzernteilen, kommunalen Strukturen und Satz-2-IT-Unabhängigkeit.

Praxisempfehlung: Tool-Ergebnis und Eingaben können dokumentiert und Abweichungen erläutert werden. Diese Dokumentation verändert den Status nicht, bindet die Behörde nicht und erzeugt keinen Safe Harbor; die Statusentscheidung ist auf § 28 BSIG und die Empfehlung zu stützen.

11. Arbeitsprodukte und Prüfreihenfolge

Für die interne Governance ist eine prüffähige Akte sinnvoll. Die nachfolgenden Arbeitsprodukte sind Organisations- und Nachweismittel; sie sind keine zusätzlichen gesetzlichen Tatbestandsmerkmale, verändern den Status nicht und binden die Behörde nicht.

Vorstandsfazit-Ministruktur

Ein Vorstand oder eine Geschäftsführung braucht keine reine Normsynopse. Das Entscheidungspapier sollte in fünf Sätzen funktionieren:

1. Welche Gesellschaft wurde geprüft?
2. Welche Einrichtungsart oder welcher §-28-Einstiegspfad ist betroffen?
3. Welche Daten wurden nach Art. 3/6 hinzugerechnet oder nicht hinzugerechnet?
4. Welche Annahmen, offenen Lesarten und Satz-2-Belege tragen das Ergebnis?
5. Welche Entscheidung, Registrierung, Pflichtenroute und Wiedervorlage folgen?

Organisationspraxis: Für die interne Nachvollziehbarkeit sollte jede Statusentscheidung Version, Datum, Quellenstand, verantwortliche Stelle, interne Freigabe, Belegordner, Triggerliste und Wiedervorlage enthalten. Diese Metadaten verändern die materielle Rechtslage nicht, binden keine Behörde und garantieren weder Enthaftung noch Bestandskraft.

12. Zeitlicher Geltungsstand

Dieser Artikel arbeitet mit dem Stand 11. Juni 2026. Das NIS-2-Umsetzungsgesetz ist seit Dezember 2025 in Kraft. § 28 BSIG wurde im Umfeld des KRITIS-DachG mit Wirkung zum 17. März 2026 berührt. [N-KRITIS-DACHG] Nach dem dokumentierten Prüfstand steht die Public-Sector-Nichtanwendung in § 28 Abs. 8 BSIG; für Absatz 4 ist keine inhaltliche Abweichung von der hier verwendeten Grundmechanik festgestellt worden. Weil Normhistorie und Behördenangebote zeitabhängig sind, ist vor späterer Nutzung die aktuelle konsolidierte Fassung erneut zu prüfen.

Die Empfehlung der Kommission (2003/361/EG) stammt vom 6. Mai 2003 und wurde im Amtsblatt L 124 vom 20. Mai 2003 veröffentlicht. Für diesen Artikel wird sie kraft § 28 Abs. 4 Satz 1 BSIG angewandt.

Die Zwei-Jahres-Mechanik aus Art. 4 Abs. 2 wirkt in dem durch den maßgeblichen Wortlaut bestimmten Umfang auf den Größenklassenstatus der Empfehlung. Die Behandlung ausschließlich umsatzgetriebener Änderungen sowie die zeitliche Auswirkung auf BSIG-Registrierung und konkrete Pflichten bleiben gesondert zu dokumentierende Rechtsfragen.

13. Schnittstellen

• Konzern, DORA & Insolvenz — Sonderfälle ist der Sonderkonstellationen-Hub.
• Schwellenwerte (250 MA / 50 Mio. €) enthält Anwendungsbereich, Sektoren und Schwellen-Grundlagen.
• DORA oder BSIG? enthält die DORA-oder-BSIG-Abgrenzung, insbesondere bei Finanz- und IT-Dienstleistungsfällen.
• Sondertatbestände + KRITIS enthält größenunabhängige Sondertatbestände und KRITIS-Sonderfragen.
• NIS-2-Pflichten der Geschäftsleitung (§ 38 BSIG) enthält das Pflichtenprogramm, Risikomanagement und Lieferketten-Einbindung.
• Innenhaftung der Geschäftsleitung enthält die Innenhaftung, falls eine Statusentscheidung pflichtwidrig unterbleibt.
• DORA — Pflichten & Aufsicht enthält die DORA-Tiefe, soweit Konzern-IT im Finanzsektor betroffen ist.
• Insolvenz in der Cyber-Krise enthält Insolvenz und Cyber-Krise; das ist kein Thema dieser Konzernrechnung.

14. Kurzantworten auf die 24 Lese-Fragen

1. Wird NIS-2 im Konzern „für den Konzern“ geprüft? Nein. Geprüft wird jede einzelne Gesellschaft oder Einrichtung; Einrichtungsart und Tätigkeit bleiben gesellschaftsbezogen. Der Konzern verändert nur die Größenrechnung.
2. Sind wegen der Größe des Konzerns automatisch alle Gesellschaften erfasst? Nein. Jede Gesellschaft braucht ihren eigenen § 28-Einstiegspfad; Größe ersetzt den Tatbestand nicht.
3. Welche Norm regelt die Größenrechnung? § 28 Abs. 4 Satz 1 BSIG verweist auf die Empfehlung der Kommission (2003/361/EG), mit Ausnahme von Art. 3 Abs. 4 des Anhangs.
4. Was ist VOR der Größenrechnung zu klären? Der einschlägige § 28-Einstiegspfad (größenabhängig oder größenunabhängig); das Verfehlen einer Größenstufe schließt nur diesen einen Pfad aus.
5. Was regelt § 28 Abs. 3 BSIG? Die Zuordnung zur Einrichtungsart (vernachlässigbare Tätigkeiten), nicht die Rechnung von Mitarbeiterzahl, Umsatz oder Bilanzsumme.
6. Was bewirken § 28 Abs. 5 bis 7 BSIG? Sektorale Sonder- und Rückausnahmen; sie ändern die Rechenmechanik des Absatzes 4 nicht, sind aber nach der Größenrechnung eigenständig zu prüfen.
7. Was regelt § 28 Abs. 8 BSIG? Eine eigenständige Public-Sector-Nichtanwendung; sie wird zuerst geprüft und ersetzt die Staatsklausel-Prüfung nicht. Greift sie nicht, liefert die Art.-3-/Art.-6-Rechnung für rechtlich unselbstständige Organisationseinheiten keine Ersatzmethode.
8. Welche Größenklassen nennt Art. 2 des Anhangs? KMU beschäftigen weniger als 250 Personen und erzielen entweder höchstens 50 Mio. EUR Jahresumsatz oder höchstens 43 Mio. EUR Jahresbilanzsumme. Kleine Unternehmen beschäftigen weniger als 50 Personen und haben entweder höchstens 10 Mio. EUR Jahresumsatz oder höchstens 10 Mio. EUR Jahresbilanzsumme; Kleinstunternehmen liegen entsprechend unter 10 Personen und höchstens 2 Mio. EUR Umsatz oder Bilanzsumme.
9. Welche drei Unternehmenstypen unterscheidet Art. 3? Eigenständiges Unternehmen, Partnerunternehmen und verbundenes Unternehmen.
10. Ab wann kann ein Partnerunternehmen vorliegen? Bei mindestens 25 % des Kapitals oder der Stimmrechte, sofern keine Verbundenheit vorliegt und keine Investoren-Rückausnahme greift. Die Schwelle kann allein oder gemeinsam mit verbundenen Unternehmen erreicht werden; eine Mehrheit ist nicht erforderlich.
11. Gibt es Rückausnahmen trotz 25 %? Ja, für die im Anhang genannten Investoren (staatliche Beteiligungsgesellschaften, Risikokapitalgesellschaften, Business Angels mit einem Gesamtinvestitionsbetrag von bis zu 1.250.000 EUR in dasselbe Unternehmen, Universitäten/Forschungszentren ohne Gewinnzweck, institutionelle Anleger, autonome Gebietskörperschaften mit Jahreshaushalt unter 10 Mio. EUR und weniger als 5.000 Einwohnern), wenn sie weder einzeln noch gemeinsam mit dem betreffenden Unternehmen verbunden sind. Mischen sie sich nicht direkt oder indirekt in dessen Verwaltung ein, besteht daneben die Vermutung, dass sie keinen beherrschenden Einfluss ausüben.
12. Können Gesellschaften über natürliche Personen verbunden sein? Ja, wenn eine natürliche Person oder eine gemeinsam handelnde Gruppe die Art.-3-Abs.-3-Beziehung vermittelt und die Gesellschaften im gleichen oder benachbarten Markt tätig sind.
13. Was leistet die Art.-3-Abs.-5-Erklärung? Sie setzt einen dokumentierten Beteiligungssachverhalt und eine nach Treu und Glauben getragene Annahme voraus; sie ersetzt nicht die Prüfung feststellbarer Verhältnisse und steht unter Kontroll- und Untersuchungsvorbehalt.
14. Wie wird die Mitarbeiterzahl gezählt (Art. 5)? Als Jahresarbeitseinheiten (JAE), nicht als Kopfzahl; mitarbeitende Eigentümer und regelmäßig tätige Teilhaber zählen mit. Auszubildende werden nicht berücksichtigt; die Dauer des Mutterschafts- beziehungsweise Elternurlaubs wird nicht mitgerechnet.
15. Wie rechnet Art. 6? Eigenständige Unternehmen mit eigenen Daten; Partnerunternehmen anteilig nach der höheren Kapital- oder Stimmrechtsquote; verbundene Unternehmen zu 100 %, soweit nicht konsolidiert; der Partner-Datenblock wird vor Anwendung der Quote gebildet; Art. 6 Abs. 4 greift, wenn die Mitarbeiterzahl im konsolidierten Abschluss fehlt.
16. Ist die Zurechnung eine Haftungs- oder Pflichtzurechnung? Nein. Sie ist eine reine Rechenzurechnung für den Schwellenvergleich.
17. Was bewirkt § 28 Abs. 4 Satz 2 BSIG? Er verhindert ausschließlich die Hinzurechnung der Daten von Partner- oder verbundenen Unternehmen, wenn die betrachtete Gesellschaft unter Berücksichtigung der rechtlichen, wirtschaftlichen und tatsächlichen Umstände mit Blick auf Beschaffenheit und Betrieb ihrer informationstechnischen Systeme, Komponenten und Prozesse von ihren Partner- oder verbundenen Unternehmen unabhängig ist; die eigene Prüfung bleibt. Die Dokumentation bindet die Behörde nicht und schafft weder Enthaftung noch Safe Harbor.
18. Ist die partielle, beziehungsbezogene Wirkung des Satzes 2 entschieden? Nein. Der Normtext beantwortet das nicht; wird nur für einzelne Beziehungen oder IT-Cluster Unabhängigkeit geltend gemacht, sind Vollzurechnung und partielle Lesart alternativ zu rechnen und die Rechtsfrage im Statusvermerk offen auszuweisen.
19. Was bedeutet die ausgenommene Staatsklausel (Art. 3 Abs. 4)? Für die BSIG-Größenberechnung gilt kein Nicht-KMU-Automatismus bei öffentlicher Beteiligung; gerechnet wird über Art. 3 Abs. 1 bis 3 und Art. 6, einschließlich möglicher Investoren-Rückausnahmen.
20. Wie wirkt die Zwei-Jahres-Regel (Art. 4 Abs. 2)? Ein Größenklassenwechsel tritt erst nach Über- oder Unterschreitung in zwei aufeinanderfolgenden Geschäftsjahren ein. Der deutsche Wortlaut nennt den Umsatz an dieser Stelle nicht ausdrücklich; eine ausschließlich umsatzgetriebene Änderung ist gesondert zu prüfen, und die zeitliche Auswirkung auf BSIG-Registrierung und Pflichten bleibt offen.
21. Wie wird eine IT-Tochter geprüft? Doppelt: als Zurechnungsfaktor (Daten nach Art. 6, vorbehaltlich § 28 Abs. 4 Satz 2) und als mögliche eigene Einrichtung (Anlage 1, Sektor 6: Cloud-Computing, Rechenzentrum, Managed Services Provider, Managed Security Services Provider).
22. Begründet rein konzerninterne IT-Leistung schon die Einrichtungsart? Nicht pauschal. Der Wortlaut des einschlägigen Einstiegspfads ist gegen die tatsächliche Dienstleistung zu lesen; Entgeltlichkeit, Nutzerkreis, Vertragslage und IT-Betrieb sind zu dokumentieren. Die Einordnung bleibt eine einzelfallbezogene Rechtsfrage und kann aktuelle Behördenpraxis oder Rechtsrat erfordern.
23. Macht die BSI-Betroffenheitsprüfung die eigene Rechnung überflüssig? Nein. Sie ist eine nicht bindende Orientierungshilfe mit dynamischem Disclaimer; maßgeblich bleibt die eigene normbasierte Prüfung.
24. Schaffen Tool, Dokumentation oder Governance Enthaftung oder Safe Harbor? Nein. Diese Arbeits- und Nachweismittel verändern den Status nicht, binden die Behörde nicht und sind keine zusätzlichen gesetzlichen Tatbestandsmerkmale.

15. Quellen

1. Nationale Normen

• [N-BSIG-28] § 28 BSIG, besonders Absatz 4 Satz 1 und 2; zusätzlich Absatz 1 bis 3, Pflichten-/Ausnahmenrouting in Absatz 5 bis 7 und Public-Sector-Nichtanwendung in Absatz 8. Abruf: 11. Juni 2026. Direktfundstelle: https://www.gesetze-im-internet.de/bsig_2025/__28.html
• [N-BSIG-2] § 2 BSIG, Begriffsanker für Cloud-Computing-Dienst, Rechenzentrumsdienst, Managed Service Provider und Managed Security Service Provider. Abruf: 11. Juni 2026. Direktfundstelle: https://www.gesetze-im-internet.de/bsig_2025/__2.html
• [N-BSIG-ANL1] Anlage 1 BSIG, insbesondere 6.1.4 Anbieter von Cloud-Computing-Diensten, 6.1.5 Anbieter von Rechenzentrumsdiensten, 6.1.10 Managed Services Provider, 6.1.11 Managed Security Services Provider. Abruf: 11. Juni 2026. Direktfundstelle: https://www.gesetze-im-internet.de/bsig_2025/anlage_1.html
• [N-BSIG-ANL2] Anlage 2 BSIG, Tätigkeitsrouting. Abruf: 11. Juni 2026. Direktfundstelle: https://www.gesetze-im-internet.de/bsig_2025/anlage_2.html
• [N-KRITIS-DACHG] KRITIS-DachG, BGBl. 2026 I Nr. 66, veröffentlicht am 16. März 2026 und in Kraft seit 17. März 2026, als Zeitstandsanker für die im Artikel genannte Änderungslage.
• [N-AKTG-15] AktG § 15 und HGB § 290 als Abgrenzungsanker, nicht als Rechenregel für diesen Artikel. Amtliche Einzelnormfundstellen: https://www.gesetze-im-internet.de/aktg/__15.html und https://www.gesetze-im-internet.de/hgb/__290.html

2. EU-Recht

• [EU-2003-361] Empfehlung der Kommission vom 6. Mai 2003 betreffend die Definition der Kleinstunternehmen sowie der kleinen und mittleren Unternehmen (2003/361/EG), ABl. L 124 vom 20. Mai 2003, S. 36, CELEX 32003H0361. Art. 4 Abs. 2 und Art. 5 des Anhangs sind wortlautgetreu gegen diese amtliche deutsche Fassung übernommen. Direktfundstelle: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32003H0361
• [EU-NIS2] Richtlinie (EU) 2022/2555, insbesondere Art. 2 und Erwägungsgrund 16 als Herkunfts- und Auslegungsstütze der IT-Unabhängigkeits-Klausel. Direktfundstelle: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:02022L2555-20221227

3. Rechtsprechung

Keine tragenden Rechtsprechungsquellen in dieser Fassung.

4. Behörden, Gesetzesmaterialien und amtliche Praxis

• [MAT-BT-20-13184] Bundestagsmaterialien zum NIS-2-Umsetzungsgesetz, insbesondere BT-Drs. 20/13184 als historische Auslegungshilfe zu § 28 Abs. 4 Satz 2; maßgeblich bleibt der in Kraft gesetzte Normtext, und die Übernahme der Begründung in die geltende Fassung ist gesondert zu verifizieren. Direktfundstelle: https://dserver.bundestag.de/btd/20/131/2013184.pdf
• [BEH-BSI-BP] BSI, NIS-2-Betroffenheitsprüfung, Behördenpraxis und Disclaimer. Dokumentierter Abrufstand: 11. Juni 2026; der aktuelle Disclaimer ist vor jeder Nutzung tagesaktuell erneut zu prüfen. Direktfundstelle: https://betroffenheitspruefung-nis-2.bsi.de/

5. Markt, Standards und sonstige Praxis

In dieser Fassung sind keine eigenständigen Markt- oder Standardquellen zitiert; Markt-, Tool- und Einzelfallaussagen sind durchgehend konditional gehalten.

6. Prüfstatus und Schlusssatz

Rechts-/Redaktionsstand: 11. Juni 2026, Version 1.4. Die Norm-Direktzitate (§ 28 Abs. 4 BSIG; Art. 2 Abs. 1, Art. 3 Abs. 4, Art. 4 Abs. 2 und Art. 5 des Anhangs zur Empfehlung 2003/361/EG) sind wortlautgetreu gegen die jeweils amtliche Fassung übernommen. Offen bleiben die zeitabhängige Behördenpraxis und der dynamische BSI-Disclaimer sowie spätere konsolidierte Normstände; sie sind vor einer späteren Nutzung erneut zu prüfen. Tragende Rechtsprechungsquellen liegen nicht vor. Rechtlich maßgeblich sind der anwendbare Normtext und seine dokumentierte Anwendung im Einzelfall.

16. CyberSchutzEngel-Hinweis

CyberSchutzEngel unterstützt die interne Orientierung: Welche Gesellschaft ist zu prüfen, welche Daten sind zuzurechnen, und welche Unterlagen braucht die Geschäftsleitung für eine belastbare Entscheidung? Rechtlich maßgeblich sind der anwendbare Normtext und seine dokumentierte Anwendung im Einzelfall. Aktuelle Behördenpraxis kann die praktische Einordnung unterstützen, ist aber ohne eigene gesetzliche Grundlage weder normgleich noch bindend.