Bereichsausnahme (§ 28 Abs. 6 BSIG): Freistellung?

Kurzdefinition: Eine Bereichsausnahme lässt bestimmte BSIG-Pflichten zurücktreten oder schränkt sie ein, weil dort spezielleres Recht gilt. § 28 Abs. 6 BSIG ist die zentrale Bereichsausnahme — sie nimmt insbesondere DORA-Finanzunternehmen und Teile der Telematikinfrastruktur von bestimmten BSIG-Pflichten aus. [N-BSIG-28]

Der Normwortlaut

§ 28 Abs. 6 BSIG bestimmt: „Die §§ 30, 31, 32, 35, 36, 38 und 39 gelten nicht für“ (Nummer 1) Finanzunternehmen nach Artikel 2 Absatz 2 der Verordnung (EU) 2022/2554 und Unternehmen, für die die Anforderungen der DORA aufgrund des Kreditwesengesetzes oder des Versicherungsaufsichtsgesetzes gelten, sowie (Nummer 2) die genannten Betreiber von Diensten der Telematikinfrastruktur. [N-BSIG-28]

Was ist eine Bereichsausnahme?

Rücktritt des BSIG zugunsten speziellen Rechts. Eine Bereichsausnahme ordnet an, dass bestimmte BSIG-Pflichten in einem Bereich nicht oder nur eingeschränkt gelten, weil dort ein eigenes, spezielleres Regime greift. Sie ist die gesetzliche Umsetzung des lex-specialis-Gedankens im Anwendungsbereich. [N-BSIG-28]

Welche Pflichten entfallen und für wen?

Konkret benannte Paragrafen. Nach § 28 Abs. 6 BSIG gelten die §§ 30, 31, 32, 35, 36, 38 und 39 nicht für die dort genannten DORA-Finanzunternehmen und Telematik-Betreiber. Andere BSIG-Vorschriften bleiben unberührt. [N-BSIG-28]

Bedeutet eine Bereichsausnahme völlige Freistellung?

Nein. Sie befreit nur von den ausdrücklich genannten Pflichten für die ausdrücklich genannten Adressaten — nicht pauschal von allem. Einzelne Pflichten, Konzernteile oder nicht erfasste Tätigkeiten können weiterhin dem BSIG unterliegen. [N-BSIG-28]

Wie verhält sich die Ausnahme zu DORA?

Sie vermeidet Doppelregulierung. Weil DORA für Finanzunternehmen ein eigenes IKT-Risikomanagement- und Meldewesen vorsieht, nimmt § 28 Abs. 6 BSIG diese Unternehmen von den entsprechenden BSIG-Pflichten aus. Statt BSIG gelten die DORA-Pflichten. [N-BSIG-28]

Worauf muss die Geschäftsleitung achten?

Auf saubere Abgrenzung. Welche Einheit fällt unter welche Ausnahme, welches Recht und welche Behörde gilt. Eine vorschnell angenommene Bereichsausnahme ist eine klassische Quelle von Compliance-Schulden. [N-BSIG-28]

Häufige Fehlannahmen

„Eine Bereichsausnahme stellt komplett frei.“ Nein. Sie befreit nur von den genannten Paragrafen für die genannten Adressaten. [N-BSIG-28]
„Jedes Finanzunternehmen ist automatisch ausgenommen.“ Nein. Maßgeblich ist die genaue DORA-Zuordnung nach § 28 Abs. 6 Nr. 1 BSIG. [N-BSIG-28]
„Die Ausnahme gilt für den ganzen Konzern.“ Nicht zwingend. Nicht erfasste Einheiten können weiter dem BSIG unterliegen. [N-BSIG-28]
„Ausgenommen heißt: keine Cybersicherheitspflichten.“ Nein. Es gilt dann das speziellere Recht, etwa DORA. [N-BSIG-28]
„Auch die übrigen BSIG-Vorschriften entfallen.“ Nein. Nur die §§ 30, 31, 32, 35, 36, 38 und 39. [N-BSIG-28]
„Die Ausnahme muss man nicht dokumentieren.“ Doch. Eine falsch angenommene Ausnahme lässt Pflichten unbemerkt offen. [N-BSIG-28]

Was die Geschäftsleitung tun sollte

Zuordnen. Prüfen, ob die Einheit unter § 28 Abs. 6 BSIG fällt.
Speziell prüfen. Klären, welches Recht (z. B. DORA) stattdessen gilt.
Konzern abgrenzen. Nicht erfasste Einheiten gesondert bewerten.
Dokumentieren. Die Abgrenzung revisionssicher festhalten.

Für die Geschäftsleitung

§ 28 Abs. 6 BSIG befreit nur, soweit spezielleres Recht greift — nicht pauschal. Wer eine Bereichsausnahme annimmt, sollte genau zuordnen und dokumentieren, welches Regime stattdessen gilt. Eine falsch angenommene Ausnahme lässt Pflichten unbemerkt offen.