Was ist eine Forschungseinrichtung nach NIS2/BSIG?
Eine Forschungseinrichtung nach dem BSIG betreibt als primäres Ziel angewandte Forschung oder experimentelle Entwicklung im Hinblick auf die kommerzielle Nutzung der Forschungsergebnisse; Bildungseinrichtungen sind ausgenommen.
Rechtliche Einordnung: Diese Legaldefinition beschreibt zunächst nur den Einrichtungsbegriff. Sie macht eine Organisation noch nicht automatisch zu einer wichtigen Einrichtung und löst für sich allein weder technische Pflichten noch Fristen aus.
Der Normwortlaut
„Forschungseinrichtung“ eine Einrichtung, deren primäres Ziel es ist, angewandte Forschung oder experimentelle Entwicklung im Hinblick auf die Nutzung der Ergebnisse dieser Forschung für kommerzielle Zwecke durchzuführen; Bildungseinrichtungen gelten nicht als Forschungseinrichtungen;
Quelle des Wortlauts: § 2 Nummer 12 BSIG. Die Merkmale „primäres Ziel“, angewandte Forschung oder experimentelle Entwicklung und die Ausrichtung auf eine kommerzielle Nutzung der Ergebnisse sind jeweils zu prüfen. Die Bildungsausnahme gehört ausdrücklich zur Definition.
Wann gilt eine Forschungseinrichtung als wichtige Einrichtung?
Anlage 2 Nummer 7.1.1 ordnet Forschungseinrichtungen dem Sektor Forschung zu. Der Status als wichtige Einrichtung nach § 28 Absatz 2 Nummer 3 BSIG setzt zusätzlich voraus, dass die Einrichtung anderen natürlichen oder juristischen Personen entgeltlich Waren oder Dienstleistungen anbietet und mindestens 50 Mitarbeitende beschäftigt oder sowohl mehr als 10 Millionen Euro Jahresumsatz als auch mehr als 10 Millionen Euro Jahresbilanzsumme aufweist. Besonders wichtige Einrichtungen und Einrichtungen der Bundesverwaltung sind aus § 28 Absatz 2 ausgenommen.
Wie wird die Betroffenheit geprüft?
Die Prüfung ist kumulativ: Zuerst müssen die Legaldefinition einschließlich Bildungsausnahme und die Zuordnung nach Anlage 2 erfüllt sein. Danach sind das entgeltliche Angebot an andere und eine der beiden Größenalternativen festzustellen. Die Kennzahlen bestimmen sich grundsätzlich nach der Empfehlung 2003/361/EG. Unter den besonderen Unabhängigkeitsvoraussetzungen des § 28 Absatz 4 Satz 2 werden die Daten der dort bezeichneten Partner- oder verbundenen Unternehmen nicht hinzugerechnet.
Eine nach Anlage 2 zuordenbare Tätigkeit kann nach § 28 Absatz 3 unberücksichtigt bleiben, wenn sie im Verhältnis zur gesamten Geschäftstätigkeit der Einrichtung vernachlässigbar ist. Diese Regel ersetzt keine Prüfung der übrigen Merkmale.
Welche Ausnahmen und Spezialregime sind zu prüfen?
Forschungstätigkeit allein genügt nicht. Neben Bildungsausnahme, Entgeltlichkeit, Größe und der Regel für vernachlässigbare Tätigkeiten sind die allgemeinen Sonder- und Vorrangregime des § 28 Absätze 5 bis 8 zu prüfen. Dazu gehören die dort geregelten sektorbezogenen Ausschlüsse für bestimmte Telekommunikations-, Energie-, Finanz- und Telematikinfrastruktur-Einrichtungen sowie der Ausschluss der in Absatz 8 beschriebenen, landesrechtlich vergleichbar regulierten Organisationseinheiten und juristischen Personen.
Ein Ausnahmebescheid nach § 37 Absatz 2 oder 3 kommt nur für die dort geregelten Sicherheits-, Verteidigungs- oder Strafverfolgungstätigkeiten beziehungsweise -dienste und nur unter den gesetzlichen Sicherungs- und Aufsichtsvoraussetzungen in Betracht. Das ist keine pauschale Ausnahme für Forschungseinrichtungen.
Welche Schwellenwerte und Fristen gelten?
Die Legaldefinition selbst enthält weder eine Frist noch einen Größenwert. Für die regelhafte Einordnung als wichtige Einrichtung gelten mindestens 50 Mitarbeitende oder alternativ sowohl mehr als 10 Millionen Euro Jahresumsatz als auch mehr als 10 Millionen Euro Jahresbilanzsumme.
Nach dem erstmaligen oder erneuten Eintritt des Status als wichtige Einrichtung muss die Registrierung beim BSI spätestens binnen drei Monaten erfolgen. Änderungen der Registrierungsangaben sind grundsätzlich unverzüglich, spätestens binnen zwei Wochen ab Kenntnis mitzuteilen.
Bei Kenntnis von einem erheblichen Sicherheitsvorfall ist grundsätzlich unverzüglich, spätestens binnen 24 Stunden, eine frühe Erstmeldung und spätestens binnen 72 Stunden eine Meldung abzugeben. Die Abschlussmeldung ist grundsätzlich spätestens einen Monat nach der 72-Stunden-Meldung fällig. Dauert der Vorfall dann noch an, ist zunächst eine Fortschrittsmeldung vorzulegen; die Abschlussmeldung folgt nach der abschließenden Bearbeitung. Die Meldepflicht beginnt frühestens mit der Einrichtung des Meldewegs.
Welche technischen Anforderungen folgen aus dem Status?
Technische Einordnung: Die Definition der Forschungseinrichtung enthält keine technischen Kriterien. Erst der Status als wichtige Einrichtung begründet nach § 30 BSIG die Pflicht, für die zur Diensterbringung genutzten IT-Systeme, Komponenten und Prozesse geeignete, verhältnismäßige, wirksame, dokumentierte und gefahrenübergreifende technische und organisatorische Maßnahmen zu ergreifen.
Die Themen des § 30 Absatz 2, der Stand der Technik und einschlägige europäische und internationale Normen sind zu berücksichtigen. In die Verhältnismäßigkeit fließen insbesondere Risikoexposition, Größe, Umsetzungskosten, Eintrittswahrscheinlichkeit, Schwere sowie gesellschaftliche und wirtschaftliche Auswirkungen ein. Ausschlüsse nach § 28 Absätze 5 und 6 sowie der Vorrang entgegenstehender Anforderungen eines EU-Durchführungsrechtsakts nach § 30 Absatz 4 bleiben zu beachten.
Welche Pflichten hat die Geschäftsleitung?
Nur die Geschäftsleitung einer tatsächlich wichtigen Einrichtung muss die Maßnahmen nach § 30 umsetzen, ihre Umsetzung überwachen und regelmäßig an den gesetzlich beschriebenen Schulungen zur Risikoerkennung und -bewertung sowie zu IT-Sicherheits-Risikomanagementpraktiken teilnehmen. Einen festen Schulungsrhythmus nennt das Gesetz nicht.
Geschäftsleitung ist die nach Gesetz, Satzung oder Gesellschaftsvertrag zur Geschäftsführung und Vertretung berufene natürliche Person. § 38 gilt nicht für Einrichtungen der Bundesverwaltung; Haftungsfragen richten sich vorrangig nach den für die jeweilige Rechtsform geltenden Regeln.
Häufige Fehlannahmen
- „Jede forschende Organisation ist erfasst.“ Nein. Das primäre Ziel, die Forschungs- oder Entwicklungsart und die Ausrichtung auf kommerzielle Ergebnisnutzung müssen zusammen vorliegen.
- „Hochschulen sind automatisch Forschungseinrichtungen.“ Nein. Bildungseinrichtungen sind nach dem Normwortlaut ausgenommen.
- „Die Definition löst unmittelbar sämtliche BSIG-Pflichten aus.“ Nein. Anlage-2-Zuordnung, entgeltliches Angebot, Größenalternative und mögliche Ausnahmen sind zusätzlich zu prüfen.
- „Mehr als 10 Millionen Euro Umsatz genügen allein.“ Nein. Bei dieser Alternative müssen sowohl Jahresumsatz als auch Jahresbilanzsumme jeweils über 10 Millionen Euro liegen.
- „Für Forschung gilt generell eine Sicherheitsausnahme.“ Nein. § 37 betrifft nur seine besonderen Tätigkeiten oder Dienste und verlangt die dort vorgesehenen Sicherungs- und Aufsichtsvoraussetzungen.
Was die Geschäftsleitung tun sollte
- Organisationszweck, tatsächliche Forschungsarten, geplante kommerzielle Verwertung und Bildungsstatus nachvollziehbar dokumentieren.
- Entgeltliche Angebote, Mitarbeitendenzahl, Jahresumsatz und Jahresbilanzsumme einschließlich der Regeln für Partner- und verbundene Unternehmen belastbar prüfen.
- Bagatellregel sowie Sonder-, Vorrang- und Ausnahmeregime gesondert bewerten und die Entscheidung mit Fundstellen festhalten.
- Bei festgestelltem Status Verantwortlichkeiten für §-30-Maßnahmen, Dokumentation, Überwachung und regelmäßige Geschäftsleitungsschulungen festlegen.
- Registrierung, Aktualisierung der Angaben und einen belastbaren Meldeweg für die 24-Stunden-, 72-Stunden- und Folgemeldungen organisatorisch vorbereiten.
Praxisempfehlung: Diese Schritte strukturieren die Einordnung und Nachweisführung; sie ersetzen keine Prüfung des konkreten Einzelfalls.
Für die Geschäftsleitung
Entscheidend ist eine dokumentierte Kette vom primären Organisationsziel über die kommerzielle Ausrichtung und Bildungsabgrenzung bis zu Entgeltlichkeit, Größenwerten und Ausnahmen. Nur bei tatsächlich festgestelltem Status als wichtige Einrichtung greifen die dargestellten Risiko-, Registrierungs-, Melde- und Geschäftsleitungspflichten. Der Nachweis sollte Datenstand, Bewertungsmethode, Verantwortliche und erneute Prüfzeitpunkte erkennen lassen.
