KMU: Größenschwellen und Betroffenheit unter NIS-2

Kurzdefinition: Die Größenklasse eines Unternehmens entscheidet über die NIS-2-Betroffenheit: Das BSIG knüpft die Einordnung als besonders wichtige oder wichtige Einrichtung neben dem Sektor an Mitarbeiterzahl, Jahresumsatz und Jahresbilanzsumme. Der KMU-Begriff ist damit für die Anwendbarkeit zentral. [N-BSIG-28]

Der Normwortlaut

§ 28 Abs. 1 BSIG erfasst — bei den Anlage-1-Sektoren — Einrichtungen, die „mindestens 250 Mitarbeiter beschäftigen oder … einen Jahresumsatz von über 50 Millionen Euro und zudem eine Jahresbilanzsumme von über 43 Millionen Euro“ aufweisen. Nach § 28 Abs. 2 BSIG gelten als wichtige Einrichtungen unter anderem solche, die „mindestens 50 Mitarbeiter beschäftigen oder … einen Jahresumsatz und eine Jahresbilanzsumme von jeweils über 10 Millionen Euro“ aufweisen. [N-BSIG-28]

Was ist ein KMU?

Ein kleines oder mittleres Unternehmen. Die Einordnung folgt Schwellen bei Mitarbeiterzahl, Umsatz und Bilanzsumme — im BSIG konkret ausgestaltet. [N-BSIG-28]

Wie bestimmen Schwellen die Betroffenheit?

Sie entscheiden über die Kategorie. Große Einrichtungen (ab 250 Mitarbeiter bzw. über 50 Mio. Umsatz und über 43 Mio. Bilanzsumme) in Anlage-1-Sektoren sind besonders wichtig; ab 50 Mitarbeiter bzw. über 10 Mio. wichtige Einrichtungen. [N-BSIG-28]

Sind Kleinstunternehmen erfasst?

Meist nicht. Unterhalb der Schwellen greift das BSIG-Pflichtenregime in der Regel nicht — es gibt aber sektor- und tätigkeitsbezogene Ausnahmen. [N-BSIG-28]

Zählt der Konzern mit?

Häufig ja. Bei der Größenbestimmung können verbundene Unternehmen zu berücksichtigen sein; die isolierte Betrachtung einer kleinen Tochter kann in die Irre führen. [N-BSIG-28]

Warum ist die Einordnung heikel?

Weil eine falsche Größenannahme Pflichten übersieht. Eine zu niedrige Einordnung ist eine klassische Quelle von Compliance-Schulden. [N-BSIG-28]

Häufige Fehlannahmen

„Kleine Unternehmen sind nie betroffen.“ Nicht pauschal. Es gibt sektor- und tätigkeitsbezogene Ausnahmen. [N-BSIG-28]
„Nur die Mitarbeiterzahl zählt.“ Nein. Auch Umsatz und Bilanzsumme sind maßgeblich. [N-BSIG-28]
„Die Tochter wird isoliert betrachtet.“ Oft nicht. Verbundene Unternehmen können mitzählen. [N-BSIG-28]
„Über der Schwelle ist man automatisch besonders wichtig.“ Nein. Es kommt auf Sektor und Kategorie an. [N-BSIG-28]
„Die Größe muss man nicht dokumentieren.“ Doch. Sonst drohen unbemerkte Pflichten. [N-BSIG-28]

Was die Geschäftsleitung tun sollte

Größe ermitteln. Mitarbeiter, Umsatz und Bilanzsumme bestimmen.
Verbund prüfen. Verbundene Unternehmen berücksichtigen.
Kategorie ableiten. Besonders wichtig oder wichtig einordnen.
Dokumentieren. Die Größenberechnung festhalten.

Für die Geschäftsleitung

Die Größenklasse entscheidet mit über die NIS-2-Betroffenheit. Wer Mitarbeiterzahl, Umsatz und Bilanzsumme — auch im Verbund — sauber ermittelt und dokumentiert, vermeidet die teure Falle einer zu niedrigen Einordnung.