Was ist ein Netz- und Informationssystem?
Ein Netz- und Informationssystem ist für NIS 2 alternativ ein elektronisches Kommunikationsnetz, ein programmbasiert automatisch digitale Daten verarbeitendes Gerät oder eine solche verbundene oder zusammenhängende Gerätegruppe oder deren funktional zu Betrieb, Nutzung, Schutz und Pflege gehörende digitale Daten.
Der Normwortlaut
Für die Zwecke dieser Richtlinie bezeichnet der Ausdruck 1. „Netz- und Informationssystem“ a) ein elektronisches Kommunikationsnetz im Sinne des Artikels 2 Nummer 1 der Richtlinie (EU) 2018/1972, b) ein Gerät oder eine Gruppe miteinander verbundener oder zusammenhängender Geräte, die einzeln oder zu mehreren auf der Grundlage eines Programms die automatische Verarbeitung digitaler Daten durchführen, oder c) digitale Daten, die von den unter den Buchstaben a und b genannten Elementen zum Zwecke ihres Betriebs, ihrer Nutzung, ihres Schutzes und ihrer Pflege gespeichert, verarbeitet, abgerufen oder übertragen werden;
Normtext: Dies ist Artikel 6 Nummer 1 der Richtlinie (EU) 2022/2555. Die einleitende Begrenzung „Für die Zwecke dieser Richtlinie“ gehört zum Tatbestand. Die Buchstaben a, b und c sind Alternativen. Bei Buchstabe b muss die automatische Datenverarbeitung programmbasiert sein. Buchstabe c verlangt den genannten funktionalen Bezug zu den Elementen aus a oder b.
Welche Elemente gehören zum Begriff?
Auslegung: Eine der drei Alternativen genügt: ein Kommunikationsnetz; ein Gerät oder eine verbundene beziehungsweise zusammenhängende Gerätegruppe, wobei Gerät und Gruppe programmbasiert automatisch digitale Daten verarbeiten; oder funktional zugehörige digitale Daten. Der Begriff reicht damit über physische Netzwerkinfrastruktur hinaus.
Für wen ist der Begriff rechtlich relevant?
Die Definition allein macht eine Einrichtung weder wesentlich noch wichtig und begründet keine Pflicht. Der Grundtatbestand des Artikels 2 Absatz 1 setzt kumulativ eine öffentliche oder private Einrichtung einer in Anhang I oder II genannten Art, mindestens die Einstufung als mittleres Unternehmen beziehungsweise das Überschreiten der maßgeblichen Obergrenzen sowie Dienstleistungen oder Tätigkeiten in der Union voraus. Artikel 2 Absätze 2 bis 5 regeln weitere größenunabhängige und optionale Einbeziehungen. Der konkrete nationale Anwendungsbereich ist nach dem jeweils geltenden Umsetzungsrecht gesondert zu prüfen.
Wann entstehen Risikomanagementpflichten für solche Systeme?
Für die Begriffszuordnung ist weder ein Vorfall noch Internetzugang oder Unternehmensgröße erforderlich. Davon getrennt verpflichtet Artikel 21 Absatz 1 wesentliche und wichtige Einrichtungen zu geeigneten und verhältnismäßigen technischen, operativen und organisatorischen Maßnahmen, wenn sie Netz- und Informationssysteme für ihren Betrieb oder für die Erbringung ihrer Dienste nutzen. Die Maßnahmen müssen ein dem bestehenden Risiko angemessenes Sicherheitsniveau gewährleisten.
Welche Ausnahmen und Spezialregime sind zu prüfen?
Artikel 6 Nummer 1 enthält keine begriffsinterne Ausnahme. Für die Anwendung der Richtlinie sind jedoch Artikel 2 Absätze 7 bis 10 und Artikel 4 Absatz 1 relevant: besondere Ausschlüsse für bestimmte sicherheits-, verteidigungs- und strafverfolgungsbezogene Tätigkeiten oder Dienste, die Rückausnahme für Vertrauensdiensteanbieter, die Anknüpfung an Ausnahmen nach der DORA sowie die Nichtanwendung der jeweils einschlägigen NIS-2-Bestimmungen bei mindestens gleichwertigen sektorspezifischen Unionsvorgaben. Diese Regeln sind von der Definition des Systems zu trennen.
Gelten Fristen oder Schwellenwerte für den Begriff?
Nein. Artikel 6 Nummer 1 enthält weder eine Frist noch einen quantitativen Schwellenwert. Größenmerkmale und Sektorzuordnungen betreffen den Anwendungsbereich von Pflichten, nicht die begriffliche Einordnung eines Systems.
Welche Schutzziele nennt NIS 2?
Technische Einordnung: Artikel 6 Nummer 2 bezieht die Sicherheit von Netz- und Informationssystemen auf Verfügbarkeit, Authentizität, Integrität und Vertraulichkeit gespeicherter, übertragener oder verarbeiteter Daten sowie der über die Systeme angebotenen oder zugänglichen Dienste. Diese Schutzziele ergänzen die Sicherheitsdimension; sie sind keine weiteren Merkmale der Definition in Artikel 6 Nummer 1.
Behördenpraxis: Dieser Beitrag leitet aus Behördenpraxis keine zusätzlichen Begriffsmerkmale oder Pflichten ab. Maßgeblich für die dargestellten rechtlichen Aussagen ist der amtliche Richtlinientext.
Häufige Fehlannahmen
- „Gemeint sind nur Netzwerke.“ Falsch: Auch ein Gerät kann erfasst sein, wenn es programmbasiert automatisch digitale Daten verarbeitet. Gleiches gilt für eine verbundene oder zusammenhängende Gerätegruppe mit dieser Verarbeitungsfunktion und für funktional zugehörige digitale Daten.
- „Jedes digitale Datum ist ein Netz- und Informationssystem.“ Falsch: Buchstabe c verlangt den Zweckbezug zu Betrieb, Nutzung, Schutz oder Pflege eines Elements nach Buchstabe a oder b.
- „Die Einordnung des Systems macht ein Unternehmen NIS-2-pflichtig.“ Falsch: Persönlicher Anwendungsbereich, Sonderfälle und Ausnahmen sind getrennt nach Artikel 2 und gegebenenfalls Artikel 4 zu prüfen.
- „Ein Cybervorfall oder Internetzugang ist Begriffsmerkmal.“ Falsch: Für die Definition genügt eine Alternative des Artikels 6 Nummer 1.
- „Die NIS-2-Definition kann unverändert auf jedes deutsche Gesetz übertragen werden.“ Falsch: Sie gilt ausdrücklich für die Zwecke der Richtlinie; deutsches Umsetzungsrecht und Spezialrecht können abweichende Begriffe verwenden.
Was die Geschäftsleitung tun sollte
Praxisempfehlung: Die folgenden Schritte sind keine allgemeine Pflicht jeder Geschäftsleitung. Sie unterstützen die Prüfung, ob und wie die NIS-2-Vorgaben beziehungsweise das geltende Umsetzungs- oder Spezialrecht anwendbar sind.
- Kommunikationsnetze, programmbasiert automatisch datenverarbeitende Geräte und Gerätegruppen sowie funktional zugehörige digitale Daten getrennt und nachvollziehbar inventarisieren.
- Sektor, Unternehmensgröße, Tätigkeiten oder Dienste in der Union sowie größenunabhängige Einbeziehungen, Ausschlüsse und Spezialregime dokumentiert prüfen lassen.
- Festhalten, welche Systeme eine wesentliche oder wichtige Einrichtung für ihren Betrieb oder ihre Dienste nutzt, und die Risikobewertung daran ausrichten.
- Falls die Einrichtung wesentlich oder wichtig ist, sicherstellen, dass das Leitungsorgan die Maßnahmen nach Artikel 21 gemäß Artikel 20 Absatz 1 billigt und ihre Umsetzung überwacht.
- Die konkrete Rechtsgrundlage im geltenden deutschen Umsetzungsrecht und in einschlägigem Sektorrecht verifizieren, bevor Pflichten, Zuständigkeiten oder Nachweise festgelegt werden.
Für die Geschäftsleitung
Der Begriff deckt Netzwerke, programmbasiert datenverarbeitende Geräte oder Gerätegruppen und funktional zugehörige digitale Daten ab. Entscheidend ist zunächst die getrennte Prüfung, ob die Einrichtung in den persönlichen und sachlichen Anwendungsbereich fällt, ob Ausnahmen greifen oder ob bei mindestens gleichwertigen sektorspezifischen Unionsvorgaben die jeweils einschlägigen NIS-2-Bestimmungen nicht anzuwenden sind. Das Leitungsorgan wesentlicher und wichtiger Einrichtungen muss die Maßnahmen nach Artikel 21 billigen und ihre Umsetzung überwachen. Als Praxisempfehlung sollten Inventar, Anwendungsbereichsentscheidung, Billigung und Überwachung nachvollziehbar dokumentiert werden.
Quellen
- Richtlinie (EU) 2022/2555, amtlicher deutscher Text auf EUR-Lex, insbesondere Artikel 2, Artikel 4, Artikel 6 sowie Artikel 20 und 21.
