Rechenzentrumsdienst: Definition nach BSIG

Was ist ein Rechenzentrumsdienst?

Ein Rechenzentrumsdienst umfasst Strukturen, die vorrangig der zentralen Unterbringung, Zusammenschaltung und dem Betrieb von IT- oder Netzwerkausrüstungen dienen und Datenverarbeitungsdienste erbringen, mitsamt allen benötigten Anlagen und Infrastrukturen, insbesondere für Stromverteilung und Umgebungskontrolle.

Der Normwortlaut

„Rechenzentrumsdienst“ ein Dienst, der Strukturen umfasst, die dem vorrangigen Zweck der zentralen Unterbringung, der Zusammenschaltung und dem Betrieb von IT- oder Netzwerkausrüstungen dienen, und die Datenverarbeitungsdienste erbringen, mitsamt allen benötigten Anlagen und Infrastrukturen, insbesondere für die Stromverteilung und die Umgebungskontrolle;

Normtext: § 2 Nummer 35 BSIG. Entscheidend sind der vorrangige Zweck der Strukturen, IT- oder Netzwerkausrüstungen, die Erbringung von Datenverarbeitungsdiensten und sämtliche benötigten Anlagen und Infrastrukturen.

Für wen ist der Begriff relevant?

Rechtliche Einordnung: Anlage 1 Nummer 6.1.5 BSIG ordnet Anbieter von Rechenzentrumsdiensten dem Sektor „Digitale Infrastruktur“ zu. Die Definition allein macht einen Anbieter jedoch noch nicht zu einer besonders wichtigen oder wichtigen Einrichtung.

Für die Einordnung nach § 28 BSIG muss eine natürliche oder juristische Person oder eine rechtlich unselbstständige Organisationseinheit einer Gebietskörperschaft anderen natürlichen oder juristischen Personen Waren oder Dienstleistungen entgeltlich anbieten. Zusätzlich müssen die einschlägigen Voraussetzungen des § 28 erfüllt sein. Einrichtungen der Bundesverwaltung sind nach § 28 Absatz 1 Satz 2 und Absatz 2 Satz 2 ausgenommen, soweit die jeweilige Ausnahme greift.

Welche Voraussetzungen lösen die Einordnung aus?

Erforderlich sind ein Dienst mit sämtlichen Merkmalen des § 2 Nummer 35 BSIG, das entgeltliche Angebot an andere natürliche oder juristische Personen und die passende Einordnung nach § 28 BSIG. Ein eigenes Gebäude, ein Serverraum oder der bloße Besitz von Servern genügt nicht. Vernachlässigbare Geschäftstätigkeiten können nach § 28 Absatz 3 unberücksichtigt bleiben; Größenbestimmung und gesetzliche Sonderfälle sind nach § 28 Absatz 4 zu prüfen.

Behördenpraxis: Dieser Entwurf behauptet keine über den Normtext hinausgehende Verwaltungspraxis. Die konkrete Einordnung ist anhand des tatsächlichen Leistungsangebots und der gesetzlichen Kriterien zu dokumentieren.

Welche Größenschwellen gelten?

Ein Anbieter von Rechenzentrumsdiensten ist nach § 28 Absatz 1 Nummer 4 besonders wichtig, wenn er mindestens 250 Beschäftigte hat oder sein Jahresumsatz 50 Millionen Euro übersteigt und zugleich seine Jahresbilanzsumme 43 Millionen Euro übersteigt.

Nach § 28 Absatz 2 Nummer 3 ist er wichtig, soweit er nicht bereits besonders wichtig ist, wenn er mindestens 50 Beschäftigte hat oder sein Jahresumsatz und seine Jahresbilanzsumme jeweils 10 Millionen Euro übersteigen. Für die Größenbestimmung gilt § 28 Absatz 4. Die Definition des Rechenzentrumsdienstes selbst enthält dagegen keine Kapazitäts-, Flächen- oder Leistungsgrenze. Sektorspezifische Fälle nach § 28 Absätzen 5 und 6 sind vor der Ableitung einzelner Pflichten gesondert zu prüfen.

Welche Registrierungsfristen sind zu beachten?

Besonders wichtige und wichtige Anbieter von Rechenzentrumsdiensten müssen sich nach § 33 Absatz 1 BSIG spätestens drei Monate, nachdem sie erstmals oder erneut als entsprechende Einrichtung gelten, über die gemeinsam von BSI und BBK eingerichtete Registrierungsmöglichkeit registrieren.

Änderungen registrierter Angaben sind nach § 33 Absatz 5 grundsätzlich unverzüglich, spätestens zwei Wochen nach Kenntniserlangung, zu übermitteln. Für Änderungen von Versorgungskennzahlen und der bei Betreibern kritischer Anlagen eingesetzten Typen kritischer Komponenten gilt die gesetzlich geregelte jährliche Übermittlung.

Wie ist der Dienst technisch abzugrenzen?

Technische Einordnung: Im Mittelpunkt stehen zentral untergebrachte und zusammengeschaltete IT- oder Netzwerkausrüstungen, deren Betrieb und Datenverarbeitungsdienste sowie die erforderliche Strom- und Umgebungsinfrastruktur. Der Begriff ist enger als ein beliebiger interner Serverraum und nicht auf Cloud-Angebote beschränkt.

Cloud-Computing-Dienst, Rechenzentrumsdienst und Content-Delivery-Netz sind nach Artikel 6 Nummern 30 bis 32 der NIS-2-Richtlinie getrennte Begriffe. Ein Anbieter kann mehrere dieser Dienste erbringen; dann ist jede tatsächlich erbrachte Leistung gesondert einzuordnen.

Gilt ein internes Rechenzentrum als Rechenzentrumsdienst?

Unionsrechtliche Auslegungshilfe: Nach Erwägungsgrund 35 der NIS-2-Richtlinie soll ein Rechenzentrum nicht als Rechenzentrumsdienst im Sinne der Richtlinie gelten, wenn es im Eigentum der betreffenden Einrichtung steht und ausschließlich für deren eigene Zwecke betrieben wird. Beide Bedingungen müssen zusammentreffen.

Für die deutsche Einordnung bleiben § 2 Nummer 35 BSIG und insbesondere das entgeltliche Angebot an andere natürliche oder juristische Personen nach § 28 BSIG maßgeblich. Der Erwägungsgrund ersetzt diese Prüfung nicht.

Häufige Fehlannahmen

„Jeder Serverraum ist ein Rechenzentrumsdienst.“ Nein. Maßgeblich sind sämtliche Merkmale des § 2 Nummer 35 BSIG; für die Einordnung nach § 28 kommt das entgeltliche Angebot an andere natürliche oder juristische Personen hinzu.
„Die Definition macht jeden Anbieter automatisch zu einer wichtigen Einrichtung.“ Nein. Dafür müssen zusätzlich die einschlägigen Voraussetzungen und Größenkriterien des § 28 erfüllt sein.
„Rechenzentrumsdienst und Cloud-Computing-Dienst sind dasselbe.“ Nein. Die NIS-2-Richtlinie definiert beide ebenso wie Content-Delivery-Netze getrennt; Überschneidungen eines Angebots sind dennoch möglich.
„Eine bestimmte Fläche oder Leistung entscheidet über den Begriff.“ Nein. § 2 Nummer 35 enthält keine Flächen-, Kapazitäts- oder Leistungsgrenze.
„Ein ausschließlich intern betriebenes eigenes Rechenzentrum ist stets erfasst.“ Nein. Erwägungsgrund 35 der NIS-2-Richtlinie grenzt den Eigenbetrieb für ausschließlich eigene Zwecke aus; in Deutschland sind außerdem § 2 Nummer 35 und § 28 BSIG zu prüfen.

Was die Geschäftsleitung tun sollte

Praxisempfehlung: Die folgenden Schritte ersetzen keine Einzelfallprüfung.

Leistungsportfolio, Adressatenkreis und Entgeltlichkeit dokumentieren und gegen § 2 Nummer 35 sowie Anlage 1 Nummer 6.1.5 BSIG prüfen lassen.
Beschäftigtenzahl, Jahresumsatz, Jahresbilanzsumme, vernachlässigbare Tätigkeiten und einschlägige Sonderfälle nach § 28 nachvollziehbar erfassen.
Bei Anwendbarkeit Verantwortlichkeiten festlegen und die Registrierung innerhalb der Dreimonatsfrist des § 33 veranlassen; Änderungen mit den jeweils geltenden Fristen nachhalten.
Cloud-, Rechenzentrums- und CDN-Leistungen getrennt klassifizieren und Überschneidungen im Angebot festhalten.
Sofern die Einrichtung besonders wichtig oder wichtig ist und kein einschlägiger Fall nach § 28 Absatz 5 oder 6 diese Pflichten ausschließt oder abweichend regelt, die nach § 30 Absatz 1 BSIG zu ergreifenden Risikomanagementmaßnahmen gemäß § 38 Absatz 1 billigen und deren Umsetzung überwachen sowie die regelmäßige Teilnahme der Geschäftsleitung an den gesetzlich vorgesehenen Schulungen organisieren.

Für die Geschäftsleitung

Entscheidend ist nicht die Bezeichnung eines Gebäudes, sondern das konkrete Dienstleistungsmodell. Die Leitung sollte belegen können, welche Leistungen wem und zu welchen Bedingungen angeboten werden, wie die Größen- und Sonderregeln des § 28 bewertet wurden und ob die Registrierungspflichten greifen. Bei einer Einordnung als besonders wichtige oder wichtige Einrichtung muss sie, sofern kein einschlägiger Fall nach § 28 Absatz 5 oder 6 die jeweilige Pflicht ausschließt oder abweichend regelt, die nach § 30 Absatz 1 BSIG zu ergreifenden Risikomanagementmaßnahmen gemäß § 38 Absatz 1 billigen, deren Umsetzung überwachen und regelmäßig an den vorgesehenen Schulungen teilnehmen.