Welche Branchen-Ausnahmen gibt es bei NIS2?

Begriff: Wer ist „ausgenommen" und wer nur „nicht erfasst"

NIS2 unterscheidet zwei Fälle, die in der Praxis oft verwechselt werden. „Nicht erfasst" heißt: Sektor- und Größenkriterien sind nicht erfüllt, das Unternehmen liegt schlicht außerhalb des Anwendungsbereichs. „Ausgenommen" heißt: das Unternehmen würde unter den Geltungsbereich fallen, aber ein expliziter Ausnahmetatbestand greift (Art. 2 Abs. 7 ff. NIS2).

Diese Unterscheidung ist relevant, weil bei „nicht erfasst" eine spätere Heraufstufung über die Größen-Schwelle (z.B. nach Wachstum) automatisch zur NIS2-Pflicht führt. Eine explizite Ausnahme hängt dagegen nicht an der Größe, sondern an der Tätigkeit (Art. 2 Abs. 7 NIS2) oder an einem Ausnahmebescheid, der zu widerrufen ist, wenn nachträglich Tatsachen eintreten, die zur Ablehnung hätten führen müssen (§ 37 Abs. 5 BSIG).

Die KMU-Größenausnahme: und wann sie nicht gilt

Die Standardregel: NIS2 erfasst nur „mittlere Unternehmen" oder größer im Sinne der EU-Empfehlung 2003/361/EG. Das bedeutet: ab 50 Mitarbeitenden oder mit Jahresumsatz und Jahresbilanzsumme von jeweils über 10 Mio. €. Bei Werten darunter gilt das Unternehmen als Kleinst- oder Kleinunternehmen und ist grundsätzlich nicht erfasst.

In Deutschland regelt § 28 Abs. 4 BSIG die Größenbestimmung: Anzuwenden ist die Empfehlung 2003/361/EG (ohne Art. 3 Abs. 4 des Anhangs). Daten von Partner- oder verbundenen Unternehmen werden grundsätzlich hinzugerechnet, aber nicht, wenn das Unternehmen mit Blick auf Beschaffenheit und Betrieb seiner IT-Systeme, -Komponenten und -Prozesse rechtlich, wirtschaftlich und tatsächlich unabhängig von seinen Partner- oder verbundenen Unternehmen ist. Ob eine Konzerntochter die Konzerngröße „erbt", hängt deshalb davon ab, ob sie ihre IT eigenständig betreibt.

Diese Einrichtungen sind nach § 28 BSIG unabhängig von der Größe erfasst:

• Betreiber kritischer Anlagen (besonders wichtige Einrichtung, § 28 Abs. 1 Nr. 1 BSIG)
• Qualifizierte Vertrauensdiensteanbieter (eIDAS), TLD-Name-Registries (z.B. DENIC für .de) und DNS-Diensteanbieter (besonders wichtige Einrichtung, § 28 Abs. 1 Nr. 2 BSIG)
• Nicht qualifizierte Vertrauensdiensteanbieter (wichtige Einrichtung, § 28 Abs. 2 Nr. 1 BSIG)
• Anbieter öffentlich zugänglicher Telekommunikationsdienste und Betreiber öffentlicher Telekommunikationsnetze: ab 50 Mitarbeitenden oder über 10 Mio. € Umsatz und Bilanzsumme besonders wichtig, darunter wichtig (§ 28 Abs. 1 Nr. 3, Abs. 2 Nr. 2 BSIG)

Die weiteren größenunabhängigen Fallgruppen der Richtlinie („einziger Anbieter" eines Dienstes, erhebliche Auswirkungen auf öffentliche Sicherheit oder Gesundheit, systemisches Risiko, besondere Bedeutung) greifen nach Art. 2 Abs. 2 lit. b–e NIS2 nur, wenn der Mitgliedstaat die Einrichtung identifiziert (Art. 3 Abs. 1 lit. e und Abs. 2 NIS2); § 28 BSIG enthält dafür keine eigene Fallgruppe. Einrichtungen der öffentlichen Verwaltung der Zentralregierung erfasst die Richtlinie dagegen ohne Einzelentscheidung (Art. 2 Abs. 2 lit. f Ziff. i NIS2); in Deutschland regelt das § 29 BSIG für die Bundesverwaltung.

Hoheitliche Tätigkeiten: Komplette Ausnahmen

Art. 2 Abs. 7 NIS2 nimmt Einrichtungen der öffentlichen Verwaltung aus, die in folgenden Bereichen tätig sind:

1. Nationale Sicherheit, öffentliche Sicherheit, Verteidigung
2. Strafverfolgung, einschließlich Verhütung, Ermittlung, Aufdeckung und Verfolgung von Straftaten

Justiz, Parlamente und Zentralbanken sind nach der Begriffsbestimmung in Art. 6 Nr. 35 NIS2 gar keine „Einrichtungen der öffentlichen Verwaltung" im Sinne der Richtlinie. In Deutschland erfasst das BSIG die Bundesverwaltung ausdrücklich (§ 29 BSIG: Bundesbehörden, IT-Dienstleister der Bundesverwaltung und weitere Stellen auf Bundesebene, ohne Institutionen der Sozialen Sicherung und die Deutsche Bundesbank). Für sie gelten die Regeln für besonders wichtige Einrichtungen mit Einschränkungen (§ 29 Abs. 2 BSIG); die Geschäftsbereiche von Auswärtigem Amt und Verteidigungsministerium, BND und Bundesamt für Verfassungsschutz sind zusätzlich von einzelnen Pflichten ausgenommen (§ 29 Abs. 3 BSIG). Landes- und Kommunalverwaltungen als solche regelt das BSIG nicht. Rechtlich unselbstständige Organisationseinheiten einer Gebietskörperschaft, die entgeltlich Waren oder Dienstleistungen einer Einrichtungsart der Anlagen 1 oder 2 anbieten, etwa kommunale Eigenbetriebe, können dagegen bei Erreichen der Schwellen erfasst sein (§ 28 Abs. 1 Nr. 4, Abs. 2 Nr. 3 BSIG), vorbehaltlich § 28 Abs. 8 BSIG.

Lex specialis: Andere EU-Rechtsakte mit gleichwertigen Anforderungen

Wenn ein Unternehmen bereits unter einen sektorspezifischen EU-Rechtsakt fällt, der mindestens gleichwertige Cybersicherheits-Anforderungen stellt, greift der Lex-specialis-Grundsatz (Art. 4 NIS2). Dann gelten die spezielleren Regeln, nicht NIS2.

Praktisch relevante Fälle:

• DORA (Digital Operational Resilience Act) für Banken, Versicherungen, Wertpapierfirmen, Marktinfrastrukturen, gilt ab 17. Januar 2025. In Deutschland gelten für diese Finanzunternehmen die §§ 30, 31, 32, 35, 36, 38 und 39 BSIG nicht (§ 28 Abs. 6 Nr. 1 BSIG).
• AI Act kommt hinzu, regelt aber Anforderungen an KI-Systeme, nicht die Einrichtung selbst.

Die EU-Kommission hat Leitlinien zur Anwendung von Art. 4 Abs. 1 und 2 NIS2 veröffentlicht (C(2023) 6068 final vom 13.9.2023), die die Abgrenzung zu sektorspezifischen Rechtsakten erläutern. Ihre Anlage führt als sektorspezifischen Rechtsakt ausschließlich DORA; bei anderen Rechtsakten ist die Gleichwertigkeit nach Art. 4 Abs. 2 NIS2 im Einzelfall zu prüfen. In Deutschland bündelt die BSI-Seite zu NIS-2-regulierten Unternehmen die Informationen zur Einordnung; rechtlich maßgeblich bleiben BSIG und Fachrecht.

Praktische Selbstprüfung in fünf Schritten

Konkretes Vorgehen:

1. Sektor-Klassifikation anhand der Einrichtungsarten in Anlage 1 und 2 BSIG prüfen
2. Größenklasse nach EU-Empfehlung 2003/361 berechnen (verbundene Unternehmen einrechnen, Ausnahme nach § 28 Abs. 4 Satz 2 BSIG prüfen)
3. Sonder-Tätigkeiten abprüfen: kritische Anlagen, Vertrauensdienste, DNS, TLD, Telekommunikation
4. Hoheitliche Tätigkeiten mit der Rechtsabteilung abklären, falls überhaupt einschlägig
5. Lex-specialis-Check: gibt es einen sektorspezifischen EU-Rechtsakt, der NIS2 verdrängt?

Das Ergebnis dieser Selbstprüfung gehört dokumentiert. Bei einer späteren BSI-Anfrage oder einer Audit-Situation ist die Begründung der Nicht-Betroffenheit ebenso relevant wie die Begründung der Betroffenheit.

FAQ

Sind kleine IT-Dienstleister grundsätzlich raus?

Nein. Auch wenn ein IT-Dienstleister unter 50 Mitarbeitende hat und unter 10 Mio. € Umsatz erwirtschaftet, kann er erfasst sein, etwa wenn er Vertrauensdienste, DNS-Dienste oder öffentlich zugängliche Telekommunikationsdienste anbietet oder eine kritische Anlage betreibt (§ 28 Abs. 1 und 2 BSIG). Die Größenausnahme ist kein Freibrief, sondern eine Standardregel mit deutlichen Ausnahmen.

Was ist mit Tochterunternehmen großer Konzerne?

Grundsätzlich werden verbundene Unternehmen nach der Empfehlung 2003/361/EG mitgezählt. § 28 Abs. 4 Satz 2 BSIG macht davon eine Ausnahme: Die Daten des Konzerns werden nicht hinzugerechnet, wenn die Tochter mit Blick auf Beschaffenheit und Betrieb ihrer IT-Systeme, -Komponenten und -Prozesse unabhängig ist. Eine 30-Personen-Tochter eines 5.000-Personen-Konzerns ist also nur dann kein KMU, wenn sie ihre IT nicht eigenständig betreibt, etwa weil sie auf der zentralen Konzern-IT läuft. Die Begründung gehört dokumentiert.

Können wir uns auf die Ausnahme für nationale Sicherheit berufen?

Nur in eng begrenzten Fällen. Die Ausnahme greift, wenn die Tätigkeit unmittelbar der nationalen Sicherheit, Verteidigung oder Strafverfolgung dient. Die Ausnahme in Art. 2 Abs. 7 NIS2 betrifft nur Einrichtungen der öffentlichen Verwaltung. Private Zulieferer (z.B. Software-Hersteller für Polizei-Anwendungen) sind nicht automatisch ausgenommen. Sie können aber beim Bundesministerium des Innern einen Ausnahmebescheid erhalten, wenn sie gleichwertige Vorgaben einhalten (§ 37 BSIG); bei ausschließlicher Tätigkeit für Behörden dieser Bereiche auch für die Registrierungspflicht.

Was passiert, wenn ich falsch einschätze, dass wir ausgenommen sind?

Das BSIG sieht keine behördliche Vorab-Einstufung vor: Die Pflichten entstehen kraft Gesetzes, sobald die Voraussetzungen vorliegen, und eine fehlerhafte Einschätzung schützt nicht vor Sanktionen. Eine unterlassene Registrierung ist bußgeldbewehrt (§ 65 Abs. 2 Nr. 6 BSIG), ebenso nicht ergriffene Risikomanagementmaßnahmen (§ 65 Abs. 2 Nr. 2 BSIG); Geschäftsleitungen, die ihre Umsetzungs- und Überwachungspflicht verletzen, haften der Einrichtung (§ 38 Abs. 2 BSIG). Dokumentation der Selbstprüfung ist daher zentral: sie zeigt im Streitfall, dass mit der nötigen Sorgfalt geprüft wurde.

Gilt die DORA-Ausnahme auch für Versicherungsmakler?

DORA erfasst Versicherungsunternehmen und Versicherungsvermittler (Art. 2 Abs. 1 lit. n und o DORA). Versicherungs- und Rückversicherungsvermittler sowie Versicherungsvermittler in Nebentätigkeit, die Kleinst-, kleine oder mittlere Unternehmen sind, nimmt Art. 2 Abs. 3 lit. e DORA jedoch aus. Daraus folgt keine NIS2-Pflicht: Versicherungsvermittlung ist keine Einrichtungsart der Anhänge I und II NIS2 bzw. der Anlagen 1 und 2 BSIG. Relevant wird NIS2 für einen Makler nur, wenn er daneben eine dort genannte Tätigkeit ausübt.