Die NIS 2 Ausnahme für Kleinstunternehmen und Kleinunternehmen

Artikel 2(1) NIS 2 Richtlinie (2022/2555)

Diese Richtlinie gilt für öffentliche oder private Einrichtungen einer der in Anhang I oder II genannten Arten, die als mittlere Unternehmen im Sinne von Artikel 2 des Anhangs der Empfehlung 2003/361/EG der Kommission gelten oder die Schwellenwerte für mittlere Unternehmen im Sinne von Absatz 1 jenes Artikels überschreiten und ihre Dienste innerhalb der Union erbringen oder ihre Tätigkeiten dort ausüben.

Das ist die Grundregel des Anwendungsbereichs. Zwei Filter in einem Satz: der Sektor muss in Anhang I oder II stehen, und die Einrichtung muss mindestens mittel sein nach Empfehlung 2003/361/EG. Unterhalb von mittel gilt die Richtlinie im Grundsatz nicht.

Artikel 2(2) und (3), Anhang Empfehlung 2003/361/EG

Die Größenklasse der Kleinstunternehmen sowie der kleinen und mittleren Unternehmen (KMU) setzt sich aus Unternehmen zusammen, die weniger als 250 Personen beschäftigen und die entweder einen Jahresumsatz von höchstens 50 Mio. EUR erzielen oder deren Jahresbilanzsumme sich auf höchstens 43 Mio. EUR beläuft. Innerhalb der KMU-Gruppe gilt als kleines Unternehmen ein Unternehmen, das weniger als 50 Personen beschäftigt und dessen Jahresumsatz bzw. Jahresbilanz 10 Mio. EUR nicht überschreitet. Innerhalb der KMU-Gruppe gilt als Kleinstunternehmen ein Unternehmen, das weniger als 10 Personen beschäftigt und dessen Jahresumsatz bzw. Jahresbilanz 2 Mio. EUR nicht überschreitet.

Die Empfehlung liefert die Zahlen. Kleinstunternehmen: weniger als 10 Beschäftigte UND Umsatz oder Bilanz bis 2 Millionen Euro. Klein: weniger als 50 Beschäftigte UND Umsatz oder Bilanz bis 10 Millionen Euro. Mittel: ab 50 Beschäftigten bis 249 ODER Umsatz und Bilanz jeweils über 10 Millionen Euro. Um in einer Größenklasse zu bleiben, muss man bei Beschäftigten UND bei Umsatz oder Bilanz darunter liegen. Schon ein Wert darüber hebt einen in die nächste Klasse.

Artikel 2(2) NIS 2 (unabhängig von der Größe)

Unabhängig von ihrer Größe gilt diese Richtlinie für Einrichtungen einer der in Anhang I oder II genannten Arten, sofern: a) Dienste von Anbietern öffentlicher elektronischer Kommunikationsnetze oder öffentlich zugänglicher elektronischer Kommunikationsdienste erbracht werden; b) Dienste von Vertrauensdiensteanbietern erbracht werden; c) es sich um Top-Level-Domain-Namen-Registries und Domain-Name-System-Diensteanbieter handelt; d) die Einrichtung in einem Mitgliedstaat der einzige Anbieter eines Dienstes ist, der für die Aufrechterhaltung kritischer gesellschaftlicher oder wirtschaftlicher Tätigkeiten von wesentlicher Bedeutung ist; e) eine Störung des von der Einrichtung erbrachten Dienstes erhebliche Auswirkungen auf die öffentliche Sicherheit, die öffentliche Sicherheit oder die öffentliche Gesundheit haben könnte; f) eine Störung des von der Einrichtung erbrachten Dienstes ein erhebliches Systemrisiko hervorrufen könnte, insbesondere für Sektoren, in denen eine solche Störung grenzüberschreitende Auswirkungen haben könnte; g) die Einrichtung aufgrund ihrer besonderen Bedeutung auf nationaler oder regionaler Ebene für den betreffenden Sektor oder die betreffende Art von Dienst oder für andere voneinander abhängige Sektoren im Mitgliedstaat kritisch ist; h) es sich um eine Einrichtung der öffentlichen Verwaltung handelt.

Acht Kategorien, die die Größe ignorieren. Wer in eine davon fällt, dem hilft die Mittelschwelle nicht. Die Buchstaben d) bis g) sind nationale Entscheidungen: die nationale Behörde entscheidet, ob ein Unternehmen einziger Anbieter, systemrelevant oder national bzw. regional kritisch ist. In Deutschland trifft diese Feststellung das BSI.

Das BSI bietet eine Online-Betroffenheitsprüfung, die durch Sektor nach Anhang I oder II, Größe nach Empfehlung 2003/361/EG und die Sonderbestimmungen aus Artikel 2(2) führt. §28 BSIG setzt Artikel 2 um und ergänzt nationale Spezifika: die Feststellung als alleiniger Anbieter oder als kritische Einrichtung liegt beim BSI. Das Ergebnis ist eine verbindliche Selbsteinstufung, die nach §33 BSIG registriert werden muss.

ENISA veröffentlicht Scoping-Material, das die Sektor- und Größenfilter in derselben Reihenfolge geht wie die Richtlinie. Die Europäische Kommission gibt zusätzlich einen User Guide to the SME Definition heraus, der die Empfehlung im Detail erläutert, inklusive durchgerechneter Beispiele für verbundene und Partnerunternehmen. Beides ist Referenzmaterial, kein Recht, aber nationale Behörden zitieren es.

Jeder Mitgliedstaat setzt Artikel 2 nahezu wortgleich um, weil Größen- und Sonderbestimmungen EU-Recht sind. Die Niederlande nutzen die Cyberbeveiligingswet und eine Online-Selbsteinstufung beim NCSC. Belgien nutzt Safeonweb beim CCB. Österreich hat das NISG mit portalgestützter Registrierung. Inhaltlich identisch. Unterschiedlich ist, bei welcher nationalen Behörde registriert wird und in welcher Sprache das Portal spricht.