NIS2 für Rechenzentren: wann ein Rechenzentrum unter das BSIG fällt
Wer Rechenzentrumsdienste für andere anbietet, etwa Colocation, ist ab 50 Beschäftigten oder mit jeweils über 10 Millionen Euro Umsatz und Bilanzsumme eine wichtige Einrichtung, ab 250 Beschäftigten eine besonders wichtige (§ 28 BSIG). Ein Serverraum nur für das eigene Unternehmen ist kein angebotener Dienst. Ob ein Rechenzentrum zusätzlich eine kritische Anlage ist, entscheidet ein eigener Schwellenwert.
Was ein Rechenzentrumsdienst ist
Gemeint ist der ganze Betrieb: Räume, Racks und Netz, dazu Stromverteilung und Klimatisierung. Die Gebäudetechnik gehört zum Dienst.
Ob Sie Fläche, Strom und Kühlung für fremde Server vermieten (Colocation) oder die Server selbst betreiben, ändert an der Einordnung als Rechenzentrumsdienst nichts.
§ 2 Nr. 35 BSIG · Art. 6 Nr. 31 NIS 2
„Rechenzentrumsdienst“ ein Dienst, der Strukturen umfasst, die dem vorrangigen Zweck der zentralen Unterbringung, der Zusammenschaltung und dem Betrieb von IT- oder Netzwerkausrüstungen dienen, und die Datenverarbeitungsdienste erbringen, mitsamt allen benötigten Anlagen und Infrastrukturen, insbesondere für die Stromverteilung und die Umgebungskontrolle;
Ab welcher Größe ein Anbieter betroffen ist
Wichtige Einrichtung: mindestens 50 Beschäftigte oder ein Jahresumsatz und eine Bilanzsumme von jeweils über 10 Millionen Euro.
Besonders wichtige Einrichtung: mindestens 250 Beschäftigte oder über 50 Millionen Euro Umsatz und über 43 Millionen Euro Bilanzsumme. Das ist möglich, weil Rechenzentren in Anlage 1 stehen.
Anders als etwa DNS-Dienste oder qualifizierte Vertrauensdienste sind Rechenzentren nicht unabhängig von ihrer Größe erfasst.
Gezählt wird nach der Empfehlung 2003/361/EG. Partnerunternehmen und verbundene Unternehmen können mitzählen.
§ 28 Abs. 1, 2 und 4 BSIG
Der eigene Serverraum
Betreibt Ihr Unternehmen Server nur für sich selbst, bieten Sie keinen Rechenzentrumsdienst an. Über diese Zeile der Anlage 1 sind Sie dann nicht betroffen.
Ihr Unternehmen kann trotzdem aus einem anderen Grund betroffen sein, etwa als Hersteller, Händler von Lebensmitteln oder Entsorger. Dann gehört der Serverraum zu den Systemen, die Sie schützen.
Betreibt eine Gesellschaft ein Rechenzentrum gegen Entgelt für andere Gesellschaften derselben Gruppe, lassen Sie das im Einzelfall prüfen.
Wann ein Rechenzentrum eine kritische Anlage ist
Unabhängig von der Größe des Unternehmens kann ein Rechenzentrum eine kritische Anlage sein. Sein Betreiber ist dann eine besonders wichtige Einrichtung.
Ob eine Anlage kritisch ist, richtet sich nach Schwellenwerten in einer Rechtsverordnung. In der BSI-Kritisverordnung liegt der Wert für ein Rechenzentrum (Housing) bei 3,5 Megawatt vertraglich vereinbarter Leistung.
Betreiber kritischer Anlagen haben zwei Pflichten mehr: Sie setzen Systeme zur Angriffserkennung ein, und sie weisen ihre Maßnahmen dem BSI alle drei Jahre nach.
§ 2 Nr. 22, § 28 Abs. 1 Nr. 1, §§ 31 und 39 BSIG
Genauere Vorgaben für digitale Anbieter
Für Anbieter von Rechenzentrumsdiensten gilt zusätzlich die Durchführungsverordnung (EU) 2024/2690. Sie beschreibt die technischen Anforderungen an die zehn Bereiche genauer und geht dem BSIG insoweit vor.
Sie legt auch fest, wann ein Vorfall bei diesen Anbietern erheblich ist und gemeldet werden muss.
§ 30 Abs. 3 BSIG · Durchführungsverordnung (EU) 2024/2690
Ein Beispiel
Eine erfundene Firma: ein regionaler Anbieter von Colocation mit 60 Beschäftigten, zwei Standorten und Kunden aus dem Mittelstand. Vertraglich vereinbart sind 2 Megawatt Leistung.
Colocation ist ein Rechenzentrumsdienst. Mit 60 Beschäftigten ist die Firma eine wichtige Einrichtung.
Mit 2 Megawatt liegt sie unter dem Wert der BSI-Kritisverordnung. Das Rechenzentrum ist danach keine kritische Anlage.
Sie registriert sich beim BSI und setzt die Maßnahmen nach § 30 BSIG um, in der Tiefe, die die Durchführungsverordnung (EU) 2024/2690 verlangt.
Die Liste ihrer Assets beginnt bei der Gebäudetechnik: Netzanschluss, USV, Notstrom, Kühlung, Brandschutz und Zutritt. Darauf folgen Netz, Racks und Überwachung.
So geht das im Durchgang
Im Durchgang auf nisd2.eu beginnt die Arbeit bei der Liste dessen, womit Ihr Unternehmen arbeitet.
Ein Schritt fragt Abläufe, Programme, Geräte, Räume und Netze ab und wer sie liefert. Daraus entsteht die Liste Ihrer Assets.
Im Unternehmensprofil geben Sie an, ob Sie eine kritische Anlage betreiben. Nur dann erscheint der Schritt zur Angriffserkennung und zum Nachweis an das BSI.
Neben jedem Schritt steht die Vorschrift, in einfachen Worten erklärt.
Am Ende gibt die Geschäftsleitung die Dokumente in der App frei, angemeldet mit dem eigenen Zugang.
Häufige Fragen
Ist Colocation ein Rechenzentrumsdienst nach NIS2?
Ja. Colocation stellt Räume, Strom und Klimatisierung für fremde IT bereit. Das fällt unter die Definition in § 2 Nr. 35 BSIG.
Gilt NIS2 für unseren eigenen Serverraum?
Nicht als Rechenzentrumsdienst, solange Sie ihn nur für Ihr eigenes Unternehmen betreiben. Ist Ihr Unternehmen aus einem anderen Grund betroffen, schützen Sie den Serverraum im Rahmen Ihrer Maßnahmen.
Ab welcher Größe ist ein Rechenzentrum betroffen?
Ab 50 Beschäftigten oder mit einem Jahresumsatz und einer Bilanzsumme von jeweils über 10 Millionen Euro (§ 28 Abs. 2 BSIG). Ist das Rechenzentrum eine kritische Anlage, unabhängig von der Größe.
Ist jedes Rechenzentrum KRITIS?
Nein. Kritische Anlage ist ein Rechenzentrum erst ab einem Schwellenwert. In der BSI-Kritisverordnung sind das 3,5 Megawatt vertraglich vereinbarter Leistung für Housing.
Quellen
- BSI-Gesetz (BSIG) § 2 Nr. 22 und 35, §§ 28, 30, 31, 39, Anlage 1, gesetze-im-internet.de/bsig_2025
- Richtlinie (EU) 2022/2555 (NIS 2), Art. 6 Nr. 31 und Anhang I, EUR-Lex
- Durchführungsverordnung (EU) 2024/2690, EUR-Lex
- BSI-Kritisverordnung, Anhang 4, gesetze-im-internet.de/bsi-kritisv
- Empfehlung 2003/361/EG der Kommission, EUR-Lex
In der Praxis
Wo das im Durchgang vorkommt
Im Durchgang werden daraus Schritte, die Sie ausfüllen, mit dem Gesetz jeweils daneben erklärt. Öffnen Sie einen Schritt, um ihn ausgefüllt am Beispiel einer erfundenen Firma zu sehen.
Risikomanagement
Aufschreiben, was Ihr Unternehmen hat
Eine Liste der Abläufe, Programme und Geräte, mit denen Sie arbeiten.
Registrierung & Meldung
Beim BSI registrieren
Ihr Unternehmen meldet sich einmal beim BSI an.
Was der Durchgang kostet
4.800 € netto im Jahr, zzgl. USt.
30 Tage Geld zurückAuf Rechnung, 30 Tage Zahlungsziel. Kündigung in den ersten 30 Tagen, vor dem ersten Export oder der ersten Freigabe: Rechnung storniert oder Geld zurück.
Geführte NIS 2 Umsetzung, Schritt für Schritt
Verlauf der Änderungen und Freigaben, vorzeigbar beim BSI
Fristen und Erinnerungen je Anforderung
Sicherheitsfragebogen an Ihre Lieferanten
Export als PDF oder CSV, jederzeit
Sie sollen sich um NIS2 kümmern?
Am Ende haben Sie alles in einem Dokument: was getan ist, was noch offen ist, und die Freigabe Ihrer Geschäftsführung mit Namen und Datum. Die Texte schreibt die App.
