Die NIS 2 Ausnahme fuer Kleinstunternehmen und Kleinunternehmen

Artikel 2(1) NIS 2 Richtlinie (2022/2555)

Diese Richtlinie gilt fuer oeffentliche oder private Einrichtungen einer der in Anhang I oder II genannten Arten, die als mittlere Unternehmen im Sinne von Artikel 2 des Anhangs der Empfehlung 2003/361/EG der Kommission gelten oder die Schwellenwerte fuer mittlere Unternehmen im Sinne von Absatz 1 jenes Artikels ueberschreiten und ihre Dienste innerhalb der Union erbringen oder ihre Taetigkeiten dort ausueben.

Das ist die Grundregel des Anwendungsbereichs. Zwei Filter in einem Satz: der Sektor muss in Anhang I oder II stehen, und die Einrichtung muss mindestens mittel sein nach Empfehlung 2003/361/EG. Unterhalb von mittel gilt die Richtlinie im Grundsatz nicht.

Artikel 2(2) und (3), Anhang Empfehlung 2003/361/EG

Die Groessenklasse der Kleinstunternehmen sowie der kleinen und mittleren Unternehmen (KMU) setzt sich aus Unternehmen zusammen, die weniger als 250 Personen beschaeftigen und die entweder einen Jahresumsatz von hoechstens 50 Mio. EUR erzielen oder deren Jahresbilanzsumme sich auf hoechstens 43 Mio. EUR belaeuft. Innerhalb der KMU-Gruppe gilt als kleines Unternehmen ein Unternehmen, das weniger als 50 Personen beschaeftigt und dessen Jahresumsatz bzw. Jahresbilanz 10 Mio. EUR nicht ueberschreitet. Innerhalb der KMU-Gruppe gilt als Kleinstunternehmen ein Unternehmen, das weniger als 10 Personen beschaeftigt und dessen Jahresumsatz bzw. Jahresbilanz 2 Mio. EUR nicht ueberschreitet.

Die Empfehlung liefert die Zahlen. Kleinstunternehmen: weniger als 10 Beschaeftigte UND Umsatz oder Bilanz bis 2 Millionen Euro. Klein: weniger als 50 Beschaeftigte UND Umsatz oder Bilanz bis 10 Millionen Euro. Mittel: ab 50 Beschaeftigten bis 249 ODER Umsatz ueber 10 Millionen Euro. Um in einer Groessenklasse zu bleiben, muss man bei Beschaeftigten UND bei Umsatz oder Bilanz darunter liegen. Schon ein Wert darueber hebt einen in die naechste Klasse.

Artikel 2(2) NIS 2 (unabhaengig von der Groesse)

Unabhaengig von ihrer Groesse gilt diese Richtlinie fuer Einrichtungen einer der in Anhang I oder II genannten Arten, sofern: a) Dienste von Anbietern oeffentlicher elektronischer Kommunikationsnetze oder oeffentlich zugaenglicher elektronischer Kommunikationsdienste erbracht werden; b) Dienste von Vertrauensdiensteanbietern erbracht werden; c) es sich um Top-Level-Domain-Namen-Registries und Domain-Name-System-Diensteanbieter handelt; d) die Einrichtung in einem Mitgliedstaat der einzige Anbieter eines Dienstes ist, der fuer die Aufrechterhaltung kritischer gesellschaftlicher oder wirtschaftlicher Taetigkeiten von wesentlicher Bedeutung ist; e) eine Stoerung des von der Einrichtung erbrachten Dienstes erhebliche Auswirkungen auf die oeffentliche Sicherheit, die oeffentliche Sicherheit oder die oeffentliche Gesundheit haben koennte; f) eine Stoerung des von der Einrichtung erbrachten Dienstes ein erhebliches Systemrisiko hervorrufen koennte, insbesondere fuer Sektoren, in denen eine solche Stoerung grenzueberschreitende Auswirkungen haben koennte; g) die Einrichtung aufgrund ihrer besonderen Bedeutung auf nationaler oder regionaler Ebene fuer den betreffenden Sektor oder die betreffende Art von Dienst oder fuer andere voneinander abhaengige Sektoren im Mitgliedstaat kritisch ist; h) es sich um eine Einrichtung der oeffentlichen Verwaltung handelt.

Acht Kategorien, die die Groesse ignorieren. Wer in eine davon faellt, dem hilft die Mittelschwelle nicht. Die Buchstaben d) bis g) sind nationale Entscheidungen: die nationale Behoerde entscheidet, ob ein Unternehmen einziger Anbieter, systemrelevant oder national bzw. regional kritisch ist. In Deutschland trifft diese Feststellung das BSI.

Das BSI bietet eine Online-Betroffenheitspruefung, die durch Sektor nach Anhang I oder II, Groesse nach Empfehlung 2003/361/EG und die Sonderbestimmungen aus Artikel 2(2) fuehrt. §28 BSIG setzt Artikel 2 um und ergaenzt nationale Spezifika: die Feststellung als alleiniger Anbieter oder als kritische Einrichtung liegt beim BSI. Das Ergebnis ist eine verbindliche Selbsteinstufung, die nach §33 BSIG registriert werden muss.

ENISA veroeffentlicht Scoping-Material, das die Sektor- und Groessenfilter in derselben Reihenfolge geht wie die Richtlinie. Die Europaeische Kommission gibt zusaetzlich einen User Guide to the SME Definition heraus, der die Empfehlung im Detail erlaeutert, inklusive durchgerechneter Beispiele fuer verbundene und Partnerunternehmen. Beides ist Referenzmaterial, kein Recht, aber nationale Behoerden zitieren es.

Jeder Mitgliedstaat setzt Artikel 2 nahezu wortgleich um, weil Groessen- und Sonderbestimmungen EU-Recht sind. Die Niederlande nutzen die Cyberbeveiligingswet und eine Online-Selbsteinstufung beim NCSC. Belgien nutzt Safeonweb beim CCB. Oesterreich hat das NISG mit portalgestuetzter Registrierung. Inhaltlich identisch. Unterschiedlich ist, bei welcher nationalen Behoerde registriert wird und in welcher Sprache das Portal spricht.