Hinweise zu NIS 2 Versäumnissen
Die EU-Richtlinie 2019/1937 schützt Meldungen über Verstöße im Bereich der Netzwerk- und Informationssicherheit. Das Hinweisgeberschutzgesetz (HinSchG) ist die deutsche Umsetzung. Diese Seite beschreibt den Rechtsrahmen und ist keine Rechtsberatung im Einzelfall.
Worum es geht
Hinweismeldungen sind ein eigener Rechtsweg neben der NIS 2 Vorfallsmeldung. Beschäftigte, Auftragnehmer oder Bewerberinnen, die ein NIS 2 Versäumnis melden, sind durch die EU-Richtlinie 2019/1937 geschützt. Die Richtlinie nennt die Sicherheit von Netzwerk- und Informationssystemen ausdrücklich in Anhang Teil I.B als geschützten Meldebereich.
In Deutschland setzt das Hinweisgeberschutzgesetz (HinSchG, in Kraft seit dem 2. Juli 2023) die Richtlinie um. Das Bundesamt für Justiz führt die zentrale externe Meldestelle. Einrichtungen mit in der Regel mindestens 50 Beschäftigten müssen nach Paragraf 12 HinSchG eine interne Meldestelle einrichten.
Eine Meldung an eine externe Stelle ersetzt nicht die eigene Vorfallsmeldung der Einrichtung nach Artikel 23 NIS 2 (Paragraf 32 BSIG). Beide Pflichten können durch dasselbe Ereignis ausgelöst werden und laufen jeweils auf eigener Uhr.
EU-Richtlinie 2019/1937, Anhang Teil I.B
Network and information systems security, as defined in Article 4, point (1), of Directive (EU) 2016/1148 of the European Parliament and of the Council.
Der Anhang zählt die Sachbereiche auf, in denen eine Meldung geschützt ist. Die Netzwerk- und Informationssicherheit steht in Teil I.B neben Verkehrssicherheit und Umweltschutz. NIS 2 (Richtlinie 2022/2555) löst die Richtlinie 2016/1148 ab; Meldungen über NIS 2 Versäumnisse fallen damit in diesen Anwendungsbereich.
EU-Richtlinie 2019/1937, Artikel 4 (persönlicher Anwendungsbereich)
This Directive shall apply to reporting persons working in the private or public sector who acquired information on breaches in a work-related context.
Der persönliche Anwendungsbereich umfasst Beschäftigte, Selbstständige, Anteilseigner, Mitglieder von Verwaltungs-, Leitungs- oder Aufsichtsorganen, Freiwillige, bezahlte und unbezahlte Praktikanten, Auftragnehmer, Subunternehmer und Lieferanten. Auch Bewerberinnen und ehemalige Beschäftigte sind erfasst. Anonyme Meldungen sind nach Paragraf 16 Absatz 1 HinSchG zulässig; die Bearbeitung kann jedoch eingeschränkt sein.
Paragraf 12 HinSchG (interne Meldestelle)
Beschäftigungsgeber mit in der Regel mindestens 50 Beschäftigten sind verpflichtet, eine Stelle einzurichten und zu betreiben, an die sich Beschäftigte zur Abgabe von Meldungen nach diesem Gesetz wenden können.
Die Schwelle von 50 Beschäftigten ist als Regelgröße zu verstehen, nicht als taggenaue Zahl. Einrichtungen unter 50 können freiwillig eine interne Meldestelle einrichten; Einrichtungen ab 50 müssen. Das Bundesamt für Justiz betreibt die externe Stelle.
Was gemeldet werden kann
Paragraf 2 HinSchG zählt die geschützten Meldegegenstände auf. Dazu zählen Verstöße gegen EU-Recht, einschließlich der Netzwerk- und Informationssicherheit. Eine Meldung über eine NIS 2 Pflicht, etwa fehlende Maßnahmen nach Artikel 21 oder eine ausgebliebene Meldung nach Artikel 23, ist erfasst.
Intern zuerst, extern parallel
Interne Meldestelle nach Paragraf 12 HinSchG (ab 50 Beschäftigten). Externe Stellen nach Paragraf 19 HinSchG: Bundesamt für Justiz als zentrale externe Stelle, dazu sektorale Behörden. Die hinweisgebende Person kann wählen; Erwägungsgrund 33 der Richtlinie nennt eine Praeferenz für den internen Kanal, macht ihn aber nicht zur Voraussetzung.
Dokumentationspflicht
Paragraf 11 HinSchG: Meldungen werden in dauerhaft abrufbarer Form dokumentiert. Die Dokumentation wird drei Jahre nach Abschluss des Verfahrens gelöscht; eine längere Aufbewahrung ist zulässig, soweit für Rechtsverfahren erforderlich. Personenbezogene Daten folgen den Grundsätzen der DSGVO.
Vertraulichkeit der Identität
Paragraf 8 HinSchG: Die Identität der hinweisgebenden Person, der in der Meldung genannten Personen und sonstiger Dritter bleibt vertraulich. Eine Offenlegung ist nur in engen Ausnahmen zulässig, etwa auf schriftliches Verlangen einer Strafverfolgungsbehörde. Die Bearbeitenden müssen unabhängig und frei von Interessenkonflikten sein.
Repressalienverbot
Paragraf 36 HinSchG verbietet Repressalien gegen die hinweisgebende Person. Dazu zählen Kündigung, Herabstufung, Verweigerung von Weiterbildung, negative Leistungsbeurteilung und vergleichbare Maßnahmen. Paragraf 36 Absatz 2 dreht die Beweislast: Erfährt eine Person nach einer Meldung einen Nachteil, wird vermutet, dass es sich um eine Repressalie handelt, solange der Arbeitgeber das Gegenteil nicht nachweist.
BSI als sektorale Behörde
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) ist nach Paragraf 61 BSIG zuständige Aufsichtsbehörde für NIS 2. Eine Meldung, die einer Einrichtung fehlende Maßnahmen nach Artikel 21 oder eine ausgebliebene Registrierung nach Artikel 3 Absatz 4 vorwirft, landet über das Routing der externen Stellen in aller Regel beim BSI, auch wenn sie zunächst beim Bundesamt für Justiz eingeht.
Bundesbeauftragte für den Datenschutz und die Informationsfreiheit
Die BfDI ist die sektorale externe Meldestelle für Verstöße gegen das Bundesdatenschutzrecht. NIS 2 und DSGVO überschneiden sich, wenn ein Vorfall personenbezogene Daten betrifft. Eine Meldung kann beide Rechtsgrundlagen nennen; die zuständige Stelle leitet die einzelnen Teile an die jeweilige Behörde weiter.
Bundesamt für Justiz als zentrale externe Stelle
Das Bundesamt für Justiz betreibt nach Paragraf 19 HinSchG die zentrale externe Meldestelle. Es ist die Voreinstellung, wenn keine sektorale Stelle greift, und leitet Meldungen an die jeweils zuständige Aufsicht (BSI, BNetzA, BaFin, BfDI) weiter, sobald der Gegenstand dort hingehört.
Eine Hinweismeldung an das BSI ersetzt unsere eigene Vorfallsmeldung nach Artikel 23.
Das stimmt nicht. Artikel 23 NIS 2 und Paragraf 32 BSIG legen die Meldepflicht auf die Einrichtung selbst. Ein Hinweis Dritter eröffnet ein eigenes Aufsichtsverfahren. Die Fristen der Einrichtung (Frühwarnung, 24 Stunden, 72 Stunden) laufen unabhängig weiter.
Wir haben 60 Beschäftigte, aber bisher hat niemand gemeldet, also brauchen wir keine Stelle.
Paragraf 12 HinSchG knüpft die Pflicht an die Beschäftigtenzahl, nicht an eingegangene Meldungen. Paragraf 40 HinSchG sieht ein Bußgeld von bis zu 20.000 EUR vor, wenn die interne Meldestelle nicht betrieben wird. Bei 50 bis 249 Beschäftigten gilt das Bußgeld seit dem 1. Dezember 2023.
Wir können die Person, die gemeldet hat, wegen schwacher Leistung trennen.
Paragraf 36 HinSchG vermutet eine Repressalie, sobald eine Meldung vorliegt. Die Beweislast liegt beim Arbeitgeber, einen davon unabhängigen, dokumentierten Grund nachzuweisen. Personalentscheidungen über die hinweisgebende Person stehen nach der Meldung unter erhöhter Prüfung.
Nach einer Meldung über ein NIS 2 Versäumnis laufen zwei Uhren parallel. Uhr eins ist die HinSchG Reaktionsfrist: Eingangsbestätigung innerhalb von sieben Tagen nach Paragraf 17 Absatz 1 Nummer 1, Rueckmeldung an die hinweisgebende Person innerhalb von drei Monaten nach Paragraf 17 Absatz 1 Nummer 4. Uhr zwei ist die NIS 2 Meldepflicht, die der Inhalt der Meldung auslöst. Diese trifft die Einrichtung nach Artikel 23 und nicht die hinweisgebende Person.
Im Mittelstand bewaehrt sich folgender Aufbau: eine benannte fallbearbeitende Person in Compliance oder HR, eine zweite benannte Vertretung, ein schriftliches Aufnahmeformular, das den Sachverhalt aufnimmt ohne die Identität zu erzwingen, und ein schriftliches Protokoll mit Zeitstempel für jeden Schritt. Das Protokoll ist später der einzige Nachweis, wenn ein Gericht oder eine Aufsicht den Ablauf rekonstruiert.
Hinweise gehören nicht in das NIS 2 Pflichtenregister selbst. Sie sind eine parallele Steuerungspflicht aus dem HinSchG, mit eigenem Kanal, eigener Aufbewahrung und eigener Repressalienregel.
Das Pflichtenregister beantwortet die Frage, welche NIS 2 Maßnahmen die Einrichtung umgesetzt hat und wie das dokumentiert ist. Der Hinweiskanal beantwortet die Frage, wie die Einrichtung Hinweise auf Lücken in diesen Maßnahmen entgegennimmt und bearbeitet. Beides sind eigenständige Nachweise, beides kann eine Aufsicht anfordern.
- Richtlinie (EU) 2019/1937 vom 23. Oktober 2019 zum Schutz von Personen, die Verstöße gegen das Unionsrecht melden (ABl. L 305 vom 26.11.2019, S. 17). Anhang Teil I.B und Artikel 4.
- Hinweisgeberschutzgesetz (HinSchG) vom 31. Mai 2023, BGBl. 2023 I Nr. 140. Paragraf 2, 8, 11, 12, 16, 17, 19, 36, 40.
- Richtlinie (EU) 2022/2555 (NIS 2) vom 14. Dezember 2022, Artikel 21, 23, 27.
- BSI-Gesetz (BSIG), Paragraf 32, 33, 61, 65.
- Bundesamt für Justiz, externe Meldestelle nach Paragraf 19 HinSchG.