NIS2-Richtlinie

Nein, es braucht zwei aufeinanderfolgende Geschäftsjahre. Das BSIG bestimmt Beschäftigtenzahl, Jahresumsatz und Jahresbilanzsumme in § 28 Absatz 4 nach der Empfehlung 2003/361/EG, und deren Anhang verlangt eine Über- oder Unterschreitung in zwei Geschäftsjahren hintereinander. Ein starkes Einzeljahr oder eine saisonale Spitze bei der Belegschaft verändert die Einstufung daher nicht. Neu gegründete Unternehmen nimmt das BSI davon aus; für sie gilt diese Wartezeit nicht.

Keines. Nach Auskunft des BSI gibt es kein allgemeines Zertifikat zum Nachweis der Anforderungen. Eine ISO-27001-Zertifizierung kann ein Baustein der Risikomanagementmaßnahmen nach § 30 BSIG sein, deckt sie aber nicht ab. Die Umsetzung ist nur auf Anordnung des BSI nachzuweisen, etwa durch Dokumentation, Prüfberichte oder Audits; die laufende Dokumentationspflicht gilt davon unabhängig. Allein Betreiber kritischer Anlagen legen nach § 39 BSIG unaufgefordert alle drei Jahre einen Nachweis vor.

Ab einem weltweiten Gesamtumsatz über 500 Millionen Euro. Erst dann erlauben § 65 Absatz 6 und 7 BSIG für die dort genannten Verstöße 2 Prozent bei besonders wichtigen und 1,4 Prozent bei wichtigen Einrichtungen. Darunter bleibt es bei den festen Obergrenzen von zehn beziehungsweise sieben Millionen Euro. Die häufig zitierte Prozentregel trifft einen Mittelständler also nicht. Für diese Fälle schließt § 65 Absatz 9 BSIG zugleich die Halbierung bei Fahrlässigkeit aus.

Nicht das BSI, sondern die fachlich zuständige Aufsichtsbehörde. § 61 Absatz 9 BSIG sieht dafür eine Kette vor: Befolgt eine besonders wichtige Einrichtung Anordnungen trotz Fristsetzung nicht, teilt das BSI dies der Aufsichtsbehörde mit, die daraufhin als letztes Mittel unzuverlässigen Geschäftsleitungen die Tätigkeit untersagen kann. Das Verbot endet, sobald die Einrichtung den Anordnungen nachkommt. Für wichtige Einrichtungen nennt die Vorschrift dieses Mittel nicht.

Ja, das ist unabhängig von der Kundschaft möglich. Die Anlage 1 des BSIG führt Anbieter verwalteter Dienste und verwalteter Sicherheitsdienste als eigene Einrichtungsarten im Sektor Digitale Infrastruktur. § 2 Nummer 26 BSIG fasst darunter jeden Anbieter, der Produkte, Netze, Infrastruktur oder Anwendungen installiert, verwaltet, betreibt oder wartet – beim Kunden oder aus der Ferne. Ob daraus Pflichten werden, entscheiden anschließend die Größenmerkmale des § 28.