Betroffenheit und strategische Ausrichtung im Hinblick auf konzerninterne IT-Dienstleistungen unter der NIS-2 Richtlinie/BSIG

1. Wird ein IT-Dienst im Sinne von Sektor 8/9 Anhang 1 NIS-2 bzw. Sektor 6 Anlage 1 BSIG erbracht?

Erbringt die Gesellschaft Leistungen wie den Betrieb von IT-Systemen (Managed Service Provider), Netzwerk- oder Infrastrukturleistungen (Anbieter von Rechenzentrumsdiensten) oder bietet sie Cloud-Computing-Dienste an (Anbieter von Cloud-Computing Diensten) (vgl. Sektor 8/9 Anhang 1 NIS-2 bzw. Sektor 6 Anlage 1 BSIG)?

Wenn ja:

2. Werden die Schwellenwerte erreicht?
Erreicht die Gesellschaft unter Berücksichtigung aktueller Datensätze die erforderlichen Schwellenwerte eines mittleren Unternehmens nach der Empfehlung 2003/361/EG (≥ 50 Mitarbeiter oder über 10 Mio. € Jahresumsatz und Jahresbilanz)?

Wenn ja:

3. Werden die IT-Dienstleistungen für externe Unternehmen oder andere Unternehmen im Konzern erbracht?
Erbringt das Unternehmen nur unternehmensinterne IT-Dienstleistungen für eigene Zwecke (reines Inhouse-Modell), ist es in der Regel nicht von NIS-2 betroffen. Erbringt das Unternehmen IT-Dienstleistungen hingegen für andere Konzerngesellschaften oder für externe Unternehmen, liegt ein „Anbieten“ vor und es sind die gesetzlichen Anforderungen von NIS-2 zu beachten.

Wenn ja:

4. Ausnahme: vernachlässigbare Geschäftstätigkeit im Sinne von § 28 Abs. 3 BSIG?
Werden IT-Dienstleistungen im Verhältnis zur gesamten Geschäftstätigkeit nur untergeordnet, als reine Nebenleistung und ohne prägende Bedeutung für das Gesamtgeschäft erbracht, kann die Ausnahme für „vernachlässigbare Geschäftstätigkeiten“ nach § 28 Abs. 3 BSIG greifen. Ob die Voraussetzungen der Ausnahme erfüllt sind, bedarf einer differenzierten Einzelfallprüfung unter Berücksichtigung insbesondere der Umsatzverhältnisse sowie der satzungsmäßigen Ausgestaltung der Tätigkeiten.Insoweit ist darauf hinzuweisen, dass § 28 Abs. 3 BSIG keine ausdrückliche Grundlage in der NIS-2 findet und daher mit dem Grundsatz der Mindestharmonisierung kollidieren könnte, sodass die Vorschrift gegebenenfalls europarechtlich keinen Bestand hat.

Gestaltungsmöglichkeiten der IT-Dienstleistungen im Konzern

Die Organisation konzerninterner IT eröffnet verschiedene Gestaltungsoptionen, die maßgeblichen Einfluss auf die regulatorische Einordnung und insbesondere die Anwendbarkeit der NIS-2/BSIG-Vorgaben haben können:

1. Dezentrale IT
Werden IT-Funktionen ausschließlich zur Unterstützung der eigenen Geschäftstätigkeit einer Gesellschaft betrieben und nicht als eigenständige Dienstleistung gegenüber anderen Konzerngesellschaften angeboten, liegt regelmäßig schon kein „Anbieten“ eines IT-Dienstes im Sinne der NIS-2 vor. In diesen Fällen ist die jeweilige Gesellschaft grundsätzlich nicht als Anbieter von IT-Diensten im Sinne der NIS-2/BSIG einzustufen.

2. Parent-as-a-Service
Wird die Muttergesellschaft als Bereitsteller von IT-Dienstleistungen eingesetzt, kann die Anwendbarkeit von NIS-2 verhindert werden, wenn die relevanten Schwellenwerte nicht erreicht werden. Denkbar ist es auch, dass die IT-Dienstleistungen nach einer Gesamtbetrachtung im Sinne von § 28 Abs. 3 BSIG vernachlässigbar sind, wobei dies aufgrund des Umfangs der IT-Dienstleistungen in der Praxis selten der Fall sein dürfte.

3. Separate IT-Gesellschaft
Die Gründung einer separaten IT-Gesellschaft (Shared Service Company), auf die die relevanten IT-Dienstleistungen ausgelagert werden, kann die Betroffenheit verhindern. Werden die IT-Dienstleistungen auf die Shared Service Company ausgelagert, ist nur diese betroffen.

 Insoweit ergeben sich folgende Konstellationen: