Vorlage aus dem NIS2-Paket
Fällt Ihr Unternehmen unter das BSIG, und wenn ja, als welche Einrichtung? Zwei Vorlagen halten Prüfung und Ergebnis fest und führen anschließend durch die Registrierung. Beide sind im NIS2-Paket enthalten.
Das Dokument
Die Dokumentation der Betroffenheitsprüfung (NIS-CL-25) führt durch fünf Prüfschritte, die sich aus § 28 BSIG ergeben: Zuordnung zu einer Einrichtungsart der Anlagen 1 oder 2, Sonderfälle ohne Schwellenwert, Schwellenwerte (ermittelt nach der Berechnungsregel der Empfehlung der EU-Kommission zur Definition kleiner und mittlerer Unternehmen, die einen eigenen Abschnitt hat), vernachlässigbare Geschäftstätigkeiten und Bereichsausnahmen. Anhang A ist der Prüfbogen mit denselben fünf Schritten, Anhang B das Ergebnisblatt mit Freigabe durch die Geschäftsleitung.
Die Registrierungs-Checkliste (NIS-CL-24) stellt die fünf Angaben zusammen, die § 33 Abs. 1 BSIG für die Registrierung nennt, jeweils mit Quelle und Prüfung durch eine zweite Person: Name und Rechtsform, Anschrift und Kontaktdaten einschließlich öffentlicher IP-Adressbereiche, Sektor, EU-Mitgliedstaaten und zuständige Aufsichtsbehörden. Sie nennt die Fristen, enthält eine Tabelle der Auslöser für Änderungsmeldungen und in Anhang B den Nachweis der Registrierung.
Beide Vorlagen sagen nicht, ob Ihr Unternehmen betroffen ist. Sie strukturieren die Prüfung, halten das Ergebnis mit Begründung, Datum und Verantwortlichen fest und verweisen Zweifelsfälle, etwa Berechnungen nahe an der Schwelle oder die Anwendung von Ausnahmen, an eine rechtliche Klärung.
Vorschau
Verkleinerte Darstellung aus der Datei im Paket. Eckige Klammern markieren die Stellen, die Sie anpassen.
NIS-CL-25: Deckblatt mit Dokumentenlenkung
NIS-CL-25: Inhalt und Änderungshistorie
NIS-CL-24: Deckblatt mit Dokumentenlenkung
Gliederung
Die Gliederung stammt aus der ausgelieferten Datei. Jedes Word-Dokument hat zusätzlich Deckblatt mit Dokumentenlenkung, Inhaltsverzeichnis und Änderungshistorie.
Fünf Schritte in sechs Abschnitten und fester Reihenfolge: zuerst die Merkmale ohne Schwellenwert, dann die Größenschwellen nach Beschäftigten, Umsatz und Bilanzsumme mit der Berechnungsregel, zuletzt die Ausnahmen. Jeder Schritt wird mit Ergebnis, Begründung und Quelle dokumentiert.
Drei mögliche Ergebnisse mit Voraussetzungen und Folgen, von der Registrierung bei Betroffenheit bis zur Wiedervorlage und freiwilligen Anwendung der Dokumente, wenn das Unternehmen nicht betroffen ist.
Regelmäßige Wiederholung nach Feststellung des Jahresabschlusses und sofortige Wiederholung bei Anlässen wie neuen Geschäftstätigkeiten, Beteiligungen, Umwandlungen oder Gesetzesänderungen; kürzerer Rhythmus nahe an einer Schwelle.
Tabelle der fünf Angaben nach § 33 Abs. 1 BSIG mit Quelle, Eintrag und Prüfvermerk, dazu der Registrierungsweg und das Vorgehen in sechs Schritten.
Auslöser für Änderungsmeldungen mit betroffener Angabe, meldender Stelle und Zeitpunkt, damit Änderungen rechtzeitig bemerkt werden, sowie eine regelmäßige Prüfung aller Angaben.
Datum und Weg der Registrierung, Bestätigung, Freigabe, jede Änderungsmeldung mit Fristprüfung und die regelmäßige Prüfung der Angaben.
Auszug
Ergibt die Prüfung, dass das Unternehmen nicht betroffen ist, wird auch das mit Begründung dokumentiert und aufbewahrt, damit die Entscheidung später nachvollziehbar ist.
Die Frist ist kurz, deshalb muss sichergestellt sein, dass Änderungen überhaupt bemerkt werden.
| Platzhalter | Was Sie festlegen | Dokument |
|---|---|---|
[Einheiten] | Die rechtlich selbständigen Einheiten, für die die Prüfung jeweils gesondert dokumentiert wird. | NIS-CL-25 |
[Unternehmen, Beteiligung, gemeinsam genutzte IT, Ergebnis, rechtliche Klärung am] | Partner- und verbundene Unternehmen, die gemeinsam genutzte IT und ob ihre Werte hinzugerechnet werden, mit dem Datum der rechtlichen Klärung. | NIS-CL-25 |
[zehn Prozent] | Ab welchem Abstand zur Schwelle die Prüfung häufiger wiederholt wird. | NIS-CL-25 |
[Zugangsweg, Adresse, erforderliche Zugangsmittel, Datum der Prüfung] | Den aktuellen Registrierungsweg beim Bundesamt, geprüft vor jeder Registrierung. | NIS-CL-24 |
[vier Wochen] | Wie früh vor Fristende die Erinnerung im Kalender der oder des ISB erscheint. | NIS-CL-24 |
[Firma, Rechtsform, Registergericht, HRB-Nr.] | Die erste Angabe der Registrierung aus dem Handelsregisterauszug. | NIS-CL-24 |
Einsatz
Am Anfang der NIS2-Umsetzung steht die Frage, ob das Unternehmen als besonders wichtige oder wichtige Einrichtung gilt. Das Ergebnis bestimmt die Pflichten: Registrierung nach § 33 BSIG, Risikomanagementmaßnahmen nach § 30, Meldeprozess nach § 32 und Pflichten der Geschäftsleitung nach § 38. Auch das Ergebnis "nicht betroffen" wird mit Begründung dokumentiert und aufbewahrt, damit die Entscheidung später nachvollziehbar ist.
Das Ergebnisblatt hält das Datum fest, ab dem das Unternehmen als Einrichtung gilt. Nach der Checkliste erfolgt die Registrierung spätestens drei Monate danach; Änderungen der registrierten Angaben werden unverzüglich, spätestens zwei Wochen ab Kenntnis, übermittelt. Weil je Änderung das Datum der Kenntnis und das der Übermittlung eingetragen werden, lässt sich die Einhaltung der Frist später belegen.
Das Ergebnis geht als Grundlage in den Beschluss der Geschäftsleitung nach NIS-NW-22 ein, und der Bericht an die Geschäftsleitung führt den Stand von Registrierung und Betroffenheit regelmäßig auf. Haben Sie vorab den FitNIS2-Navigator oder Informationen des BSI genutzt, halten Sie mit der Vorlage fest, was daraus folgt; solche Informationsangebote ersetzen nach der Vorlage die eigene Prüfung nicht.
Die beiden Dokumente folgen aufeinander. NIS-CL-25 klärt nach § 28 BSIG, ob und wie das Unternehmen betroffen ist, und hält im Ergebnisblatt das Datum fest, ab dem es als Einrichtung gilt, sowie das Fristende der Registrierung. NIS-CL-24 setzt genau dort an: Der erste Schritt der Checkliste in Anhang A ist die abgeschlossene Betroffenheitsprüfung, danach führt sie durch Angaben, Registrierungsweg, Übermittlung und Änderungsmeldungen nach § 33 BSIG. Die Dokumentation der Betroffenheitsprüfung umfasst elf Seiten, die Registrierungs-Checkliste neun.
1.490 €netto, zzgl. USt. Einmalig, 25 Dokumente in Word und Excel
Häufige Fragen
Nein. Die Vorlage strukturiert Ihre Prüfung und hält das Ergebnis fest; sie trifft keine Aussage darüber, ob ein bestimmtes Unternehmen betroffen ist. Zuordnung, Schwellenwerte und Ausnahmen können im Einzelfall schwierig sein und sind im Zweifel rechtlich zu klären.
Für besonders wichtige Einrichtungen mindestens 250 Beschäftigte oder mehr als 50 Mio. Euro Jahresumsatz und zugleich mehr als 43 Mio. Euro Jahresbilanzsumme, für wichtige Einrichtungen mindestens 50 Beschäftigte oder mehr als 10 Mio. Euro Jahresumsatz und mehr als 10 Mio. Euro Jahresbilanzsumme. Die Vorlage erklärt, warum das Wort "oder" entscheidet, und verlangt bei Werten nahe an der Schwelle eine Prüfung durch eine zweite Person.
Nach der Vorlage in Jahresarbeitseinheiten, wie es die Empfehlung der EU-Kommission vorsieht; Teilzeit- und Saisonkräfte zählen anteilig. Daten von Partner- und verbundenen Unternehmen werden hinzugerechnet, außer das Unternehmen ist in seiner Informationstechnik von ihnen unabhängig. Das wird je Unternehmen mit Begründung festgehalten.
Nach der Checkliste spätestens drei Monate, nachdem das Unternehmen erstmals oder erneut als besonders wichtige oder wichtige Einrichtung gilt. Änderungen der Angaben werden unverzüglich, spätestens zwei Wochen ab Kenntnis, übermittelt. Der technische Weg der Registrierung kann sich ändern und wird vor jeder Registrierung beim Bundesamt geprüft.
Beide sind im NIS2-Paket enthalten, das 25 Dokumente in Word und Excel umfasst und 1.490 € netto kostet. Einzeln werden sie nicht abgegeben.
Die Vorlagen sind Arbeitshilfen und keine Rechtsberatung. Sie müssen an Ihr Unternehmen angepasst werden. Eine Zusage, dass ein Audit oder eine Prüfung bestanden wird, geben wir nicht.
Weiterlesen
Auslieferung als Download nach Zahlungseingang. Eckige Klammern markieren die Stellen, die Sie anpassen.
