NIS2-Schwellenwerte: Mitarbeiter, Umsatz, Bilanzsumme richtig zählen

Viele mittelständische Unternehmen liegen bei Mitarbeiterzahl und Umsatz dicht an der NIS2-Schwelle. Ob ein Betrieb als wichtige oder besonders wichtige Einrichtung gilt, entscheidet sich dann an einer korrekten Zählung nach der Empfehlung 2003/361/EG. Dieser Beitrag zeigt, wie Jahresarbeitseinheiten, Umsatz und Bilanzsumme zu bestimmen sind und wo das BSIG eine Ausnahme vorsieht.

Die ODER-Regel in § 28 Abs. 2 Nr. 3 BSIG

Wichtige Einrichtung nach § 28 Abs. 2 Nr. 3 BSIG ist, wer einer Einrichtungsart der Anlage 1 oder 2 BSIG zuzuordnen ist und mindestens 50 Mitarbeiter beschäftigt oder einen Jahresumsatz und eine Jahresbilanzsumme von jeweils über 10 Mio. Euro aufweist. Diese Verknüpfung ist zweifach: ein ODER zwischen Mitarbeiterschwelle und Finanzkennzahlen, ein UND zwischen Umsatz und Bilanzsumme.

Die praktische Folge: Ab 50 Mitarbeitern ist die Schwelle erreicht, unabhängig von Umsatz und Bilanzsumme. Darunter kommt es nur zur Betroffenheit, wenn Umsatz und Bilanzsumme beide über 10 Mio. Euro liegen. Ein hoher Umsatz allein genügt nicht, eine hohe Bilanzsumme allein auch nicht. Für besonders wichtige Einrichtungen nach § 28 Abs. 1 Nr. 4 BSIG gilt derselbe Aufbau mit höheren Werten: mindestens 250 Mitarbeiter oder ein Jahresumsatz über 50 Mio. Euro zusammen mit einer Jahresbilanzsumme über 43 Mio. Euro.

Unabhängig von der Größe gelten einige Einrichtungen in jedem Fall als besonders wichtige oder wichtige Einrichtung, etwa Betreiber kritischer Anlagen, qualifizierte Vertrauensdiensteanbieter oder Anbieter öffentlich zugänglicher Telekommunikationsdienste (§ 28 Abs. 1 Nr. 1 und 2, Abs. 2 Nr. 1 und 2 BSIG). Für diese Gruppen ist die Zählung nicht entscheidend.

Jahresarbeitseinheiten statt Köpfe

Für die Mitarbeiterzahl verweist § 28 Abs. 4 Satz 1 BSIG auf die Empfehlung der Kommission 2003/361/EG, mit Ausnahme von Artikel 3 Absatz 4 ihres Anhangs. Gezählt wird in Jahresarbeitseinheiten, kurz JAE. Eine JAE entspricht einer Person, die während des gesamten Berichtsjahres in Vollzeit beschäftigt war.

Für die Zählung bedeutet das im Einzelnen:

Die reine Kopfzahl der Belegschaftsliste führt deshalb regelmäßig in die Irre. Entscheidend ist das umgerechnete Beschäftigungsvolumen eines Geschäftsjahres. Ein Betrieb mit 55 Köpfen, in dem viele in Teilzeit arbeiten und mehrere Auszubildende beschäftigt sind, kann in JAE deutlich unter 50 liegen.

Teilzeitkräfte und nicht ganzjährig Beschäftigte zählen anteilig. Beispielhaft entspricht eine 20-Stunden-Kraft bei einer angenommenen tariflichen Vollzeit von 40 Stunden 0,5 JAE; die konkrete Vollzeitreferenz richtet sich nach dem jeweils einschlägigen Tarif- oder Arbeitsvertrag.
Auszubildende mit Ausbildungsvertrag werden nicht mitgezählt.
Zeiten des Mutterschafts- und Elternurlaubs werden nicht mitgerechnet.

Umsatz und Bilanzsumme: welche Werte zählen

Für Jahresumsatz und Jahresbilanzsumme gelten dieselben Grundlagen wie für die Mitarbeiterzahl: die Empfehlung 2003/361/EG mit Ausnahme von Artikel 3 Absatz 4 ihres Anhangs. Herangezogen werden die Werte des zuletzt festgestellten Jahresabschlusses. Bei neu gegründeten Unternehmen, für die noch kein festgestellter Jahresabschluss vorliegt, tritt an dessen Stelle eine sorgfältige Schätzung in gutem Glauben. Der Jahresumsatz ist der Umsatz ohne Mehrwertsteuer und sonstige indirekte Steuern. Die Jahresbilanzsumme ergibt sich aus der Bilanz.

Für die Schwelle der wichtigen Einrichtung müssen beide Werte über 10 Mio. Euro liegen, Umsatz und Bilanzsumme jeweils. Für die Schwelle der besonders wichtigen Einrichtung gilt eine andere Logik: Jahresumsatz über 50 Mio. Euro und zusätzlich eine Jahresbilanzsumme über 43 Mio. Euro. Wer bei einer der beiden Größen deutlich darunter liegt, erreicht die Schwelle für besonders wichtige Einrichtungen über die Finanzkennzahlen nicht.

Zwei aufeinanderfolgende Geschäftsjahre

Die Empfehlung 2003/361/EG sieht vor, dass die Einstufung nicht an einem einzigen Ausreißerjahr hängt. Ein Wechsel in der Einstufung tritt erst ein, wenn die Schwellen in zwei aufeinanderfolgenden Geschäftsjahren überschritten oder unterschritten werden. Bei neu gegründeten Unternehmen greift diese Zweijahresbetrachtung noch nicht; dort sind die Werte des ersten Geschäftsjahres nach einer sorgfältigen Schätzung in gutem Glauben anzusetzen.

Für die eigene Standortbestimmung bedeutet das: Ein kurzzeitiges Überschreiten der 50-JAE-Marke in nur einem Geschäftsjahr löst noch keinen Statuswechsel aus. Wer dauerhaft über 50 JAE wächst, gilt in aller Regel erst nach der Bestätigung in zwei aufeinanderfolgenden Geschäftsjahren als wichtige Einrichtung. Ab diesem Zeitpunkt, zu dem die Einrichtung erstmals als wichtig oder besonders wichtig einzustufen ist, läuft die Registrierungsfrist von drei Monaten nach § 33 Abs. 1 BSIG. Umgekehrt entfällt der Status nicht, nur weil ein schwaches Jahr zwischendrin unter die Schwelle führt.

Partner- und verbundene Unternehmen: wann zusammengerechnet wird

Für die Zählung sind Mitarbeiterzahl, Umsatz und Bilanzsumme grundsätzlich auf das gesamte Unternehmen einschließlich Partner- und verbundener Unternehmen zu beziehen, auch solcher außerhalb Deutschlands und der EU. Das BSI stellt in seiner FAQ ausdrücklich klar, dass Filialstrukturen und ausländische Konzerntöchter in die Berechnung einfließen.

§ 28 Abs. 4 Satz 2 BSIG kennt eine Ausnahme: Die Daten von Partner- oder verbundenen Unternehmen sind nicht hinzuzurechnen, wenn die betrachtete Einrichtung unter Berücksichtigung der rechtlichen, wirtschaftlichen und tatsächlichen Umstände mit Blick auf die Beschaffenheit und den Betrieb ihrer informationstechnischen Systeme, Komponenten und Prozesse unabhängig von den Partner- oder verbundenen Unternehmen ist.

Diese Unabhängigkeit ist eine IT-bezogene Prüfung, keine rein gesellschaftsrechtliche. Entscheidend ist, ob eine Tochter oder Schwester eine eigene IT-Infrastruktur betreibt, eigene Verwaltungs- und Betriebsprozesse führt und nicht an einem Konzernnetz, einer Konzern-Domäne oder einem zentralen SOC hängt. Die pauschale Aussage, im Konzern werde immer zusammengerechnet, deckt sich nicht mit dem Wortlaut des BSIG. Umgekehrt lässt sich die Ausnahme nicht per Organigramm begründen: Wer über eine zentrale IT abhängig ist, kann sich nicht herausrechnen.

Was für die Zählung zu dokumentieren ist

Für eine belastbare Einordnung empfehle ich eine schriftliche Aufstellung mit den folgenden Punkten:

Diese Unterlagen stützen das Ergebnis der Selbstprüfung und sind auch dann wichtig, wenn die Einordnung Nein lautet. Sie belegen gegenüber Behörden, Auftraggebern und Versicherern, dass die Prüfung sorgfältig erfolgt ist, und sie beschleunigen eine spätere Neubewertung, falls das Unternehmen wächst oder sich eine Konzernstruktur ändert.

JAE-Berechnung für die letzten beiden Geschäftsjahre, aufgeschlüsselt nach Vollzeit, Teilzeit, befristet, nicht ganzjährig und Elternzeit, mit explizitem Ausschluss der Auszubildenden.
Umsatz und Bilanzsumme laut festgestelltem Jahresabschluss, ebenfalls für zwei Geschäftsjahre.
Übersicht aller Partner- und verbundener Unternehmen nach Empfehlung 2003/361/EG, einschließlich der Beteiligungen außerhalb der EU.
Falls die Ausnahme nach § 28 Abs. 4 Satz 2 BSIG geltend gemacht wird: eine Darstellung der eigenen IT, die rechtliche, wirtschaftliche und tatsächliche Unabhängigkeit vom Konzern begründet, inklusive Netz-, Identitäts- und Supportgrenzen.

Fazit

Die NIS2-Schwellen klären sich nicht an einem Umsatzwert allein, sondern an einer sauber dokumentierten Zählung nach der Empfehlung 2003/361/EG. Prüfen Sie die Jahresarbeitseinheiten der vergangenen zwei Geschäftsjahre, legen Sie Umsatz und Bilanzsumme aus dem festgestellten Jahresabschluss daneben und klären Sie die Zurechnung von Partner- und verbundenen Unternehmen. Wer unter den Schwellen liegt, hält die Rechnung einmal pro Jahr fest. Wer darüber liegt, nutzt die verbleibende Zeit für die Registrierung nach § 33 BSIG und für die Risikomanagementmaßnahmen nach § 30 BSIG.

Der kostenlose NIS2-Betroffenheits-Check von DC INFOSEC führt Sie strukturiert durch diese Zählung und unterstützt Sie bei der Einordnung Ihres Unternehmens in eine Einrichtungsart. Die abschließende Zuordnung bleibt eine Selbstprüfung in Ihrer Verantwortung und ersetzt keine rechtsverbindliche Einstufung.Zum kostenlosen NIS2-Check