Schwellenwertberechnung nach dem NIS2-Umsetzungsgesetz (Teil 1)

Schwellenwertberechnung nach dem NIS2-Umsetzungsgesetz (Teil 1)
Photo by charlesdeluvio / Unsplash
  • Ob ein Unternehmen Adressat des NIS2-Umsetzungsgesetzes ist, hängt ganz maßgeblich davon ab, ob die maßgeblichen Schwellenwerte erreicht werden
  • Die Berechnung der Schwellenwerte kann mitunter schwierig sein
  • Die Berechnung des Schwellenwerts für ein Einzelunternehmen ist im Vergleich zu einem Konzernunternehmen vergleichsweise einfach

Adressaten des NIS2-Umsetzungsgesetzes sind insbesondere die besonders wichtigen Einrichtungen und die wichtigen Einrichtungen. Ob ein Unternehmen eine solche Einrichtung ist, hängt maßgeblich von den Antworten auf zwei Fragen ab:

  1. Ist mein Unternehmen in einem Sektor aus Anlage 1 oder Anlage 2?
  2. Erreicht mein Unternehmen die maßgeblichen Schwellenwerte?

Dieser Blogeintrag beschäftigt sich in Teil 1 mit der Berechnung der Schwellenwerte von Unternehmen / Einrichtungen von Einzelunternehmen, also Unternehmen die nicht in einem Konzernverbund eingebunden sind. Der sich anschließende Teil 2 wird die spezielle Berechnung in Konzernunternehmen behandeln.

Ausgeblendet werden im Folgenden die Besonderheiten von Unternehmen der ITK-Wirtschaft und der Energiewirtschaft.

Maßgebliche Schwellenwerte

Für die Zuordnung als besonders wichtige Einrichtung muss das Unternehmen

  • mindestens 250 Mitarbeiter beschäftigen oder
  • einen Jahresumsatz von über 50 Millionen Euro und zudem eine Jahresbilanzsumme von über 43 Millionen Euro aufweisen.

Für die Zuordnung als wichtige Einrichtung muss das Unternehmen

  • mindestens 50 Mitarbeiter beschäftigen oder
  • einen Jahresumsatz und eine Jahresbilanzsumme von jeweils über 10 Millionen Euro aufweisen.

Wichtig ist, dass Punkt 1 und Punkt 2 jeweils in einem Alternativverhältnis stehen. Es reicht also , wenn entweder die Mitarbeiterzahl oder der Jahresumsatz/Jahresbilanzsumme erreicht wird. Werden die maßgeblichen Mitarbeiterzahlen nicht erreicht und man prüft Punkt zwei, so muss sowohl der entsprechende Jahresumsatz als auch die entsprechende Jahresbilanzsumme erreicht werden.

Die Schwellenwerte beziehen sich auf die Einrichtung als solche (einrichtungsbezogene Betrachtung) und nicht auf die in der Einrichtung betriebenen Anlagen, wie dies bei Betreibern von kritischen Anlagen der Fall ist (anlagenbezogene Betrachtung, siehe zu dieser Unterscheidung näher hier).

Berechnung der Schwellenwerte

§ 28 Abs. 3 BSIG gibt vor, wie die Mitarbeiteranzahl, der Jahresumsatz und die Jahresbilanzsumme zu bestimmen ist. Ausgangspunkt von § 28 Abs. 3 BSIG bleibt hierbei zunächst die juristische Person bzw. die rechtlich unselbstständige Organisationseinheiten einer Gebietskörperschaft. Auch bei einem Konzernunternehmen ist (zunächst) in einem ersten Schritt jede Gesellschaft einzelnen in den Blick zu nehmen und nicht der Konzern als ganzes.

In einem zweiten Schritt ist gemäß § 28 Abs. 3 S. 1 Nr. 1 BSIG innherhalb der Einrichtung nur auf die der Einrichtungsart zuzuordnende Geschäftstätigkeit abzustellen. Dies bedeutet, dass bei der Bestimmung der maßgeblichen Mitarbeiterzahlen und des Jahresumsatzes und der Jahresbilanzsumme nur diejenigen Teile der Einrichtung einzubeziehen sind, „die tatsächlich im Bereich der in den Anlagen 1 und 2 genannten Definitionen der Einrichtungskategorien tätig sind. Querschnittsaufgaben wie beispielsweise Personal, Buchhaltung etc. sind hierbei anteilig zu berücksichtigen“ (So wörtlich die Gesetzesbegründung auf Seite 156).

Beispiel

In einem Unternehmen arbeiten insgesamt 80 Mitarbeiter. Davon arbeiten 30 im Bereich Abfallbewirtschaftung und 30 im Bereich des Schwimmbads. 20 Mitarbeiter arbeiten in einer Querschnittsabteilung, die sowohl für die Abfallbewirtschaftung, als auch für das Schwimmbad tätig ist. In diesem Fall würde der Schwellenwert von mindestens 50 Mitarbeitern in Bezug auf die Abfallbewirtschaftung nicht erreicht werden. Denn Mitarbeiter aus der Querschnittsabteilung werden nur anteilig dem Bereich der Abfallbewirtschaftung zurechnet. Es werden zumindest weniger als 20 Mitarbeitern aus der Querschnittsabteilung den 30 Mitarbeitern aus der Abfallbewirtschaftung zugerechnet.

Diese Einschränkung nur auf die der Einrichtungsart zuzuordnende Geschäftstätigkeit ist eine Besonderheit des deutschen Umsetzungsgesetzes und nicht durch die NIS2-Richtlinie vorgegeben. Teilweise wird deshalb vertreten, dass diese Regelung europarechtswidrig sei. Dies müsste aber gerichtlich festgestellt werden, weshalb ich zunächst weiter mit dem Gesetzesentwurf arbeite.

Gemäß § 28 Abs. 3 S. 1 Nr. 2 BSIG ist bei der Bestimmung von Mitarbeiteranzahl, Jahresumsatz und Jahresbilanzsumme für Einrichtungen, die keine rechtlich unselbstständige Organisationseinheit einer Gebietskörperschaft sind, die sogenannte KMU-Empfehlung anzuwenden (siehe hierzu den sehr hilfreichen Benutzerleitfaden zur Definition von KMU der Europäischen Union). Danach beziehen sich die Daten grundsätzlich auf den letzten Rechnungsabschluss der Einrichtung und werden auf Jahresbasis berechnet (vgl. Art. 4 Abs. 1 des Anhangs der KMU-Empfehlung). Dies bedeutet, dass insbesondere saisonale Überschreitungen des Schwellenwerts bei der Mitarbeiteranzahl innerhalb eines Jahres nicht ausschlaggebend sind. Des Weiteren müssen die Schwellenwerte jeweils in zwei aufeinander folgenden Geschäftsjahren Über- oder Unterschritten werden, bevor diese maßgeblich für die Bestimmung der Schwellenwerte sind (vgl. Art. 4 Abs. 2 des Anhangs der KMU-Empfehlung). Damit führen gegebenenfalls einzelne wirtschaftlich besonders erfolgreiche oder nicht erfolgreiche Geschäftsjahre nicht für sich allein zu einer Erfassung als besonders wichtige oder wichtige Einrichtung (vgl. Gesetzesbegründung, Seite 156).

Ausweislich des Gesetzeswortlauts und der Gesetzesbegründung soll diese Berechnungsgrundlage jedoch nicht für rechtlich unselbstständige Organisationseinheiten einer Gebietskörperschaft gelten (z.B. Regie- und Eigenbetriebe). Für diese ist somit unklar, wie insbesondere die Mitarbeiteranzahl, Jahresumsatz und Jahresbilanzsumme bestimmt wird. Allerdings erscheint es zumindest vertretbar, dass es sich hierbei um ein Versehen des Gesetzgebers handelt und sich der Ausschluss der rechtlich unselbstständige Organisationseinheiten einer Gebietskörperschaft eigentlich nur auf die Regeln der der KMU-Empfehlung in Bezug auf die Zurechnung der Daten von Partnerunternehmen und verbundenen Unternehmen bezieht (siehe später Teil 2 dieses Blogbeitrags zur Berechnung in Konzernen). Es scheint somit zumindest vertretbar, auch als Regie- und Eigenbetrieb etc. zumindest entsprechend auf die Regeln der KMU-Empfehlung zurückzugreifen, soweit diese nicht die Zurechnung der Daten von Partnerunternehmen und verbundenen Unternehmen betreffen.

Nicht betrachtet wurden bei den vorstehenden Ausführungen die Besonderheiten, wenn das eigene Unternehmen entweder Beteiligungen an anderen Unternehmen hält oder andere Unternehmen am eigenen Unternehmen Anteile halten. Für diese Fälle der Partnerunternehmen oder verbundenen Unternehmen gelten Sonderregeln, was meist die Situation in Konzernen beschreibt. Ist das eigene Unternehmen also kein komplett eigenständiges Unternehmen, so müssen die noch folgenden Ausführungen zu Teil 2 dieses Blogbeitrags beachtet werden. Wenn nur die eigene Mutterkommune dem eigenen Unternehmen vorgeschaltet ist, so sind die speziellen Zurechnungsregeln allerdings im Ergebnis nicht anwendbar.