Breaking News: BSI ändert die Einstufung des konzerninternen MSP

Das BSI hatte sich schon im Gesetzgebungsverfahren auf die Auffassung festgelegt, wenn ein Tochterunternehmen IT-Dienstleistungen für den Konzern erbringt, ist es unter NIS2 ein Managed Service Provider (MSP). Gleiches gilt auch, wenn die Konzernmutter die IT-Services für die gesamte Gruppe übernimmt. Das führte in der Praxis dazu, dass viele Konzerne unter NIS2 fielen, auch wenn sie in Branchen tätig waren, die nicht zu den NIS-2 Sektoren gehörte. 

Jetzt ändert das BSI diese Einschätzung. In seinen neuesten FAQs vertritt es die Ansicht, diese IT-Tätigkeit könne vernachlässigt werden, wenn sie bestimmte Grenzen nicht überschreitet. Dies hat für die Praxis eine immense Bedeutung. Für zahlreiche Konzerne ändert sich damit die Einstufung. 

Die bisherige Linie: Die Konzern-IT ist in der Regel ein MSP

In der Sektor-FAQ „Digitale Infrastruktur“ (Nr. 2) heißt es schon seit einiger Zeit:

„Ja, Tochterunternehmen, in denen der zentrale IT-Betrieb eines Unternehmensverbunds organisiert ist, dürften in der Regel als Managed Services Provider (MSP) oder Managed Security Service Provider (MSSP) anzusehen sein.“

Neu: Die Auslegungshilfe zu § 28 Abs. 3 BSIG

In der allgemeinen NIS2-FAQ (Abschnitt „Anwendungsbereich“, Nr. 1) erklärt das BSI jetzt ausführlich, was „vernachlässigbar“ bedeutet. Dabei geht es ausdrücklich auch um verbundene Unternehmen.

• Allgemeine Kriterien: Anhaltspunkte sind unter anderem die Zahl der Mitarbeiter im betreffenden Bereich, der dort erzielte Umsatz und die Bilanzsumme. Wird die Tätigkeit im Gesellschaftsvertrag, in der Satzung oder in einem vergleichbaren Gründungsdokument genannt, spricht das gegen Vernachlässigbarkeit. Entscheidend ist das Gesamtbild im Verhältnis zur gesamten Geschäftstätigkeit der Einrichtung.
• Einzelunternehmen: Vernachlässigbar sind Tätigkeiten, die ausschließlich internen Zwecken dienen. Als Beispiel nennt das BSI ausdrücklich „interne – auch managed – IT“, vorausgesetzt, sie wird nicht am Markt angeboten, sondern nur intern erbracht.
• Verbundene Unternehmen: Vernachlässigbar sind Tätigkeiten, 
• die die Einrichtung ausschließlich innerhalb des Verbunds anbietet und die
• weniger als 50 Mitarbeiter sowie jeweils weniger als 10 % des Jahresumsatzes und der Jahresbilanzsumme ausmachen, oder
• bei Unternehmen mit mehr als 500 Mitarbeitern weniger als 10 % der Mitarbeiter sowie jeweils weniger als 10 % des Jahresumsatzes und der Jahresbilanzsumme ausmachen.

Als Beispiel nennt das BSI ausdrücklich die „Konzern-IT, auch Managed Konzern-IT“, sofern diese Schwellen nicht überschritten werden.

Was bedeutet das?

Damit sind nach Ansicht der zuständigen Aufsichtsbehörde IT-Dienstleistungen innerhalb eines Konzerns vernachlässigbar und damit kein MSP, wenn sie die genannten Kennzahlen unterschreiten. Das wird bei vielen Unternehmensgruppen der Fall sein. Das Problem des deutschen Sonderweges und der potentiellen Unionsrechtswidrigkeit dieser Regelung bleibt aber nach wie vor bestehen (vgl. hierzu auch unseren Beitrag: NIS 2 und die „Vernachlässigbarkeit“ – zentrale Fragen zum Anwendungsbereich noch immer ungeklärt).

Über die Begründung kann man unterschiedlicher Meinung sein. Aber das Ergebnis ist richtig. In vielen Konzernen werden IT-Dienste zentralisiert, in der Muttergesellschaft oder in einer IT-Tochtergesellschaft. Das führte nach der bisherigen Verwaltungspraxis dazu, dass Konzerne NIS2 unterfielen, auch wenn sie aus Branchen kamen, die nicht reguliert werden sollten, wie z.B. Baugewerbe und Immobilienwirtschaft, Futtermittel, Land- und Forstwirtschaft, Fischerei, Freie Berufe und Beratung. Diese falsche Ansicht das das BSI nun korrigiert. Das ist ein gutes Ergebnis. Wie lange dieses Ergebnis Bestand haben wird und ob auch die Gerichte die Ansicht des BSI teilen werden, bleibt indes abzuwarten. Änderungen der Rechtslage bzw. Konkretisierungen dürften jedenfalls nicht ausgeschlossen sein.