Eine Akte je Einrichtung, nach den Paragraphen des Gesetzes geordnet
NIS2 wird in Deutschland über das BSIG umgesetzt, und dort stehen sieben Pflichten, die in der Praxis regelmäßig zu einer verschwimmen. Diese Akte hält sie auseinander, weil sie unterschiedliche Adressaten und unterschiedliche Fristen haben. Anker ist die Betroffenheitsfeststellung nach § 28: An ihr hängen Registrierung, Pflichtenkatalog, Nachweiszyklus, Leitungsorgan und Aufsichtskorrespondenz. Der Katalog der Einrichtungsarten aus Anlage 1 und Anlage 2 BSIG ist mit seiner amtlichen dreistufigen Nummerierung hinterlegt, damit die Einstufung auf eine Fundstelle zeigt und nicht auf eine Einschätzung.
Die Regelauswertung des § 28 kennt neben betroffen und nicht betroffen den Zustand „unklar". Fehlt eine Kennzahl, sagt die Akte das, statt die Einrichtung stillschweigend aus dem Anwendungsbereich zu rechnen. Die Kategorie bleibt eine Handentscheidung, die Regelspur zeigt, wie sie zustande kam.
§ 33 und § 34 treffen jede erfasste Einrichtung, § 39 nur Betreiber kritischer Anlagen. Wer registriert ist, ist damit noch nicht nachweispflichtig, und ein geführter Nachweis ersetzt die Registrierung nicht. Beide Stränge laufen deshalb nebeneinander.
Die Angaben einer Registrierung werden nie überschrieben. Jede Fassung bleibt als eigene Version stehen, und eine Änderungsmeldung erzeugt eine neue. Dasselbe gilt für die Billigung der Geschäftsleitung: Der Umsetzungsstand wird zum Stichtag eingefroren.
Eine Änderungsmeldung ist nach § 33 Abs. 5 binnen zwei Wochen fällig, nach § 34 binnen drei Monaten. Der Unterschied wird aus der Registrierungsart abgeleitet und am Datensatz geführt. Wer ihn einebnet, verkürzt oder verlängert eine gesetzliche Frist.
Eine Akte, die auf die Frage „wonach sind Sie betroffen, und was folgt daraus" mit einer Fundstelle antwortet statt mit einer Einschätzung.
Vereinbaren Sie eine unverbindliche Demo – wir zeigen Ihnen das Modul an Ihren eigenen Anwendungsfällen.
