Bei der Behörde registrieren: Wie funktioniert das?
Wer unter die NIS2-Richtlinie als wesentliche oder wichtige Einrichtung fällt, muss sich selbst bei der nationalen Behörde registrieren. Dies geschieht über ein Portal, das die Behörde zu diesem Zweck einrichtet, mit Daten über Ihre Organisation, Ihre Kontaktpersonen und die Dienste, die Sie erbringen. Es gibt keinen Brief, der Sie daran erinnert: Die Verpflichtung zur Registrierung liegt bei der Organisation selbst, nicht bei der Behörde, um Sie ausfindig zu machen.
Letzteres überrascht viele Geschäftsführungen. Bei anderen Verpflichtungen — eine Genehmigung, eine jährliche Anmeldung — erhalten Sie oft ein Signal von der Behörde selbst. Bei der Registrierungspflicht gemäß des Gesetzes zur Cybersicherheit funktioniert das umgekehrt: Die Behörde kennt zunächst nicht, welche Organisationen unter das Gesetz fallen, und ist daher auf Ihre eigene Bewertung und Aktion angewiesen.
Welche Daten werden abgefragt
Die Registrierung fordert normalerweise Identifikationsdaten der Organisation an, wie den Namen, die Handelsregisternummer und die Adresse, ergänzt durch den Sektor und die Tätigkeit, unter die Sie gemäß des Gesetzes fallen. Darüber hinaus werden ein oder mehrere Kontaktpersonen abgefragt, die die Behörde erreichen kann, mit Name, Telefonnummer und E-Mail-Adresse — dies sind oft andere Personen als der durchschnittliche Geschäftskontakt, da es um Erreichbarkeit im Falle eines Vorfalls geht. Auch die Netze und Informationssysteme oder Dienste, die für die Einstufung als wesentlich oder wichtig relevant sind, und manchmal die Mitgliedstaaten, in denen Sie Dienste erbringen, gehören zu dem Bild, das die Behörde erhalten möchte.
Die genauen Felder und die Gliederung des Formulars unterscheiden sich je nach Land, da jeder Mitgliedstaat die Richtlinie in eigene nationale Rechtsvorschriften umsetzt und die Behörde das Portal selbst einrichtet. Was in Deutschland abgefragt wird, muss also nicht eins zu eins mit dem übereinstimmen, was eine Behörde in einem anderen Land von einer dortigen Tochtergesellschaft abfragt.
Warum es keinen Brief gibt
Die Registrierungspflicht ist als eine Verpflichtung der Organisation konzipiert, nicht als eine Einladung der Behörde. Die Behörde verfügt beim Start des Gesetzes nicht über eine vollständige Liste darüber, wer wo tätig ist und unter welchen Schwellenwert fällt — diese Informationen müssen vom Sektor selbst kommen. Das ist vergleichbar mit der Art und Weise, wie eine Handelsregistereintragung oder eine Umsatzsteueranmeldung funktioniert: Die Verantwortung, rechtzeitig zu handeln, liegt beim Unternehmer, auch wenn niemand eine Erinnerung sendet.
Für viele KMU-Unternehmen, die über die Lieferkette betroffen sind, ist dies ohnehin nicht relevant: Nur wesentliche und wichtige Einrichtungen selbst haben eine Registrierungspflicht. Unternehmen, die nur eine Sicherheitsfrageliste von einem Auftraggeber erhalten, der unter das Gesetz fällt, registrieren sich nicht selbst bei der Behörde. Ob Ihre Organisation in die erste oder die zweite Gruppe fällt, ist nicht immer sofort klar; in ein paar Fragen sehen Sie, wo Ihre Organisation steht gibt dazu eine erste Orientierung, mit einer Erläuterung pro Ergebnis.
Wann registrieren
Das nationale Gesetz bestimmt, innerhalb welcher Frist und ab welchem Zeitpunkt sich eine Organisation registrieren muss, nachdem sie als wesentlich oder wichtig eingestuft wird. Diese Fristen finden Sie in der nationalen Umsetzung der Richtlinie und auf der Website der zuständigen Behörde selbst, und sie können sich ändern, wenn die Rechtsvorschriften weiterentwickelt werden. Für den aktuellen Stand sollten Sie sich an die zuständige Behörde oder einen Rechtsanwalt wenden, nicht an einen allgemeinen Artikel — eine Websiteänderung oder Ankündigung der Behörde ist in diesem Punkt maßgebend, nicht ein irgendwo gespeichertes Datum.
Was secria.eu bei der Registrierung leistet und nicht leistet
Die Plattform hilft Ihnen dabei, den Text und die Daten vorzubereiten, die Sie benötigen, um das Registrierungsformular auszufüllen: welche Kontaktpersonen Sie angeben müssen, welche Sektor- und Tätigkeitsbeschreibung der Kategorisierung durch die Aufsichtsbehörde entspricht, und welche Begründung hinter der Einstufung steht. Was die Plattform ausdrücklich nicht tut, ist die Einreichung in Ihrem Namen vorzunehmen. Sie reichen selbst über das Portal Ihrer Aufsichtsbehörde ein; secria.eu bereitet den Text vor, Sie übermitteln ihn. Wie diese Vorbereitung genau zustande kommt und welche Quellen dabei verwendet werden, wird erläutert auf der Seite darüber, wie die Informationen zustande kommen.
Unsicherheit über Ihre eigene Situation
Ob und wann Registrierung für Ihre Organisation erforderlich ist, hängt vom Sektor ab, in dem Sie tätig sind, von der Größe Ihrer Organisation und vom anwendbaren nationalen Recht. Das ist keine Frage, die ein einzelner allgemeiner Artikel für Ihre spezifische Situation beantworten kann; dafür sind die zuständige Aufsichtsbehörde oder ein Jurist die richtige Anlaufstelle. Häufig gestellte praktische Fragen zu Registrierung, Meldepflicht und der Rolle von Lieferanten sind zusammengefasst auf der Seite mit häufig gestellten Fragen.
Möchten Sie zunächst einen Überblick über alle Themen rund um die NIS2-Richtlinie und das Cybersicherheitsgesetz, von der Sektoreinteilung bis zu den zehn Sorgfaltspflichtmaßnahmen? Diesen finden Sie, je nach Ihrer Situation zusammengestellt, auf der Übersichtsseite mit allen Themen. Und wenn Sie noch nicht wissen, ob Registrierung für Sie erforderlich ist, ist der kostenlose Quick-Check der schnellste erste Schritt, um sich einen Überblick zu verschaffen.