NIS2 und Cloud-Abhängigkeit: Was das Gesetz von Unternehmen verlangt

Das Gesetz schreibt kein Bewertungsschema vor. Wir ordnen die Cloud-Abhängigkeit mit vier Fragen in dieser Reihenfolge ein. Das ist unsere eigene Systematik und keine offizielle Vorgabe.

1. 01 Betroffenheit: Fällt das Unternehmen direkt unter das Gesetz, oder nur über Kunden? Davon hängen Registrierung, Pflichten und Bußgeldrahmen ab.
2. 02 Bestand: Welche Cloud-Dienste laufen, und wofür sind sie unverzichtbar? Ohne diese Liste lässt sich kein Lieferkettenrisiko bewerten.
3. 03 Risiko: Was passiert bei Ausfall, Preisänderung, Vertragskündigung oder Zugriff durch Behörden eines Drittstaats? Der Zugriff nach dem US CLOUD Act gehört hierher, ist aber ein Risiko unter mehreren.
4. 04 Nachweis: Womit belegen Sie die Bewertung gegenüber Aufsicht und Kunden? C5-Testat, ISO-27001-Zertifikat, Vertragsklauseln, Exit-Plan.

Die Beispiele sind erfunden. Sie gehen davon aus, dass das Unternehmen in einen der Sektoren der Anhänge des Gesetzes fällt.

• Direkt betroffen, Cloud ohne Bewertung: Ein Hersteller nutzt Microsoft 365 und hat sich registriert, aber nie dokumentiert, welche Prozesse davon abhängen. Die Pflicht zur Lieferkettenbewertung ist damit nicht belegt, auch wenn der Dienst selbst nicht verboten ist.
• Scheinbar erfüllt: Der Cloud-Anbieter legt ein ISO-27001-Zertifikat vor. Das BSI hält ein solches Zertifikat für ein „gutes Fundament“, aber nicht für einen Nachweis der NIS-2-Konformität, weil der Zertifikatsumfang enger sein kann als der „gesamte relevante Einrichtungsbetrieb“ (BSI, NIS-2 und ISO 27001).
• Nur indirekt betroffen: Ein kleiner Zulieferer fällt selbst nicht unter das Gesetz. Sein Kunde fragt im Vertrag nach Sicherheitsmaßnahmen und Cloud-Nutzung. Der Zulieferer muss antworten können, ohne gesetzlich verpflichtet zu sein.

• Eine begründete Risikoentscheidung pro Dienstleister, keine bestimmte Technik.
• Ein Verbot von US-Cloud-Diensten nennt § 30 Abs. 2 Nr. 4 BSIG nach unserem Stand nicht, Herkunftsländer kommen dort nicht vor.
• Einen Nachweis über das Zertifikat allein akzeptiert das BSI nicht. Es schließt einen „pauschalen Risikotransfer oder eine generelle Risikoakzeptanz“ aus (BSI, NIS-2 und ISO 27001).

Bußgelder

Nach § 65 BSIG liegt der Rahmen bei bis zu 10 Millionen Euro für besonders wichtige und bis zu 7 Millionen Euro für wichtige Einrichtungen. Die Prozentsätze (2 Prozent bzw. 1,4 Prozent des Gesamtumsatzes) gelten nach dem Gesetzeswortlaut nur für Unternehmen mit mehr als 500 Millionen Euro Gesamtumsatz (§ 65 BSIG, Wiedergabe auf lexmea.de). Die oft zitierte Formel „10 Millionen oder 2 Prozent“ stimmt für kleinere Unternehmen also nicht.

Wie viele Unternehmen sind betroffen?

Zwei amtliche Zahlen stehen nebeneinander. Die Gesetzesbegründung rechnet mit 14.500 Unternehmen (Basis der Schadensprävention, BT-Drs. 21/1501, S. 4). Die BSI-Präsidentin Claudia Plattner nannte am 23.10.2024 „knapp 30.000“ (BSI-Pressemitteilung). Eine Erklärung für die Abweichung nennt keine der beiden Quellen.

Bin ich betroffen?

Das hängt an Sektor und Größe (§ 28 BSIG). Die Kriterien erklärt die BSI-FAQ im Abschnitt „Anwendungsbereich“.

1. 01 Betroffenheit prüfen und dokumentieren (BSI-FAQ, Anwendungsbereich).
2. 02 Registrierung im BSI-Portal über „Mein Unternehmenskonto“ mit ELSTER-Organisationszertifikat. Änderungen der Registrierungsdaten sind „unverzüglich, spätestens innerhalb von zwei Wochen“ zu melden (§ 33 Abs. 5 BSIG, BSI, Anleitung zur Registrierung).
3. 03 Cloud- und IT-Dienstleister erfassen und nach Kritikalität ordnen.
4. 04 Risiken je Dienst bewerten und Entscheidungen begründen.
5. 05 Nachweise vom Anbieter einholen und vertraglich verankern.
6. 06 Geschäftsleitung setzt die Maßnahmen um, überwacht sie und nimmt an Schulungen teil.

• Am 7.4.2026 hat das BSI die neue Fassung seines Cloud-Kriterienkatalogs C5:2026 veröffentlicht, mit neuen Themen wie Container-Management und Post-Quanten-Kryptografie. NIS2 nennt das BSI als eines der Ausgangsdokumente der Überarbeitung (BSI-Pressemitteilung).
• Am 27.4.2026 hat das BSI mit C3A Souveränitätskriterien für Cloud-Dienste veröffentlicht. Sie setzen C5 voraus und haben laut BSI keine regulative Wirkung. Ein Leitfaden für C3A-Audits war zum Zeitpunkt der Pressemitteilung angekündigt, nicht veröffentlicht (BSI-Pressemitteilung).
• Die gesetzliche Registrierungsfrist von drei Monaten lief am 6.3.2026 ab.