[{"data":1,"prerenderedAt":10},["ShallowReactive",2],{"article:de:nis2-fuer-online-marktplaetze-suchmaschinen-und-soziale-netzwerke-die-digitalen-anbieter-des-anhangs-ii-und-warum-sie-nie-durch-groesse-wesentlich-sind":3},{"locale":4,"slug":5,"title":6,"description":7,"published":8,"body":9},"de","nis2-fuer-online-marktplaetze-suchmaschinen-und-soziale-netzwerke-die-digitalen-anbieter-des-anhangs-ii-und-warum-sie-nie-durch-groesse-wesentlich-sind","NIS2 für Online-Marktplätze, Suchmaschinen und soziale Netzwerke: die digitalen Anbieter des Anhangs II, und warum sie nie durch Größe wesentlich sind","Drei Definitionen aus drei anderen Rechtsakten entscheiden, ob eine Plattform ein digitaler Anbieter nach NIS2 ist: ein Marktplatz, auf dem Verbraucher Fernabsatzverträge schließen, eine Suchmaschine, die im Prinzip alle Websites durchsucht, eine Plattform, auf der Endnutzer in Kontakt treten und teilen. Erfasst ab mittlerer Größe, wichtig nach Artikel 3(2), wie groß auch immer, unter dem Gesetz der Hauptniederlassung, im Register der ENISA, unter der Durchführungsverordnung 2024\u002F2690 mit eigenen Schwellenwerten für Vorfälle in den Artikeln 11 bis 13: keine 30-Minuten-Regel, stattdessen ein Anteil der Nutzer.","2026-09-12","\nAnhang II der Richtlinie (EU) 2022\u002F2555 hat einen Sektor namens „Anbieter digitaler Dienste“ mit drei Zeilen: Anbieter von Online-Marktplätzen, von Online-Suchmaschinen und von Plattformen für Dienste sozialer Netzwerke. Es sind die einzigen Plattformgeschäfte, die die Richtlinie nennt, und sie stehen im Anhang der „sonstigen kritischen Sektoren“, nicht im Anhang der „hohen Kritikalität“, was etwas entscheidet, das die Rechtsabteilung einer Plattform als Erstes wissen will: Wie groß sie auch wird, sie ist eine wichtige Einrichtung und keine wesentliche, sofern ein Mitgliedstaat sie nicht dazu macht. Dieser Artikel nimmt die drei Definitionen, den Status, den Staat, das Register und die Schwellenwerte, die für diese drei gelten, und wo die Grenze zu einem SaaS-Unternehmen und zum Cyber Resilience Act verläuft.\n\n## Drei Definitionen, aus drei Rechtsakten entlehnt\n\nNIS2 definiert zwei der drei durch Verweis. Artikel 6(28) verweist für „Online-Marktplatz“ auf Artikel 2 Buchstabe n der Richtlinie 2005\u002F29\u002FEG, der lautet: „einen Dienst, der es Verbrauchern durch die Verwendung von Software, einschließlich einer Website, eines Teils einer Website oder einer Anwendung, die vom oder im Namen des Gewerbetreibenden betrieben wird, ermöglicht, Fernabsatzverträge mit anderen Gewerbetreibenden oder Verbrauchern, abzuschließen“. Artikel 6(29) verweist für „Online-Suchmaschine“ auf Artikel 2 Nummer 5 der Verordnung (EU) 2019\u002F1150: „einen digitalen Dienst, der es Nutzern ermöglicht, in Form eines Stichworts, einer Spracheingabe, einer Wortgruppe oder einer anderen Eingabe Anfragen einzugeben, um prinzipiell auf allen Websites oder auf allen Websites in einer bestimmten Sprache eine Suche zu einem beliebigen Thema vorzunehmen und Ergebnisse in einem beliebigen Format angezeigt zu bekommen, über die sie Informationen im Zusammenhang mit dem angeforderten Inhalt finden können“. Artikel 6(33) definiert die dritte selbst: Eine Plattform für Dienste sozialer Netzwerke ist „eine Plattform, auf der Endnutzer mit unterschiedlichen Geräten insbesondere durch Chats, Posts, Videos und Empfehlungen miteinander in Kontakt treten und kommunizieren sowie Inhalte teilen und entdecken können“.\n\nJede Definition hat eine Kante, die ein Geschäft ausschließt, das sich selbst so nennen würde. Die Marktplatzdefinition ist für Verbraucher geschrieben: Eine Plattform, auf der Gewerbetreibende nur mit anderen Gewerbetreibenden Verträge schließen, ist kein „Online-Marktplatz“ nach Artikel 2(n), wie groß sie auch ist, und eher ein Anbieter von Cloud-Computing-Diensten für die Software, die sie betreibt. Die Suchmaschinendefinition verlangt eine Suche „prinzipiell auf allen Websites“: Ein Suchfeld über eine Website, einen Katalog oder die Dokumente eines Unternehmens ist eine Funktion, keine Suchmaschine. Die Definition der sozialen Netzwerke verlangt, dass Endnutzer geräteübergreifend miteinander in Kontakt treten und kommunizieren, was ein Kommentarbereich unter Artikeln nicht erfüllt und eine Community-Plattform sehr wohl. [Die drei Zeilen stehen im Werkzeug zum Anwendungsbereich im Wortlaut, mit dem Rest der Anhänge I und II](\u002Fnis2\u002Fscope).\n\n## Wichtig, wie groß auch immer\n\nArtikel 2(1) erfasst eine Einrichtung einer aufgeführten Art ab mittlerer Größe: 50 Beschäftigte oder mehr, oder über 10 Mio. EUR sowohl beim Umsatz als auch bei der Bilanzsumme, gezählt für das Unternehmen mit seinen Partner- und verbundenen Unternehmen. Darunter ist eine Plattform als Einrichtung draußen, sofern ihr Mitgliedstaat sie nicht nach Artikel 2(2)(b) bis (e) ermittelt. Darüber ist die Plattform eine wichtige Einrichtung nach Artikel 3(2), und sie bleibt wichtig, wie groß sie auch ist, weil Artikel 3(1)(a), die Regel, die große Einrichtungen wesentlich macht, nur „Einrichtungen der in Anhang I aufgeführten Art“ erreicht. Die zwei Wege, auf denen eine Plattform aus Anhang II wesentlich wird, sind ein Akt des Mitgliedstaats nach Artikel 3(1)(e), der zuerst eine Ermittlung nach Artikel 2(2)(b) bis (e) braucht, und die Einstufung als kritische Einrichtung nach der Richtlinie (EU) 2022\u002F2557 (Artikel 3(1)(f)).\n\nWichtig bedeutet Aufsicht nach Artikel 33, im Nachhinein, auf Nachweise oder Hinweise auf Verstöße hin, und die Bußgeldobergrenze des Artikels 34(5) von mindestens 7 000 000 EUR oder 1,4 % des weltweiten Umsatzes, je nachdem, welcher Betrag höher ist. Die Maßnahmen des Artikels 21 und die Fristen des Artikels 23 sind dieselben wie bei einer wesentlichen Einrichtung. [Die sieben Wege, wesentlich zu sein, und was der Status ändert, sind ein eigener Artikel](\u002Farticles\u002Fessential-or-important-under-nis2-the-size-rule-the-size-blind-rules-and-the-seven-ways-to-be-essential).\n\n## Ein Staat, das Register und die Verordnung\n\nDie drei digitalen Anbieter stehen in der Liste des Artikels 26(1)(b), sodass die Zuständigkeit an den Mitgliedstaat der Hauptniederlassung in der Union geht, „den Mitgliedstaat, in dem die Entscheidungen im Zusammenhang mit den Risikomanagementmaßnahmen im Bereich der Cybersicherheit überwiegend getroffen werden“ (Artikel 26(2)), und eine außerhalb der Union niedergelassene Plattform, die ihren Dienst dort anbietet, benennt einen Vertreter in einem Mitgliedstaat, in dem sie das tut (Artikel 26(3)). Der Rechtsakt des Staats, wie der Kommission mitgeteilt, steht [im Umsetzungsregister](\u002Fnis2\u002Ftransposition).\n\nSie stehen auch in der Liste des Artikels 27: Die Plattform musste bis zum 17. Januar 2025 ihren Namen, Sektor, Anschriften, Kontaktdaten, bedienten Mitgliedstaaten und IP-Bereiche ihrer zuständigen Behörde für das Register der ENISA übermitteln und teilt Änderungen innerhalb von drei Monaten mit.\n\nUnd sie stehen in Artikel 1 der Durchführungsverordnung (EU) 2024\u002F2690, sodass die technischen und methodischen Anforderungen an die Maßnahmen des Artikels 21(2) der Anhang der Verordnung sind, 13 Abschnitte, in jedem Staat dieselben, [Abschnitt für Abschnitt ISO 27001 zugeordnet](\u002Fnis2\u002Fiso-27001-mapping).\n\n## Die Schwellenwerte sind ein Nutzeranteil, keine Uhr\n\nFür Cloud- und Managed-Service-Anbieter ist das erste Kriterium der Verordnung Zeit: ein Dienst, der mehr als 30 Minuten vollständig nicht verfügbar ist. Für die drei digitalen Anbieter ist es das nicht. Die Artikel 11, 12 und 13 geben Marktplätzen, Suchmaschinen und sozialen Netzwerken dieselben vier Kriterien, und keines hat eine Dauer: Die Plattform ist für mehr als 5 % ihrer Nutzer in der Union oder mehr als 1 Million von ihnen, je nachdem, welche Zahl niedriger ist, vollständig nicht verfügbar; mehr als 5 % oder mehr als 1 Million ihrer Nutzer in der Union sind von eingeschränkter Verfügbarkeit betroffen; die Integrität, Vertraulichkeit oder Authentizität gespeicherter, übermittelter oder verarbeiteter Daten ist infolge einer mutmaßlich böswilligen Handlung beeinträchtigt; oder beeinträchtigt mit Auswirkungen auf mehr als 5 % oder mehr als 1 Million ihrer Nutzer in der Union, je nachdem, welche Zahl niedriger ist. Die allgemeinen Kriterien des Artikels 3(1) gelten obendrein: der direkte finanzielle Verlust über 500 000 EUR oder 5 % des Umsatzes, der Abfluss von Geschäftsgeheimnissen, Tod oder schwere Gesundheitsschäden, der erfolgreiche und mutmaßlich böswillige Zugriff, der schwerwiegende Betriebsstörungen verursachen kann. Nutzer werden nach Artikel 3(3) als Kunden mit Vertrag plus die natürlichen und juristischen Personen gezählt, die Geschäftskunden zugeordnet sind und den Dienst nutzen, was bei einem Marktplatz Käufer und Verkäufer bedeutet und bei einer Suchmaschine oder einem sozialen Netzwerk die Menschen, die es nutzen.\n\nDie Folge für ein Vorfallsverfahren ist, dass die Plattform ihre Nutzerzahl in der Union und den von einem Ausfall betroffenen Anteil in den ersten Stunden kennen muss, weil diese Zahl der Erheblichkeitstest ist. Ein fünfminütiger Totalausfall einer Plattform mit 30 Millionen Nutzern in der Union ist ein erheblicher Vorfall; ein zweistündiger Ausfall für 2 % von ihnen ist es, allein nach der Verfügbarkeit, nicht. Dann Artikel 23: Frühwarnung innerhalb von 24 Stunden nach Kenntniserlangung, Meldung innerhalb von 72 Stunden, Abschlussbericht innerhalb eines Monats. [Die Uhren, mit den vollständig zitierten Schwellenwerten, sind ein eigener Artikel](\u002Farticles\u002Fnis2-or-cra-which-incident-clock-runs-for-a-software-company-and-what-makes-an-incident-significant).\n\n## Die Grenzen zu einem SaaS-Unternehmen und zum CRA\n\nEine Plattform ist für die Unternehmen, die auf ihr verkaufen oder werben, zugleich Software als Dienst, und ein Unternehmen kann für verschiedene Teile seines Angebots zugleich Marktplatz und Anbieter von Cloud-Computing-Diensten sein; die Zeile aus Anhang I bringt dann die Möglichkeit mit, durch Größe wesentlich zu sein. [NIS2 für ein SaaS-Unternehmen ist ein eigener Artikel](\u002Farticles\u002Fnis2-for-a-saas-company-you-are-a-cloud-computing-service-provider-and-this-is-what-follows). Der Cyber Resilience Act erreicht die Plattform nur dort, wo sie etwas Installiertes ausliefert: eine Mobile-App, einen Kassenclient für Verkäufer, ein SDK. Die im Browser genutzte Plattform ist nach der eigenen Lesart der Kommission der Verordnung (EU) 2024\u002F2847 kein Produkt mit digitalen Elementen, und die Vorfallsaufzeichnung ist eine Aufzeichnung mit dem NIS2-Formular und, für die App, dem CRA-Formular. [Welches Gesetz welchen Teil erreicht, ist der Artikel dafür](\u002Farticles\u002Fcra-or-nis2-which-one-applies-to-a-software-company).\n\n## Quellen\n\n- Richtlinie (EU) 2022\u002F2555 (NIS2), Artikel 2(1) und (2), Artikel 3(1) und (2), Artikel 6(28), (29) und (33), Artikel 21(2), Artikel 23(4), Artikel 26(1) bis (3), Artikel 27(1) bis (3), Artikel 33, Artikel 34(5), Anhang II Nummer 6.\n- Richtlinie 2005\u002F29\u002FEG, Artikel 2 Buchstabe n, geändert durch die Richtlinie (EU) 2019\u002F2161; Verordnung (EU) 2019\u002F1150, Artikel 2 Nummer 5.\n- Durchführungsverordnung (EU) 2024\u002F2690 der Kommission, Artikel 1, Artikel 3, Artikel 11 bis 13, Anhang.\n- Empfehlung 2003\u002F361\u002FEG der Kommission, Anhang, Artikel 2 und 3.\n\nDies ist keine Rechtsberatung. Der Rechtsakt des Mitgliedstaats benennt die Behörde, das Portal und das Formular und kann eine Plattform nach Artikel 2(2)(b) bis (e) ermitteln und nach Artikel 3(1)(e) wesentlich machen.\n",1789383965677]