Die Frage kommt in zwei Formen: „Müssen wir uns nach NIS2 registrieren?" und „Wir haben die Registrierungsfrist verpasst, was jetzt?". Beide haben dieselbe erste Antwort: Es gibt in der Richtlinie (EU) 2022/2555 zwei Registrierungen, mit verschiedenen Einrichtungen, verschiedenen Angaben, verschiedenen Fristen und verschiedenen Empfängern, und die meisten Unternehmen, die fragen, stehen auf einer Liste und einige auf beiden. Dieser Artikel sind die zwei Listen, wie die Richtlinie sie schreibt, gelesen aus dem Text, mit den Terminen und dem, was aufzubewahren ist.

Die erste Liste: jede wesentliche und wichtige Einrichtung (Artikel 3(3) und (4))

Artikel 3(3): „Bis zum 17. April 2025 erstellen die Mitgliedstaaten eine Liste von wesentlichen und wichtigen Einrichtungen und von Einrichtungen, die Domänennamen-Registrierungsdienste erbringen", regelmäßig überprüft und aktualisiert, „mindestens jedoch alle zwei Jahre". Die Liste ist die des Staats, nicht die der Einrichtung, aber die Einrichtung speist sie. Artikel 3(4) lässt die Mitgliedstaaten vorschreiben, dass diese Einrichtungen den zuständigen Behörden „mindestens die folgenden Informationen übermitteln":

Artikel 3(4) Was übermittelt wird
(a) Der Name der Einrichtung
(b) Die Anschrift und aktuellen Kontaktdaten, „einschließlich der E-Mail-Adressen, IP-Adressbereiche und Telefonnummern"
(c) Gegebenenfalls der relevante Sektor und Teilsektor gemäß Anhang I oder II
(d) Gegebenenfalls eine Liste der Mitgliedstaaten, in denen die Einrichtung Dienste im Anwendungsbereich der Richtlinie erbringt

Änderungen werden „unverzüglich mit[geteilt], in jedem Fall jedoch innerhalb von zwei Wochen ab dem Zeitpunkt der Änderung". Die Kommission stellt mit der ENISA Leitlinien und Vorlagen bereit, und die Mitgliedstaaten „können nationale Mechanismen für die Registrierung von Einrichtungen einrichten", was das Selbstregistrierungsportal ist, dem ein Unternehmen in der Praxis begegnet. „Mindestens" heißt, dass ein Staat über diese Mechanismen mehr verlangen kann.

Artikel 3(5) sagt, wozu die Liste dient: Bis zum 17. April 2025 und danach alle zwei Jahre melden die zuständigen Behörden der Kommission und der Kooperationsgruppe die Zahl der wesentlichen und wichtigen Einrichtungen je Sektor und Teilsektor, und der Kommission Angaben zu den Einrichtungen, die nach den größenunabhängigen Regeln des Artikels 2(2) Buchstaben (b) bis (e) ermittelt wurden. Die Liste ist, wie eine Aufsicht weiß, wen sie beaufsichtigt, und wie die Union ihre regulierte Population zählt.

Die zweite Liste: das Register digitaler Einrichtungen der ENISA (Artikel 27)

Artikel 27(1) lässt die ENISA ein Register von elf Arten von Einrichtungen „erstellen und pflegen": DNS-Diensteanbieter, TLD-Namenregister, Einrichtungen, die Domänennamen-Registrierungsdienste erbringen, Anbieter von Cloud-Computing-Diensten, Anbieter von Rechenzentrumsdiensten, Betreiber von Inhaltszustellnetzen, Anbieter von verwalteten Diensten, Anbieter von verwalteten Sicherheitsdiensten sowie Anbieter von Online-Marktplätzen, Online-Suchmaschinen und Plattformen für Dienste sozialer Netzwerke. Das sind die Einrichtungen, deren Zuständigkeit ihrer Hauptniederlassung folgt statt jedem Staat, den sie bedienen (Artikel 26(1)(b)), weshalb die Union ein Register von ihnen will. Ein SaaS-Unternehmen ist ein Anbieter von Cloud-Computing-Diensten, und ein MSP oder MSSP steht per Definition auf der Liste, also stehen die meisten Software- und IT-Dienstleistungsunternehmen, die überhaupt in den Anwendungsbereich fallen, auch auf dieser zweiten Liste.

Artikel 27(2) lässt die Mitgliedstaaten von diesen Einrichtungen verlangen, „bis zum 17. Januar 2025" Folgendes zu übermitteln:

Artikel 27(2) Was übermittelt wird
(a) Der Name der Einrichtung
(b) Gegebenenfalls der einschlägige Sektor, Teilsektor und die Art der Einrichtung gemäß Anhang I oder II
(c) Die Anschrift der Hauptniederlassung der Einrichtung und ihrer sonstigen Niederlassungen in der Union oder, falls sie nicht in der Union niedergelassen ist, ihres nach Artikel 26(3) benannten Vertreters
(d) Aktuelle Kontaktdaten, einschließlich E-Mail-Adressen und Telefonnummern der Einrichtung und gegebenenfalls ihres Vertreters
(e) Die Mitgliedstaaten, in denen die Einrichtung Dienste erbringt
(f) Die IP-Adressbereiche der Einrichtung

Änderungen werden „unverzüglich", „in jedem Fall aber innerhalb von drei Monaten ab dem Tag der Änderung" mitgeteilt (Artikel 27(3)). Die zentrale Anlaufstelle leitet die Angaben an die ENISA weiter, mit Ausnahme der Angaben nach Absatz 2 Buchstabe (f): Die IP-Adressbereiche bleiben national (Artikel 27(4)). Wo ein Staat einen nationalen Selbstregistrierungsmechanismus nach Artikel 3(4) hat, läuft die Übermittlung nach Artikel 27 darüber (Artikel 27(5)). Das Register ist nicht öffentlich: Die ENISA ermöglicht den zuständigen Behörden auf Ersuchen den Zugang, „wobei sie gegebenenfalls für den Schutz der Vertraulichkeit der Informationen sorgt" (Artikel 27(1)), sodass ein Unternehmen sich dort nicht selbst nachschlagen und ein Kunde dort keinen Lieferanten prüfen kann.

Welcher Staat, und was die Registrierung nicht entscheidet

Empfänger ist die zuständige Behörde des Staats, der die Zuständigkeit hat. Für die meisten Einrichtungen ist das der Niederlassungsstaat (Artikel 26(1)); für die elf digitalen Arten ist es der Staat der Hauptniederlassung, der Mitgliedstaat, „in dem die Entscheidungen im Zusammenhang mit den Maßnahmen zum Cybersicherheitsrisikomanagement vorwiegend getroffen werden", hilfsweise der, in dem die Cybersicherheitsmaßnahmen durchgeführt werden, hilfsweise die Niederlassung mit den meisten Beschäftigten in der Union (Artikel 26(2)). Eine nicht in der Union niedergelassene Einrichtung, die diese Dienste dort anbietet, benennt einen Vertreter in einem der Staaten, in denen sie das tut (Artikel 26(3)), und registriert sich dort. Die Seite jedes Mitgliedstaats nennt das Gesetz, das der Staat als sein NIS2-Gesetz mitgeteilt hat, und sein CSIRT; das Umsetzungsregister ist, wo der nationale Mechanismus zu finden ist, denn die Richtlinie nennt ihn nicht.

Die Registrierung entscheidet nicht, ob Sie wesentlich oder wichtig sind; das tun die Größenregel und die größenunabhängigen Regeln, und die Liste des Staats hält das Ergebnis fest. Nicht registriert zu sein nimmt Sie nicht aus dem Anwendungsbereich: Artikel 3(4) ist eine Pflicht der Einrichtung, und Artikel 36 lässt die Mitgliedstaaten Sanktionen für Verstöße gegen die nationalen Vorschriften festlegen, „wirksam, verhältnismäßig und abschreckend", und dort wird eine verspätete oder fehlende Registrierung geahndet. Die beiden Termine, 17. Januar 2025 und 17. April 2025, sind verstrichen; eine Einrichtung, die sie verpasst hat, hat die Pflicht weiterhin und erfüllt sie, indem sie jetzt übermittelt, über den nationalen Mechanismus, wo es einen gibt, und von da an die Zwei-Wochen- und Drei-Monats-Fristen für Änderungen einhält.

Der Nachweis, den es zu führen gilt

Was die Frage einer Behörde übersteht, ist ein Registrierungsnachweis: die übermittelten Angaben, nach welchem Artikel, an welche Behörde, an welchem Tag, mit der Bestätigung; und ein Änderungsprotokoll, denn die Angaben, die sich am häufigsten ändern, Kontaktdaten, IP-Adressbereiche, die bedienten Staaten, sind die mit einer Frist von zwei Wochen oder drei Monaten. Die Art nach Anhang I oder II in Buchstabe (b) des Artikels 27(2) ist dieselbe Zeile, von der die Feststellung des Anwendungsbereichs ausgeht, in der Sprache des Lesers, und der Staat, den sie nennt, ist der, dessen Behörde die Übermittlung erhält.

Quellen

  • Richtlinie (EU) 2022/2555 (NIS2), Artikel 2(2), Artikel 3(3) bis (5), Artikel 26(1) bis (3), Artikel 27, Artikel 36, Erwägungsgrund 117.

Dies ist keine Rechtsberatung. Der Registrierungsmechanismus, das Formular und die Sanktion für einen verpassten Termin stehen im Umsetzungsgesetz jedes Mitgliedstaats, das nach der Richtlinie der Text ist, den es zu lesen gilt.