NIS2: Vernachlässigbare Geschäftstätigkeiten nach § 28 Abs. 3 BSI-Gesetz

Mit der späten Umsetzung der zweiten Richtlinie zur Sicherung von Netz- und Informationssystemen (NIS2-RL) im BSIG hat der deutsche Gesetzgeber teilweise einen Alleingang gewagt: § 28 Abs. 3 BSIG schränkt den Anwendungsbereich ein, indem er anordnet, dass Geschäftstätigkeiten unberücksichtigt bleiben, die im Hinblick auf die Gesamttätigkeit der Einrichtung vernachlässigbar sind. Das kann Unternehmen entlasten, wirft in der Praxis aber zwei zentrale Fragen auf: (i) ob die Ausnahme unionsrechtskonform und damit überhaupt anwendbar ist und (ii) wann eine Tätigkeit als vernachlässigbar gilt. Der Beitrag behandelt beide Probleme und gibt praxistaugliche Ratschläge für deren Handhabung.