NIS2-Mitarbeiterzahl berechnen: Teilzeit, Azubis, Konzern

Ob ein Betrieb unter NIS2 fällt, hängt oft an einer einzigen Zahl: 50 Mitarbeiter. Die Personalliste ist dafür aber die falsche Quelle. § 28 Abs. 4 BSIG verweist für Mitarbeiterzahl, Jahresumsatz und Jahresbilanzsumme auf die KMU-Empfehlung der EU-Kommission, und die zählt Jahresarbeitseinheiten statt Köpfe. Dieser Beitrag zeigt, wer mitzählt, wie Teilzeit und Saisonarbeit eingehen, wann Beteiligungen hinzugerechnet werden und wann das BSIG davon eine Ausnahme macht.

Welche Zahl § 28 BSIG meint

§ 28 BSIG kennt zwei Stufen. Wichtige Einrichtung ist nach Absatz 2 Nummer 3, wer einer Einrichtungsart aus Anlage 1 oder 2 zuzuordnen ist und mindestens 50 Mitarbeiter beschäftigt oder einen Jahresumsatz und eine Jahresbilanzsumme von jeweils über 10 Millionen Euro aufweist. Besonders wichtige Einrichtung ist nach Absatz 1 Nummer 4, wer einer Einrichtungsart aus Anlage 1 zuzuordnen ist und mindestens 250 Mitarbeiter beschäftigt oder einen Jahresumsatz von über 50 Millionen Euro und zudem eine Jahresbilanzsumme von über 43 Millionen Euro aufweist.

Wie diese Zahlen zu bestimmen sind, regelt § 28 Abs. 4 Satz 1 BSIG: Anzuwenden ist die Empfehlung der Kommission 2003/361/EG, mit Ausnahme von Artikel 3 Absatz 4 ihres Anhangs. Die ausgenommene Vorschrift besagt, dass ein Unternehmen kein KMU sein kann, wenn 25 % oder mehr seines Kapitals oder seiner Stimmrechte von öffentlichen Stellen kontrolliert werden. Für die NIS2-Einstufung spielt diese Regel damit keine Rolle. Nicht anzuwenden ist die Empfehlung außerdem auf rechtlich unselbstständige Organisationseinheiten einer Gebietskörperschaft.

Die Größe ist nicht bei jeder Einrichtungsart die Frage. Betreiber kritischer Anlagen, qualifizierte Vertrauensdiensteanbieter, TLD-Registries und DNS-Diensteanbieter gelten nach § 28 Abs. 1 Nr. 1 und 2 BSIG ohne Schwelle als besonders wichtige Einrichtung, Vertrauensdiensteanbieter nach Abs. 2 Nr. 1 als wichtige. Für alle anderen lohnt es sich, die Zählung sauber aufzusetzen, bevor man eine Selbstauskunft schreibt. Wie die beiden Stufen sich in den Pflichten unterscheiden, steht im Beitrag Besonders wichtig oder wichtig: die zwei Stufen des § 28 BSIG.

Jahresarbeitseinheiten: wer zählt und wie viel

Artikel 5 des Anhangs der Empfehlung definiert die Mitarbeiterzahl als Zahl der Jahresarbeitseinheiten (JAE). Eine JAE ist eine Person, die während des gesamten Berichtsjahres in Vollzeit für das Unternehmen gearbeitet hat. Wer nicht das ganze Jahr gearbeitet hat, wer in Teilzeit tätig war und wer Saisonarbeit geleistet hat, geht mit dem jeweiligen Bruchteil einer JAE ein.

Der Unterschied zur Kopfzahl kann groß sein. Ein Betrieb mit halben Stellen, einer Saison und Auszubildenden hat mehr Namen auf der Liste, als er Jahresarbeitseinheiten zählt; im Praxisbeispiel unten sind es 17. Umgekehrt gehen mitarbeitende Eigentümer ein, die nicht immer auf der Gehaltsliste stehen.

Für die Umrechnung braucht es je Person drei Angaben: die vertragliche Arbeitszeit im Verhältnis zur Vollzeit, die Monate der Beschäftigung im Berichtsjahr und die Monate eines Mutterschafts- oder Elternurlaubs. Wer diese drei Spalten laufend pflegt, kann die Zahl nach jedem Jahresabschluss ohne neue Erhebung bilden.

Beteiligungen und Konzern: eigenständig, Partner, verbunden

Kein Unternehmen wird allein betrachtet, wenn es Beteiligungen hat oder selbst beteiligt ist. Artikel 3 des Anhangs unterscheidet drei Typen, und Artikel 6 regelt, welche Daten hinzugerechnet werden. Das gilt für die Mitarbeiterzahl ebenso wie für Umsatz und Bilanzsumme.

Verbunden sind Unternehmen nicht nur über die Stimmrechtsmehrheit. Artikel 3 Absatz 3 nennt auch das Recht, die Mehrheit des Leitungs- oder Aufsichtsgremiums zu bestellen, einen beherrschenden Einfluss per Vertrag oder Satzung und die alleinige Kontrolle über die Stimmrechtsmehrheit per Absprache mit anderen Gesellschaftern. Partnerunternehmen liegen vor, wenn ein Unternehmen 25 % oder mehr des Kapitals oder der Stimmrechte eines anderen hält, ohne verbunden zu sein. Angerechnet wird dann der höhere der beiden Anteile. Für bestimmte Investoren, etwa Business Angels bis zu einer Investition von 1.250.000 Euro oder Universitäten ohne Gewinnzweck, bleibt das Unternehmen trotz 25 % eigenständig, solange diese Investoren nicht verbunden sind.

An dieser Stelle weicht das BSIG von der Empfehlung ab. Nach § 28 Abs. 4 Satz 2 BSIG sind die Daten von Partner- oder verbundenen Unternehmen nicht hinzuzurechnen, wenn das Unternehmen mit Blick auf Beschaffenheit und Betrieb seiner informationstechnischen Systeme, Komponenten und Prozesse von ihnen unabhängig ist. Maßgeblich sind die rechtlichen, wirtschaftlichen und tatsächlichen Umstände. Eine Tochter mit eigener IT kann also allein zählen, auch wenn sie im Konzern hängt.

Umsatz, Bilanzsumme und der richtige Stichtag

Artikel 4 Absatz 1 des Anhangs legt den Zeitraum fest: Die Angaben beziehen sich auf den letzten Rechnungsabschluss, werden auf Jahresbasis berechnet und ab dem Stichtag des Abschlusses berücksichtigt. Der Umsatz wird ohne Mehrwertsteuer und ohne sonstige indirekte Steuern oder Abgaben angesetzt. Ein neu gegründetes Unternehmen ohne Jahresabschluss schätzt die Daten nach Absatz 3 im laufenden Geschäftsjahr nach Treu und Glauben.

Artikel 4 Absatz 2 enthält eine Karenz: Über- oder unterschreitet ein Unternehmen am Stichtag die Schwellenwerte für Mitarbeiterzahl oder Bilanzsumme, wechselt es seinen Status als mittleres, kleines oder Kleinstunternehmen erst, wenn das in zwei aufeinanderfolgenden Geschäftsjahren geschieht. Der Verweis in § 28 Abs. 4 BSIG nimmt nur Artikel 3 Absatz 4 aus. Ob die Aufsicht diese Karenz aber auf die Einstufung als wichtige Einrichtung überträgt, sagt das BSIG nicht ausdrücklich. Wer sich bei einer knappen Überschreitung darauf stützen will, sollte das mit fachkundiger Beratung klären und die Begründung festhalten.

Beim Finanzweg gilt außerdem, was oft übersehen wird: Das Kriterium ist kumulativ. Über 10 Millionen Euro Umsatz allein genügen nicht, auch die Jahresbilanzsumme muss über 10 Millionen Euro liegen. Die Mitarbeiterschwelle steht dagegen mit einem „oder“ daneben und reicht für sich allein.

Sobald ein Unternehmen erstmals oder erneut als wichtige oder besonders wichtige Einrichtung gilt, läuft die Registrierung: § 33 Abs. 1 BSIG verlangt die Angaben spätestens drei Monate danach. Was dabei übermittelt wird, steht im Beitrag NIS2-Registrierung beim BSI.

Praxisbeispiel: 64 Namen, 47 Jahresarbeitseinheiten

Ein erfundenes Beispiel: Ein Maschinenbauer (Anlage 2 Nummer 5.4.1 BSIG) hat einschließlich der anteiligen Daten seiner Beteiligung 9 Millionen Euro Umsatz und 8 Millionen Euro Bilanzsumme im letzten Geschäftsjahr. Der Finanzweg scheidet damit aus, es entscheidet die Mitarbeiterzahl. Auf der Personalliste stehen 64 Namen.

• 38 Vollzeitkräfte, ganzjährig beschäftigt: 38 JAE
• 14 Teilzeitkräfte mit halber Stelle, ganzjährig: 7 JAE
• 6 Saisonkräfte, je 4 Monate in Vollzeit: 2 JAE
• 5 Auszubildende: 0 JAE
• 1 Vollzeitkraft, das ganze Jahr in Elternzeit: 0 JAE

Das Unternehmen selbst kommt auf 47 JAE und liegt unter 50. Es hält aber 30 % an einer Vertriebsgesellschaft mit 20 JAE. Die Gesellschaft ist nachgeschaltetes Partnerunternehmen, anteilig kommen 6 JAE hinzu. Mit 53 JAE wäre der Betrieb wichtige Einrichtung. Die Vertriebsgesellschaft arbeitet allerdings im selben Warenwirtschaftssystem und wird von derselben IT-Abteilung betreut. Eine Unabhängigkeit nach § 28 Abs. 4 Satz 2 BSIG lässt sich damit schwer begründen. Hätte sie eigene Systeme und eine eigene Betreuung, wäre die Frage offen und müsste im Einzelfall bewertet werden.

Die Umrechnung selbst nimmt RegelWerk Ihnen nicht ab: Die App fragt die Mitarbeiterzahl ab und rechnet mit der Zahl, die Sie eintragen, auch mit Nachkommastelle. Was sie übernimmt, ist der Schritt danach. Sie stuft nach § 28 BSIG ein. Fehlt eine Umsatz- oder Bilanzangabe, die über die Einstufung entscheidet, weist sie einen Prüffall aus statt einer Entwarnung. Bei Betroffenheit setzt sie die Registrierung nach § 33 BSIG mit drei Monaten auf die Roadmap. Wer als nicht betroffen eingestuft ist, bekommt mit angemeldetem Konto zwölf Monate nach dem letzten gespeicherten Check eine Erinnerung, die Schwellen erneut zu prüfen. Wie der gesamte Prüfweg aussieht, zeigt der NIS2-Betroffenheits-Check.

Häufige Fragen

Zählen Teilzeitkräfte bei NIS2 voll?

Nein, Teilzeitkräfte zählen nur anteilig. § 28 Abs. 4 BSIG verweist auf die Empfehlung 2003/361/EG, und deren Anhang zählt nach Artikel 5 Jahresarbeitseinheiten: Für Teilzeit, Saisonarbeit und unterjährige Beschäftigung geht der jeweilige Bruchteil einer Vollzeitstelle ein.

Zählen Auszubildende zur NIS2-Mitarbeiterzahl?

Nein, Auszubildende mit Lehr- oder Berufsausbildungsvertrag gehen nicht ein. Das bestimmt Artikel 5 des Anhangs der Empfehlung 2003/361/EG, auf die § 28 Abs. 4 BSIG verweist. Ebenso wird die Dauer eines Mutterschafts- oder Elternurlaubs nicht mitgerechnet.

Muss eine Tochtergesellschaft bei NIS2 die Mitarbeiter des Konzerns mitzählen?

Grundsätzlich ja: Die Daten verbundener Unternehmen werden nach Artikel 6 des Anhangs der Empfehlung 2003/361/EG zu 100 % addiert, die von Partnerunternehmen anteilig. § 28 Abs. 4 Satz 2 BSIG macht eine Ausnahme, wenn das Unternehmen bei seinen IT-Systemen, Komponenten und Prozessen rechtlich, wirtschaftlich und tatsächlich unabhängig ist.

Welcher Zeitraum gilt für Mitarbeiterzahl und Umsatz bei NIS2?

Maßgeblich ist der letzte Rechnungsabschluss, die Daten werden auf Jahresbasis berechnet. So regelt es Artikel 4 Absatz 1 des Anhangs der Empfehlung 2003/361/EG. Der Umsatz zählt ohne Mehrwertsteuer, und ein neu gegründetes Unternehmen schätzt seine Daten nach Treu und Glauben.

Das Wichtigste in Kürze

Hinweis: Dieser Beitrag ersetzt keine Rechts- oder Steuerberatung. Die Einstufung ersetzt keine Prüfung im Einzelfall – wenden Sie sich dafür an fachkundige Beratung.