Kurz zusammengefasst:  Seit kurzem unterliegen zahlreiche Unternehmen der Schifffahrt den Cybersicherheitspflichten des geänderten Gesetzes über das Bundesamt für Sicherheit in der Informationstechnik und über die Sicherheit in der Informationstechnik von Einrichtungen ("BSIG"). Uns erreichen weiterhin Fragen zu diesem Thema. Passagier- und Frachtbeförderungsunternehmen, die bestimmte Mitarbeiter- oder Umsatzgrenzwerte überschreiten, werden als "wichtige" oder "besonders wichtige Einrichtungen" erfasst. Wer noch nicht gehandelt hat, sollte dies dringend tun – es drohen erhebliche Bußgelder und eine persönliche Haftung der Geschäftsleitung.

Hintergrund

Die europäische NIS-2-Richtlinie (EU) 2022/2555 vom 14. Dezember 2022 ("NIS-2") verfolgt das Ziel, ein hohes gemeinsames Cybersicherheitsniveau in der Union sicherzustellen. Die Umsetzung der Richtlinie findet sich im BSIG. Dessen wesentliche Pflichten wurden durch das NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz geändert und gelten in der neuen Fassung seit dem 6. Dezember 2025. Die Schifffahrt gehört als Teil des Sektors "Transport und Verkehr" zu den "Sektoren mit hoher Kritikalität" (Anhang I der Richtlinie) – erfasste Unternehmen unterliegen dem Aufsichtsregime des BSIG.

Wer ist betroffen?

Unternehmen aus wichtigen Sektoren wie z.B. "Transport und Verkehr" sind betroffen, sofern bestimmte Schwellenwerte überschritten werden. Einzelne Schiffe sind ausdrücklich nicht erfasst – Adressat ist stets das Unternehmen an Land.

Sowohl die NIS-2-Richtlinie (Anhang I, Teilsektor Schifffahrt) als auch das deutsche BSIG (Anlage 1) verweisen innerhalb des Sektors "Transport und Verkehr" auf "Passagier- und Frachtbeförderungsunternehmen der Binnen-, See- und Küstenschifffahrt, wie sie in Anhang I der Verordnung (EG) Nr. 725/2004 für die Schifffahrt definiert sind, ausschließlich der einzelnen von diesen Unternehmen betriebenen Schiffe.“

Welche Unternehmen damit gemeint sind, ist Auslegungsfrage. Soweit ersichtlich gibt es bisher keine verlässlichen Aussagen des Bundesamtes für Sicherheit in der Informationstechnik (BSI), der Agentur der Europäischen Union für Cybersicherheit (ENISA) oder Entscheidungen durch die Rechtsprechung, die bei der Auslegung helfen würden.

Offene Auslegungsfrage: Wer ist „Beförderungsunternehmen“?

Die Verweistechnik des BSIG auf die VO (EG) Nr. 725/2004 wirft eine in der Praxis bedeutsame Auslegungsfrage auf.

Verwiesen wird auf Passagier- und Frachtbeförderungsunternehmen der Binnen-, See- und Küstenschifffahrt, wie sie in Anhang I der Verordnung (EG) Nr. 725/2004 definiert sind. Die VO 725/2004 definiert in Anhang I (Regel 1.7 i.V.m. SOLAS Regel IX/1) allerdings nur den Begriff "Unternehmen“ (Company) als dasjenige Unternehmen, das die Verantwortung für den Betrieb des Schiffes übernommen hat – in der Praxis also den ISM-Manager, der das Document of Compliance (DOC) hält. Eine Definition von „Passagier- oder Frachtbeförderungsunternehmen" enthält der Anhang nicht. Der Verweis wird in der Literatur unterschiedlich bewertet:

Redaktionsversehen: Teilweise wird der Verweis als redaktioneller Fehler eingeordnet. Der EU-Gesetzgeber habe nur die Betreiber derjenigen Schiffe erfassen wollen, die unter den Anwendungsbereich der VO (EG) Nr. 725/2004 fallen – also insbesondere Passagierschiffe und Frachtschiffe ab 500 BRZ in internationaler Fahrt. Diese Lesart würde den Anwendungsbereich erheblich einschränken und insbesondere die Binnenschifffahrt weitgehend ausnehmen.

Bezugnahme auf den SOLAS-Unternehmensbegriff: Nach einer anderen Auffassung ist der Verweis kein Versehen, sondern eine terminologische Bezugnahme auf den im internationalen Seerecht etablierten Unternehmensbegriff. Anhang I der VO 725/2004 dient der Umsetzung der SOLAS-Konvention und übernimmt deren Begriffsbestimmungen, einschließlich des funktionalen Unternehmensbegriffs. Danach knüpft die Richtlinie – im Einklang mit ihrem organisationsbezogenen Regelungsansatz – an die für den Schiffsbetrieb verantwortlichen Unternehmen an, ohne den Anwendungsbereich auf bestimmte Schiffskategorien zu beschränken. Diese Auslegung hätte zur Folge, dass auch Unternehmen der Binnenschifffahrt als potenzielle Adressaten in Betracht kommen, obwohl sie nicht dem SOLAS-Regime unterliegen. Der in der Praxis für den Schiffsbetrieb verantwortliche ISM-Manager wäre dann der primäre Adressat.

Wirtschaftsfunktionale Auslegung: Schließlich lässt sich argumentieren, dass die NIS-2-Richtlinie und das BSIG mit dem eigenständigen Begriff "Passagier- und Frachtbeförderungsunternehmen" auf die wirtschaftliche Funktion abstellen und gerade nicht den engeren SOLAS-Begriff "Company" übernommen haben. Danach wären alle Unternehmen erfasst, die wirtschaftlich Fracht- oder Passagierbeförderung betreiben – also auch Reeder und Schiffseigentümer, die das operative ISM-Management an einen externen Manager ausgelagert haben.

Es bleibt abzuwarten, wie das BSI den Begriff auslegen wird und ob die Gerichte dieser Auslegung folgen werden.

Angesichts der erheblichen Bußgeldrisiken sollten sich Unternehmen daher nicht voreilig auf eine engere Auslegung verlassen, sondern vorsorglich davon ausgehen, dass sie in den Anwendungsbereich fallen. Jedenfalls ist eine gründliche Dokumentation der Entscheidung empfehlenswert.

Schwellenwerte

Der Gesetzgeber unterscheidet zwischen großen, mittelgroßen und kleinen Unternehmen. Kleine Unternehmen sind solche, die unterhalb der nachfolgenden Schwellenwerte liegen. Es treffen sie keine Verpflichtungen nach NIS-2 bzw. dem BSIG, soweit keine wichtigen oder besonders wichtigen Einrichtungen betrieben werden.

Bei großen und mittelgroßen Unternehmen unterscheidet sich der Pflichtenkatalog. Unternehmen werden wie folgt eingeordnet:

• Mittelgroße Unternehmen sind Unternehmen, die mindestens 50 Mitarbeiter beschäftigen oder einen Umsatz und eine Bilanzsumme von jeweils über 10 Mio. € aufweisen.

• Große Unternehmen sind solche, die mindestens 250 Beschäftigte haben oder einen Jahresumsatz über 50 Mio. € und eine Jahresbilanzsumme von über 43 Mio. € aufweisen.

Grundsätzlich werden auch verbundene und Partnerunternehmen (mit einer Beteiligung ab 25%) im In- und Ausland bei der Prüfung der Schwellenwerte berücksichtigt, es sei denn, das Unternehmen betreibt seine informationstechnischen Systeme unabhängig von den verbundenen Unternehmen.

Bei der Betrachtung der Schwellenwerte für das einzelne Unternehmen werden saisonale Ausreißer nicht beachtet. Der Status eines Unternehmens ändert sich erst, wenn die Schwellenwerte in zwei aufeinander folgenden Jahren über- oder unterschritten werden.

Welche Pflichten gelten?

Betroffene Unternehmen müssen geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen ergreifen, um Störungen der Verfügbarkeit, Integrität und Vertraulichkeit der informationstechnischen Systeme, Komponenten und Prozesse, die sie für die Erbringung ihrer Dienste nutzen, zu vermeiden und Auswirkungen von Sicherheitsvorfällen möglichst gering zu halten (§ 30 Abs. 1 BSIG).

Konkret müssen erfasste Unternehmen insbesondere:

• sich beim Bundesamt für Sicherheit in der Informationstechnik (BSI) registrieren;

• ein umfassendes Cybersicherheits-Risikomanagement einführen (§ 30 BSIG), das mindestens zehn gesetzlich vorgegebene Maßnahmenbereiche abdeckt (u.a. Risikoanalyse, Vorfallsbewältigung, Lieferkettensicherheit, Kryptografie, Zugriffskontrolle);

• erhebliche Sicherheitsvorfälle innerhalb enger Fristen an das BSI melden (§ 32 BSIG); und

• sicherstellen, dass die Geschäftsleitung die Risikomanagementmaßnahmen genehmigt, deren Umsetzung überwacht und an Cybersicherheitsschulungen teilnimmt (§ 38 BSIG).

Die persönliche Haftung der Geschäftsleitung für Verstöße gegen diese Pflichten ist gesetzlich ausdrücklich vorgesehen. Ferner können bei Verstößen Bußgelder von bis zu 10 Mio. EUR oder 2 % des weltweiten Jahresumsatzes verhängt werden. Für eine verspätete Registrierung drohen reduzierte Bußgelder.

Abgrenzung zu Betreibern von kritischer Infrastruktur

Die NIS-2-Pflichten sind nicht mit den Pflichten von Betreibern von kritischer Infrastruktur zu verwechseln, z. B. Leitzentralen, Hafeninformationssysteme, die sich auch aus dem BSIG ergeben. Die NIS-2-Pflichten gelten hingegen für Unternehmen bestimmter Branchen insgesamt, unabhängig davon, ob sie einzelne als "kritisch" eingestufte Anlagen betreiben.

Handlungsbedarf

Unternehmen, die bislang noch keine Maßnahmen ergriffen haben, sollten umgehend prüfen, ob sie in den Anwendungsbereich des BSIG und unter die neu eingefügten NIS-2-Pflichten fallen. Gegebenenfalls ist eine Registrierung beim BSI vorzunehmen sowie mit der Umsetzung der Risikomanagementpflichten zu beginnen. Die Pflichten unter dem BSIG gelten unabhängig von einer Registrierung, die innerhalb von drei Monaten nach Inkrafttreten des reformierten BSIG hätte erfolgen müssen. Angesichts der offenen Auslegungsfrage zum Adressatenkreis empfiehlt sich für alle Unternehmen im Schifffahrtssektor eine sorgfältige Prüfung. Unternehmen, die sich gegen eine Registrierung entscheiden, sollten dokumentieren, warum sie unter dem BSIG nicht verpflichtet sind.

Wenn Sie weitere Fragen hierzu haben, wenden Sie sich gerne an Ihre Kontaktperson bei EHLERMANN RINDFLEISCH GADOW, an Hanno Geißler oder Sven Deters.