Einordnung kommunaler Abfallwirtschaftsbetriebe als „wichtige“ und „besonders wichtige“ Einrichtungen im Sinne des § 28 BSIG
Ende 2025 wurde das Gesetz zur Umsetzung der NIS-2-Richtlinie und zur Regelung wesentlicher Grundzüge des Informationssicherheitsmanagements in der Bundesverwaltung (BSIG) erlassen. Die Frage, wann eine Einrichtung als besonders wichtige oder wichtige Einrichtung im Sinne des § 28 BSIG einzustufen ist, stellt seitdem auch kommunale Betriebe im Bereich der Abfallwirtschaft in der Praxis immer wieder vor Herausforderungen. Die rechtliche Einordnung ist dabei von erheblicher Bedeutung, da sie maßgeblich darüber entscheidet, ob und in welchem Umfang Melde- und Registrierungspflichten bestehen und besondere IT-Sicherheitsvorkehrungen zu treffen sind.
Fragestellung: welche Tätigkeitsbereiche sind relevant?
Vor dieser Frage stand jüngst auch ein von [GGSC] vertretener niedersächsischer Landkreis. Entscheidend für die Beurteilung der Einordnung als „besonders wichtige“ bzw. „wichtige“ Einrichtung war in diesem Zusammenhang, welcher konkrete Tätigkeitsbereich des Regiebetriebes der Berechnung der in § 28 Abs. 1 Nr. 4 bzw. Abs. 2 Nr. 3 BSIG festgelegten Schwellenwerte zugrunde zu legen ist – der organisatorisch abgegrenzte Regiebetrieb als Ganzes oder nur derjenige Teil, der mit eigenem Personal und eigenen Betriebsmitteln operativ im Rahmen der Abfallbewirtschaftung tätig wird.
Keine Einbeziehung von rein hoheitlichen Tätigkeiten
Im Rahmen der Begutachtung hat [GGSC] die Auffassung vertreten, dass bei der Berechnung der Schwellenwerte ausschließlich die operativen Entsorgungs- und Verwertungstätigkeiten des Regiebetriebs zu berücksichtigen sind, die dieser mit eigenem Personal und eigenen Betriebsmitteln durchführt. Rein hoheitliche Tätigkeiten und das ausschließlich hierfür eingesetzte Personal sollten hingegen unberücksichtigt bleiben. Dies betrifft insbesondere Gebühreneinnahmen aus hoheitlich veranlassten Verwaltungstätigkeiten sowie Personal, das ausschließlich mit hoheitlichen Aufgaben, etwa der Gebührenerhebung, betraut ist.
Bestätigung des BSI und Bedeutung in der Praxis
Das BSI hat diese Rechtsauffassung bestätigt und klargestellt, dass die mit dem BSIG angestrebte Regulierung maßgeblich an das Vorliegen einer wirtschaftlichen Tätigkeit der jeweiligen Organisationseinheit anknüpft. Eine Berücksichtigung von Gebühreneinnahmen aus rein hoheitlicher Verwaltungstätigkeit oder des Personals, das ausschließlich mit hoheitlichen Verwaltungsaufgaben befasst ist, erscheine im Lichte des Schutzzwecks des BSIG – der Sicherung der kritischen bzw. operativen Infrastruktur – gerade nicht sachgerecht.
Aber Achtung: Diese Einschätzung steht grundsätzlich unter dem Vorbehalt, ob und in welchem Umfang das jeweilige Bundesland im Rahmen der NIS-2-Umsetzung eigene Cybersicherheitsanforderungen für die kommunale Ebene erlässt.