§ 37 BSIG: Ausnahmebescheid — teilweise oder vollständige Befreiung von Pflichten

Rechtsgrundlage (BSIG)

BSIG § 37

> (1) Das Bundesministerium des Innern kann auf Vorschlag des Bundeskanzleramtes, des Bundesministeriums der Justiz und für Verbraucherschutz, des Bundesministeriums für Verteidigung, des Bundesministeriums der Finanzen, der Ministerien für Inneres und der Justiz der Länder oder auf eigenes Betreiben eine besonders wichtige Einrichtung oder eine wichtige Einrichtung von Verpflichtungen nach diesem Gesetz nach Maßgabe des Absatzes 2 teilweise befreien (einfacher Ausnahmebescheid) oder nach Maßgabe des Absatzes 3 insgesamt befreien (erweiterter Ausnahmebescheid), sofern die Einrichtung Vorgaben einhält, die den Verpflichtungen nach diesem Gesetz gleichwertig sind. Die Entscheidung nach Satz 1 erfolgt mit dem jeweils zuständigen Ressort im Einvernehmen, im Fall der Ministerien für Inneres und der Justiz der Länder im Benehmen. (2) Einrichtungen, die 1.in den Bereichen nationale Sicherheit, öffentliche Sicherheit, Verteidigung oder Strafverfolgung, einschließlich der Verhütung, Ermittlung, Aufdeckung und Verfolgung von Straftaten, (relevante Bereiche) tätig sind oder Dienste erbringen oder 2.ausschließlich für Behörden, die Aufgaben in relevanten Bereichen erfüllen, tätig sind oder Dienste erbringen, können für diese Tätigkeiten oder Dienste von den Risikomanagementmaßnahmen nach § 30 und den Meldepflichten nach § 32 befreit werden. Die Sicherheit in der Informationstechnik dieser Einrichtungen muss in diesen Fällen anderweitig gewährleistet sein und beaufsichtigt werden. (3) Einrichtungen, die ausschließlich in relevanten Bereichen tätig sind oder Dienste erbringen, können insgesamt von den in Absatz 2 genannten Pflichten und von den Registrierungspflichten nach den §§ 33 und 34 befreit werden. Absatz 2 Satz 2 gilt entsprechend. (4) Die Absätze 1 bis 3 gelten nicht, wenn die betreffende Einrichtung ein Vertrauensdiensteanbieter ist. (5) Ein Ausnahmebescheid nach diesem Gesetz ist zu widerrufen, wenn nachträglich Tatsachen eintreten, die zur Ablehnung einer Erteilung einer Ausnahme hätten führen müssen. Abweichend von Satz 1 kann im Falle eines vorübergehenden Wegfalls der Voraussetzungen des Absatzes 2 Satz 1 Nummer 1 oder 2 von einem Widerruf abgesehen werden.

Was das in der Praxis bedeutet

Nicht jede Einrichtung muss alle Pflichten des BSIG erfüllen. Das Bundesministerium des Innern kann eine besonders wichtige oder eine wichtige Einrichtung von Verpflichtungen nach diesem Gesetz befreien. Dafür gibt es zwei Stufen: den einfachen Ausnahmebescheid (teilweise Befreiung) und den erweiterten Ausnahmebescheid (Befreiung insgesamt). Voraussetzung ist in beiden Fällen, dass die Einrichtung Vorgaben einhält, die den Verpflichtungen nach diesem Gesetz gleichwertig sind. Eine Befreiung ist also kein Nachlass beim Sicherheitsniveau, sondern die Anerkennung eines gleichwertigen anderen Regelwerks.

Der Anstoß kann von verschiedenen Stellen kommen: vom Bundeskanzleramt, vom Bundesministerium der Justiz und für Verbraucherschutz, vom Bundesministerium der Verteidigung, vom Bundesministerium der Finanzen, von den Ministerien für Inneres und der Justiz der Länder oder vom Bundesministerium des Innern selbst. Entschieden wird mit dem jeweils zuständigen Ressort im Einvernehmen; bei den Ministerien für Inneres und der Justiz der Länder genügt das Benehmen. Eine Einrichtung kann eine Ausnahme also nicht im Alleingang für sich beanspruchen – es handelt sich um eine behördeninterne Entscheidung.

Wer kommt in Betracht? Der einfache Ausnahmebescheid richtet sich an Einrichtungen, die in den Bereichen nationale Sicherheit, öffentliche Sicherheit, Verteidigung oder Strafverfolgung – einschließlich der Verhütung, Ermittlung, Aufdeckung und Verfolgung von Straftaten – tätig sind oder Dienste erbringen (relevante Bereiche), oder die ausschließlich für Behörden tätig sind, die Aufgaben in diesen Bereichen erfüllen. Befreit werden können sie für diese Tätigkeiten oder Dienste von den Risikomanagementmaßnahmen und den Meldepflichten. Der erweiterte Ausnahmebescheid kommt nur für Einrichtungen in Betracht, die ausschließlich in relevanten Bereichen tätig sind; hier kann zusätzlich eine Befreiung von den Registrierungspflichten erfolgen. In beiden Fällen gilt: Die Sicherheit in der Informationstechnik muss anderweitig gewährleistet sein und beaufsichtigt werden.

Zwei Grenzen sind wichtig. Erstens gelten diese Regelungen nicht für Vertrauensdiensteanbieter – für sie ist eine Ausnahme ausgeschlossen. Zweitens ist ein Ausnahmebescheid zu widerrufen, wenn nachträglich Tatsachen eintreten, die zur Ablehnung einer Erteilung hätten führen müssen. Fallen die Voraussetzungen nur vorübergehend weg, kann von einem Widerruf abgesehen werden. Eine Ausnahme ist damit kein dauerhafter Freibrief, sondern an den Fortbestand der Voraussetzungen gebunden.

Was das Unternehmen tun sollte

Schritt 1: Prüfen Sie nüchtern, ob Ihre Einrichtung überhaupt in den Anwendungsbereich fällt. Dokumentieren Sie, ob Sie in den Bereichen nationale Sicherheit, öffentliche Sicherheit, Verteidigung oder Strafverfolgung tätig sind oder Dienste erbringen – oder ob Sie ausschließlich für Behörden tätig sind, die Aufgaben in diesen Bereichen erfüllen. Halten Sie dabei sauber getrennt fest, welche Tätigkeiten und Dienste betroffen sind und welche nicht: Der einfache Ausnahmebescheid wirkt nur für diese Tätigkeiten oder Dienste. Nur wer ausschließlich in den relevanten Bereichen tätig ist, kommt für den erweiterten Ausnahmebescheid in Betracht. Sind Sie Vertrauensdiensteanbieter, erübrigt sich die Prüfung – eine Ausnahme ist für Sie ausgeschlossen.

Schritt 2: Weisen Sie die Gleichwertigkeit nach. Eine Befreiung setzt voraus, dass Sie Vorgaben einhalten, die den Verpflichtungen nach dem BSIG gleichwertig sind. Erstellen Sie dafür eine belastbare Gegenüberstellung: Welche eigenen oder ressortspezifischen Vorgaben decken welche Anforderungen ab – insbesondere im Bereich Risikomanagement und Meldewesen? Ergänzen Sie einen Nachweis, wie die Sicherheit in der Informationstechnik anderweitig gewährleistet und beaufsichtigt wird, einschließlich der Frage, wer diese Aufsicht konkret ausübt. Ohne diesen Nachweis trägt kein Ausnahmebescheid.

Schritt 3: Klären Sie den Weg über das zuständige Ressort, nicht über einen Eigenantrag. Die Entscheidung trifft das Bundesministerium des Innern – auf Vorschlag der im Gesetz genannten Stellen oder auf eigenes Betreiben – und zwar im Einvernehmen mit dem jeweils zuständigen Ressort beziehungsweise im Benehmen mit den Ministerien für Inneres und der Justiz der Länder. Wenden Sie sich daher an Ihre zuständige Fachaufsicht oder Ihr Auftrag gebendes Ressort und legen Sie dort Ihre Unterlagen vor. Ordnen Sie die Zuständigkeit intern klar zu: Die Geschäftsleitung verantwortet die Entscheidung, die Informationssicherheitsbeauftragte oder der Informationssicherheitsbeauftragte liefert den fachlichen Nachweis.

Schritt 4: Behandeln Sie einen erteilten Bescheid als überwachungsbedürftig. Richten Sie eine regelmäßige Kontrolle ein, ob die Voraussetzungen fortbestehen, und melden Sie Änderungen – etwa neue Geschäftsfelder außerhalb der relevanten Bereiche – unverzüglich an die Stelle, die den Bescheid ermöglicht hat. Ein Bescheid ist zu widerrufen, wenn nachträglich Tatsachen eintreten, die zur Ablehnung hätten führen müssen; bei nur vorübergehendem Wegfall kann von einem Widerruf abgesehen werden. Planen Sie deshalb einen Rückfallplan: Wie erfüllen Sie Risikomanagement-, Melde- und gegebenenfalls Registrierungspflichten kurzfristig, falls die Ausnahme entfällt? Für Auslegungsfragen und das konkrete Verfahren orientieren Sie sich an den vom Bundesamt für Sicherheit in der Informationstechnik veröffentlichten Hinweisen.

Wie schnell sind die Dokumente fertig?

Die Fertigstellungszeit hängt von Ihren Scoping-Antworten und dem automatischen Qualitätstor ab — eine genaue Frist versprechen wir hier nicht. Die Beschreibung unseres gemessenen Prozesses (kostenloser Scoping-Test, Bestellung, Erstellung aus dem BSIG-Text, bis zu dreistufiges automatisches Qualitätstor) finden Sie auf der Seite über den Entstehungsprozess des NIS2-Konformitätspakets.