NIS2 trifft das Rechenzentrum selbst. DORA trifft seine Kunden aus der Finanzbranche und erreicht das Rechenzentrum über deren Verträge. Wer ein Rechenzentrum betreibt, muss beide Wege auseinanderhalten, weil Pflichten, Fristen und Aufsicht verschieden sind. Wer nur eine Website hostet, sollte wissen, welcher Weg seinen Anbieter betrifft. Stand der Rechtslage ist der 06.11.2026.
Wen NIS2 erfasst
Die EU-Richtlinie (EU) 2022/2555, kurz NIS2, gilt in Deutschland über das BSI-Gesetz in der Fassung des NIS2-Umsetzungsgesetzes. Das neue BSIG ist am 6. Dezember 2025 in Kraft getreten. In seiner Anlage 1 stehen unter „Digitale Infrastruktur“ ausdrücklich die Anbieter von Rechenzentrumsdiensten (Nr. 6.1.5), daneben Anbieter von Cloud-Computing-Diensten (Nr. 6.1.4) und Managed Services Provider (Nr. 6.1.10). Ob ein Webhoster unter die eine oder die andere Nummer fällt, hängt von seinem Angebot ab. Die Anlage nennt alle drei.
Ein Rechenzentrumsdienst ist nach § 2 Nr. 35 BSIG ein Dienst, dessen Strukturen vorrangig der zentralen Unterbringung, Zusammenschaltung und dem Betrieb von IT- oder Netzwerkausrüstungen dienen, samt Stromverteilung und Umgebungskontrolle. Das eigene Rechenzentrum eines Unternehmens, das nur der eigenen IT dient, soll nach Erwägungsgrund 35 der NIS2-Richtlinie nicht darunter fallen. Erwägungsgründe erläutern die Richtlinie, sie sind selbst kein verbindlicher Gesetzestext.
Dann entscheidet die Größe. Besonders wichtige Einrichtung ist nach § 28 Abs. 1 Nr. 4 BSIG, wer mindestens 250 Mitarbeiter hat oder über 50 Millionen Euro Jahresumsatz und zugleich über 43 Millionen Euro Jahresbilanzsumme. Wichtige Einrichtung ist nach § 28 Abs. 2 Nr. 3 BSIG, wer mindestens 50 Mitarbeiter hat oder jeweils über 10 Millionen Euro Umsatz und Bilanzsumme. Ein kleines Rechenzentrum mit 20 Leuten und 3 Millionen Euro Umsatz liegt unter beiden Schwellen, solange es keine kritische Anlage betreibt und nicht zu einer größeren Unternehmensgruppe gehört; Partner- und verbundene Unternehmen werden grundsätzlich mitgezählt (§ 28 Abs. 4 BSIG).
Unabhängig von der Größe besonders wichtig sind Betreiber kritischer Anlagen (§ 28 Abs. 1 Nr. 1 BSIG). Die Schwellen für Rechenzentren stehen in der BSI-Kritisverordnung, Anhang 4 Teil 3: Housing ab 3,5 MW vertraglich vereinbarter Leistung, Hosting ab 10.000 physischen oder 15.000 virtuellen Instanzen für Nutzer im Jahresdurchschnitt (abgerufen am 06.11.2026). Für den Begriff der kritischen Anlage gilt nach § 66 BSIG eine Übergangsregel, bis eine Rechtsverordnung nach dem KRITIS-Dachgesetz in Kraft ist. Bis dahin gilt die alte Begriffsbestimmung weiter, nach der die Rechtsverordnung nach § 56 Abs. 4 BSIG die kritischen Anlagen bestimmt, und das ist die BSI-Kritisverordnung. Ob sich die Werte dann ändern, ist offen.
Was NIS2 vom Betreiber verlangt
Die Kernpflicht steht in § 30 BSIG. Der Betreiber muss geeignete, verhältnismäßige und wirksame Maßnahmen ergreifen und das dokumentieren. Abs. 2 zählt die Mindestinhalte auf: Risikoanalyse und Sicherheitskonzepte, Bewältigung von Sicherheitsvorfällen, Aufrechterhaltung des Betriebs mit Backup-Management, Wiederherstellung und Krisenmanagement, Sicherheit der Lieferkette, Sicherheit bei Erwerb, Entwicklung und Wartung von Systemen, Prüfung der Wirksamkeit, Schulungen, Kryptografie, Zugriffskontrolle und Personalsicherheit sowie Multi-Faktor-Authentifizierung. Für Rechenzentrumsdienste hat ein Durchführungsrechtsakt der EU-Kommission nach Art. 21 Abs. 5 NIS2 Vorrang (§ 30 Abs. 3 BSIG). Dessen Inhalt behandelt dieser Beitrag nicht.
Bei einem erheblichen Sicherheitsvorfall laufen nach § 32 Abs. 1 BSIG drei Uhren: unverzüglich, spätestens 24 Stunden nach Kenntnis eine frühe Erstmeldung, unverzüglich, spätestens 72 Stunden nach Kenntnis die eigentliche Meldung, spätestens einen Monat danach die Abschlussmeldung. Eine Zwischenmeldung gibt es nur, wenn das BSI darum bittet. Gemeldet wird an die gemeinsame Meldestelle von BSI und Bundesamt für Bevölkerungsschutz und Katastrophenhilfe.
Registrieren müssen sich betroffene Einrichtungen spätestens drei Monate, nachdem sie erstmals als solche gelten (§ 33 Abs. 1 BSIG). Wer schon seit dem Inkrafttreten erfasst ist, war rechnerisch Anfang März 2026 dran. Wer die Frist verpasst hat, sollte das nicht liegen lassen: Eine fehlende oder falsche Registrierung kann mit bis zu 500.000 Euro geahndet werden (§ 65 Abs. 2 Nr. 6, Abs. 5 Satz 1 Nr. 5 BSIG).
Und die Geschäftsleitung? Sie muss die Maßnahmen umsetzen und überwachen, haftet bei schuldhafter Pflichtverletzung nach Gesellschaftsrecht und muss regelmäßig an Schulungen teilnehmen (§ 38 BSIG). Die Pflicht liegt damit bei der Leitung selbst.
Die Bußgelder, nüchtern gelesen
Für Verstöße gegen Risikomanagement, Dokumentation und Meldepflichten nennt § 65 Abs. 5 BSIG bis zu 10 Millionen Euro bei besonders wichtigen und bis zu 7 Millionen Euro bei wichtigen Einrichtungen. Die prozentualen Obergrenzen von 2 und 1,4 Prozent des weltweiten Gesamtumsatzes greifen nach § 65 Abs. 6 und 7 erst bei mehr als 500 Millionen Euro Gesamtumsatz.
Woher kommt diese Schwelle? Die Richtlinie selbst verlangt in Art. 34 Abs. 4 und 5 einen „Höchstbetrag von mindestens 10 000 000 EUR“ oder von „mindestens 2 %“ des Umsatzes, „je nachdem, welcher Betrag höher ist“. Gemeint ist die Obergrenze, die das nationale Gesetz mindestens vorsehen muss, kein Mindestbußgeld. 2 Prozent von 500 Millionen sind genau 10 Millionen. Unterhalb dieser Umsatzgrenze ist der feste Betrag ohnehin der höhere, das deutsche Gesetz bildet das also nur ab.
Wie DORA ins Rechenzentrum kommt
DORA, die Verordnung (EU) 2022/2554, gilt seit dem 17. Januar 2025 unmittelbar (Art. 64). Sie richtet sich an 20 Arten von Finanzunternehmen, von Kreditinstituten über Versicherer bis zu Krypto-Dienstleistern (Art. 2 Abs. 1 Buchst. a bis t). Ausgenommen sind unter anderem Versicherungsvermittler, die Kleinst-, kleine oder mittlere Unternehmen sind (Art. 2 Abs. 3 Buchst. e). Die BaFin hat ihre IT-Rundschreiben für Versicherer (VAIT), Kapitalverwaltungsgesellschaften (KAIT) sowie Zahlungs- und E-Geld-Institute (ZAIT) mit Ablauf des 16. Januar 2025 aufgehoben, die BAIT der Banken laufen mit Ablauf des 31. Dezember 2026 vollständig aus.
Das Rechenzentrum taucht in DORA als IKT-Drittdienstleister auf, also als „Unternehmen, das IKT-Dienstleistungen bereitstellt“ (Art. 3 Nr. 19). DORA nennt IKT-Drittdienstleister in Art. 2 Abs. 1 Buchst. u zwar selbst als Adressaten; eigene Pflichten gegenüber der Aufsicht entstehen aber vor allem, wenn sie als kritisch eingestuft werden (Art. 31). IKT-Dienstleistungen schließen ausdrücklich „Hardware als Dienstleistung“ ein (Art. 3 Nr. 21). Ob reine Flächen- und Stromvermietung ohne IT-Betrieb darunter fällt, beantwortet der Wortlaut nicht eindeutig. Eine Aussage der Aufsicht dazu haben wir nicht gefunden.
Die Pflichten treffen zuerst den Kunden. Er bleibt nach Art. 28 Abs. 1 Buchst. a voll verantwortlich, führt ein Informationsregister über alle IKT-Verträge (Art. 28 Abs. 3) und braucht für kritische oder wichtige Funktionen eine Ausstiegsstrategie (Art. 28 Abs. 8). Beim Rechenzentrum kommt das als Vertragstext an. Art. 30 Abs. 2 schreibt für jeden IKT-Vertrag unter anderem vor: eine vollständige Leistungsbeschreibung mit Regeln zur Unterauftragsvergabe, die Standorte der Leistung und der Datenspeicherung samt Vorabinformation bei Änderungen, Zugang zu den Daten bei Insolvenz oder Vertragsende, Unterstützung bei IKT-Vorfällen ohne zusätzliche oder zu vorab festgelegten Kosten, Zusammenarbeit mit den Behörden und Kündigungsrechte. Eine Pflicht, die Daten in der EU zu halten, enthält Art. 30 nicht. Geht es um kritische oder wichtige Funktionen, kommen nach Abs. 3 präzise Leistungsziele, getestete Notfallpläne, die Mitwirkung an bedrohungsgeleiteten Penetrationstests (TLPT), uneingeschränkte Zugangs-, Inspektions- und Auditrechte sowie Ausstiegsregeln mit Übergangszeit dazu.
Die europäischen Aufsichtsbehörden können einen IKT-Drittdienstleister als kritisch einstufen und dann direkt überwachen (Art. 31 Abs. 1). Maßgeblich sind unter anderem die systemischen Auswirkungen einer Störung, gemessen auch an der Zahl der betroffenen Finanzunternehmen und deren Aktiva (Art. 31 Abs. 2 Buchst. a).
Gilt dann beides?
Für den Finanzkunden nicht. Nach § 28 Abs. 6 Nr. 1 BSIG gelten die §§ 30, 31, 32, 35, 36, 38 und 39 BSIG nicht für Finanzunternehmen im Sinne von DORA. Das Rechenzentrum selbst ist kein Finanzunternehmen, für es gilt diese Ausnahme nicht. Ein Betreiber mit Bankkunden erfüllt also, wenn er die Schwellen erreicht, die NIS2-Pflichten für sich selbst und die DORA-Vertragspflichten gegenüber seinen Kunden. Eine Ausnahme gibt es bei der Meldepflicht: Betreibt ein Betreiber kritischer Anlagen eine Anlage für ein Finanzunternehmen, gilt § 32 BSIG insoweit nicht (§ 28 Abs. 7 BSIG). Dann meldet der Finanzkunde nach DORA an seine Aufsicht, und das Rechenzentrum unterstützt ihn nach Art. 30 Abs. 2 Buchst. f DORA. In den übrigen Fällen meldet das Rechenzentrum erhebliche Sicherheitsvorfälle selbst nach § 32 BSIG.
Was das für Hosting-Kunden heißt
Wenn Sie einen kleinen Betrieb führen und kein Finanzunternehmen im Sinne von DORA sind, also keine Bank, kein Versicherer, kein Zahlungs-, E-Geld- oder Krypto-Dienstleister, treffen Sie die DORA-Pflichten der Finanzunternehmen nicht. Ob NIS2 für Sie gilt, hängt von Ihrer eigenen Branche nach den Anlagen 1 und 2 des BSIG und Ihrer Größe ab, nicht davon, bei wem Ihre Website liegt.
Für Ihren Hoster kann das anders aussehen. Sie dürfen ihn fragen, ob er nach dem BSIG als wichtige oder besonders wichtige Einrichtung gilt und registriert ist, wie er Sie bei einem Vorfall informiert und wo Ihre Daten gespeichert werden. Die Antworten gehören in den Vertrag zur Auftragsverarbeitung oder in die Leistungsbeschreibung. Eine Antwort, die nur „wir sind sicher“ lautet, ist keine.
Den technischen Stand Ihrer eigenen Website können Sie mit dem Website-Compliance-Check von Experto Mundi prüfen lassen. Was NIS2 und DORA technisch für Websites bedeuten, steht im Beitrag NIS2 und DORA technisch.
Quellen (Abrufdatum: 06.11.2026)
- BSI-Gesetz (BSIG) vom 02.12.2025, BGBl. 2025 I Nr. 301, Stand der Textfassung zuletzt geändert durch Art. 8 G v. 22.10.2026, §§ 2 Nr. 35, 28 Abs. 4, 6 und 7, 30, 32, 33, 38, 65, 66 und Anlage 1 Nr. 6: gesetze-im-internet.de
- Richtlinie (EU) 2022/2555 (NIS2), Art. 21, Art. 34 Abs. 4 und 5, Erwägungsgrund 35, CELEX 32022L2555: EUR-Lex
- Verordnung (EU) 2022/2554 (DORA), Art. 2, 3 Nr. 19 und 21, 28, 30, 31, 64, CELEX 32022R2554: EUR-Lex
- Verordnung zur Bestimmung Kritischer Infrastrukturen nach dem BSI-Gesetz (BSI-Kritisverordnung), Anhang 4 Teil 3: gesetze-im-internet.de
- BaFin, Meldung „DORA kommt: Änderungen bei den aufsichtlichen Anforderungen an die IT“, 10.01.2025: bafin.de
Dieser Beitrag ist eine an die Allgemeinheit gerichtete Darstellung von Rechtsfragen und keine Rechtsdienstleistung (§ 2 Abs. 1 und Abs. 3 Nr. 5 RDG). Er prüft keinen Einzelfall und ersetzt keine anwaltliche Beratung. Ob Ihr Unternehmen erfasst ist, hängt von Umständen ab, die nur eine Einzelfallprüfung klären kann. Maßgeblich sind allein die Rechtstexte in ihrer geltenden Fassung; Stand: 06.11.2026.