IT-Dienstleister: Der vollständige NIS2-Leitfaden

IT-Dienstleister sind unter NIS2 in einer Doppelrolle: Viele sind als Managed Service Provider (MSP) oder Cloud-Anbieter selbst Wichtige oder Wesentliche Einrichtung nach NIS2-Anhang II Nr. 6 (IKT-Dienste). Gleichzeitig sind sie als Lieferanten für andere NIS2-pflichtige Unternehmen nach § 30 Abs. 2 Nr. 4 BSIG-neu in der Lieferkettenpflicht. Dieser Leitfaden richtet sich an Geschäftsführer und CISOs von IT-Dienstleistern, MSPs und Cloud-Anbietern.

Wer ist betroffen?

IT-Dienstleister fallen direkt unter NIS2-Anhang II Nr. 6 (Anbieter digitaler Infrastrukturen) oder Anhang II Nr. 7 (IKT-Dienste im B2B-Bereich), wenn sie die KMU-Schwellen überschreiten: mindestens 50 Mitarbeitende oder mindestens 10 Mio. EUR Jahresumsatz (EU-Empfehlung 2003/361/EG Art. 2).

Große Cloud-Anbieter, DNS-Resolver, TLD-Registries und Internet Exchange Points fallen unter NIS2-Anhang I Nr. 7-8 als Wesentliche Einrichtung - unabhängig von Umsatzschwellen.

Außerdem: IT-Dienstleister, die andere NIS2-pflichtige Einrichtungen betreuen (z.B. Krankenhäuser, Energieversorger, Behörden), werden von diesen Kunden als kritische Zulieferer nach § 30 Abs. 2 Nr. 4 BSIG-neu behandelt. Das bedeutet: Auch wer selbst nicht direkt betroffen ist, kann durch Kundenanforderungen de facto NIS2-konform sein müssen.

Ein MSP mit 60 Mitarbeitenden, der Krankenhäuser, Kommunen und Energieversorger betreut, ist sowohl direkt als auch indirekt von NIS2 betroffen.

Die Pflichten nach § 30 BSIG-neu

§ 30 BSIG-neu fordert sieben technisch-organisatorische Maßnahmenbereiche, die für IT-Dienstleister als kritische Lieferanten besonders bedeutsam sind:

1. Risikoanalyse und -management: IT-Dienstleister müssen ihre eigene Sicherheitsarchitektur bewerten, aber auch die Risiken, die von ihrem Service für ihre Kunden ausgehen.
2. Incident Handling: Ein Sicherheitsvorfall beim MSP kann simultan viele NIS2-pflichtige Kunden betreffen. Der Incident-Response-Plan muss Kunden-Notifizierung und koordinierte Reaktion umfassen.
3. Business Continuity: IT-Dienstleister müssen für ihre eigene Infrastruktur und für die Dienste ihrer Kunden BCP-Pläne vorhalten.
4. Supply-Chain-Sicherheit: IT-Dienstleister sind selbst Teil der Lieferkette ihrer Kunden. Sie müssen ihren Kunden gegenüber nachweisen, dass sie die Anforderungen des § 30 Abs. 2 Nr. 4 BSIG-neu erfüllen.
5. Zugangskontrolle und MFA: Privileged Access Management (PAM) und MFA für alle privilegierten Zugänge zu Kundensystemen sind absolute Pflicht.
6. Verschlüsselung: Kundendaten, Konfigurationsdaten und Kommunikation müssen durchgängig verschlüsselt sein.
7. Schulung und Awareness: IT-Personal, das Kundensysteme verwaltet, muss regelmäßig zu Cybersicherheit geschult werden.

Fristen und Meldepflichten

BSI-Registrierung nach § 33 BSIG-neu binnen drei Monaten. Für Sicherheitsvorfälle nach § 32 BSIG-neu: Erstmeldung 24 Stunden, vollständige Meldung 72 Stunden, Abschlussbericht 30 Tage.

Besonderheit für IT-Dienstleister: Ein Vorfall beim MSP, der NIS2-pflichtige Kunden betrifft, muss sowohl der eigenen NIS2-Meldepflicht genügen als auch den Kunden gemeldet werden. Die Kunden haben ihrerseits eigene Meldepflichten gegenüber dem BSI.

Bußgelder und persönliche Haftung

Wichtige Einrichtung (Anhang II): bis 7 Mio. EUR oder 1,4 % Umsatz. Wesentliche Einrichtung (Anhang I): bis 10 Mio. EUR oder 2 % Umsatz.

§ 38 BSIG-neu: Persönliche Haftung der Geschäftsleitung. Bei IT-Dienstleistern kommt hinzu: Vertragliche Haftung gegenüber Kunden bei Sicherheitsvorfällen. NIS2-Bußgeld plus Schadensersatz an Kunden kann existenzbedrohend sein.

Lieferkettenpflicht § 30 Abs. 2 Nr. 4: MSPs als kritische Zulieferer und Vertragsgestaltung

§ 30 Abs. 2 Nr. 4 BSIG-neu verpflichtet alle NIS2-Einrichtungen, "Sicherheitsaspekte in Bezug auf die Beziehungen zwischen der Einrichtung und ihren unmittelbaren Zulieferern" zu regeln. Für IT-Dienstleister als häufige Zulieferer bedeutet das: NIS2-pflichtige Kunden werden ihr in Sicherheitsanforderungen stellen.

Konkret wird das in Verträgen: SLA-Klauseln zur Sicherheit, Audit-Rechte des Kunden, Pflicht zur Meldung von Sicherheitsvorfällen an den Kunden, Nachweis von Sicherheitszertifizierungen (ISO 27001, SOC 2). Viele NIS2-Einrichtungen beginnen bereits, Bestandslieferanten-Verträge entsprechend nachzuverhandeln.

MSPs können die Lieferkettenpflicht als Marktchance nutzen: Wer frühzeitig NIS2-konform ist und das zertifizieren lässt, differenziert sich von Mitbewerbern. ISO 27001 oder SOC 2 Type II sind die Standard-Nachweise, die NIS2-pflichtige Kunden verlangen werden.

Erste Schritte

1. Kläre deine direkte NIS2-Betroffenheit: Anhang I, Anhang II oder kein direkter Scope?
2. Identifiziere, welche deiner Kunden NIS2-pflichtig sind. Diese werden Sicherheitsanforderungen an dich stellen.
3. Prüfe deine aktuellen Verträge: Sind Sicherheits-SLAs, Audit-Rechte und Incident-Notification enthalten?
4. Baue ein Privileged Access Management (PAM) System auf, wenn noch nicht vorhanden.
5. Erstelle einen MSP-spezifischen Incident-Response-Plan, der Kunden-Notifizierung einschließt.
6. Evaluiere ISO 27001 oder SOC 2 Type II als Zertifizierungsgrundlage für Kundenanfragen.
7. Registriere dich beim BSI, wenn direkter NIS2-Scope vorliegt.

Typische Fehler vermeiden

"Wir sind nicht direkt betroffen" als Ausrede: Auch ohne direkten NIS2-Scope werden Kunden Sicherheitsanforderungen nach § 30 Abs. 2 Nr. 4 BSIG-neu stellen. Wer nicht vorbereitet ist, verliert Kunden.

Fehlendes Privileged Access Management: MSPs, die Kundensysteme mit geteilten Passwörtern verwalten, erfüllen NIS2-Anforderungen nicht. PAM ist kein optionales Add-on.

Kundenvorfälle nur intern behandelt: Wenn ein Sicherheitsvorfall beim MSP NIS2-pflichtige Kunden betrifft, müssen diese informiert werden. Wer das nicht tut, bricht Vertragspflichten und NIS2-Anforderungen.

Zertifizierung als Zukunftsprojekt: NIS2-pflichtige Kunden werden Sicherheitsnachweise zeitnah verlangen. Wer erst mit dem Prozess beginnt, wenn Kunden anfragen, ist zu spät.

Nutze den branchengenauen NIS2-Rechner für IT-Dienstleister, um deine Betroffenheit zu klären.