Rechenzentrum: Der vollständige NIS2-Leitfaden

Rechenzentrumsbetreiber sind nach NIS2-Anhang II Nr. 6 lit. d als Anbieter digitaler Infrastruktur direkt betroffen - unabhängig von Umsatz, sobald die technische Schwelle von 3,5 MW durchschnittlicher Stromaufnahme erreicht wird oder allgemeine KMU-Schwellen überschritten werden. Als Betreiber kritischer Infrastruktur für zahlreiche NIS2-pflichtige Kunden sind Rechenzentren eine Schlüsselposition in der digitalen Lieferkette. Dieser Leitfaden richtet sich an RZ-Betreiber, technische Leiter und Compliance-Verantwortliche.

Wer ist betroffen?

Rechenzentrumsbetreiber fallen unter NIS2-Anhang II Nr. 6 lit. d (Rechenzentrumsdienstleister) wenn sie mindestens 50 Mitarbeitende oder mindestens 10 Mio. EUR Jahresumsatz haben. Sie sind dann Wichtige Einrichtung.

Darüber hinaus: Wer die Schwelle von 3,5 MW durchschnittlicher IT-Stromaufnahme überschreitet, kann je nach Einordnung in die KRITIS-Kategorien fallen und Wesentliche Einrichtung nach Anhang I sein.

Colocation-Anbieter, Cloud-Infrastruktur-Betreiber und Hyperscaler sind in der Regel direkt betroffen. Auch Unternehmens-Rechenzentren, die Dienste für Dritte erbringen, fallen in den Scope.

Die Pflichten nach § 30 BSIG-neu

§ 30 BSIG-neu fordert sieben Pflichtbereiche, die für Rechenzentrumsbetreiber durch die Kritikalität der Hosting-Infrastruktur besonders bedeutsam sind:

1. Risikoanalyse und -management: Stromversorgung (USV, Netzanbindung), Kühlung, Netzwerkinfrastruktur, physischer Zugang und alle Managed Services müssen bewertet werden.
2. Incident Handling: Ausfälle, die Kundensysteme betreffen, sind meldepflichtige Vorfälle. Incident Response muss Kunden-Kommunikation und BSI-Meldung koordinieren.
3. Business Continuity: Redundanz-Konzepte (N+1, 2N) müssen dokumentiert und regelmäßig getestet sein. RTO und RPO müssen für alle kritischen Dienste definiert sein.
4. Supply-Chain-Sicherheit: Strom-Lieferanten, Kühltechnik-Hersteller und Netzwerk-Carrier müssen auf Sicherheitsstandards bewertet werden.
5. Zugangskontrolle und MFA: Physischer Zugang (biometrisch, Karte) und logischer Zugang (MFA) müssen für alle Zonen dokumentiert und durchgesetzt sein.
6. Verschlüsselung: Kundendaten auf Speicher-Systemen müssen at-rest verschlüsselt sein. Übertragungen zwischen RZ und Kunden sind zu verschlüsseln.
7. Schulung und Awareness: RZ-Techniker, NOC-Personal und Verwaltung müssen regelmäßig geschult werden.

Fristen und Meldepflichten

BSI-Registrierung nach § 33 BSIG-neu binnen drei Monaten. Für Sicherheitsvorfälle nach § 32 BSIG-neu: Erstmeldung 24 Stunden, vollständige Meldung 72 Stunden, Abschlussbericht 30 Tage.

Ein Stromausfall oder Kühlungsausfall, der Kundensysteme für mehr als eine Stunde beeinträchtigt und NIS2-pflichtige Einrichtungen betrifft, ist meldepflichtiger Vorfall. Auch Cyberangriffe auf RZ-Management-Systeme ohne nachgewiesenen Datenverlust sind meldepflichtig.

Bußgelder und persönliche Haftung

Wichtige Einrichtung (Anhang II): bis 7 Mio. EUR oder 1,4 % Umsatz. Wesentliche Einrichtung (Anhang I): bis 10 Mio. EUR oder 2 % Umsatz.

§ 38 BSIG-neu: Persönliche Haftung der Geschäftsleitung. Dazu kommt vertragliche Haftung gegenüber Kunden bei SLA-Verletzungen durch Sicherheitsvorfälle.

3,5-MW-Schwelle: Berechnung der durchschnittlichen IT-Stromaufnahme und EN 50600

Die 3,5-MW-Schwelle für die direkte KRITIS-Einstufung bezieht sich auf die durchschnittliche IT-Stromaufnahme (IT Load) des Rechenzentrums, nicht auf den Gesamtstrombedarf. Die Berechnung erfolgt nach EN 50600-4-9 (Energieeffizienz-Kennzahlen für Rechenzentren).

Berechnungsformel: Durchschnittliche IT-Stromaufnahme = Gesamtstromaufnahme / PUE (Power Usage Effectiveness). Beispiel: Ein RZ mit einem PUE von 1,5 und einer Gesamtstromaufnahme von 6 MW hat eine IT-Stromaufnahme von 4 MW - und überschreitet damit die 3,5-MW-Schwelle.

Für die Einstufung relevant: Nicht einzelne Racks oder Hallen, sondern das gesamte Rechenzentrum am Standort. Wer mehrere kleinere Standorte betreibt, muss jeden Standort separat bewerten. Die EN 50600 liefert auch die Methodik für die Dokumentation, die gegenüber BSI und Behörden nachzuweisen ist.

Erste Schritte

1. Berechne die durchschnittliche IT-Stromaufnahme deines RZ nach EN 50600-4-9.
2. Prüfe Mitarbeiterzahl und Umsatz gegen die KMU-Schwellen.
3. Führe eine vollständige Risikoanalyse für Strom, Kühlung, Konnektivität und physische Sicherheit durch.
4. Inventarisiere alle Kundensysteme und klassifiziere, welche NIS2-pflichtig sind.
5. Erstelle einen Incident-Response-Plan mit Kunden-Eskalations-Matrix.
6. Prüfe alle Wartungsverträge (Kühlung, USV, Netzwerk) auf Sicherheitsklauseln.
7. Registriere dich beim BSI.

Typische Fehler vermeiden

PUE-Wert nicht in der KRITIS-Berechnung berücksichtigt: Die Schwelle bezieht sich auf IT-Lastleistung, nicht auf Gesamtstrom. Ein fehlerhafte Berechnung kann zur falschen Einstufung führen.

Physische Sicherheit nicht als IT-Sicherheitsthema: Tailgating-Risiken, unzureichende Zonentrennung und fehlende CCTV-Protokollierung sind NIS2-relevante Risiken.

Kunden-Sicherheitsanforderungen nicht vertraglich geregelt: NIS2-pflichtige Kunden werden Audit-Rechte, Incident-Notification und Sicherheitsnachweise verlangen. Wer das vertraglich nicht vorbereitet hat, steht unter Druck.

Redundanz-Tests nur auf dem Papier: Geplante Redundanz die nicht getestet wurde, ist keine verlässliche Redundanz. Regelmäßige Tests sind NIS2-Pflicht.

Nutze den branchengenauen NIS2-Rechner für Rechenzentren, um deine Einstufung zu ermitteln.