NIS2 für IT-Dienstleister: Ihr Zugang ist Ihr Risiko

Für IT-Dienstleister ist NIS2 kein Randthema, sondern eine Sonderrolle. Sie sind im Gesetz namentlich benannt, und sie sind die einzige Gruppe, für die die EU einen eigenen, verbindlichen Maßnahmenkatalog erlassen hat. Der enthält etwas, was im deutschen Gesetzestext fehlt: konkrete Zahlen, ab wann ein Vorfall meldepflichtig ist.

Wen erfasst NIS2 für IT-Dienstleister direkt, und wen über die Lieferkette?

Häufiger als über die Lieferkette. Die Anlage 1 des BSIG führt im Sektor Digitale Infrastruktur eigene Einrichtungsarten für Managed Services Provider und Managed Security Services Provider, dazu Anbieter von Cloud-Computing-Diensten, Anbieter von Rechenzentrumsdiensten, Betreiber von Content Delivery Networks, DNS-Diensteanbieter und Vertrauensdiensteanbieter.

Zwei Folgerungen. Erstens: Wer eine dieser Rollen ausfüllt und die Größenschwellen erreicht, ist selbst Einrichtung im Sinne des Gesetzes, nicht nur mittelbar betroffen. Und weil es die Anlage 1 ist, wird ab 250 Beschäftigten oder mehr als 50 Millionen Euro Umsatz mit einer Bilanzsumme über 43 Millionen Euro aus der wichtigen eine besonders wichtige Einrichtung. Zweitens: Mehrfachbetroffenheit ist der Normalfall. Ein Haus mit eigenem Rechenzentrum, Cloud-Angebot und Managed Services erfüllt mehrere dieser Einrichtungsarten gleichzeitig. Wer keine davon erfüllt, wird über die Lieferkettenpflicht seiner regulierten Kunden vertraglich gebunden.

Welcher Maßnahmenkatalog gilt bei NIS2 für IT-Dienstleister?

Nicht nur der aus dem BSIG. Für genau diese Einrichtungsarten hat die Europäische Kommission die Durchführungsverordnung (EU) 2024/2690 erlassen, in Kraft seit dem 7. November 2024. Sie gilt unmittelbar, ohne nationale Umsetzung, und § 30 Absatz 3 BSIG erklärt sie für vorrangig. Statt der zehn allgemeinen Maßnahmenbereiche gilt damit ein detaillierter Anhang mit technischen und methodischen Anforderungen.

Das ist zunächst mehr Arbeit und zugleich ein Vorteil, weil die Unbestimmtheit wegfällt. Die Verordnung erfasst elf Einrichtungsarten mit einem einheitlichen Anforderungssatz, von der Risikobeurteilung nach festgelegter Methodik über Sicherheitskonzepte bis zur Mehrfaktor-Authentifizierung. Und sie enthält ein Ventil, das viele übersehen: Eine Anforderung darf begründet unangewendet bleiben, wenn sie nicht angemessen, nicht anwendbar oder nicht durchführbar ist. Verlangt ist dann die dokumentierte Begründung, nicht die Erfüllung um jeden Preis.

Ab wann ist ein Vorfall bei NIS2 für IT-Dienstleister erheblich?

Hier stehen echte Schwellen, und sie sind niedriger, als die meisten annehmen. Für Anbieter von Cloud-Computing-Diensten regelt das Artikel 7 der Durchführungsverordnung, für Managed Service Provider Artikel 10, inhaltlich gleichlautend. Erheblich ist ein Vorfall unter anderem dann, wenn der Dienst länger als 30 Minuten vollständig nicht verfügbar ist. Ebenso, wenn die Verfügbarkeit für mehr als fünf Prozent der Nutzer in der Union oder für mehr als eine Million Nutzer, je nachdem welcher Wert niedriger ist, länger als eine Stunde beeinträchtigt ist. Und ebenso, wenn Integrität, Vertraulichkeit oder Authentizität von Daten durch eine vermutete böswillige Handlung beeinträchtigt sind.

Diese 30 Minuten sind die wichtigste Zahl des ganzen Themas. Sie bedeuten, dass eine kurze Vollstörung die 24-Stunden-Uhr des § 32 BSIG in Gang setzt, während sie im Betrieb oft nur als Zwischenfall verbucht wird. Wer die Schwelle kennt, plant Bereitschaft und Entscheidungsweg anders.

Welche Pflicht gilt bei NIS2 für IT-Dienstleister gegenüber den Kunden?

Eine eigene, die andere Branchen nicht haben. § 35 BSIG verpflichtet Einrichtungen unter anderem aus der digitalen Infrastruktur, dem IKT-Service-Management und den digitalen Diensten, die potenziell betroffenen Empfänger ihrer Dienste über erhebliche Cyberbedrohungen und über verfügbare Gegenmaßnahmen zu unterrichten. Die Pflicht greift, wenn bei Abwägung der Interessen die des Empfängers überwiegen.

Dazu kommt eine Anordnungsbefugnis: Nach § 35 Absatz 1 kann das BSI verlangen, dass die Empfänger über einen erheblichen Sicherheitsvorfall unterrichtet werden, gegebenenfalls über eine Veröffentlichung auf der Website. Für einen Dienstleister mit dutzenden Kunden ist das ein Kommunikationsvorgang, der vorbereitet sein muss: Wer entscheidet, welche Kunden betroffen sind, wer schreibt, und in welcher Reihenfolge. Improvisiert kostet dieser Schritt mehr Vertrauen als der Vorfall selbst.

Welche Punkte werden bei NIS2 für IT-Dienstleister am häufigsten unterschätzt?

Drei. Erstens die Messbarkeit. Die 30-Minuten-Schwelle lässt sich nur belegen, wenn Verfügbarkeit je Kunde und je Dienst gemessen und aufbewahrt wird. Ohne diese Daten ist nicht einmal feststellbar, ob eine Meldepflicht bestand.

Zweitens die Doppelrolle. Als Auftragsverarbeiter besteht nach Artikel 33 Absatz 2 DSGVO die Pflicht, den Kunden unverzüglich zu informieren, parallel zur Meldung an das BSI innerhalb von 24 Stunden. Zwei Uhren, zwei Adressaten, ein Vorfall. Drittens die Mandantentrennung im Ernstfall: Ein Vorfall beim Dienstleister ist potenziell ein Vorfall bei vielen Kunden. Ohne belegbare Trennung lässt sich nicht eingrenzen, wer betroffen war, und dann sind es im Zweifel alle.

Was steht im Whitepaper?

• Wann ein IT-Dienstleister direkt erfasst ist und wann über die Lieferkette seiner regulierten Kunden
• Sechs Eigenheiten der Branche, von starker Technik bei dünner Struktur bis zur eigenen Lieferkette aus SaaS-Diensten
• Fünf Angriffsszenarien aus der Praxis, vom Supply-Chain-Angriff über den Dienstleister bis zum Missbrauch privilegierter Zugänge
• Was das Gesetz konkret verlangt, entlang der Paragraphen zu Betroffenheit, Risikomanagement, Meldepflichten, Leitungspflichten und Sanktionen
• Eine Roadmap in sechs Schritten, die mit den wirksamsten Hebeln beginnt, nämlich Privileged-Access-Management und Mandantentrennung

Das Whitepaper richtet sich an Geschäftsführungen, CTOs sowie Sicherheits- und Serviceverantwortliche in Software-Häusern, IT-Beratungen und bei Managed-Service-Providern. Laden Sie es kostenfrei herunter.