NIS2 in der Branche IT-Dienstleister

Dies ist der Sektor, den Betroffene am häufigsten übersehen: IT-Dienstleister denken bei NIS2 zuerst an ihre Kunden, nicht an sich selbst. Dabei steht die Verwaltung von IKT-Diensten in Anlage 1 — dem Teil mit hoher Kritikalität.

Sind Sie betroffen?

Sektor 9 nennt Anbieter verwalteter Dienste (Managed Service Provider) und Anbieter verwalteter Sicherheitsdienste (MSSP). Erfasst ist damit jedes Systemhaus, das IT-Systeme von Kunden dauerhaft betreut oder betreibt — Monitoring, Patch-Management, Betrieb von Infrastruktur, SOC-Leistungen.

Ab 50 Mitarbeitern oder 10 Mio. Euro Umsatz und Bilanzsumme sind Sie wichtige Einrichtung; ab 250 Mitarbeitern oder 50 Mio. Euro Umsatz besonders wichtige Einrichtung mit proaktiver Aufsicht.

Beachten Sie zusätzlich Sektor 8: Wer Rechenzentrums- oder Cloud-Dienste anbietet, fällt über die digitale Infrastruktur ebenfalls in Anlage 1. Und: DNS-Diensteanbieter sowie qualifizierte Vertrauensdiensteanbieter sind unabhängig von ihrer Größe betroffen.

Warum die Anforderungen hier höher liegen

Ein MSP hat privilegierten Zugriff auf die Systeme vieler Kunden. Genau das macht ihn zum attraktiven Ziel: Ein kompromittiertes Fernwartungswerkzeug skaliert den Angriff auf den gesamten Kundenstamm. Diese Multiplikatorwirkung ist der Grund, warum der Gesetzgeber den Sektor in Anlage 1 einsortiert hat.

Praktisch heißt das: Ihre Kunden sind nach § 30 Abs. 2 BSIG verpflichtet, die Sicherheit ihrer Lieferkette zu steuern — und Sie sind diese Lieferkette. Erwarten Sie Fragebögen, Nachweisanforderungen und Auditklauseln, unabhängig davon, wie Ihre eigene Betroffenheit ausfällt.

Die Lücken, die hier typisch sind

RMM- und Fernwartungswerkzeuge als zentrales Risiko. Sie brauchen Multi-Faktor-Authentifizierung, lückenlose Protokollierung, Least-Privilege und eine dokumentierte Rechtevergabe. Dieser Punkt allein deckt mehrere Maßnahmenbereiche ab.

Mandantentrennung. Wo Kundenumgebungen technisch nicht sauber getrennt sind, ist jeder Vorfall potenziell ein Vorfall bei allen Kunden.

Kein Meldeprozess für Kundenvorfälle. Bei einem Vorfall in einer betreuten Kundenumgebung stellt sich die Frage, wer meldet: Sie oder der Kunde? Ohne vertragliche Klärung im Voraus geht diese Abstimmung von der 24-Stunden-Frist ab.

Eigene Sicherheit hinter der Kundenarbeit. Der Klassiker: Das Systemhaus härtet Kundenumgebungen und betreibt die eigene Infrastruktur gewachsen.

Offboarding von Administratorzugängen. Bei Fluktuation im technischen Personal bleiben Zugänge zu Kundensystemen bestehen — schwer zu belegen, dass Zugriffskontrolle funktioniert.

Ein realistisches Szenario

Ein Systemhaus mit 90 Beschäftigten betreut 200 Mittelstandskunden. Über eine Schwachstelle im RMM-Werkzeug verschaffen sich Angreifer Zugriff und verteilen Ransomware an einen Teil des Kundenstamms.

Das Systemhaus ist selbst meldepflichtig. Zugleich sind die betroffenen Kunden, soweit selbst NIS2-pflichtig, ebenfalls meldepflichtig — und brauchen dafür binnen Stunden Informationen von Ihnen. Wer diesen Informationsfluss nicht vorbereitet hat, wird zum Engpass in fremden Fristen und riskiert die Kundenbeziehung zusätzlich zur eigenen Aufsichtslage.

Womit anfangen

Prüfen Sie zuerst Ihre eigene Betroffenheit — dass Sektor 9 in Anlage 1 steht, überrascht die meisten. Klären Sie dann vertraglich, wer bei Vorfällen in Kundenumgebungen meldet und welche Informationen Sie in welcher Zeit liefern. Härten Sie parallel die Fernwartungskette; sie ist Ihr größtes Einzelrisiko.

Die zehn Maßnahmenbereiche beim MSP

Risikoanalyse. Der Betrachtungsumfang umfasst nicht nur Ihre eigene Infrastruktur, sondern die Werkzeugkette, über die Sie Kundensysteme erreichen: RMM, Fernwartung, Backup-Management, Ticketsystem, Passwortverwaltung.

Bewältigung von Sicherheitsvorfällen. Zwei Szenarien gehören getrennt geplant: ein Vorfall bei Ihnen und ein Vorfall in einer betreuten Kundenumgebung. Für beide muss geregelt sein, wer meldet, wer informiert und in welcher Frist.

Aufrechterhaltung des Betriebs. Ihr Ausfall ist der Ausfall Ihrer Kunden. Recovery-Zeitziele sollten sich an den Zusagen aus Ihren Serviceverträgen bemessen und getestet sein.

Sicherheit der Lieferkette. Sie sind zugleich Lieferant und Abnehmer. Prüfen Sie die Sicherheitslage Ihrer eigenen Vorlieferanten — RMM-Hersteller, Cloud-Anbieter, Backup-Dienstleister — und dokumentieren Sie diese Prüfung.

Beschaffung und Wartung. Bei der Auswahl von Werkzeugen mit Zugriff auf Kundensysteme sind Sicherheitseigenschaften das entscheidende Kriterium: Mandantentrennung, Protokollierung, Rechtemodell, Reaktionsverhalten des Herstellers bei Schwachstellen.

Wirksamkeitsprüfung. Regelmäßige Prüfung der Rechtevergabe in der Werkzeugkette. Wer welche Kundenumgebung erreichen darf, verändert sich mit jeder Personalbewegung.

Cyberhygiene und Schulungen. Technisches Personal braucht Inhalte zum Umgang mit privilegierten Zugängen, nicht die Standard-Phishing-Schulung. Auch hier gilt die Schulungspflicht für die Geschäftsleitung.

Kryptografie. Priorität haben die Verbindungen in Kundenumgebungen und die Ablage von Kundenzugangsdaten.

Personalsicherheit und Zugriffskontrolle. Least Privilege in der Kundenbetreuung, personalisierte Administratorkonten, dokumentiertes Offboarding mit Entzug aller Kundenzugänge — hier liegt Ihr größtes Einzelrisiko.

Multi-Faktor-Authentifizierung. Ausnahmslos für jeden Zugang, der Kundensysteme erreicht. Eine Ausnahme in dieser Kette hebt die Wirkung der übrigen Maßnahmen auf.

Die ersten 90 Tage

Tage 1 bis 14. Eigene Betroffenheit prüfen — dass Sektor 9 in Anlage 1 steht, ist die häufigste Überraschung. Betroffenheit dokumentieren, BSI-Registrierung starten.

Tage 15 bis 45. Inventur der gesamten Werkzeugkette mit Zugriff auf Kundensysteme. Multi-Faktor-Authentifizierung lückenlos durchsetzen, verwaiste Konten entfernen, Rechtevergabe dokumentieren.

Tage 46 bis 90. Vertragliche Klärung mit Kunden, wer bei Vorfällen in deren Umgebung meldet und welche Informationen Sie in welcher Zeit liefern. Mandantentrennung prüfen. Maßnahmenplan, Geschäftsführungsschulung.

Häufige Fragen von IT-Dienstleistern

Wir sind ein Systemhaus mit 45 Beschäftigten. Sind wir betroffen?

Unterhalb von 50 Beschäftigten und der Umsatzschwelle in der Regel nicht direkt. Ihre NIS2-pflichtigen Kunden müssen ihre Lieferkette aber steuern und werden Nachweise verlangen — praktisch erfüllen Sie dann Anforderungen ohne eigene Betroffenheit.

Wer meldet, wenn es beim Kunden brennt?

Meldepflichtig ist die betroffene Einrichtung, also der Kunde. Sie liefern die Informationen, die er dafür braucht. Ohne vertragliche Regelung über Inhalt und Frist dieser Zulieferung geht diese Abstimmung von der 24-Stunden-Frist ab.

Gilt für uns Anlage 1, obwohl wir kein Rechenzentrum betreiben?

Ja. Sektor 9 stellt auf die Verwaltung von IKT-Diensten für Dritte ab, nicht auf eigene Infrastruktur. Wer Kundensysteme dauerhaft betreut oder betreibt, fällt darunter.

Aufwand und Nachweise: was realistisch auf Sie zukommt

Personalaufwand. Technisch sind Sie im Vorteil — organisatorisch selten. Der Aufwand liegt weniger im Umsetzen als im Dokumentieren dessen, was ohnehin getan wird: 0,2 bis 0,4 Personenstellen über drei bis fünf Monate, mit erheblichem Anteil in der Vertragsarbeit mit Kunden.

Technische Investitionen. Lückenlose Multi-Faktor-Authentifizierung in der Werkzeugkette und eine saubere Rechtevergabe sind die wichtigsten Posten und meist mit vorhandenen Mitteln umsetzbar. Aufwendiger wird es, wenn die Mandantentrennung nachträglich hergestellt werden muss.

Was die Aufsicht typischerweise sehen will. Als potenziell besonders wichtige Einrichtung: die Risikoanalyse einschließlich der Werkzeugkette, die Übersicht, wer welche Kundenumgebung erreichen darf, den Nachweis regelmäßiger Rechte-Rezertifizierung, den Offboarding-Prozess mit Belegen, die Prüfung der eigenen Vorlieferanten und die Geschäftsführungsschulung.

Der Doppelnutzen. Was Sie für die eigene Compliance aufbauen, ist zugleich Ihr Nachweis gegenüber Kunden. Ein sauber dokumentierter Sicherheitsstand ist im Vertrieb ein Argument, sobald NIS2-pflichtige Kunden ihre Lieferkette prüfen — viele Systemhäuser unterschätzen diesen Effekt und behandeln das Thema rein als Kostenposition.

Was Sie sich sparen können. Eine ISO-27001-Zertifizierung ist gesetzlich nicht gefordert. Sie kann sich vertrieblich lohnen, wenn Kunden sie regelmäßig verlangen — für die reine Pflichterfüllung ist sie nicht nötig.