NIS2 für IT-Dienstleister: was deine Kunden verlangen werden

NIS2 ist die Richtlinie (EU) 2022/2555. Eine Richtlinie verpflichtet Unternehmen nicht unmittelbar: Jeder Mitgliedstaat setzt sie in eigenes Recht um und bestimmt seine zuständige Behörde und sein CSIRT. Anwendungsbereich, Fristen und Sanktionen können sich von Land zu Land unterscheiden, und ein Staat darf über die Richtlinie hinausgehen (Artikel 5). Prüfe das Gesetz deines Landes und, wenn deine Kunden in anderen Mitgliedstaaten sitzen, auch deren Recht.

In Deutschland ist NIS2 mit dem Gesetz zur Umsetzung der NIS-2-Richtlinie vom 2. Dezember 2025 umgesetzt (BGBl. 2025 I Nr. 301). Sein Artikel 1 ist das neue BSI-Gesetz (BSIG), in Kraft seit dem 6. Dezember 2025. Das BSIG spricht von „besonders wichtigen Einrichtungen“ und „wichtigen Einrichtungen“ (§ 28); die Risikomanagementmaßnahmen stehen in § 30, die Meldepflichten in § 32. Informationen für betroffene Unternehmen gibt das BSI.

Die Richtlinie gilt für Einrichtungen der in ihren Anhängen I und II genannten Arten, die mittlere oder größere Unternehmen sind (Artikel 2 Absatz 1). Die Grenze ist also der Schwellenwert für kleine Unternehmen: weniger als 50 Beschäftigte und ein Jahresumsatz bzw. eine Jahresbilanz von höchstens 10 Mio. Euro (Empfehlung 2003/361/EG).

Bevor du schließt, dass es dich nicht betrifft, prüfe drei Fälle:

• Du verwaltest Systeme deiner Kunden, auch aus der Ferne, und bist ein mittleres oder größeres Unternehmen. „Anbieter verwalteter Dienste“ und „Anbieter verwalteter Sicherheitsdienste“ stehen in Anhang I, Sektor 9, „Verwaltung von IKT-Diensten (Business-to-Business)“. Die Begriffsbestimmung (Artikel 6 Nummer 39) umfasst Installation, Verwaltung, Betrieb oder Wartung von IKT-Produkten, Netzen, Infrastruktur und Anwendungen, „entweder in den Räumlichkeiten der Kunden oder aus der Ferne“. In Anhang I ist eine Einrichtung oberhalb der Schwellenwerte für mittlere Unternehmen eine wesentliche Einrichtung, ein mittleres Unternehmen eine wichtige Einrichtung (Artikel 3).
• Dein Mitgliedstaat hat dich unabhängig von deiner Größe eingestuft, etwa weil du in diesem Land der einzige Anbieter eines wesentlichen Dienstes bist oder weil ein Ausfall deines Dienstes ein erhebliches systemisches Risiko verursachen könnte (Artikel 2 Absatz 2 Buchstaben b bis e).
• Das Gesetz deines Landes geht weiter als die Richtlinie. Die Richtlinie erlaubt das (Artikel 5): Lies den nationalen Text, nicht nur die Richtlinie.

Trifft keiner dieser Fälle zu, legt dir NIS2 keine unmittelbaren Pflichten auf. Sind unter deinen Kunden aber wesentliche oder wichtige Einrichtungen, werden deren Pflichten gegenüber Lieferanten zu Anforderungen an dich.

Artikel 21 verlangt von NIS2-Einrichtungen Risikomanagementmaßnahmen im Bereich der Cybersicherheit, die in Absatz 2 Buchstabe d mindestens Folgendes umfassen:

„Sicherheit der Lieferkette einschließlich sicherheitsbezogener Aspekte der Beziehungen zwischen den einzelnen Einrichtungen und ihren unmittelbaren Anbietern oder Diensteanbietern“

Und Absatz 3 sagt, wie sie zu bemessen sind: Die Mitgliedstaaten stellen sicher,

„dass die Einrichtungen bei der Erwägung geeigneter Maßnahmen nach Absatz 2 Buchstabe d des vorliegenden Artikels die spezifischen Schwachstellen der einzelnen unmittelbaren Anbieter und Diensteanbieter sowie die Gesamtqualität der Produkte und der Cybersicherheitspraxis ihrer Anbieter und Diensteanbieter, einschließlich der Sicherheit ihrer Entwicklungsprozesse, berücksichtigen.“

Nach Artikel 20 müssen die Leitungsorgane der NIS2-Einrichtungen diese Maßnahmen billigen und ihre Umsetzung überwachen, und sie können für Verstöße verantwortlich gemacht werden. Deshalb kann sich dein Kunde nicht mit einer mündlichen Zusicherung begnügen: Er muss zeigen können, was er von seinen Lieferanten verlangt und wie er es geprüft hat.

Bei einem erheblichen Sicherheitsvorfall muss der Kunde seinem CSIRT oder seiner zuständigen Behörde innerhalb von 24 Stunden nach Kenntnisnahme eine Frühwarnung übermitteln, innerhalb von 72 Stunden eine Meldung und spätestens einen Monat nach der Meldung einen Abschlussbericht (Artikel 23; die drei Fristen erklärt die NIS2-Seite). Beginnt der Vorfall auf einem System, das du verwaltest, hängen diese 24 Stunden auch davon ab, wie schnell du ihn informierst.

Für einige Arten von Einrichtungen hat die Kommission die Maßnahmen in der Durchführungsverordnung (EU) 2024/2690 konkretisiert: DNS-Diensteanbieter, TLD-Namenregister, Anbieter von Cloud-Computing-Diensten, Rechenzentrumsdiensten und Inhaltszustellnetzen, Anbieter verwalteter Dienste, Anbieter verwalteter Sicherheitsdienste, Online-Marktplätze, Online-Suchmaschinen, Plattformen für soziale Netzwerke und Vertrauensdiensteanbieter. Eine Verordnung gilt unmittelbar in jedem Mitgliedstaat. Bist du ein Anbieter verwalteter Dienste im Anwendungsbereich von NIS2, gilt sie für dich; ist dein Kunde eine dieser Einrichtungen, sind das die Klauseln, die er für deinen Vertrag prüfen muss. Andere NIS2-Einrichtungen folgen den Maßnahmen ihres nationalen Gesetzes und ihrer Behörde, die anders formuliert sein können.

Nummer 5.1.4 ihres Anhangs zählt auf, was in den Verträgen mit Anbietern und Diensteanbietern, soweit angemessen, festgelegt wird:

Nummer 5.2 verlangt außerdem ein aktuelles Verzeichnis der direkten Anbieter und Diensteanbieter, mit einer Kontaktstelle für jeden und den IKT-Produkten, -Diensten und -Prozessen, die er bereitstellt. Nach den Nummern 5.1.6 und 5.1.7 überprüft der Kunde die Praxis seiner Anbieter in geplanten Abständen: Er verfolgt die Berichte zu den Leistungsvereinbarungen, prüft Vorfälle mit ihren Produkten und Diensten und dokumentiert seine Feststellungen.

Dieses „soweit angemessen“ ist wichtig: Der Kunde wählt je nach Leistung aus, welche Anforderungen er an dich weitergibt. Rechne mit unterschiedlichen Anforderungen von Kunde zu Kunde.

Die Maßnahmen werden zu Fragen wie diesen, in einem Fragebogen oder einer Vertragsanlage:

• Welche unserer Systeme verwaltet der Dienstleister, und mit welchen Zugriffsrechten?
• Wer greift zu, mit persönlichen oder geteilten Konten? Gibt es Zwei-Faktor-Authentifizierung? Wie wird ausscheidenden Mitarbeitenden der Zugang entzogen?
• Wie geht der Dienstleister mit Schwachstellen und Sicherheitsupdates um, und mit welchen Nachweisen?
• Werden Sicherheitsereignisse auf den verwalteten Systemen protokolliert und überwacht? Wie lange werden sie aufbewahrt?
• Wie schnell werden wir bei einem Vorfall informiert, und mit welchen Angaben?
• Welche Unterauftragnehmer werden eingesetzt (Hosting, Werkzeuge, Cloud-Dienste), und wo verarbeiten sie die Daten?
• Was geschieht mit Daten und Zugängen bei Vertragsende?

Ein Zertifikat „NIS2-Lieferant“ gibt es nicht. Sich aufzustellen heißt, diese Fragen mit Fakten und Dokumenten beantworten zu können, Kunde für Kunde:

1. Erfasse deine NIS2-Kunden und für jeden die Systeme, die du verwaltest, und deine Zugriffsrechte. Das ist die Grundlage seines Anbieterverzeichnisses (Nummer 5.2).
2. Ordne die Zugänge: persönliche Konten, SSH-Schlüssel statt Passwörter, Zwei-Faktor-Authentifizierung an Panels und Konsolen, sofortiger Entzug, wenn jemand ausscheidet.
3. Aktualisiere mit Methode: eine Liste offener Schwachstellen pro Server, Fristen für die Behebung und der Nachweis, was wann eingespielt wurde.
4. Protokolliere und speichere Ereignisse auf den Servern, die du verwaltest, damit sich ein Vorfall rekonstruieren lässt.
5. Schreib dein Vorfallverfahren auf, mit einer Frist zur Benachrichtigung des Kunden, die zu seinen 24 Stunden passt, und den Kontakten beider Seiten.
6. Liste deine Unterauftragnehmer auf, mit dem Land, in dem jeder die Daten verarbeitet.
7. Vereinbare die Sicherheitsklauseln im Vertrag und plane die regelmäßige Überprüfung ein, die der Kunde durchführen und dokumentieren muss (Nummern 5.1.6 und 5.1.7).

InfraFence deckt einen Teil dieser Arbeit auf den Linux-Servern ab, die du verwaltest, und liefert dir Nachweise für den Kunden:

• Ereignisse und Verlauf pro Server: Angriffe, Sperren, SSH-Anmeldungen, geänderte Dateien und jede Aktion einer Person oder von AutoMode, mit Freigaben und Rücknahmen.
• Schwachstellen und Härtung: Härtungsprüfungen, Schwachstellen (CVEs) der installierten Pakete und ein Sicherheitswert pro Server, mit einem Monatsbericht.
• Zugang zum Dashboard: Zwei-Faktor-Authentifizierung für jeden Benutzer und ein Aktivitätsprotokoll.
• Vorfälle: aus den Ereignissen Entwürfe für Frühwarnung, Meldung und Abschlussbericht, die du prüfst und ergänzt (Tarife Pro und AutoMode). Senden muss sie immer die NIS2-Einrichtung, nie InfraFence.
• Ein dokumentierter Unterauftragnehmer: InfraFence wird von ComCart Srl betrieben, einem italienischen Unternehmen; Dashboard und Daten liegen in Deutschland. Was der Agent liest und sendet, steht auf der Seite Sicherheit, die du an den Kunden weitergeben kannst.

Den Rest deckt es nicht ab: Systeme, auf denen der Agent nicht läuft, Prozesse, Menschen, Verträge. Es entscheidet nicht, ob ein Vorfall erheblich ist, sendet nichts an eine Behörde oder ein CSIRT, und seine Nutzung macht dich nicht konform: Es hilft dir zu belegen, was du auf den Servern tust.

• Richtlinie (EU) 2022/2555 (NIS2), auf EUR-Lex: Artikel 2, 3, 5, 6, 20, 21 und 23, Anhang I.
• Durchführungsverordnung (EU) 2024/2690 der Kommission, auf EUR-Lex: Artikel 1 und Anhang, Nummern 5.1 und 5.2.
• Empfehlung 2003/361/EG der Kommission, auf EUR-Lex: die Definition der Kleinstunternehmen sowie der kleinen und mittleren Unternehmen.
• ENISA, die NIS2-Richtlinie (auf Englisch).
• Gesetz zur Umsetzung der NIS-2-Richtlinie, BGBl. 2025 I Nr. 301, im Bundesgesetzblatt.
• BSI-Gesetz (BSIG), auf gesetze-im-internet.de.
• BSI, NIS-2-regulierte Unternehmen.