NIS2-Check / IT-Dienstleister und MSP
NIS2 für IT-Dienstleister, MSP und MSSP
Die Verwaltung von IKT-Diensten steht in Anlage 1 des BSIG. IT-Dienstleister sind damit doppelt betroffen: als eigene Einrichtung und als Teil der Lieferkette ihrer Kunden.
Anlage 1 Nr. 9 BSIG erfasst die Verwaltung von IKT-Diensten im Business-to-Business-Bereich, also Managed Service Provider und Managed Security Service Provider. Gemeint sind Anbieter, die IT-Systeme, Netze oder Sicherheitsfunktionen für andere Unternehmen betreiben oder überwachen, typischerweise mit weitreichenden Zugriffsrechten auf deren Umgebung.
Ihre eigene Einstufung
Als Sektor der Anlage 1 gilt: ab 250 Beschäftigten oder mehr als 50 Millionen Euro Umsatz und zugleich mehr als 43 Millionen Euro Bilanzsumme sind Sie besonders wichtige Einrichtung, ab 50 Beschäftigten oder mehr als 10 Millionen Euro Umsatz und zugleich mehr als 10 Millionen Euro Bilanzsumme wichtige Einrichtung. Viele Systemhäuser des Mittelstands liegen genau in diesem Bereich und sind damit erstmals unmittelbar reguliert.
Der zweite Weg: die Lieferkette Ihrer Kunden
Auch unterhalb der Schwelle erreicht Sie das Gesetz. Betroffene Kunden müssen nach § 30 Abs. 2 BSIG die Risiken ihrer Lieferkette und ihrer Dienstleisterbeziehungen steuern. In der Praxis heißt das: Sicherheitsanhänge in Verträgen, Fragebögen, Nachweise, Meldeketten für Vorfälle und Mitwirkungspflichten bei Audits. Für einen MSP wird die eigene Sicherheitsreife damit zur Voraussetzung, im Ausschreibungsverfahren überhaupt zu bleiben.
Privilegierter Zugang bedeutet erhöhte Sorgfalt
Ein kompromittierter MSP ist ein Zugang zu vielen Kundennetzen gleichzeitig. Entsprechend genau schaut die Aufsicht auf Fernwartungszugänge, Administrationskonten, Multi-Faktor-Authentisierung, Mandantentrennung und die Protokollierung privilegierter Aktivitäten. Diese Punkte stehen so oder ähnlich in den Mindestmaßnahmen des § 30 BSIG.
Klären Sie zuerst die eigene Lage
Bevor Sie Kundenfragebögen beantworten, sollten Sie Ihre eigene Einstufung kennen. Der kostenlose NIS2-Check liefert sie mit Paragrafenbezug, und das Ergebnis lässt sich als datierter Nachweis an Kunden weitergeben.
Häufige Fragen
Ist jedes IT-Systemhaus ein MSP im Sinne des Gesetzes?
Nein. Erfasst ist die laufende Verwaltung von IKT-Diensten für Kunden. Reiner Hardwarehandel oder Projektgeschäft ohne Betriebsverantwortung fällt in der Regel nicht darunter.
Wir haben 30 Mitarbeitende. Sind wir raus?
Unmittelbar in der Regel ja, sofern die Finanzschwellen nicht überschritten werden. Über die Lieferkettenpflichten Ihrer Kunden erreichen Sie die Anforderungen trotzdem.
Was verlangen Kunden typischerweise?
Nachweise zur eigenen Einstufung, ein Sicherheitskonzept, Meldewege für Vorfälle mit klaren Fristen und Regelungen zu Fernzugriff und Subunternehmern.
Sind Sie NIS2-betroffen? Prüfen Sie es kostenlos.
Sektor und Größe eingeben, in unter einer Minute Ihre Einstufung, die Registrierungspflicht und den Pflichten-Fahrplan erhalten. Kostenlos, ohne Konto.
Betroffenheit prüfenKeine Rechtsberatung. Eine erste Einschätzung auf Basis Ihrer Angaben und der aktuellen Struktur des NIS2-Umsetzungsgesetzes.