Sicherheitsvorfall beim Dienstleister: Wer meldet ans BSI?

Verfasst von der NIS2Compass Redaktion | Stand: August 2026

Passiert der Sicherheitsvorfall bei Ihrem Cloud-Anbieter oder MSP, meldet nicht der Dienstleister für Sie ans BSI. Jede betroffene NIS2-Einrichtung meldet selbst, mit eigener Erheblichkeitsprüfung und eigener 24-Stunden-Frist ab der eigenen Kenntniserlangung. Der kostenlose NIS2Compass Vor-Check klärt in unter fünf Minuten, ob Ihr Unternehmen überhaupt zu den meldepflichtigen Einrichtungen gehört.

Wer muss melden, wenn der Vorfall beim Dienstleister passiert?

Es meldet die betroffene Einrichtung selbst. § 32 Abs. 1 BSIG richtet die Meldepflicht an besonders wichtige und wichtige Einrichtungen. Liegt die Ursache beim Dienstleister, ändert das nichts daran, dass der Kunde seine eigene Betroffenheit prüfen muss. Die Meldung eines Cloud-Anbieters oder MSP über seinen Vorfall ersetzt Ihre Meldung nicht.

Bei einem Lieferkettenvorfall können deshalb mehrere Meldeverfahren parallel laufen: eines für den Dienstleister und eines für jeden betroffenen NIS2-pflichtigen Kunden. Jede Einrichtung bewertet die Auswirkungen auf ihre eigenen Dienste und führt ihre eigene Frist. Die BSI-Auswertung „NIS-2 in Zahlen" weist zum Stichtag 30. Juni 2026 bereits 692 frühe Erstmeldungen und 1.659 NIS-2-Meldungen insgesamt aus.

Für diesen Artikel sind drei Situationen entscheidend:

1. Ihr Cloud-Anbieter ist kompromittiert und Ihre Dienste oder Daten sind betroffen.
2. Sie sind selbst MSP oder IT-Dienstleister und müssen zugleich den eigenen Vorfall sowie die Information Ihrer Kunden steuern.
3. Sie sind Zulieferer ohne eigene NIS2-Pflicht, haben aber eine vertragliche 24-Stunden-Frist vereinbart.

Grundlagen zu Meldestufen und Fristen behandelt der NIS2Compass-Beitrag zu den NIS2-Meldepflichten. Hier geht es um die zusätzliche Dienstleister-Perspektive.

Ihr Cloud-Anbieter ist kompromittiert: Müssen Sie selbst ans BSI melden?

Ja, wenn der Vorfall bei Ihnen als besonders wichtiger oder wichtiger Einrichtung einen erheblichen Sicherheitsvorfall auslöst, etwa weil Ihre Dienste ausfallen oder Ihre Daten betroffen sind. Ihr Cloud-Anbieter meldet seinen eigenen Vorfall. Ihre 24-Stunden-Frist für die frühe Erstmeldung beginnt mit Ihrer eigenen Kenntniserlangung.

Ein Cloud-Anbieter ist als Anbieter von Cloud-Computing-Diensten in Anlage 1 BSIG erfasst. Dennoch prüft der Kunde unabhängig, ob für ihn ein erheblicher Sicherheitsvorfall vorliegt. Nach § 2 Nr. 11 BSIG kommt es darauf an, ob der Vorfall schwerwiegende Betriebsstörungen oder finanzielle Verluste für die betreffende Einrichtung verursachen kann oder andere erheblich schädigt. Bezugspunkt sind Ihre Dienste und Ihre Verluste, nicht die Ihres Anbieters.

Die harten Schwellen der Durchführungsverordnung (EU) 2024/2690 betreffen die dort genannten Anbieter digitaler Infrastruktur bei deren eigener Bewertung. Für Kunden außerhalb dieser Kategorien ist die allgemeine BSIG-Definition maßgeblich. Die Detailprüfung erläutert der Beitrag zum erheblichen Sicherheitsvorfall.

Der Gesetzeswortlaut definiert die Kenntniserlangung nicht näher. Praktisch sollte Ihr Meldeprozess deshalb festlegen, wann die zuständige Stelle einen Dienstleister-Vorfall als möglicherweise erheblich für die eigenen Dienste einordnen kann. Das ist häufig die qualifizierte Information des Anbieters oder eine eigene Störungsfeststellung. Wer den Vorfall zuerst aus der Presse erfährt, sollte die eigene Betroffenheit aktiv prüfen.

Cloud-Ausfälle sind keine Randerscheinung: Laut Bitkom müssten 46 Prozent der Unternehmen bei einem Cloud-Ausfall über kurz oder lang den Betrieb einstellen; 28 Prozent der Cloud-Nutzer erlebten binnen zwölf Monaten gravierende Ausfälle. Sind personenbezogene Daten betroffen, prüfen Sie zusätzlich die Meldung nach Art. 33 DSGVO. Dieser Meldeweg läuft unabhängig von einer BSI-Meldung.

Sie sind MSP oder IT-Dienstleister: Welche Meldepflichten treffen Sie selbst?

Managed Service Provider können selbst NIS2-reguliert sein. Anlage 1 BSIG führt „Managed Services Provider" und „Managed Security Services Provider" im Sektor Digitale Infrastruktur. Maßgeblich sind Tätigkeit und Größenschwellen, nicht die Eigenbezeichnung als Systemhaus oder IT-Dienstleister.

Ein MSP ist nach § 2 Nr. 26 BSIG ein Anbieter von Diensten rund um Installation, Verwaltung, Betrieb oder Wartung von IKT-Produkten, Netzen, Infrastruktur, Anwendungen oder anderen Netz- und Informationssystemen. Das erfasst typischerweise Fernwartung, zentrale Administration und Managed Security Services. Als wichtige Einrichtung gelten die in den Anlagen erfassten Unternehmen ab 50 Beschäftigten oder bei Jahresumsatz und Jahresbilanzsumme von jeweils über 10 Millionen Euro. Besonders wichtige Einrichtungen beginnen grundsätzlich bei 250 Beschäftigten oder bei über 50 Millionen Euro Umsatz und zugleich über 43 Millionen Euro Bilanzsumme, siehe § 28 BSIG.

Trifft ein Angriff Ihre Fernwartungszugänge, zentralen Verwaltungssysteme oder RMM-Werkzeuge, ist das für Sie ein eigener Vorfall. Für erhebliche Sicherheitsvorfälle verlangt § 32 BSIG eine frühe Erstmeldung binnen 24 Stunden, eine Meldung binnen 72 Stunden, Zwischenmeldungen auf Ersuchen und eine Abschlussmeldung spätestens einen Monat nach der Meldung. Die Mustertexte für die NIS2-Meldung helfen bei der Vorbereitung.

Als MSP tragen Sie einen doppelten Hut: Sie bewerten und melden Ihren eigenen Vorfall. Zugleich sind Sie der entscheidende Informationslieferant für Kunden, deren eigene Dienste betroffen sein können. Jeder betroffene Kunde führt seine eigene Erheblichkeitsprüfung; Ihre Meldung erledigt die Meldung Ihrer Kunden nicht. Ob Ihr Unternehmen in den Geltungsbereich fällt, prüft der NIS2Compass Vor-Check.

Wie informieren Sie als Dienstleister Ihre Kunden, damit deren Fristen haltbar bleiben?

Die Frist Ihres Kunden richtet sich nach dessen eigener Kenntniserlangung. Eine schnelle, belastbare Vorfall-Information verschafft ihm die Grundlage für seine Bewertung. Wer zu spät, zu pauschal oder nur über den Vertrieb informiert, erhöht für Kunden das Risiko einer verspäteten Meldung.

Das BSIG begründet keine allgemeine Pflicht, jeden Kunden über jeden Vorfall zu unterrichten. § 35 Abs. 1 BSIG erlaubt dem BSI jedoch, die Unterrichtung der Empfänger eines beeinträchtigten Dienstes anzuordnen. Für bestimmte Sektoren enthält § 35 Abs. 2 außerdem eine Informationspflicht bei erheblichen Cyberbedrohungen. Unabhängig davon vereinbaren viele Kunden konkrete Informationswege vertraglich, denn § 30 Abs. 2 Nr. 4 BSIG nennt die Sicherheit der Lieferkette ausdrücklich als Risikomanagementmaßnahme. Musterformulierungen und eine Prüfliste für genau diese Klauseln liefert die kostenlose Vorlage Meldeklauseln für Dienstleisterverträge (Word).

Eine belastbare Erstinformation enthält mindestens:

• Zeitpunkte: Wann wurde der Vorfall erkannt, wann konnte er bewertet werden und wann wird der Kunde informiert?
• Betroffenheit: Welche Dienste, Systeme, Zugänge oder Daten können bei diesem Kunden betroffen sein?
• Auswirkungen: Welche Störungen bestehen, und was ist noch unklar?
• Sofortmaßnahmen: Welche Eindämmungsmaßnahmen laufen bereits, und was soll der Kunde jetzt tun?
• Kontakt und Updates: Wer ist auch außerhalb der Geschäftszeiten erreichbar, und wann folgt das nächste Update?

Diese Angaben genügen nicht für eine vollständige Forensik, aber sie geben dem Kunden eine belastbare Grundlage für seine frühe Erstmeldung. Warten Sie nicht bis zum Abschluss der Analyse. Der NIS2 Guide hilft, Zuständigkeiten, Kommunikationswege und Meldestufen vor dem Ernstfall festzulegen. Laut Bitkom haben 68 Prozent der Cloud-Nutzer vertragliche Vereinbarungen mit ihren Anbietern für den Störungsfall getroffen. Die restlichen 32 Prozent sollten diesen Punkt im Lieferantenmanagement prüfen.

Für die Vertragsprüfung sollten Sie außerdem festlegen, wie der Dienstleister Kundengruppen priorisiert, wenn nicht alle Auswirkungen gleichzeitig geklärt sind. Kritische Dienste, privilegierte Zugänge und mögliche Datenabflüsse gehören in die erste Information; weniger kritische Details können im vereinbarten Folgeupdate nachgereicht werden. So bleibt die Erstinformation handlungsfähig, ohne eine abgeschlossene Forensik vorzutäuschen.

Was gilt für Zulieferer ohne eigene NIS2-Pflicht mit vertraglicher 24-Stunden-Frist?

Wer selbst nicht unter NIS2 fällt, wird durch eine vertragliche 24-Stunden-Frist nicht zur meldepflichtigen Einrichtung. Die Klausel verpflichtet gegenüber dem Kunden, nicht gegenüber dem BSI. Sie soll dem Kunden ermöglichen, seine eigene gesetzliche Bewertung und gegebenenfalls seine frühe Erstmeldung fristgerecht vorzunehmen.

Praktisch verlangt die Klausel trotzdem belastbare Fähigkeiten. Sie brauchen einen Meldeweg, der Vorfälle zeitnah erkennt, intern bewertet und an die vereinbarte Sicherheits- oder Notfalladresse weitergibt. Halten Sie Zeitstempel für Entdeckung, Bewertung und Kundeninformation fest. Das Vorfall-Logbuch hilft auch Unternehmen ohne eigene NIS2-Pflicht, diese Abläufe nachvollziehbar zu dokumentieren.

Vertragsstrafen oder Schadensersatz können sich aus einer verpassten Frist ergeben, hängen aber vom konkreten Vertrag ab. Lassen Sie Klauseln deshalb rechtlich prüfen. Eine freiwillige Meldung an die allgemeine Meldestelle des BSI bleibt nach § 5 Abs. 2 BSIG möglich, auch anonym. Sie ist jedoch etwas anderes als die verpflichtende Meldung nach § 32 BSIG.

Lieferkettenrisiken sind praktisch relevant. Laut Bitkom wissen 9 Prozent der Unternehmen von Angriffen auf Zulieferer, weitere 19 Prozent haben einen Verdacht. Von diesen Unternehmen spürten 41 Prozent die Folgen selbst. Bitkom-Präsident Dr. Ralf Wintergerst fasst das Risiko treffend zusammen: „Angreifer suchen sich die schwächste Stelle aus. Gerade bei besonders gut geschützten Unternehmen sind das häufig weniger gut geschützte Zulieferer."

Wie läuft der Ernstfall konkret ab: Ransomware beim MSP?

Ein Vorfall beim Dienstleister kann mehrere getrennte Meldeverfahren auslösen. Das folgende Beispiel zeigt zwei eigene Fristen: Ransomware trifft ein Systemhaus mit 55 Beschäftigten; dessen zuständige Stelle bewertet den Fall am Samstag um 08:30 Uhr. Ein betroffener Kunde erhält die qualifizierte Information um 10:00 Uhr.

Ausgangspunkt ist ein MSP mit kompromittiertem Fernwartungszugang. Die Bereitschaft isoliert am Freitagabend betroffene Systeme. Am Samstag um 08:30 Uhr kann der ISB den Vorfall als möglicherweise erheblich einordnen. Für den MSP beginnt damit seine Frist für die frühe Erstmeldung. Um 10:00 Uhr informiert er potenziell betroffene Kunden über Zeitpunkt, Systeme, erste Auswirkungen und einen Ansprechpartner.

Ein Maschinenbauunternehmen mit 180 Beschäftigten prüft ab 10:00 Uhr seine eigene Betroffenheit. Ergibt die Prüfung einen erheblichen Sicherheitsvorfall, läuft seine eigene 24-Stunden-Frist. Sie endet unabhängig von der Frist des MSP. Ein weiterer Kunde ohne eigene NIS2-Pflicht meldet nicht ans BSI, muss seine vertraglichen Informationspflichten aber möglicherweise gegenüber seinem eigenen Kunden erfüllen.

Danach führen MSP und betroffene Kunden ihre weiteren Meldestufen getrennt fort. Mustertexte für die Meldung und der Beitrag Was nach einer Meldung ans BSI passiert unterstützen bei den nächsten Schritten. Laut Bitkom waren 2025 34 Prozent der Unternehmen von Ransomware-Attacken mit Schaden betroffen. Das Szenario ist deshalb keine theoretische Ausnahme.

Häufig gestellte Fragen

Meldet mein Cloud-Anbieter einen Sicherheitsvorfall für mich ans BSI?

Nein. Der Cloud-Anbieter meldet seinen eigenen Vorfall. Sind Ihre Dienste oder Daten betroffen und sind Sie selbst eine wichtige oder besonders wichtige Einrichtung, prüfen Sie die Erheblichkeit für Ihr Unternehmen und melden nach § 32 BSIG gegebenenfalls selbst. Ihre Frist richtet sich nach Ihrer eigenen Kenntniserlangung.

Wann beginnt meine 24-Stunden-Frist, wenn der Vorfall beim Dienstleister passiert?

§ 32 BSIG knüpft an Ihre Kenntniserlangung an. Praktisch sollte die zuständige Stelle den Zeitpunkt dokumentieren, an dem sie den Vorfall als möglicherweise erheblich für die eigenen Dienste einordnen kann. Das kann nach der qualifizierten Information des Dienstleisters oder nach einer eigenen Störungsfeststellung sein.

Sind MSPs und IT-Systemhäuser selbst von NIS2 betroffen?

Das hängt von ihrer Tätigkeit und Größe ab. Anlage 1 BSIG nennt Managed Service Provider und Managed Security Service Provider im Sektor Digitale Infrastruktur. Die allgemeinen Schwellen und Ausnahmen ergeben sich aus § 28 BSIG. Der NIS2Compass Vor-Check liefert eine erste strukturierte Einordnung.

Muss ein nicht regulierter Zulieferer wegen einer Vertragsklausel ans BSI melden?

Nein. Eine vertragliche 24-Stunden-Frist begründet eine Informationspflicht gegenüber dem Kunden, nicht die gesetzliche Meldepflicht nach § 32 BSIG. Der Kunde benötigt die Information, um seine eigene Situation zu bewerten. Freiwillige Meldungen über die allgemeine Meldestelle bleiben davon getrennt möglich.

Welche Angaben braucht mein Dienstleister-Vorfallbericht?

Sie brauchen mindestens Zeitpunkte, betroffene Dienste und Systeme je Kunde, eine erste Auswirkungsbewertung, laufende Sofortmaßnahmen, einen erreichbaren Ansprechpartner und einen Zeitpunkt für das nächste Update. Vollständige Forensik ist zu diesem Zeitpunkt nicht erforderlich, eine belastbare Erstinformation dagegen schon.

Quellen

• §§ 2, 5, 28, 30, 32 und 35 BSIG
• Anlage 1 BSIG
• BSI: NIS-2 in Zahlen, Stand 30. Juni 2026
• Bitkom: Cloud-Ausfall würde fast jedes zweite Unternehmen lahmlegen, 3. Juli 2026
• Bitkom: Angreifer nehmen Zulieferer ins Visier, 7. November 2025
• Bitkom: Russland und China nehmen deutsche Wirtschaft ins Visier, 18. September 2025