NIS2 für IT-Dienstleister und MSP

Für MSPs und MSSPs hat die Durchführungsverordnung der EU-Kommission nach §30 Abs. 3 BSIG Vorrang. Ihr Anhang konkretisiert die zehn Maßnahmen aus §30 Abs. 2 BSIG mit technischen und methodischen Anforderungen, etwa zu privilegierten Konten und Administrationssystemen, Netzwerksegmentierung, Patch-Management und einer unabhängigen Überprüfung der eigenen Sicherheit. Wo der Anhang eine Anforderung nur „soweit angemessen" verlangt und Sie sie nicht anwenden, dokumentieren Sie die Begründung nachvollziehbar (Art. 2 Abs. 2).

Sie sind aus zwei Richtungen betroffen. Gegenüber Ihren eigenen Anbietern verlangt die DVO eine Richtlinie zur Lieferkettensicherheit, Auswahlkriterien und ein aktuelles Verzeichnis der direkten Lieferanten und Dienstleister (Anhang Nr. 5.1 und 5.2). Verträge sollen, soweit angemessen, unter anderem Sicherheitsanforderungen, die Meldung von Vorfällen durch den Dienstleister und ein Audit-Recht oder das Recht auf Auditberichte regeln (Nr. 5.1.4). Dieselben Punkte zeigen, was NIS2-pflichtige Kunden von Ihnen als Lieferant vertraglich erwarten können.

Erhebliche Sicherheitsvorfälle melden Sie an die gemeinsame Meldestelle von BSI und BBK: frühe Erstmeldung nach 24 Stunden, Meldung nach 72 Stunden, Abschlussmeldung nach einem Monat. Wann ein Vorfall erheblich ist, legt für MSPs Art. 10 der DVO fest, unter anderem: Der Managed Service ist mehr als 30 Minuten vollständig nicht verfügbar, oder Daten im Zusammenhang mit dem Dienst sind durch eine mutmaßlich böswillige Handlung kompromittiert. Dazu kommen die allgemeinen Kriterien aus Art. 3, etwa ein direkter finanzieller Schaden über 500.000 € oder 5 % des Jahresumsatzes, je nachdem, welcher Wert niedriger ist.

Einrichtungen im Sektor Verwaltung von IKT-Diensten teilen Kunden, die potenziell von einer erheblichen Cyberbedrohung betroffen sind, und dem BSI unverzüglich mögliche Abhilfemaßnahmen mit und informieren über die Bedrohung selbst, soweit die Interessen der Kunden überwiegen (§35 Abs. 2). Zusätzlich kann das BSI bei einem erheblichen Sicherheitsvorfall anordnen, dass Sie die Empfänger Ihrer Dienste unterrichten (§35 Abs. 1).

MSPs registrieren sich wie alle Einrichtungen beim BSI und übermitteln zusätzlich Angaben nach §34 BSIG, unter anderem Hauptniederlassung in der EU, Mitgliedstaaten der Diensterbringung und öffentliche IP-Adressbereiche. Zuständig ist das BSI nur, wenn Ihre EU-Hauptniederlassung in Deutschland liegt, dann aber für die gesamte EU (§60 BSIG).

Die Geschäftsleitung muss die Maßnahmen umsetzen, ihre Umsetzung überwachen und regelmäßig an Schulungen teilnehmen. Bei MSPs betrifft das insbesondere Entscheidungen über Fernwartungszugänge, Administrationskonten und eigene Lieferanten.