IKT-Dienstleistungsmanagement (B2B) gehört zu den zehn Anlage-1-Sektoren des BSIG und kann als „besonders wichtige Einrichtung" eingestuft werden. Erfasst sind vor allem Managed-Service-Provider (MSP) und Managed-Security-Service-Provider (MSSP), die IT-Betrieb oder Sicherheitsdienstleistungen für andere Unternehmen erbringen - reine Software- oder Beratungsdienstleister ohne Managementfunktion über fremde IT-Systeme fallen in der Regel nicht darunter. Ab 50 Beschäftigten oder Umsatz und Bilanzsumme über 10 Millionen Euro gilt ein solcher Dienstleister als „wichtig", ab 250 Beschäftigten oder entsprechend höheren Werten als „besonders wichtig".
Der Sektor spielt eine besondere Rolle in der NIS2-Systematik, weil MSPs und MSSPs häufig zugleich Zulieferer für zahlreiche andere NIS2-pflichtige Organisationen sind - ein Sicherheitsvorfall beim Dienstleister kann sich damit auf viele Kunden gleichzeitig auswirken. Kunden fordern deshalb zunehmend vertraglich einen Nachweis der eigenen NIS2-Konformität, etwa über ein dokumentiertes ISMS mit Statement of Applicability.
- Managed-Service-Provider (MSP) für IT-Betrieb
- Managed-Security-Service-Provider (MSSP)
- Betreiber von Security Operations Centers (SOC) für Dritte
- IT-Systemhäuser mit Betriebsverantwortung für Kundeninfrastruktur
Wie die Einschätzung funktioniert
NIS2, CRA und ISO 42001 - drei Regelwerke, ein Schnellcheck
NIS2, der Cyber Resilience Act (CRA) und ISO/IEC 42001 werden häufig verwechselt, weil sie sich zeitlich überschneiden und alle Sicherheitsnachweise verlangen. Sie adressieren aber unterschiedliche Ebenen: NIS2 verpflichtet Betreiber besonders wichtiger und wichtiger Einrichtungen, ihre eigene Organisation abzusichern. Der CRA verpflichtet Hersteller, sichere Produkte mit digitalen Elementen in Verkehr zu bringen. ISO 42001 ist eine freiwillige Norm für den Umgang mit KI-Systemen.
Der Compliance-Kompass ordnet die eigenen Angaben diesen drei Regelwerken zu und verweist direkt auf die passende Vorlage im ISMS-Dokumentation-Tool oder auf CRA-Klartext. Die Einschätzung ersetzt keine rechtliche Prüfung, gibt aber einen belastbaren ersten Anhaltspunkt, wo Handlungsbedarf besteht.
Häufige Fragen
Fällt ein klassisches IT-Systemhaus unter diesen Sektor?
Kommt auf das Geschäftsmodell an: Wer laufend IT-Systeme oder Netzwerke für andere Unternehmen betreibt und verwaltet, fällt in der Regel darunter. Reine Projekt- oder Beratungsdienstleister ohne dauerhafte Betriebsverantwortung meist nicht.
Warum ist dieser Sektor für die Lieferkette anderer NIS2-Unternehmen so wichtig?
Weil MSPs und MSSPs oft zentrale IT-Funktionen für viele Kunden gleichzeitig übernehmen, wird ihre eigene Cybersicherheit zum Risikofaktor für die gesamte Kundenbasis - deshalb verlangt NIS2 in Art. 21 Abs. 2 lit. d ausdrücklich, die Lieferkette einschließlich solcher Dienstleister abzusichern.
Ab welcher Unternehmensgröße gilt NIS2?
In der Regel ab 50 Beschäftigten oder 10 Millionen Euro Jahresumsatz - vorausgesetzt, das Unternehmen ist einem der in Anhang I oder II der Richtlinie genannten Sektoren zuzuordnen. Unabhängig von der Größe können auch einzelne kritische Einzelanbieter erfasst sein.
Bin ich als Softwarehersteller vom Cyber Resilience Act betroffen?
Sehr wahrscheinlich. Enthält ein Produkt Software oder kann es sich mit einem Gerät oder Netz verbinden und wird es in der EU verkauft, fällt es in der Regel unter den CRA - egal ob reine Software, IoT-Gerät oder Industriesteuerung.
Muss ich mein Unternehmen nach ISO 42001 zertifizieren lassen, wenn ich KI einsetze?
Nein, ISO/IEC 42001 ist eine freiwillige Norm. Verpflichtend sind die Anforderungen der EU-KI-Verordnung, unabhängig von einer Zertifizierung. Ein KI-Managementsystem nach ISO 42001 hilft aber, diese Anforderungen strukturiert nachzuweisen.
Mehr dazu: NIS-2 im Glossar · SoA im Glossar