NIS-2 und Managed Service Provider

Mit der NIS-2-Richtlinie möchte die Europäische Union ein hohes Cybersicherheitsniveau gewährleisten und dadurch den Binnenmarkt besser schützen.

Die NIS-2-Richtlinie ist in Deutschland insbesondere im BSIG* umgesetzt worden.

Die NIS-2-Richtlinie bzw. das BSIG erfasst zahlreiche Unternehmensarten, die in den Anlagen des Gesetzes näher bestimmt werden. Der Fokus soll hier jedoch auf einer bestimmten Einrichtungsart liegen: Dem Managed Service Provider.

* Gesetz über das Bundesamt für Sicherheit in der Informationstechnik und über die Sicherheit in der Informationstechnik von Einrichtungen.

Einrichtungsarten

Managed Service Provider definiert das Gesetz als Anbieter von Diensten im Zusammenhang mit der Installation, der Verwaltung, dem Betrieb oder der Wartung von IKT-Produkten, -Netzen, -Infrastrukturen, -Anwendungen oder jeglichen anderen Netz- und Informationssystemen durch Unterstützung oder aktive Verwaltung in den Räumlichkeiten der Kunden oder aus der Ferne.

Die Definition ist lang und abstrakt. Zugleich ist sie sehr weit und erfasst zahlreiche Unternehmen. Dies liegt zunächst daran, dass – anders als in anderen Bereichen – nicht lediglich einzelne Branchen reguliert werden. Im Verkehrssektor werden unter anderem die Branchen „Luft- und Schienenverkehr“ erfasst. Für die digitale Infrastruktur wird dagegen nicht nach Branchen differenziert. Managed Service Provider zählen daher unabhängig von der Branche, in der sie oder für die sie tätig sind, zu den regulierten Einrichtungsarten.

Anders als teilweise angenommen, muss ein Unternehmen nicht Hersteller der Hardware oder Software sein, die es installiert und/oder wartet. Aus der Gesetzesbegründung ergibt sich, dass bereits ein gewisser tatsächlicher Zugriff auf das Produkt ausreicht. Lediglich reine Beratungsdienstleistungen sollen ausgeschlossen werden. Der volle Zugriff auf ein Produkt oder eine Software, wie ihn ein Hersteller hätte, ist daher nicht erforderlich, um Managed Service Provider zu sein.

Managed Service Provider übernehmen funktional die Rolle einer externen IT-Abteilung. Dabei muss nicht die gesamte IT-Abteilung ausgelagert sein. Auch einzelne Anwendungen oder Produkte können installiert und/oder gewartet werden.

Schwellenwerte

Allerdings fällt nicht jeder Managed Service Provider automatisch in den Anwendungsbereich des BSIG. Auch die Größe des Unternehmens ist zu berücksichtigen. Sie wird alternativ anhand des Jahresumsatzes oder der Anzahl der Mitarbeitenden bestimmt. Ein Managed Service Provider ist beispielsweise bereits ab 50 Mitarbeitenden als wichtige Einrichtung einzustufen.

Neue Pflichten

Unternehmen, die nach dem BSIG als besonders wichtige oder wichtige Einrichtungen einzustufen sind, müssen sich beim BSI (Bundesamt für Sicherheit in der Informationstechnik) registrieren. Für Unternehmen, die erstmals in den Anwendungsbereich fallen, gilt ab diesem Zeitpunkt eine dreimonatige Frist.

Außerdem muss die Geschäftsleitung alle drei Jahre an einer Fortbildung zum Risikomanagement im Bereich der IT-Sicherheit teilnehmen. Diese Pflicht kann nicht delegiert werden.

Die umfangreichste Pflicht liegt hingegen in der Umsetzung von Risikomanagementmaßnahmen. Hierzu zählen insbesondere Risikoanalysekonzepte und Backup-Strategien. Die zu ergreifenden Maßnahmen sollen das Unternehmen jedoch nicht unnötig belasten. Ihr Umfang wird individuell bestimmt und hängt unter anderem von der Größe des Unternehmens und den Umsetzungskosten ab.