Erfasst sind Managed Service Provider und Managed Security Service Provider, dazu Anbieter von Cloud-Computing- und Rechenzentrumsdiensten. Wie streng die Pflichten ausfallen, entscheidet die Unternehmensgröße. Zusätzlich kommen NIS-2-Anforderungen aus Kunden-Verträgen, weil Kunden Sie als kritischen Lieferanten einstufen. OdySecure, die Sicherheitsplattform von Cybervize, deckt eigenes ISMS plus mandantenfähige Plattform für Ihre Kunden ab.
NIS-2-Risiko-Check buchenRegelfall nach § 28 BSIG. Berechnung der Kennzahlen in Jahresarbeitseinheiten, Zurechnung von Partner- und verbundenen Unternehmen, Sondertatbestände und die abschließende Einordnung brauchen eine Einzelfallprüfung. Die Zuordnung zu einer der vier Einrichtungsarten der Anlage 1 richtet sich nach der konkreten Tätigkeit. Die Meldefristen setzen einen erheblichen Sicherheitsvorfall voraus (§ 32 BSIG).
Wer Dienste für andere betreibt, wird doppelt geprüft: von der eigenen Aufsicht und von jedem Kunden. Die Nachweise dafür heißen unterschiedlich und verlangen dasselbe. In OdySecure liegen sie im selben Katalog.
Die NIS2 Implementing Regulation gilt für bestimmte digitale Dienste unmittelbar, unabhängig von der Größenschwelle. Die Einordnung dazu steht weiter unten.
Managed Service Provider (MSP), MSSPs und IT-Dienstleister sind über die Supply-Chain-Klausel zusätzlich indirekt mit Pflichten ihrer NIS-2-pflichtigen Kunden konfrontiert. Fünf Konsequenzen aus dieser Klassifikation für MSPs und IT-Häuser. Sektor allein reicht nicht: Die genaue Einordnung als Managed Service Provider, Managed Security Service Provider, Cloud-Computing- oder Rechenzentrumsanbieter richtet sich nach der konkreten Tätigkeit nach Anlage 1 BSIG und den Größenwerten. Die rechtliche Bewertung bleibt einer spezialisierten Kanzlei vorbehalten.
Ab 250 Mitarbeitenden oder bei Umsatz über 50 Mio. € und Bilanzsumme über 43 Mio. € wird aus der wichtigen eine besonders wichtige Einrichtung: höchste Sanktionsstufe, aktive BSI-Aufsicht. Cyber-Vorfälle in MSP-Infrastruktur können Tausende von Kunden gleichzeitig treffen, daher die strenge Einstufung des Sektors.
IT-Dienstleister müssen ihre eigenen Cybersicherheits-Pflichten erfüllen UND gegenüber Kunden nachweisen, dass sie deren NIS-2-Pflichten unterstützen. Kunden-Sicherheits-Fragebögen werden zur Routine.
MSPs verwalten mehrere Kunden auf gemeinsamer Infrastruktur. NIS-2 verlangt strikte Datenisolierung, sektor-übergreifende Risiko-Bewertung und konsolidiertes Incident-Reporting.
Jeder NIS-2-betroffene Kunde muss Sie als Lieferant in seiner Risiko-Analyse berücksichtigen. Bewertung, Vertragsanforderungen und Audit-Rechte werden Standard. Wer schnell Nachweise liefern kann, gewinnt Aufträge.
§ 28 Abs. 6 Nr. 1 BSIG nimmt Finanzunternehmen nach Artikel 2 Absatz 2 DORA von zentralen BSIG-Pflichten aus. Finanzunternehmen sind dort die Buchstaben a bis t; IKT-Drittdienstleister stehen in Buchstabe u. Konzern-IT-Gesellschaften, ausgegründete Security Operations Center und Plattformanbieter werden deshalb nach § 28 BSIG selbst eingestuft und tragen die DORA-Anforderungen zusätzlich aus dem Kundenvertrag. Bei Finanzkunden kommt der Vertragsdruck aus Artikel 30 DORA, nicht aus der NIS-2-Lieferkette.
Fünf NIS-2-Mindestmaßnahmen nach §30, übersetzt in MSP-Praxis.
Risiko-Register, das Kunden-Mandanten getrennt aber konsolidiert bewertet. Konzentrationsrisiken bei Cloud-Anbietern, Subdienstleistern und Drittanbieter-Software dokumentiert.
Sub-Lieferanten-Inventar (z. B. Cloud-Anbieter, Tooling-Hersteller, Spezialisten), Vertragsanforderungen, Konzentrationsrisiko-Heatmap. Kunden verlangen diese Transparenz ohnehin im Sicherheits-Fragebogen.
MFA und Just-in-Time-Zugriffe für Admin-Konten in Kunden-Umgebungen. Privileged-Access-Management als Hygienemaßnahme. Bei Mandantenfähigkeit besonders kritisch.
Incident-Response-Plan mit drei Ebenen: eigene Infrastruktur, einzelne Kunden-Mandanten, sektor-übergreifende Vorfälle mit Domino-Effekt. BSI-Meldung plus Kunden-Information mit dokumentierten Eskalations-Schwellen.
BCM-Pläne mit Kunden-SLA als Eingangs-Größe. RTO-Versprechen müssen mit BCM-Test belegt sein. Wiederanlauf-Reihenfolge bei Multi-Mandanten-Vorfall dokumentiert.
OdySecure deckt ISMS, BCM, TPRM und Assessment in einer Lösung ab. Für MSPs zusätzlich Mandantenfähigkeit und Co-Branding-Optionen, sodass Sie die Plattform an Kunden weiterreichen können.
Kostenloses 30-Minuten-Erstgespräch mit indikativer NIS-2-Einordnung, Top-5-Lücken und Pfad-Empfehlung.
Mehr erfahrenISMS, Compliance und Nachweisführung aus einer Plattform. Multi-Entity, Multi-Country, KI-gestützt.
Mehr erfahrenDie Plattform, dauerhafte CISO-Funktion zubuchbar. Für Häuser ohne eigenen CISO.
Mehr erfahrenGap-Assessment, Roadmap, Implementierung über die Plattform. Festpreis ab 4.500 Euro.
Mehr erfahrenSelbst-Check verfügbar
Kostenfrei, ohne Anmeldung, etwa 5 Minuten. Detail-Auswertung optional per Email.
Branchen-Erfahrung in IT-Dienstleistungen und MSSP-Strukturen aus 25 Jahren ISMS-Praxis bei PwC, Deloitte und KPMG. OdySecure ist mandantenfähig konstruiert, mit strikter Datenisolierung und Co-Branding-Optionen. Partner-Vertrieb ist eine eigene Verkaufslinie.
Nein. Eingestuft wird die juristische Person, nicht der Konzern. § 28 Abs. 6 Nr. 1 BSIG nimmt Finanzunternehmen nach Artikel 2 Absatz 2 DORA aus; das sind dort die Buchstaben a bis t. IKT-Drittdienstleister führt DORA getrennt in Buchstabe u. Eine IT-Gesellschaft hat den aufsichtsrechtlichen Status ihres Mutterhauses also nicht, und die Ausnahme greift für sie nicht. Bei den Größenwerten wirkt die Konzernzugehörigkeit ebenfalls nicht entlastend: § 28 Absatz 4 Satz 1 BSIG rechnet die Daten von Partner- und verbundenen Unternehmen hinzu. Satz 2 lässt die Zurechnung nur entfallen, wenn Sie bei Beschaffenheit und Betrieb Ihrer informationstechnischen Systeme von diesen Unternehmen unabhängig sind; ob das zutrifft, ist eine Tatsachenfrage und im Einzelfall zu belegen.
Der Vertragsdruck kommt bei Finanzkunden nicht aus der NIS-2-Lieferkette, sondern aus Artikel 30 DORA. Ihr Kunde muss dort bestimmte Inhalte vertraglich verankern: Leistungsbeschreibung und Standorte der Datenverarbeitung, Zugangs- und Auditrechte, Kündigungs- und Ausstiegsregelungen, Regeln zur Weiterverlagerung an Unterauftragnehmer und Mitwirkung bei seinen Resilienztests. Dazu führt er ein Informationsregister seiner IKT-Vertragsverhältnisse, in das Sie mit Ihren Angaben einfließen. Das ist eine andere Achse als die Lieferkettenklausel des § 30 BSIG und ersetzt Ihre eigenen NIS-2-Pflichten nicht.
Wahrscheinlich ja. ICT-Service-Management (MSPs und MSSP) fällt unter Anhang I. Ab 50 Mitarbeitenden oder wenn Umsatz und Bilanzsumme jeweils über 10 Millionen Euro liegen, sind Sie in der Regel wichtige Einrichtung. Besonders wichtige Einrichtung wird daraus ab 250 Mitarbeitenden oder bei einem Jahresumsatz über 50 Millionen Euro und einer Jahresbilanzsumme über 43 Millionen Euro. Die rechtliche Bewertung bleibt einer Kanzlei vorbehalten. Wir liefern die fachliche Einordnung im Risiko-Check.
NIS-2-betroffene Kunden müssen Sie in ihrer Lieferketten-Risiko-Analyse einbeziehen. Erwarten Sie: Sicherheits-Fragebögen mit ähnlicher Detailtiefe wie NIS-2-Pflichten, Audit-Rechte in Verträgen, Reporting-Pflichten zu Vorfällen, Kündigungs- und Exit-Klauseln bei kritischen Auslagerungen. Wer schnell strukturierte Antworten liefert, gewinnt Aufträge.
Ja. OdySecure ist mandantenfähig konstruiert. Sie können es als Partner weiterverkaufen (Reseller), mit Cybervize gemeinsam vermarkten (Co-Selling) oder im Co-Branding anbieten. Strikte Datenisolierung pro Mandant, eigene Berechtigungen, eigener Audit-Trail.
Vorfälle, die mehrere Mandanten betreffen, brauchen Sektor-übergreifende Bewertung und parallele Meldepflichten. Ein einziger Cyber-Vorfall in der MSP-Infrastruktur kann gleichzeitig die BSI-Meldung nach § 32 BSIG, Meldungen an jeden betroffenen NIS-2-Kunden und ggf. Datenschutz-Meldungen auslösen. Strukturierte Incident-Response mit dokumentierten Eskalations-Wegen wird zur Pflicht.
NIS-2-Gap-Assessment als Festpreis ab 4.500 Euro. Prüffähige Readiness in 8 bis 14 Wochen, plus laufende vCISO-Begleitung empfehlenswert. Partner-Modelle für gleichzeitige Kunden-Belieferung haben eigene Pricing-Logik. Die genaue Aufwandsschätzung kommt aus dem Risiko-Check.
Kostenloser Risiko-Check mit indikativer NIS-2-Einordnung, eigener und Kunden-Lieferketten-Anforderungen, Pfad-Empfehlung. Idealerweise dabei: CISO oder Compliance plus Geschäftsführung.
NIS-2-Risiko-Check buchenWenn die Einordnung oben auf Ihr Haus zutrifft, beginnt der Weg nicht mit einem Projekt, sondern mit einer Standortbestimmung: Erst steht fest, welche Pflichten greifen und wo die Lücken sind, dann kommen die Module, die sie schließen.
Den Weg in fünf Stationen ansehenMitgliedschaften, Programme und Partnerschaften
Viele Unternehmen behandeln NIS2 wie ein Häkchen-Projekt. Doch Compliance ist nicht dasselbe wie Resilienz. Die Cross-Border Cybersecurity Tour #2 in Saarbrücken machte deutlich: Eine funktionierende Sicherheitsoperation schlägt jede Toolsammlung.
70 Prozent der KMU behandeln NIS2 als Pflichtübung. Doch wer die Richtlinie als strategischen Hebel begreift, kann Compliance in operative Exzellenz und echte Betriebsresilienz verwandeln.
Die zehn regulierten Sektoren, in denen OdySecure läuft.
Mehr erfahrenStrukturierte NIS-2-Compliance: Gap-Assessment, Roadmap und Implementierung in 12 Wochen.
Mehr erfahrenKostenfreier Selbst-Check: Wo stehen Sie bei den zehn Pflichtbereichen aus §30 BSIG? 30 Fragen, Sofort-Ampel.
Mehr erfahren