Die kurze Antwort
Ein Teil der IKT-Dienstleistung ist namentlich in der NIS2-Sektorenliste aufgeführt und kann daher selbst wesentlich oder wichtig sein. Denken Sie an Anbieter von verwalteten Diensten und verwalteten Sicherheitsdiensten, Cloud-Anbieter und Rechenzentren. Aber die meisten IKT-Dienstleister — der lokale Netzwerkadministrator, der Anbieter, der Server aus der Ferne wartet, der Lieferant einer Geschäftsanwendung — fallen nicht selbst unter die Sektorenliste. Sie werden oft erreicht, und zwar weil ihr Kunde dazu gesetzlich verpflichtet ist: Eine wesentliche oder wichtige Einheit muss nämlich bewerten, wie sicher ihre Lieferanten sind, und ein IKT-Dienstleister mit Zugriff auf Systeme ist für diese Bewertung eine naheliegende Partei.
Ob Sie selbst verpflichtet sind oder über die Lieferkette erreicht werden, hängt daher von drei Dingen zusammen ab: Steht Ihr Dienstleistungstyp auf der Sektorenliste, erfüllt Ihre Organisation die dazugehörige Größe, und was ist Ihre tatsächliche Rolle bei den Kunden, die selbst verpflichtet sind. Diese drei Faktoren bestimmen zusammen die Antwort, und sie wirken unabhängig voneinander — Sie können die Größe erfüllen, ohne in der richtigen Branche tätig zu sein, oder genau in der Branche tätig sein, ohne die Größe zu erfüllen.
Was die Sektorenliste über IKT-Dienstleistungen aussagt
Die NIS2-Richtlinie unterscheidet zwischen Sektoren von hoher Kritikalität und sonstigen kritischen Sektoren. Innerhalb der digitalen Infrastruktur und der digitalen Dienstleistungen werden unter anderem Anbieter von verwalteten Diensten (Managed Service Provider) und Anbieter von verwalteten Sicherheitsdiensten (Managed Security Service Provider) ausdrücklich genannt, neben Cloud-Computing-Diensten, Rechenzentren und Anbietern von Online-Marktplätzen und Suchmaschinen. Wer unter einen dieser Bezeichnungen fällt, durchläuft dieselbe Prüfung wie jeder andere Sektor: Passt die eigene Dienstleistung zur Beschreibung in der Richtlinie, und wenn ja, in welche Kategorie.
Wer reine Software liefert, eine Website erstellt oder gelegentlich IKT-Projekte ohne fortlaufendes Management durchführt, fällt in der Regel außerhalb dieser spezifischen Beschreibung — wobei die genaue Abgrenzung eine Sache der eigenen Situation bleibt, nicht eine allgemeine Faustregel. Wenn Sie unsicher sind, welche Beschreibung auf Ihre Dienstleistung zutrifft, ist dies einer der Punkte, bei dem in wenigen Fragen einen ersten Anhaltspunkt bietet, mit einem Verweis auf die genaue Fundstelle in der Richtlinie.
Die Größe zählt genauso schwer wie der Sektor
Ein Sektor allein reicht nicht aus, um wesentlich oder wichtig zu sein. NIS2 arbeitet mit Größenkriterien, die an die Standardklassifizierung für mittlere und große Unternehmen angepasst sind: Die Anzahl der Mitarbeiter und der Umsatz oder die Bilanzsumme spielen eine Rolle bei der Bestimmung der Kategorie. Ein Einzelunternehmer, das Netzwerkmanagement für eine Handvoll lokaler Betriebe anbietet, sitzt in Bezug auf die Größe normalerweise in einer anderen Kategorie als ein landesweiter IKT-Dienstleister mit Hunderten von Mitarbeitern, auch wenn beide im Wesentlichen denselben Service anbieten.
Die nationalen Gesetze, die die Richtlinie umsetzen — in den Niederlanden das Cybersecurity Act —, arbeiten diese Kriterien weiter aus, und die Aufsichtsbehörde veröffentlicht dort praktische Erläuterungen dazu. Wir halten diese Quellen mit dem Datum aktuell, an dem wir sie gesehen haben, damit Sie nachfragen können, wann eine Angabe basiert.
Fernverwaltung und Zugriff auf Kundensysteme: die Lieferketten-Position
Bei der ICT-Dienstleistung ist die Position in der Lieferkette oft das entscheidende Kriterium, unabhängig von Branche und Größe. Fernverwaltung, Zugriff auf Kundennetze, Passwörter-Management oder die Wartung einer für den Kunden kritischen Anwendung — das sind genau die Merkmale, die ein Kunde berücksichtigt, wenn er seine eigenen Lieferanten bewertet. Eine wesentliche oder wichtige Einheit muss schließlich nachweisen können, dass Risiken in der Lieferkette identifiziert sind, und ein Lieferant mit Zugriff auf Systeme steht dann ganz oben auf dieser Liste, unabhängig davon, ob dieser Lieferant selbst in der Branchenliste vorkommt.
Das erklärt, warum viele ICT-Dienstleister, obwohl sie selbst nicht verpflichtet sind, dennoch einen Sicherheitsfragebogen oder Vertragsanforderung erhalten. Es ist keine unmittelbare rechtliche Verpflichtung, die auf ihnen lastet, sondern eine praktische Anforderung, die über den Kunden kommt — und die den Vertrag durchaus beeinflussen kann.
Unterauftragnehmer: Die Lieferkette endet nicht bei Ihnen
Wer selbst wieder mit Unterauftragnehmern arbeitet — ein freiberuflicher Systemadministrator, ein Unternehmen, das Hosting bereitstellt, ein externer Helpdesk — gibt diese Frage in der Praxis weiter. Wenn Ihr Kunde von Ihnen wissen möchte, wie der Zugriff auf Systeme geregelt ist, ist es wahrscheinlich, dass Sie dieselbe Frage an Ihre eigenen Unterauftragnehmer stellen. So geht die Lieferkettenbewertung mehrere Glieder tief, auch wenn niemand in dieser Kette selbst unter die Branchenliste fällt.
Was dies für Ihren Bestand bedeutet
Ob Sie selbst verpflichtet sind, nur über die Lieferkette betroffen sind oder keines von beiden, bestimmt, wie Ihre Vorbereitung aussieht: ein vollständiger Sorgfaltspflicht-Bestand, gezielte Antworten auf Kundenfragebögen oder vorerst keine Maßnahmen. Eine Übersicht der zehn Maßnahmen, die die Sorgfaltspflicht von Ihnen verlangt, und wie diese sich zu dem verhalten, was ein Kunde in einem Fragebogen fragt, finden Sie unter der Erläuterung pro Thema. Für die Frage, wie secria.eu Quellen aktuell hält und worauf eine Aussage basiert, ist die Arbeitsweise ein guter Ausgangspunkt, und häufig gestellte Fragen zum Geltungsbereich des Gesetzes sind gesammelt unter dem Übersicht mit Fragen und Antworten.
Beginnen Sie mit der NIS2-Überprüfung, um zu sehen, ob Ihre Dienstleistung in der Branchenliste vorkommt, welche Größe zählt und was Ihre Position in der Lieferkette für Sie bedeutet — kostenlos und ohne Konto.