NIS2-Checkliste IKT-Dienstleistungsmanagement

Managed Service Provider (MSP) und Managed Security Service Provider (MSSP) tragen als zentrale IT-Dienstleister besondere Verantwortung: Eine einzige Kompromittierung Ihrer Verwaltungsplattform kann dutzende Kundennetzwerke gleichzeitig gefährden. NIS2 Anhang II erfasst IKT-Dienstleister ausdrücklich und verpflichtet Sie zu vollständiger Compliance — auch wenn Sie nur indirekt kritische Infrastruktur bedienen.

Ihre NIS2-Checkliste für IKT-Dienstleistungsmanagement

1. 1

   Registrieren Sie Ihr Unternehmen als IKT-Dienstleister beim BSI

   Melden Sie sich über MELDEX beim BSI als Dienstleister nach NIS2 Anhang II an und benennen Sie einen Informationssicherheitsbeauftragten. Prüfen Sie, ob Sie zusätzlich für Kunden aus hochkritischen Sektoren als Lieferkettenteil deren Meldepflichten unterstützen müssen.

2. 2

   Erstellen Sie ein Asset-Inventar inklusive aller Mandantenumgebungen

   Erfassen Sie nicht nur Ihre eigene Infrastruktur, sondern auch alle verwalteten Kundensysteme mit Mandant, Systemkritikalität und Zugriffsniveau. Dokumentieren Sie welche Ihrer Mitarbeiter Zugriff auf welche Kundensysteme haben.

3. 3

   Führen Sie eine Risikoanalyse mit Fokus auf Kaskadenausfälle durch

   Bewerten Sie explizit Szenarien, in denen Ihre Kompromittierung Kundensysteme gefährdet: Ransomware über RMM-Plattform, Ausnutzung von Admin-Credentials, kompromittierte Software-Updates und laterale Bewegung zwischen Mandanten.

4. 4

   Prüfen Sie Mandantentrennung in allen Plattformen und Systemen

   Verifizieren Sie technisch, dass keine Cross-Tenant-Datenzugriffe in RMM-Plattformen, Monitoring-Systemen, Ticketsystemen und Datenspeichern möglich sind. Führen Sie mindestens jährlich gezielte Tests zur Mandantenisola­tion durch.

5. 5

   Implementieren Sie Privileged Access Management für alle Kundenzugänge

   Vaulten Sie alle Kundenzugangsdaten in einem PAM-System. Vergeben Sie Zugänge zu Kundensystemen ausschließlich zeitlich begrenzt (Just-in-Time). Protokollieren Sie jede Session vollständig und aktivieren Sie automatische Benachrichtigungen bei ungewöhnlichen Zugriffsmustern.

6. 6

   Erstellen Sie ein Software Bill of Materials (SBOM) für eingesetzte Software

   Dokumentieren Sie alle in Kundenumgebungen eingesetzten Softwarekomponenten mit Version und bekannten Schwachstellen. Implementieren Sie einen Prozess, mit dem neue CVEs innerhalb von 24 Stunden auf betroffene Kundensysteme identifiziert werden.

7. 7

   Definieren Sie Incident-Response-Verfahren mit Mandanten-Notifikation

   Legen Sie Prozesse fest, die bei einem Sicherheitsvorfall mit Kundenauswirkung sofortige Benachrichtigung aller betroffenen Mandanten sicherstellen. Vertragliche SLAs müssen NIS2-Meldefristen (24h Frühwarnung, 72h Vollmeldung) für Kunden abbilden.

8. 8

   Prüfen Sie Unterauftragnehmer mit Mandantenzugang systematisch

   Identifizieren Sie alle Subunternehmer, die Zugriff auf Kundensysteme haben. Fordern Sie von diesen aktuell gültige Sicherheitszertifizierungen (ISO 27001, SOC 2) und vertraglich definierte Sicherheitsanforderungen. Unterziehen Sie Subunternehmer regelmäßigen Sicherheitsprüfungen.

9. 9

   Schulen Sie SOC- und Helpdesk-Mitarbeiter zu MSP-spezifischen Angriffsvektoren

   Trainieren Sie alle Mitarbeiter mit Kundensystemzugang zu spezifischen Bedrohungen für MSPs: Social Engineering über Kundenkommunikationskanäle, Phishing-Angriffe auf RMM-Zugangsdaten und Manipulation von Softwareverteilungsprozessen.

10. 10

    Beauftragen Sie jährliche Penetrationstests mit Fokus auf Mandantenisolation

    Beauftragen Sie mindestens jährlich einen Penetrationstest, der explizit versucht, Cross-Tenant-Zugriffe und laterale Bewegung zwischen Mandanten zu realisieren. Dokumentieren Sie Testumfang, Befunde und Maßnahmenumsetzung als Nachweis gegenüber Kunden und BSI.