Digitale Infrastruktur: Häufig gestellte Fragen

Rechenzentrumsbetreiber und Cloud-Anbieter registrieren sich über das BSI-Portal MELDEX mit einem ELSTER-Organisationszertifikat. Bei der Registrierung geben Sie die Kategorie der digitalen Infrastruktur an (Rechenzentrum, Cloud-Dienst, CDN, DNS-Resolver, IXP). Cloud-Anbieter, die bereits unter ISO 27001 oder dem BSI C5-Testat zertifiziert sind, können Teile der Registrierungsnachweise aus bestehenden Prüfberichten ableiten. Der BSI-MELDEX-Zugang ist auch für spätere Vorfallsmeldungen erforderlich. Die BSI-Registrierungsfrist ist am 06.03.2026 abgelaufen. Betroffene Unternehmen sollten die Registrierung zeitnah über MELDEX nachholen. BSI-Registrierung im Glossar →

Cloud-Anbieter und Rechenzentrumsbetreiber melden erhebliche Sicherheitsvorfälle dreistufig über MELDEX: 24h-Erstmeldung, 72h-Folgemeldung und 30-Tage-Abschlussbericht. Als erheblich gilt ein Vorfall, wenn er Cloud-Dienste, Rechenzentrumsbetrieb oder Netzinfrastruktur beeinträchtigt und Auswirkungen auf Kunden oder abhängige Dienste hat. Beachten Sie: Als Cloud-Anbieter können Vorfälle bei Ihnen gleichzeitig Meldepflichten bei Ihren Kunden auslösen. Informieren Sie betroffene Kunden unverzüglich, damit diese ihre eigenen NIS2-Meldepflichten erfüllen können. Erheblicher Sicherheitsvorfall im Glossar →

Rechenzentrumsbetreiber richten ihr ISMS auf die kritische Infrastruktur aus: physische Sicherheit, Stromversorgung, Kühlung, Netzwerkkonnektivität und logische Sicherheit. Die Asset-Inventur erfasst Server, Netzwerkkomponenten, Sicherheitssysteme und Kundensysteme. Die Risikoanalyse berücksichtigt physische Bedrohungen (Feuer, Überschwemmung, Stromausfall) und cyber-physische Szenarien. ISO 27001 in Kombination mit ISO 27017 (Cloud-Sicherheit) und dem BSI C5-Testat bilden den anerkannten Rahmen für Rechenzentrumsbetreiber in Deutschland. ISMS im Glossar →

Rechenzentrumsbetreiber dokumentieren ihre NIS2-Compliance mit: BSI C5-Testat oder ISO 27001-Zertifikat als Grundlage, ergänzender Risikoanalyse zu NIS2-spezifischen Anforderungen, Kundensicherheitsrichtlinien (Shared Responsibility Model), Vorfallsprotokollen und BSI-Meldungen sowie Schulungsnachweisen. Das C5-Testat deckt viele NIS2-Anforderungen ab und kann dem BSI als Compliance-Nachweis vorgelegt werden. Dokumentieren Sie zusätzlich die Lieferketten-Sicherheitsmaßnahmen für Hardware- und Software-Lieferanten. Nachweispflicht im Glossar →

Rechenzentrumsbetreiber bereiten BSI-Audits durch Bereitstellung von: aktuellem BSI C5-Testat oder ISO 27001-Zertifikat, Systemdokumentation für die gesamte Rechenzentrumsinfrastruktur, Risikoanalyse mit Maßnahmennachweis, Incident-Response-Protokollen und -Testergebnissen sowie Schulungsnachweisen. Da Rechenzentrumsbetreiber häufig sowohl eigene als auch Kundensysteme betreiben, müssen Sie klar dokumentieren, welche Sicherheitsverantwortlichkeiten beim Kunden und welche beim Betreiber liegen. Das C5-Testat als externer Prüfnachweis vereinfacht das BSI-Verfahren erheblich. BSI-Aufsicht im Glossar →

Cloud-Anbieter und Rechenzentrumsbetreiber sichern ihre Lieferkette durch: Hardware-Lieferantenbewertungen (Server, Netzwerkkomponenten, Sicherheitssysteme), Sicherheitsanforderungen an Software- und Open-Source-Komponenten (Software Bill of Materials), Bewertung von IaaS/PaaS-Vorlieferanten bei Multi-Cloud-Architekturen und regelmäßige Überprüfung kritischer Dienstleister mit Systemzugang. Für Rechenzentrumsbetreiber sind besonders die Lieferanten von Facility-Management und Sicherheitsdiensten relevant, da diese physischen Zugang zur Infrastruktur haben. Lieferkettensicherheit im Glossar →

Rechenzentrumsbetreiber setzen die Schulungspflicht durch ein technisch fokussiertes Programm um: Jährliche Awareness-Schulungen für alle Mitarbeitenden zu Phishing, Social Engineering und physischer Sicherheit. Eine Geschäftsleitungsschulung zu §30/§38 BSIG-Pflichten und den spezifischen Haftungsrisiken für digitale Infrastrukturdienstleister. Technische Trainings für Operations- und Security-Teams zu aktuellen Angriffsvektoren auf Cloud- und Rechenzentrumsinfrastrukturen. Alle Schulungsnachweise werden archiviert und bei BSI-Audits vorgelegt. ISMS im Glossar →

Betreiber von DNS-Diensten, Internet Exchange Points (IXPs) und TLD-Registries gelten als kritische Internetinfrastruktur und fallen unabhängig von der Unternehmensgröße unter NIS2 (Size-Cap-Ausnahme greift nicht). Die Compliance-Umsetzung umfasst: Hochverfügbarkeitsarchitekturen mit geografisch verteilten Redundanzen, DNS-Sicherheitsmaßnahmen (DNSSEC, DDoS-Schutz), strenge Zugangskontrolle zu Peering-Infrastruktur, Risikoanalyse zu Szenarien mit weitreichenden Kaskadeneffekten sowie Vorfallsmeldeprozesse angepasst an die kritische Bedeutung für das Internet. Nachweispflicht im Glossar →