IKT-Dienstleistungsmanagement: Häufig gestellte Fragen
Prozedurale Antworten zu BSI-Registrierung, Meldepflichten und ISMS-Umsetzung für IKT-Dienstleistungsmanagement.
Wie registriert sich ein IT-Dienstleister beim BSI nach NIS2?
Managed-Service-Provider (MSP) und IT-Dienstleister, die B2B-IKT-Dienste erbringen, registrieren sich über das BSI-Portal MELDEX mit einem ELSTER-Organisationszertifikat. IKT-Dienstleistungsmanagement fällt unter Anhang II der NIS2-Richtlinie (sonstige kritische Sektoren). Die Registrierung umfasst Angaben zur Art der erbrachten IKT-Dienste und zum Kundensegment. Als MSP mit mehreren NIS2-betroffenen Kunden können Sie gegenüber dem BSI eine einheitliche Registrierung als Dienstleister vornehmen. Die BSI-Registrierungsfrist ist am 06.03.2026 abgelaufen. Betroffene Unternehmen sollten die Registrierung zeitnah über MELDEX nachholen. BSI-Registrierung im Glossar →
Wie meldet ein Managed-Service-Provider einen Cybervorfall an das BSI?
MSPs melden erhebliche Sicherheitsvorfälle dreistufig über MELDEX: 24h-Erstmeldung, 72h-Folgemeldung und 30-Tage-Abschlussbericht. Besonders wichtig: Ein Vorfall bei einem MSP kann gleichzeitig Vorfälle bei mehreren Kunden auslösen. Informieren Sie betroffene Kunden unverzüglich und stimmen Sie die Meldungen ab — Kunden müssen ihrerseits eigene NIS2-Meldepflichten erfüllen. Als MSP sind Sie verpflichtet, die Auswirkungen auf alle betroffenen Mandanten in der 72h-Meldung zu bewerten und zu dokumentieren. Meldepflicht im Glossar →
Wie führt ein IT-Dienstleister ein ISMS nach NIS2 ein?
IT-Dienstleister bauen ihr ISMS auf Basis der Mandantentrennung als zentralem Sicherheitsprinzip auf. Die Asset-Inventur erfasst alle Mandantensysteme, Shared-Infrastructure-Komponenten und administrative Zugangsrechte. Die Risikoanalyse berücksichtigt das besondere Risikoprofil von MSPs: Ein kompromittierter MSP-Zugang ermöglicht Angreifern den Zugang zu allen Mandanten gleichzeitig. Maßnahmen mit höchster Priorität sind privilegierte Zugangsverwaltung (PAM), Multi-Faktor-Authentifizierung für alle Mandantenzugriffe und strikte Mandantentrennung in Shared-Infrastruktur. ISO 27001 mit MSP-spezifischem Scope bildet den ISMS-Rahmen. ISMS im Glossar →
Wie dokumentiert ein Managed-Service-Provider seine NIS2-Compliance?
MSPs dokumentieren ihre NIS2-Compliance mit: ISMS-Zertifikat (ISO 27001 als Vertrauensnachweis gegenüber Kunden), Nachweis zur Mandantentrennung (technisch und organisatorisch), aktueller Risikoanalyse für die MSP-spezifischen Risiken, Kundensicherheitsrichtlinien und Service-Level-Agreements mit Sicherheitsklauseln, Schulungsnachweisen sowie Vorfallsprotokollen aller Mandantenumgebungen. Stellen Sie sicher, dass Ihre NIS2-Compliance-Dokumentation Kunden auf Anfrage transparent gemacht werden kann — viele NIS2-betroffene Kunden werden Nachweise von Ihnen einfordern. Nachweispflicht im Glossar →
Wie bereitet sich ein IT-Dienstleister auf ein BSI-Audit vor?
IT-Dienstleister bereiten BSI-Audits durch Bereitstellung von: ISO 27001-Zertifikat (stark empfohlen als Grundlage), aktueller ISMS-Dokumentation mit MSP-spezifischen Sicherheitskontrollen, Nachweisen zur Mandantentrennung und zu privilegierten Zugriffen, Incident-Response-Protokollen mit Mandantenbenachrichtigungsnachweis sowie Schulungsnachweisen. Bereiten Sie sich darauf vor, die Mandantentrennung technisch nachzuweisen — das BSI prüft, ob ein Sicherheitsvorfall in einer Mandantenumgebung andere Mandanten gefährden kann. Ein Pre-Audit durch einen spezialisierten Berater deckt MSP-spezifische Lücken auf. BSI-Aufsicht im Glossar →
Wie sichert ein Managed-Service-Provider seine Lieferkette nach NIS2?
MSPs sichern ihre Lieferkette durch ein mehrstufiges Lieferantenmanagement: Bewertung aller Software-Lieferanten und Open-Source-Komponenten, die in Mandantenumgebungen eingesetzt werden (Software Bill of Materials). Vertragliche Sicherheitsanforderungen an Unterauftragnehmer mit Zugang zu Mandantensystemen. Regelmäßige Überprüfung kritischer Lieferanten, die privilegierten Zugang zu Ihren Systemen haben. Besonderes Augenmerk gilt Remote-Management-Tools, da diese bei MSPs häufig für großflächige Angriffe auf alle Mandanten genutzt werden. Lieferkettensicherheit im Glossar →
Wie erfüllt ein IT-Dienstleister die NIS2-Schulungspflicht?
IT-Dienstleister setzen die Schulungspflicht durch technisch anspruchsvolle Programme um: Jährliche Awareness-Schulungen für alle Mitarbeitenden zu Phishing, Social Engineering und sicherer Remote-Arbeit. Eine Schulung für Geschäftsführung zu §30/§38 BSIG und den besonderen MSP-Haftungsrisiken. Technische Sicherheitsschulungen für alle Techniker, die Kundenzugang haben: sichere PAM-Nutzung, Erkennung von Angriffen auf MSP-Infrastruktur und korrekte Vorfallsmeldung. Schulungsnachweise werden für BSI-Audits und als Vertrauensnachweis gegenüber NIS2-pflichtigen Kunden aufbewahrt. ISMS im Glossar →
NIS2-Fragen zu IKT-Dienstleistungsmanagement?
Kontaktieren Sie uns für eine branchenspezifische Erstberatung. Wir kennen die Anforderungen Ihres Sektors.
Beratung anfragen