> NIS2 für IT-Dienstleister und Managed Service Provider: Betroffenheit klären, Maßnahmen nach Artikel 21 belegen, Vorfälle fristgerecht melden, ISO 27001 nutzen.

Source: [https://docxpert.io/de/use-cases/it-service-providers](https://docxpert.io/de/use-cases/it-service-providers)

# NIS2 für IT-Dienstleister und MSP: Pflichten umsetzen | docxpert

## Sind Sie betroffen?

Die NIS2-Richtlinie nennt Anbieter verwalteter Dienste und verwalteter Sicherheitsdienste im Bereich IKT-Dienstleistungen ausdrücklich als Sektor. Ob Ihr Unternehmen erfasst ist, hängt vor allem von der Größe und vom nationalen Umsetzungsgesetz ab. In Deutschland regelt das neu gefasste BSI-Gesetz Registrierung, Pflichten und Meldungen.

-   **Direkt betroffen:** Ihr Unternehmen fällt nach Sektor und Größe unter das Gesetz. Dann gelten Registrierung, Risikomanagementmaßnahmen, Meldepflichten und die Verantwortung der Geschäftsleitung.
-   **Indirekt betroffen:** Ihre Kunden sind betroffen und verlangen Nachweise zur Sicherheit in der Lieferkette, etwa Fragebögen, Vertragsklauseln oder Audits.
-   **Noch unklar:** Prüfen Sie die Betroffenheit dokumentiert und wiederholen Sie die Prüfung, wenn sich Größe oder Leistungsangebot ändern.

Keine Rechtsberatung

Ob und wie Ihr Unternehmen unter NIS2 fällt, richtet sich nach dem nationalen Recht. docxpert unterstützt die Dokumentation der Prüfung, ersetzt aber keine rechtliche Bewertung.

## Was NIS2 von IT-Dienstleistern verlangt

Vereinfachte Übersicht; maßgeblich sind Richtlinie und nationales Gesetz.
| Pflicht | Inhalt | Typischer Nachweis |
| --- | --- | --- |
| Governance | Die Geschäftsleitung billigt die Risikomanagementmaßnahmen, überwacht ihre Umsetzung und nimmt an Schulungen teil. | Beschluss, Schulungsnachweis der Leitung |
| Risikomanagement (Artikel 21) | Angemessene Maßnahmen von Risikoanalyse über Vorfallbehandlung, Kontinuität, Lieferkette und Kryptografie bis Zugriffskontrolle und Multi-Faktor-Authentifizierung. | Richtlinien, Risikoanalyse, Maßnahmenplan |
| Meldepflichten (Artikel 23) | Frühwarnung binnen 24 Stunden, Meldung binnen 72 Stunden, Abschlussbericht binnen eines Monats bei erheblichen Vorfällen. | Vorfallprotokoll mit Zeitpunkten und Inhalten |
| Registrierung | Registrierung bei der zuständigen Behörde, in Deutschland beim BSI. | Registrierungsbestätigung |

Für Dienstleister ist die Lieferkette besonders wichtig: Sie sind oft das Glied, über das Angreifer zu vielen Kunden gelangen. Kunden erwarten deshalb Nachweise zu Zugriffskontrolle, Patch-Management, Protokollierung und Vorfallmeldung an sie selbst. Mehr zur Meldestrecke im Ratgeber [NIS2 Meldepflicht](https://docxpert.io/de/ratgeber/nis2-meldepflicht).

## Was Kunden von Dienstleistern verlangen

Auch wenn Ihr Unternehmen selbst nicht unter das Gesetz fällt, landen die Anforderungen über Verträge und Fragebögen bei Ihnen. Typische Fragen betroffener Kunden sind:

-   Wie werden privilegierte Zugänge zu unseren Systemen vergeben, überwacht und entzogen?
-   Nutzen Sie Multi-Faktor-Authentifizierung für alle Fernzugriffe?
-   Wie schnell informieren Sie uns über einen Sicherheitsvorfall, der unsere Daten oder Systeme betreffen kann?
-   Wie werden Schwachstellen und Patches in den von Ihnen betreuten Systemen behandelt?
-   Welche Unterauftragnehmer setzen Sie ein, und wie stellen Sie deren Sicherheit sicher?
-   Wie stellen Sie den Betrieb bei einem Ausfall Ihrer eigenen Systeme sicher, und wie oft testen Sie das?

Wer diese Antworten als freigegebene Richtlinien und gelebte Abläufe vorweisen kann, beantwortet Fragebögen schneller und hebt sich im Wettbewerb ab. Halten Sie die Antworten aktuell, denn Kunden fragen meist jährlich erneut nach und vergleichen mit dem Vorjahr.

## ISO 27001 als Grundlage

Viele IT-Dienstleister haben bereits ein ISMS nach ISO/IEC 27001 oder planen eines, weil Kunden das Zertifikat verlangen. Ein ISMS deckt einen großen Teil der Risikomanagementmaßnahmen nach Artikel 21 ab, aber nicht alles: Meldefristen, Registrierung und die persönliche Verantwortung der Leitung kommen hinzu. Umgekehrt verlangt NIS2 kein Zertifikat. Ein gut dokumentiertes ISMS ohne Zertifizierung kann genügen, wenn es die Maßnahmen nachweislich umsetzt; viele Kunden verlangen das Zertifikat aber trotzdem, weil es ihnen eigene Prüfungen erspart. Wie weit sich beides überschneidet, zeigt der Vergleich [NIS2 und ISO 27001](https://docxpert.io/de/ratgeber/nis2-iso-27001-unterschiede).

## So unterstützt docxpert IT-Dienstleister

Zwei Kataloge, eine DokumentenbasisDie Anforderungen von NIS2 und ISO/IEC 27001:2022 stehen als Kataloge bereit. Ein Dokument kann mehreren Anforderungen zugeordnet werden; die [Gap-Analyse](https://docxpert.io/de/features/gap-analysis) zeigt Lücken je Norm.

Meldefristen im BlickDas [NIS2-Vorfallmanagement](https://docxpert.io/de/features/nis2-incident-reporting) berechnet ab dem Erkennungszeitpunkt die Fristen für Frühwarnung, Meldung und Abschlussbericht und dokumentiert jede Stufe.

Vorlagen für das ISMSVorlagen zur NIS-2-Betroffenheit, zu Risikobeurteilung und -behandlung, Erklärung zur Anwendbarkeit, Informationswerten, technischen Maßnahmen, Sicherheitsvorfällen und Business Continuity.

Regeln für MitarbeitendeSicherheitsrichtlinien verteilen Sie mit [Lesebestätigung](https://docxpert.io/de/features/read-acknowledgement); Schulungen inklusive Leitungsschulung belegen Sie im Schulungsmanagement.

Nachweise für KundenFreigegebene Richtlinien und der Stand der Umsetzung lassen sich gezielt zusammenstellen, wenn Kunden Fragebögen oder Audits zur Lieferkette schicken.

Lernen aus VorfällenErkenntnisse aus Vorfällen werden als [Korrekturmaßnahme](https://docxpert.io/de/features/capa-management) verfolgt, bis die Wirksamkeit bestätigt ist.

Was docxpert nicht übernimmt

docxpert sendet keine Meldungen an Behörden und ersetzt weder SIEM noch Ticketsystem. Meldungen erfolgen über die Meldewege der Behörde; docxpert dokumentiert Fristen, Inhalte und Zeitpunkte.

## In fünf Schritten zum Nachweis

1.  1
    
    Betroffenheit prüfen und festhalten
    
    Nutzen Sie die Vorlage zur NIS-2-Betroffenheit und dokumentieren Sie das Ergebnis mit Datum und Begründung.
    
2.  2
    
    Gap-Analyse durchführen
    
    Wählen Sie NIS2 und ISO/IEC 27001 als Normen und prüfen Sie, welche Anforderungen Ihre vorhandenen Dokumente bereits abdecken.
    
3.  3
    
    Lücken schließen
    
    Erzeugen Sie fehlende Richtlinien aus Vorlagen oder dem Startpaket, lassen Sie sie prüfen und geben Sie sie frei.
    
4.  4
    
    Meldestrecke üben
    
    Legen Sie einen Testvorfall an und spielen Sie Frühwarnung, Meldung und Abschlussbericht einmal durch.
    
5.  5
    
    Leitung einbinden
    
    Lassen Sie die Maßnahmen von der Geschäftsleitung billigen und belegen Sie deren Schulung.
    

## Häufige Fragen

Fallen alle Managed Service Provider unter NIS2?

Nein. Entscheidend sind vor allem Größe und nationales Recht. Kleinere Anbieter sind oft nicht direkt erfasst, müssen aber Anforderungen ihrer betroffenen Kunden erfüllen.

Reicht ein ISO-27001-Zertifikat für NIS2?

Es deckt viele Risikomanagementmaßnahmen ab, aber nicht die Meldepflichten, die Registrierung und die besonderen Pflichten der Geschäftsleitung. Diese müssen zusätzlich geregelt werden.

Meldet docxpert Vorfälle an das BSI?

Nein. docxpert berechnet die Fristen, erinnert an offene Stufen und dokumentiert, was wann gemeldet wurde. Die Meldung selbst erfolgt über die Meldewege der Behörde.

Kann ich NIS2 und ISO 27001 gemeinsam abbilden?

Ja. Beide Kataloge sind in docxpert enthalten, und ein Dokument kann Anforderungen beider Regelwerke zugeordnet werden.

## Weiterlesen

[NIS2 und ISO 27001Wie weit ein ISMS nach ISO 27001 die NIS2-Pflichten abdeckt – und wo Lücken bleiben.Mehr erfahren](https://docxpert.io/de/ratgeber/nis2-iso-27001-unterschiede) [NIS2-VorfallmeldungSicherheitsvorfälle mit den Fristen 24 Stunden, 72 Stunden und einem Monat sicher melden.Mehr erfahren](https://docxpert.io/de/features/nis2-incident-reporting) [NIS2Risikomanagementmaßnahmen, Schulungspflicht der Leitung und Meldefristen umsetzen.Mehr erfahren](https://docxpert.io/de/normen/nis2) [ISO 27001ISMS-Dokumentation, Richtlinien, Erklärung zur Anwendbarkeit und Schulungen im Griff.Mehr erfahren](https://docxpert.io/de/normen/iso-27001) [Checkliste NIS2Betroffenheit, Registrierung, Risikomaßnahmen, Meldewege und Schulung der Leitung.Mehr erfahren](https://docxpert.io/de/checklisten/nis2)

## docxpert 14 Tage kostenlos testen

Dokumentenlenkung, Freigaben, Schulungen und Nachweise in einer Plattform – mit deutschen und englischen Vorlagen für über zehn Normen.

[Kostenlos testen](https://docxpert.io/de/trial)[Preise ansehen](https://docxpert.io/de/pricing)