Ein Managed-Service-Provider kommt in NIS2 zweimal vor. Einmal als Einrichtung: Anhang I führt „Anbieter verwalteter Dienste“ und „Anbieter verwalteter Sicherheitsdienste“ unter Verwaltung von IKT-Diensten, Business-to-Business, auf, und die Definitionen in Artikel 6 sind weit genug, um den größten Teil der Branche zu erfassen. Und einmal als Lieferant: Artikel 21(2)(d) lässt jede wesentliche und wichtige Einrichtung die Sicherheit ihrer Lieferkette steuern, und Erwägungsgrund 86 hebt Anbieter verwalteter Sicherheitsdienste als die Lieferanten hervor, die mit „erhöhter Sorgfalt“ auszuwählen sind. Das Zweite erreicht einen MSP unterhalb der Größenschwelle, den das Erste nicht erreicht. Dieser Artikel nimmt beides, mit dem Text, in der Reihenfolge, in der es kommt.

Die Definitionen erfassen den größten Teil der Branche

Artikel 6(39): Ein Anbieter verwalteter Dienste ist „eine Einrichtung, die Dienste im Zusammenhang mit der Installation, der Verwaltung, dem Betrieb oder der Wartung von IKT-Produkten, Netzen, Infrastruktur, Anwendungen oder jeglicher anderer Netz- und Informationssysteme durch Unterstützung oder aktive Verwaltung erbringt, die entweder in den Räumlichkeiten der Kunden oder aus der Ferne erbringt“. Artikel 6(40): Ein Anbieter verwalteter Sicherheitsdienste ist „ein Anbieter verwalteter Dienste, der Unterstützung für Tätigkeiten im Zusammenhang mit dem Risikomanagement im Bereich der Cybersicherheit durchführt oder erbringt“. Erwägungsgrund 86 nennt die Beispiele für das Zweite: Reaktion auf Sicherheitsvorfälle, Penetrationstests, Sicherheitsaudits und Beratung.

Zwei Züge der Definition sind wichtig. Es geht darum, was getan wird, nicht wie es verkauft wird: Hosting, Überwachung, Patchen, Helpdesk, Netzbetrieb, Backup-Verwaltung und Identitätsverwaltung für Kunden sind alle „Verwaltung, Betrieb oder Wartung“ ihrer Systeme, ob als Pauschale, Projekt oder Abonnement abgerechnet. Und „Unterstützung oder aktive Verwaltung“ erfasst die Beratung, die die Systeme berührt, nicht nur das Outsourcing, das sie betreibt; ein Penetrationstester ist nach der eigenen Liste des Erwägungsgrunds 86 ein MSSP. Ein Unternehmen, das Software verkauft, die der Kunde betreibt, ist dafür Hersteller nach dem CRA und kein MSP; ein Unternehmen, das sie für den Kunden betreibt, ist dafür ein MSP. Die zwei Zeilen aus Anhang I stehen im Werkzeug zum Anwendungsbereich im Wortlaut.

Die Größe entscheidet, welche Art Einrichtung

Artikel 2(1) wendet die Richtlinie auf eine Einrichtung einer aufgeführten Art an, die mindestens ein mittleres Unternehmen nach der Empfehlung 2003/361/EG ist: 50 Beschäftigte oder mehr, oder über 10 Mio. EUR sowohl beim Umsatz als auch bei der Bilanzsumme, gezählt für das Unternehmen mit seinen Partner- und verbundenen Unternehmen. Ein MSP oder MSSP dieser Größe ist eine wichtige Einrichtung nach Artikel 3(2). Einer über den Schwellenwerten für mittlere Unternehmen, 250 Beschäftigte oder sowohl 50 Mio. EUR Umsatz als auch 43 Mio. EUR Bilanzsumme, ist eine wesentliche Einrichtung nach Artikel 3(1)(a), weil beide Zeilen Arten aus Anhang I sind und Arten aus Anhang I allein durch Größe wesentlich sind: Aufsicht vorab nach Artikel 32, eine Bußgeldobergrenze von mindestens 10 000 000 EUR oder 2 % des weltweiten Umsatzes nach Artikel 34(4). Unter der Obergrenze der Kleinen ist das Unternehmen als Einrichtung außerhalb der Richtlinie, sofern sein Mitgliedstaat es nicht nach Artikel 2(2)(b) bis (e) ermittelt, was ein Staat bei einem MSP tun kann, der einziger Anbieter eines wesentlichen Dienstes oder für einen Sektor kritisch ist. Die sieben Wege, wesentlich zu sein, sind ein eigener Artikel.

Ein Staat, entschieden durch die Hauptniederlassung

Anbieter verwalteter Dienste und Anbieter verwalteter Sicherheitsdienste stehen in der Liste des Artikels 26(1)(b): Die Zuständigkeit geht an den Mitgliedstaat der Hauptniederlassung in der Union, den Ort, „in dem die Entscheidungen im Zusammenhang mit den Risikomanagementmaßnahmen im Bereich der Cybersicherheit überwiegend getroffen werden“ (Artikel 26(2)), und ein außerhalb der Union niedergelassener Anbieter, der dort Dienste anbietet, benennt einen Vertreter in einem Mitgliedstaat, in dem er das tut, und untersteht der Zuständigkeit dieses Staats (Artikel 26(3)). Ein MSP mit Technikern in drei Staaten und Kunden in zehn hat eine Aufsicht. Der Rechtsakt des Staats benennt sie; der Rechtsakt, den jeder Staat der Kommission mitgeteilt hat, steht auf der Registerseite.

Dieselbe Liste ist die des Artikels 27: MSPs und MSSPs mussten bis zum 17. Januar 2025 ihren Namen, Sektor, Anschriften, Kontaktdaten, bedienten Mitgliedstaaten und IP-Bereiche ihrer zuständigen Behörde für das Register der ENISA übermitteln und müssen Änderungen innerhalb von drei Monaten mitteilen.

Die Maßnahmen und die Schwellenwerte sind einheitlich

Die Durchführungsverordnung (EU) 2024/2690 nennt Anbieter verwalteter Dienste und Anbieter verwalteter Sicherheitsdienste in ihrem Artikel 1, sodass für sie die technischen und methodischen Anforderungen an die Maßnahmen des Artikels 21(2) der Anhang der Verordnung sind, 13 Abschnitte, in jedem Staat dieselben, und ob ein Vorfall erheblich ist, ihre Artikel 3 und 10 entscheiden. Artikel 10 gibt MSPs und MSSPs die vier Kriterien, die Cloud-Anbieter haben: Der Dienst ist mehr als 30 Minuten vollständig nicht verfügbar; die Verfügbarkeit ist für mehr als 5 % der Nutzer des Dienstes in der Union oder mehr als 1 Million von ihnen, je nachdem, welche Zahl niedriger ist, für mehr als eine Stunde eingeschränkt; die Integrität, Vertraulichkeit oder Authentizität gespeicherter, übermittelter oder verarbeiteter Daten ist durch eine mutmaßlich böswillige Handlung beeinträchtigt; oder beeinträchtigt mit Auswirkungen auf mehr als 5 % oder mehr als 1 Million der Nutzer in der Union, je nachdem, welche Zahl niedriger ist. Nutzer werden nach Artikel 3(3) als Kunden mit Vertrag plus die natürlichen und juristischen Personen gezählt, die Geschäftskunden zugeordnet sind und den Dienst nutzen, was für einen MSP die Nutzer seiner Kunden bedeutet. Die Zuordnungsseite stellt die 13 Abschnitte ISO 27001 gegenüber; die Uhren, die ein erheblicher Vorfall startet, sind ein eigener Artikel.

Erwägungsgrund 3 der Verordnung sagt, dass ihr Anhang unter anderem aus ISO/IEC 27001 und 27002 geschrieben ist. Für einen MSP ist das zugleich die Antwort auf die Lieferantenfrage unten: Die Nachweise, die die Sorgfaltsprüfung des Kunden verlangt, und die Nachweise, die die Aufsicht verlangt, sind dieselben Aufzeichnungen.

Der Lieferant, bei dem jede Sorgfaltsprüfung landet

Artikel 21(2)(d) verlangt von jeder wesentlichen und wichtigen Einrichtung, „Sicherheit der Lieferkette einschließlich sicherheitsbezogener Aspekte der Beziehungen zwischen den einzelnen Einrichtungen und ihren unmittelbaren Anbietern oder Diensteanbietern“ zu behandeln, und Artikel 21(3) trägt ihnen auf, „die spezifischen Schwachstellen der einzelnen unmittelbaren Anbieter und Diensteanbieter sowie die Gesamtqualität der Produkte und der Cybersicherheitspraxis ihrer Anbieter und Diensteanbieter, einschließlich der Sicherheit ihrer Entwicklungsprozesse“ zu berücksichtigen. Erwägungsgrund 85 nennt Anbieter verwalteter Sicherheitsdienste und Softwareanbieter als die Lieferanten, um die es geht; Erwägungsgrund 86 sagt, MSSPs seien selbst Ziel von Cyberangriffen gewesen und stellten wegen ihrer engen Einbindung in den Betrieb der Einrichtungen ein besonderes Risiko dar, sodass Kunden bei der Auswahl eines Anbieters verwalteter Sicherheitsdienste erhöhte Sorgfalt walten lassen sollten.

Für einen MSP ist das die Pflicht, die zuerst und von allen Seiten kommt, unabhängig von seiner eigenen Größe: der Fragebogen, die Vertragsklausel, die Bitte um das Zertifikat und die Meldeklausel für Vorfälle im Rahmenvertrag. Ein MSP mit 30 Beschäftigten und ohne eigene Pflicht nach der Richtlinie hat Kunden mit der Pflicht, ihn zu bewerten, und die Bewertung erfolgt gegen dieselben Maßnahmen. Die praktikable Antwort ist die, die beiden dient: ein ISO-27001-System mit den 13 Abschnitten der Verordnung zugeordnet, ein Zertifikat einer akkreditierten Stelle, ein Vorfallsverfahren, das die vertragliche Frist des Kunden ebenso einhält wie die des Artikels 23, und die Nachweise dort vorgehalten, wo sie einem Kunden, einer Aufsicht oder einem Auditor ohne Projekt vorgelegt werden können.

Was in diesem Quartal zu tun ist

Entscheiden Sie die Zeile, die Größenklasse wie gezählt und den Staat der Hauptniederlassung, und schreiben Sie die Feststellung auf; das Werkzeug zum Anwendungsbereich tut es aus fünf Antworten. Prüfen Sie die Registrierung nach Artikel 27 und ihr Datum. Ordnen Sie das ISMS den 13 Abschnitten zu und schließen Sie die Lücken. Nehmen Sie die vier Schwellenwerte des Artikels 10, die Regel zur „Kenntniserlangung“ und die Meldeklauseln der Kunden in ein Vorfallsverfahren auf. Bereiten Sie die Lieferantenantwort einmal vor, aus denselben Aufzeichnungen, für den nächsten Fragebogen.

Quellen

  • Richtlinie (EU) 2022/2555 (NIS2), Artikel 2(1) und (2), Artikel 3(1) und (2), Artikel 6(39) und (40), Artikel 21(2)(d) und (3), Artikel 23(4), Artikel 26(1) bis (3), Artikel 27(1) bis (3), Artikel 32, Artikel 34(4), Anhang I Nummer 9, Erwägungsgründe 84 bis 86.
  • Durchführungsverordnung (EU) 2024/2690 der Kommission, Erwägungsgrund 3, Artikel 1, Artikel 3, Artikel 10, Anhang.
  • Empfehlung 2003/361/EG der Kommission, Anhang, Artikel 2 und 3.

Dies ist keine Rechtsberatung. Der Rechtsakt des Mitgliedstaats benennt die Behörde, das Portal und das Formular und kann einen MSP nach Artikel 2(2)(b) bis (e) unabhängig von seiner Größe ermitteln.