Anbieter verwalteter Dienste (MSP) und Anbieter verwalteter Sicherheitsdienste (MSSP) sind ein Sektor in Anhang I der NIS2: „Verwaltung von IKT-Diensten (Business-to-Business)“. Wenn Sie mindestens ein mittleres Unternehmen sind und Dienste in der EU erbringen, fallen Sie in den Anwendungsbereich. Mittlere Anbieter sind wichtige Einrichtungen, große Anbieter wesentliche Einrichtungen. Ob Ihre Kunden selbst unter NIS2 fallen, spielt dabei keine Rolle.
Dieser Leitfaden erklärt, was als MSP gilt, wie die Größe Ihre Kategorie bestimmt, welches Land Sie beaufsichtigt, was Sie registrieren müssen, welche Sicherheits- und Meldepflichten gelten und was Ihre Kunden nun von Ihnen verlangen werden. Am Ende steht eine Checkliste.
| Frage | Antwort für einen MSP oder MSSP | Fundstelle |
|---|---|---|
| Im Anwendungsbereich? | Ja, ab mittlerer Unternehmensgröße oder bei Einstufung durch einen Mitgliedstaat | Artikel 2, Anhang I Nummer 9 |
| Kategorie | Groß: wesentlich. Mittel: wichtig | Artikel 3 |
| Aufsicht durch | Mitgliedstaat der Hauptniederlassung in der EU | Artikel 26 |
| Registrierung bei | Ihrer zuständigen Behörde, die das EU-Register der ENISA speist | Artikel 27 |
| Sicherheitsvorschriften | Artikel 21 und Anhang der Durchführungsverordnung 2024/2690 | Artikel 21 Absatz 5 |
| Wann ein Sicherheitsvorfall erheblich ist | Artikel 3, 4 und 10 der Durchführungsverordnung 2024/2690 | Artikel 23 Absatz 11 |
| Meldung | 24 Stunden, 72 Stunden, ein Monat | Artikel 23 |
| Bußgeldobergrenze | Mindestens 10 Mio. EUR oder 2 % des Umsatzes (wesentlich), 7 Mio. EUR oder 1,4 % (wichtig), je nachdem, welcher Betrag höher ist | Artikel 34 |
Was ist ein Anbieter verwalteter Dienste im Sinne von NIS2?
Artikel 6 Nummer 39 definiert einen Anbieter verwalteter Dienste als eine Einrichtung, die Dienste „im Zusammenhang mit der Installation, der Verwaltung, dem Betrieb oder der Wartung von IKT-Produkten, Netzen, Infrastruktur, Anwendungen oder jeglicher anderer Netz- und Informationssysteme durch Unterstützung oder aktive Verwaltung“ erbringt, entweder in den Räumlichkeiten der Kunden oder aus der Ferne. Das umfasst die meisten Leistungen im IT-Outsourcing, bei verwalteter Infrastruktur und bei verwalteten Arbeitsplatzdiensten.
Ein Anbieter verwalteter Sicherheitsdienste ist ein MSP, der „Unterstützung für Tätigkeiten im Zusammenhang mit dem Risikomanagement im Bereich der Cybersicherheit durchführt oder erbringt“ (Artikel 6 Nummer 40). Erwägungsgrund 86 nennt Beispiele: Reaktion auf Sicherheitsvorfälle, Penetrationstests, Sicherheitsaudits und Beratung.
Fallen MSP und MSSP unter NIS2?
Ja, abhängig von ihrer Größe. NIS2 gilt für Einrichtungen der in Anhang I oder II genannten Art, die nach der EU-Definition der Empfehlung 2003/361/EG als mittlere Unternehmen gelten oder diese Größe überschreiten (Artikel 2 Absatz 1).
In der Praxis fallen Sie nur dann nicht unter die Größenregel, wenn Sie ein kleines Unternehmen oder ein Kleinstunternehmen sind: weniger als 50 Beschäftigte und ein Jahresumsatz oder eine Jahresbilanzsumme von höchstens 10 Mio. EUR. Beschäftigte werden in Jahresarbeitseinheiten gezählt, und die Zahlen von Partnerunternehmen und verbundenen Unternehmen, etwa dem Rest Ihrer Gruppe, zählen in der Regel mit. Ein MSP mit 30 Beschäftigten in einem großen Konzern kann daher in den Anwendungsbereich fallen.
Die Größe ist nicht das einzige Kriterium. Ein Mitgliedstaat kann einen Anbieter jeder Größe einstufen, etwa wenn er in diesem Land der einzige Anbieter eines wesentlichen Dienstes ist oder wenn sich eine Störung seiner Dienste erheblich auf die öffentliche Sicherheit auswirken oder eine systemische Wirkung haben könnte (Artikel 2 Absatz 2).
Ist ein MSP eine wesentliche oder eine wichtige Einrichtung?
| Ihre Größe (KMU-Definition der EU) | NIS2-Kategorie |
|---|---|
| Kleinstunternehmen oder kleines Unternehmen | Nicht erfasst, außer bei Einstufung durch einen Mitgliedstaat |
| Mittleres Unternehmen: weniger als 250 Beschäftigte und Umsatz bis 50 Mio. EUR oder Bilanzsumme bis 43 Mio. EUR | Wichtige Einrichtung, außer ein Mitgliedstaat stuft sie als wesentlich ein |
| Über den Schwellenwerten für mittlere Unternehmen | Wesentliche Einrichtung |
Die Pflichten sind für beide Kategorien dieselben. Unterschiedlich sind die Aufsicht und die Bußgeldobergrenze. Eine wesentliche Einrichtung kann regelmäßig von einer unabhängigen Stelle oder der Behörde geprüft werden. Eine wichtige Einrichtung wird nachträglich beaufsichtigt, wenn es Hinweise gibt, dass sie die Vorschriften nicht einhält. Der Unterschied wird unter wesentliche und wichtige Einrichtungen erklärt.
Welches Land beaufsichtigt einen MSP?
Für MSP und MSSP gilt die Regel der Hauptniederlassung (Artikel 26 Absatz 1 Buchstabe b). Ihre Hauptniederlassung liegt in dem Mitgliedstaat, in dem die Entscheidungen über die Risikomanagementmaßnahmen im Bereich der Cybersicherheit vorwiegend getroffen werden. Lässt sich dieser nicht bestimmen oder werden diese Entscheidungen nicht in der EU getroffen, ist es der Mitgliedstaat, in dem Ihre Cybersicherheitsmaßnahmen durchgeführt werden. Andernfalls ist es die Niederlassung mit den meisten Beschäftigten in der EU.
Ein Anbieter, der nicht in der EU niedergelassen ist, dort aber Dienste anbietet, muss einen Vertreter in einem der Mitgliedstaaten benennen, in denen er Dienste anbietet. Er unterliegt dann der Zuständigkeit dieses Landes. Die Einzelheiten stehen unter NIS2-Zuständigkeit und Hauptniederlassung.
Was muss ein MSP bei der Registrierung angeben?
MSP und MSSP gehören zu den Anbietern, die im EU-Register der ENISA geführt werden (Artikel 27). Sie übermitteln Ihrer zuständigen Behörde Ihren Namen, Ihren Sektor und die Art der Einrichtung, die Anschrift Ihrer Hauptniederlassung und Ihrer sonstigen Niederlassungen in der EU, Ihre Kontaktdaten, die Mitgliedstaaten, in denen Sie Dienste erbringen, und Ihre IP-Adressbereiche. Die Richtlinie legte den 17. Januar 2025 als Termin für diese Angaben fest. Änderungen sind unverzüglich mitzuteilen, in jedem Fall innerhalb von drei Monaten. Die zentrale Anlaufstelle leitet die Daten an die ENISA weiter, mit Ausnahme der IP-Adressbereiche.
Die nationalen Gesetze regeln das unterschiedlich, oft über ein Formular zur Selbstregistrierung. Wenn Sie sich noch nicht registriert haben, holen Sie das jetzt nach: Die Pflicht gilt weiterhin.
Welche Sicherheitsanforderungen gelten für MSP?
Die zehn Maßnahmen aus Artikel 21, erklärt unter NIS2 Artikel 21. Für MSP und MSSP werden sie durch die Durchführungsverordnung (EU) 2024/2690 der Kommission konkretisiert. Ihr Anhang legt in 13 Abschnitten technische und methodische Anforderungen fest, vom Sicherheitskonzept und Risikomanagement über die Bewältigung von Sicherheitsvorfällen, Betriebskontinuität, Sicherheit der Lieferkette, Zugriffskontrolle und Anlagen- und Wertemanagement bis zur Sicherheit des Umfelds und physischen Sicherheit.
Für einen MSP ist das wichtigste Risiko die Konzentration. Ein einziger Satz von Werkzeugen für die Fernverwaltung und von Administratorkonten kann Hunderte von Kundenumgebungen erreichen. Zugriffskontrolle, Multi-Faktor-Authentifizierung für Verwaltungswerkzeuge, die Trennung der Kundenumgebungen und die Protokollierung administrativer Sitzungen sind die Punkte, auf die eine Behörde und ein Kunde zuerst schauen werden.
Wann muss ein MSP einen Sicherheitsvorfall melden?
Wenn der Sicherheitsvorfall erheblich ist. Nach Artikel 23 übermitteln Sie Ihrem CSIRT oder Ihrer zuständigen Behörde unverzüglich eine Frühwarnung innerhalb von 24 Stunden, nachdem Sie Kenntnis erlangt haben, und eine Meldung über den Sicherheitsvorfall innerhalb von 72 Stunden, auf Ersuchen einen Zwischenbericht und innerhalb eines Monats nach der Meldung einen Abschlussbericht. Gegebenenfalls unterrichten Sie außerdem unverzüglich die Empfänger Ihrer Dienste.
Die Durchführungsverordnung (EU) 2024/2690 legt die Kriterien für „erheblich“ fest. Einige gelten für alle Anbieter, die sie erfasst: zum Beispiel ein Sicherheitsvorfall, der einen direkten finanziellen Verlust von mehr als 500.000 EUR oder 5 % des Jahresumsatzes verursacht oder verursachen kann, je nachdem, welcher Wert niedriger ist, sowie wiederholte Sicherheitsvorfälle, die die Bedingungen ihres Artikels 4 erfüllen. Artikel 10 ergänzt Kriterien speziell für MSP und MSSP, darunter ein verwalteter Dienst, der mehr als 30 Minuten lang vollständig nicht verfügbar ist oder dessen Verfügbarkeit für mehr als 5 % seiner Nutzer in der EU (oder mehr als 1 Mio., je nachdem, welche Zahl niedriger ist) länger als eine Stunde eingeschränkt ist, sowie Daten, die durch eine mutmaßlich böswillige Handlung beeinträchtigt wurden. Betrifft ein Sicherheitsvorfall die Umgebung eines Kunden, können sowohl Sie als auch der Kunde Meldepflichten haben. Vereinbaren Sie im Voraus, wer was meldet. Die allgemeinen Fristen behandelt der NIS2-Zeitplan für die Meldung von Sicherheitsvorfällen.
Was erwarten Kunden jetzt von ihrem MSP?
Mehr als bisher, und zwar schriftlich. Jeder Kunde im Anwendungsbereich muss die Sicherheit in Bezug auf seine unmittelbaren Anbieter und Diensteanbieter steuern (Artikel 21 Absatz 2 Buchstabe d und Absatz 3). Erwägungsgrund 86 fordert die Einrichtungen auf, bei der Wahl eines Anbieters verwalteter Sicherheitsdienste „erhöhte Sorgfalt“ walten zu lassen, weil MSSP eng in die Tätigkeiten ihrer Kunden eingebunden sind und selbst Ziel von Angriffen waren.
Rechnen Sie mit Vertragsklauseln zu Sicherheitsanforderungen, Meldung von Sicherheitsvorfällen, Auditrechten, Umgang mit Schwachstellen, Unterauftragsvergabe und Exit-Regelungen. Das ist die Liste, die die Durchführungsverordnung für Verträge mit Anbietern vorgibt. Die Kundenseite behandelt NIS2-Sicherheit der Lieferkette. Wenn Sie klein sind und selbst nicht unter NIS2 fallen, erreichen Sie dieselben Anforderungen über diese Verträge.
Ändert sich etwas für MSP?
Zwei Entwicklungen laufen, keine davon ist für Sie bereits geltendes Recht.
- Zertifizierung verwalteter Sicherheitsdienste. Die Verordnung (EU) 2025/37 hat den Rechtsakt zur Cybersicherheit geändert, damit verwaltete Sicherheitsdienste zertifiziert werden können. Die ENISA erarbeitet auf Ersuchen der Kommission vom April 2025 ein mögliches Zertifizierungsschema (EUMSS).
- Änderungen an NIS2. Am 20. Januar 2026 hat die Kommission gezielte Änderungen vorgeschlagen (COM(2026) 13), darunter eine neue Kategorie „kleiner Midcap-Unternehmen“, die die Compliance-Kosten senken soll, und einfachere Zuständigkeitsregeln. Bis zur Annahme und Umsetzung gelten die derzeitigen Vorschriften.
Wo Compliance-Programme von MSP scheitern
MSP sind gut darin, Kontrollen zu betreiben, und schlecht darin, sie für sich selbst nachzuweisen. Die Nachweise, die eine Behörde oder ein Kunde verlangt, verteilen sich auf die Fernverwaltungsplattform, den Identitätsanbieter, das Ticketsystem und jeden Kunden-Tenant. Von Hand für jedes Audit und jeden Fragebogen zusammengestellt, kosten sie Tage und sind eine Woche später veraltet.
Besser ist es, sie kontinuierlich aus diesen Systemen zu erfassen, bei Bedarf pro Kunde, und das, was die Daten nicht klären, von einem Menschen prüfen zu lassen. So arbeitet die CloudSoul-Plattform: Automatisierung für die Nachweise, menschliche Expertise für die Ermessensfragen. Um zuerst zu sehen, wo Sie stehen, ist ein Sicherheitsaudit anhand von Artikel 21 und der Durchführungsverordnung der schnellste Weg. Das gesamte Programm finden Sie auf der NIS2-Compliance-Seite.
NIS2-Checkliste für MSP und MSSP
- Prüfen Sie Ihre Größe anhand der KMU-Definition der EU, um Ihren Status als wichtige oder wesentliche Einrichtung zu bestätigen.
- Bestimmen Sie Ihre Hauptniederlassung und Ihre zuständige Behörde.
- Registrieren Sie sich, oder prüfen Sie, ob Ihre Registrierung und Ihre IP-Adressbereiche aktuell sind.
- Ordnen Sie Ihre Kontrollen dem Anhang der Durchführungsverordnung (EU) 2024/2690 zu.
- Setzen Sie Multi-Faktor-Authentifizierung und Sitzungsprotokollierung für jedes Werkzeug durch, das auf Kundenumgebungen zugreift.
- Richten Sie eine Klassifizierung von Sicherheitsvorfällen nach den Kriterien der Verordnung und der 24-Stunden-Frist ein.
- Vereinbaren Sie mit jedem Kunden im Vertrag, wer welche Rolle bei der Meldung von Sicherheitsvorfällen übernimmt.
- Stellen Sie ein einziges, wiederverwendbares Nachweispaket für Kundenfragebögen und Audits zusammen.
Quellen
- Richtlinie (EU) 2022/2555 (NIS2), Artikel 2, 3, 6, 21, 23, 26, 27, 32 bis 34, Anhang I und Erwägungsgrund 86, EUR-Lex.
- Empfehlung 2003/361/EG der Kommission, KMU-Definition, Anhang, Artikel 2, EUR-Lex.
- Durchführungsverordnung (EU) 2024/2690 der Kommission, Artikel 3, 4 und 10 und Anhang, EUR-Lex.
- ENISA, mögliches Schema für verwaltete Sicherheitsdienste (EUMSS), ENISA-Zertifizierung.
- Europäische Kommission, Fragen und Antworten zum Cybersicherheitspaket, 20. Januar 2026, Shaping Europe’s digital future.
Häufige Fragen
Gilt NIS2 für Anbieter verwalteter Dienste?
Ja. Anbieter verwalteter Dienste und Anbieter verwalteter Sicherheitsdienste sind in Anhang I der NIS2 unter Verwaltung von IKT-Diensten (Business-to-Business) aufgeführt. Ein MSP oder MSSP, der mindestens ein mittleres Unternehmen ist und Dienste in der EU erbringt, fällt in den Anwendungsbereich, unabhängig davon, ob seine Kunden unter NIS2 fallen.
Ist ein MSP nach NIS2 eine wesentliche oder eine wichtige Einrichtung?
Das hängt von der Größe ab. Ein MSP, der die EU-Schwellenwerte für mittlere Unternehmen überschreitet, ist eine wesentliche Einrichtung. Ein mittelgroßer MSP ist eine wichtige Einrichtung. Ein Mitgliedstaat kann auch einen kleineren Anbieter einstufen, zum Beispiel wenn er der einzige Anbieter eines wesentlichen Dienstes ist.
Gilt NIS2 für kleine MSP?
In der Regel nicht direkt. Kleine Unternehmen und Kleinstunternehmen fallen nicht unter die Größenregel, es sei denn, ein Mitgliedstaat stuft sie ein. Kunden im Anwendungsbereich müssen jedoch die Risiken in ihrer Lieferkette steuern. Deshalb erhalten auch kleine MSP dieselben Sicherheitsanforderungen über Verträge und Fragebögen.
Welches Land beaufsichtigt einen MSP nach NIS2?
Der Mitgliedstaat seiner Hauptniederlassung in der EU, also der Mitgliedstaat, in dem die Entscheidungen über Risikomanagementmaßnahmen im Bereich der Cybersicherheit vorwiegend getroffen werden (Artikel 26). Ein MSP, der nicht in der EU niedergelassen ist, aber Kunden in der EU bedient, muss einen Vertreter in einem Mitgliedstaat benennen, in dem er Dienste anbietet.
Was muss ein MSP nach NIS2 melden?
Erhebliche Sicherheitsvorfälle, die seine Dienste betreffen: eine Frühwarnung innerhalb von 24 Stunden, eine Meldung über den Sicherheitsvorfall innerhalb von 72 Stunden und einen Abschlussbericht innerhalb eines Monats. Die Durchführungsverordnung (EU) 2024/2690 legt eigene Kriterien dafür fest, wann ein Sicherheitsvorfall bei einem MSP oder MSSP erheblich ist.
