Wer das lesen sollte: ein Unternehmen, das Konnektivität, Netzsoftware, verwaltete Dienste, Bodensegment-Technik oder Feldtechnik an Telekommunikations- oder Satellitenbetreiber verkauft und in Vertragsverlängerungen zunehmend Sicherheitsklauseln erhält.
Es gibt zwei getrennte Wege, auf denen NIS2 Sie erreichen kann. Die meisten Zulieferer kennen den ersten und nehmen an, es sei der einzige. Der zweite ist konkreter, präziser vorgegeben, und er gilt unabhängig davon, ob ein Kunde jemals danach fragt.
Weg eins: die Pflicht Ihres Kunden, an Sie weitergegeben
Anbieter öffentlicher elektronischer Kommunikationsnetze und -dienste sind in Anhang I der NIS2-Richtlinie genannt. Betreiber sind wesentliche Einrichtungen. Das ist gut verstanden.
Daraus folgt Artikel 21 Absatz 2 Buchstabe d, der von Einrichtungen im Geltungsbereich verlangt, Sicherheitsrisiken in ihrer Lieferkette und in den Beziehungen zu ihren unmittelbaren Anbietern zu steuern. Der Betreiber kann diese Pflicht nicht durch Hoffnung erfüllen. Er erfüllt sie, indem er Klauseln in Ihren Vertrag schreibt, Ihnen Fragebögen schickt und sich Auditrechte vorbehält.
Die Pflicht liegt also rechtlich bei ihm und kommerziell bei Ihnen. Sie sind nicht reguliert, Sie werden bewertet. Der Mechanismus ist in Lieferkettensicherheit unter NIS2 beschrieben, und was praktisch bei Ihnen ankommt, behandelt der Sicherheitsfragebogen, den Sie nicht beantworten können.
Dieser Weg hat eine nützliche Eigenschaft: er ist verhandelbar. Sie müssen einen kommerziellen Vertragspartner zufriedenstellen, keine Behörde, und der Maßstab ist dessen eigene Risikobewertung.
Weg zwei: Sie sind selbst betroffen, und zwar konkreter als der Betreiber
Hier liegt der Teil, der überrascht.
Anhang I der NIS2-Richtlinie erfasst nicht nur Telekommunikationsbetreiber. Er erfasst auch digitale Infrastruktur sowie die Verwaltung von IKT-Diensten, und mehrere der dortigen Kategorien beschreiben ganz gewöhnliche Zulieferer-Geschäftsmodelle:
- Anbieter von Cloud-Computing-Diensten
- Anbieter von Rechenzentrumsdiensten
- Betreiber von Content Delivery Networks
- DNS-Diensteanbieter und TLD-Namenregister
- Anbieter verwalteter Dienste
- Anbieter verwalteter Sicherheitsdienste
- Vertrauensdiensteanbieter
Lesen Sie diese Liste gegen das, was ein Telekom-Zulieferer tatsächlich tut. Ein Unternehmen, das den Netzbetrieb für einen Betreiber übernimmt, ist ein Anbieter verwalteter Dienste. Ein Unternehmen, das eine Plattformkomponente hostet, ist mit hoher Wahrscheinlichkeit ein Cloud-Diensteanbieter. Ein Unternehmen, das ein Teleport oder ein Rechenzentrum betreibt, ist ausdrücklich genannt. Die Kategorien sind in wesentliche und wichtige Einrichtungen im Vergleich dargestellt, der Fall der verwalteten Dienste im Besonderen in MSPs und MSSPs unter NIS2.
Wenn Sie in eine dieser Kategorien fallen und die Größenschwellen erreichen, sind Sie eine Einrichtung aus eigenem Recht. Niemand muss Ihnen eine Vertragsklausel schicken, damit die Pflicht besteht.
Das Instrument, das Weg zwei anders macht
Dieses Detail lohnt sich zu kennen, denn es verändert, wie viel Auslegungsspielraum Sie haben.
Für die Kategorien digitale Infrastruktur und Verwaltung von IKT-Diensten hat die Kommission die Durchführungsverordnung (EU) 2024/2690 erlassen, in Kraft seit Oktober 2024. Sie legt die technischen und methodischen Anforderungen im Detail fest, über dreizehn Abschnitte in ihrem Anhang: Sicherheitskonzept, Risikomanagement, Behandlung von Sicherheitsvorfällen, Betriebskontinuität, Lieferkettensicherheit, Erwerb und Wartung von Systemen, Wirksamkeitsbewertung, Cyberhygiene und Schulung, Kryptografie, Personalsicherheit, Zugriffskontrolle, Anlagenverwaltung und physische Sicherheit.
Sie definiert außerdem, was je Kategorie als erheblicher Sicherheitsvorfall gilt. Das ist wichtig, weil damit die Meldefrist beginnt, die in den NIS2-Meldefristen beschrieben ist.
Die praktische Folge kehrt das übliche Muster um. Die allgemeine NIS2-Richtlinie gibt Ihnen die zehn Maßnahmen aus Artikel 21 und überlässt Ihnen das Detail, weshalb sich die zehn Maßnahmen wie Grundsätze lesen. Fallen Sie unter 2024/2690, bekommen Sie stattdessen eine Spezifikation. Weniger Raum für Auslegung, und weniger Raum, zu wenig zu tun.
Es gibt einen spiegelbildlichen Vorteil. Gegen eine Spezifikation lässt sich bauen und nachweisen, statt im Nachhinein mit einer Behörde über Verhältnismäßigkeit zu streiten.
Auf welchem Weg sind Sie
Drei Fragen klären das in den meisten Fällen.
Betreiben oder verwalten Sie Systeme für Ihren Kunden, oder verkaufen Sie ihm ein Produkt? Betreiben und Verwalten deutet auf einen Anbieter verwalteter Dienste hin. Der Verkauf eines Geräts oder einer Lizenz in der Regel nicht.
Wo ist Ihre Hauptniederlassung, und wo erbringen Sie den Dienst? Für die meisten dieser Kategorien folgt die Zuständigkeit der Hauptniederlassung, was zählt, wenn Sie in mehreren Ländern tätig sind. Das ist in welche NIS2-Zuständigkeit gilt dargestellt.
Wie hoch sind Ihre Mitarbeiterzahl und Ihr Umsatz? Die Größenschwellen leisten hier echte Arbeit. Viele Zulieferer im Band von 20 bis 250 Beschäftigten liegen unter der Schwelle für die direkte Erfassung und werden nur über Weg eins erreicht. Viele andere nicht.
Wenn Sie unsicher sind, dauert der NIS2-Geltungsbereichsprüfer ein paar Minuten, und der umfassendere Test steht im Leitfaden zu Geltungsbereich und Anwendbarkeit von NIS2.
Was Betreiber tatsächlich verlangen
Unabhängig davon, welcher Weg gilt, sind die Fragen aus dem Einkauf der Betreiber konsistent genug, um sich darauf vorzubereiten.
Nachweise, keine Behauptungen. Zunehmend verlangt die Klausel ein Zertifikat oder einen Auditbericht statt eines ausgefüllten Fragebogens. Genannt wird üblicherweise ISO 27001.
Meldung von Vorfällen an den Betreiber, mit Frist. Denn dessen eigene Frist beginnt mit seiner Kenntnis, und Kenntnis erlangt er von Ihnen. Vereinbaren Sie Meldeweg und Fristen im Vertrag, nicht während eines Vorfalls.
Transparenz über Unterlieferanten. Artikel 21 zwingt den Betreiber, Abhängigkeiten hinter seinen unmittelbaren Anbietern zu berücksichtigen, also verlangt er von Ihnen die Nennung Ihrer eigenen. Die Mechanik steht in Lieferkettenrisikobewertung.
Konkretes zu Verschlüsselung und Zugriff. Der Telekommunikationseinkauf stellt härtere technische Fragen als die meisten Branchen, besonders zur Verschlüsselung in der Übertragung und zum administrativen Zugriff auf Systeme, die Kundenverkehr führen. Dieser Bereich ist in Verschlüsselung in der Telekommunikation unter NIS2 behandelt.
Was zu bauen ist
Die effiziente Antwort ist auf beiden Wegen dieselbe, und genau das ist der nützliche Teil.
Bauen Sie ein an ISO 27001 ausgerichtetes Managementsystem, im Geltungsbereich auf die Dienste zugeschnitten, die Sie regulierten Kunden erbringen, und bilden Sie sowohl NIS2 als auch die Durchführungsverordnung auf denselben Satz an Maßnahmen ab. Das einmal statt zweimal zu tun, ist das Argument in ISO 27001 und NIS2 einmal statt zweimal, und es gilt hier umso stärker, weil 2024/2690 präzise genug ist, um sauber abzubilden.
Drei Ergänzungen, die für diese Position spezifisch sind:
- Legen Sie Ihren Weg ausdrücklich fest und schreiben Sie die Begründung auf. Ob Sie direkt im Geltungsbereich liegen, ist eine Frage, die Ihnen Kunden, Versicherer und möglicherweise eine Behörde stellen werden. Eine begründete Antwort in der Akte ist einen Nachmittag wert.
- Behandeln Sie den Meldeweg als Maßnahme. Wer informiert den Kunden, wie schnell, über welchen Kanal, mit welchen Angaben. Bei den meisten Zulieferern steht das nirgends.
- Halten Sie das Verzeichnis der Unterlieferanten aktuell. Es ist die Frage, die Sie nicht schnell beantworten können, wenn Sie es nicht gepflegt haben, und sie wird inzwischen routinemäßig gestellt.
Für Unternehmen, deren Hauptgeschäft der Betrieb von IT- und Softwarediensten ist, behandelt die Seite IT und Software die weitere Lage, und ein unabhängiges Sicherheitsaudit ist der günstigste Weg zu sehen, wie weit Sie von dem entfernt sind, was die nächste Vertragsverlängerung verlangt.
Die technische Realität: eine Spezifikation ist noch kein Funktionsnachweis
2024/2690 ist detaillierter als alles andere in NIS2, und sie bleibt eine Festlegung dessen, was vorhanden sein muss, statt einer Prüfung, ob es funktioniert.
Ihr Anhang verlangt Schwachstellenbehandlung, Protokollierung, Überwachung und Datensicherung. Jedes davon lässt sich durch ein dokumentiertes Verfahren und einen Nachweis der Durchführung erfüllen. Ein Scanner, der monatliche Berichte erzeugt, erfüllt die Schwachstellenanforderung, während kritische Befunde altern. Aufbewahrung von Protokollen erfüllt die Protokollierungsanforderung, während niemand die Protokolle abfragt. Eine getestete Sicherung erfüllt die Kontinuitätsanforderung, während niemand eine vollständige Wiederherstellung gegen das im Vertrag vereinbarte Wiederanlaufziel gestoppt hat.
Diese Lücke wiegt für einen Telekom-Zulieferer schwerer als für die meisten Unternehmen, weil auf der anderen Seite Ihrer Schnittstelle ein Netz steht, von dem andere Unternehmen abhängen, und weil die Aufsicht des Betreibers ihn an Ergebnissen misst, nicht an Ihren Unterlagen. Wenn ein Problem in Ihren Systemen seine erreicht, lautet die Frage danach, wie lange es dort war, bevor es jemand bemerkt hat.
Damit zahlt sich nicht die dickere Compliance-Akte aus. Es zahlt sich Erkennung und Exposure-Management aus, laufend auf den Systemen, die die Ihres Kunden berühren, mit Befunden, die einen Verantwortlichen und eine Frist tragen, und Nachweisen, die im Betrieb entstehen. Das ist dasselbe Argument wie in zertifiziert ist nicht sicher, gerichtet auf eine Branche, in der die Folgen weiter reichen.
