NIS2 für Cloud- und SaaS-Anbieter: was ist anders?

Doppel-Rolle: Anbieter und Lieferant

Cloud- und SaaS-Anbieter haben in der NIS2-Welt zwei Rollen, die getrennt zu betrachten sind:

Anbieter-Side (direkte Betroffenheit):

• Eigene Risikomanagementmaßnahmen nach Art. 21 NIS2 (§ 30 BSIG), für Cloud-Anbieter konkretisiert durch die Durchführungsverordnung (EU) 2024/2690
• Eigene Meldepflicht nach Art. 23 NIS2 (§ 32 BSIG)
• Eigene Registrierung (§§ 33, 34 BSIG), beim BSI, sofern die Hauptniederlassung in der EU in Deutschland liegt (§ 60 BSIG)
• Eigene Geschäftsleitungs-Verantwortung nach Art. 20 NIS2 (§ 38 BSIG)

Customer-Side (Lieferanten-Rolle):

• NIS2-pflichtige Kunden müssen ihre Lieferketten-Sicherheit nach Art. 21 Abs. 2 lit. d) NIS2 (§ 30 Abs. 2 Nr. 4 BSIG) gewährleisten
• Das heißt: Kunden können vom Anbieter vertraglich Nachweise und Zusagen verlangen; eine gesetzliche Pflicht des Anbieters gegenüber dem Kunden entsteht daraus nicht
• Vertragliche Klauseln zu Sicherheit, Audit-Rechten und Vorfallsmeldung sind die übliche Form dafür

In der Praxis bedeutet das: ein NIS2-konformes Sicherheitsniveau hilft nicht nur bei der eigenen Compliance, sondern kann zum Argument im B2B-Vertrieb werden, weil Kunden die Sicherheit ihrer Lieferkette adressieren müssen.

Welche Cloud-Dienste fallen unter Anhang I?

Anhang I NIS2 listet in der digitalen Infrastruktur explizit:

• Anbieter von Cloud-Computing-Dienstleistungen
• Anbieter von Rechenzentrumsdienstleistungen
• Anbieter von Content Delivery Networks
• DNS-Anbieter, TLD-Registries, IXPs
• Anbieter öffentlicher elektronischer Kommunikationsnetze und -dienste
• Vertrauensdiensteanbieter (qualifizierte und nicht qualifizierte)

Die Größen-Schwelle entfällt für mehrere dieser Kategorien: Qualifizierte Vertrauensdiensteanbieter, TLD-Registries und DNS-Diensteanbieter gelten unabhängig von der Größe als besonders wichtige Einrichtungen (§ 28 Abs. 1 Nr. 2 BSIG), sonstige Vertrauensdiensteanbieter als wichtige Einrichtungen (§ 28 Abs. 2 Nr. 1 BSIG). Anbieter öffentlich zugänglicher Telekommunikationsdienste oder Betreiber öffentlicher Telekommunikationsnetze sind ebenfalls in jeder Größe erfasst (§ 28 Abs. 1 Nr. 3, Abs. 2 Nr. 2 BSIG). Cloud- und SaaS-Anbieter werden direkt erfasst, wenn sie mindestens 50 Beschäftigte haben oder Jahresumsatz und Jahresbilanzsumme jeweils 10 Mio. € übersteigen (§ 28 Abs. 2 Nr. 3 BSIG).

BSI C5: Der etablierte Cloud-Sicherheits-Katalog

Der BSI-Kriterienkatalog C5 (Cloud Computing Compliance Criteria Catalogue) spezifiziert Mindestanforderungen an sicheres Cloud Computing. Die aktuelle Fassung C5:2026 hat das BSI am 7. April 2026 veröffentlicht; laut BSI-FAQ ist sie für Testierungen ab dem 1. Juni 2027 anzuwenden, eine frühere Anwendung ist erlaubt. Neu aufgegriffen werden unter anderem Container-Management, Post-Quanten-Kryptographie und Confidential Computing (BSI-Pressemitteilung vom 7.4.2026).

C5 hat zwei Anwendungs-Modi:

• C5 Type 1, Beschreibung des Sicherheitsmanagements und der Maßnahmen zu einem Stichtag
• C5 Type 2, wie Type 1 plus Wirksamkeits-Test über einen Zeitraum (laut BSI-FAQ 3 bis 12 Monate in der Vergangenheit)

Ein Type-2-Bericht belegt zusätzlich die Wirksamkeit der Maßnahmen über einen Zeitraum und ist damit aussagekräftiger als ein Stichtagsbericht. Welchen Berichtstyp ein Kunde verlangt, ist Gegenstand des Vertrags.

Ein C5-Testat belegt nicht automatisch die Erfüllung der NIS2-Pflichten. Bei der Erstellung des C5:2026 hat das BSI die NIS2-Richtlinie berücksichtigt, laut BSI-FAQ auch den Anhang der Durchführungsverordnung zur NIS2-Richtlinie; welche Anforderungen aus § 30 BSIG und der Durchführungsverordnung (EU) 2024/2690 noch offen sind, zeigt erst eine Lückenanalyse.

Pflicht-Bereiche für Cloud-/SaaS-Anbieter

Für Anbieter von Cloud-Computing-Diensten, Rechenzentrumsdiensten sowie verwalteten Diensten und Sicherheitsdiensten legt die Durchführungsverordnung (EU) 2024/2690 die technischen und methodischen Anforderungen an die Maßnahmen nach Art. 21 Abs. 2 NIS2 fest und präzisiert, wann ein Sicherheitsvorfall erheblich ist. Diese Anforderungen haben nach § 30 Abs. 3 BSIG für diese Einrichtungsarten Vorrang vor den allgemeinen Vorgaben.

Die folgenden Maßnahmen-Bereiche müssen Cloud- und SaaS-Anbieter besonders aufmerksam adressieren:

Mandanten-Trennung (Multi-Tenancy):

• Saubere Isolation zwischen Kunden auf Compute-, Storage- und Netzwerk-Ebene
• Verhinderung von Cross-Tenant-Leaks
• Auditierbarkeit der Mandanten-Grenzen

Datenverschlüsselung:

• At-rest, in-transit, idealerweise in-use
• Bring-Your-Own-Key (BYOK) und Hold-Your-Own-Key (HYOK) als Premium-Optionen
• Schlüsselverwaltung mit Hardware Security Modules (HSM)

Identitäts- und Zugriffsmanagement:

• Multi-Faktor-Authentifizierung für Kunden- und Mitarbeiter-Zugänge
• Privileged Access Management für Admin-Zugriffe auf die Plattform
• Audit-Trail aller Admin-Aktivitäten

Incident-Response mit Customer-Notification:

• Gesetzlich: Bei einem erheblichen Sicherheitsvorfall kann das BSI anordnen, die Empfänger der Dienste unverzüglich zu unterrichten (§ 35 Abs. 1 BSIG); über erhebliche Cyberbedrohungen und mögliche Abhilfemaßnahmen müssen Einrichtungen der digitalen Infrastruktur potenziell betroffene Empfänger unverzüglich informieren, wenn deren Interessen überwiegen (§ 35 Abs. 2 BSIG)
• Vertragliche Meldefristen, die so kurz sind, dass Kunden ihre eigenen Fristen nach § 32 BSIG (24 und 72 Stunden) einhalten können
• Kunden müssen ihre Lieferanten-Meldungen in eigenen BSI-Meldungen verarbeiten können

Audit-Rechte:

• Kunden in regulierten Branchen brauchen Audit-Rechte oder zumindest Audit-Berichte
• C5-Bericht, SOC-2-Bericht, ISO-27001-Zertifikat sind etablierte Lösungen

Customer-Side: Anforderungen aus dem Vertrag

Wenn NIS2-pflichtige Kunden einen Cloud- oder SaaS-Anbieter wählen, prüfen sie zunehmend Vertragsklauseln zu:

Welche dieser Klauseln ein Kunde verlangt, hängt von seiner eigenen Regulierung und Risikoanalyse ab.

Subdienstleister-Kette: Wer haftet wofür?

Cloud-Anbieter nutzen selbst oft Subdienstleister, Hyperscaler als Infrastruktur, externe SOC-Provider, Drittpartei-Datenbanken. Kunden, die ihre Lieferkette bewerten, fragen deshalb auch nach dieser Kette.

Verbreitete Vertragsklauseln:

• Liste der Subdienstleister mit Funktion und Datenfluss-Beschreibung
• Vorab-Informationspflicht bei Wechsel, mit vertraglich vereinbartem Vorlauf
• Equivalent-Sicherheit, Subdienstleister müssen mindestens das gleiche Niveau wie der Hauptanbieter erfüllen
• Audit-Durchgriff, Audit-Rechte des Kunden müssen sich auf Subdienstleister erstrecken (in der Praxis schwierig, oft über Auditberichte des Hauptanbieters)

Für NIS2-pflichtige Kunden ist die Bewertung mehrstufiger Ketten aufwendig. Vertragsstandards mit klaren Anforderungen und Eskalations-Rechten erleichtern sie.

Praxis: NIS2-Tauglichkeit als Vertriebs-Argument

Strategische Schritte:

1. C5-Testat oder vergleichbare Nachweise (SOC-2-Bericht, ISO-27001-Zertifikat) als Grundlage für Kundennachweise etablieren
2. NIS2-Whitepaper für Kunden veröffentlichen, eigene Maßnahmen erklären, Kunden in der eigenen Compliance unterstützen
3. Vertragsstandards modular gestalten, Basis-Paket plus „NIS2-Premium-Pack" mit erweiterten Audit-Rechten
4. Roadmap-Kommunikation, bei zukünftigen Verschärfungen (Implementing Acts, AI Act) frühzeitig informieren
5. Branche-Spezialisierung, Vertikallösungen für regulierte Branchen (Banken, Gesundheit, Energie) mit angepassten Sicherheits-Profilen

FAQ

Müssen wir als Cloud-Anbieter den Sitz in der EU haben?

Nicht zwingend. NIS2 erfasst Anbieter, die in der EU Dienste anbieten, unabhängig vom Sitz. Zuständig ist bei Cloud-Anbietern der Mitgliedstaat der Hauptniederlassung in der EU, also dort, wo die Entscheidungen zum Cybersicherheits-Risikomanagement vorwiegend getroffen werden (Art. 26 Abs. 1 lit. b und Abs. 2 NIS2, § 60 Abs. 1 und 2 BSIG). Ein Anbieter ohne Niederlassung in der Union muss einen Vertreter benennen, der in einem der Mitgliedstaaten niedergelassen ist, in denen die Dienste angeboten werden (Art. 26 Abs. 3 NIS2, § 60 Abs. 3 BSIG); sitzt dieser Vertreter in Deutschland, ist das BSI zuständig.

Wir sind unter 50 MA: gilt NIS2 trotzdem?

In Standardfällen nein, sofern Jahresumsatz und Jahresbilanzsumme nicht beide über 10 Mio. € liegen. Aber: Vertrauensdiensteanbieter, TLD-Registries, DNS-Diensteanbieter sowie Anbieter öffentlich zugänglicher Telekommunikationsdienste fallen unabhängig von der Größe unter NIS2 (Art. 2 Abs. 2 NIS2, § 28 BSIG). Art. 2 Abs. 2 lit. b bis e NIS2 erlaubt den Mitgliedstaaten zudem, einzelne kleinere Einrichtungen etwa als einzige Anbieter eines Dienstes zu bestimmen; § 28 BSIG sieht eine solche Einzelbestimmung nicht vor. Unabhängig davon können pflichtige Kunden über Verträge Sicherheitsanforderungen stellen: Die direkte Pflicht entfällt, die vertraglichen Anforderungen bleiben.

Reicht ein ISO 27001 für die NIS2-Anforderungen?

ISO 27001 kann einen Teil der NIS2-Maßnahmen abdecken; wie viel, hängt vom Scope des ISMS ab. § 30 Abs. 2 BSIG verlangt, einschlägige europäische und internationale Normen zu berücksichtigen, macht ein Zertifikat aber nicht zum Nachweis. NIS2-spezifische Themen wie die persönliche Geschäftsleitungs-Pflicht oder die Meldepflicht-Fristen sind in ISO 27001 nicht enthalten. Eine Lücken-Analyse ISO 27001 → NIS2-Mindestmaßnahmen ist ein sinnvoller Schritt, um die Restanforderungen zu identifizieren.

Was ist mit Open-Source-SaaS-Anbietern?

Auch Open-Source-basierte SaaS-Anbieter fallen unter NIS2, wenn die Größen-Schwellen erreicht sind. Die Open-Source-Natur des Codes ist kein Sicherheits-Argument per se, entscheidend ist das tatsächliche Betriebs-Sicherheitsniveau des Anbieters. Transparenz des Codes kann Vertrauen schaffen, ist aber kein Ersatz für strukturierte Sicherheits-Maßnahmen.

Müssen wir alle Kunden über NIS2-Folgen aktiv informieren?

Eine allgemeine Pflicht, Kunden über NIS2 zu informieren, gibt es nicht. Es gibt aber anlassbezogene Unterrichtungspflichten: Bei einem erheblichen Sicherheitsvorfall kann das BSI die Unterrichtung der Kunden anordnen (§ 35 Abs. 1 BSIG), und über erhebliche Cyberbedrohungen müssen Cloud-Anbieter als Einrichtungen der digitalen Infrastruktur potenziell betroffene Kunden samt möglicher Abhilfemaßnahmen unverzüglich informieren, wenn deren Interessen überwiegen (§ 35 Abs. 2 BSIG). Darüber hinaus fragen Kunden oft nach NIS2-Tauglichkeit, eine proaktive Kommunikation kann vom Wettbewerb unterscheiden. Ein einseitiger NIS2-Trust-Pager oder ein Whitepaper „So unterstützen wir Sie bei Ihrer NIS2-Compliance" ist günstige Vertriebs-Investition mit hoher Wirkung.