NIS2 für Cloud- und SaaS-Anbieter: was ist anders?

Doppel-Rolle: Anbieter und Lieferant

Cloud- und SaaS-Anbieter haben in der NIS2-Welt zwei Rollen, die getrennt zu betrachten sind:

Anbieter-Side (direkte Betroffenheit):

• Eigene NIS2-Mindestmaßnahmen nach Art. 21
• Eigene Meldepflicht nach Art. 23
• Eigene Registrierung beim BSI
• Eigene Geschäftsleitungs-Verantwortung nach Art. 20

Customer-Side (Lieferanten-Rolle):

• NIS2-pflichtige Kunden müssen ihre Lieferketten-Sicherheit nach Art. 21 lit. d) gewährleisten
• Das heißt: der Anbieter muss seinen Kunden Nachweise und Garantien liefern können
• Vertragliche Klauseln zu Sicherheit, Audit-Rechten, Vorfallsmeldung werden Standard

In der Praxis bedeutet das: ein NIS2-konformes Sicherheitsniveau hilft nicht nur bei der eigenen Compliance, sondern wird zum Wettbewerbsvorteil im B2B-Vertrieb. Anbieter ohne klar nachgewiesene NIS2-Compliance werden zunehmend aus Ausschreibungen herausfallen.

Welche Cloud-Dienste fallen unter Anhang I?

Anhang I NIS2 listet in der digitalen Infrastruktur explizit:

• Anbieter von Cloud-Computing-Dienstleistungen
• Anbieter von Rechenzentrumsdienstleistungen
• Anbieter von Content Delivery Networks
• DNS-Anbieter, TLD-Registries, IXPs
• Anbieter öffentlicher elektronischer Kommunikationsnetze und -dienste
• Qualifizierte Vertrauensdiensteanbieter

Die Größen-Ausnahme entfällt für mehrere dieser Kategorien, qualifizierte Vertrauensdiensteanbieter, TLD-Registries und DNS-Anbieter sind unabhängig von der Größe erfasst. Cloud- und SaaS-Anbieter müssen die Standard-Schwellen (50 MA / 10 Mio. € Umsatz) überschreiten, um direkt erfasst zu werden.

BSI C5: Der etablierte Cloud-Sicherheits-Katalog

Der BSI Cloud-Computing C5 ist der wichtigste deutsche Standard für Cloud-Sicherheit. Er deckt 17 Themenfelder mit über 100 Kriterien ab, von Organisationssicherheit bis hin zu Geräte- und Netzwerk-Sicherheit.

C5 hat zwei Anwendungs-Modi:

• C5 Type 1, Beschreibung des Sicherheitsmanagements und der Maßnahmen zu einem Stichtag
• C5 Type 2, wie Type 1 plus Wirksamkeits-Test über einen Zeitraum (typisch 6-12 Monate)

Für NIS2-Compliance ist Type 2 die belastbarere Variante. Sie wird von vielen Aufsichts-relevanten Kunden (Banken nach DORA, Versicherer, kritische Infrastrukturen) eingefordert.

C5 ist nicht direkt NIS2-konform, aber die Überdeckung mit Art. 21 NIS2 ist sehr hoch. Wer C5 hat, erfüllt etwa 80 % der NIS2-Mindestmaßnahmen substantiell.

Pflicht-Bereiche für Cloud-/SaaS-Anbieter

Die folgenden Maßnahmen-Bereiche müssen Cloud- und SaaS-Anbieter besonders aufmerksam adressieren:

Mandanten-Trennung (Multi-Tenancy):

• Saubere Isolation zwischen Kunden auf Compute-, Storage- und Netzwerk-Ebene
• Verhinderung von Cross-Tenant-Leaks
• Auditierbarkeit der Mandanten-Grenzen

Datenverschlüsselung:

• At-rest, in-transit, idealerweise in-use
• Bring-Your-Own-Key (BYOK) und Hold-Your-Own-Key (HYOK) als Premium-Optionen
• Schlüsselverwaltung mit Hardware Security Modules (HSM)

Identitäts- und Zugriffsmanagement:

• Multi-Faktor-Authentifizierung für Kunden- und Mitarbeiter-Zugänge
• Privileged Access Management für Admin-Zugriffe auf die Plattform
• Audit-Trail aller Admin-Aktivitäten

Incident-Response mit Customer-Notification:

• Vorfälle, die einen Kunden betreffen, müssen diesem zeitnah gemeldet werden
• Vertragliche SLAs zur Meldung (typisch 24-72h, je nach Severity)
• Kunden müssen ihre Lieferanten-Meldungen in eigenen BSI-Meldungen verarbeiten können

Audit-Rechte:

• Kunden in regulierten Branchen brauchen Audit-Rechte oder zumindest Audit-Berichte
• C5-Bericht, SOC-2-Bericht, ISO-27001-Zertifikat sind etablierte Lösungen

Customer-Side: Anforderungen aus dem Vertrag

Wenn NIS2-pflichtige Kunden einen Cloud- oder SaaS-Anbieter wählen, prüfen sie zunehmend Vertragsklauseln zu:

Diese Klauseln werden zunehmend zum „Standard B2B-Cloud-Vertrag". Anbieter, die sie nicht akzeptieren oder nicht erfüllen können, verlieren Ausschreibungen.

Subdienstleister-Kette: Wer haftet wofür?

Cloud-Anbieter nutzen selbst oft Subdienstleister, Hyperscaler als Infrastruktur, externe SOC-Provider, Drittpartei-Datenbanken. Diese Subdienstleister-Kette wird unter NIS2 transparent.

Die Vertrags-Standard-Klauseln:

• Liste der Subdienstleister mit Funktion und Datenfluss-Beschreibung
• Vorab-Informationspflicht bei Wechsel, typisch 30-60 Tage Vorlauf

Detail

• Equivalent-Sicherheit, Subdienstleister müssen mindestens das gleiche Niveau wie der Hauptanbieter erfüllen
• Audit-Durchgriff, Audit-Rechte des Kunden müssen sich auf Subdienstleister erstrecken (in der Praxis schwierig, oft über Auditberichte des Hauptanbieters)

Für NIS2-pflichtige Kunden ist diese Kettenpflicht oft die größte Herausforderung. Lösung: Vertragsstandards mit klaren Anforderungen und Eskalations-Rechten.

Praxis: NIS2-Tauglichkeit als Vertriebs-Argument

Strategische Schritte:

1. C5-Zertifizierung oder vergleichbare Standards als Markt-Eintrittskarte etablieren
2. NIS2-Whitepaper für Kunden veröffentlichen, eigene Maßnahmen erklären, Kunden in der eigenen Compliance unterstützen
3. Vertragsstandards modular gestalten, Basis-Paket plus „NIS2-Premium-Pack" mit erweiterten Audit-Rechten
4. Roadmap-Kommunikation, bei zukünftigen Verschärfungen (Implementing Acts, AI Act) frühzeitig informieren
5. Branche-Spezialisierung, Vertikallösungen für regulierte Branchen (Banken, Gesundheit, Energie) mit angepassten Sicherheits-Profilen

FAQ

Müssen wir als Cloud-Anbieter den Sitz in der EU haben?

Nicht zwingend. NIS2 erfasst Anbieter, die in der EU Dienste anbieten, unabhängig von der Hauptniederlassung. Anbieter aus Nicht-EU-Staaten müssen aber einen EU-Vertreter benennen (Art. 26 NIS2). In der Praxis bedeutet das: ein US-Anbieter braucht einen EU-Niederlassungsoffizier, der für die NIS2-Aufsicht erreichbar ist.

Wir sind unter 50 MA: gilt NIS2 trotzdem?

In Standardfällen nein. Aber: Anbieter qualifizierter Vertrauensdienste, TLD-Registries und DNS-Anbieter fallen unabhängig von der Größe unter NIS2 (Art. 2 Abs. 2). Plus: Mitgliedsstaaten können kleine Anbieter über die kritische-Anbieter-Klausel einbeziehen. Plus: ihr werdet durch eure Kunden über Vertragspflichten faktisch NIS2-konform geführt, die direkte Pflicht entfällt, die Markt-Pflicht bleibt.

Reicht ein ISO 27001 für die NIS2-Anforderungen?

ISO 27001 deckt einen großen Teil der NIS2-Maßnahmen ab, etwa 70-80 %. NIS2-spezifische Themen wie die persönliche Geschäftsleitungs-Pflicht oder die Meldepflicht-Fristen sind in ISO 27001 nicht enthalten. Eine Lücken-Analyse ISO 27001 → NIS2-Mindestmaßnahmen ist Pflicht-Schritt, um die Restanforderungen zu identifizieren.

Was ist mit Open-Source-SaaS-Anbietern?

Auch Open-Source-basierte SaaS-Anbieter fallen unter NIS2, wenn die Größen-Schwellen erreicht sind. Die Open-Source-Natur des Codes ist kein Sicherheits-Argument per se, entscheidend ist das tatsächliche Betriebs-Sicherheitsniveau des Anbieters. Transparenz des Codes kann Vertrauen schaffen, ist aber kein Ersatz für strukturierte Sicherheits-Maßnahmen.

Müssen wir alle Kunden über NIS2-Folgen aktiv informieren?

Eine proaktive Informationspflicht gibt es nicht. Aber: viele Kunden werden aktiv nach NIS2-Tauglichkeit fragen, und eine proaktive Kommunikation zeigt Reife und differenziert vom Wettbewerb. Ein einseitiger NIS2-Trust-Pager oder ein Whitepaper „So unterstützen wir Sie bei Ihrer NIS2-Compliance" ist günstige Vertriebs-Investition mit hoher Wirkung.