NIS2 ohne eigene IT-Abteilung: Geht das pragmatisch?

Der Outsourcing-Pfad für IT-Sicherheit ist regulatorisch zulässig, entbindet die Leitungsorgane aber nicht von Verantwortung und Aufsichtspflicht (Art. 20 NIS2). Dieser Beitrag beschreibt den verbreiteten Rahmen und seine Grenzen, nicht jede Konstellation passt in dieses Modell.

Welche regulatorischen Vorgaben sind einschlägig?

Art. 20 NIS2 verpflichtet die Leitungsorgane wesentlicher und wichtiger Einrichtungen, die Risikomanagement-Maßnahmen nach Art. 21 NIS2 zu billigen, ihre Umsetzung zu überwachen und für etwaige Verstöße zu haften. Die Vorschrift normiert zusätzlich eine Schulungspflicht der Mitglieder der Leitungsorgane; Schulungen für die Beschäftigten sollen die Mitgliedstaaten lediglich anregen (Art. 20 Abs. 2 NIS2). In Deutschland regelt § 38 BSIG die Umsetzungs-, Überwachungs- und Schulungspflicht der Geschäftsleitung.

Die in Art. 21 NIS2 aufgeführten Mindestmaßnahmen umfassen unter anderem Risikoanalyse-Konzepte, Vorfall-Behandlung, Geschäftskontinuität, Lieferketten-Sicherheit, Sicherheit beim Erwerb und der Wartung von Netzwerk- und Informationssystemen, sowie Verschlüsselung und Multi-Faktor-Authentifizierung. Die konkrete Ausgestaltung folgt einem risikobasierten Ansatz.

Für die Auslagerung gibt der BSI-Grundschutz-Baustein OPS.2.3 „Nutzung von Outsourcing“ (IT-Grundschutz-Kompendium Edition 2023, Nachfolger des früheren OPS.2.1) strukturelle Anforderungen vor: Eignungsprüfung des Dienstleisters, vertragliche Festlegung von Sicherheitsanforderungen, regelmäßige Überwachung und definierte Eskalationsmechanismen. Eine reine Auftragsverarbeitungs-Vereinbarung nach Art. 28 DSGVO bildet diese Anforderungen typischerweise nicht vollständig ab.

Welche Konstellation passt zu deinem Unternehmen?

Die Eignung eines vollständigen Outsourcing-Modells hängt von mehreren Faktoren ab:

• Sektor und regulatorische Tiefe: Betreiber kritischer Anlagen unterliegen zusätzlichen Anforderungen (§ 31 BSIG) und einer Nachweispflicht (§ 39 BSIG). Ein vollständiges Outsourcing ohne interne Steuerungskompetenz ist dort schwer tragfähig.
• Vorhandene interne Governance-Strukturen: Auch bei voller operativer Auslagerung muss intern eine Stelle die Steuerung, Berichterstattung und Audit-Vorbereitung verantworten. Die Überwachungspflicht der Geschäftsleitung (§ 38 Abs. 1 BSIG) lässt sich nicht auf den Dienstleister übertragen.

• Komplexität der IT-Landschaft: Bei stark heterogenen oder branchenspezifischen Systemen (z.B. industrielle Steuerungstechnik, medizinische Informationssysteme) kann eine reine externe Steuerung an Grenzen stoßen.
• Vertragliches Sicherheitsniveau bestehender Dienstleister: Bestehende Service-Verträge bilden die NIS2-Mindestmaßnahmen nicht zwingend ab. Eine Vertragsprüfung ist deshalb sinnvoll.

Anbieter verwalteter Sicherheitsdienste (MSSP) gehören zu den in Anhang I NIS2 genannten Sektoren und können selbst NIS2-pflichtig sein, allerdings nur, wenn sie die Größenschwellen erreichen: mindestens 50 Beschäftigte oder Jahresumsatz und Jahresbilanzsumme von jeweils über 10 Mio. € (§ 28 Abs. 2 BSIG). Größenunabhängig erfasst sind nur bestimmte Kategorien: Betreiber kritischer Anlagen, Vertrauensdiensteanbieter, TLD-Registries, DNS-Diensteanbieter sowie Anbieter öffentlich zugänglicher Telekommunikationsdienste und Betreiber öffentlicher Telekommunikationsnetze (§ 28 Abs. 1 und 2 BSIG). Eine Selbstauskunft des Anbieters, ob er selbst NIS2-pflichtig und beim BSI registriert ist (§ 33 BSIG), kann in die Eignungsprüfung einfließen.

Welcher Aufbau-Rahmen ist verbreitet?

Bei nicht vorhandener interner IT-Funktion strukturieren viele KMU ihren NIS2-Rahmen in drei vertraglich abgesicherten Ebenen:

• Interne Compliance-Owner-Funktion: Eine intern benannte Person auf Geschäftsleitungs- oder Prokurist-Ebene fungiert als NIS2-Schnittstelle, dokumentiert Berichte und koordiniert Meldungen an die gemeinsame Meldestelle von BSI und BBK (§ 32 BSIG). Die Schulungspflicht nach § 38 Abs. 3 BSIG trifft die Geschäftsleitung selbst; eine Teilnahme der Schnittstellenperson ersetzt sie nicht.

• Vertragliche Verpflichtung externer Dienstleister auf die einschlägigen Mindestmaßnahmen (Art. 21 NIS2): Sicherheitsniveau (Verschlüsselung, MFA, Backup), Meldepflichten bei Sicherheitsvorfällen mit definierten Eskalationszeiten zur Geschäftsleitung, Audit- und Nachweisrechte (z.B. ISO-27001-Berichte, BSI IT-Grundschutz-Testate oder eigene Audits).

• Dokumentierte Meldekette: Vom Erkennenden (Helpdesk des externen Dienstleisters) über die interne Compliance-Owner-Funktion bis zur Geschäftsleitung; einschließlich Eskalationspfaden für Wochenend- und Urlaubsphasen.

Diese Struktur greift die Anforderungen des BSI-Grundschutz-Bausteins OPS.2.3 „Nutzung von Outsourcing“ auf (Eignungsprüfung, vertragliche Sicherheitsanforderungen, Überwachung), ersetzt aber keine vollständige Umsetzung des Bausteins. Sie schützt nicht automatisch vor Bußgeldern, unterstützt aber die Dokumentation, die § 30 Abs. 1 Satz 3 BSIG verlangt.

Welche Konstellationen erfordern abweichendes Vorgehen?

Der hier skizzierte Outsourcing-Rahmen ist nicht ausreichend, sofern eine der folgenden Konstellationen vorliegt:

• Betreiber kritischer Anlagen: Die Nachweispflichten nach § 39 BSIG (Nachweis alle drei Jahre) und die Anforderungen an die interne Steuerungs- und Nachweisfähigkeit sind durch reine Auslagerung regelmäßig nicht erfüllbar.
• Hochkritische Sektoren mit branchenspezifischen Vorgaben (Energie nach EnWG, Finanzwesen nach DORA, Krankenhäuser nach § 391 SGB V, der den aufgehobenen § 75c SGB V abgelöst hat): Für Energieunternehmen nach §§ 5c bis 5e EnWG und DORA-Finanzunternehmen treten die sektoralen Regeln an die Stelle wesentlicher BSIG-Pflichten (§ 28 Abs. 5 und 6 BSIG); Krankenhäuser haben mit § 391 SGB V eigene IT-Sicherheitsvorgaben. Eine sektorspezifische Prüfung ist hier angezeigt.

• Verarbeitung großer Mengen besonderer Datenkategorien nach Art. 9 DSGVO: Die Anforderungen aus Art. 28 und Art. 32 DSGVO erhöhen die Anforderungen an Auswahl, vertragliche Bindung und Kontrolle des Dienstleisters; sektorspezifische Vorgaben können weitere Grenzen ziehen.
• Vorhandene Konzern-Compliance-Struktur: Bei Konzern-Töchtern ist die Einbindung in das Konzern-ISMS regelmäßig vorrangig und in der Wirkung anders als ein eigenständiges Outsourcing-Modell.
• Komplexe, eigene Systementwicklung oder kritische Produktionssteuerungs-Systeme: Reine Auslagerung ohne intern verfügbare technische Steuerungs-Kompetenz ist im Regelfall nicht tragfähig.

Nächster Schritt

Eine erste strukturierte Einordnung der Pflichtenlage liefert der NIS2-Scope-Check. Er ist Ausgangspunkt für die anschließende Vertragsprüfung und für die Strukturierung der internen Compliance-Owner-Funktion.

Bei nicht vorhandener interner IT-Funktion ist eine begleitende Beratung durch eine spezialisierte IT-Sicherheits- oder Rechtsberatung, insbesondere für die initiale Vertragsrevision und die Bestimmung der konkreten Mindestmaßnahmen, regelmäßig sinnvoll. Die hier dargestellten Informationen sind redaktionell aufbereitet und ersetzen keine Rechtsberatung im Einzelfall.

Welche Maßnahmen Art. 21 Abs. 2 NIS2 bzw. § 30 Abs. 2 BSIG konkret umfassen, ist Gegenstand des Hintergrund-Artikels: Die zehn Mindestmaßnahmen kompakt.