Sicher sein reicht nicht. Du musst es belegen können.
Das NIS2-Umsetzungsgesetz ist seit dem 6. Dezember 2025 in Kraft. Für IT-Dienstleister entsteht daraus weniger ein Technik- als ein Nachweisproblem — und zwar meist über die Kunden, nicht über die eigene Betroffenheit.
NIS2-Umsetzungsgesetz in Kraft, ohne allgemeine Übergangsfrist
Einrichtungen erwartet das BSI unter Aufsicht — statt bisher rund 4.500
Bußgeldrahmen, ausdrücklich auch für fehlende Dokumentation
Einrichtungsart für Managed Service Provider in Anlage 1 BSIG
Das eigentliche Problem ist der Nachweis.
Die meisten Systemhäuser patchen, sichern und überwachen längst. Woran es scheitert, ist der Beleg: rückwirkend, auf einen Stichtag, für einen Prüfer.
Ein Kunde schickt einen Lieferantenfragebogen mit 40 Fragen zur IT-Sicherheit.
Die Frage lautet nicht „patchen Sie?“, sondern „belegen Sie den Patch-Stand zum 31. März“.
Wer wann per Fernwartung auf welchem System war, lässt sich nachträglich kaum rekonstruieren.
Für jede Kundenanfrage wird dieselbe Auswertung neu von Hand zusammengestellt.
Wer eine Ausnahme vom Patchen erlaubt, hat gute Gründe. Aufgeschrieben sind sie nirgends.
Was das BSIG konkret verlangt
Verkürzt auf das, was für IT-Dienstleister praktisch relevant ist. Maßgeblich ist der Gesetzestext.
Registrierung
Binnen drei Monaten über das BSI-Portal, Zugang über Mein Unternehmenskonto. Zu melden sind unter anderem die öffentlichen IP-Adressbereiche. Änderungen innerhalb von zwei Wochen.
Meldung von Vorfällen
24 Stunden für die Frühwarnung, 72 Stunden für die Meldung mit Bewertung, ein Monat für die Abschlussmeldung. Für MSPs gilt die Schwellendefinition der DVO (EU) 2024/2690 unmittelbar.
Risikomanagement
Zehn Maßnahmenbereiche, von Risikoanalyse über Lieferkette und Schwachstellenmanagement bis Mehr-Faktor-Authentifizierung. Und ausdrücklich: die Umsetzung ist zu dokumentieren.
Ob du selbst betroffen bist, kannst du kostenlos und anonym prüfen. Das BSI stellt dafür eine Betroffenheitsprüfung bereit. Das Ergebnis ist rechtlich nicht bindend, gibt aber eine belastbare erste Einschätzung. Zur Prüfung beim BSI
Acht Anforderungen, die im Betrieb ohnehin entstehen
Jede Zeile nennt die Fundstelle, damit du die Aussage prüfen kannst.
Vollständiges, aktuelles Inventar aller Systeme
DVO (EU) 2024/2690, Anhang 12.4
Hardware, Software, Dienste und Konten der verwalteten Endpunkte werden laufend erfasst. Die Inventarhistorie zeigt, was sich wann auf welchem Gerät geändert hat, inklusive Betriebssystem-Supportende.
Schwachstellen- und Patch-Management mit Begründung bei Nichtanwendung
§ 30 Abs. 2 Nr. 5 BSIG, DVO Anhang 6.6
Patch-Stand je Endpunkt mit Zeitstempel, Freigaben mit Entscheider, Ausschlüsse mit Begründung. Das Ganze als PDF-Bericht für den Stichtag.
Protokollierung, insbesondere privilegierter Zugriffe
DVO Anhang 3.2
Jede Fernwartungssitzung steht mit Person, Zeitpunkt und Aktion im Geräteprotokoll. Änderungen an Rechten und Einstellungen im Änderungsprotokoll über 26 Objektarten.
Backup und dokumentierte Wiederherstellungstests
§ 30 Abs. 2 Nr. 3 BSIG, DVO Anhang 4.2
Herstellerübergreifende Überwachung der Sicherungsläufe mit Statusbericht und Meldung fehlgeschlagener Jobs. Den Wiederherstellungstest selbst musst du durchführen — octoja belegt den Zustand, nicht die Übung.
Mehr-Faktor-Authentifizierung und Zugriffskontrolle
§ 30 Abs. 2 Nr. 10 BSIG, DVO Anhang 11.2–11.7
Zwei-Faktor je Konto, Single Sign-on und 17 getrennte Geräteaktionsrechte. Dazu eine Zugriffsübersicht, die zeigt, wer auf welches Gerät zugreifen darf und warum.
Erkennung von Vorfällen für die 24-Stunden-Frühwarnung
§ 32 BSIG, DVO Anhang 3.2.4
Alarmierung mit Servicezeiten je Kanal — nachts per Anruf an die Bereitschaft. Jeder Alarm trägt einen Zeitstempel, der die Meldefrist belegbar macht.
Schutz vor Schadsoftware, Erkennung nicht genehmigter Software
DVO Anhang 6.9
Schutzstatus gängiger Antiviren- und EDR-Produkte. Dazu ein Softwareinventar über den betreuten Bestand.
Konfigurations- und Änderungsmanagement
DVO Anhang 6.3 und 6.4
Konfigurationspakete dienen als Baseline. Prüfungen melden Abweichungen bei Verzeichnisrechten, Dateien und Registry-Werten.
Was octoja ausdrücklich nicht leistet
Ein RMM ist kein Managementsystem. Wer dir NIS2-Konformität aus der Software verspricht, verkauft dir ein Problem. Wir grenzen ab, damit du weißt, worauf du dich verlassen kannst: auf technische Nachweise aus dem Betrieb.
Was Systemhäuser uns dazu fragen
Ist mein Systemhaus selbst NIS2-pflichtig?
Managed Service Provider sind in Anlage 1 des BSIG unter Sektor 6 „Digitale Infrastruktur“ ausdrücklich als Einrichtungsart 6.1.10 genannt. Ob du darunterfällst, entscheidet die Größenschwelle: wichtige Einrichtung ab 50 Beschäftigten oder ab 10 Millionen Euro Umsatz und Bilanzsumme. Viele Systemhäuser liegen darunter — und werden trotzdem über die Lieferkette ihrer Kunden in die Pflicht genommen.
Macht octoja mein Unternehmen NIS2-konform?
Nein, und jeder Anbieter, der das behauptet, verspricht zu viel. NIS2 verlangt ein Managementsystem mit Risikoanalyse, Schulungen und organisatorischen Maßnahmen. octoja liefert die technischen Nachweise aus dem laufenden Betrieb: Patch-Stand, Inventar, Zugriffsprotokolle, Backup-Zustand. Also genau den Teil, der sonst mühsam von Hand zusammengetragen wird.
Was passiert, wenn die Dokumentation fehlt?
§ 30 Abs. 1 Satz 3 BSIG verpflichtet ausdrücklich zur Dokumentation der Maßnahmen. § 65 BSIG stellt Verstöße dagegen unter Bußgeld — bis zu 10 Millionen Euro bei besonders wichtigen und 7 Millionen Euro bei wichtigen Einrichtungen. Es genügt also nicht, sicher zu sein; man muss es belegen können.
Woher weiß ich, ob ich betroffen bin?
Das BSI stellt eine kostenlose und anonyme Betroffenheitsprüfung bereit. Sie ist rechtlich nicht bindend, gibt aber eine belastbare erste Einschätzung.
Diese Seite ist eine Einordnung, keine Rechtsberatung. Maßgeblich sind das BSIG in der Fassung des NIS2-Umsetzungsgesetzes sowie die Durchführungsverordnung (EU) 2024/2690.
Sieh dir die Nachweise an deinem eigenen Bestand an
Im Testzugang rollst du den Agent auf ein paar echten Geräten aus und erzeugst den Patch-Compliance-Bericht mit deinen Daten — die erste Fragebogen-Frage ist damit beantwortet.