Sicher sein reicht nicht. Sie müssen es belegen können.
Das NIS2-Umsetzungsgesetz ist seit dem 6. Dezember 2025 in Kraft. Für IT-Dienstleister entsteht daraus weniger ein Technik- als ein Nachweisproblem — und zwar meist über die Kunden, nicht über die eigene Betroffenheit.
NIS2-Umsetzungsgesetz in Kraft, ohne allgemeine Übergangsfrist
Einrichtungen erwartet das BSI unter Aufsicht — statt bisher rund 4.500
Bußgeldrahmen, ausdrücklich auch für fehlende Dokumentation
Einrichtungsart für Managed Service Provider in Anlage 1 BSIG
Das eigentliche Problem ist der Nachweis.
Die meisten Systemhäuser patchen, sichern und überwachen längst. Woran es scheitert, ist der Beleg — rückwirkend, auf einen Stichtag, für einen Prüfer.
Ein Kunde schickt einen Lieferantenfragebogen mit 40 Fragen zur IT-Sicherheit.
Die Frage lautet nicht „patchen Sie?“, sondern „belegen Sie den Patch-Stand zum 31. März“.
Wer wann per Fernwartung auf welchem System war, lässt sich nachträglich kaum rekonstruieren.
Für jede Kundenanfrage wird dieselbe Auswertung neu von Hand zusammengestellt.
Ausnahmen vom Patchen sind fachlich begründet — aber nirgends dokumentiert.
Was das BSIG konkret verlangt
Verkürzt auf das, was für IT-Dienstleister praktisch relevant ist. Maßgeblich ist der Gesetzestext.
Registrierung
Binnen drei Monaten über das BSI-Portal, Zugang über Mein Unternehmenskonto. Zu melden sind unter anderem die öffentlichen IP-Adressbereiche. Änderungen innerhalb von zwei Wochen.
Meldung von Vorfällen
24 Stunden für die Frühwarnung, 72 Stunden für die Meldung mit Bewertung, ein Monat für die Abschlussmeldung. Für MSPs gilt die Schwellendefinition der DVO (EU) 2024/2690 unmittelbar.
Risikomanagement
Zehn Maßnahmenbereiche, von Risikoanalyse über Lieferkette und Schwachstellenmanagement bis Mehr-Faktor-Authentifizierung. Und ausdrücklich: die Umsetzung ist zu dokumentieren.
Ob Sie selbst betroffen sind, können Sie kostenlos und anonym prüfen. Das BSI stellt dafür eine Betroffenheitsprüfung bereit — rechtlich nicht bindend, aber eine belastbare erste Einschätzung. Zur Prüfung beim BSI
Acht Anforderungen, die im Betrieb ohnehin entstehen
Jede Zeile nennt die Fundstelle, damit Sie die Aussage prüfen können.
Vollständiges, aktuelles Inventar aller Systeme
DVO (EU) 2024/2690, Anhang 12.4
Hardware, Software, Dienste und Konten werden laufend erfasst. Die Inventarhistorie zeigt im Vergleich, was sich wann auf welchem Gerät geändert hat — inklusive Betriebssystem-Supportende.
Schwachstellen- und Patch-Management mit Begründung bei Nichtanwendung
§ 30 Abs. 2 Nr. 5 BSIG, DVO Anhang 6.6
Patch-Stand je Endpunkt mit Zeitstempel, dokumentierte Freigaben mit Entscheider, Ausschlüsse mit hinterlegter Begründung. Als PDF-Bericht für den Stichtag.
Protokollierung, insbesondere privilegierter Zugriffe
DVO Anhang 3.2
Jede Fernwartungssitzung steht mit Person, Zeitpunkt und Aktion im Geräteprotokoll. Änderungen an Rechten und Einstellungen im Änderungsprotokoll über 26 Objektarten.
Backup und dokumentierte Wiederherstellungstests
§ 30 Abs. 2 Nr. 3 BSIG, DVO Anhang 4.2
Herstellerübergreifende Überwachung der Sicherungsläufe mit Statusbericht und Meldung fehlgeschlagener Jobs. Den Wiederherstellungstest selbst müssen Sie durchführen — octoja belegt den Zustand, nicht die Übung.
Mehr-Faktor-Authentifizierung und Zugriffskontrolle
§ 30 Abs. 2 Nr. 10 BSIG, DVO Anhang 11.2–11.7
Zwei-Faktor je Konto, Single Sign-on, 17 getrennte Geräteaktionsrechte und eine Zugriffsübersicht, die auflöst, wer auf welches Gerät zugreifen darf und warum.
Erkennung von Vorfällen für die 24-Stunden-Frühwarnung
§ 32 BSIG, DVO Anhang 3.2.4
Alarmierung mit Servicezeiten je Kanal — nachts per Anruf an die Bereitschaft. Jeder Alarm trägt einen Zeitstempel, der die Meldefrist belegbar macht.
Schutz vor Schadsoftware, Erkennung nicht genehmigter Software
DVO Anhang 6.9
Schutzstatus gängiger Antiviren- und EDR-Produkte, dazu ein Softwareinventar über den gesamten Bestand.
Konfigurations- und Änderungsmanagement
DVO Anhang 6.3 und 6.4
Konfigurationspakete als Baseline, Prüfungen auf Abweichung bei Verzeichnisrechten, Dateien und Registry-Werten.
Was octoja ausdrücklich nicht leistet
Ein RMM ist kein Managementsystem. Wer Ihnen NIS2-Konformität aus der Software verspricht, verkauft Ihnen ein Problem.
Was Systemhäuser uns dazu fragen
Ist mein Systemhaus selbst NIS2-pflichtig?
Managed Service Provider sind in Anlage 1 des BSIG unter Sektor 6 „Digitale Infrastruktur“ ausdrücklich als Einrichtungsart 6.1.10 genannt. Ob Sie darunterfallen, entscheidet die Größenschwelle: wichtige Einrichtung ab 50 Beschäftigten oder ab 10 Millionen Euro Umsatz und Bilanzsumme. Viele Systemhäuser liegen darunter — und werden trotzdem über die Lieferkette ihrer Kunden in die Pflicht genommen.
Macht octoja mein Unternehmen NIS2-konform?
Nein, und jeder Anbieter, der das behauptet, verspricht zu viel. NIS2 verlangt ein Managementsystem mit Risikoanalyse, Schulungen und organisatorischen Maßnahmen. octoja liefert die technischen Nachweise aus dem laufenden Betrieb — Patch-Stand, Inventar, Zugriffsprotokolle, Backup-Zustand — also genau den Teil, der sonst mühsam von Hand zusammengetragen wird.
Was passiert, wenn die Dokumentation fehlt?
§ 30 Abs. 1 Satz 3 BSIG verpflichtet ausdrücklich zur Dokumentation der Maßnahmen. § 65 BSIG stellt Verstöße dagegen unter Bußgeld — bis zu 10 Millionen Euro bei besonders wichtigen und 7 Millionen Euro bei wichtigen Einrichtungen. Es genügt also nicht, sicher zu sein; man muss es belegen können.
Woher weiß ich, ob ich betroffen bin?
Das BSI stellt eine kostenlose und anonyme Betroffenheitsprüfung bereit. Sie ist rechtlich nicht bindend, gibt aber eine belastbare erste Einschätzung.
Diese Seite ist eine Einordnung, keine Rechtsberatung. Maßgeblich sind das BSIG in der Fassung des NIS2-Umsetzungsgesetzes sowie die Durchführungsverordnung (EU) 2024/2690.
Sehen Sie die Nachweise an Ihrem eigenen Bestand
Im Testzugang rollen Sie den Agent auf ein paar echten Geräten aus und erzeugen den Patch-Compliance-Bericht mit Ihren Daten.