Nicht betroffen — und trotzdem in der Pflicht.
Die meisten Systemhäuser liegen unter der Größenschwelle und müssen sich nicht beim BSI registrieren. Der Durchgriff kommt nicht von der Aufsicht, sondern vom Kunden — über den Vertrag.
Warum die Pflicht bei dir ankommt, obwohl sie deine Kunden trifft
Betroffene Einrichtungen müssen die Sicherheit ihrer Lieferkette steuern. Das ist einer der zehn Maßnahmenbereiche aus § 30 Abs. 2 BSIG. Sie können diese Pflicht nicht abgeben, indem sie die IT auslagern — die Verantwortung bleibt bei ihnen.
Also geben sie die Anforderung weiter. Nicht als Bitte, sondern als Vertragsklausel: Für die von der Durchführungsverordnung erfassten Einrichtungsarten schreibt sie genau das vor.
In jedem Fall sollten besonders wichtige und wichtige Einrichtungen ihre Zulieferer vertraglich zur Einhaltung von Sicherheitsmaßnahmen verpflichten und sich dies auch nachweisen lassen.
Auch wenn die IT komplett ausgelagert ist, bleiben Sie selbst verantwortlich. Verträge allein genügen nicht — die Geschäftsleitung bleibt in der Pflicht.
Was dadurch auf deinem Tisch landet
Meist nicht als juristisches Schreiben, sondern als Tabelle mit Fristsetzung.
Ein Lieferantenfragebogen mit Fragen, die eine Auswertung über den gesamten betreuten Bestand verlangen.
Die Bitte um einen Nachweis über den Patch-Stand zu einem zurückliegenden Stichtag.
Eine Vertragsergänzung mit Meldefristen, die du technisch einhalten können musst.
Die Forderung nach einem Prüfrecht oder nach regelmäßigen Prüfberichten.
Die Frage, wer bei dir auf die Systeme des Kunden zugreifen darf — und wie das belegt wird.
Sechs Punkte, die dein Kunde vereinbaren muss
Aufgeführt in Anhang 5.1.4 der Durchführungsverordnung (EU) 2024/2690. Rechts steht, womit octoja die Antwort belegbar macht.
Cybersicherheitsanforderungen
Was du technisch umsetzt, lässt sich aus dem laufenden Betrieb belegen statt aus einer Selbstauskunft.
Unverzügliche Meldung von Vorfällen
Alarmierung mit Servicezeiten je Kanal und Zeitstempel je Meldung — die Grundlage, um eine 24-Stunden-Frist überhaupt einhalten zu können.
Recht auf Prüfung oder auf Erhalt von Prüfberichten
Berichte lassen sich terminiert und je Kunde erzeugen. Dein Auftraggeber bekommt den Nachweis, ohne dass jemand Screenshots zusammenstellt.
Qualifikation und Zuverlässigkeit des eingesetzten Personals
Wer auf welches System zugreifen darf, ist über Gruppen und 17 Geräteaktionsrechte geregelt und in der Zugriffsübersicht nachvollziehbar.
Behebung von Schwachstellen
Patch-Stand je Endpunkt. Freigaben mit Entscheider und Zeitstempel. Ausnahmen mit hinterlegter Begründung.
Ein laufend aktuelles Verzeichnis der Anbieter und Systeme
Das Inventar wird automatisch erfasst und führt eine Änderungshistorie — inklusive Betriebssystem-Supportende.
Dieselbe Pflicht ist dein Verkaufsargument.
Deine Kunden müssen Nachweise beibringen und wissen oft nicht, wie. Wer das liefern kann, verkauft keine Fernwartung mehr, sondern Nachweisfähigkeit.
Lieferantenfragebögen fragen regelmäßig nach Schwachstellen- und Patchmanagement. Genau diesen Bereich der Dokumentationspflicht aus § 30 Abs. 1 Satz 3 BSIG deckt ein Patch-Compliance-Bericht ab, der monatlich automatisch beim Kunden im Postfach liegt. Zugleich beantwortet er die Frage, warum dein Vertrag seinen Preis wert ist.
Der Fragebogen liegt schon auf dem Tisch? Beantworte ihn aus dem System.
Im Testzugang erzeugst du die Berichte mit deinen eigenen Geräten und siehst, welche Fragen sich damit abdecken lassen — und welche nicht.