Nicht betroffen — und trotzdem in der Pflicht.
Die meisten Systemhäuser liegen unter der Größenschwelle und müssen sich nicht beim BSI registrieren. Der Durchgriff kommt nicht von der Aufsicht, sondern vom Kunden — über den Vertrag.
Warum die Pflicht bei Ihnen ankommt, obwohl sie Ihren Kunden trifft
Betroffene Einrichtungen müssen die Sicherheit ihrer Lieferkette steuern. Das ist einer der zehn Maßnahmenbereiche aus § 30 Abs. 2 BSIG. Sie können diese Pflicht nicht abgeben, indem sie die IT auslagern — die Verantwortung bleibt bei ihnen.
Also geben sie die Anforderung weiter. Nicht als Bitte, sondern als Vertragsklausel, weil die Durchführungsverordnung genau das vorschreibt.
In jedem Fall sollten besonders wichtige und wichtige Einrichtungen ihre Zulieferer vertraglich zur Einhaltung von Sicherheitsmaßnahmen verpflichten und sich dies auch nachweisen lassen.
Auch wenn die IT komplett ausgelagert ist, bleiben Sie selbst verantwortlich. Verträge allein genügen nicht — die Geschäftsleitung bleibt in der Pflicht.
Was dadurch auf Ihrem Tisch landet
Meist nicht als juristisches Schreiben, sondern als Tabelle mit Fristsetzung.
Ein Lieferantenfragebogen mit Fragen, die eine Auswertung über den gesamten betreuten Bestand verlangen.
Die Bitte um einen Nachweis über den Patch-Stand zu einem zurückliegenden Stichtag.
Eine Vertragsergänzung mit Meldefristen, die Sie technisch einhalten können müssen.
Die Forderung nach einem Prüfrecht oder nach regelmäßigen Prüfberichten.
Die Frage, wer bei Ihnen auf die Systeme des Kunden zugreifen darf — und wie das belegt wird.
Sechs Punkte, die Ihr Kunde vereinbaren muss
Aufgeführt in Anhang 5.1.4 der Durchführungsverordnung (EU) 2024/2690. Rechts steht, womit octoja die Antwort belegbar macht.
Cybersicherheitsanforderungen
Was Sie technisch umsetzen, lässt sich aus dem laufenden Betrieb belegen statt aus einer Selbstauskunft.
Unverzügliche Meldung von Vorfällen
Alarmierung mit Servicezeiten je Kanal und Zeitstempel je Meldung — die Grundlage, um eine 24-Stunden-Frist überhaupt einhalten zu können.
Recht auf Prüfung oder auf Erhalt von Prüfberichten
Berichte lassen sich terminiert und je Kunde erzeugen. Ihr Auftraggeber bekommt den Nachweis, ohne dass jemand Screenshots zusammenstellt.
Qualifikation und Zuverlässigkeit des eingesetzten Personals
Wer auf welches System zugreifen darf, ist über Gruppen und 17 Geräteaktionsrechte geregelt und in der Zugriffsübersicht nachvollziehbar.
Behebung von Schwachstellen
Patch-Stand je Endpunkt, Freigaben mit Entscheider und Zeitstempel, Ausnahmen mit hinterlegter Begründung.
Laufend aktuelles Verzeichnis der eingesetzten Anbieter und Systeme
Das Inventar wird automatisch erfasst und führt eine Änderungshistorie — inklusive Betriebssystem-Supportende.
Dieselbe Pflicht ist Ihr Verkaufsargument.
Ihre Kunden müssen Nachweise beibringen und wissen oft nicht, wie. Wer das liefern kann, verkauft keine Fernwartung mehr, sondern Nachweisfähigkeit.
Ein Patch-Compliance-Bericht, der monatlich automatisch beim Kunden im Postfach liegt, beantwortet dessen Dokumentationspflicht aus § 30 Abs. 1 Satz 3 BSIG — und beantwortet zugleich die Frage, warum Ihr Vertrag seinen Preis wert ist.
Beantworten Sie den nächsten Fragebogen aus dem System
Im Testzugang erzeugen Sie die Berichte mit Ihren eigenen Geräten und sehen, welche Fragen sich damit abdecken lassen — und welche nicht.