NIS2-Checkliste für IT-Dienstleister
NIS2 ist die EU-Richtlinie, die den Kreis der Organisationen erweitert hat, die Cyberrisiken steuern und Vorfälle melden müssen. Für IT-Dienstleister zählt sie doppelt: Viele fallen unmittelbar darunter, und fast alle werden mittelbar über die Lieferkettenpflichten ihrer Kunden hineingezogen.
Veröffentlicht am 7. August 2026
Dieser Artikel dient der Information und ist keine Rechtsberatung. NIS2 wird von jedem EU-Mitgliedstaat in nationales Recht umgesetzt; was für Sie gilt, hängt von Ihrer Branche, Ihrer Größe und dem Land ab, in dem Sie tätig sind. Lassen Sie Ihre Pflichten rechtlich prüfen, bevor Sie sich auf diese Darstellung stützen.
Was NIS2 tatsächlich ist
NIS2 ist die Richtlinie (EU) 2022/2555, die die ursprüngliche NIS-Richtlinie abgelöst hat. Sie setzt einen Mindeststandard an Maßnahmen zum Risikomanagement und Meldepflichten für Organisationen in definierten Sektoren und hat sowohl die Sektorenliste als auch die erfasste Organisationsgröße deutlich ausgeweitet.
Eine Richtlinie bindet Unternehmen nicht unmittelbar. Jeder Mitgliedstaat setzt sie in nationales Recht um, weshalb die Details — die genauen Schwellen, der Meldeweg, die Aufsichtsbehörde, die Sanktionen — vom Land Ihrer Tätigkeit abhängen. Die Umsetzungsfrist für die Mitgliedstaaten endete am 17. Oktober 2024; das Tempo der nationalen Umsetzung fällt unterschiedlich aus.
Zwei Dinge lohnt es sich zu verinnerlichen. Erstens geht es um Prozesse, nicht um Produkte: Die Richtlinie verlangt, Risiken zu steuern, nicht eine bestimmte Softwarekategorie zu kaufen. Zweitens sind Leitungsorgane ausdrücklich dafür verantwortlich, die Maßnahmen zu billigen und zu überwachen — das verlässt den Schreibtisch der IT-Abteilung.
Wer betroffen ist
Die Richtlinie unterscheidet wesentliche von wichtigen Einrichtungen. Beide müssen dieselben grundlegenden Sicherheitsanforderungen erfüllen; der Unterschied liegt vor allem in der Aufsicht — wesentliche Einrichtungen werden proaktiv beaufsichtigt, wichtige weitgehend anlassbezogen.
Der Anwendungsbereich ergibt sich aus Sektor und Größe zusammen. Die Sektoren stehen in den Anhängen der Richtlinie und umfassen unter anderem Energie, Verkehr, Bankwesen, Gesundheit, Wasser, öffentliche Verwaltung, digitale Infrastruktur und die Verwaltung von IKT-Diensten. Die Größenschwellen erfassen in der Regel mittlere Organisationen und größere, einzelne Sektoren unabhängig von der Größe.
Managed Service Provider und Managed Security Service Provider sind in den Sektorenlisten ausdrücklich genannt — anders als im vorherigen Regime. Wenn Sie fremde IT betreiben, sollten Sie Ihre Einordnung sauber prüfen lassen, statt anzunehmen, zu klein zu sein.
Der Lieferketteneffekt
Auch wo ein Dienstleister nicht unmittelbar erfasst ist, erreicht ihn NIS2 wirtschaftlich. Erfasste Organisationen müssen die Sicherheit ihrer Lieferkette adressieren, einschließlich ihrer unmittelbaren Lieferanten und Dienstleister. Deren am höchsten privilegierter Lieferant ist meist derjenige, der ihre Endgeräte administriert.
Praktisch kommt das als Fragebogen, Vertragsklausel oder Auditanfrage. Kunden fragen, wie Sie den Zugriff auf ihre Systeme kontrollieren, wie schnell Sie patchen, was Sie protokollieren und wie schnell Sie über einen Vorfall informieren würden. Wer das mit Nachweisen statt mit Zusicherungen beantworten kann, hat einen geschäftlichen Vorteil, lange bevor eine Rechtspflicht greift.
Das ist die nützliche Perspektive für Dienstleister: Bereiten Sie sich vor, weil Ihre Kunden fragen werden, nicht nur weil eine Behörde fragen könnte.
Eine Checkliste mit zwölf Punkten
Diese Punkte bilden die Risikomanagement-Maßnahmen der Richtlinie ab. Sie sind eine Ausgangsstruktur für das Gespräch mit Ihrer Rechtsberatung und Ihren Kunden, kein Compliance-Nachweis.
- 1
Vollständiges Asset-Inventar führen
Was Sie nicht kennen, können Sie nicht absichern. Hardware, Betriebssysteme, installierte Software und Verantwortliche, automatisch aktuell gehalten statt in einer alternden Tabelle.
Wo RMM-Werkzeuge helfen: Kernfunktion eines RMM. Agenten melden das Inventar fortlaufend, wodurch aus dem Bestandsverzeichnis eine Live-Sicht wird statt einer Jahresübung.
- 2
Patch- und Schwachstellenmanagement
Ein definierter Prozess, um von Schwachstellen zu erfahren, zu entscheiden, zu verteilen und zu prüfen — mit Fristen nach Schweregrad und dem Nachweis, dass sie eingehalten wurden.
Wo RMM-Werkzeuge helfen: Zentrale Freigabe-Warteschlangen, Verteilringe und Prüfung je Gerät. Schweregradbasierte SLA-Verfolgung macht aus „wir patchen regelmäßig“ eine belegbare Zahl.
- 3
Zugriffskontrolle und Mehrfaktor-Authentifizierung
Minimalprinzip für administrative Konten, MFA für alles, was Kundensysteme erreicht, und ein dokumentierter Prozess für Eintritt, Wechsel und Austritt.
Wo RMM-Werkzeuge helfen: Rollenbasierte Rechte in der Konsole, SSO gegen Ihren Identitätsanbieter und erzwungene Zwei-Faktor-Authentifizierung für Bediener.
- 4
Monitoring und Alarmierung
Auffällige Zustände erkennen und darauf reagieren, mit Alarmen, die ein Mensch tatsächlich liest, und einem definierten Weg vom Alarm zur zuständigen Person.
Wo RMM-Werkzeuge helfen: Sensoren für Auslastung, Dienste, Ereignisprotokolle und Erreichbarkeit, mit Benachrichtigungskanälen in die Werkzeuge, die Ihr Team ohnehin beobachtet.
- 5
Protokollierung und Audit-Trail
Nachvollziehen, wer wann was getan hat — auf den Endgeräten wie im Verwaltungswerkzeug selbst, mit einer Aufbewahrung, die zur Rekonstruktion eines Vorfalls reicht.
Wo RMM-Werkzeuge helfen: Ein ausschließlich anfügendes Audit-Log der Konsolenaktionen mit Akteur, Objekt, Zeitstempel und IP-Adresse, dazu konfigurierbare Aufbewahrung.
- 6
Vorfallsbehandlung und Meldung
Ein schriftliches Verfahren mit Rollen und das Bewusstsein für die Fristen: eine Frühwarnung binnen 24 Stunden, eine ausführlichere Meldung binnen 72 Stunden und ein Abschlussbericht binnen eines Monats nach dem Schema der Richtlinie.
Wo RMM-Werkzeuge helfen: Alarme und Audit-Daten verkürzen Erkennung und Rekonstruktion. Das Verfahren, die Entscheidung und die Meldung selbst bleiben menschliche Arbeit.
- 7
Backup, Wiederherstellung und Fortführung
Sicherungen, die existieren, wo nötig offline oder unveränderlich sind und — der meist übersprungene Teil — deren Wiederherstellung tatsächlich getestet wurde.
Wo RMM-Werkzeuge helfen: Ein RMM ist kein Backup-Produkt und hält Ihre Daten nicht. Es kann überwachen, ob Sicherungsjobs gelaufen sind, und melden, wenn nicht — ein echter, aber begrenzter Beitrag.
- 8
Härtung der Endgeräte
Reduzieren, was ausgeführt und angeschlossen werden kann: Application Control, Richtlinien für Wechselmedien und das Abschalten des Ungenutzten.
Wo RMM-Werkzeuge helfen: Allowlisting ausführbarer Dateien und USB-Gerätesteuerung per Richtlinie, mit zentral sichtbaren Abweichungen.
- 9
Verschlüsselung und sichere Kommunikation
Verschlüsselung bei Übertragung und, wo angemessen, im Ruhezustand, dazu eine Richtlinie, welche Daten in welche Kategorie fallen.
Wo RMM-Werkzeuge helfen: Verschlüsselte Kommunikation zwischen Agent und Server sowie signierte Agents, damit nachprüfbar ist, dass Sie verteilen, was Sie gebaut haben.
- 10
Lieferanten- und Lieferkettensicherheit
Die Sicherheit Ihrer eigenen Lieferanten bewerten und darauf vorbereitet sein, dieselben Fragen von Kunden zu beantworten. Vertragsklauseln zu Meldung und Zugriff gehören hierher.
Wo RMM-Werkzeuge helfen: Mittelbar: Eine prüfbare Werkzeugkette und exportierbare Nachweise machen Sie zu einem leichter bewertbaren Lieferanten.
- 11
Dokumentation und Nachweise
Richtlinien schriftlich, Entscheidungen festgehalten und die Fähigkeit, auf Anfrage Nachweise zu liefern. Undokumentierte gute Praxis ist für eine prüfende Stelle unsichtbar.
Wo RMM-Werkzeuge helfen: Berichte und Exporte zu Patch-Stand, Inventar und Audit-Historie, geplant und zugestellt statt von Hand zusammengetragen.
- 12
Schulung, Cyberhygiene und Verantwortung der Leitung
Regelmäßige Sensibilisierung und Leitungsorgane, die die Maßnahmen billigen und gut genug verstehen, um sie zu überwachen. Die Richtlinie weist diese Verantwortung ausdrücklich der Leitung zu.
Wo RMM-Werkzeuge helfen: Keine. Dieser Punkt ist organisatorisch, und kein Werkzeug ersetzt ihn.
Was Werkzeuge leisten können und was nicht
Keine Software macht eine Organisation NIS2-konform, und wer Ihnen etwas anderes erzählt, verkauft Ihnen etwas. Konformität ist ein Zustand Ihrer Organisation — ihrer Prozesse, ihrer Dokumentation, ihrer Steuerung — gemessen am nationalen Recht.
Gute Werkzeuge machen mehrere der geforderten Maßnahmen so günstig, dass sie sich dauerhaft durchhalten lassen, und sie machen den Nachweis zum Nebenprodukt der Arbeit statt zu einem eigenen Projekt. Inventar, Patch-Stand und Audit-Historie sind die klarsten Beispiele: von Hand schwer zu pflegen, automatisch unkompliziert zu erzeugen.
Die ehrliche Arbeitsteilung lautet: Werkzeuge decken die technischen Maßnahmen ab und erzeugen Nachweise; Prozess, Entscheidung und Meldung bleiben bei Ihnen. Gehen Sie die obige Liste durch, bestimmen Sie, welche Punkte Sie derzeit nicht belegen können, und beginnen Sie dort.