NIS2 und ausgelagerte IT: Ihre Verantwortung bleibt – auch bei externen Dienstleistern

Die digitale Transformation ist in vollem Gange, und für viele kleine und mittlere Unternehmen (KMU) gehört die Auslagerung von IT-Dienstleistungen längst zum Alltag. Cloud-Services, Managed Services oder externe IT-Support-Teams – die Vorteile liegen auf der Hand: Kostenersparnis, Zugang zu Spezialwissen und eine Entlastung der internen Ressourcen. Doch mit der neuen NIS2-Richtlinie (Network and Information Security Directive 2) rückt ein entscheidender Aspekt stärker in den Fokus: die Verantwortung für die Cybersicherheit.

Viele KMU gehen fälschlicherweise davon aus, dass mit der Auslagerung der IT auch die Verantwortung für die Sicherheit an den Dienstleister übergeht. Ein fataler Irrtum, wie die NIS2-Richtlinie deutlich macht. Sie müssen verstehen: Ihre Verantwortung können Sie nicht einfach delegieren.

Was ist neu an NIS2 und warum betrifft es auch Ihr KMU?

Die NIS2-Richtlinie ist die Weiterentwicklung der ursprünglichen NIS-Richtlinie und hat zum Ziel, das Niveau der Cybersicherheit innerhalb der Europäischen Union signifikant zu erhöhen. Sie erweitert den Kreis der betroffenen Unternehmen erheblich. Waren zuvor hauptsächlich Betreiber kritischer Infrastrukturen im Fokus, so fallen nun auch viele weitere Sektoren und Unternehmen unter die Richtlinie, die als „wesentlich“ oder „wichtig“ eingestuft werden. Die Wahrscheinlichkeit, dass auch Ihr KMU betroffen ist, ist also gestiegen.

Die Kernbotschaft von NIS2 ist klar: Unternehmen müssen proaktiver handeln, um ihre Systeme und Daten vor Cyberbedrohungen zu schützen. Dazu gehören umfassende Risikomanagementmaßnahmen, Meldepflichten bei Sicherheitsvorfällen und die Einhaltung strenger Sicherheitsstandards.

Die Tücke der ausgelagerten IT: Verantwortung bleibt beim Auftraggeber

Genau hier liegt der Knackpunkt für viele KMU. Auch wenn Sie Ihre IT-Infrastruktur oder bestimmte Services an einen externen Dienstleister wie einen Cloud-Provider oder ein IT-Systemhaus auslagern, bleibt die letztendliche Verantwortung für die Einhaltung der Sicherheitsstandards bei Ihnen – dem auftraggebenden Unternehmen. Eine Delegation dieser Verantwortung an externe Dienstleister ist rechtlich nicht möglich.

Stellen Sie sich vor, Ihr Cloud-Anbieter erleidet einen Datenverlust oder wird Opfer eines Cyberangriffs, der Ihre Kundendaten kompromittiert. Obwohl die Ursache beim Dienstleister lag, werden Sie als Unternehmen zur Rechenschaft gezogen. Die Konsequenzen können empfindlich sein: hohe Bußgelder, Reputationsverlust und der Verlust des Kundenvertrauens.

Was bedeutet das konkret für Ihr KMU?

1. Sorgfältige Auswahl der Dienstleister: Die Auswahl Ihrer IT-Dienstleister wird unter NIS2 noch kritischer. Es reicht nicht mehr aus, nur auf Preis oder Leistung zu achten. Sie müssen sicherstellen, dass Ihre potenziellen Dienstleister die NIS2-Anforderungen kennen und erfüllen. Fragen Sie nach Zertifizierungen, Sicherheitskonzepten und Referenzen. Eine gründliche Due Diligence ist unerlässlich.

1. Klare vertragliche Regelungen: Verlassen Sie sich nicht auf mündliche Zusagen. Jede Vereinbarung mit einem externen IT-Dienstleister muss detaillierte Regelungen zur Cybersicherheit enthalten. Dazu gehören:

• Festlegung der einzuhaltenden Sicherheitsstandards (z.B. ISO 27001).
• Regelungen zur Meldung von Sicherheitsvorfällen und zur Zusammenarbeit bei der Behebung.
• Auditrechte, die es Ihnen ermöglichen, die Einhaltung der Sicherheitsmaßnahmen zu überprüfen.
• Haftungsregelungen im Falle eines Sicherheitsvorfalls.
• Regelungen zur Datenlöschung und -rückgabe bei Vertragsende.

1. Regelmäßige Überprüfung und Überwachung: Ein Vertrag ist nur so gut wie seine Einhaltung. Sie müssen die Sicherheitsleistungen Ihrer Dienstleister regelmäßig überprüfen. Das kann durch Audits, Sicherheitschecks oder die Anforderung von Berichten geschehen. Bleiben Sie im Dialog und stellen Sie sicher, dass sich die Sicherheitsmaßnahmen an die sich ständig weiterentwickelnde Bedrohungslandschaft anpassen.

1. Interne Prozesse anpassen: Die Einhaltung von NIS2 erfordert oft eine Anpassung Ihrer internen Prozesse. Dazu gehört eine stärkere Einbindung der IT-Sicherheit in Ihre Geschäftsstrategie, die Benennung von Verantwortlichen und die Schulung Ihrer Mitarbeiter im Umgang mit Cyberrisiken. Sie müssen ein Bewusstsein dafür schaffen, dass Cybersicherheit eine gemeinsame Aufgabe ist.

1. Risikomanagement und Notfallpläne: Entwickeln Sie ein umfassendes Risikomanagement, das auch die Risiken berücksichtigt, die durch ausgelagerte IT-Dienstleistungen entstehen. Erstellen Sie Notfallpläne für den Fall eines Sicherheitsvorfalls, die klar definieren, wie Sie und Ihre Dienstleister in einer Krisensituation reagieren.

Fazit: Proaktives Handeln ist gefragt

NIS2 ist keine Option, sondern eine Pflicht. Für KMU, die auf ausgelagerte IT setzen, bedeutet dies, dass sie ihre Rolle als verantwortliche Partei aktiv wahrnehmen müssen. Eine passive Haltung kann teuer werden. Nutzen Sie die Gelegenheit, Ihre Cybersicherheitsstrategie zu überprüfen, Ihre Dienstleister kritisch zu hinterfragen und die notwendigen Anpassungen vorzunehmen. Nur so können Sie den Anforderungen von NIS2 gerecht werden und Ihr Unternehmen nachhaltig vor Cyberbedrohungen schützen.

Die Zeit, die Köpfe in den Sand zu stecken, ist vorbei. Wer jetzt proaktiv handelt, schützt nicht nur sein Unternehmen vor möglichen Strafen, sondern stärkt auch das Vertrauen seiner Kunden und Geschäftspartner in eine zunehmend digitalisierte Welt.