EU-Durchführungsverordnung 2024/2690: Neue NIS2-Pflichten für MSPs und MSSPs

Mit der Durchführungsverordnung (EU) 2024/2690 der Kommission vom 17. Oktober 2024 (in Kraft seit 7. November 2024) hat die Europäische Union verbindliche technische und methodische Anforderungen zur Konkretisierung der NIS-2-Richtlinie erlassen. Während den Mitgliedstaaten bei vielen allgemeinen Aspekten Gestaltungsspielräume verbleiben, setzt die Verordnung für Anbieter digitaler Infrastrukturen und digitaler Dienste – namentlich im Sektor Verwaltung von IKT-Diensten (B2B) für Managed Service Provider (MSPs) und Managed Security Service Provider (MSSPs) – einen europaweit einheitlichen Mindeststandard.

In Österreich greifen die materiellen Aufsichts- und Sanktionsmechanismen für betroffene Einrichtungen mit dem Inkrafttreten des nationalen NISG 2026 (BGBl. I Nr. 94/2025) ab dem 1. Oktober 2026. Für IT-Dienstleister bedeutet dies eine grundlegende Professionalisierung ihrer Sicherheits-Governance, da Kunden und Aufsichtsbehörden künftig standardisierte Nachweise fordern.

Warum MSPs und MSSPs im Fokus der Regulatoren stehen

In modernen Unternehmenslandschaften bilden Managed Service Provider das operative Rückgrat der Informationstechnologie. Sie verwalten Serverstrukturen, Cloud-Tenants, Netzwerkkomponenten, Backups und Endgeräte ihrer Mandanten. Sicherheitsdienstleister (MSSPs) betreiben Monitoring-Systeme, Security Operations Center (SOC) und Incident-Response-Infrastrukturen.

Diese exponierte Schnittstellenposition birgt spezifische Risiken:

• Hebelwirkung bei Lieferkettenangriffen (Supply Chain Attacks): Die Kompromittierung eines einzelnen Dienstleisters kann Angreifern über Fernwartungs- und Managementwerkzeuge den gleichzeitigen Zugriff auf vertrauliche Systeme zahlreicher Kundenunternehmen eröffnen.
• Privilegierte Zugangsrechte: Standardmäßig verfügen Support- und Administratorenkonten über weitreichende Berechtigungen in den Produktivumgebungen der Kunden.
• Gesetzliche Betroffenheit und Größenschwellen (§ 25 NISG 2026): Für die Verwaltung von IKT-Diensten (B2B) gelten die allgemeinen Größenkriterien: Ein mittleres Unternehmen liegt vor bei mindestens 50 Mitarbeitern oder wenn sowohl der Jahresumsatz als auch die Bilanzsumme jeweils mehr als 10 Millionen Euro betragen (beide Finanzschwellen müssen kumulativ überschritten sein, wenn weniger als 50 Mitarbeiter beschäftigt sind; zudem sind verbundene Unternehmen nach § 25 zu berücksichtigen, sofern keine nachgewiesene operative Unabhängigkeit besteht).
• Rolle kleinerer MSPs in der Lieferkette: Kleinere Dienstleister (z. B. mit 15 bis 30 Mitarbeitern unterhalb der Finanzschwellen) fallen nicht als direkt regulierte Einrichtungen unter das NISG 2026. Dies bedeutet jedoch keine vollständige Gleichstellung mit regulierten Unternehmen, sondern erzeugt eine mittelbare Betroffenheit: Da regulierte Unternehmenskunden nach § 32 Abs. 4 lit. d NISG 2026 verpflichtet sind, ihre Lieferketten risikobasiert zu steuern, fordern Kunden zunehmend standardisierte Nachweise und vertragliche Sicherheitszusagen von ihren IKT-Dienstleistern ein.

Die Kernanforderungen der DVO (EU) 2024/2690

Der Anhang der Durchführungsverordnung gliedert die Sicherheitsanforderungen in 13 spezifische Themenbereiche mit über 100 detaillierten Kontrollvorgaben (vgl. ENISA Implementation Guidance). Diese adressieren fünf zentrale Handlungsschwerpunkte:

1. Governance, Führungsverantwortung und Rollentrennung

Die Verordnung fordert eine formalisierte Verankerung der Informationssicherheit:

• Genehmigung durch die Leitung: Sämtliche Cybersicherheitsrichtlinien müssen von der Geschäftsleitung formell genehmigt, regelmäßig überprüft und den Mitarbeitern nachweislich zur Kenntnis gebracht werden.
• Klare Rollenverteilung: Die DVO verlangt die Festlegung und Dokumentation eindeutiger Sicherheitsrollen und -verantwortlichkeiten. Guter Praxis (ENISA-Guidance) entspricht dabei die Benennung eines qualifizierten Sicherheitsbeauftragten (CISO), der über eine direkte Berichtslinie an die Geschäftsführung verfügt.
• Führungsverantwortung: Geschäftsleiter unterliegen nach § 31 NISG 2026 der Pflicht, Risikomanagementmaßnahmen sicherzustellen und zu beaufsichtigen, sowie an spezifischen Cybersicherheitsschulungen teilzunehmen.

2. Zugriffsarchitektur und Authentisierung

Zur Unterbindung von Seitwärtsbewegungen (Lateral Movement) im Falle von Sicherheitsvorfällen definiert die DVO strenge Vorgaben:

• Netzwerksegmentierung: Wirksame logische und netzwerktechnische Trennung zwischen den internen Administrationssystemen des Dienstleisters und den Kundenumgebungen.
• Multi-Faktor-Authentifizierung (MFA): Einsatz von MFA oder kontinuierlicher Authentisierung für administrative Zugänge und Fernzugriffe unter Beachtung des Risikokontexts. Phishing-resistente Verfahren (z. B. FIDO2/WebAuthn) stellen hierbei eine empfohlene Best Practice dar.
• Privileged Access Management (PAM): Vergabe von Rechten nach dem Minimalprinzip (Least Privilege) und lückenlose Protokollierung der Nutzung privilegierter Konten. Revisionssicheres Session Recording stellt hierbei eine bewährte Umsetzungsmethode dar.

3. Lieferkettensicherheit des Dienstleisters (Supply Chain)

Dienstleister müssen auch ihre eigenen Vorlieferanten systematisch steuern:

• Software- und Tool-Prüfung: Regelmäßige Sicherheitsüberprüfung der eingesetzten RMM-Tools (Remote Monitoring & Management), Ticket- und Fernwartungslösungen.
• Vertragliche Regelungen: Vereinbarung verbindlicher Sicherheitsstandards und unverzüglicher Meldepflichten bei Sicherheitsvorfällen mit Sub-Dienstleistern.

4. Schwachstellen-Management und Patch-Zyklen

• Automatisierte Überprüfung: Fortlaufende Identifikation von Schwachstellen auf internen Systemen und internetexponierten Schnittstellen.
• Koordinierte Offenlegung: Etablierung einer Vulnerability Disclosure Policy (VDP) zur geordneten Entgegennahme externer Schwachstellenhinweise.
• Strukturierte Patch-Routinen: Risikobasiertes und zeitnahes Einspielen von Sicherheits-Updates nach definierten Richtlinien. Wo technisch und betrieblich machbar, stellt die Bereitstellung von Sicherheits-Updates getrennt von funktionalen Releases eine bewährte Praxis dar.

5. Resilienz, Unveränderliche Backups und Krisenmanagement

• Betriebskontinuität (BCM): Dokumentierte Notfallpläne und Wiederanlaufkonzepte für betriebskritische Management- und Kundensysteme.
• Schutz vor Ransomware: Angemessene Datensicherungskonzepte und Schutzmechanismen gegen Cyber-Bedrohungen. Revisionssichere, unveränderbare (immutable) Backups und getrennte Aufbewahrung gelten in Ransomware-Szenarien als praxiserprobte Schutzmaßnahmen.
• Wiederherstellungstests: Regelmäßige praktische Überprüfung der Wiederherstellungszeiten (RTO) und des maximal tolerierbaren Datenverlusts (RPO).

Schwellenwerte für erhebliche Sicherheitsvorfälle (DVO Art. 3, 4 & 10)

Die Durchführungsverordnung (EU) 2024/2690 präzisiert in den Artikeln 3, 4 und 10, wann ein Sicherheitsvorfall bei Managed Service Providern und MSSPs als erheblich einzustufen und damit meldepflichtig ist:

• Spezifische Dienstbeeinträchtigungen bei MSPs/MSSPs (Art. 10 DVO):
• Eine Nichtverfügbarkeit der bereitgestellten IKT-Management- oder Sicherheitsdienste, die die Erbringung betriebskritischer Dienste bei Kunden beeinträchtigt (insbesondere bei Kunden, die selbst als wesentliche oder wichtige Einrichtungen eingestuft sind);
• Sicherheitsvorfälle, die zu einer Verletzung der Integrität, Vertraulichkeit oder Authentizität von Kundendaten oder Administrationssystemen führen und kritische Prozesse der Mandanten stören können;
• Erfolgreicher, mutmaßlich böswilliger unbefugter Zugriff auf Netz- und Informationssysteme des Dienstleisters mit dem Potenzial, schwerwiegende Folgestörungen auszulösen oder sich auf Kundenumgebungen auszubreiten.
• Finanzieller Schwellenwert: Direkte geschätzte Kosten oder Verluste von mehr als 500.000 Euro oder mehr als 5 % des jährlichen Gesamtumsatzes der Einrichtung – je nachdem, welcher Betrag niedriger ist.
• Kumulierte Vorfälle (Art. 4): Mindestens zwei Vorfälle innerhalb von sechs Monaten, die auf dieselbe Ursache zurückzuführen sind und kumuliert das finanzielle Kriterium erreichen.
• Schwerwiegende Folgewirkungen: Vorfälle mit Gefahren für Leib und Leben, Beeinträchtigung der öffentlichen Sicherheit oder Exfiltration sensibler Geschäftsgeheimnisse.

Tritt ein erheblicher Vorfall ein, greift die gesetzliche Meldekaskade nach § 34 NISG 2026 gegenüber dem zuständigen sektorspezifischen CSIRT (ersatzweise dem nationalen CSIRT):

1. Frühwarnung binnen 24 Stunden ab Kenntnisnahme mit vorläufiger Ersteinschätzung.
2. Vorfallsmeldung binnen 72 Stunden ab Kenntnisnahme mit Bewertung des Schweregrads und Gegenmaßnahmen.
3. Zwischenbericht: Auf formelles Ersuchen des CSIRT bei andauernder Bewältigung.
4. Fortschrittsbericht: Bei andauernder Bearbeitung zum Zeitpunkt der regulären Abschlussberichtsfrist.
5. Abschlussbericht: Grundsätzlich spätestens einen Monat nach der 72-Stunden-Meldung fällig (bzw. spätestens einen Monat nach Beendigung der Vorfallsbehandlung).
6. Kundeninformation (§ 34 Abs. 3 NISG 2026): Beeinträchtigt ein erheblicher Vorfall die Erbringung des Dienstes, sind die betroffenen Empfänger unverzüglich über den Vorfall und mögliche Gegenmaßnahmen zu unterrichten. (Hinweis: § 36 NISG 2026 betrifft demgegenüber Vereinbarungen zum vertraulichen Informationsaustausch.)

Sanktionen und rechtlicher Rahmen

Die DVO (EU) 2024/2690 enthält selbst keine eigenständigen Strafbestimmungen. Die Sanktionen folgen aus der nationalen Umsetzung im NISG 2026:

• Bei wesentlichen Einrichtungen drohen behördliche Geldbußen von bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes (der jeweils höhere Betrag).
• Bei wichtigen Einrichtungen beläuft sich der Strafrahmen auf bis zu 7 Millionen Euro oder 1,4 % des weltweiten Jahresumsatzes (der jeweils höhere Betrag).

Die strategische Bedeutung für das Dienstleister-Geschäft

Für Managed Service Provider erzeugt die DVO 2024/2690 einen doppelten Nachweisdruck:

1. Direkte Regulierung: Mittelgroße und große MSPs unterliegen der direkten Aufsicht durch das Bundesamt für Cybersicherheit.
2. Marktanforderung durch Unternehmenskunden: Regulierte Betriebe aus Energie, Gesundheit oder Industrie (unter NISG 2026) sowie Finanzinstitute (unter DORA – Digital Operational Resilience Act) verlangen von ihren IKT-Dienstleistern lückenlose Audit-Nachweise.

Ein Managed Service Provider, der die Vorgaben der DVO 2024/2690 nicht nachweisen kann, riskiert den Verlust von Rahmenverträgen. Standardisierte Nachweise wie das Cyber Trust Austria Platinum Label, dessen 50 Kontrollfragen die Vorgaben der DVO für MSPs praxisnah operationalisieren, bilden daher einen entscheidenden Wettbewerbsvorteil.

Handlungsempfehlungen für IT-Dienstleister

1. Standortbestimmung durchführen: Abgleich der internen Sicherheitskontrollen gegen die Anforderungen der DVO 2024/2690 und das Cyber Trust Platinum Schema.
2. Architektur der Administrationsumgebung härten: Überprüfung der Netzwerksegmentierung, konsequente Durchsetzung von MFA und revisionssichere Protokollierung administrativer Zugriffe.
3. Verträge und SLAs anpassen: Klare vertragliche Definition von Sicherheitszusagen, Audit-Rechten und Meldepflichten in Kunden- und Lieferantenvereinbarungen.
4. Prüfnachweise aufbauen: Vorbereitung auf standardisierte Nachweise (wie Cyber Trust Austria Platinum oder ISO/IEC 27001), um Kunden-Audits effizient zu begegnen.

Unterstützung durch Authenta

Authenta begleitet Managed Service Provider und MSSPs bei der regulatorischen Standortbestimmung, der Erstellung normkonformer Dokumentationen und der Vorbereitung auf Sicherheitsüberprüfungen. Wir agieren als unabhängiger Sparringspartner im Vier-Augen-Prinzip und schaffen belastbare Grundlagen für Geschäftsleitung und Vertrieb.