NIS2 für Cloudanbieter: wann ein Anbieter von Cloud-Computing-Diensten betroffen ist
Wer anderen einen Clouddienst anbietet, ob Infrastruktur, Plattform oder Software, ist ab 50 Beschäftigten oder mit jeweils über 10 Millionen Euro Umsatz und Bilanzsumme eine wichtige Einrichtung, ab 250 Beschäftigten eine besonders wichtige (§ 28 BSIG). Wer Clouddienste nur nutzt, ist über diese Zeile nicht betroffen. Für Cloudanbieter gilt zusätzlich die Durchführungsverordnung (EU) 2024/2690.
Was ein Cloud-Computing-Dienst ist
Vier Merkmale tragen die Definition: Der Kunde holt sich Ressourcen auf Abruf, er erreicht sie über das Netz, der Pool wächst und schrumpft mit dem Bedarf, und mehrere Kunden teilen sich die Ressourcen.
Das trifft auf Rechenleistung und Speicher als Dienst zu (IaaS), auf Plattformen wie Datenbanken als Dienst (PaaS) und auf Software, die viele Kunden über das Netz nutzen (SaaS).
Ein einzelner Server mit fester Kapazität, den Sie für einen Kunden betreiben, erfüllt die Merkmale meist nicht. Er kann aber unter eine andere Zeile fallen, etwa Rechenzentrumsdienst oder verwalteter Dienst.
§ 2 Nr. 4 BSIG · Art. 6 Nr. 30 NIS 2
„Cloud-Computing-Dienst“ ein digitaler Dienst, der auf Abruf die Verwaltung eines skalierbaren und elastischen Pools gemeinsam nutzbarer Rechenressourcen sowie den umfassenden Fernzugang zu diesem Pool ermöglicht, auch wenn die Rechenressourcen auf mehrere Standorte verteilt sind;
Ab welcher Größe ein Anbieter betroffen ist
Wichtige Einrichtung: mindestens 50 Beschäftigte oder ein Jahresumsatz und eine Bilanzsumme von jeweils über 10 Millionen Euro.
Besonders wichtige Einrichtung: mindestens 250 Beschäftigte oder über 50 Millionen Euro Umsatz und über 43 Millionen Euro Bilanzsumme. Das ist möglich, weil Cloudanbieter in Anlage 1 stehen.
Anders als etwa DNS-Dienste oder qualifizierte Vertrauensdienste sind Cloudanbieter nicht unabhängig von ihrer Größe erfasst.
Gezählt wird nach der Empfehlung 2003/361/EG. Partnerunternehmen und verbundene Unternehmen können mitzählen.
§ 28 Abs. 1, 2 und 4 BSIG
Was nicht zählt
Wer Clouddienste nur nutzt, etwa E-Mail, Buchhaltung oder Speicher bei einem Anbieter, bietet keinen Clouddienst an. Über diese Zeile der Anlage 1 ist Ihr Unternehmen dann nicht betroffen. Der Anbieter ist für Sie ein Lieferant, den Sie bei Ihren Maßnahmen berücksichtigen, wenn Ihr Unternehmen aus einem anderen Grund betroffen ist.
Eine Cloud, die Ihr Unternehmen nur für sich selbst betreibt, ist ebenfalls kein angebotener Dienst. Betreibt eine Gesellschaft sie gegen Entgelt für andere Gesellschaften derselben Gruppe, lassen Sie das im Einzelfall prüfen.
Genauere Vorgaben für Cloudanbieter
Für Anbieter von Cloud-Computing-Diensten gilt zusätzlich die Durchführungsverordnung (EU) 2024/2690. Sie beschreibt die technischen Anforderungen an die zehn Bereiche genauer und geht dem BSIG insoweit vor. Als Verordnung gilt sie in allen EU-Staaten mit demselben Wortlaut.
Sie legt auch fest, wann ein Vorfall bei diesen Anbietern erheblich ist und gemeldet werden muss.
Für die Zuständigkeit zählt bei Cloudanbietern die Hauptniederlassung in der EU: der Staat, in dem die Entscheidungen über die Cybersicherheit vorwiegend fallen. Sie registrieren sich also in einem EU-Staat, auch wenn Sie in mehreren anbieten.
§ 30 Abs. 3 BSIG · Durchführungsverordnung (EU) 2024/2690 · Art. 26 NIS 2
Und der C5-Katalog des BSI?
C5 ist ein Kriterienkatalog des BSI für Clouddienste. NIS2 verlangt kein C5-Testat. Viele Kunden fragen aber danach, und ein vorhandenes Testat kann Nachweise für Ihre Maßnahmen liefern.
Ein Beispiel
Eine erfundene Firma: ein Anbieter einer Software für die Personalverwaltung, die rund 900 Kunden über das Netz nutzen. 60 Beschäftigte, 12 Millionen Euro Umsatz.
Die Software läuft für alle Kunden auf einer gemeinsamen Plattform, die mit dem Bedarf wächst. Das ist ein Cloud-Computing-Dienst.
Mit 60 Beschäftigten ist die Firma eine wichtige Einrichtung.
Sie registriert sich beim BSI, weil die Entscheidungen über die Cybersicherheit in Deutschland fallen.
Sie setzt die Maßnahmen nach § 30 BSIG um, in der Tiefe, die die Durchführungsverordnung (EU) 2024/2690 verlangt.
Die Liste ihrer Assets umfasst die Anwendung, die Datenbanken, die Konten beim Hoster, die Anmeldung der Kunden und die Lieferanten, etwa den Rechenzentrumsbetreiber.
So geht das im Durchgang
Im Durchgang auf nisd2.eu beginnt die Arbeit bei der Liste dessen, womit Ihr Unternehmen arbeitet.
Ein Schritt fragt Abläufe, Programme, Geräte, Räume und Netze ab und wer sie liefert. Daraus entsteht die Liste Ihrer Assets.
Ein Schritt zeigt, in welchem EU-Staat Sie sich registrieren, mit der Regel für digitale Anbieter wie Cloud.
Neben jedem Schritt steht die Vorschrift, in einfachen Worten erklärt.
Am Ende gibt die Geschäftsleitung die Dokumente in der App frei, angemeldet mit dem eigenen Zugang.
Häufige Fragen
Ist SaaS ein Cloud-Computing-Dienst nach NIS2?
In der Regel ja, wenn viele Kunden die Software über das Netz auf einer gemeinsamen, skalierbaren Plattform nutzen. Das entspricht der Definition in § 2 Nr. 4 BSIG.
Wir nutzen nur Clouddienste. Sind wir Cloudanbieter?
Nein. Wer Clouddienste nutzt, bietet keine an. Ihr Unternehmen kann aus einem anderen Grund betroffen sein; dann ist der Cloudanbieter einer Ihrer Lieferanten.
Ab welcher Größe ist ein Cloudanbieter betroffen?
Ab 50 Beschäftigten oder mit einem Jahresumsatz und einer Bilanzsumme von jeweils über 10 Millionen Euro (§ 28 Abs. 2 BSIG). Ab 250 Beschäftigten oder über 50 Millionen Euro Umsatz und über 43 Millionen Euro Bilanzsumme ist er eine besonders wichtige Einrichtung.
Wo registriert sich ein Cloudanbieter, der in mehreren EU-Staaten anbietet?
In dem EU-Staat seiner Hauptniederlassung, also dort, wo die Entscheidungen über die Cybersicherheit vorwiegend fallen (Art. 26 NIS 2).
Quellen
- BSI-Gesetz (BSIG) § 2 Nr. 4, §§ 28 und 30, Anlage 1, gesetze-im-internet.de/bsig_2025
- Richtlinie (EU) 2022/2555 (NIS 2), Art. 6 Nr. 30, Art. 26 und Anhang I, EUR-Lex
- Durchführungsverordnung (EU) 2024/2690, EUR-Lex
- Empfehlung 2003/361/EG der Kommission, EUR-Lex
- BSI: Kriterienkatalog C5, bsi.bund.de
In der Praxis
Wo das im Durchgang vorkommt
Im Durchgang werden daraus Schritte, die Sie ausfüllen, mit dem Gesetz jeweils daneben erklärt. Öffnen Sie einen Schritt, um ihn ausgefüllt am Beispiel einer erfundenen Firma zu sehen.
Risikomanagement
Aufschreiben, was Ihr Unternehmen hat
Eine Liste der Abläufe, Programme und Geräte, mit denen Sie arbeiten.
Registrierung & Meldung
Beim BSI registrieren
Ihr Unternehmen meldet sich einmal beim BSI an.
Was der Durchgang kostet
4.800 € netto im Jahr, zzgl. USt.
30 Tage Geld zurückAuf Rechnung, 30 Tage Zahlungsziel. Kündigung in den ersten 30 Tagen, vor dem ersten Export oder der ersten Freigabe: Rechnung storniert oder Geld zurück.
Geführte NIS 2 Umsetzung, Schritt für Schritt
Verlauf der Änderungen und Freigaben, vorzeigbar beim BSI
Fristen und Erinnerungen je Anforderung
Sicherheitsfragebogen an Ihre Lieferanten
Export als PDF oder CSV, jederzeit
Sie sollen sich um NIS2 kümmern?
Am Ende haben Sie alles in einem Dokument: was getan ist, was noch offen ist, und die Freigabe Ihrer Geschäftsführung mit Namen und Datum. Die Texte schreibt die App.
