Wann Konzern-IT zum Anbieter verwalteter Dienste werden kann
Anhang I der NIS-2-Richtlinie (EU) 2022/2555 nennt im Sektor „Verwaltung von IKT-Diensten (B2B)“ Anbieter verwalteter Dienste und Anbieter verwalteter Sicherheitsdienste. Ein Anbieter verwalteter Dienste ist nach Artikel 6 Nr. 39 eine Einrichtung, die Installation, Verwaltung, Betrieb oder Wartung von IKT-Produkten, Netzen, Infrastrukturen, Anwendungen oder anderen Netz- und Informationssystemen übernimmt, per Unterstützung oder aktiver Verwaltung, beim Kunden vor Ort oder aus der Ferne.
Eine IT-Abteilung mit Server-Eigenbetrieb, die dieselbe Leistung für andere Konzerngesellschaften erbringt, erfüllt dem Wortlaut nach Merkmale davon. Ob konzerninterne Leistungen genügen, lässt sich nicht pauschal beantworten. Es kommt darauf an, welche Gesellschaft für wen und in welchem Umfang leistet.
Warum die Größe der Gruppe zählt
Einrichtungen aus Anhang I sind ab mittlerer Größe erfasst. Die Größe richtet sich nach der EU-Empfehlung 2003/361/EG, und verbundene Unternehmen können mitzählen. Im Beispiel mit rund 2.800 Beschäftigten im Konzern kann deshalb auch eine IT-Abteilung mit 45 Personen in eine hohe Größenklasse fallen. Eine große Einrichtung aus Anhang I wäre nach der Richtlinie eine wesentliche Einrichtung, in Deutschland eine besonders wichtige Einrichtung.
Was dann gilt: die Durchführungsverordnung unmittelbar
Für Anbieter verwalteter Dienste gilt die Durchführungsverordnung (EU) 2024/2690 unmittelbar. Im Assistenten erscheint das als Fall D: Alle 161 Einzelanforderungen sind zu bewerten, nicht nur als Maßstab. Dazu kommen Meldefristen von 24 Stunden, 72 Stunden und einem Monat, die Registrierung und die Pflichten der Geschäftsleitung.
Der Ablauf mit dem Assistenten: Muster Handelsgruppe AG (Beispiel)
Das erfundene Beispiel: Baustoffgroßhandel, neun Tochtergesellschaften, rund 2.800 Beschäftigte im Konzern, eine IT-Abteilung mit etwa 45 Personen und zwei eigenen Serverräumen. Der Baustoffgroßhandel selbst steht in keiner Sektorenliste.
- Einstufung: Der Assistent fragt, ob Sie digitale Dienste für andere erbringen. Wer „Anbieter verwalteter Dienste“ ankreuzt, erhält Fall D und die vorläufige Einschätzung „besonders wichtige Einrichtung“ im Profil P4 Groß, mit dem Hinweis, dass die Durchführungsverordnung für Sie verbindlich ist.
- Vorhandene Systeme: Dokumentenablage (SharePoint), Verzeichnisdienst (Entra ID), Ticketsystem und Inventar (CMDB) werden als vorhandene Quellen verlinkt statt doppelt erfasst.
- Maßnahmen: Im Fall D ist die Durchführungsverordnung für die Einrichtungsart verbindlich; der Assistent führt durch alle 161 Einzelanforderungen.
- Meldewege und Bericht: Meldefristen, eine vermerkte Probemeldung und ein Bericht für die Geschäftsleitung.
Prüfen Sie die Einstufung
Drei Fragen entscheiden: Erbringt Ihre IT Leistungen für andere, rechtlich selbständige Gesellschaften? In welcher Gesellschaft sitzt sie, und wie zählen verbundene Unternehmen bei der Größe? Welche Leistungen sind es genau? Verbindlich klären das Rechtsberatung oder die zuständige Behörde. Eine erste Orientierung gibt der NIS2-Betroffenheitscheck.
