NIS2 & SaaS: Compliance-Lücken in der Lieferkette
NIS2-pflichtige Einrichtungen müssen SaaS-Risiken in ihrer Lieferkette bewerten und geeignete Schutzmaßnahmen dokumentieren.
Das deutsche NIS2-Umsetzungsgesetz gilt seit dem 6. Dezember 2025. Für wichtige und besonders wichtige Einrichtungen gehört die Sicherheit unmittelbarer Dienstleister zum Risikomanagement. Das betrifft auch SaaS-Dienste, soweit ihre Nutzung Risiken für die eigenen informationstechnischen Systeme und Prozesse mit sich bringt. Entscheidend sind eine nachvollziehbare Risikobewertung, geeignete Maßnahmen und deren Dokumentation.
Das Wichtigste in Kürze
- Lieferkettensicherheit ist Teil des Risikomanagements. Das BSIG erfasst dabei auch sicherheitsbezogene Aspekte der Beziehungen zu unmittelbaren Diensteanbietern.
- Der Prüfaufwand sollte dem Risiko des Dienstes folgen. Daten, Berechtigungen und die Folgen eines Ausfalls helfen bei der Priorisierung.
- Erhebliche Sicherheitsvorfälle können meldepflichtig sein. Für die frühe Erstmeldung gilt grundsätzlich eine Frist von höchstens 24 Stunden ab Kenntnisnahme.
Welche Pflichten für SaaS-Kunden gelten
Das BSI-Gesetz verpflichtet wichtige und besonders wichtige Einrichtungen zu geeigneten, verhältnismäßigen und wirksamen technischen und organisatorischen Maßnahmen. Dazu zählt die Sicherheit der Lieferkette einschließlich der Beziehungen zu unmittelbaren Anbietern und Diensteanbietern. Die Einrichtung muss die Einhaltung ihrer Risikomanagementpflicht dokumentieren.
Ob ein Unternehmen selbst unter das Gesetz fällt, hängt von seiner Tätigkeit und den gesetzlichen Voraussetzungen ab. Die Nutzung eines SaaS-Dienstes macht einen Anbieter für sich genommen weder automatisch zu einer NIS2-pflichtigen Einrichtung noch ersetzt eine Prüfung des Anbieters die Pflichten des Kunden.
Für bestimmte digitale Dienstleister, darunter Cloud-Computing-Dienstleister, konkretisiert die EU-Durchführungsverordnung 2024/2690 die Risikomanagementanforderungen. Sie enthält unter anderem Vorgaben zur Auswahl von Lieferanten und zu Sicherheitsbestimmungen in Verträgen. Ob sie auf einen konkreten Anbieter Anwendung findet, ist gesondert zu prüfen.
SaaS-Dienste nach Risiko prüfen
Ein Inventar schafft die Grundlage für die Bewertung: Welche Dienste werden genutzt, welche Daten liegen dort und welche Zugriffe besitzen Anbieter oder angebundene Anwendungen? Besonders relevant können Dienste sein, deren Ausfall Geschäftsprozesse unterbricht oder deren Konten weitreichende Berechtigungen erhalten.
Für die priorisierten Dienste sollten IT-Teams die Sicherheitsmaßnahmen des Anbieters prüfen. Aussagekräftig sind etwa aktuelle Prüfberichte, Zertifikate und Angaben zum Umgang mit Schwachstellen und Sicherheitsvorfällen. Dabei ist zu klären, ob der jeweilige Nachweis den tatsächlich genutzten Dienst abdeckt und welche Maßnahmen beim Kunden verbleiben.
Ein Zertifikat allein beantwortet diese Fragen nicht vollständig. Wo Nachweise fehlen oder Risiken offenbleiben, sollte die Einrichtung zusätzliche Informationen anfordern, Schutzmaßnahmen vereinbaren oder das verbleibende Risiko dokumentieren. Die Bewertung ist bei wesentlichen Änderungen und neuen Erkenntnissen erneut vorzunehmen.
Verträge und Vorfallmeldungen abstimmen
Verträge und Leistungsbeschreibungen sollten zur Risikobewertung passen. Praktisch relevant sind Zuständigkeiten für Zugriffsschutz, Wiederherstellung und die Information über Sicherheitsvorfälle. Wie weit Prüf- oder Audit-Rechte erforderlich und durchsetzbar sind, hängt vom Dienst und den geltenden Vorgaben ab.
Für wichtige und besonders wichtige Einrichtungen sieht § 32 BSIG bei erheblichen Sicherheitsvorfällen eine frühe Erstmeldung unverzüglich und spätestens innerhalb von 24 Stunden nach Kenntnisnahme vor. Spätestens nach 72 Stunden folgt eine weitere Meldung mit einer ersten Bewertung. Ein Vorfall bei einem SaaS-Anbieter muss daraufhin geprüft werden, ob er für die Einrichtung einen erheblichen Sicherheitsvorfall darstellt.
Damit die Einrichtung diese Prüfung rechtzeitig vornehmen kann, sollte sie mit dem Anbieter festlegen, wer informiert wird und welche Informationen dafür benötigt werden. Interne Zuständigkeiten und ein erreichbarer Kontakt für Sicherheitsvorfälle gehören zur Vorbereitung.
Registrierung und Verantwortung der Geschäftsleitung
Das BSI-Portal dient unter anderem der Registrierung und Meldung von Sicherheitsvorfällen. Nach § 33 BSIG müssen sich wichtige und besonders wichtige Einrichtungen grundsätzlich spätestens drei Monate registrieren, nachdem sie erstmals oder erneut als solche gelten. Die Registrierung ersetzt die Umsetzung der Sicherheitsmaßnahmen nicht.
Geschäftsleitungen müssen die Risikomanagementmaßnahmen umsetzen und deren Umsetzung überwachen. Verletzen sie diese Pflichten, haften sie ihrer Einrichtung für einen schuldhaft verursachten Schaden nach den anwendbaren gesellschaftsrechtlichen Regeln. Ein Sicherheitsvorfall beim Anbieter begründet für sich allein noch keine persönliche Haftung der Geschäftsleitung.
Häufige Fragen
Muss jeder SaaS-Anbieter gleich intensiv geprüft werden?
Der Aufwand sollte sich am jeweiligen Risiko orientieren. Dafür sind insbesondere die genutzten Daten, die Berechtigungen und die Auswirkungen eines Ausfalls zu betrachten. Das BSIG verlangt geeignete und verhältnismäßige Maßnahmen.
Reicht ein Sicherheitszertifikat des SaaS-Anbieters aus?
Ein Zertifikat kann ein hilfreicher Nachweis sein. Entscheidend sind sein Geltungsbereich, die abgedeckten Maßnahmen und die Risiken des konkreten Einsatzes. Die Einrichtung bleibt für ihre eigenen Risikomanagementpflichten verantwortlich.
Wann muss ein Vorfall beim SaaS-Anbieter gemeldet werden?
Eine wichtige oder besonders wichtige Einrichtung muss prüfen, ob für sie ein erheblicher Sicherheitsvorfall vorliegt. Ist das der Fall, muss die frühe Erstmeldung unverzüglich und spätestens 24 Stunden nach Kenntnisnahme erfolgen.
Lesetipps der Redaktion
cloudmagazinTLS-Zertifikate 2026cloudmagazinResilienz jenseits der Security-ToolchaincloudmagazinKRITIS in die Cloud: Was die Migration absichertMehr aus dem MBF Media Netzwerk
SecurityTodayDSGVO 2026: Was sich ändertDigital ChiefsCloud-Repatriation 2026Bildquelle: KI-generiert (November 2026)
