Was NIS 2 und ISO 27001 heute für MSP-Lieferantenverträge bedeuten

Von vertrauensbasierten MSP-Verträgen bis hin zu regulierten Lieferketten

NIS 2 stuft viele Managed Service Provider (MSPs) als Teil der regulierten kritischen Infrastruktur ein und wandelt damit langjährige, vertrauensbasierte MSP-Beziehungen in regulierte Lieferketten um. Aufsichtsbehörden und Kunden erwarten klare und konkrete Verpflichtungen in den Verträgen hinsichtlich Sicherheit, Vorfallmanagement und Zusammenarbeit – keine vagen Zusagen zu „angemessener Sicherheit“ oder allgemeine Richtlinien. Wenn Sie wichtige Einrichtungen unterstützen, sind Ihre vorgelagerten Lieferanten nun Teil dieser regulierten Lieferkette. Daher müssen Sie wissen, welche Lieferantenbeziehungen am wichtigsten sind und sicherstellen, dass deren Vereinbarungen die richtigen Schutz- und Kooperationsmechanismen enthalten. Am schnellsten lässt sich diese Klarheit in der Regel durch präzise Vertragsformulierungen erreichen, nicht durch die Einführung eines weiteren Tools.

In der ISMS.online-Umfrage „State of Information Security 2025“ gaben rund 41 % der Unternehmen an, dass das Management von Drittparteirisiken und die Überwachung der Lieferantenkonformität zu ihren größten Sicherheitsherausforderungen zählen.

Der kürzeste Weg zu einem glaubwürdigen NIS-2-Stockwerk führt oft über Ihre Verträge, nicht über Ihre Technologieinfrastruktur.

Wie NIS 2 den MSP-Status verändert

NIS 2 wandelt langjährige Geschäftsbeziehungen von Managed Service Providern (MSPs) in eine regulierte Dienstleistungskette mit klar definierten Pflichten und Erwartungen um. Die Aufsicht erstreckt sich über die eigenen Kontrollmechanismen hinaus auf die Lieferanten und Subunternehmer, die die Managed Services unterstützen, insbesondere wenn wichtige oder systemrelevante Einrichtungen von Ihnen abhängig sind. Offizielle Zusammenfassungen und Erläuterungen zur Richtlinie verdeutlichen, dass nun ein breites Spektrum an digitaler Infrastruktur und Managed Services in den Anwendungsbereich fällt und die Aufsicht sich voraussichtlich nicht nur auf den Hauptanbieter, sondern auch auf wichtige Abhängigkeiten erstrecken wird.

Jahrelang haben ein guter Ruf, branchenübliche Klauseln und die ISO-27001-Zertifizierung MSP-Verträge ohne detaillierte Sicherheitspläne ermöglicht, da Kunden und Auditoren sich hauptsächlich auf die internen Kontrollen konzentrierten. NIS 2 ändert diese Dynamik, indem es viele Managed-IT-, Sicherheits-, Infrastruktur- und Cloud-Services explizit als Teil kritischer Infrastrukturen einstuft. Aufsichtsbehörden können nun auch wichtige Lieferanten überprüfen. Wenn Sie Dienstleistungen für Organisationen erbringen, die unter NIS 2 fallen, sind Sie höchstwahrscheinlich Teil ihrer regulierten Lieferkette – und möglicherweise selbst ein „wichtiges Unternehmen“. Dies verändert die Sichtweise von Behörden, Kunden und Versicherern auf Ihre Verträge und deckt unzureichende oder veraltete Formulierungen auf.

Abbildung Ihrer regulierten Lieferkette in der Praxis

Mit einer einfachen, strukturierten Vorgehensweise lässt sich NIS 2 von einer abstrakten regulatorischen Angelegenheit in eine konkrete Vertragsübersicht umwandeln. Ziel ist es, diejenigen Kunden, Dienstleistungen und Lieferanten zu identifizieren, die Teil einer regulierten Wertschöpfungskette sind und daher stärkere und klarere Klauseln benötigen.

Beginnen Sie mit der Auflistung der Kunden, die gemäß NIS 2 voraussichtlich als „essentielle“ oder „wichtige“ Einrichtungen gelten. Ermitteln Sie anschließend, welche Ihrer Dienstleistungen deren Verfügbarkeit, Protokollierung und Reaktion auf Sicherheitsvorfälle unterstützen. Notieren Sie für jede Dienstleistung, auf welche Lieferanten Sie angewiesen sind: Cloud-Plattformen, Rechenzentren, Sicherheitstools, Subunternehmer im Bereich Managed Service Provider (MSPs) und spezialisierte Beratungsunternehmen. Dadurch erhalten Sie ein klares Bild Ihrer Geschäftsbeziehungen, in denen die Erwartungen gemäß NIS 2 vertraglich und nicht nur in Risikoregistern und Prozessdokumenten festgehalten werden müssen. Für Betriebs- und Entwicklungsteams verdeutlicht diese Vorgehensweise zudem, welche Anbieter höhere Mindestanforderungen erfüllen müssen und welche weniger streng überwacht werden können. Eine ISMS-Plattform wie ISMS.online unterstützt Sie dabei, diese Übersicht aktuell zu halten und mit Kontrollen und Nachweisen zu verknüpfen.

Vergleicht man die aktuellen Lieferantenverträge mit den Outsourcing-Vereinbarungen im öffentlichen Sektor oder bei regulierten Finanzdienstleistungen, fallen schnell die Unterschiede auf. Diese Auftraggeber bestehen in der Regel auf detaillierten Sicherheitsplänen, Prüfrechten, klar definierten Fristen für die Meldung von Vorfällen und Kontrollmechanismen für Subunternehmer. Wer sich bei wichtigen Lieferanten auf allgemeine Vertraulichkeitsklauseln und „angemessene Sicherheitsmaßnahmen“ verlässt, weiß bereits, wo er ansetzen muss.

Die Geschichte in eine dringliche Angelegenheit auf Vorstandsebene umwandeln

Vorstände betrachten NIS 2 oft als Problem des Sicherheitsrahmens, nicht als Vertrags- und Lieferkettenproblem, das tatsächliche Haftungsrisiken bergen kann. Diese Wahrnehmung ändert sich, wenn man aktuelle Vorfälle beschreibt, die sich über Managed Service Provider (MSPs) und deren Zulieferer ausbreiteten, und aufzeigt, wie schwache oder fehlende Vertragskontrollen die Untersuchung und Behebung von Problemen verlangsamten und erschwerten.

Sobald Führungskräfte Lieferantenverträge als primäre Angriffsfläche für regulatorische und Resilienzrisiken und nicht nur als formale rechtliche Angelegenheit betrachten, sind sie eher bereit, ein gezieltes Sanierungsprogramm zu unterstützen. Vertragsänderungen lassen sich dann als zeitlich begrenztes Projekt mit klaren Phasen und Meilensteinen darstellen, anstatt als weitere, ergebnisoffene Compliance-Initiative. Für Unternehmen, die ihre erste ISO 27001-Zertifizierung anstreben, verdeutlicht diese Geschichte zudem, warum die Formulierungen der Lieferantenverträge frühzeitig und nicht erst im Nachhinein angepasst werden müssen.

Schließlich trägt eine gemeinsame Sprache mit wichtigen Kunden hinsichtlich der Bedeutung einer regulierten Lieferkette zu reibungsloseren Verhandlungen bei. Wenn beide Seiten dieselbe Terminologie für Rollen, Verantwortlichkeiten, Nachweise und Eskalationsverfahren verwenden, fühlen sich Vertragsänderungen wie die Umsetzung eines gemeinsamen Modells an, anstatt Risiken von einer Partei auf die andere zu verlagern.

Kontakt

Warum eine ISO 27001-Zertifizierung nicht gleichbedeutend mit NIS 2-konformen Verträgen ist

ISO 27001 belegt die Existenz und Funktionsfähigkeit Ihres Managementsystems, während NIS 2 prüft, ob Ihre gesamte Servicekette die gesetzlichen Anforderungen an die Cybersicherheit erfüllt. ISO/IEC 27001 ist nach wie vor eines der anerkanntesten und am weitesten verbreiteten Rahmenwerke für den Aufbau eines Informationssicherheits-Managementsystems (ISMS) und bietet Managed Service Providern (MSPs) eine solide Grundlage für die Steuerung von Zugriff, Protokollierung und Lieferantenmanagement. Die Internationale Organisation für Normung (ISO) pflegt diese Norm als Benchmark für die Einrichtung, Implementierung, Aufrechterhaltung und kontinuierliche Verbesserung eines ISMS. Daher nutzen so viele Organisationen sie als Rahmenwerk für ihre Kontrollen. NIS 2 hingegen ist ein Rechtsrahmenwerk: Es prüft, ob Ihre gesamte Servicekette die gesetzlichen Anforderungen erfüllt und nicht nur, ob ein Teil Ihres Unternehmens zertifiziert ist. Das bedeutet, dass Ihr ISO 27001-Zertifikat weiterhin wertvoll ist, aber allein nicht belegt, dass Lieferantenverträge und operative Verpflichtungen die von NIS 2 erwartete Zusammenarbeit, Nachweise und Fristen gewährleisten.

Laut der ISMS.online-Umfrage 2025 erwarten Kunden zunehmend, dass ihre Lieferanten sich an formale Rahmenwerke wie ISO 27001, ISO 27701, DSGVO, Cyber Essentials und SOC 2 sowie an neue KI-Standards anpassen.

Geltungsbereichslücken zwischen ISO 27001 und NIS 2

Der Geltungsbereich zeigt oft erstmals, dass ein ISO 27001-Zertifikat nur einen Teil der NIS 2-Kriterien abdeckt. Ihr Zertifikat ist an bestimmte Dienstleistungen, Standorte und Einrichtungen gebunden, während NIS 2 die gesamte Wertschöpfungskette berücksichtigt, die regulierte Aktivitäten unterstützt – unabhängig davon, ob diese zertifiziert sind oder nicht.

Ihr Zertifikat beschreibt die abgedeckten Dienste, Standorte und Einrichtungen und umfasst möglicherweise nicht alle Geschäftsbereiche, geografischen Regionen oder Subunternehmer, die gemäß NIS 2 relevant sind, insbesondere wenn Sie aus Gründen der schnellen Umsetzung einen begrenzten Geltungsbereich zertifiziert haben. Die ISO 27001-Zertifizierung wird stets auf Grundlage eines klar definierten Geltungsbereichs und einer Anwendungsbeschreibung ausgestellt, die Ihr Unternehmen selbst wählt. NIS 2 hingegen definiert die relevanten Einrichtungen und ihre wesentlichen oder wichtigen Dienste rechtlich und erwartet ausdrücklich die Berücksichtigung der Abhängigkeiten, die diese Dienste unterstützen. Regulierungsbehörden konzentrieren sich hingegen auf die gesamte Wertschöpfungskette regulierter Dienste. Wenn ein Managed Detection Service auf einer nicht zertifizierten Protokollierungsplattform oder einem Hosting-Anbieter mit schwachen Verträgen basiert, reicht ein klar definierter ISMS-Geltungsbereich nicht aus. Für IT- und Sicherheitsexperten erklärt dieser Unterschied, warum die Aussage „Wir sind zertifiziert“ nicht automatisch die Fragen von Beschaffungsstellen oder Vorgesetzten im Rahmen von NIS 2 beantwortet.

Eine zweite Lücke besteht zwischen internen Prozessen und externen Verpflichtungen. ISO 27001 erwartet, dass Sie Lieferantenrisiken durch Richtlinien, Sorgfaltsprüfungen und regelmäßige Überprüfungen managen. NIS 2 hingegen verlangt, dass diese Erwartungen in rechtsverbindlichen Verträgen festgehalten werden, sodass die Verpflichtungen auch bei Personalwechseln, Umstrukturierungen und Streitigkeiten Bestand haben. Die Erkenntnis dieser Lücke hilft Compliance-Initiativen dabei, zu priorisieren, welche Lieferantenvereinbarungen zuerst rechtlich abgesichert werden müssen.

Anforderungen an das Managementsystem vs. rechtliche Pflichten

ISO 27001 legt Anforderungen an Managementsysteme fest, während NIS 2 rechtliche Verpflichtungen für die betroffenen Unternehmen und deren Lieferketten vorsieht. Dieses Verständnis hilft Ihnen zu erklären, warum Verträge aktualisiert werden müssen, selbst wenn Auditoren mit Ihrem ISMS zufrieden sind. Vergleichende Kommentare stellen ISO 27001 oft als freiwilligen Standard dar, den Organisationen anwenden, um bewährte Verfahren nachzuweisen, während NIS 2 als verbindliches Gesetz mit Verantwortlichkeit auf Vorstandsebene und Durchsetzungsbefugnissen präsentiert wird, falls Unternehmen und die von ihnen abhängigen Lieferketten den Anforderungen nicht gerecht werden.

ISO 27001 erwartet von Ihnen, dass Sie Risiken identifizieren, eine Lieferantenpolitik pflegen und geeignete Kontrollmaßnahmen implementieren. NIS 2 legt gesetzliche Pflichten fest, darunter auch solche, die Lieferketten explizit betreffen. Typische Beispiele hierfür sind:

Maßnahmen zur Optimierung der Lieferkette: Setzen Sie geeignete technische und organisatorische Maßnahmen um, die die Sicherheit der Lieferkette explizit abdecken.
Enge Zeitvorgaben für den Vorfall. Bei schwerwiegenden Vorfällen müssen die strikten Fristen und Inhaltsvorgaben für die Meldung eingehalten werden.
Verantwortliches Management. Sicherstellen, dass die Leitungsgremien die Maßnahmen zum Management von Cyberrisiken genehmigen und überwachen und dies auch in der Praxis nachweisen können.

Diese Pflichten obliegen dem regulierten Unternehmen, sind aber in der Praxis schwer zu erfüllen, wenn Managed Service Provider (MSPs) und ihre Zulieferer sich nicht vertraglich zu der Zusammenarbeit, dem Informationsfluss und den Nachweisen verpflichten, die diese Ergebnisse ermöglichen. Parlamentarische Stellungnahmen und offizielle Erläuterungen der Richtlinie betonen wiederholt, dass wesentliche und wichtige Einrichtungen weiterhin für die Ergebnisse verantwortlich sind, selbst wenn sie von Drittanbietern abhängig sind. Aus diesem Grund genießen vertragliche Mechanismen und Governance für die Lieferkettensicherheit so große Aufmerksamkeit.

Es ist hilfreich, ISO 27001 und NIS 2 direkt zu vergleichen.

Ein einfacher Vergleich verdeutlicht die Diskrepanz:

Aspekt	ISO 27001 (Rahmenwerk)	NIS 2 (Gesetz)
Natur	Freiwilliger Standard für ein ISMS	Verbindliche Rechtsvorschriften für betroffene Unternehmen
Optik	Prozesse, Richtlinien und kontinuierliche Verbesserung	Ergebnisse, Pflichten und Durchsetzung
Umfangsdefinition	Von der Zertifizierungsorganisation definiert	Durch Gesetz und Aufsichtsbehörden definiert
Erwartungen an die Lieferkette	Lieferantenrisiken und -kontrollen managen	Die Sicherstellung der Lieferkettensicherheit unterstützt die gesetzlichen Verpflichtungen
Beweismittel und Vertragsauswirkungen	Interne Audits und Zertifikate können ausreichend sein.	Die Vorgesetzten prüfen Verträge, Protokolle und Kooperationsmechanismen.

Das mindert den Wert der ISO 27001 nicht. Es bedeutet jedoch, dass Sie prüfen müssen, inwieweit Ihre Annahmen zum Managementsystem in Bezug auf Lieferanten bereits in Vertragsformulierungen umgesetzt wurden, die von Vorgesetzten verstanden werden.

Typische Vertragsschwächen bei ISO-zertifizierten Managed Service Providern

ISO-zertifizierte Managed Service Provider (MSPs) managen Lieferantenrisiken in internen Prozessen oft gut, lassen diese Erwartungen in externen Verträgen jedoch vage oder gar nicht erst formuliert. Sie führen möglicherweise Sorgfaltsprüfungen durch, versenden Sicherheitsfragebögen und nehmen jährliche Lieferantenbewertungen vor, doch der Rahmenvertrag besagt kaum mehr als: „Der Lieferant wird angemessene Sicherheitsmaßnahmen ergreifen und geltendes Recht einhalten.“

Aus Sicht eines ISO-Auditors mag das akzeptabel sein, sofern Ihre Prozesskontrollen solide erscheinen. Für einen NIS-2-Supervisor reicht das jedoch nicht aus. Er wird hinterfragen, wer bis wann und auf welcher Rechtsgrundlage was zu tun hat. Bei Beschaffungsprozessen kann man dies bereits beobachten, wenn Käufer neben Ihrem Zertifikat auch spezifische Klauseln zu Fristen für die Bearbeitung von Vorfällen, Auditrechten und der Kontrolle von Subunternehmern fordern.

Eine kurze Durchsicht Ihrer bestehenden Managed Service Agreements (MSAs) zeigt oft, dass die Verantwortlichkeiten für die Koordinierung von Vorfällen, die Zusammenarbeit mit den Aufsichtsbehörden und den Austausch von Beweismitteln entweder fehlen, sehr vage formuliert sind („unverzüglich informieren“, „angemessene Anstrengungen unternehmen“) oder vollständig auf den Kunden abgewälzt werden. So kann es vorkommen, dass ein ISO-zertifizierter Managed Service Provider (MSP) Kunden im Rahmen von NIS 2 weiterhin ungeschützt lässt. Wenn Sie diese Schwächen später in Ihrem Programm erneut untersuchen, können Sie auf diese Erklärung zurückgreifen, anstatt die Unterscheidung zwischen ISO-Normen und gesetzlichen Vorgaben erneut ausführlich zu erläutern.

ISMS.online verschafft Ihnen einen Vorsprung von 81 % ab dem Moment Ihrer Anmeldung

ISO 27001 leicht gemacht

Wir haben die harte Arbeit für Sie erledigt und Ihnen vom Moment Ihrer Anmeldung an einen Vorsprung von 81 % verschafft. Sie müssen nur noch die Lücken ausfüllen.

Los geht´s

ISO 27001 Lieferantenkontrollen, die MSPs zuerst in Verträge aufnehmen müssen

ISO 27001 hebt eine kleine Gruppe von Lieferantenkontrollen hervor, die vor der Verschärfung der NIS-2-Durchsetzung explizit in Verträgen festgehalten werden sollten. Sobald Sie akzeptiert haben, dass Lieferantenverträge Teil Ihres Kontrollsystems sind, gilt es im nächsten Schritt zu entscheiden, welche ISO-27001-Anforderungen explizit in diesen Vereinbarungen enthalten sein müssen. Da man nicht alle Aspekte abdecken kann, liegt der Fokus darauf, die Kontrollen zu identifizieren, die sich am direktesten auf die regulierte Verfügbarkeit, den Datenschutz und das Incident-Management auswirken, ihnen eine klare vertragliche Grundlage zu geben und den Fortschritt strukturiert zu verfolgen. Eine ISMS-Plattform wie ISMS.online kann Ihnen dabei helfen, jede Kontrolle Musterklauseln zuzuordnen und aufzuzeigen, wo Sie bereits Lücken geschlossen haben.

Sicherheitsgrundlagen für kritische Lieferanten

Kritische Lieferanten benötigen klar definierte Sicherheitsstandards, damit Sie nachweisen können, wie sie Ihre Managed Services und regulierten Kunden unterstützen. Konkret sollten Sie für jeden wichtigen Lieferanten eine kurze Liste der erforderlichen Mindestkontrollen vorlegen und deren vertragliche Verankerung aufzeigen können.

Für Lieferanten, die die Vertraulichkeit, Integrität oder Verfügbarkeit Ihrer Managed Services beeinträchtigen können, verlangt ISO 27001 die Festlegung und Überwachung klarer Sicherheitserwartungen. Gemäß NIS 2 reicht eine informelle Vorgehensweise nicht mehr aus; die Erwartungen müssen vertraglich festgehalten werden, um nachzuweisen, wie Sie Lieferkettenrisiken managen. Ein praktischer Ansatz besteht darin, für verschiedene Lieferantenkategorien einen kleinen Satz an Sicherheitsgrundlagen zu definieren und diese anschließend in Vertragsklauseln zu überführen. Beispiele hierfür sind Mindeststandards für Hosting-Umgebungen, Erwartungen an Dienstleister, die Kundendaten verarbeiten, und spezifische Anforderungen an Protokollierung oder Verschlüsselung für Tools, die regulierte Dienste unterstützen.

Schlüsselelemente einer vertragsfertigen Sicherheitsgrundlage

Sicherheitsgrundlagen und -umfang: Beschreiben Sie die Systeme, Daten und Standorte, die in den Geltungsbereich fallen, sowie die Mindestkontrollen, die sie erfüllen müssen.
Zertifizierung und Beglaubigung: Entscheiden Sie, ob Sie erwarten, dass der Lieferant ein eigenes ISMS oder eine gleichwertige Qualitätssicherung aufrechterhält und wie oft er Aktualisierungen erhalten möchte.
Verpflichtungen ändern: Verlangen Sie rechtzeitige Benachrichtigung über wesentliche Änderungen der Sicherheitslage oder Zertifizierungen, damit Sie das Risiko neu bewerten können.

Indem Sie diese Grundlagen mit Ihrer Anwendungsbeschreibung abgleichen, schaffen Sie eine konsistente Darstellung: Die intern geltend gemachten Kontrollen werden durch die extern geforderten Verpflichtungen untermauert. Dies reduziert zudem die Verwirrung für IT- und Sicherheitsexperten, da die Entwickler in den Playbooks und den einzuhaltenden Verträgen dieselben Erwartungen vorfinden.

Erste Schritte zur Implementierung von Lieferantensicherheitsrichtlinien

Schritt 1 – Identifizierung kritischer Lieferanten

Beginnen Sie mit Anbietern, deren Ausfall regulierte Dienstleistungen beeinträchtigen oder regulierte Daten gefährden würde.

Schritt 2 – Lieferanten in Kategorien einteilen

Separate Hosting-Lösungen, Sicherheitstools, Subunternehmer-MSPs und spezialisierte Beratungsunternehmen mit unterschiedlichen Risikoprofilen.

Schritt 3 – Minimale Basiswerte pro Kategorie entwerfen

Verwenden Sie die Sprache von ISO 27001 und NIS 2, um kurze, überprüfbare Basiserwartungen zu erstellen.

Schritt 4 – Baselines in Klauseln abbilden

Verknüpfen Sie jeden Basispunkt mit dem Standardvertragstext und Ihrer Anwendbarkeitserklärung.

Sobald man diese Schritte für eine kleine Gruppe von besonders einflussreichen Lieferanten unternommen hat, wird es wesentlich einfacher, den Ansatz in einem nachhaltigen Tempo auf andere Lieferanten auszuweiten.

Zugang, Überwachung und Änderungskontrolle in Lieferantenverträgen

Zugriff, Protokollierung und Änderungskontrolle sind die Stellhebel, die oft über Erfolg oder Misserfolg einer Reaktion auf einen Sicherheitsvorfall entscheiden. Ihre Verträge sollten klar regeln, wie Lieferanten auf Systeme zugreifen, was sie protokollieren und wie sie Änderungen verwalten, die regulierte Dienste betreffen.

ISO 27001 verpflichtet Sie, den Zugriff Ihrer Lieferanten auf Ihre Systeme und Daten sowie die Kontrolle ihrer Änderungen zu regeln. Verträge dienen dazu, diese Erwartungen in rechtsverbindliche Verpflichtungen umzuwandeln, die auch Audits und Untersuchungen standhalten. Ohne diese Klarheit könnten Sie im Falle eines schwerwiegenden Vorfalls feststellen, dass Ihnen die angenommenen Rechte nicht zustehen.

Übersetzung von betrieblichen Kontrollen in Klauseln

Zugriffskontrolle und Prinzip der minimalen Berechtigungen: Verlangen Sie ein strenges Identitätsmanagement, beschränkten privilegierten Zugriff sowie Genehmigungen und Protokollierung für den Zugriff auf Ihre Systeme oder Kundenumgebungen.
Überwachung, Protokollierung und Beweissicherung: Legen Sie Aufbewahrungsfristen, Formate und Zugriffsrechte für Protokolle fest, wenn Sie auf Protokolle oder Tools von Lieferanten angewiesen sind, um Vorfälle zu erkennen und zu untersuchen.
Änderungs- und Konfigurationsmanagement: Erwarten Sie von Ihren Lieferanten, dass sie Sie über Änderungen mit hohem Risiko informieren, gegebenenfalls deren Genehmigung einholen und Notfallpläne für kritische Dienstleistungen bereithalten.

Diese Klauseln müssen Ihre internen Verfahren nicht exakt wiedergeben, Ihnen aber ausreichend Handlungsspielraum und Transparenz bieten, um die Risiken zu managen, deren Behandlung ISO 27001 von Ihnen erwartet. In der Praxis haben viele Managed Service Provider (MSPs) festgestellt, dass prägnante Verweise auf „dokumentierte Änderungsprozesse“ und „sicherheitsgeprüfte Releases“ die Erwartungen sowohl für technische Teams als auch für Rechtsabteilungen verdeutlichen und gleichzeitig Risikobeschreibungen im Stil von NIS 2 unterstützen.

Erstellung eines internen Leitfadens für Lieferantenverträge

Ein strukturierter Leitfaden bietet eine zentrale Anlaufstelle, um die Kontrollen nach ISO 27001 mit Mustervertragsklauseln und vereinbarten Verhandlungspositionen zu verknüpfen. Für Vertrieb, Rechtsabteilung und Einkauf wird es dadurch deutlich einfacher, einheitlich zu handeln, da sie auf ein einziges, gepflegtes Set von Vorlagen zurückgreifen können.

Anstatt jede Klausel von Grund auf neu zu formulieren, empfiehlt es sich, einen internen Leitfaden zu erstellen, der jede wichtige ISO-Lieferantenkontrolle mit einer Mustervertragsklausel verknüpft. Dieser Leitfaden kann hervorheben, was nicht verhandelbar ist (z. B. Mindeststandards für Protokollierung und Meldung von Vorfällen) und wo Flexibilität möglich ist (z. B. bei spezifischen Kennzahlen oder Berichtsformaten). Mit der Zeit bildet er die Brücke zwischen Ihrer Anwendbarkeitserklärung und den täglichen Lieferantenverhandlungen, sodass die Teams nicht mehr im Unklaren darüber sind, was „gut genug“ bedeutet. Für Datenschutzbeauftragte und Rechtsexperten kann derselbe Leitfaden aufzeigen, wie Datenschutzvereinbarungen und Sicherheitspläne mit den zentralen Sicherheitsklauseln übereinstimmen und so das Risiko widersprüchlicher Zusagen verringern.

Dies bietet einen weiteren Vorteil: Wenn Kunden fragen, wie Ihre ISO-27001-Kontrollen für Ihre Lieferanten gelten, können Sie auf einheitliche Vertragsbedingungen verweisen, anstatt auf ein Flickwerk unterschiedlicher, unter Druck getroffener Vereinbarungen. Eine Plattform wie ISMS.online unterstützt Sie dabei, diese Vorgehensweise zu verwalten, jeden Klauseltyp mit Kontrollen und Risiken zu verknüpfen und aufzuzeigen, wo Verträge übereinstimmen oder noch Anpassungen erforderlich sind.

NIS 2 Artikel 21 und 23: Was muss an die Lieferanten weitergegeben werden?

Die Artikel 21 und 23 von NIS 2 definieren Risikomanagement- und Meldepflichten, die maßgeblich von eindeutigen Lieferantenverträgen abhängen. ISO 27001 bietet eine strukturierte Herangehensweise an das Lieferantenrisiko; NIS 2 legt die zu erreichenden rechtlichen Ziele fest. Für Managed Service Provider (MSPs) sind Artikel 21 (Maßnahmen zum Management von Cybersicherheitsrisiken) und Artikel 23 (Meldung von Vorfällen) von größter Bedeutung. Beide haben klare Auswirkungen darauf, wie Sie Verträge mit Ihren kritischen Lieferanten gestalten und verhandeln und wie Sie diese Entscheidungen in Ihrem Informationssicherheitsmanagementsystem (ISMS) dokumentieren. Werden diese Pflichten nicht in rechtsverbindlicher Form an MSPs und ihre Lieferanten weitergegeben, werden Kunden und Aufsichtsbehörden Schwierigkeiten haben, sich im Falle schwerwiegender Vorfälle auf Ihre Dienste zu verlassen.

Artikel 21: Risikomanagementpflichten, die Lieferanten betreffen

Artikel 21 verpflichtet Unternehmen zur Umsetzung geeigneter technischer, betrieblicher und organisatorischer Maßnahmen, einschließlich der Sicherung der Lieferkette, um Dienstleistungsrisiken zu managen. Der Artikel zum Risikomanagement der Richtlinie enthält eine Reihe von Maßnahmen wie Richtlinien, Vorfallmanagement, Geschäftskontinuität und Lieferkettensicherheit und betont ausdrücklich, dass die Beziehungen zu Lieferanten und Dienstleistern Teil des Gesamtkonzepts sein müssen. Das bedeutet, dass Ihr Risikomanagement unvollständig ist, wenn Ihre Lieferantenverträge die in Ihrem ISMS (Informationssicherheitsmanagementsystem) geforderten Kontrollen nicht abbilden.

Für Managed Service Provider (MSPs) ergeben sich daraus zwei zusammenhängende Fragen: Welche Maßnahmen sind Sie gegenüber den Behörden direkt schuldig, wenn Sie selbst in den Geltungsbereich fallen, und welche Pflichten Ihrer Kunden hängen von Ihrer Leistung und der Ihrer Lieferanten ab? Sobald diese Fragen beantwortet sind, wird deutlich, welche Erwartungen in Ihren vorgelagerten Verträgen festgehalten werden müssen. In vielen MSP-Reviews zeigt sich an dieser Stelle erstmals, dass interne Risikoregister Fähigkeiten voraussetzen, zu deren Bereitstellung Lieferanten noch nicht verpflichtet sind, wie beispielsweise spezifische Resilienz oder Meldeverfahren.

Zuordnung von Artikel 21 zu Lieferantenpflichten

Sicherheitsgrundlagen und Resilienz: Verpflichten Sie Ihre wichtigsten Lieferanten, Richtlinien, Maßnahmen zur Vorfallbearbeitung, Geschäftskontinuität und Tests einzuhalten, die Ihre NIS 2-orientierten Erwartungen unterstützen.
Überprüfungsrechte: Sichern Sie sich das Recht, Bescheinigungen, Berichte oder verhältnismäßige Prüfungen von Kontrollen zu erhalten, die für regulierte Dienstleistungen von Bedeutung sind.
Transparenz der Lieferkette: Verlangen Sie von Ihren Lieferanten, dass sie Sie über wesentliche Änderungen bei ihren eigenen kritischen Subunternehmern informieren und gegebenenfalls wichtige Verpflichtungen an diese weitergeben.

Indem Sie in Ihrem ISMS dokumentieren, wie Sie diese Lieferanten auswählen, bewerten und überwachen, und auf die entsprechenden Klauseln verweisen, schaffen Sie ein schlüssiges Risikomanagement. Visualisierung: Einfache RACI-Matrix zur Zuordnung der Pflichten von Managed Service Providern (MSP), Lieferanten und Kunden gemäß Artikel 21.

Artikel 23: Fristen und Abhängigkeiten für die Meldung von Vorfällen

Artikel 23 setzt enge Fristen für die Meldung „bedeutender“ Vorfälle, die schwer einzuhalten sind, wenn Lieferanten verspätet oder unvollständige Informationen liefern. Um die Fristen von NIS 2 einzuhalten, benötigen Sie von Ihren vorgelagerten Lieferanten eine schnelle Benachrichtigung mit ausreichend detaillierten Informationen für Ihre eigene Berichterstattung.

Artikel 23 wird in offiziellen Leitlinien üblicherweise so zusammengefasst, dass er eine Frühwarnung innerhalb von 24 Stunden, einen ersten Bericht innerhalb von 72 Stunden und einen Abschlussbericht innerhalb eines Monats vorschreibt, zuzüglich Aktualisierungen bei wichtigen neuen Entwicklungen. Diese Fristen sind selbst dann eine Herausforderung, wenn man alle Aspekte eines Dienstes kontrolliert, und ihre Einhaltung kann sich als sehr schwierig erweisen, wenn man erst Tage später von Vorfällen bei Anbietern erfährt. Aktuelle Bedrohungsanalysen zu Managed Service Providern (MSPs) verdeutlichen, wie komplexe Vorfälle mit mehreren Beteiligten koordinierte Reaktionen verzögern können. Viele MSPs erleben dies, wenn ein Vorfall auf einer Cloud-Plattform öffentlich bekannt wird, bevor die vertraglich festgelegten Ansprechpartner verwertbare Informationen oder Anweisungen erhalten.

Die Studie „State of Information Security 2025“ ergab, dass die meisten Organisationen im Vorjahr bereits von mindestens einem Sicherheitsvorfall im Zusammenhang mit Drittanbietern oder Lieferanten betroffen waren.

Vorfallerkennung und -benachrichtigung: Definieren Sie, was für Ihre Dienstleistungen als meldepflichtiger Vorfall gilt, wie schnell Lieferanten Sie informieren müssen und welche Mindestinformationen Sie benötigen.
Zusammenarbeit mit Behörden und CSIRTs: Festlegen von Erwartungen hinsichtlich der Beweissicherung, des technischen Supports und der Beteiligung an gemeinsamen Kommunikationsmaßnahmen, wenn Vorfälle behördliche Aufmerksamkeit erregen.
Zugriff auf Nachweise und Protokolle: Sichern Sie sich die Zugriffsrechte auf relevante Protokolle, Berichte und technische Artefakte, damit Sie Kunden und Vorgesetzten die Ursachen und Korrekturmaßnahmen erläutern können.

Nicht jeder Lieferant benötigt die gleichen Verpflichtungen. Es ist sinnvoll, zwischen Anbietern zu unterscheiden, die lediglich Ihre internen Backoffice-Systeme unterstützen, und solchen, deren Ausfall wichtige Kundenservices beeinträchtigen oder regulierte Daten gefährden könnte. Letztere Kategorie rechtfertigt in der Regel strengere und detailliertere Weitergabeklauseln, oft untermauert durch häufigere Qualitätsprüfungen.

Schließung des Kreislaufs zwischen Verträgen und Lieferantensicherung

Klauseln im Zusammenhang mit Vorfällen sind nur dann hilfreich, wenn Sie auch die Einhaltung dieser Klauseln durch die Lieferanten im Laufe der Zeit überprüfen und überwachen. Unabhängig vom gewählten Verpflichtungsgrad müssen Sie nachweisen, dass Verträge keine unverbindlichen Versprechen sind.

Ihr ISMS sollte erläutern, wie Sie die Einhaltung der wichtigsten Klauseln durch Ihre Lieferanten überprüfen und wie die Ergebnisse in die Risikobehandlung, Lieferantenbewertungen und Verbesserungspläne einfließen. Dies bedeutet, Ihre Rechtsvorlagen mit Ihrem Programm zur externen Qualitätssicherung abzustimmen. Wenn Ihr Risikomanagement auf Prüfrechten, Bestätigungen oder dem Zugriff auf Nachweise beruht, müssen die erforderlichen Rechte im Vertrag aufgeführt sein. Wenn Sie Ihren Kunden zusichern, die mit NIS 2 verbundenen Lieferantenrisiken zu managen, benötigen Sie einen glaubwürdigen Nachweis dafür. Für die Praxis verdeutlicht diese Abstimmung, welche Lieferantenbewertungen aus regulatorischen Gründen verpflichtend sind und welche im Ermessen des Unternehmens liegen.

Integrieren, erweitern und skalieren Sie Ihre Compliance, ohne dass es zu Problemen kommt. IO gibt Ihnen die Widerstandsfähigkeit und das Vertrauen, um sicher zu wachsen.

Buchen Sie Ihre Demo

Der Vertrags-Erste-Hilfe-Kasten: Was in Phase 1 und was in späteren Phasen behoben werden sollte

Es ist unrealistisch, vor Inkrafttreten der NIS-2-Vorschriften alle Lieferanten- und Kundenverträge neu zu verhandeln. Daher benötigen Sie ein zielgerichtetes Notfallpaket. Die meisten Managed Service Provider (MSPs) können nicht alle Verträge gleichzeitig bearbeiten, und der Versuch führt wahrscheinlich zu Überlastung, Widerstand und verpassten Fristen. Ein realistischerer Ansatz ist, die Vertragsanpassung wie jedes andere risikobasierte Veränderungsprogramm zu behandeln: Nutzen Sie einen stufenweisen Anpassungsplan, der zunächst die Klauseln und Beziehungen mit den größten Auswirkungen angeht und den Umfang erweitert, sobald das anfängliche Risiko unter Kontrolle ist und für die Beteiligten sichtbar ist.

Zwei Drittel der Organisationen, die an der ISMS.online-Umfrage „State of Information Security 2025“ teilnahmen, gaben an, dass die Geschwindigkeit und das Ausmaß der regulatorischen Änderungen die Einhaltung der Vorschriften zunehmend erschweren.

Die meisten Managed Service Provider (MSPs) können nicht alle Lieferanten- und Kundenverträge neu verhandeln, bevor die NIS-2-Richtlinie in Kraft tritt. Ein solcher Versuch führt wahrscheinlich zu Überlastung, Widerstand und verpassten Fristen. Realistischer ist es, die Vertragsanpassung wie jedes andere risikobasierte Veränderungsprogramm zu behandeln: Man beginnt mit einem eng begrenzten, aber wirkungsvollen Bereich und passt diesen dann iterativ an, sobald die anfänglichen Risiken unter Kontrolle sind und für die Stakeholder sichtbar sind.

Phase 1: Die entscheidenden Klauseln

Phase 1 sollte sich auf einige wenige Klauseln konzentrieren, die den größten Einfluss auf Ihre Fähigkeit und die Ihrer Kunden haben, NIS 2 einzuhalten. Diese Verpflichtungen gehören wahrscheinlich zu den ersten Dingen, nach denen Aufsichtsbehörden und Prüfer suchen, wenn sie eine regulierte Lieferkette überprüfen, da die öffentlichen Leitlinien zum Lieferkettenrisiko immer wieder auf Vorfallspflichten, Basiserwartungen, Prüfungs- und Bestätigungsrechte sowie die Weitergabe wichtiger Verpflichtungen hinweisen.

Vier Klauseln für Ihren „Erste-Hilfe-Kasten“

Aufgaben im Einsatzfall: Legen Sie zeitgebundene Benachrichtigungen, klare Auslöser, Kanäle und Mindestinformationen zu Vorfällen fest, die Lieferanten bereitstellen müssen.
Sicherheitsgrundlagen: Verpflichten Sie wichtige Zulieferer zur Einhaltung definierter Ausgangswerte und, wo angebracht, zur Angleichung an Ihre eigenen Systemkontrollen.
Prüfungs- und Beweisrechte: Sie erhalten das Recht, relevante Berichte, Zugriffsprotokolle oder Dashboards zu erhalten und, soweit angemessen, Audits in Auftrag zu geben.
Weitergabe an Subunternehmer: Stellen Sie sicher, dass die Lieferanten die wichtigsten Verpflichtungen an die entscheidenden Subunternehmer weitergeben und Sie über wesentliche Änderungen informieren.

Eine Plattform wie ISMS.online kann Ihnen dabei helfen, die Standorte dieser Klauseln zu ermitteln, sie mit den Kontrollen der ISO 27001 und den Pflichten gemäß NIS 2 zu verknüpfen und den Fortschritt der Behebung der Mängel bei Ihren Lieferanten zu verfolgen. Innerhalb Ihres ISMS könnte „Phase 1 abgeschlossen“ beispielsweise bedeuten, dass alle Verträge mit Top-Tier-Lieferanten und den unter NIS 2 fallenden Kunden um diese vier Klauseltypen ergänzt und mit spezifischen Risiken und Kontrollen verknüpft wurden.

Wie man Verträge für Sanierungsmaßnahmen priorisiert

Schon in Phase 1 benötigen Sie eine Methode, um zu entscheiden, welche Verträge zuerst bearbeitet werden sollen, damit Ihre Bemühungen auf die Bereiche mit dem größten Risiko konzentriert werden. Ohne Priorisierung können dringende Geschäftsbeziehungen vernachlässigt werden, während risikoarme Verträge nur deshalb Beachtung finden, weil sie zur Verlängerung anstehen.

Hilfreiche Priorisierungsfaktoren sind unter anderem:

Kundenrelevanz und Umsatz: Beginnen Sie mit Dienstleistungen, die Ihre wertvollsten oder strategisch wichtigsten Beziehungen untermauern.
Regulierungsrisiken: Der Fokus liegt auf Kunden, die eindeutig unter NIS 2 fallen, und auf Lieferanten, deren Ausfall meldepflichtige Vorfälle zur Folge hätte.
Konzentrationsrisiko: Lieferanten, die viele Kunden oder kritische Dienstleistungen betreuen, sollten ein höheres Gewicht erhalten.
Datensensibilität: Priorisieren Sie Verträge, die regulierte oder streng vertrauliche Daten beinhalten.

Durch die Kombination dieser Faktoren in einem einfachen Bewertungsmodell erhalten Sie eine Rangliste der zu aktualisierenden Verträge sowie eine klare Darstellung für Vorstände und Stakeholder, warum Sie an dieser Stelle begonnen haben. Rechts- und Beschaffungsteams können diese Liste dann nutzen, ohne Prioritäten ständig neu festlegen zu müssen, und Sie können den Fortschritt anhand eines transparenten Plans dokumentieren.

Schnellere Bearbeitung von Vorlagen und Anhängen

Standardisierte Formulierungen sind Ihr wichtigstes Hilfsmittel, wenn Sie unter Zeitdruck zahlreiche Verträge überarbeiten müssen. Während Sie wichtige Geschäftsbeziehungen aktualisieren, ist es ratsam, die Mindestanforderungen für alle neuen Verträge anzupassen.

Aktualisieren Sie Ihre Standardvorlagen – Rahmenverträge, Datenverarbeitungsvereinbarungen und Sicherheitsrichtlinien –, sodass jeder neue Vertrag und jede Verlängerung automatisch auf optimierten Formulierungen basiert. So vermeiden Sie, dass neue Lücken entstehen, während Sie bestehende schließen. Bei bestehenden Verträgen werden viele Parteien umfangreiche Neuverhandlungen scheuen. Kurze Nachträge können hier einen praktikablen Kompromiss darstellen: Dokumente, die die wichtigsten NIS-2-bezogenen Klauseln zu Vorfallsmeldung, Baseline, Audit und Weitergabe ergänzen, ohne den gesamten Vertrag neu zu verfassen. Diese lassen sich oft schneller vereinbaren und sind für die Rechtsabteilung leichter zu prüfen.

Definieren Sie abschließend konkret, was „Phase 1 abgeschlossen“ bedeutet. Zum Beispiel: „Alle Verträge mit Top-Tier-Lieferanten und Kunden der NIS 2-Kategorie wurden um Klauseln zu Vorfällen, Baselines, Audits und Weitergabe aktualisiert.“ Sobald Sie darüber glaubwürdig berichten können, lässt sich eine detailliertere zweite Phase mit Fokus auf Kennzahlen, Resilienzerwartungen und Verantwortungsmatrizen deutlich einfacher planen.

Anforderungen in die Praxis umsetzen: SLAs, DPAs und Sicherheitspläne, die funktionieren

Um Audits und aufsichtsrechtlichen Prüfungen standzuhalten, müssen übergeordnete Klauseln durch konkrete SLAs, Sicherheitspläne und Datenschutzvereinbarungen untermauert werden, die im Arbeitsalltag anwendbar sind. Hier werden die Erwartungen von NIS 2 zu messbaren Aufgaben für Ihre Teams und Lieferanten, anstatt abstrakte Richtlinien in Verträgen zu bleiben.

Die Formulierung von Verträgen auf hoher Ebene ist nur die halbe Miete. Um Audits oder aufsichtsrechtlichen Prüfungen standzuhalten, müssen Ihre Verpflichtungen in konkrete, messbare Zusagen und entsprechende Dokumente übersetzt werden. Service-Level-Agreements, Sicherheitspläne und Datenverarbeitungsvereinbarungen sind die Bereiche, in denen die Anforderungen von NIS 2 zu konkreten, alltäglichen Aufgaben für Sie und Ihre Lieferanten werden und in denen die Kontrollen der ISO 27001 auf reale Kennzahlen treffen.

SLAs und Sicherheitspläne sollten die Erwartungen an Verfügbarkeit, Erkennung und Reaktion so formulieren, dass sie regulatorische Verpflichtungen erfüllen und nicht nur kommerzielle Leistungsziele. Wenn Kunden darauf angewiesen sind, dass Sie die Anforderungen von NIS 2 hinsichtlich Vorfallsbehebung und Resilienz erfüllen, stellen vage oder nicht abgestimmte Ziele ein Risiko dar.

Rund 41 % der Organisationen gaben in der ISMS.online-Umfrage 2025 an, dass die digitale Resilienz, einschließlich ihrer Fähigkeit, sich an Cyberangriffe anzupassen, ein Hauptanliegen sei.

Service-Level-Agreements (SLAs) und Sicherheitspläne bieten Ihnen die Möglichkeit, regulatorische Vorgaben als messbare Ziele zu formulieren. Wenn die rechtlichen Klauseln ein angemessenes Incident-Management und die Gewährleistung der Ausfallsicherheit vorschreiben, sollten die Pläne dies in der Praxis konkretisieren. Für jeden Managed Service benötigen Sie klare Abgrenzungen, Verfügbarkeitserwartungen und realistische Reaktionszusagen, die den regulatorischen Anforderungen Ihrer Kunden entsprechen.

Entwicklung von SLAs, die NIS 2 unterstützen

Klären Sie Umfang und Grenzen. Geben Sie an, welche Systeme, Standorte und Datentypen vom Service abgedeckt werden und welche nicht.
Verfügbarkeits- und Wiederherstellungsziele festlegen. Die Ziele für Wiederherstellungszeit und Wiederherstellungspunkt werden an den Folgenabschätzungen der Kunden und ihren NIS 2-Erwartungen ausgerichtet.
Erfassungserkennungs- und Reaktionszeiten: Vereinbaren Sie Triage- und Reaktionsziele für verschiedene Schweregrade, damit die Fristen für die Meldung von Vorfällen realistisch bleiben.

Wenn Lieferanten die Grundlage Ihrer SLAs bilden, müssen dieselben Erwartungen auch in deren Verträgen festgehalten werden. Andernfalls riskieren Sie, Ihren Kunden mehr zu versprechen, als Ihre vorgelagerten Lieferanten leisten müssen. Die Zuordnung von SLA-Kennzahlen zu Lieferantenklauseln in Ihrem ISMS hilft Ihnen zu überprüfen, ob Versprechen und Leistungen übereinstimmen.

Einhaltung der Datenschutzvereinbarungen und Sicherheitspläne

Datenschutzvereinbarungen, Sicherheitspläne und Service-Level-Agreements (SLAs) sollten ein einheitliches Bild der Sicherheits- und Datenschutzmaßnahmen zeichnen und nicht drei leicht unterschiedliche Versionen darstellen. Abweichungen zwischen diesen Dokumenten können bei Vorfällen oder Audits zu schwer erklärbaren Lücken führen.

Datenverarbeitungsvereinbarungen (DPA) sind ein weiterer Bereich, in dem Inkonsistenzen entstehen können. Wenn Ihre DPA Verschlüsselung, Fristen für die Meldung von Datenschutzverletzungen oder Zugriffskontrollen zusichert, die von Ihrem Sicherheitsplan oder Ihrer Service-Level-Vereinbarung (SLA) für Sicherheitsvorfälle abweichen, schaffen Sie von vornherein Verwirrung im Vertrag. Ein saubererer Ansatz ist es, die DPA auf einen einzigen, gut gepflegten Sicherheitsanhang verweisen zu lassen, der die Kernmaßnahmen – beispielsweise Verschlüsselung, Protokollierung, Zugriffsverwaltung und Datensicherung – festlegt. Stellen Sie anschließend sicher, dass dieser Anhang mit Ihren SLAs und Lieferantenverträgen übereinstimmt. So müssen Sie dieselben technischen Zusagen nicht an drei Stellen aufrechterhalten.

Bei mandantenfähigen oder gemeinsam genutzten Plattformen ist die klare Abgrenzung der Verantwortlichkeiten besonders wichtig. Eine einfache RACI-Matrix für die wichtigsten Bereiche (Identität, Patching, Datensicherung, Protokollierung, Incident-Triage, Kundenkommunikation) lässt sich in einen Zeitplan integrieren und ist bei der Bearbeitung von Incidents von unschätzbarem Wert. Sie bildet zudem eine natürliche Verbindung zwischen Verträgen, Betriebshandbüchern und ISMS-Dokumentation. Datenschutzbeauftragte, Rechtsabteilung und Anwender können dann dieselbe RACI-Matrix nutzen, um Datenschutzvereinbarungen, Betriebshandbücher und Lieferantenklauseln aufeinander abzustimmen.

Governance-Überprüfungen und Ausnahmebehandlung

Governance-Prüfungen und dokumentierte Ausnahmen zeigen den Aufsichtsbehörden, dass Ihre Kontrollmechanismen nicht nur dokumentiert, sondern auch aktiv gesteuert werden. NIS 2 erwartet eine kontinuierliche Governance und nicht nur einmalige Dokumentationen. Daher sollten Verträge die Überprüfung von Leistung und Compliance vorwegnehmen.

Jährliche gemeinsame Überprüfungen, vereinbarte Kennzahlen und ein strukturierter Ansatz zur Erfassung und Nachverfolgung von Verbesserungsmaßnahmen schaffen eine lückenlose Dokumentation, die von Vorgesetzten als gelebte Unternehmensführung anerkannt wird. Auch Ausnahmen müssen transparent sein. Vereinbaren Sie individuelle Lockerungen von SLAs oder Sicherheitsanforderungen für einen bestimmten Kunden oder Lieferanten, sollten diese dokumentiert, einer Risikobewertung unterzogen und sowohl in Ihrem ISMS als auch in Ihrem Vertragsarchiv sichtbar sein. Andernfalls riskieren Sie, Ihre eigenen Standards zu untergraben und schwer erklärbare Inkonsistenzen zu schaffen, wenn Prüfer oder Behörden nachfragen, warum eine Geschäftsbeziehung anders behandelt wurde.

Durch die Abstimmung von SLAs, DPAs, Sicherheitsplänen und Governance-Mechanismen zeigen Sie, dass Ihr zweistufiges NIS-Modell von den Verpflichtungen der Geschäftsleitung bis hin zu operativen Kennzahlen und dem Verhalten von Lieferanten kohärent ist. Für Compliance-Startups erleichtert diese Struktur zudem die Erklärung, wie ein relativ kleines Team die zuverlässige Kontrolle über eine komplexe Servicekette aufrechterhalten kann, da Verpflichtungen, Kennzahlen und Prüfungen nach demselben Schema ablaufen.

ISMS.online unterstützt über 100 Standards und Vorschriften und bietet Ihnen eine einzige Plattform für alle Ihre Compliance-Anforderungen.

Buchen Sie Ihre Demo

Die zehn größten Vertragslücken, die bei ISO-zertifizierten MSPs immer noch gegen NIS 2 verstoßen

Selbst gut geführte, ISO-zertifizierte Managed Service Provider (MSPs) neigen dazu, dieselben Vertragsfehler zu wiederholen, wenn man sie aus der NIS-2-Perspektive betrachtet. Bei einer Überprüfung der MSP-Verträge aus dieser Sicht treten dieselben Schwächen immer wieder zutage, selbst wenn der Anbieter über ein solides ISO-27001-Zertifikat verfügt. Das Erkennen dieser Muster hilft Ihnen, Vorständen, Auditoren und Kunden zu erklären, warum die Behebung von Vertragsmängeln wichtig ist, und bietet Ihnen eine einfache Checkliste für Ihr eigenes Vertragsregister, ohne den Wert Ihres bestehenden Informationssicherheitsmanagementsystems (ISMS) zu beeinträchtigen.

Lücken in den Rollen und der Berichterstattung

Lücken in den Zuständigkeiten und im regulatorischen Rahmen erschweren die Zuordnung von Verantwortlichkeiten im Falle von Zwischenfällen. Viele Verträge scheitern bereits an der grundlegenden Definition der Aufgabenverteilung in einem regulierten Umfeld, sodass Kunden, Lieferanten und Vorgesetzte in zeitkritischen Situationen im Dunkeln tappen.

Kein expliziter Bezug auf Rollen und regulatorischen Kontext.
In den Verträgen wird nicht angegeben, ob es sich bei dem Kunden um eine wesentliche oder wichtige Einrichtung handelt, ob der Managed Service Provider (MSP) direkt reguliert ist oder wie sich dies auf die gemeinsamen Pflichten auswirkt.
Unklare oder fehlende Meldepflichten für Vorfälle.
Formulierungen wie „unverzüglich informieren“ oder „so bald wie vernünftigerweise möglich“ schaffen einen Konflikt mit den festgelegten Meldefristen von 24 Stunden und 72 Stunden gemäß NIS 2.
Unklare Zuständigkeit für die Einbindung der Regulierungsbehörden.
In den Vereinbarungen wird oft außer Acht gelassen, wie Lieferanten die Interaktion mit den Behörden unterstützen, Informationen bereitstellen oder sich an gemeinsamen Kommunikationsmaßnahmen beteiligen, wenn etwas schiefgeht.

Diese Schwächen erschweren es, nachzuweisen, dass Sie und Ihre Kunden die Pflichten gemäß NIS 2-Vorfallsprotokoll auch unter Druck erfüllen können.

Lücken in der Zusicherung und im Nachweis

NIS 2 verlangt von Ihnen, dass Sie konkrete Zusicherungen und Nachweise von Lieferanten vorlegen können, nicht nur Marketingaussagen oder datierte Zertifikate. Ohne strukturierte Zusicherungsrechte kann es Ihnen schwerfallen, zu erklären, wie Sie kritische Lieferanten überwacht haben.

Eine weitere wiederkehrende Schwäche ist das Fehlen integrierter Mechanismen zur Einholung von Zusicherungen und Nachweisen von Lieferanten. ISO 27001 verlangt die Überwachung und Bewertung von Lieferanten; NIS 2 verlangt den Nachweis einer effektiven Umsetzung der von ihnen abhängigen Kontrollen. Leitlinien europäischer Behörden zur Lieferkettensicherheit betonen die Bedeutung einer strukturierten Qualitätssicherung und der kontinuierlichen Überwachung kritischer Lieferanten und nicht nur die Abhängigkeit von Selbsterklärungen oder einmaligen Bestätigungen. Typische Lücken sind:

Es besteht keine Verpflichtung zur Vorlage von Protokollen oder Nachweisen.
Ohne klare Rechte an Protokollen, Berichten und technischen Details von Lieferanten kann es schwierig sein, Vorfälle zu untersuchen oder den Aufsichtsbehörden die Ursachen nachzuweisen.
Schwache oder nicht vorhandene Prüfungs- und Bestätigungsrechte.
Sich nur auf Marketingaussagen oder veraltete Zertifikate zu verlassen, ohne einen strukturierten Weg zu haben, um aktualisierte Zusicherungen zu erhalten, ist schwer zu verteidigen, wenn Vorgesetzte Ihre Aufsichtspflichten in Frage stellen.
Klauseln für Subunternehmer, die keine tatsächliche Weitergabe der Rechte nach unten bewirken.
Formulierungen, die lediglich „angemessene Sicherheit“ von Subunternehmern erwarten, legen nicht fest, welche Verpflichtungen, insbesondere im Hinblick auf die Meldung von Vorfällen und die Zusammenarbeit, weitergegeben werden müssen.
Kein Mechanismus zur Aktualisierung der Steuerelemente.
Viele Verträge frieren Sicherheitsanforderungen bei der Unterzeichnung ein, ohne Bezug zu sich weiterentwickelnden Standards oder Richtlinien. Das führt dazu, dass Verpflichtungen entstehen, die mit der Zeit an Bedeutung verlieren, wenn sich Bedrohungen und Erwartungen ändern.

Wenn man diese Punkte in einer einzigen Checkliste zusammenfasst, wird es viel einfacher, bestehende Vereinbarungen zu überprüfen und interne Stakeholder darüber zu informieren, was geändert werden muss.

Lücken in der Resilienz und im Veränderungsmanagement

Die Erwartungen an die Resilienz und die Verpflichtungen zur Veränderung werden oft nur unzureichend beschrieben, wodurch erhebliche Risiken im Zusammenhang mit dem NIS 2 bis zu einem Ausfall oder einer Untersuchung unentdeckt bleiben. Diese Lücken treten meist erst dann zutage, wenn eine schwerwiegende Störung das Verhalten in der Praxis auf die Probe stellt.

Die letzte Gruppe von Lücken betrifft den Umgang von Verträgen mit Resilienz, Geschäftskontinuität und Veränderungen. Diese Probleme sind im Alltag möglicherweise nicht sichtbar, werden aber bei Ausfällen und Krisen schmerzlich deutlich:

Haftungsobergrenzen und -ausschlüsse, die die regulatorische Realität ignorieren.
Klauseln, die die Verantwortung für behördliche Strafen, Datenverlust oder längere Ausfälle ausschließen, mögen in einigen Sektoren Standard sein, können aber Fragen aufwerfen, ob die Risikoverteilung noch dem Grundsatz der „angemessenen und verhältnismäßigen“ Risikoverteilung der NIS 2 entspricht.
Mangelnde Klarheit hinsichtlich der Zuständigkeiten für Kontinuität und Katastrophenbewältigung.
Wenn Ihr Service von der Infrastruktur eines Anbieters abhängt, der Vertrag aber wenig über dessen Maßnahmen zur Ausfallsicherheit, Test- oder Wiederherstellungsverpflichtungen aussagt, lässt sich schwer argumentieren, dass die Verfügbarkeitsrisiken angemessen gemanagt wurden.
Es besteht kein Zusammenhang zwischen Vertragsklauseln und internen Kontrollsystemen.
Selbst wenn die Formulierung gut aussieht, wird sie oft nicht auf die Kontrollen nach ISO 27001 oder die Pflichten nach NIS 2 in einem Aufzeichnungssystem zurückgeführt, was es schwierig macht, nachzuweisen, dass Verträge Ihr Managementsystem tatsächlich unterstützen.

Die systematische Bearbeitung dieser Lücken, beginnend mit Ihren wichtigsten und exponiertesten Geschäftsbeziehungen, ist eine der wirksamsten Methoden, das Risiko gemäß NIS 2 zu reduzieren, ohne Ihr ISO 27001-Programm zu beeinträchtigen. Sie vermitteln damit auch eine klare Botschaft an Vorstände, Versicherer und Kunden: Sie kennen die Kriterien, auf die Aufsichtsbehörden und Auditoren achten, und haben einen Plan, um diese Lücken zu schließen. Ein Vertragsregister oder eine ISMS-Plattform, mit der Sie jede Vereinbarung anhand dieser Lücken kategorisieren können, macht Fortschritte sichtbar und erleichtert die Berichterstattung.

Buchen Sie noch heute eine Demo mit ISMS.online

ISMS.online unterstützt Managed Service Provider (MSPs) dabei, die Kontrollen nach ISO 27001 und die Pflichten gemäß NIS 2 in eine einheitliche, vertragsbasierte Sicht ihrer Servicekette zu integrieren. So können Sie Kunden und Aufsichtsbehörden nachweisen, dass Ihre Lieferkette unter Kontrolle ist. Anstatt separate Tabellen und Dokumentenablagen für Risiken, Lieferanten und rechtliche Bestimmungen zu verwalten, können Sie jede Verpflichtung von der Richtlinie über Ihr internes Kontrollsystem bis hin zur entsprechenden Vertragsklausel und den Nachweisen für deren Wirksamkeit nachverfolgen.

Was Sie sehen, wenn Sie ISO 27001, NIS 2 und Lieferantenverträge zentralisieren

Durch die Integration von Verträgen und Kontrollen in eine zentrale ISMS-Plattform werden zuvor verborgene Muster und Lücken sichtbar. Ein kurzer, fokussierter Rundgang verdeutlicht, wie Ihre wichtigsten NIS-2-Szenarien – wie etwa die Meldung von Vorfällen, Weitergabepflichten und Prüfrechte – aussehen, wenn sie spezifischen Verträgen, Lieferanten und ISO-27001-Kontrollen zugeordnet sind.

Sie werden sehen, wie Vertragsaktualisierungen, Lieferantenprüfungen und die NIS-2-Dokumentation als koordinierte Arbeitsabläufe und nicht als unzusammenhängende E-Mail-Ketten ablaufen können. Dadurch wird es deutlich einfacher, realistische 90-Tage-Ziele zu setzen und zu erreichen, wie beispielsweise „die zwanzig wichtigsten Lieferantenverträge in eine strukturierte Umgebung mit NIS-2-konformen Klauseln und verknüpften Nachweisen zu überführen“. Für IT- und Sicherheitsexperten bedeutet dies außerdem weniger Zeitaufwand für die Dokumentensuche und mehr Zeit für die eigentliche Arbeit an den Kontrollen.

Warum Managed Service Provider (MSPs), denen regulierte Lieferketten wichtig sind, eine einheitliche ISMS-Plattform einsetzen

Managed Service Provider (MSPs), die verlässliche Partner für wichtige Unternehmen und Organisationen sein wollen, profitieren zunehmend von einer soliden Infrastruktur, die Verträge, Kontrollen und Nachweise miteinander verbindet. Sind diese Grundlagen geschaffen, lässt sich dieselbe Infrastruktur auf angrenzende Bereiche wie Geschäftskontinuität, Datenschutz und allgemeine operative Resilienz ausweiten, ohne dass bei jeder neuen Verordnung ein kompletter Neuaufbau nötig ist. Dashboards ermöglichen es, übersichtlich zu erkennen, welche Beziehungen bereits abgestimmt sind, welche sich in Bearbeitung befinden und wo Handlungsbedarf besteht.

ISMS.online bietet Ihnen die notwendige Infrastruktur, die der Arbeitsweise von Managed Service Providern (MSPs) entspricht: Projekte, Phasen, Verantwortlichkeiten und Nachweise sind nahtlos miteinander verknüpft. Wenn Sie herausfinden möchten, ob eine einheitliche Plattform für ISO 27001, NIS 2 und Lieferantenverträge zu Ihrem Unternehmen passt, ist ein kurzer Test oft der schnellste Weg zur Entscheidung.

Entscheiden Sie sich für ISMS.online, wenn Sie ISO 27001 und NIS 2 an einem Ort verwalten möchten, Kunden und Aufsichtsbehörden zeigen wollen, dass Ihre Lieferkette bewusst und nicht auf Vertrauen basiert, und Ihrem Team praktische Werkzeuge an die Hand geben wollen, um Verträge, Kontrollen und Nachweise aufeinander abzustimmen.

Kontakt

Häufig gestellte Fragen (FAQ)

Was sollten Managed Service Provider (MSPs) bei Lieferantenverträgen priorisieren, um eine echte Übereinstimmung von ISO 27001 und NIS 2 zu gewährleisten?

Sie sollten Prioritäten setzen Zeitliche Abläufe bei Vorfällen, Mindestsicherheitsstandards, Prüfungs-/Beweisrechte und Weitergabe von Informationen an Subunternehmer in Lieferantenverträgen, denn das sind die Hebel, die dafür sorgen, dass Ihre ISO 27001-Kontrollen und die NIS 2-Pflichten Ihrer Kunden in die gleiche Richtung gehen.

Wenn diese vier Bereiche unklar sind, können Sie zwar intern ein respektables ISMS betreiben, aber dennoch wichtige und bedeutende Einrichtungen nicht in der Lage sein, die 24-Stunden- bzw. 72-Stunden-Berichtspflichten zu erfüllen oder nachzuweisen, dass Sie und Ihre vorgelagerten Dienstleister die Kontrolle haben, wenn Vorgesetzte anfangen, kritische Fragen zu stellen.

Wie sollten Meldungen und Kooperationsprozesse bei Vorfällen formuliert werden, damit NIS 2-Kunden tatsächlich rechtzeitig Meldungen erstatten können?

Bei Dienstleistungen, die wesentliche oder wichtige Einrichtungen maßgeblich unterstützen, müssen Verträge über die „unverzügliche Benachrichtigung“ hinausgehen und Folgendes definieren:

Welche Ereignisse sind meldepflichtig? für diesen Dienst (z. B. längere Ausfälle, vermutete Kompromittierung verwalteter Identitäten, Datenverlust, der betroffene Kunden betrifft).
Benachrichtigungszeiträume: die den Kunden Zeit geben, die 24-Stunden-Frühwarnung und die 72-Stunden-Nachverfolgung von NIS 2 zu erfüllen, wie z. B. „Erstbenachrichtigung innerhalb von 1–2 Stunden nach der Entdeckung“ bei schwerwiegenden Vorfällen.
Kanäle, Kontakte und Mindestinhalt: von Warnmeldungen, einschließlich Umfang, Auswirkungen, vermuteter Ursache, Sofortmaßnahmen und geplanten Aktualisierungen.
Kooperationsaufgaben: einschließlich der Weitergabe relevanter Protokolle, der Teilnahme an gemeinsamen Triage-Besprechungen, der Unterstützung der Interaktion mit CSIRTs oder Vorgesetzten und der Abstimmung mit dem Kommunikationsplan des Kunden.

Durch diese Transparenz kann Ihr Kunde der Aufsichtsbehörde genau aufzeigen, wie er von Vorfällen auf gemeinsam genutzten Plattformen oder verwalteten Diensten erfahren wird, anstatt sich auf vage Aussagen über „angemessene Bemühungen“ zu verlassen.

Wie sieht ein praktikabler Mindeststandard für Sicherheitsmaßnahmen bei Schlüssellieferanten aus?

Für Cloud-Hosting, SOC-Tools und vorgelagerte Managed Service Provider (MSPs) in Ihrem kritischen Pfad sollten Mindeststandards gelten. spezifisch, testbar und auf Ihr ISMS abgestimmt, Zum Beispiel:

Patch-Management: – Zeitliche Beschränkungen für die Anwendung kritischer und schwerwiegender Patches auf Systemen mit Internetanbindung.
Protokollierung und Überwachung: – welche Ereignisse protokolliert werden, wie lange die Protokolle aufbewahrt werden und wie Benachrichtigungen an Ihr Team weitergeleitet werden.
Sicherung und Wiederherstellung: – RPO/RTO-Werte, die die Verfügbarkeitszusagen unterstützen, die Sie gegenüber wichtigen und unverzichtbaren Einrichtungen machen.
Konfiguration und Härtung: – welche Standards (wie z. B. CIS-Benchmarks) oder internen Baselines sie für die im Geltungsbereich liegenden Dienstleistungen befolgen.

Diese Erwartungen sollten Übereinstimmung mit Ihren Angaben in der Anwendbarkeitserklärung nach ISO 27001 und der Risikobehandlung der LieferantenWenn Sie den Wirtschaftsprüfern mitteilen, dass Sie von den Lieferanten die Anforderung X stellen, sollte der Vertrag X als verbindliche Verpflichtung und nicht als interne Wunschliste festlegen.

Wie können Managed Service Provider (MSPs) angemessene Prüfungs- und Beweisrechte festlegen, ohne Lieferanten abzuschrecken?

Prüfrechte bedeuten nicht immer Vor-Ort-Inspektionen. In vielen MSP-Lieferantenbeziehungen umfassen angemessene Rechte Folgendes:

Zugriff auf Protokolle und Berichte: im Zusammenhang mit den Dienstleistungen, die Ihre Kunden unterstützen, insbesondere wenn Vorfälle wichtige oder bedeutende Einrichtungen betreffen.
Unabhängige Prüfungsdokumente: sofern dies durch das Risiko gerechtfertigt ist (z. B. SOC 2 Typ II Zusammenfassungen, ISO-Zertifikate, Zusammenfassungen von Penetrationstests oder Cloud-Sicherheitsberichte, die die von Ihnen verwendeten Komponenten abdecken).
Teilnahme an oder zumindest Ergebnisse von regelmäßigen Sicherheitsüberprüfungen: bei risikoreicheren Diensten, damit Sie sehen können, ob Probleme erkannt und behoben werden.

Diese Kombination liefert Ihnen genügend Belege, um die Anforderungen an die Lieferantenüberwachung nach ISO 27001 und das Risikomanagement nach NIS 2 zu erfüllen, ohne dass kleinere Lieferanten für jeden Kunden störende Vor-Ort-Besuche durchführen müssen.

Ihre Verträge mit Erstlieferanten sollten klarstellen, dass diese Folgendes leisten müssen:

Weitergabe der Kernverpflichtungen im Bereich Sicherheit, Vorfallsmanagement und Zusammenarbeit: an alle Subunternehmer, die einen wesentlichen Einfluss auf die von Ihnen gegenüber den NIS 2-regulierten Kunden erbrachten Dienstleistungen haben.
Wir benachrichtigen Sie vor wesentlichen Änderungen: in ihrer eigenen Lieferkette, insbesondere bei der Einführung oder dem Austausch eines Anbieters, der Daten hosten oder kritische gemeinsam genutzte Plattformen unterstützen wird.
Führen Sie eine aktuelle Liste der relevanten Subunternehmer: und stellen Sie diese Informationen auf Anfrage zur Verfügung, damit Sie und Ihre Kunden wissen, wo die Verantwortlichkeiten liegen.

Ohne diese Sicherheit können Ihre sorgfältig konzipierten ISO 27001-Kontrollen stillschweigend umgangen werden, sobald ein „Lieferant des Lieferanten“ wichtige Arbeitslasten übernimmt.

Wie kann ISMS.online Managed Service Providern (MSPs) dabei helfen, diese Klauseln, Kontrollen und Lieferanten auf dem gleichen Stand zu halten?

Die meisten Managed Service Provider (MSPs) verfügen bereits über einen Großteil der benötigten Informationen in ihren eigenen Systemen. Risikoregister, Lieferantenaufzeichnungen und AnwendbarkeitserklärungDie Herausforderung besteht darin, dies mit laufenden Verträgen und NIS 2-Risiken in Einklang zu bringen.

Mit ISMS.online können Sie:

Hilft dabei ein Lieferanten- und Vertragsregister und unterteilen Sie es nach ISO 27001-Kontrolle, NIS 2 Artikel 21 und 23, Risikobewertung oder Kundensegment, damit Sie sofort sehen können, welche Beziehungen am wichtigsten sind.
Karte jedes Vorfall-, Ausgangs-, Prüfungs- und Weitergabeklausel zu den von ihm unterstützten Kontrollen und Verträgen und die Nachverfolgung von Abhilfemaßnahmen für diejenigen, die noch auf weiche Formulierungen angewiesen sind.
Führen Sie Lieferanten- und Vertragsaktualisierungen als strukturierte Arbeitsabläufe, mit Eigentümern, Fälligkeitsterminen und Nachweisen, statt verstreuten Tabellenkalkulationen und E-Mail-Verläufen.

Dieses Fundament erleichtert es erheblich, Kunden, Auditoren und Vorgesetzten zu zeigen, dass sich Ihre Arbeit nach ISO 27001 und Ihre Lieferkettenstrategie nach NIS 2 tatsächlich gegenseitig verstärken, anstatt sich mit der Zeit durch Vertragsänderungen auseinanderzuentwickeln.

Wie können Managed Service Provider (MSPs) die Lieferantenkontrollen gemäß ISO 27001 in Vertragsklauseln umwandeln, die Vertriebsteams tatsächlich nutzen können?

Sie können die Lieferantenkontrollen nach ISO 27001 in eine praktikable Vertragssprache umwandeln, indem Sie jede wichtige Kontrolle auf ein Minimum reduzieren. ein klarer Mindeststandard, ein beobachtbares Verhalten und eine Möglichkeit, dies nachzuweisen., ausgedrückt in klaren, kaufmännischen Begriffen.

Anstatt Anhang A in die Anhänge zu kopieren, möchten Sie Folgendes beschreiben: Wer wird was in welchem Umfang tun, und wie können Sie und Ihre Kunden den Vorgang verfolgen?So verstehen die Rechtsabteilung, der Vertrieb und die Lieferanten die Verpflichtungen, ohne dass Kontrollcodes entschlüsselt werden müssen.

Welche ISO 27001-Lieferantenkontrollen sollten MSPs zuerst in Klauseln übersetzen?

Anstatt zu versuchen, alle lieferantenbezogenen Kontrollmöglichkeiten gleichzeitig zu erfassen, konzentrieren Sie sich zunächst auf diejenigen, die den größten Einfluss haben auf:

Verfügbarkeit und Ausfallsicherheit der Dienste: für essentielle und wichtige Einrichtungen.
Zugriff auf Kundensysteme und -daten: (zum Beispiel Identitätsanbieter, Fernzugriffstools).
Protokollierung, Überwachung und Alarmierung: das Ihrem SOC oder Incident-Team als Datenquelle dient.
Erkennung, Eskalation und Behebung von Vorfällen: Dies könnte eine Meldung gemäß NIS 2 auslösen.

Beschreiben Sie für jeden Bereich in verständlicher Sprache, was ein sinnvolles Minimum darstellt. Zum Beispiel: „Benachrichtigen Sie uns innerhalb einer Stunde, wenn Sie einen unbefugten Zugriff feststellen, der unsere Managed Services für regulierte Kunden beeinträchtigen könnte.“

Anschließend können Sie diese einfachen Aussagen spezifischen ISO 27001-Kontrollen und NIS 2-Anforderungen zuordnen, um die Rückverfolgbarkeit zu gewährleisten.

Wie trägt das Muster „Ausgangslage, Verhalten, Nachweis“ dazu bei, dass Verträge kurz, aber effektiv bleiben?

Definieren Sie für jedes gewählte Steuerelementthema drei Elemente:

A Baseline – der technische oder verfahrenstechnische Mindeststandard (zum Beispiel: „Kritische Sicherheitspatches müssen innerhalb von 14 Tagen nach ihrer Veröffentlichung auf internetfähigen Systemen eingespielt werden“).
A Verhalten – die Maßnahmen, die Sie vom Lieferanten erwarten („informieren Sie uns vor größeren geplanten Änderungen, die die verfügbare Sicherheitsüberwachung oder -resilienz vorübergehend verringern könnten“).
A Beweispunkt – wie Sie erfahren werden, dass dies geschieht („Bereitstellung einer vierteljährlichen Zusammenfassung der kritischen Patches, die auf Systeme angewendet werden, die unseren Managed Service unterstützen“).

Diese Struktur sorgt dafür, dass jede Klausel fokussiert und überprüfbar bleibt. Sie erleichtert auch die Kommunikation mit Lieferanten, da man über eines der drei Elemente (oft den Nachweismechanismus) verhandeln kann, ohne die gesamte Verpflichtung auflösen zu müssen.

Unterschiedliche Erwartungen lassen sich leichter handhaben, wenn sie an vorhersehbaren Orten angesiedelt sind:

Verwenden Sie das Rahmendienstleistungsvertrag für Regierungsführung, Rollen, hochrangige Sicherheitszusagen und Kooperationssprache.
Behalten Technische Grundlagen, Protokollierung, Überwachung, Vorfallbearbeitung und Geschäftskontinuität in einem festgelegten Sicherheitsplan, mit dem die Sicherheits- und Betriebsteams tagtäglich arbeiten können.
Reservieren Sie die SLA für Leistungskennzahlen wie Verfügbarkeit, Reaktionszeiten und Wiederherstellungsziele.
Erfassen Sie personenbezogene Datenspezifische Sicherheits- und Meldepflichten, wie z. B. Fristen für Datenschutzverletzungen, in der Auftragsverarbeitungsvertrag (AVV).

Diese Trennung hilft Ihren eigenen Teams und Ihren Lieferanten, die für sie relevanten Verpflichtungen schnell zu finden, ohne sich jedes Mal durch dicke Anhänge wühlen zu müssen, wenn sich etwas ändert.

Wie können Managed Service Provider (MSPs) vermeiden, für jeden neuen Lieferanten oder Kunden neue Klauseln erstellen zu müssen?

Eine einfache Möglichkeit, ständige Nacharbeiten zu vermeiden, besteht darin, ein wiederverwendbares Handbuch das zusammenbringt:

Modellklauseln für jedes Kontrollthema, das Ihnen wichtig ist (Vorfälle, Ausgangswerte, Beweise, Weitergabe).
Nicht verhandelbare Punkte: wie beispielsweise Mindestaufbewahrungsfristen für Protokolle oder maximale Benachrichtigungsfristen für schwerwiegende Vorfälle.
Bereiche, in denen Sie bereit sind, flexibel zu sein, wie z. B. Berichtsformate oder bestimmte Überprüfungsintervalle.

Wenn Sie dieses Handbuch in ISMS.online speichern und es direkt mit Ihren ISO 27001-Kontrollen und Lieferantenaufzeichnungen verknüpfen, wird sichergestellt, dass neue Verträge mit dem bereits aufgebauten Kontrollumfeld konsistent bleiben. Außerdem wird es den Abteilungen Recht und Vertrieb erleichtert, zu verhandeln, ohne versehentlich Verpflichtungen abzuschwächen, die für NIS 2 wichtig sind.

Wenn Ihre Kollegen aus dem Vertrieb sagen: „Lass uns erst mal im ISMS.online-Leitfaden nachsehen, bevor wir das hier entwerfen“, dann wissen Sie, dass Ihre Arbeit an der ISO 27001 nun tatsächlich Verträge beeinflusst, anstatt nur in einem separaten Ordner zu liegen.

Warum reicht ein ISO 27001-Zertifikat allein nicht aus, um Managed Service Provider (MSPs) vor den Risiken der NIS 2-Lieferkette zu schützen?

Ein ISO 27001-Zertifikat bestätigt, dass Ihr Informationssicherheitsmanagementsystem einen anerkannten Standard für den von Ihnen definierten Geltungsbereich erfüllt, aber es tut kein Frontalunterricht. garantieren, dass jede Dienstleistung, jeder Lieferant und jeder Vertrag, der für NIS 2 von Bedeutung ist, einbezogen oder durch konkrete Verpflichtungen abgesichert wird.

Sie können daher aus ISMS-Sicht gut geführt sein und dennoch wesentliche und wichtige Einrichtungen gemäß NIS 2 ungeschützt lassen, wenn kritische Dienste außerhalb Ihres zertifizierten Geltungsbereichs liegen oder auf vagen, unspezifischen Bedingungen operieren.

Inwiefern führen Entscheidungen über den Geltungsbereich zu blinden Flecken bei für NIS 2 relevanten Diensten?

Die Anwendungsbereiche der ISO 27001 sind häufig auf den Zertifizierungsaufwand optimiert: Sie können bestimmte juristische Personen, Rechenzentren, Produktlinien oder geografische Regionen umfassen. NIS 2 hingegen konzentriert sich auf alle digitalen Dienste, die den Betrieb einer wesentlichen oder wichtigen Einrichtung wesentlich unterstützen., unabhängig von der von Ihnen gewählten Grenze.

Lücken entstehen häufig dann, wenn:

Ein regionaler Supportbetrieb, eine bestimmte Cloud-Region oder ein neuer Managed Service unterstützt NIS 2-regulierte Kunden, hat es aber nie in Ihre ISO 27001-Geltungsbereichserklärung geschafft.
Wichtige vorgelagerte Dienstleister für diese Services liegen außerhalb Ihrer bestehenden Lieferantenrisiko- und -sicherungsprozesse.

Wenn es bei diesen „Rand“-Diensten zu einem schwerwiegenden Vorfall kommt, haben Ihre Kunden weiterhin Verpflichtungen gemäß NIS 2, aber Sie haben möglicherweise weder Kontrollmechanismen konzipiert noch Vertragsformulierungen eingebettet, die diese Pflichten berücksichtigen.

Inwiefern untergräbt eine unklare Sicherheitssprache die Artikel 21 und 23 des NIS 2?

NIS 2 erwartet von wichtigen und unverzichtbaren Einrichtungen den Nachweis definierte Risikomanagementmaßnahmen und zeitgebundene BerichterstattungViele ältere MSP-Verträge untergraben dies durch Formulierungen wie die folgenden:

„Angemessene Sicherheitsmaßnahmen“.
„Unverzügliche Meldung von Vorfällen“.
„Kooperation, wo nötig.“

Diese Formulierungen lassen sich nur schwer in Risikomanagement-Rahmenwerke oder die 24- bzw. 72-Stunden-Meldefristen einordnen. Wenn ein Vorgesetzter prüft, inwieweit Ihr Kunde die Artikel 21 und 23 in der Praxis einhält, können hochtrabende Zusagen wichtiger Dienstleister unangenehme Diskrepanzen verursachen.

Indem Sie diese durch klare Ausgangswerte, Auslöser und Zeitpläne ersetzen, geben Sie Ihren Kunden etwas, worauf sie sich tatsächlich verlassen können, wenn ihre Aufsichtsbehörde fragt: „Woher genau wissen Sie, dass Ihr Managed Service Provider Sie rechtzeitig alarmieren wird?“

Warum brechen informelle Annahmen über geteilte Verantwortlichkeiten unter dem Druck von NIS 2 zusammen?

In vielen MSP-Beziehungen umfassen die Verantwortlichkeiten unter anderem Folgendes:

Federführende lieferantenübergreifende Vorfallskoordination.
Als Hauptansprechpartner für Vorgesetzte oder CSIRTs fungieren.
Verantwortung für die Berichterstattung nach dem Vorfall und die Zusammenstellung von Beweismitteln.

Sie sind eher durch Gewohnheit und Wohlwollen als durch formale Zuweisung gewachsen. Kunden gehen im Falle eines Vorfalls möglicherweise davon aus, dass sich ihr Managed Service Provider (MSP) darum kümmert; Verträge, Betriebshandbücher und Ihr ISMS zeichnen jedoch oft ein uneindeutigeres Bild.

Gemäß NIS 2 bleiben Kunden rechtlich verantwortlich. Wenn Annahmen nicht durch dokumentierte Verantwortlichkeiten belegt sind, können sie schnell zu Schuldzuweisungen, Kundenabwanderung und einer verstärkten Überprüfung Ihrer Rolle führen.

Wie schwächt eine unzureichende Rückverfolgbarkeit Ihre Lieferkettenkontrolle?

Wenn Sie keine klaren Linien zwischen Folgendem ziehen können:

ISO 27001 Kontrollen und Risikobehandlungsentscheidungen.
Ihre wichtigsten Lieferanten und Dienstleister.
Spezifische Klauseln in SLAs, DPAs und Sicherheitsplänen.
Die Belege und Überprüfungen, die zeigen, dass diese Verpflichtungen eingehalten werden.

Man ist gezwungen, sich auf allgemeine Aussagen („Wir nehmen Sicherheit ernst“) anstatt auf konkrete Nachweise zu verlassen. Das mag bei weniger strengen Audits durchgegangen sein, ist aber in einem Gespräch mit einem Vorgesetzten oder einer Due-Diligence-Prüfung bei einem risikosensiblen Kunden nicht angebracht.

Verwendung von ISO 27001 als Designgrundlage Die Erweiterung der Kontrollthemen durch Lieferantenauswahl, Vertragsformulierung und NIS-2-Nachweise macht ein Zertifikat erst zu einem rechtskräftigen Dokument. ISMS.online unterstützt diese integrierte Sichtweise, sodass Sie an einem Ort zeigen können, wie Ihr Geltungsbereich, Ihre Verträge und die Lieferkettensicherung zusammenhängen, anstatt bei Nachfragen mit separaten Tabellen jonglieren zu müssen.

Wie können Managed Service Provider (MSPs) die Sanierung von Lieferantenverträgen im Rahmen von NIS 2 schrittweise durchführen, ohne die Vertriebs- oder Rechtsabteilungen zu lähmen?

Der nachhaltigste Weg zur Sanierung von Lieferantenverträgen besteht darin, diese als … zu behandeln. gezieltes Risikominderungsprogrammkeine einmalige Gesetzesreform, sondern zunächst eine eng gefasste erste Phase, die sich nur auf die Beziehungen und Klauseln mit der größten Auswirkung auf NIS 2 bezieht.

Auf diese Weise können Sie Vorständen und Kunden Fortschritte aufzeigen, Ihr tatsächliches Risiko reduzieren und dennoch dafür sorgen, dass Ihre Vertriebsteams in einem angemessenen Tempo arbeiten.

Was sollte in eine Aktualisierung der „Phase-eins“-Klausel aufgenommen werden, ohne das Unternehmen zu überfordern?

Eine pragmatische erste Phase konzentriert sich üblicherweise auf drei Schritte:

Interne Vorlagen (MSA, Sicherheitsplan, DPA) aktualisieren, damit jeder neue Vertrag und jede Vertragsverlängerung Enthält standardmäßig eine bessere Formulierung.
Wenden Sie kurze Nachträge auf eine begrenzte Liste von bestehende Verträge mit hohem Risiko, typischerweise solche, die:

Unterstützung essenzieller oder wichtiger Einrichtungen.
Stellen ein erhebliches Umsatz- oder Konzentrationsrisiko dar.
Sie befinden sich auf gemeinsam genutzten Plattformen oder in gemeinsam verwalteten Umgebungen, wo ein einzelner Vorfall viele der nach NIS 2 regulierten Kunden betreffen könnte.

Beschränken Sie den Umfang dieser Nachträge auf eine kleine Anzahl von Themen mit hohem Hebel: Meldung von Vorfällen und Zusammenarbeit, Mindestsicherheitsstandards, Prüfungs-/Beweisrechte und Weitergabe von Informationen an Unterauftragnehmer.

Wenn man die erste Verhandlungsrunde straff hält, reduziert das die Verhandlungsmüdigkeit und hilft den Rechts- und Vertriebsabteilungen zu erkennen, dass es hier darum geht, einige wenige wichtige Beziehungen sicherer zu gestalten, und nicht darum, über Nacht den gesamten Kundenstamm neu zu schreiben.

Wie können Erneuerungs- und Geschäftsprozesse in späteren Phasen eine tiefergehende Verfeinerung erfahren?

Sobald die schwierigsten Aspekte abgedeckt sind, können Sie Ihre Ambitionen schrittweise erweitern, indem Sie:

Hinzufügen Details zur Kontinuität und Wiederherstellung um die Erwartungen an die Resilienz zu unterstützen.
zum Matrizen für geteilte Verantwortung in Sicherheitspläne für Multi-Tenant- oder Co-Managed-Plattformen.
Die Kennzahlen, Überprüfungsintervalle und Kooperationspflichten werden verschärft, sobald Sie mehr darüber erfahren, was die Regulierungsbehörden Ihrer Kunden in der Praxis tatsächlich erwarten.

Durch die Abstimmung dieser Optimierungen auf Ihre normalen Verlängerungszyklen und wichtige Änderungsereignisse wird die Arbeitsbelastung verteilt und vermieden, dass die Vertriebsteams aufgefordert werden, stabile, risikoarme Geschäfte neu zu eröffnen.

Wie können Managed Service Provider (MSPs) die Priorisierung transparent gestalten, damit Vorstände und Vertrieb die Reihenfolge verstehen?

Um zu entscheiden, was in die jeweilige Phase aufgenommen wird, ist es hilfreich, Lieferanten und Kunden anhand einer kurzen Liste von Faktoren zu bewerten, wie zum Beispiel:

Ob es sich bei dem Kunden um eine wesentliche oder wichtige Einheit im Sinne von NIS 2 handelt.
Umsatz, Rentabilität und strategische Bedeutung.
Konzentrationsrisiko: – wie viele regulierte Kunden auf denselben Anbieter oder dieselbe Plattform angewiesen sind.
Sensibilität der betreffenden Daten und Kritikalität des Dienstes für den Geschäftsbetrieb des Kunden.

Diese Punktzahl liefert Ihnen eine nachvollziehbare Prioritätenliste, die sich viel leichter mit Vorständen, Vertriebsleitern und Rechtsabteilungen besprechen lässt als das allgemeine Gefühl, dass „wir unsere Verträge überarbeiten sollten“.

Durch die Nutzung von ISMS.online als Plattform zur Pflege der Bewertungskriterien, zur Verknüpfung mit Lieferanten- und Vertragsdatensätzen und zur Nachverfolgung der Klauselabdeckung können Sie jederzeit nachweisen, wo Sie sich in Phase eins befinden, was in Phase zwei folgen wird und wie dieser Plan die Anforderungen von ISO 27001 und NIS 2 erfüllt.

Wie sieht „gut genug“ aus für SLAs, DPAs und Sicherheitspläne, die ISO 27001 und NIS 2 gemeinsam unterstützen?

„Gut genug“ sind SLAs, DPAs und Sicherheitspläne, die erzählen dieselbe, zusammenhängende Geschichte über Geltungsbereich, Verantwortlichkeiten, Leistung, Sicherheitsmaßnahmen und Vorfallsbehandlung - und diese Geschichte entspricht der Kontrollumgebung, die Sie für ISO 27001 und NIS 2 vorlegen.

Sie müssen nicht perfekt oder für jeden Kunden identisch sein, aber sie sollten es sein. konsistent, messbar und nachvollziehbar damit Wirtschaftsprüfer und Aufsichtsbehörden den roten Faden von den Verpflichtungen bis zum operativen Geschäft nachvollziehen können.

Wie können Managed Service Provider (MSPs) Umfang und Definitionen von Service-Level-Agreements (SLAs), Data Protection Agreements (DPAs) und Sicherheitsplänen aufeinander abstimmen?

Ein erster einfacher Test besteht darin, zu bestätigen, dass alle drei Dokumenttypen:

Verwenden Sie das gleiche Dienstnamen, Grenzen und Datenkategorieninsbesondere für Dienstleistungen, die von wichtigen und unverzichtbaren Einrichtungen genutzt werden.
Greifen Sie auf eine einheitliche Definition von Begriffen wie „Serviceverfügbarkeit“, „Sicherheitsvorfall“ und „Verletzung personenbezogener Daten“ zurück.

Unterschiedliche Benennungen und Definitionen führen häufig zu Problemen bei Audits und Angebotsanfragen. Eine von Anfang an einheitliche Festlegung erleichtert es erheblich, nachzuweisen, dass die Beschreibungen Ihres ISMS und die Kundenvereinbarungen übereinstimmen.

Auf welche Kennzahlen können sich Kunden verlassen und welche können Sie realistischerweise liefern?

Für Dienste, die für NIS 2 relevant sind, sollten die Kennzahlen beides sein. operativ durchführbar und im Einklang mit Ihrer Risikobereitschaft, Zum Beispiel:

Verfügbarkeitsziele aufgeteilt nach Serviceebene und Wartungsfenstern.
Erkennungszeit- und Reaktionszeitbänder: für verschiedene Schweregrade von Vorfällen, so gestaltet, dass Fälle mit hohen Auswirkungen eine Meldung innerhalb von 24 Stunden / 72 Stunden rechtfertigen.
Backup- und Wiederherstellungsziele, die Ihre Architektur widerspiegeln und nicht Marketingslogans.
Vereinbarte Überprüfungs- und Kontrollzyklen (z. B. vierteljährliche Sicherheitsüberprüfungen, jährliche Überprüfungen auf Managementebene).

Wenn eine Zahl in einem Angebot beeindruckend aussieht, aber unter realen Bedingungen mit ziemlicher Sicherheit nicht erreicht werden kann, ist es in der Regel besser, sie auf einen ehrlichen und nachvollziehbaren Wert anzupassen, als einen Vertragsbruch zu begehen.

Wie stellen Managed Service Provider (MSPs) sicher, dass ihre Datenschutz- und Sicherheitsversprechen eingehalten werden?

Ihre Datenschutzvereinbarung und Ihr Sicherheitsplan sollten sich auf dieselbe zugrunde liegende Vereinbarung beziehen. Sicherheitsmaßnahmen und Zeitplänedarunter:

Zugriffskontrollen, Protokollierung und Überwachung, Verschlüsselungs- und Datensicherungsmechanismen.
Fristen für die Meldung von Vorfällen und Pflichten zur Zusammenarbeit: So wird vermieden, dass die operativen Teams zwischen widersprüchlichen Verpflichtungen hin- und hergerissen werden.

Diese Abstimmung verringert das Risiko, dass sich Ihr ISMS, Ihre Datenschutzvereinbarung und Ihre täglichen Abläufe auseinanderentwickeln. Sie bietet Datenschutz- und Sicherheitsteams zudem einen gemeinsamen Bezugspunkt, wenn Aufsichtsbehörden oder Kunden nachfragen, wie der Datenschutz in Ihre technischen und organisatorischen Kontrollen integriert ist.

Wo sorgen einfache Verantwortlichkeitstabellen in gemeinsam genutzten Umgebungen für mehr Klarheit?

Bei Multi-Tenant-Plattformen oder gemeinsam verwalteten Diensten ist eine kurze Tabelle hilfreich, die die jeweiligen Verantwortlichkeiten festlegt:

Identitäts- und Zugriffsverwaltung.
Konfiguration und Patching.
Datensicherung und Wiederherstellung.
Protokollierung, Überwachung und Priorisierung von Alarmen.
Erstinstanzliche Untersuchung und Eskalation von Vorfällen.

Dadurch wird ein Großteil der Unklarheit beseitigt. Dieselbe Tabelle kann in Servicebeschreibungen, Betriebshandbüchern und Ihrem ISMS verwendet werden, was interne und externe Prüfungen deutlich vereinfacht.

ISMS.online hilft Ihnen dabei, all dies zu verknüpfen, indem es SLA-Maßnahmen, DPA-Zusagen und Sicherheitsklauseln direkt mit ISO 27001-Kontrollen, NIS 2-Szenarien und Lieferantenbeziehungen verbindet. So wird deutlich, wo Ihre Dokumente und Ihr Managementsystem übereinstimmen und wo die Formulierungen von der tatsächlichen Funktionsweise Ihrer Services abweichen.

Wie können Managed Service Provider (MSPs) ISMS.online nutzen, um ISO 27001, NIS 2 und Lieferantenverträge als ein einheitliches System zu verwalten?

Den größten Nutzen aus ISMS.online ziehen Sie, indem Sie es wie folgt behandeln: das zentrale Rückgrat für Ihre gesamte Compliance-UmgebungEs handelt sich nicht nur um ein Archiv für ISO 27001-Dokumente. Vielmehr werden Kontrollen, Risiken, Lieferanten, Verträge, Vorfälle und Nachweise so miteinander verknüpft, dass Änderungen in einem Bereich überall dort, wo sie relevant sind, leicht erkennbar sind.

Wenn Sie ISO 27001 und NIS 2 auf diese Weise verwalten, funktionieren sie wie folgt: eine Schleife statt paralleler Arbeitsabläufe, die sich allmählich voneinander entfernen.

Wie vereinfacht ein zentrales Lieferanten- und Vertragsregister die Überwachung von ISO 27001 und NIS 2?

Anstatt separate Tabellenkalkulationen für Lieferanten, Verträge und Prüfungsergebnisse zu führen, sollte in ISMS.online ein einziges Register geführt werden, das Folgendes erfasst:

Jeder Lieferant und die von ihm angebotenen Dienstleistungen oder Systeme.
Die Verträge und Zeitpläne, die diese Dienstleistungen regeln.
Risiko- und Kritikalitätsbewertungen, einschließlich der Frage, ob sie essentielle oder wichtige Einrichtungen unterstützen.

Sie können dieses Register dann unter verschiedenen Gesichtspunkten betrachten – ISO 27001 Anhang A Kontrollen, NIS 2 Artikel 21 und 23, Vorfallabdeckung, Klauselabdeckung – je nachdem, ob Sie eine Frage des Vorstands beantworten, ein Audit vorbereiten oder einen Kundenfragebogen ausfüllen.

Die Möglichkeit, dieselben Daten auf unterschiedliche Weise zu analysieren, macht aus einem statischen Register etwas, mit dem man das Geschäft führen kann.

Wie können Managed Service Provider (MSPs) die Kontrollen gemäß ISO 27001 direkt in reale Verträge und Nachweise umsetzen?

Für wichtige Themen wie Lieferantenzugriff, Protokollierung, Kontinuität und Vorfallsmanagement verwenden Sie ISMS.online, um folgende Verknüpfungen herzustellen:

. Der Smartgeräte App in Ihrem ISMS.
Die Musterklausel was man in Verträgen erwartet.
Die tatsächliche Vereinbarungen wo diese Klausel heute vorkommt.
Die Belege und Bewertungen das zeigt, dass es in der Praxis umgesetzt wird.

So erkennen Sie auf einen Blick, wo Ihre Management-Systemziele vollständig umgesetzt wurden und wo sie noch angestrebt werden. Das erleichtert die Planung von Korrekturmaßnahmen, die Beantwortung von Fragen der Prüfer und die Darstellung gegenüber Kunden, wie Ihre Kontrollen in das Lieferantenmanagement einfließen.

Warum sollten Lieferanten- und Vertragsaktualisierungen als Arbeitsabläufe und nicht als Ad-hoc-Aufgaben ablaufen?

Die Sorgfaltsprüfung von Lieferanten, Vertragsaktualisierungen, Richtlinienänderungen und lieferantenbezogene Vorfälle werden oft über verstreute E-Mails, gemeinsame Laufwerke und das kollektive Gedächtnis abgewickelt. Mit ISMS.online lassen sich diese Prozesse effizienter gestalten. Arbeitsabläufe mit klar definierten Verantwortlichen, Schritten, Zeitstempeln und Nachweisen hat mehrere Vorteile:

Sie können anhand von Aufzeichnungen nachweisen, wer was wann genehmigt hat.
So vermeiden Sie, dass wichtige Folgeaufgaben verloren gehen, wenn Mitarbeiter ihre Positionen wechseln.
Sie entwickeln ein wiederholbares Muster, das sich mit dem Aufkommen weiterer Rahmenbedingungen und Vorschriften skalieren lässt.

Wenn Vorgesetzte oder wichtige Kunden fragen, wie Sie Ihre Lieferkette steuern, hinterlässt die Darstellung dieser Arbeitsabläufe einen weitaus stärkeren Eindruck als der Verweis auf informelle „bestmögliche Bemühungen“.

Welche Arten von Dashboards und Berichten benötigen Führungskräfte und Prüfer tatsächlich?

Für Vorstände, Risikoausschüsse und Wirtschaftsprüfer sind typischerweise folgende Ansichten hilfreich:

Der Anteil der Top-Tier-Lieferanten, die über NIS 2-konforme Vorfallklauseln, Mindestvorgaben und Weitergabeklauseln verfügen.
Bei welchen Verträgen fehlen noch Prüf-/Beweisrechte oder klare Verantwortlichkeiten?
Fortschritte bei der Umsetzung eines stufenweisen Sanierungsplans für Altverträge.
Verbindungen zwischen Lieferanten, kritischen Dienstleistungen und NIS 2-regulierten Kunden.

ISMS.online kann diese zusammen mit Ihrem ISO 27001-Kontrollstatus, Risiko-Heatmaps und Auditplänen darstellen und Ihnen so ein Gesamtbild davon vermitteln, wie Ihr ISMS, Ihre Verträge und Ihre NIS 2-Position zusammenpassen.

Wenn Sie von Ihren Kunden als Managed Service Provider (MSP) wahrgenommen werden möchten, der ihre Sicherheit gemäß NIS 2 zuverlässig gewährleistet – und nicht nur als Anbieter, der bei der Beschaffung ein Zertifikat vorlegt –, dann ist es genau diese integrierte Infrastruktur, die Sie von anderen abhebt. Sie jetzt zu implementieren, während die Erwartungen steigen und die meisten Wettbewerber noch im Aufbau sind, ist oft der entscheidende Schritt, um sich von einem bloßen „Lieferanten“ zu einem vertrauenswürdigen, langfristigen Partner in den Augen wichtiger Unternehmen zu entwickeln.

Wir sind führend auf unserem Gebiet

Regionalleiter – Winter 2026 (Großbritannien)

Regionalleiter – Winter 2026, Mittelstand EU

Regionalleiter – Winter 2026, Mittelstand EMEA

„ISMS.Online, herausragendes Tool zur Einhaltung gesetzlicher Vorschriften“
— Jim M.

„Macht externe Audits zum Kinderspiel und verknüpft alle Aspekte Ihres ISMS nahtlos miteinander“
— Karen C.

„Innovative Lösung zur Verwaltung von ISO- und anderen Akkreditierungen“
— Ben H.

ISO 27001 und NIS 2 für MSPS – Was in Lieferantenverträgen zuerst korrigiert werden sollte