Sind Sie Anbieter eines Content Delivery Network gemäß EU 2024/2690?

„Unsere Website lädt Bilder aus einem Cache. Dann betreiben wir vermutlich ein CDN.“

Nach dieser Logik betreibt jeder Browser ein Content Delivery Network, sobald er das Firmenlogo nicht bei jedem Seitenaufruf neu herunterlädt.

Ein Cache kann Teil eines CDN sein. Er ist aber nicht das entscheidende Merkmal. Die NIS-2-Definition schaut auf ein Netz dezentraler Server, das digitale Inhalte und Dienste für Internetnutzer hoch verfügbar, gut zugänglich oder besonders schnell ausliefert – und zwar im Auftrag von Inhalte- oder Diensteanbietern.

Die Frage lautet deshalb nicht: „Wird irgendwo etwas zwischengespeichert?“ Sie lautet: Welche verteilte Auslieferungsleistung bieten Sie für wen an?

Die kurze Antwort

Artikel 6 Nummer 32 der NIS-2-Richtlinie – Richtlinie (EU) 2022/2555 bezeichnet ein Inhaltszustellnetz als ein Netz dezentraler Server. Es soll hohe Verfügbarkeit, Zugänglichkeit oder schnelle Zustellung digitaler Inhalte und Dienste für Internetnutzer gewährleisten – im Auftrag von Inhalte- und Diensteanbietern.

Content Delivery Network, CDN und Inhaltszustellnetz meinen hier dasselbe. Die deutsche Rechtsfassung spricht überwiegend vom Betreiber eines Inhaltszustellnetzes. Im Alltag wird häufiger CDN-Anbieter gesagt.

Vier Fragen bringen Sie schnell weiter:

1. Betreiben Sie ein Netz aus mehreren dezentralen Servern oder Standorten?
2. Liefern Sie darüber digitale Inhalte oder Dienste an Internetnutzer aus?
3. Verbessert das Netz Verfügbarkeit, Zugänglichkeit oder Geschwindigkeit?
4. Erbringen Sie diese Leistung für Inhalte- oder Diensteanbieter?

Viermal Ja ist ein ziemlich deutlicher Hinweis. Ein einzelnes Nein beendet die Prüfung nicht zwingend, zeigt aber, wo genauer hingesehen werden muss.

Die vier Bausteine eines CDN

1. Ein Netz dezentraler Server

Ein CDN verteilt Funktionen auf mehrere Server oder Points of Presence. Nutzer sollen Inhalte nicht immer vom möglicherweise weit entfernten Ursprungsserver beziehen. Sie erhalten sie von einem geeigneten, häufig geografisch oder netztechnisch näheren Knoten.

Ein einzelner Reverse Proxy vor einem einzelnen Webserver ist deshalb noch kein überzeugendes CDN. Zwei Server im selben Rack sind zwar mathematisch mehrere Server, aber noch keine besonders eindrucksvolle Dezentralisierung. Die Richtlinie nennt keine Mindestzahl. Entscheidend ist das tatsächliche verteilte Netzkonzept.

2. Digitale Inhalte oder Dienste

Typische Inhalte sind Bilder, Videos, Softwarepakete, große Downloads, Webseitenbestandteile oder Streams. Auch dynamische Inhalte, APIs und Dienste können über CDN-Strukturen beschleunigt oder verfügbar gemacht werden.

Das Netz muss nicht nur Dateien ausliefern. Moderne CDN-Leistungen können Routing, Edge-Funktionen, Lastverteilung, Schutzfunktionen und die Ausführung von Logik nahe beim Nutzer kombinieren. Trotzdem bleibt die Auslieferungsfunktion der rote Faden.

3. Verfügbarkeit, Zugänglichkeit oder Geschwindigkeit

Die Definition nennt drei alternative Zwecke. Das Netz kann Last und Ausfälle verteilen, Inhalte näher an Nutzer bringen oder Zugriffe beschleunigen. Es muss nicht in allen drei Disziplinen gleichzeitig Weltmeister sein.

Wenn Ihre Architektur aber weder Verfügbarkeit noch Zugänglichkeit noch Auslieferungsgeschwindigkeit verbessert, haben Sie möglicherweise ein verteiltes System gebaut – nur kein besonders überzeugendes Inhaltszustellnetz.

4. Im Auftrag von Inhalte- und Diensteanbietern

Der Betreiber liefert nicht einfach zufällig eigene Dateien aus. Er erbringt eine Leistung für Anbieter, deren Inhalte oder Dienste die Internetnutzer erreichen sollen.

Wer ausschließlich die eigenen Inhalte über eigene Server verteilt, ist deshalb nicht automatisch CDN-Anbieter im typischen Sinn. Wer dagegen anderen Unternehmen eine CDN-Leistung verkauft oder bereitstellt, passt deutlich eher in die Definition. Bei Konzernstrukturen ist wieder die konkrete juristische Person wichtig: Eine zentrale Gesellschaft kann für andere Konzerngesellschaften einen Dienst erbringen.

CDN, Cache, Hosting, Cloud oder Rechenzentrum?

Ein WAF macht noch kein CDN

Web Application Firewall, DDoS-Schutz, Bot-Management und CDN werden oft gemeinsam verkauft. Das ist praktisch, aber begrifflich gefährlich. Eine Sicherheitsfunktion allein ist kein Inhaltszustellnetz. Umgekehrt kann ein CDN sehr wohl solche Schutzfunktionen enthalten.

Prüfen Sie daher nicht das Produktpaket als großen Marketingklumpen. Zerlegen Sie es in die tatsächlich erbrachten Dienste.

Wer ein CDN nutzt, betreibt noch keines

Viele Webseiten und Plattformen verwenden einen externen CDN-Anbieter. Die eigenen Inhalte werden dadurch schneller ausgeliefert. Betreiber des Inhaltszustellnetzes ist aber grundsätzlich derjenige, der das dezentrale Servernetz als Leistung betreibt – nicht jeder Kunde, dessen Bilder darüber flitzen.

Cloud und Rechenzentrum sind Nachbarn, keine Synonyme

Ein Cloud-Computing-Dienst stellt skalierbare und elastische Rechenressourcen auf Abruf bereit. Ein Rechenzentrumsdienst stellt die besondere physische und technische Betriebsumgebung bereit. Ein CDN organisiert die dezentrale Zustellung.

Ein großer Anbieter kann alle drei Rollen gleichzeitig haben. Ein Rechenzentrum, in dem ein fremder CDN-Knoten steht, ist aber nicht allein deshalb CDN-Betreiber. Und ein CDN-Anbieter muss die Gebäude, in denen seine Knoten stehen, nicht selbst betreiben.

Spielt die Unternehmensgröße eine Rolle?

Ja. CDN-Anbieter werden nicht allein wegen ihrer Tätigkeit unabhängig von der Größe erfasst.

Nach Artikel 2 Absatz 1 der NIS-2-Richtlinie – Richtlinie (EU) 2022/2555 greift der reguläre Anwendungsbereich bei Einrichtungen der erfassten Art, die mindestens als mittlere Unternehmen gelten oder die Schwellen dafür überschreiten. Vereinfacht:

• Kleinstunternehmen: weniger als 10 Beschäftigte und höchstens 2 Millionen Euro Jahresumsatz oder Bilanzsumme; im Regelfall nicht allein wegen des CDN-Angebots erfasst.
• Kleine Unternehmen: weniger als 50 Beschäftigte und höchstens 10 Millionen Euro Jahresumsatz oder Bilanzsumme; im Regelfall ebenfalls nicht allein wegen des CDN-Angebots erfasst.
• Mittlere Unternehmen: weniger als 250 Beschäftigte und höchstens 50 Millionen Euro Jahresumsatz oder höchstens 43 Millionen Euro Bilanzsumme; als CDN-Anbieter grundsätzlich im Anwendungsbereich.

Anbieter, die die Schwellen eines mittleren Unternehmens überschreiten, gelten nach Artikel 3 Absatz 1 Buchstabe a der NIS-2-Richtlinie – Richtlinie (EU) 2022/2555 grundsätzlich als wesentliche Einrichtungen. Mittlere CDN-Anbieter gelten nach Artikel 3 Absatz 2 grundsätzlich als wichtige Einrichtungen.

Konzernbeziehungen gehören in die Berechnung

Partner- und verbundene Unternehmen werden bei der KMU-Berechnung grundsätzlich einbezogen. Eine kleine Edge-Gesellschaft kann Teil eines großen Konzerns sein und größenrechtlich deshalb nicht wie ein isoliertes Kleinunternehmen behandelt werden.

Sonderfälle bleiben möglich

Artikel 2 Absatz 2 der NIS-2-Richtlinie – Richtlinie (EU) 2022/2555 enthält größenunabhängige Sonderfälle, beispielsweise bei besonderer Kritikalität, möglichen erheblichen Auswirkungen auf öffentliche Sicherheit oder Gesundheit, systemischen Risiken oder einer Einstufung als kritische Einrichtung.

Was verlangt die EU 2024/2690 von CDN-Anbietern?

Die Durchführungsverordnung (EU) 2024/2690 konkretisiert die technischen und methodischen Anforderungen an das Cybersicherheits-Risikomanagement. Ihr Anhang behandelt Governance, Risiko, Vorfälle, Business Continuity, Lieferketten, sichere Beschaffung und Entwicklung, Wirksamkeitsprüfung, Awareness, Kryptografie, Personal, Zugriffe, Assets und physische Sicherheit.

Beim CDN liegen viele Abhängigkeiten übereinander: Origin-Systeme, Edge-Knoten, DNS, Routing, Zertifikate, Rechenzentren, Carrier, Software und Konfiguration. Ein einziger großzügig verteilter Fehler kann sich dadurch ebenfalls großzügig verteilen.

Praktisch braucht es unter anderem:

• ein belastbares Risikomanagement;
• vollständiges Asset Management für Origin, Edge, Netze, Zertifikate und Abhängigkeiten;
• sichere Entwicklung, Konfiguration und kontrollierte Rollouts;
• Logging und Monitoring über die verteilten Standorte;
• eine belastbare Lieferantensteuerung für Rechenzentren, Carrier, Cloud und Software;
• Redundanz, Wiederanlauf und Business Continuity Management sowie
• ein funktionierendes Informationssicherheitsvorfall-Management.

Die technische Umsetzungsleitlinie der ENISA ist nicht rechtsverbindlich, liefert aber Erläuterungen und Beispiele möglicher Nachweise.

Wann ist ein CDN-Sicherheitsvorfall erheblich?

Artikel 9 der Durchführungsverordnung (EU) 2024/2690 nennt vier spezielle Kriterien. Ein Vorfall gilt als erheblich, wenn mindestens eines erfüllt ist:

1. Das Inhaltszustellnetz ist länger als 30 Minuten vollständig nicht verfügbar.
2. Seine Verfügbarkeit ist länger als eine Stunde für mehr als 5 Prozent der Nutzer in der Union oder mehr als eine Million Nutzer eingeschränkt – maßgeblich ist die niedrigere Zahl.
3. Integrität, Vertraulichkeit oder Authentizität der im Zusammenhang mit dem CDN gespeicherten, übermittelten oder verarbeiteten Daten sind infolge einer mutmaßlich böswilligen Handlung beeinträchtigt.
4. Diese Datenmerkmale sind beeinträchtigt und die Auswirkung betrifft mehr als 5 Prozent der Nutzer in der Union oder mehr als eine Million Nutzer – wieder zählt die niedrigere Zahl.

Für die Nutzerzahl verlangt Artikel 3 Absatz 3 der Durchführungsverordnung (EU) 2024/2690, sowohl Vertragspartner als auch die mit Geschäftskunden verbundenen natürlichen oder juristischen Nutzer zu berücksichtigen. Wer nur Rechnungsadressen zählt, kann deshalb sehr weit danebenliegen.

Hinzu kommen horizontale Kriterien aus Artikel 3 und die Zusammenrechnung wiederholter Vorfälle nach Artikel 4. CDN-Anbieter müssen folglich wissen, was „vollständig nicht verfügbar“ im verteilten Netz bedeutet, welche Nutzer betroffen sind und wie Datenbeeinträchtigungen erkannt werden.

Hilft ISO 27001 bei der Umsetzung?

Ein wirksames ISO 27001-Managementsystem ist ein sehr gutes Fundament. Risikomanagement, Lieferanten, Entwicklung, Konfiguration, Logging, BCM, Assets und Vorfallmanagement passen stark zu den Vorgaben. Erwägungsgrund 3 der Durchführungsverordnung (EU) 2024/2690 nennt ISO/IEC 27001 und ISO/IEC 27002 ausdrücklich als fachliche Grundlage.

Das Zertifikat ersetzt aber weder die rechtliche Einordnung noch die konkreten Schwellenwerte und Meldewege. Außerdem muss der CDN-Dienst mit seinen Knoten, Betriebsprozessen, Lieferanten und Entwicklungsanteilen tatsächlich im Scope des ISMS liegen.

So prüfen Sie Ihre CDN-Eigenschaft praktisch

1. Beschreiben Sie die Leistung je juristischer Person.
2. Zeichnen Sie Origin-Systeme, Edge-Knoten und Verteilungswege ein.
3. Prüfen Sie, ob ein tatsächlich dezentrales Servernetz betrieben wird.
4. Benennen Sie, welche Inhalte oder Dienste für welche Internetnutzer ausgeliefert werden.
5. Klären Sie, in wessen Auftrag die Leistung erfolgt.
6. Trennen Sie CDN, Cache, Hosting, Cloud, Rechenzentrum und Sicherheitsfunktionen.
7. Berechnen Sie die Unternehmensgröße einschließlich Partner- und verbundener Unternehmen.
8. Prüfen Sie Sonderfälle, Zuständigkeit und Registrierung.
9. Gleichen Sie Prozesse und Messgrößen mit den Anforderungen und Vorfallsgrenzen ab.

Interesse geweckt?

Dieser Artikel gehört zu unserer Serie über die Durchführungsverordnung (EU) 2024/2690. Den Überblick über alle elf Anbietergruppen finden Sie in unserem Hub zur EU-Durchführungsverordnung 2024/2690.

Sie möchten das Thema in Ihrem Unternehmen sauber und pragmatisch angehen? Sprechen Sie mit uns.

Kleiner juristischer Beipackzettel: Dieser Artikel ist keine Rechtsberatung und keine verbindliche Einstufung Ihres Unternehmens. Wir leiten die Einordnung aus den genannten Rechtsakten und verfügbaren Behördenhinweisen ab. Gesetze, Auslegung und Verwaltungspraxis können sich ändern – und die zuständigen Stellen rufen uns erfahrungsgemäß nicht an, wenn sie das tun. Lassen Sie Grenzfälle deshalb rechtlich prüfen.