Sind Sie Managed Security Service Provider gemäß EU 2024/2690?

„Nein, Managed Security Service Provider sind wir nicht. Wir betreiben nur die Firewalls unserer Kunden, überwachen Sicherheitsereignisse, führen Schwachstellenscans durch und helfen bei Sicherheitsvorfällen.“

Das ist ungefähr so, als würde jemand sagen: „Bäckerei? Nein. Wir machen nur Brot, Brötchen und manchmal Kuchen.“

Bei einem Managed Security Service Provider – kurz MSSP – ist das Etikett auf dem Angebot ziemlich egal. Entscheidend ist, was das Unternehmen tatsächlich für seine Kunden tut. Allerdings macht auch nicht jede Schulung, jeder Penetrationstest und jedes Sicherheitskonzept aus einem Anbieter automatisch einen MSSP. Die gesetzliche Definition enthält nämlich eine kleine, aber wichtige Schleuse: Ein MSSP muss zunächst ein Managed Service Provider sein.

Und selbst wenn die Tätigkeit passt, ist noch nicht gesagt, dass das Unternehmen unter NIS-2 fällt. Danach kommen Unternehmensgröße, verbundene Unternehmen und mögliche Sonderfälle. Die Prüfung hat also mindestens zwei Stockwerke. Wer schon nach dem Türschild im Erdgeschoss wieder umdreht, kann sich ziemlich gründlich verlaufen.

Die kurze Antwort

Ein Managed Security Service Provider ist nach Artikel 6 Nummer 40 der NIS-2-Richtlinie (EU) 2022/2555 ein Managed Service Provider, der Tätigkeiten im Zusammenhang mit dem Cybersicherheits-Risikomanagement durchführt oder dabei unterstützt.

Das bedeutet praktisch:

1. Der Anbieter muss die Voraussetzungen eines Managed Service Providers erfüllen.
2. Seine verwaltete oder unterstützende Leistung muss sich auf Cybersicherheits-Risikomanagement beziehen.
3. Erst danach wird geprüft, ob die konkrete Einrichtung aufgrund ihrer Größe oder eines Sonderfalls tatsächlich in den NIS-2-Anwendungsbereich fällt.

Deutlich in Richtung MSSP gehen beispielsweise ein betriebenes Security Operations Center, laufendes SIEM-Monitoring, Managed Detection and Response, verwaltete Firewalls, Managed EDR oder ein ausgelagerter Prozess zur Erkennung und Behandlung von Schwachstellen.

Reine Beratung ist dagegen nicht automatisch ein MSSP. Genau an dieser Stelle ist der europäische Text allerdings weniger bequem, als man es sich für einen schnellen Selbsttest wünschen würde.

Wo steht die Definition des MSSP?

Die eigentliche Definition steht in Artikel 6 Nummer 40 der NIS-2-Richtlinie (EU) 2022/2555. MSSP gehören nach Anhang I Nummer 9 derselben Richtlinie zur „Verwaltung von IKT-Diensten (Business-to-Business)“.

Die Durchführungsverordnung (EU) 2024/2690 definiert den Begriff nicht neu. Sie setzt voraus, dass die Einordnung bereits geklärt ist. Für die erfassten MSSP konkretisiert sie anschließend die technischen und methodischen Sicherheitsanforderungen und legt Kriterien für erhebliche Sicherheitsvorfälle fest.

Wichtig ist die Reihenfolge der Wörter in der Definition: Ein MSSP ist ein MSP, der Sicherheitsleistungen erbringt. Ein Unternehmen wird also nicht allein deshalb zum MSSP, weil irgendwo „Cybersecurity“ auf der Rechnung steht.

Erst MSP, dann Security

Die MSP-Definition aus Artikel 6 Nummer 39 der NIS-2-Richtlinie (EU) 2022/2555 verlangt Dienste rund um Installation, Verwaltung, Betrieb oder Wartung von IKT-Produkten, Netzen, Infrastruktur, Anwendungen oder anderen Netz- und Informationssystemen – durch Unterstützung oder aktive Verwaltung, beim Kunden oder remote.

Für den MSSP kommt die Sicherheitsrichtung hinzu. Es geht nicht nur um allgemeine IT-Unterstützung, sondern um Tätigkeiten, mit denen Cyberrisiken verhütet, erkannt, bearbeitet oder ihre Folgen gemindert werden.

Die beiden Prüfungen lassen sich deshalb so formulieren:

• MSP-Frage: Unterstützen oder verwalten Sie für Kunden deren IKT-Systeme im Zusammenhang mit Installation, Verwaltung, Betrieb oder Wartung?
• Security-Frage: Betrifft diese Leistung die Beherrschung von Cyberrisiken?

Zweimal Ja spricht deutlich für MSSP. Ein Nein bei der ersten Frage lässt sich nicht dadurch heilen, dass die zweite Leistung besonders eindrucksvoll klingt.

Welche Leistungen sprechen für einen MSSP?

Die folgende Tabelle ist eine praktische Orientierung, keine amtliche Speisekarte. Entscheidend bleiben Leistungsinhalt, Vertrag und tatsächliche Arbeit.

Wer Sicherheitsereignisse laufend überwacht, sollte sich außerdem mit Systemen zur Angriffserkennung unter NIS-2 beschäftigen. Ein MSSP kann für Kunden genau den Teil übernehmen, der technisch und personell intern kaum rund um die Uhr leistbar ist.

Beratung, Audit und Penetrationstest: der kleine europäische Knoten

Erwägungsgrund 86 der NIS-2-Richtlinie (EU) 2022/2555 nennt bei Anbietern verwalteter Sicherheitsdienste ausdrücklich Reaktion auf Sicherheitsvorfälle, Penetrationstests, Sicherheitsaudits und Beratung. Liest man nur diesen Satz, könnte man fast meinen: Jeder IT-Sicherheitsberater ist MSSP.

Die verbindliche Definition verlangt aber weiterhin, dass der Anbieter zunächst MSP ist. Ein Erwägungsgrund hilft bei der Auslegung, ersetzt jedoch nicht die Tatbestandsmerkmale der Definition.

Auch das BSI hat in seinen archivierten sektorspezifischen FAQ erklärt, dass reine IT-Sicherheitsberatung in der Regel nicht unter die Einrichtungsart MSSP fallen dürfte. Die FAQ bezogen sich auf einen damaligen deutschen Gesetzesentwurf und sind keine verbindliche Auslegung des EU-Rechts. Als Orientierung für das Wort rein sind sie trotzdem hilfreich.

Unsere praktische Lesart lautet daher:

• Ein Unternehmen, das ausschließlich Workshops, Konzepte oder punktuelle Bewertungen verkauft und nicht in den Betrieb oder die technische Unterstützung von Kundensystemen eingebunden ist, ist nicht allein deshalb MSSP.
• Ein Anbieter, der Beratung mit laufender technischer Unterstützung, Administration, Monitoring oder Incident-Bereitschaft verbindet, nähert sich der MSSP-Definition sehr deutlich.
• Bei Penetrationstests, Audits und Incident-Response-Leistungen muss geprüft werden, ob sie isolierte Einzelaufträge oder Bestandteil eines verwalteten Sicherheitsdienstes sind.

Wer hier eine Antwort mit drei Wörtern erwartet, bekommt leider EU-Recht. Grenzfälle sollten deshalb nicht durch Umbenennung des Angebots, sondern anhand von Verträgen, Zugriffen, Abläufen und tatsächlicher Leistung geklärt werden.

Typische Grenzfälle

Externer ISB oder vCISO

Ein externer Informationssicherheitsbeauftragter koordiniert häufig Risikomanagement, Maßnahmen, Berichte und Verbesserungen. Das betrifft ohne Frage Cybersicherheits-Risikomanagement. Ob daraus ein MSSP wird, hängt aber wieder an der MSP-Voraussetzung: Berät und koordiniert die Person nur, oder leistet sie eine verwaltete Unterstützung für die relevanten Netz- und Informationssysteme? Die Rollenbezeichnung allein entscheidet nichts.

Incident Response

Ein einmaliger Einsatz nach einem Angriff kann anders zu bewerten sein als ein dauerhafter Retainer mit Bereitschaft, vorbereiteten Zugängen, Monitoring und klaren Reaktionsleistungen. Wer Incident Response anbietet, sollte ohnehin ein belastbares Informationssicherheitsvorfall-Management für die eigene Leistung und die Schnittstelle zum Kunden haben.

Schwachstellenscans und Penetrationstests

Ein einzelner Scan mit anschließendem PDF-Bericht ist näher an einer punktuellen Prüfung. Ein Dienst, der fortlaufend scannt, Ergebnisse bewertet, Maßnahmen verfolgt, Tickets erzeugt und die Behebung unterstützt, sieht erheblich mehr nach Managed Security aus.

Firewall-Support

Wer nur eine Firewall verkauft, ist deshalb noch kein MSSP. Wer die Regeln laufend pflegt, Änderungen freigibt, Ereignisse auswertet und auf Angriffe reagiert, erbringt dagegen ziemlich anschaulich einen verwalteten Sicherheitsdienst. Besondere Aufmerksamkeit verdienen dabei privilegierte Zugänge; unser Beitrag zum sicheren Umgang mit Adminrechten zeigt, warum solche Konten nicht wie Büroschlüssel im Schlüsselkasten behandelt werden sollten.

Spielt die Unternehmensgröße eine Rolle?

Ja. Und die Größenprüfung ist von der Tätigkeitsdefinition zu trennen.

Nach Artikel 2 Absatz 1 der NIS-2-Richtlinie (EU) 2022/2555 gilt der reguläre Anwendungsbereich für Einrichtungen der erfassten Arten, die nach der europäischen KMU-Definition mindestens mittlere Unternehmen sind. Vereinfacht bedeutet das:

• Kleinstunternehmen: weniger als 10 Beschäftigte und höchstens 2 Millionen Euro Jahresumsatz oder Bilanzsumme.
• Kleine Unternehmen: weniger als 50 Beschäftigte und höchstens 10 Millionen Euro Jahresumsatz oder Bilanzsumme.
• Mittlere Unternehmen: weniger als 250 Beschäftigte und höchstens 50 Millionen Euro Jahresumsatz oder höchstens 43 Millionen Euro Bilanzsumme.

Große MSSP gelten nach Artikel 3 Absatz 1 Buchstabe a der NIS-2-Richtlinie (EU) 2022/2555 grundsätzlich als wesentliche Einrichtungen. Mittlere MSSP sind nach Artikel 3 Absatz 2 derselben Richtlinie grundsätzlich wichtige Einrichtungen. Beide Gruppen haben echte Pflichten; unterschiedlich ist vor allem die Aufsichts- und Sanktionslogik.

Die Zwei-Personen-Bude mit 50.000 Euro Umsatz

Nehmen wir zwei IT-Sicherheitsleute, die für einige Kunden Firewalls verwalten und Sicherheitsereignisse überwachen. Mit ihrer Tätigkeit können sie die MSSP-Definition durchaus erfüllen.

Sind sie ein eigenständiges Unternehmen mit zwei Beschäftigten und 50.000 Euro Jahresumsatz, fallen sie im Normalfall trotzdem nicht allein deshalb unter NIS-2 und die Durchführungsverordnung (EU) 2024/2690. Tätigkeit: möglicherweise Ja. Gesetzlicher Anwendungsbereich: im Normalfall Nein.

Das ist keine Wortklauberei, sondern die Antwort auf die Frage, ob eine kleine Bude plötzlich 49 Unterthemen der Durchführungsverordnung umsetzen muss.

Verbundene Unternehmen nicht vergessen

Die kleine Gesellschaft darf ihre Zahlen nicht immer isoliert betrachten. Bei Partnerunternehmen werden Werte anteilig, bei verbundenen Unternehmen regelmäßig vollständig hinzugerechnet. Eine Drei-Personen-Security-Tochter eines großen Konzerns kann deshalb größenrechtlich erheblich größer sein, als der Blick auf den eigenen Flur vermuten lässt.

Sonderfälle unabhängig von der Größe

Artikel 2 Absatz 2 und 3 der NIS-2-Richtlinie (EU) 2022/2555 enthält größenunabhängige Fälle. Dazu gehören beispielsweise die besondere Kritikalität eines Dienstes, erhebliche Auswirkungen auf öffentliche Sicherheit oder Gesundheit, wesentliche Systemrisiken oder die Einstufung als kritische Einrichtung.

Und noch eine wichtige Trennung: Ein kleiner MSSP wird nicht automatisch NIS-2-pflichtig, weil er NIS-2-pflichtige Kunden hat. Diese Kunden müssen ihre Lieferantenrisiken unter NIS-2 beherrschen und werden deshalb womöglich sehr konkrete Vertragsanforderungen stellen. Vertraglicher Druck ist aber nicht dasselbe wie eigener gesetzlicher Status.

Was verlangt EU 2024/2690 von einem betroffenen MSSP?

Die Durchführungsverordnung (EU) 2024/2690 gilt unmittelbar für die von ihr erfassten Einrichtungen und konkretisiert die Risikomanagementmaßnahmen. Ihr Anhang enthält 49 Unterthemen zu Governance, Risiko, Vorfällen, BCM, Lieferkette, Entwicklung und Betrieb, Wirksamkeit, Awareness, Kryptografie, Personal, Zugriffen, Assets sowie physischer Sicherheit.

Für MSSP ist das besonders pikant: Sie schützen nicht nur ihre eigene Leistung. Ein kompromittierter MSSP kann durch seine Zugänge, Agenten, Verwaltungsplattformen und Vertrauensbeziehungen gleich mehrere Kunden gefährden. Deshalb muss der Anbieter unter anderem seine eigenen Cyberrisiken strukturiert managen, Lieferketten beherrschen, privilegierte Konten schützen, Ereignisse protokollieren und auf Vorfälle vorbereitet sein.

Artikel 10 der Durchführungsverordnung (EU) 2024/2690 legt außerdem anbieterspezifische Kriterien für erhebliche Sicherheitsvorfälle bei MSP und MSSP fest. Erheblich ist danach unter anderem:

• die vollständige Nichtverfügbarkeit eines verwalteten Sicherheitsdienstes für mehr als 30 Minuten,
• eine Verfügbarkeitseinschränkung für mehr als eine Stunde, wenn mehr als 5 Prozent oder mehr als eine Million Nutzer in der Union betroffen sind – maßgeblich ist der niedrigere Wert,
• eine durch eine mutmaßlich böswillige Handlung verursachte Beeinträchtigung von Integrität, Vertraulichkeit oder Authentizität der dienstbezogenen Daten,
• oder eine solche Beeinträchtigung mit Auswirkungen auf mehr als 5 Prozent oder mehr als eine Million Nutzer in der Union – wieder gilt der niedrigere Wert.

Hinzu kommen die horizontalen Kriterien der Verordnung und die gesetzlichen Meldewege. Das Sicherheitsmonitoring des MSSP darf also nicht nur feststellen, dass beim Kunden etwas brennt. Es muss auch erkennen, wenn der eigene Feuerlöscher gerade selbst Feuer gefangen hat.

Hilft ISO 27001 bei der Umsetzung?

Ein belastbares ISO 27001-Managementsystem ist eine sehr gute Grundlage. Die Themen der Durchführungsverordnung überschneiden sich stark mit dem ISMS: Risikomanagement, Incident Management, BCM, Lieferanten, Zugriffskontrolle, Logging, Assets und Wirksamkeit sind dort keine exotischen Fremdwörter.

Das Zertifikat beantwortet aber nicht, ob Sie rechtlich MSSP sind. Es ersetzt auch weder die konkreten Vorfallschwellen noch jede Detailanforderung der Verordnung. Besonders bei festen Mindestintervallen, Logging, Lieferantenverträgen, Nachweisen und technischen Einzelheiten kann zusätzlicher Aufwand entstehen.

Praktisch sollte daher nicht gefragt werden: „Haben wir ein Zertifikat?“ Sondern: „Welche Anforderungen der Verordnung erfüllen wir bereits nachweisbar, wo reicht unsere Umsetzung noch nicht tief genug und was liegt ganz außerhalb des Zertifikats?“

So prüfen Sie Ihre MSSP-Eigenschaft praktisch

1. Listen Sie die tatsächlich erbrachten Sicherheitsleistungen je juristischer Person auf.
2. Prüfen Sie zuerst die MSP-Merkmale: Installation, Verwaltung, Betrieb oder Wartung fremder IKT durch Unterstützung oder aktive Verwaltung.
3. Prüfen Sie dann den Sicherheitsbezug: Verhindert, erkennt, behandelt oder mindert die Leistung Cyberrisiken?
4. Erfassen Sie Vertragslaufzeit, Zugriffe, technische Einbindung, Reaktionspflichten und Betriebsverantwortung.
5. Trennen Sie punktuelle Beratung und Prüfung von laufenden verwalteten Diensten.
6. Berechnen Sie die Unternehmensgröße einschließlich Partner- und verbundener Unternehmen.
7. Prüfen Sie Sonderfälle, nationale Zuständigkeit und das jeweilige Umsetzungsgesetz.
8. Dokumentieren Sie die Herleitung – gerade dann, wenn Sie im Grenzbereich landen.

Interesse geweckt?

Dieser Artikel gehört zu unserer Serie über die EU-Durchführungsverordnung 2024/2690. Dort finden Sie die elf erfassten Anbietergruppen und die gemeinsame Prüfstruktur. Als Nächstes nehmen wir die weiteren Grenzbegriffe auseinander, bevor wir die 49 Unterthemen der Verordnung detailliert auf ISO 27001 mappen.

Sie möchten das Thema in Ihrem Unternehmen sauber und pragmatisch angehen? Sprechen Sie mit uns.

Kleiner juristischer Beipackzettel: Dieser Artikel ist keine Rechtsberatung und keine verbindliche Einstufung Ihres Unternehmens. Wir leiten die Einordnung aus den genannten Rechtsakten und verfügbaren Behördenhinweisen ab. Gesetze, Auslegung und Verwaltungspraxis können sich ändern – und die zuständigen Stellen rufen uns erfahrungsgemäß nicht an, wenn sie das tun. Lassen Sie Grenzfälle deshalb rechtlich prüfen.