Sind Sie Managed Service Provider gemäß EU 2024/2690?

„Managed Service Provider? Nein, das sind wir nicht.“ So weit, so eindeutig. Dann beschreibt das Unternehmen seine Leistungen: Es richtet bei Kunden die IT ein, übernimmt Benutzerverwaltung und Fernwartung, spielt Updates ein, überwacht Systeme, kontrolliert Backups und hilft, wenn etwas nicht funktioniert.

Anders gesagt: Das Unternehmen liest mit großer Überzeugung fast die gesamte gesetzliche Definition eines Managed Service Providers vor – und erklärt anschließend, damit nichts zu tun zu haben.

Das ist verständlich. „Managed Service Provider“ klingt nach internationalem Großanbieter mit riesigem Network Operations Center. Tatsächlich kann der Begriff sehr viel gewöhnlicheren IT-Service erfassen. Trotzdem wird nicht jedes kleine Systemhaus automatisch NIS-2-pflichtig. Nach der Tätigkeit kommt noch die Größenprüfung. Und genau die bewahrt die Zwei-Personen-Bude mit 50.000 Euro Jahresumsatz im Normalfall davor, unvermittelt die komplette EU-Durchführungsverordnung 2024/2690 umsetzen zu müssen.

Die kurze Antwort

Ein Managed Service Provider – kurz MSP – ist nach Artikel 6 Nummer 39 der NIS-2-Richtlinie (EU) 2022/2555 eine Einrichtung, die für Kunden Dienste rund um Installation, Verwaltung, Betrieb oder Wartung von IKT-Produkten, Netzen, Infrastrukturen, Anwendungen oder anderen Netz- und Informationssystemen erbringt. Das kann durch Unterstützung oder aktive Verwaltung geschehen, beim Kunden vor Ort oder aus der Ferne.

Sie brauchen also nicht zwingend ein Produkt namens „Managed Service“. Auch Administratorrechte sind kein ausdrücklich genanntes Pflichtmerkmal. Der Gesetzestext sagt Unterstützung oder aktive Verwaltung.

Aber: Die Tätigkeit allein entscheidet noch nicht über die NIS-2-Pflicht. MSP gehören in NIS-2 zu „Verwaltung von IKT-Diensten (Business-to-Business)“. Im Normalfall fallen daher mittlere und große Unternehmen in den Anwendungsbereich. Kleine und Kleinstunternehmen grundsätzlich nicht – sofern keine Konzernzurechnung oder ein größenunabhängiger Sonderfall greift.

Wo steht die Definition des Managed Service Providers?

Die Definition steht nicht in der Durchführungsverordnung selbst, sondern in Artikel 6 Nummer 39 der NIS-2-Richtlinie (EU) 2022/2555. Die Durchführungsverordnung (EU) 2024/2690 setzt anschließend voraus, dass diese Einordnung bereits geklärt ist, und konkretisiert die Sicherheitsmaßnahmen sowie erhebliche Sicherheitsvorfälle für betroffene MSP. Den Gesamtüberblick über Anwendungsbereich und Aufbau finden Sie in unserem Hub-Artikel zur EU 2024/2690.

In normales Deutsch übersetzt enthält die Definition vier Bausteine:

1. Sie erbringen eine Dienstleistung für Kunden.
2. Die Dienstleistung betrifft IKT-Produkte, Netze, Infrastruktur, Anwendungen oder andere Netz- und Informationssysteme.
3. Inhaltlich geht es um Installation, Verwaltung, Betrieb oder Wartung.
4. Sie leisten dabei Unterstützung oder übernehmen aktive Verwaltung – vor Ort oder remote.

Die Einordnung hängt an der konkreten Leistung der jeweiligen juristischen Person. Nicht am Firmennamen, nicht am Etikett auf dem Angebot und auch nicht daran, ob der Vertrieb lieber „IT Solutions Partner“ auf die Website geschrieben hat.

Welche Leistungen sprechen für einen MSP?

Die folgende Tabelle ist eine praktische Orientierung. Sie ersetzt keine rechtliche Einzelfallprüfung, zeigt aber, wo genauer hingesehen werden sollte.

Besonders wichtig ist der Helpdesk. Ein Anbieter kann sich nicht allein mit „Wir haben doch gar keine Adminrechte“ aus der Definition verabschieden. Wer Kunden bei der Installation, Verwaltung, dem Betrieb oder der Wartung ihrer Systeme unterstützt, kann bereits näher an der Definition liegen, als ihm lieb ist.

Das bedeutet nicht, dass jede telefonische Antwort auf die Frage „Haben Sie den Rechner schon neu gestartet?“ automatisch einen MSP erzeugt. Betrachtet werden müssen Leistungsgegenstand, tatsächliche Arbeit, Verträge, Zugriffsmöglichkeiten und die Einbindung in den Kundenbetrieb.

Muss die Leistung dauerhaft erbracht werden?

Viele verbinden Managed Services mit einem laufenden Vertrag, monatlicher Pauschale, Monitoring und klaren Service Levels. Das ist wirtschaftlich plausibel. Der Wortlaut von Artikel 6 Nummer 39 der NIS-2-Richtlinie (EU) 2022/2555 macht eine bestimmte Mindestlaufzeit aber nicht ausdrücklich zur Voraussetzung. Er nennt sogar Dienste im Zusammenhang mit der Installation.

Deshalb wäre die Aussage „Wir machen das nur einmal, also können wir niemals MSP sein“ zu mutig. Ein reiner Produktverkauf ohne Dienstleistung lässt sich deutlich leichter abgrenzen. Bei einem Installationsprojekt mit technischer Unterstützung, Konfiguration, Zugriff auf Kundensysteme und anschließender Betriebsübergabe muss genauer geprüft werden.

Wir würden daraus keine automatische MSP-Einstufung jedes Installateurs ableiten. Wir würden aber ebenso wenig empfehlen, die Prüfung nach dem Wort „einmalig“ abzubrechen und erleichtert nach Hause zu gehen.

Ist eine interne IT-Abteilung ein Managed Service Provider?

Eine IT-Abteilung innerhalb derselben juristischen Person erbringt normalerweise keinen Dienst an einem Kunden. Wenn die Muster GmbH ihre eigene IT betreibt, macht sie das nicht schon zum MSP.

Anders kann es bei einer rechtlich selbstständigen IT-Tochter aussehen, die den IT-Betrieb für andere Unternehmen der Gruppe übernimmt. Dann gibt es eine eigene Einrichtung, die Leistungen für andere juristische Personen erbringt. Das BSI hat in seinen inzwischen archivierten sektorspezifischen FAQ solche zentralen IT-Gesellschaften regelmäßig als mögliche MSP oder MSSP eingeordnet.

Diese FAQ bezogen sich auf einen damaligen deutschen Gesetzesentwurf und sind keine verbindliche Rechtsauskunft. Als Warnschild gegen das Argument „Wir sind doch alle derselbe Konzern“ taugen sie trotzdem. Gesellschaftsrechtlich können es eben mehrere Einrichtungen sein.

Was ist der Unterschied zwischen MSP und MSSP?

Ein Managed Security Service Provider – MSSP – ist nach Artikel 6 Nummer 40 der NIS-2-Richtlinie (EU) 2022/2555 ein MSP, der Tätigkeiten des Cybersicherheits-Risikomanagements durchführt oder dabei unterstützt.

Vereinfacht:

• Der MSP betreibt oder unterstützt allgemeine IKT.
• Der MSSP erbringt verwaltete Sicherheitsleistungen.

Wer Firewalls administriert, ein Security Operations Center betreibt, Sicherheitsereignisse überwacht, Schwachstellenmanagement übernimmt oder Kunden bei der Reaktion auf Vorfälle unterstützt, kann in Richtung MSSP gehen. Das vertiefen wir im nächsten Artikel der Serie.

Reine IT-Sicherheitsberatung ohne verwaltete Leistung ist dagegen nicht automatisch ein MSSP. Wer ausschließlich Konzepte erklärt und keine Systeme oder Sicherheitsprozesse für den Kunden betreibt oder unterstützt, steht regelmäßig anders da als ein ausgelagerter Security-Betrieb.

Spielt die Unternehmensgröße eine Rolle?

Ja – und bei MSP ist diese Frage entscheidend.

NIS-2 gilt im Normalfall für Einrichtungen aus den erfassten Sektoren, die als mittlere Unternehmen gelten oder die Schwellenwerte mittlerer Unternehmen überschreiten. Nach der europäischen KMU-Definition bedeutet das grob:

• Kleinstunternehmen: weniger als 10 Beschäftigte und höchstens 2 Millionen Euro Jahresumsatz oder Bilanzsumme,
• kleine Unternehmen: weniger als 50 Beschäftigte und höchstens 10 Millionen Euro Jahresumsatz oder Bilanzsumme,
• mittlere Unternehmen: weniger als 250 Beschäftigte und höchstens 50 Millionen Euro Jahresumsatz oder höchstens 43 Millionen Euro Bilanzsumme.

Für den regulären NIS-2-Anwendungsbereich sind bei MSP also vor allem mittlere und große Unternehmen relevant.

Die Zwei-Personen-Bude mit 50.000 Euro Umsatz

Nehmen wir ein eigenständiges Systemhaus mit zwei Beschäftigten und 50.000 Euro Jahresumsatz. Es administriert zwar laufend Kundensysteme und erfüllt möglicherweise die Tätigkeitsdefinition eines MSP. Als eigenständiges Kleinstunternehmen fällt es aber im Normalfall nicht allein deshalb unter NIS-2 und die EU 2024/2690.

Das ist die Stelle, an der zwei Prüfungen auseinandergehalten werden müssen:

• Tätigkeit: Ist das Unternehmen ein MSP?
• Anwendungsbereich: Ist dieser MSP aufgrund seiner Größe oder eines Sonderfalls NIS-2-pflichtig?

Man kann die erste Frage mit Ja und die zweite trotzdem mit Nein beantworten.

Vorsicht bei Unternehmensgruppen

Die Zwei-Personen-GmbH kann ihre Größe nicht immer isoliert betrachten. Bei Partnerunternehmen werden Kennzahlen anteilig, bei verbundenen Unternehmen regelmäßig vollständig hinzugerechnet. Eine kleine IT-Tochter eines großen Konzerns bleibt daher nicht automatisch klein, nur weil auf ihrer eigenen Gehaltsliste vier Namen stehen.

Relevant sind unter anderem Beteiligungen, Stimmrechte, Beherrschung und die Möglichkeit, Leitungsgremien zu bestimmen. Die europäische KMU-Definition ist an dieser Stelle eher Familienaufstellung als Kopfrechnen.

Größenunabhängige Sonderfälle

Auch ein kleiner MSP kann ausnahmsweise erfasst werden. NIS-2 nennt beispielsweise Einrichtungen, die in einem Mitgliedstaat alleiniger Anbieter eines für kritische gesellschaftliche oder wirtschaftliche Tätigkeiten unerlässlichen Dienstes sind. Weitere Sonderfälle betreffen erhebliche Auswirkungen auf öffentliche Sicherheit oder Gesundheit, wesentliche Systemrisiken, besondere nationale oder regionale Kritikalität sowie die Einstufung als kritische Einrichtung.

Wichtig: Ein kleiner MSP wird nicht automatisch NIS-2-pflichtig, nur weil er einen NIS-2-Kunden betreut. Der Kunde muss seine Lieferantenrisiken unter NIS-2 beherrschen und wird deshalb vertragliche Anforderungen stellen. Das macht den Lieferanten aber nicht von selbst zum gesetzlichen Adressaten.

Was verlangt EU 2024/2690 von einem betroffenen MSP?

Ist ein Unternehmen sowohl MSP als auch vom NIS-2-Anwendungsbereich erfasst, wird es konkret. Der Anhang der EU 2024/2690 enthält 49 Unterthemen unter anderem zu:

• Sicherheitskonzepten, Rollen und Leitungsverantwortung,
• Risikomanagement,
• Incident Management, Monitoring und Logging,
• Business Continuity, Backups und Krisenmanagement,
• Lieferkettensicherheit,
• sicherem Erwerb, Entwicklung, Änderungen, Patches und Schwachstellen,
• Wirksamkeitsprüfungen,
• Awareness, Kryptografie und Personalsicherheit,
• Zugriffskontrolle und privilegierten Konten,
• Asset Management sowie physischer Sicherheit.

Gerade MSP besitzen häufig weitreichende Zugänge zu zahlreichen Kundenumgebungen. Wer dort Adminrechte verteilt wie Schlüssel beim Schützenfest, hat nicht nur ein eigenes Problem. Er kann gleich mehrere Kunden mitnehmen.

Zusätzlich enthält Artikel 10 der Durchführungsverordnung (EU) 2024/2690 konkrete Schwellen für erhebliche Vorfälle bei MSP und MSSP. Ein verwalteter Dienst, der länger als 30 Minuten vollständig ausfällt, erfüllt beispielsweise bereits eines der anbieterspezifischen Kriterien. Auch längere Einschränkungen für einen bestimmten Nutzeranteil sowie Beeinträchtigungen von Integrität, Vertraulichkeit oder Authentizität können erheblich sein.

Hilft ein Zertifikat bei der Umsetzung?

Ein belastbares ISO 27001-Managementsystem ist eine sehr gute Grundlage. Risikomanagement, Lieferanten, Vorfälle, BCM, Zugriffe, Assets und technische Betriebsprozesse sind dort bereits vertraute Themen.

Ein Zertifikat beantwortet aber weder die rechtliche Frage, ob Sie MSP sind, noch die Größen- und Ausnahmeprüfung. Außerdem macht die EU 2024/2690 an mehreren Stellen genauere Vorgaben zu Intervallen, Nachweisen, Logging, Lieferantenverträgen und Vorfallschwellen.

Praktisch sinnvoll ist deshalb ein strukturiertes Mapping: Welche Anforderungen sind durch das bestehende ISMS bereits belastbar erfüllt? Wo ist zwar ein Thema vorhanden, aber nicht in der geforderten Tiefe? Und welche gesetzlichen Punkte liegen außerhalb des Zertifikats? Eine Gap-Analyse ist dafür deutlich hilfreicher als die Hoffnung, das Zertifikat werde im Zweifel schon alles zudecken.

So prüfen Sie Ihre MSP-Eigenschaft praktisch

1. Erfassen Sie Ihre tatsächlichen Leistungen – nicht nur die Produktnamen aus dem Vertrieb.
2. Prüfen Sie je Leistung Installation, Verwaltung, Betrieb, Wartung und Unterstützung.
3. Klären Sie, für welche juristische Person und welche Kunden die Leistung erbracht wird.
4. Dokumentieren Sie Vertragsinhalt, Zugriffsmöglichkeiten, Betriebsverantwortung und Laufzeit.
5. Berechnen Sie die Unternehmensgröße einschließlich Partner- und verbundener Unternehmen.
6. Prüfen Sie größenunabhängige Sonderfälle und das nationale Umsetzungsgesetz.
7. Halten Sie die Herleitung fest, auch wenn das Ergebnis lautet: Tätigkeit möglicherweise MSP, aber nicht im gesetzlichen Anwendungsbereich.

Interesse geweckt?

Dieser Beitrag ist Teil unserer Serie zur EU-Durchführungsverordnung 2024/2690. Im nächsten Artikel grenzen wir den Managed Security Service Provider vom allgemeinen MSP und von reiner Sicherheitsberatung ab. Danach folgen die weiteren Anbietergruppen, die Vorfallschwellen und das detaillierte Mapping auf ISO 27001.

Sie möchten das Thema in Ihrem Unternehmen sauber und pragmatisch angehen? Sprechen Sie mit uns.

Kleiner juristischer Beipackzettel: Dieser Artikel ist keine Rechtsberatung und keine verbindliche Einstufung Ihres Unternehmens. Wir leiten die Einordnung aus den genannten Rechtsakten und verfügbaren Behördenhinweisen ab. Gesetze, Auslegung und Verwaltungspraxis können sich ändern – und die zuständigen Stellen rufen uns erfahrungsgemäß nicht an, wenn sie das tun. Lassen Sie Grenzfälle deshalb rechtlich prüfen.