Wer bleibt unter NIS2 verantwortlich, wenn ein Unternehmen seine IT auslagert?

Alexander Brütsch · 09 Okt. 2026

Auch wenn ein Unternehmen seine IT vollständig an einen externen Dienstleister auslagert, bleibt die Verantwortung für NIS2-Compliance beim Unternehmen selbst. Das Gesetz kennt keine Delegation von Pflichten an Dritte. Wer als betroffene Einrichtung gilt, trägt die Verantwortung gegenüber der Aufsichtsbehörde, unabhängig davon, wer die Systeme technisch betreibt. Die folgenden Fragen klären, was das konkret bedeutet, was Verträge leisten müssen und wo IT-Outsourcing unter NIS2 zum Risiko wird.

Welche Pflichten verbleiben beim Unternehmen, wenn die IT extern betrieben wird?

Alle NIS2-Pflichten verbleiben beim auslagernden Unternehmen. Die Auslagerung von IT-Betrieb an einen Managed Service Provider überträgt keine gesetzliche Verantwortung. Das Unternehmen bleibt gegenüber der zuständigen Behörde für Risikomanagement, Meldepflichten, Sicherheitsmaßnahmen und Governance verantwortlich, auch wenn es diese Aufgaben operativ nicht selbst ausführt.

Das bedeutet in der Praxis: Wer NIS2-pflichtig ist, muss ein funktionierendes Risikomanagement nachweisen können, Sicherheitsvorfälle fristgerecht melden und belegen, dass angemessene technische und organisatorische Maßnahmen getroffen wurden. Ob ein externer Dienstleister diese Maßnahmen umsetzt, ändert nichts an der Nachweispflicht des Unternehmens selbst.

Konkret bleiben folgende Pflichten immer beim Unternehmen:

Benennung und Einbindung der Geschäftsleitung in Sicherheitsfragen
Meldung von erheblichen Sicherheitsvorfällen an die zuständige Behörde
Pflege eines Risikomanagements und Dokumentation von Schutzmaßnahmen
Überprüfung und Steuerung der Lieferkette, einschließlich IT-Dienstleister
Schulung und Sensibilisierung der eigenen Belegschaft

Wer glaubt, durch Outsourcing NIS2-Pflichten loszuwerden, irrt. Die Auslagerung verschiebt operative Aufgaben, aber nicht die rechtliche Verantwortung.

Wofür haftet der IT-Dienstleister bei einem Sicherheitsvorfall?

Der IT-Dienstleister haftet gegenüber dem Unternehmen vertraglich, nicht gegenüber der Aufsichtsbehörde. Bußgelder, Meldepflichten und behördliche Sanktionen treffen das betroffene Unternehmen direkt. Ob und in welchem Umfang der Dienstleister zivilrechtlich in Regress genommen werden kann, hängt ausschließlich vom Vertrag ab.

NIS2 selbst begründet keine direkte Haftung des IT-Dienstleisters gegenüber Behörden, solange er selbst nicht als NIS2-pflichtige Einrichtung eingestuft ist. Das Unternehmen trägt das Bußgeldrisiko, auch wenn der Vorfall technisch auf einen Fehler des Dienstleisters zurückgeht.

Das macht die Vertragsgestaltung zur zentralen Schutzmaßnahme. Ohne klare vertragliche Regelungen zu Haftungsgrenzen, Schadenersatz und Reaktionspflichten bleibt das Unternehmen im Schadensfall auf dem Risiko sitzen.

Was muss ein NIS2-konformer Vertrag mit einem IT-Dienstleister enthalten?

Ein NIS2-konformer Vertrag mit einem IT-Dienstleister muss mindestens Sicherheitsanforderungen, Meldepflichten, Auditrechte und Reaktionszeiten bei Vorfällen verbindlich regeln. Fehlen diese Klauseln, kann das Unternehmen seine eigenen NIS2-Pflichten nicht erfüllen, weil es von Informationen und Handlungen des Dienstleisters abhängt.

Folgende Elemente gehören in jeden Vertrag mit IT-Dienstleistern unter NIS2:

Sicherheitsanforderungen: Konkrete technische und organisatorische Mindeststandards, die der Dienstleister einhalten muss
Meldepflichten: Verpflichtung des Dienstleisters, Sicherheitsvorfälle unverzüglich zu melden, damit das Unternehmen die gesetzlichen Fristen einhalten kann
Auditrechte: Das Recht, die Sicherheitspraktiken des Dienstleisters zu prüfen oder prüfen zu lassen
Reaktionszeiten: Verbindliche SLAs für den Umgang mit Sicherheitsvorfällen
Subunternehmer-Regelungen: Transparenz darüber, welche Leistungen der Dienstleister selbst weitergibt, und Anforderungen an diese Kette
Beendigungsszenarien: Regelungen zur sicheren Datenmigration und zum Übergang bei Vertragskündigung

Ein Vertrag, der nur Preis und Leistungsumfang regelt, reicht unter NIS2 nicht aus. Die Lieferkettensicherheit ist ein expliziter Bestandteil der Anforderungen, und das schließt die vertragliche Absicherung von Dienstleisterverhältnissen ein. Wer NIS2-Anforderungen systematisch umsetzen will, sollte Vertragsvorlagen und Anforderungskataloge für Lieferanten frühzeitig entwickeln.

Wie behalten auslagernde Unternehmen die Kontrolle über ihre IT-Sicherheit?

Auslagernde Unternehmen behalten die Kontrolle durch regelmäßige Berichte, definierte Kennzahlen, vertragliche Auditrechte und eine interne Governance-Struktur, die den Dienstleister aktiv steuert. Kontrolle bedeutet nicht, Aufgaben selbst auszuführen, sondern nachvollziehbar zu wissen, was getan wird, und eingreifen zu können, wenn etwas nicht stimmt.

Praktisch heißt das: Das Unternehmen braucht eine Person oder Funktion, die den Dienstleister steuert und bewertet. Das kann ein interner IT-Leiter sein, aber auch ein externer Informationssicherheitsbeauftragter, der unabhängig von der Betriebsorganisation agiert. Ohne diese Steuerungsfunktion fehlt die Brücke zwischen dem, was der Dienstleister tut, und dem, was das Unternehmen gegenüber Behörden nachweisen muss.

Konkrete Kontrollmechanismen sind:

Monatliche oder quartalsweise Sicherheitsberichte mit definierten Metriken
Jährliche oder anlassbezogene Audits der Dienstleisterumgebung
Klare Eskalationspfade bei Vorfällen oder Abweichungen
Dokumentierte Änderungsprozesse, die das Unternehmen informieren und Änderungen genehmigen lassen

Gilt NIS2 auch für den IT-Dienstleister selbst?

Ja, IT-Dienstleister können selbst NIS2-pflichtig sein, wenn sie als Anbieter digitaler Dienste oder Managed Services in den Anwendungsbereich der Richtlinie fallen. Ob das der Fall ist, hängt von Unternehmensgröße, Umsatz und der Art der erbrachten Dienste ab. Die NIS2-Pflicht des Kunden und die des Dienstleisters sind dabei unabhängig voneinander zu beurteilen.

Managed Service Provider (MSP) und Cloud-Dienstleister werden in NIS2 ausdrücklich als mögliche Einrichtungen genannt. Ein MSP, der kritische Dienste für viele Unternehmen erbringt, kann selbst als wichtige oder besonders wichtige Einrichtung eingestuft werden und unterliegt dann eigenen Pflichten für Risikomanagement, Meldungen und Sicherheitsmaßnahmen.

Für auslagernde Unternehmen ist das relevant: Ein Dienstleister, der selbst NIS2-konform arbeitet, bringt bereits ein höheres Sicherheitsniveau mit. Das vereinfacht die eigene Lieferkettenprüfung. Es entbindet das Unternehmen aber nicht davon, die Anforderungen vertraglich zu fixieren und die Einhaltung zu prüfen.

Wann ist vollständiges IT-Outsourcing unter NIS2 riskant?

Vollständiges IT-Outsourcing wird unter NIS2 dann riskant, wenn das Unternehmen keine eigene Steuerungskompetenz mehr hat, Verträge keine Sicherheitsanforderungen enthalten und Vorfälle nicht rechtzeitig gemeldet werden können, weil die Informationskette zum Dienstleister fehlt. Das Risiko liegt nicht im Outsourcing selbst, sondern in unkontrolliertem Outsourcing.

Typische Risikosituationen entstehen, wenn:

Der Dienstleisterwechsel schwierig oder teuer ist und das Unternehmen de facto keine Alternative hat
Der Dienstleister Subunternehmer einsetzt, die dem Unternehmen unbekannt sind
Es keine interne Funktion gibt, die den Dienstleister bewertet und steuert
Verträge keine Meldepflichten oder Reaktionszeiten enthalten
Das Unternehmen im Ernstfall nicht weiß, wo seine Daten liegen und wer darauf Zugriff hat

NIS2 verlangt kein Insourcing. Es verlangt Kontrolle. Unternehmen, die ihre IT auslagern, müssen nachweisen können, dass sie die Sicherheit ihrer Systeme und Daten aktiv steuern, auch wenn andere sie betreiben. Wer das nicht kann, trägt ein erhebliches Haftungsrisiko, das im Ernstfall direkt die Geschäftsleitung trifft. Mehr zu den Grundlagen der IT-Auslagerung und was dabei aus Sicherheitssicht zu beachten ist, lässt sich gezielt mit einem erfahrenen Partner klären.

Wie UBESAFE bei NIS2 und IT-Outsourcing hilft

UBESAFE unterstützt Unternehmen dabei, NIS2-Pflichten auch dann zu erfüllen, wenn der IT-Betrieb extern erfolgt. Der Ansatz verbindet Compliance-Expertise mit technischer Umsetzungskompetenz, damit keine Lücke zwischen Anforderung und Realität entsteht.

Das Leistungsbild umfasst konkret:

NIS2-Betroffenheitsprüfung und Pflichtenbild für auslagernde Unternehmen
GAP-Analyse des aktuellen Sicherheitsstands, einschließlich Dienstleisterverhältnisse
Entwicklung von Anforderungskatalogen und Vertragsklauseln für IT-Dienstleister
Aufbau von Governance-Strukturen und Meldeprozessen, die auch bei externem Betrieb funktionieren
Externer Informationssicherheitsbeauftragter als unabhängige Steuerungsfunktion
Managed Service für kontinuierliche Überwachung, Reviews und Optimierung, damit NIS2 dauerhaft erfüllt bleibt

Wer wissen will, wo sein Unternehmen heute steht, kann mit einem kostenlosen Erstaudit beginnen. UBESAFE bewertet Anwendbarkeit, Reifegrad und nächste Schritte, ohne Verpflichtung und ohne Umwege.