NIS2 für Agenturen: Bist du betroffen, und was wollen deine Kunden?

NIS2 gilt in Deutschland über das NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz und das neue BSI-Gesetz (BSIG), in Kraft seit dem 6. Dezember 2025. Deine Agentur ist direkt betroffen, wenn sie in einen Sektor nach Anlage 1 oder 2 BSIG fällt und die Größenschwellen nach § 28 BSIG erreicht.

Für Agenturen ist das vor allem der Fall, wenn sie als Managed Service Provider Kundenanwendungen betreiben und warten oder Cloud-Dienste anbieten. Reine Projektentwicklung ist kein eigener Sektor. Indirekt betroffen bist du fast immer: Betroffene Kunden müssen nach § 30 Abs. 2 BSIG die Sicherheit ihrer Lieferkette steuern, und diese Anforderungen landen in deinen Verträgen.

Ist meine Agentur direkt von NIS2 betroffen?

Zwei Fragen entscheiden.

1. Fällst du in einen Sektor? Anlage 1 BSIG nennt unter „Digitale Infrastruktur“ unter anderem:

• Anbieter von Cloud-Computing-Diensten,
• Rechenzentrumsdienste,
• Managed Service Provider,
• Managed Security Service Provider.

Ein Managed Service Provider ist nach § 2 BSIG, wer IKT-Produkte, Netze, Infrastruktur oder Anwendungen installiert, verwaltet, betreibt oder wartet, beim Kunden oder aus der Ferne.

2. Erreichst du die Größenschwelle?

Was muss ich tun, wenn meine Agentur betroffen ist?

Das BSI rechnet mit rund 29.500 beaufsichtigten Einrichtungen. Wenn deine dazugehört:

• Registrieren. Innerhalb von drei Monaten, nachdem du erstmals als wichtige oder besonders wichtige Einrichtung giltst, über das BSI-Portal (§ 33 Abs. 1 BSIG).
• Risikomanagement umsetzen. § 30 Abs. 2 BSIG nennt zehn Mindestmaßnahmen, unter anderem Risikoanalyse, Bewältigung von Sicherheitsvorfällen, Backup und Notfallmanagement, Sicherheit der Lieferkette, sichere Entwicklung einschließlich Schwachstellenmanagement, Schulungen, Kryptografie, Zugriffskontrolle und Multi-Faktor-Authentifizierung. Die Umsetzung musst du dokumentieren.
• Vorfälle melden. Erhebliche Sicherheitsvorfälle meldest du an die gemeinsame Meldestelle von BSI und BBK (§ 32 Abs. 1 BSIG), siehe Tabelle unten.
• Geschäftsleitung in die Pflicht nehmen. Die Geschäftsleitung muss die Maßnahmen umsetzen und überwachen und regelmäßig an Schulungen teilnehmen (§ 38 BSIG). Bei schuldhafter Pflichtverletzung haftet sie der Einrichtung nach den Regeln ihrer Rechtsform.

Was verlangen NIS2-Kunden von ihrer Agentur?

Auch wenn deine Agentur selbst nicht betroffen ist, sind es viele deiner Kunden: Energieversorger, Krankenhäuser, Banken, Logistiker, Hersteller in bestimmten Branchen. Diese Kunden müssen nach § 30 Abs. 2 Nr. 4 BSIG die Sicherheit ihrer Lieferkette berücksichtigen, einschließlich der Beziehungen zu ihren Dienstleistern.

Das kommt bei dir als Anforderung an:

• Sicherheitsfragebögen im Einkauf, oft mit Fragen zu Zertifizierungen, Zugriffskonzept und Notfallplänen.
• Meldepflichten im Vertrag. Du sollst Vorfälle, die den Kunden betreffen, innerhalb weniger Stunden melden, damit er seine eigenen Fristen halten kann.
• Zugriffsverwaltung. Personengebundene Zugänge, Multi-Faktor-Authentifizierung, sofortiges Entziehen der Rechte, wenn jemand dein Team verlässt.
• Sichere Entwicklung. Code-Reviews, Abhängigkeits-Scans, Umgang mit Schwachstellen, manchmal eine SBOM.
• Subunternehmer. Offenlegung, wer am Projekt arbeitet, auch Freelancer und Nearshoring-Teams, und Weitergabe der Pflichten an sie.
• Prüfrechte. Der Kunde will dich auditieren oder Nachweise sehen.

Eine kurze Checkliste für Agenturen

1. Prüfe, ob du Betrieb, Hosting oder Wartung für Kunden machst und wie das vertraglich beschrieben ist.
2. Prüfe deine Größe gegen die Schwellen nach § 28 BSIG.
3. Liste auf, welche Kunden unter NIS2 fallen.
4. Führe Multi-Faktor-Authentifizierung und personengebundene Zugänge überall ein.
5. Schreib einen Prozess für Sicherheitsvorfälle mit Ansprechpartnern und Fristen.
6. Bereite Antworten auf die üblichen Fragebögen einmal vor.
7. Zieh deine Freelancer- und Subunternehmerverträge nach.

Was NIS2 für Code bedeutet, der deiner Agentur gehört

Wenn du eigenen Code an Kunden lizenzierst, die unter NIS2 fallen, bist du Teil ihrer Lieferkette. Diese Kunden werden dich nach sicherer Entwicklung, Schwachstellenmanagement und Update-Zusagen fragen.

Der Aufwand lohnt sich doppelt. Dieselben Unterlagen erhöhen den Wert deines Codes für jeden Lizenznehmer und Käufer.

• Welche Faktoren den Wert bestimmen, steht in Was ist Code wert?.
• Wie du Lizenzen an eigenem Code vergibst, steht in Softwarelizenz.
• Für eigene Produkte gilt zusätzlich der Cyber Resilience Act.