Sind Software-as-a-Service-Provider von NIS 2 erfasst?

Sind Software-as-a-Service-Provider von NIS 2 erfasst?

Software-as-a-Service-(SaaS-)Provider fallen grundsätzlich in den Anwendungsbereich der NIS‑2-Regulierung, sofern sie die maßgeblichen Größenkriterien erfüllen. Maßgeblich ist dabei nicht die Bezeichnung des Geschäftsmodells, sondern die funktionale Einordnung des Dienstes. SaaS-Anbieter werden in der Regel als „Cloud-Computing-Dienste“ qualifiziert, sofern sie über das Internet bereitgestellte Anwendungen betreiben und entsprechende Infrastruktur- und Plattformkomponenten verwalten.

Die NIS‑2‑Richtlinie 2022/2555 erweitert den Kreis der erfassten Unternehmen erheblich und umfasst ausdrücklich Anbieter digitaler Infrastrukturen, insbesondere Cloud-Computing-Dienste.  Dies bedeutet, dass auch SaaS-Provider regelmäßig als „wichtige Einrichtungen“ oder – je nach Bedeutung und Größe – sogar als „wesentliche Einrichtungen“ eingestuft werden können.

Entscheidend für die Einordnung ist insbesondere:

• die Unternehmensgröße (insbesondere mittlere und große Unternehmen),
• die Rolle innerhalb kritischer Wertschöpfungsketten,
• sowie die potenzielle Auswirkung eines Ausfalls auf andere Sektoren.

Damit ist festzuhalten: SaaS-Anbieter sind regelmäßig vom Anwendungsbereich der NIS‑2 umfasst.

Einordnung als Cloud-Computing-Anbieter

Die regulatorische Einordnung von SaaS-Anbietern als Cloud-Computing-Dienstleister hat weitreichende Konsequenzen. Nach der Systematik der NIS‑2 fallen Cloud-Computing-Anbieter in den Sektor „digitale Infrastruktur“, der ausdrücklich als kritischer Bereich definiert ist.

Die zugehörige Durchführungsverordnung EU 2024/2690 konkretisiert die technischen und organisatorischen Anforderungen an solche Anbieter und stellt klar, dass umfassende Maßnahmen zur Cybersicherheitsrisikosteuerung umzusetzen sind.

Für SaaS-Anbieter bedeutet dies insbesondere:

• Verpflichtung zur Implementierung strukturierter Risikomanagementsysteme,
• kontinuierliche Überwachung der IT-Systeme,
• Einrichtung von Incident-Response-Prozessen,
• Sicherstellung der Business Continuity.

Konsequenzen nach dem NISG 2026

Mit dem österreichischen NISG 2026 wird die NIS‑2‑Richtlinie in nationales Recht umgesetzt. Dieses Gesetz konkretisiert die europäischen Vorgaben und schafft ein verbindliches Regelwerk für betroffene Unternehmen in Österreich.

Die wesentlichen Konsequenzen für SaaS-Anbieter sind:

1. Registrierungspflichten

Betroffene Unternehmen müssen sich bei der zuständigen nationalen Behörde registrieren lassen. Dies dient der behördlichen Erfassung und Überwachung kritischer Akteure im Cybersecurity-Bereich.

2. Umsetzung von Risikomanagementmaßnahmen

Unternehmen sind verpflichtet, angemessene technische und organisatorische Maßnahmen zur Beherrschung von Cyberrisiken zu implementieren. Dazu zählen insbesondere:

• Sicherheitskonzepte für Netz- und Informationssysteme,
• Maßnahmen zur Zugriffskontrolle und Authentifizierung,
• Schutz vor Supply-Chain-Risiken,
• Konzepte zur Wiederherstellung nach Vorfällen.

3. Meldepflichten bei Sicherheitsvorfällen

Sicherheitsvorfälle müssen unverzüglich gemeldet werden. Die NIS‑2 sieht ein mehrstufiges Meldeverfahren vor, das auch im NISG 2026 umgesetzt wird.

4. Aufsichts- und Kontrollbefugnisse

Die Behörden erhalten weitreichende Kontrollbefugnisse, einschließlich:

• Audits,
• Sicherheitsüberprüfungen,
• Anordnungen zur Verbesserung der Sicherheitsmaßnahmen.

5. Haftung und Sanktionen

Verstöße gegen die Pflichten können zu erheblichen Sanktionen führen. Zudem wird die Verantwortung der Geschäftsleitung ausdrücklich betont. Führungskräfte sind verpflichtet, die Einhaltung der Sicherheitsanforderungen aktiv zu überwachen und entsprechende Schulungen zu absolvieren.

Besondere Verantwortung der Leitungsorgane

Ein zentrales Element der NIS‑2 und des NISG 2026 ist die persönliche Verantwortung der Geschäftsleitung. Diese muss nicht nur die Einhaltung der Vorschriften sicherstellen, sondern auch über ausreichende Kenntnisse im Bereich der Cybersicherheit verfügen.

Die Geschäftsführung ist insbesondere verantwortlich für:

• die Genehmigung der Sicherheitsstrategie,
• die Überwachung der Risikomanagementmaßnahmen,
• die Sicherstellung ausreichender Ressourcen im Bereich IT-Sicherheit.

Fazit

SaaS-Anbieter sind im Regelfall als Cloud-Computing-Anbieter einzustufen und fallen damit unter den erweiterten Anwendungsbereich der NIS‑2 sowie des NISG 2026. Die daraus resultierenden Verpflichtungen sind umfassend und betreffen sowohl technische als auch organisatorische Aspekte der Unternehmensführung.

Für betroffene Unternehmen ist es daher unerlässlich, frühzeitig geeignete Compliance-Strukturen aufzubauen und insbesondere die Rolle der Geschäftsleitung aktiv in das Cybersecurity-Management einzubinden.

‍