Rechenzentren, Cloud, Netze und Managed Services
Verfügbarkeit ist hier das Produkt, nicht die Nebenbedingung. Die Kälteanlage und der Netzersatz entscheiden über die Zusage — stehen aber in einem anderen System als das ISMS, das sie belegen soll.
30 Tage kostenlos · kein Kreditkartenzwang · Demo ohne Login
Rechtslage
Betroffenheit
Deutsche und schweizerische Anforderungen werden getrennt geführt und nie als gleichwertig dargestellt.
| Merkmal | Stand |
|---|---|
| Einstufung nach NIS2 | Anlage 1 Nr. 6 des BSIG — Digitale Infrastruktur. Genannt sind Betreiber von Internet Exchange Points, DNS-Dienstanbieter ausgenommen Betreiber von Root-Nameservern, Top Level Domain Name Registries, Anbieter von Cloud-Computing-Diensten, Anbieter von Rechenzentrumsdiensten, Betreiber von Content Delivery Networks, Vertrauensdiensteanbieter, Betreiber öffentlicher Telekommunikationsnetze, Anbieter öffentlich zugänglicher Telekommunikationsdienste, Managed Services Provider und Managed Security Services Provider |
| Betroffenheit und Schwellwert | Besonders wichtige Einrichtung ab 250 Beschäftigten oder über 50 Mio. € Umsatz und über 43 Mio. € Bilanzsumme; wichtige Einrichtung ab 50 Beschäftigten oder über 10 Mio. € Umsatz und Bilanzsumme. Unabhängig von der Grösse stets besonders wichtige Einrichtung sind qualifizierte Vertrauensdiensteanbieter, Top-Level-Domain-Registries und DNS-Diensteanbieter. Für Anbieter von Telekommunikationsdiensten greift die Einstufung als besonders wichtige Einrichtung bereits ab 50 Beschäftigten oder über 10 Mio. € Umsatz und Bilanzsumme. |
| Aufsicht Deutschland | BSI |
| Regime Schweiz | Meldepflichtig sind nach Art. 74b Abs. 1 ISG Anbieterinnen von Fernmeldediensten (Bst. q), Betreiberinnen von Domain-Registern (Bst. r), Anbieterinnen von Cloud-, Such- und Sicherheitsdiensten (Bst. t) sowie Herstellerinnen von Hard- und Software mit Fernwartungszugang (Bst. u) — Erstmeldung binnen 24 Stunden an das BACS. |
| Aufsicht Schweiz | Bundesamt für Cybersicherheit BACS |
Die Registrierungsfrist nach § 33 BSIG lief am 6. März 2026 ab, die Nachfrist des BSI am 31. Juli 2026. Eine verspätete Registrierung bleibt möglich und ist der erste Schritt.
Die Einstufung hängt von Sparte, Grösse und Anlagenschwellen ab und ist im Einzelfall zu prüfen.
Nicht nur IT
Die Anlagen, die kein ISMS-Werkzeug kennt
Diese Objekte sind sicherheitsrelevant und nachweispflichtig — und liegen in klassischen ISMS-Werkzeugen ausserhalb des Systems. Sie werden zum Audittermin per Tabelle nachgereicht, statt in der Nachweiskette zu stehen.
- Rechenzentrumsinfrastruktur: USV, Netzersatz, Kälte, Löschtechnik
- Zutritts- und Gebäudeleittechnik der Standorte
- Netz-, Peering- und Übergabetechnik
- Monitoring-, Out-of-Band- und Fernwartungsstrecken
- SOC- und SIEM-Strecken in Kundenumgebungen
- IT-Assets mit Kritikalität: Server, Clients, Netzwerk und Cloud
In ISMShield ist jedes dieser Objekte gleichzeitig Anlage und ISMS-Asset: ein Register, eine Prüfhistorie, ein Verantwortlicher, eine Statusampel.
Nachweise
Was belegt werden muss
- Risikomanagement nach § 30 BSIG
- Meldekette 24 Stunden, 72 Stunden, ein Monat nach § 32 BSIG
- Registrierung nach § 33 BSIG
- Schulungs- und Haftungspflicht der Geschäftsleitung nach § 38 BSIG
- Nachweispflicht für Betreiber kritischer Anlagen nach § 39 BSIG, frühestens drei Jahre nach der Einstufung und danach alle drei Jahre
Wer selbst kein Sektor ist, wird trotzdem geprüft. Bewachung, Werkschutz und Errichter von Sicherheitstechnik stehen weder in den Anlagen des BSIG noch in Art. 74b ISG. Erreicht werden sie über die Sicherheit der Lieferkette, einen der zehn Bereiche nach § 30 BSIG: die verpflichtete Einrichtung muss ihre Dienstleister einbeziehen und reicht die Anforderung weiter. Der Nachweis, den ein Auftraggeber verlangt, entsteht aus derselben Substanz wie der eigene.
Abdeckung
Welche Module das abdecken
Risiken und Massnahmen
Risikoregister mit Scoring-Matrix, Massnahmenplan und Statement of Applicability. Basiskatalog mit 62 Risiken aus NIS2 und B3S, per Klick importierbar.
Dokumente und Nachweise
Dokumentenregister mit Vorlagen, Versionsstand und Freigaben. Jeder Nachweis hängt am Objekt, nicht in einem Ordner daneben.
Vorfälle und Meldungen
Incident-Modul mit Meldefristen-Timern und vorausgefülltem Meldeentwurf. Mehrere Rechtsordnungen laufen getrennt.
Anlagen und Assets
Anlagen- und Geräteregister mit Prüfkalender und Ampel, IT-Assets mit Kritikalität, Patchstand und EOL-Markierung.
BCM
Business-Impact-Analyse, RTO und RPO, Notfallpläne und Übungen nach BSI 200-4 und ISO 22301.
Lieferanten
Compliance-Fragebogen, Bewertung und Wiedervorlage — für die eigene Lieferkette und für Nachweise gegenüber Kunden.
Der vollständige Funktionsumfang steht unter Features.
Bereit, es selbst zu sehen?
30 Tage kostenlos, mit Ihren echten Daten, ohne Kreditkarte. Wenn es nicht passt, exportieren Sie alles und sind wieder raus.
Quellen. Grundlage der Angaben auf dieser Seite:
- Anlage 1 BSIG in der Fassung des NIS2UmsuCG, in Kraft seit 6. Dezember 2025
- § 28 BSIG — Einstufung und Schwellenwerte
- § 30 BSIG — Sicherheit der Lieferkette als einer der zehn Bereiche
- Art. 74b Abs. 1 ISG — meldepflichtige Behörden und Organisationen