OT-Cyber.de
Notfall 24/7 · +49 8031 8603164Kontakt

Teil von NIS2 How-To für kleine Betriebe · alle Praxisbeispiele · kostenfreies Muster, keine Rechtsberatung

NIS2 von null auf umgesetzt: Muster für einen kleinen Servicebetrieb

Beispiel: BHKW-Service mit Fernwartung für ein Klinikum, 10 Mitarbeitende. Kostenfreies Muster mit 18 Formularen als leere Vorlage und als ausgefülltes Beispiel, Rechtsstand 05.11.2026. Alle Zahlen, Namen, Fristen und Beträge sind Beispielwerte des erfundenen Betriebs. Setzen Sie Ihre eigenen ein und prüfen Sie die Rechtslage vor der Nutzung.

Alle Beispiele als PDFAlle Vorlagen (ZIP)
24 hFrühwarnung72 hMeldung1 MonatAbschluss

Die Ausgangslage

Ein kleiner Servicebetrieb wird durch seine Größe und seine Fernwartung für ein Klinikum NIS2-pflichtig. Das Muster zeigt, wie zehn Leute das organisieren.

Musterwerk KWK-Service GmbH (fiktiv)

Fiktiver Betrieb: verkauft, installiert und wartet Blockheizkraftwerke (BHKW). Ihr größter Kunde ist das Klinikum Musterstadt mit zwei BHKW.

  • 10 Mitarbeitende: Geschäftsführer, Leitung Service, 5 Servicetechniker, 1 Mitarbeiter Leitwarte, 1 Vertrieb/Projekte, 1 Büro.
  • Umsatz 2025: 11,4 Mio. €, Bilanzsumme 2025: 10,3 Mio. €.
  • Rund 85 BHKW unter Vertrag, alle mit Fernüberwachung über eine eigene Leitwarte.
  • Fernwartung der BHKW-Steuerungen über Mobilfunk-Router am Standort.
  • 24/7-Störungsbereitschaft für die Anlagen ist schon vorhanden.
Thomas BergerGeschäftsführer (GF), Entscheidung, Billigung
Julia HartlInformationssicherheitsbeauftragte (ISB), Leitung Service, 20 %
Markus WeinVertretung ISB, Leitwarte, 5 %
  • MeldeverantwortlicheGF, Vertretung ISB, im Vorfall
  • Rufbereitschaft 24/7Servicetechniker im Wechsel, bestehend
  • IT-Administrationexterner IT-Dienstleister, nach Vertrag
  • Externe UnterstützungBerater Informationssicherheit, 2 Tage/Monat im 1. Jahr
  • Datenschutzexterner DSB, bestehend
  • Stand am Start
    • Eine Firewall im Büro, sonst nichts Geplantes.
    • Keine dokumentierten Prozesse, keine Verantwortlichen, kein ISMS.
    • Keine Angriffserkennung, keine zentrale Protokollierung, kein SIEM.
    • Gemeinsame Zugangsdaten der Techniker für die Fernwartungsrouter.
    • Backup auf einer USB-Platte im Büro.

Auslöser: Mit dem festgestellten Jahresabschluss 2025 liegen Umsatz und Bilanzsumme erstmals über 10 Mio. €. Der Steuerberater weist im Juli 2026 auf NIS2 hin.

Bin ich betroffen? Die Prüfung in vier Schritten

Das NIS2-Umsetzungsgesetz gilt seit dem 06.12.2025. Die Pflichten stehen im neu gefassten BSI-Gesetz (BSIG). Für bestimmte digitale Dienstleister, darunter Managed Service Provider, gilt zusätzlich unmittelbar die Durchführungsverordnung (EU) 2024/2690 mit technischen Anforderungen und festen Schwellen für meldepflichtige Vorfälle.

  1. Passt eine Einrichtungsart aus Anlage 1 oder 2 BSIG?

    So prüfen Sie

    Für einen BHKW-Servicebetrieb kommen drei Wege in Frage:

    • Weg 1, Managed Services Provider (Anlage 1 Nr. 6.1.10): Wer für Kunden Netz- und Informationssysteme installiert, verwaltet, betreibt oder wartet, auch aus der Ferne, ist ein MSP. Die Steuerung eines BHKW mit Router, SPS und Leitwarten-Anbindung ist ein solches System. Ein reiner Verkauf ohne Betrieb reicht nicht.
    • Weg 2, Energie (Anlage 1 Nr. 1.1.4, Betreiber von Erzeugungsanlagen): Nur wenn der Betrieb die BHKW selbst betreibt, etwa im Contracting. Dann gelten die Sonderregeln der §§ 5c ff. EnWG mit IT-Sicherheitskatalog der Bundesnetzagentur. Reine Wartungsfirmen sind in der Regel nicht Betreiber.
    • Weg 3, Verarbeitendes Gewerbe (Anlage 2, Maschinenbau oder elektrische Ausrüstung): Nur wenn der Betrieb BHKW-Module selbst herstellt oder zusammenbaut.

    Im Beispiel: Die Musterwerk KWK-Service GmbH betreibt die Anlagen nicht selbst, wartet aber die Steuerungen ihrer Kunden aus der Ferne und überwacht sie rund um die Uhr. Sie ist damit Managed Services Provider nach Anlage 1 Nr. 6.1.10.: Die Einordnung von OT-Fernwartung als MSP-Dienst ist bisher nicht durch Behörden oder Gerichte bestätigt. Die konservative Lesart ist, sie anzunehmen.

  2. Größe

    So prüfen Sie

    Nach § 28 Abs. 2 BSIG ist eine Einrichtung „wichtig“, wenn sie mindestens 50 Mitarbeitende hat oder einen Jahresumsatz und eine Jahresbilanzsumme von jeweils über 10 Mio. €. Gezählt wird nach der KMU-Empfehlung 2003/361/EG, also mit Partner- und verbundenen Unternehmen.

    Achtung, häufiger Irrtum:

    • 10 Mitarbeitende mit genau 10 Mio. € Umsatz sind nicht betroffen. Der Wert muss darüber liegen.
    • Umsatz über 10 Mio. € allein reicht nicht. Die Bilanzsumme muss ebenfalls über 10 Mio. € liegen.
    • Konzernzahlen zählen mit, wenn der Betrieb zu einer Gruppe gehört.

    Im Beispiel: 11,4 Mio. € Umsatz und 10,3 Mio. € Bilanzsumme. Beide Werte liegen über 10 Mio. €. Die hohe Bilanzsumme ergibt sich aus Lagerbestand an BHKW-Modulen und Forderungen aus Anlagenverkäufen.

  3. Einstufung

    So prüfen Sie

    - Besonders wichtig wäre der Betrieb erst ab 250 Mitarbeitenden oder über 50 Mio. € Umsatz und über 43 Mio. € Bilanzsumme.

    • Folge der MSP-Einordnung: Die Durchführungsverordnung (EU) 2024/2690 gilt zusätzlich mit ihrem Anhang (technische Anforderungen) und Art. 10 (feste Schwellen für erhebliche Vorfälle).

    Im Beispiel: wichtige Einrichtung nach § 28 Abs. 2 BSIG, Sektor digitale Infrastruktur, Einrichtungsart Managed Services Provider.

  4. Was daraus folgt

    So prüfen Sie
    • Registrierung beim BSI spätestens drei Monate, nachdem der Betrieb erstmals als wichtige Einrichtung gilt (§ 33 BSIG). Wer schon seit dem 06.12.2025 betroffen war, hätte bis 06.03.2026 registrieren müssen und holt das sofort nach.
    • Risikomanagementmaßnahmen nach § 30 BSIG, zehn Pflichtbereiche, verhältnismäßig zur Größe.
    • Meldepflicht für erhebliche Sicherheitsvorfälle nach § 32 BSIG: 24 h, 72 h, 1 Monat.
    • Geschäftsleitung muss die Maßnahmen umsetzen, ihre Umsetzung überwachen und regelmäßig an Schulungen teilnehmen (§ 38 BSIG).
    • Bußgelder für wichtige Einrichtungen bis 7 Mio. € oder 1,4 % des weltweiten Jahresumsatzes.
    • Aufsicht: Bei wichtigen Einrichtungen prüft das BSI anlassbezogen, etwa nach einem Vorfall oder Hinweis. Dann müssen die Unterlagen vorliegen.
    • Kein Muss: Ein System zur Angriffserkennung nach § 31 BSIG ist nur für Betreiber kritischer Anlagen Pflicht. Überwachung und Protokollierung verlangt aber der Anhang der DVO 2024/2690 auch von MSP.

    Werkzeug: Das BSI bietet eine Online-Betroffenheitsprüfung an (betroffenheitspruefung-nis-2.bsi.de). Das Ergebnis ausdrucken und zu Formular F-01 legen.

Die ersten 12 Monate auf einen Blick

Was ein kleiner Betrieb in den ersten zwölf Monaten umsetzt, wenn er bei null anfängt.

08/2609/2610/2611/2612/2601/2702/2703/2704/2705/2706/27Sofort (Tag 0 bis 30)Betroffenheit dokumentierenBetroffenheit dokumentieren: 15.07.2026 bis 20.07.2026ELSTER-Zertifikat und MUKELSTER-Zertifikat und MUK: 16.07.2026 bis 06.08.2026Registrierung BSI-PortalRegistrierung BSI-Portal: 06.08.2026 bis 09.08.2026GF-Beschluss und RollenGF-Beschluss und Rollen: 20.07.2026 bis 25.07.2026MFA überall, Sammelkonten wegMFA überall, Sammelkonten weg: 20.07.2026 bis 09.08.2026Meldeprozess und RufbereitschaftMeldeprozess und Rufbereitschaft: 25.07.2026 bis 04.08.2026Offline-BackupOffline-Backup: 25.07.2026 bis 04.08.2026Aufbau (Tag 31 bis 90)Inventar und RisikoanalyseInventar und Risikoanalyse: 15.08.2026 bis 14.09.2026Zentrale FernwartungsplattformZentrale Fernwartungsplattform: 20.08.2026 bis 04.10.2026MDR-Dienst ÜberwachungMDR-Dienst Überwachung: 01.09.2026 bis 01.10.2026Leitlinie und RichtlinienLeitlinie und Richtlinien: 01.09.2026 bis 21.09.2026Schulung GF und TeamSchulung GF und Team: 15.09.2026 bis 30.09.2026LieferantenbewertungLieferantenbewertung: 15.09.2026 bis 15.10.2026Festigen (Monat 4 bis 12)Notfallplan und ÜbungNotfallplan und Übung: 01.11.2026 bis 31.12.2026Pentest FernwartungPentest Fernwartung: 15.01.2027 bis 04.02.2027WirksamkeitsprüfungWirksamkeitsprüfung: 01.03.2027 bis 31.03.2027Management-ReviewManagement-Review: 15.06.2027 bis 25.06.2027

Die zehn Sofortmaßnahmen

  1. Betroffenheit schriftlich festhalten (F-01).
  2. ELSTER-Organisationszertifikat beantragen und „Mein Unternehmenskonto“ einrichten. Das dauert oft mehrere Wochen, deshalb zuerst.
  3. Beim BSI registrieren (F-02).
  4. Geschäftsführung beschließt Verantwortung, Rollen und Budget (F-03, F-04).
  5. MFA für alle Konten, zuerst E-Mail, Fernwartung und Administratoren.
  6. Gemeinsame Zugangsdaten abschaffen, Standardpasswörter an allen Routern ändern.
  7. Meldeweg festlegen und die bestehende 24/7-Störungsbereitschaft um Sicherheitsvorfälle erweitern (P-07).
  8. Notfall-Kontaktliste auf Papier und im Smartphone.
  9. Backup mit einer Kopie, die ein Angreifer nicht löschen kann.
  10. Alle Mitarbeitenden in 30 Minuten einweisen: Phishing erkennen, Vorfall sofort melden.

Zwölf Prozesse im Betrieb

Jeder Prozess ist knapp beschrieben: Zweck, Verantwortung, Ablauf, Nachweis, Takt. Die Nummern in Klammern verweisen auf § 30 Abs. 2 BSIG.

  1. Betroffenheit und Registrierung (§§ 28, 33 BSIG)

    Einordnung festhalten, beim BSI registrieren, Daten aktuell halten.

    Wer: GF, Zuarbeit ISB.Takt: einmalig, dann jährlich und bei Änderung.

    Was zu tun ist
    1. Prüfung nach Abschnitt B mit F-01, Jahresabschluss beilegen.
    2. ELSTER-Organisationszertifikat beantragen, „Mein Unternehmenskonto“ (MUK) einrichten.
    3. Registrierung im BSI-Portal mit den Angaben aus F-02, Kontaktstelle hinterlegen.
    4. Jährlich nach Feststellung des Jahresabschlusses neu prüfen.
    5. Änderungen (Kontaktstelle, Tätigkeit, Größe) unverzüglich im Portal ändern.: Frist für Änderungsmitteilungen.

    Nachweis: F-01, F-02, Screenshot der Registrierungsbestätigung.

  2. Leitung und Verantwortung (§ 38 BSIG)

    Die Geschäftsführung setzt die Maßnahmen um, überwacht sie und bildet sich fort.

    Wer: GF.

    Was zu tun ist
    1. Beschluss mit F-03: Einstufung anerkannt, ISB benannt, Budget freigegeben, Leitlinie gebilligt.
    2. Monatlicher Kurzbericht des ISB an die GF im ersten Jahr, danach quartalsweise.
    3. GF-Schulung zu NIS2 und Cyberrisiken mindestens einmal jährlich, Nachweis in F-16.
    4. Jährliches Management-Review mit F-17.

    Nachweis: F-03, F-16, F-17, Protokolle der Kurzberichte.

    Hinweis: Die GF haftet bei Pflichtverletzung persönlich gegenüber der Gesellschaft. Die Pflicht lässt sich nicht vollständig auf den ISB abgeben.

  3. Risikoanalyse und Sicherheitskonzept (Nr. 1, Nr. 6)

    Wissen, was zu schützen ist, welche Risiken bestehen und was dagegen getan wird.

    Wer: ISB.Takt: jährlich und bei wesentlichen Änderungen (neuer Großkunde, neue Fernwartungstechnik, Vorfall).

    Was zu tun ist
    1. Inventar aller Systeme, Dienste und Kundenzugänge in F-06.
    2. Risikoanalyse in F-07: Bedrohung, Schwachstelle, Wahrscheinlichkeit 1 bis 4, Auswirkung 1 bis 4.
    3. Maßnahmen ableiten, Verantwortliche und Termine in F-08.
    4. Restrisiken von der GF akzeptieren lassen.
    5. Leitlinie zur Informationssicherheit (F-05) von der GF billigen lassen.

    Nachweis: F-05 bis F-08.

  4. Zugriffe und Fernwartung (Nr. 9, Nr. 10)

    Nur berechtigte Personen kommen an Systeme und Kundenanlagen, jede Fernsitzung ist nachvollziehbar.

    Wer: ISB, Umsetzung IT-Dienstleister.

    Was zu tun ist
    1. Jede Person hat eigene Konten, keine Sammelkonten.
    2. MFA für alle Konten, Hardware-Schlüssel (FIDO2) für Administratoren und Fernwartung.
    3. Fernwartung nur über die zentrale Plattform (Abschnitt E), Sitzung nur nach Freigabe durch den Kunden, Aufzeichnung der Sitzung.
    4. Berechtigungen nach Kunde und Anlage vergeben, Antrag mit F-15.
    5. Eintritt, Wechsel, Austritt: Konten am letzten Arbeitstag sperren, Hardware-Schlüssel zurück.
    6. Quartalsweise Prüfung aller Berechtigungen.

    Nachweis: F-15, Berechtigungsliste, Plattform-Protokolle.

  5. Systempflege und Schwachstellen (Nr. 5)

    Bekannte Lücken schnell schließen, auch an Routern und Steuerungen beim Kunden.

    Wer: IT-Dienstleister (Büro-IT), Leitung Service (Anlagentechnik).

    Was zu tun ist
    1. Updates für Laptops und Smartphones automatisch über die Geräteverwaltung.
    2. Firmware der Fernwartungsrouter: Herstellermeldungen abonnieren, Prüfung monatlich.
    3. Sicherheitsmeldungen von BSI (Warn- und Informationsdienst) und BHKW-Hersteller abonnieren.
    4. Bewertung und Frist: kritisch 7 Tage, hoch 30 Tage, sonst nächster Wartungstermin.
    5. Was beim Kunden nicht sofort geht, wird mit dem Kunden abgestimmt und dokumentiert.
    6. Schwachstellenregister F-18.
    7. Feste Grundkonfiguration je Gerätetyp (Kundenrouter, Plattform, Laptops, Firewall), monatlicher Abgleich, jede Abweichung wird ein Ticket.
    8. Meldestelle für Schwachstellen in den eigenen Diensten veröffentlichen (security.txt).

    Nachweis: F-18, Update-Berichte der Geräteverwaltung, Abgleich der Grundkonfiguration.

  6. Lieferkette und Dienstleister (Nr. 4)

    Eigene Lieferanten bewerten und eigene Pflichten gegenüber Kunden erfüllen.

    Wer: GF, Zuarbeit ISB.Takt: jährlich, bei neuem Lieferanten vor Vertragsschluss.

    Was zu tun ist
    1. Kritische Lieferanten erfassen: IT-Dienstleister, Cloud-Dienste, BHKW-Hersteller (eigener Fernzugang), Router-Hersteller, Mobilfunkanbieter, MDR-Dienst.
    2. Bewertung mit F-14: Zertifikate, Meldewege, Fernzugriff, Vertrag.
    3. Verträge ergänzen: Meldung von Vorfällen an uns, MFA, Protokollierung, Unterauftragnehmer.
    4. Fernzugänge des BHKW-Herstellers nur über unsere Plattform oder mit Freigabe im Einzelfall.
    5. Gegenüber Kunden: Sicherheitsanhang zum Wartungsvertrag anbieten. Das Klinikum fordert solche Nachweise ohnehin für seine eigene Lieferkette.

    Nachweis: F-14, Vertragsanhänge.

  7. Vorfallbehandlung und Meldung (Nr. 2, § 32 BSIG)

    Vorfälle erkennen, eindämmen, beheben und fristgerecht melden.

    Wer: Rufbereitschaft (Erstaufnahme), ISB (Bewertung), GF (Freigabe Meldung, ohne die Frist anzuhalten).Takt: im Vorfall; Meldeübung halbjährlich.

    Was zu tun ist

    Nachweis: Vorfallakte mit F-09 bis F-12, Zeitstempel, Portal-Bestätigungen.

  8. Notfallplan, Backup und Wiederanlauf (Nr. 3)

    Leitwarte und Fernwartung schnell wieder herstellen, Kundenanlagen laufen auch ohne uns sicher weiter.

    Wer: ISB, Umsetzung IT-Dienstleister.

    Was zu tun ist
    1. Geschäftsauswirkungsanalyse: Welche Dienste wie lange ausfallen dürfen (F-13).
    2. Backup nach 3-2-1: drei Kopien, zwei Medien, eine Kopie außer Haus und unveränderbar.
    3. Wiederherstellungstest vierteljährlich, Ergebnis in F-13.
    4. Notbetrieb: Störungsannahme per Telefon, Techniker fahren raus, Kundenliste offline verfügbar.
    5. Krisenteam: GF, ISB, IT-Dienstleister, bei Bedarf Anwalt und Versicherung.
    6. Übung jährlich mit Planspiel.
    7. Serverraum und Versorgung: Zutritt nur für benannte Personen, Rauchmelder, Klima-Alarm, USV mit geordnetem Herunterfahren, Ausweichbetrieb festgelegt.

    Nachweis: F-13, Testprotokolle, Übungsbericht, Abnahme Serverraum.

  9. Schulung und Grundschutz im Alltag (Nr. 7)

    Jeder im Team erkennt Angriffe und weiß, was zu tun ist.

    Wer: ISB.

    Was zu tun ist
    1. Einweisung bei Eintritt, 60 Minuten.
    2. Jährliche Schulung für alle, Phishing-Übung zweimal im Jahr.
    3. Sonderschulung Fernwartung für Techniker und Leitwarte.
    4. Merkblatt „Vorfall melden“ an jedem Arbeitsplatz und im Servicefahrzeug.

    Nachweis: F-16.

  10. Kryptografie und sichere Kommunikation (Nr. 8, Nr. 10)

    Daten auf Geräten und Wegen schützen, im Notfall sicher kommunizieren.

    Wer: IT-Dienstleister.

    Was zu tun ist

      Nachweis: Konfigurationsberichte, Schlüsselliste.

    1. Personal (Nr. 9)

      Vertrauen absichern, Wissen sichern.

      Wer:

      Was zu tun ist
      1. Vertraulichkeitsverpflichtung im Arbeitsvertrag.
      2. Austrittsliste: Konten, Schlüssel, Geräte, Hardware-Token, Zugänge bei Kunden.
      3. Vertretungsregel für ISB und Leitwarte.
      4. Überprüfung von Personen vor dem ersten Zugriff auf Kundenanlagen: Lebenslauf, Referenzen, Führungszeugnis wie im Arbeitsvertrag vereinbart.
      5. USB-Speicher sind gesperrt; nur verschlüsselte Firmensticks aus dem Inventar.

      Nachweis: unterschriebene Verpflichtungen, Austrittslisten, Prüfvermerke in der Personalakte.

    2. Wirksamkeit prüfen (Nr. 6)

      Nachweisen, dass Maßnahmen wirken.

      Wer: ISB, Bericht an GF.

      Was zu tun ist
      1. Kennzahlen: MFA-Abdeckung, Patch-Stand, Backup-Tests bestanden, Schulungsquote, offene Risiken.
      2. Jährliche interne Prüfung anhand F-08.
      3. Externer Penetrationstest der Fernwartungsplattform jährlich.
      4. Management-Review mit F-17.
      5. Internes Auditprogramm: jedes Quartal vier Stichproben (Berechtigungen, Patchstand, Backup-Test, Notfallliste).
      6. Externe Prüfung jährlich durch jemanden, der am ISMS nicht mitarbeitet; jeder Hinweis wird eine Maßnahme in F-08.

      Nachweis: F-17, Testberichte, Prüfbericht.

    Technik: Zielbild für 10 Mitarbeitende

    Grundsatz: so wenig eigene Technik wie möglich, Überwachung als Dienst einkaufen, Fernwartung zentral bündeln. Produktnamen sind Beispiele, keine Empfehlung einzelner Hersteller.

    • T1
      Identität und Geräte

      Cloud-Büropaket mit zentraler Benutzerverwaltung, MFA, bedingtem Zugriff und Geräteverwaltung (Beispiel: Microsoft 365 Business Premium). Hardware-Schlüssel (FIDO2) für Admins und Fernwartung.

    • T2
      Endpunktschutz

      EDR auf allen Laptops und dem Leitwarten-Server.

    • T3
      Überwachung

      MDR-Dienst (Managed Detection and Response) mit 24/7-Analyse. Er sammelt Meldungen aus EDR, Cloud-Konten, Firewall und Fernwartungsplattform. Aufbewahrung der Protokolle 12 Monate. Ein eigenes SIEM lohnt sich in dieser Größe nicht.

    • T4
      Fernwartungsplattform

      zentraler VPN-Konzentrator mit Sprungserver in eigener Zone. Router an den BHKW bauen nur ausgehende Verbindungen zur Plattform auf. Zugriff nur mit persönlicher Anmeldung, MFA, Freigabe je Sitzung und Aufzeichnung. Beispiele für Produktklassen: industrielle Remote-Access-Server mit Benutzer- und Gruppenrechten.

    • T5
      Firewall

      bestehende Firewall bleibt, wird aber in Zonen aufgeteilt und gehärtet. Admin-Zugang nur intern mit MFA.

    • T6
      Backup

      Cloud-Backup der Büro-Daten und des Leitwarten-Servers, eine unveränderbare Kopie außer Haus.

    • T7

      Passwortmanager für das Team, Tresor für Notfallzugänge.

    • T8
      Notfallkanal

      Messenger-Gruppe mit Ende-zu-Ende-Verschlüsselung, gedruckte Kontaktliste.

    • T9
      Protokollierung

      Plattform, Sprungserver, Firewall, Cloud-Konten, EDR und Leitwarte melden an den MDR-Dienst; Aufbewahrung 12 Monate, alle Systeme mit gemeinsamem Zeitserver.

    • T10
      Trennung der Kunden

      Jeder Kunde liegt in einer eigenen Zone der Plattform. Von einem Kundenrouter führt kein Weg zu einem anderen Kunden; das wird jährlich im Pentest geprüft.

    • T11
      Serverraum

      Zutritt nur für benannte Personen, Rauchmelder, Klima-Alarm und USV.

    Netzzonen

    Zone Büro
    • Laptops Büro und Technik · EDR, Verschlüsselung
    Zone Leitwarte
    • Leitwarten-Server · Fernüberwachung 85 BHKW
    Zone Fernwartung
    • VPN-Konzentrator
    • Sprungserver · MFA, Freigabe, Aufzeichnung
    Kunde, z. B. Klinikum
    • Fernwartungsrouter · nur ausgehend
    • BHKW-Steuerung
    Weitere Bausteine
    • Zone Gäste
    • Firewall · Zonen, Default-Deny
    • Cloud-Büropaket · Konten, MFA, Geräteverwaltung
    • MDR-Dienst 24/7
    Verbindungen
    • Laptops Büro und Technik · EDR, Verschlüsselung ↔ Firewall · Zonen, Default-Deny
    • Leitwarten-Server · Fernüberwachung 85 BHKW ↔ Firewall · Zonen, Default-Deny
    • Zone Gäste ↔ Firewall · Zonen, Default-Deny
    • Firewall · Zonen, Default-Deny ↔ VPN-Konzentrator
    • VPN-Konzentrator ↔ Sprungserver · MFA, Freigabe, Aufzeichnung
    • Fernwartungsrouter · nur ausgehend → VPN-Konzentrator (VPN ausgehend über Mobilfunk)
    • Fernwartungsrouter · nur ausgehend ↔ BHKW-Steuerung
    • Sprungserver · MFA, Freigabe, Aufzeichnung → Fernwartungsrouter · nur ausgehend (nur nach Kundenfreigabe)
    • Laptops Büro und Technik · EDR, Verschlüsselung → Cloud-Büropaket · Konten, MFA, Geräteverwaltung
    • Cloud-Büropaket · Konten, MFA, Geräteverwaltung → MDR-Dienst 24/7
    • Firewall · Zonen, Default-Deny → MDR-Dienst 24/7
    • Sprungserver · MFA, Freigabe, Aufzeichnung → MDR-Dienst 24/7

    Regeln für die Fernwartung beim Klinikum

    1. Der Router am BHKW hat keine offenen Ports aus dem Internet.
    2. Der Techniker meldet sich am Sprungserver an, nie direkt am Router.
    3. Das Klinikum gibt jede Sitzung frei, außer bei Störungen nach vereinbarter Notfallregel.
    4. Jede Sitzung wird aufgezeichnet und 12 Monate aufbewahrt.
    5. Sollwerte und Programmänderungen nur mit Freigabe der Haustechnik des Klinikums.
    6. Sicherheitseinrichtungen des BHKW (Not-Aus, Gaswarnanlage) sind nicht über die Fernwartung bedienbar.

    Meldewege

    Fristen laufen ab Kenntnis eines erheblichen Vorfalls.

    1. Frühwarnung: Verdacht auf böswillige Handlung, Auswirkung über Grenzen

    2. Meldung: erste Bewertung, Schwere, Auswirkung, Indikatoren

    3. Zwischenmeldung: aktueller Stand

    4. Abschlussmeldung: Ursache, Bedrohungsart, Abhilfe

    5. Fortschrittsmeldung: Stand, dann Abschluss nach Ende

    Ablauf

    1. Hinweis: MDR-Alarm, Techniker, Kunde, Behörde
      • Rufbereitschaft nimmt auf · F-09, Uhrzeit notieren
    2. Rufbereitschaft nimmt auf · F-09, Uhrzeit notieren
      • ISB bewertet innerhalb von 4 h · F-10 Erheblichkeit
    3. ISB bewertet innerhalb von 4 h · F-10 Erheblichkeit
      • nicht erheblich: Behandeln, dokumentieren, Lehren ziehen
      • erheblich oder unklar mit Verdacht: Kenntnis = Fristbeginn
    4. Kenntnis = Fristbeginn
      • Frühwarnung BSI-Portal · spätestens 24 h
      • Kunden informieren · Vertrag und § 35 BSIG
      • Datenschutz prüfen · Art. 33 DSGVO: 72 h
      • Versicherung, Polizei (ZAC
    5. Frühwarnung BSI-Portal · spätestens 24 h
      • Meldung mit Bewertung · spätestens 72 h
    6. Meldung mit Bewertung · spätestens 72 h
      • Zwischenmeldung auf Anfrage des BSI
      • Abschlussmeldung · spätestens 1 Monat nach 72-h-Meldung · sonst Fortschrittsmeldung
    7. Behandeln, dokumentieren, Lehren ziehen
    8. Zwischenmeldung auf Anfrage des BSI
    9. Abschlussmeldung · spätestens 1 Monat nach 72-h-Meldung · sonst Fortschrittsmeldung
    10. Kunden informieren · Vertrag und § 35 BSIG
    11. Datenschutz prüfen · Art. 33 DSGVO: 72 h
    12. Versicherung, Polizei (ZAC
    Wann ist ein Vorfall erheblich?

    Ein Vorfall ist erheblich, wenn mindestens eines gilt:

    Allgemein (Art. 3):

    • Direkter finanzieller Schaden über 500.000 € oder 5 % des Jahresumsatzes, je nachdem, was niedriger ist. Im Beispiel liegt die Schwelle damit bei 500.000 €.
    • Abfluss von Geschäftsgeheimnissen.
    • Tod oder erhebliche Gesundheitsschäden von Menschen, oder die Möglichkeit dazu.
    • Erfolgreicher, mutmaßlich böswilliger, unbefugter Zugriff, der schwere Betriebsstörungen verursachen kann.
    • Wiederholte gleichartige Vorfälle (Art. 4).

    Speziell für Managed Service Provider (Art. 10):

    • Der verwaltete Dienst ist mehr als 30 Minuten vollständig nicht verfügbar.
    • Die Verfügbarkeit ist über eine Stunde für mehr als 5 % der Nutzer eingeschränkt.
    • Integrität, Vertraulichkeit oder Echtheit der Daten im Dienst sind durch eine mutmaßlich böswillige Handlung beeinträchtigt. Das gilt ohne Mindestzahl.
    • Daten im Dienst sind beeinträchtigt und das betrifft mehr als 5 % der Nutzer.

    Praxisfolge für den BHKW-Service:

    • Fällt die Fernüberwachung länger als 30 Minuten komplett aus, ist das meldepflichtig. Geplante Wartung mit Vorankündigung zählt nicht.
    • Jede mutmaßlich böswillige Kompromittierung von Kundendaten oder Zugängen ist meldepflichtig, auch bei nur einem Kunden.
    • Die Frist beginnt, sobald nach der ersten Bewertung mit hinreichender Gewissheit feststeht, dass ein erheblicher Vorfall vorliegt. Deshalb ist eine schnelle Erstbewertung (F-10) so wichtig.
    Kontaktliste
    • BSI-Portal: portal.bsi.bund.de (Zugang über Mein Unternehmenskonto).
    • Kunden-Notfallkontakt Klinikum: Haustechnik-Leitstand.
    • IT-Dienstleister Notfallnummer.
    • MDR-Dienst Notfallnummer.
    • Cyberversicherung Schadenhotline.
    • Zentrale Ansprechstelle Cybercrime (ZAC) des Landeskriminalamts.
    • Datenschutzbeauftragter.

    Der Beispielvorfall als Chronik

    Ein erfundener, aber typischer Vorfall: vom ersten Alarm bis zur Abschlussmeldung.

    1. Anmeldung am Konto eines Technikers aus dem Ausland, danach Weiterleitungsregel im Postfach.

    2. Der MDR-Dienst ruft die Rufbereitschaft an.

    3. Konto gesperrt, Fernwartungskonto vorsorglich gesperrt.

    4. ISB alarmiert.

    5. Bewertung mit F-10: erheblich nach Art. 10 Nr. 3 DVO. Ab jetzt laufen die Fristen.

    6. Klinikum telefonisch informiert.

    7. Frühwarnung an das BSI, nach 2 h 40 min.

    8. E-Mail an alle 12 betroffenen Kunden; Datenschutzmeldung vorbereitet.

    9. Meldung mit Bewertung an das BSI, vor Ablauf der 72 h.

    10. Hardware-Schlüssel für alle, Weiterleitungen gesperrt, Routerzugänge geändert.

    11. Abschlussmeldung, innerhalb eines Monats nach der 72-h-Meldung.

    Was dieser Fall zeigt

    1. Ohne MDR hätte der Betrieb den Angriff erst bemerkt, wenn ein Kunde sich meldet.
    2. Für Managed Service Provider reicht schon der Abfluss von Kundendaten durch einen Angreifer für die Meldepflicht.
    3. Die schon vorhandene 24/7-Störungsbereitschaft war der schnellste Hebel für den Meldeprozess.

    Alle 18 Formulare

    Jedes Formular als leere Vorlage zum Ausdrucken und als ausgefülltes Beispiel des Musterbetriebs.

    Prüfpunkte und Quellen

    Vor Nutzung prüfen:

    • Einordnung OT-Fernwartung als Managed Services Provider: noch keine behördliche Bestätigung.
    • Beginn des „erstmals Geltens“ bei Überschreiten der Schwellen mit dem Jahresabschluss und die Frage, ob die KMU-Regel mit zwei aufeinanderfolgenden Geschäftsjahren angewendet wird.
    • Fristen für Änderungsmitteilungen im BSI-Portal.
    • Reichweite von § 35 BSIG (Unterrichtung der Kunden) für Managed Service Provider.
    • Änderungen der Anlage 1 BSIG nach dem Stand 05.11.2026.

    Rechtsquellen:

    • BSI-Gesetz in der Fassung des NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetzes, gültig seit 06.12.2025: §§ 28, 30, 32, 33, 35, 38, 65, Anlage 1.
    • Richtlinie (EU) 2022/2555 (NIS2), Art. 21 und 23.
    • Durchführungsverordnung (EU) 2024/2690, Art. 3, 4, 10 und Anhang.
    • Empfehlung 2003/361/EG (KMU-Definition).
    • Art. 33 DSGVO.

    Hilfen:

    • BSI-Betroffenheitsprüfung: betroffenheitspruefung-nis-2.bsi.de
    • BSI-Portal: portal.bsi.bund.de
    • Mein Unternehmenskonto: info.mein-unternehmenskonto.de

    Kostenfreies Muster von OT-Cyber.de, keine Rechtsberatung. Firma, Personen, Kunden und Vorfall sind frei erfunden. Jeder Betrieb prüft seine Betroffenheit selbst.

    Zuletzt aktualisiert: 06.11.2026

    Seite teilen: LinkedInXINGFacebookXWhatsAppE-Mail