NIS2-Richtlinie: Auswirkungen auf die Dateiübertragung 2026

Die NIS2-Richtlinie (EU 2022/2555), in nationales Recht der Mitgliedstaaten bis zum 17. Oktober 2024 umgesetzt und 2026 aktiv durchgesetzt, zieht Dateiübertragungsdienste in die Kategorien „digitale Infrastruktur" und „digitale Anbieter", wenn sie wesentliche oder wichtige Einrichtungen bedienen. Für Dateiübertragungsanbieter verlangt NIS2: dokumentiertes Cybersicherheits-Risikomanagement nach Artikel 21, Lieferkettensicherheitsüberprüfungen, 24-Stunden-Frühwarnung bei erheblichen Vorfällen nach Artikel 23 und Haftung der Geschäftsleitung mit möglichen Bußgeldern von bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes. Nutzer dieser Dienste erben Lieferkettenptflichten.

Wen NIS2 tatsächlich erfasst

NIS2 erweiterte den Geltungsbereich der alten NIS-Richtlinie erheblich. Wesentliche Einrichtungen umfassen Energie, Verkehr, Banken, Gesundheit, Trinkwasser, digitale Infrastruktur (DNS, TLD-Register, Cloud-Anbieter, Rechenzentren, Content Delivery Networks). Wichtige Einrichtungen ergänzen Postdienste, Abfallwirtschaft, Chemikalien, Lebensmittel, Fertigung und digitale Anbieter wie Suchmaschinen, Online-Marktplätze und soziale Netzwerke. Ein Dateiübertragungsdienst selbst fällt häufig unter die Definitionen „Managed Service Provider" oder „Managed Security Service Provider" in Anhang II, was ihn zur wichtigen Einrichtung macht. Selbst kleinere Anbieter unterhalb der Größenschwellen werden einbezogen, wenn ein Mitgliedstaat sie als kritisch einstuft.

Risikomaßnahmen nach Artikel 21

Die zehn Maßnahmen in Artikel 21(2) lesen sich wie ein Basis-Sicherheitskontrollsatz. Dateiübertragungsanbieter müssen umsetzen: Richtlinien zur Risikoanalyse und Informationssystemsicherheit, Vorfallmanagement, Geschäftskontinuität und Krisenmanagement, Lieferkettensicherheit, Sicherheit in Netz- und Informationssystemen bei Erwerb und Entwicklung, Maßnahmen zur Wirksamkeitsbewertung, grundlegende Cyberhygiene und Schulungen, Kryptografie und Verschlüsselung, Personalsicherheit und Zugangskontrolle sowie Multi-Faktor-Authentifizierung. Für einen Übertragungsdienst bedeutet das konkrete Liefergegenstände: dokumentiertes ISMS, AES-256-GCM für gespeicherte Dateien, TLS 1.3 für den Transport, MFA für administrativen Zugriff, jährliche Penetrationstests und ein Schulungsprogramm für Entwickler und Supportmitarbeiter.

Meldefristen bei Vorfällen

Artikel 23 setzt die engsten Fristen, die Regulierer je für digitale Dienste gesetzt haben. Bei einem erheblichen Vorfall sendet die Einrichtung innerhalb von 24 Stunden eine Frühwarnung, innerhalb von 72 Stunden eine vollständige Vorfallmeldung und innerhalb eines Monats einen Abschlussbericht. Ein Dateiübertragungsvorfall, bei dem Kundendateien offengelegt werden, qualifiziert in der Regel als erheblich, wenn er viele Nutzer betrifft oder den Dienst unterbricht. Das Incident-Response-Runbook des Anbieters muss benannte Rollen, eine 24/7-Eskalationskette und vorgefertigte Vorlagen für das nationale CSIRT enthalten. ENISA veröffentlicht Leitlinien dazu, was als erheblich gilt, unter Bezugnahme auf Kriterien wie Anzahl der betroffenen Nutzer, Dauer und geografische Ausbreitung.

Lieferkettenverpflichtungen verlaufen in beide Richtungen

NIS2 Artikel 21(2)(d) nennt explizit die Lieferkettensicherheit. Wesentliche und wichtige Einrichtungen müssen die Cybersicherheit ihrer direkten Lieferanten bewerten. Ein Krankenhaus, das einen Dateiübertragungsanbieter nutzt, muss die Sicherheitspraktiken dieses Anbieters bewerten, vertragliche Verpflichtungen zu Sicherheitskontrollen und Vorfallmeldung einholen und die Compliance überwachen. Gleichzeitig bewertet der Anbieter seine eigenen Lieferanten: Cloud-Hosts wie AWS, OVHcloud, Scaleway oder Hetzner, plus CDNs, Observability-Plattformen und Identity Provider. Die koordinierten EU-Risikobewertungen, veröffentlicht von der Kommission und ENISA, zeigen sektorspezifische Lieferkettenrisiken auf. Die 2024er Bewertung zu Telekommunikation und Cloud dient als Vorlage.

Haftung der Geschäftsführung

Artikel 20 macht die Unternehmensleitung persönlich verantwortlich. Direktoren und leitende Angestellte in-scope-Einrichtungen müssen die Cybersicherheits-Risikomanagementmaßnahmen genehmigen, ihre Umsetzung überwachen und regelmäßig Schulungen absolvieren. In einigen Mitgliedstaaten wie Deutschland (über das NIS2UmsuCG) und Frankreich (über das Gesetz LOI PROPRE) sind persönliche Sanktionen und Direktorsverbote bei schwerwiegender Fahrlässigkeit möglich. Vorstände von Cloud- und SaaS-Anbietern, die kritische Infrastrukturkunden bedienen, behandeln Cybersicherheit jetzt als festen Tagesordnungspunkt, häufig mit dem CISO, der direkt oder über einen Prüfungsausschuss berichtet.

Zertifizierung und Vertrauensnachweis

NIS2 fördert die Nutzung europäischer Cybersicherheitszertifizierungssysteme gemäß dem Cybersicherheitsgesetz (EU 2019/881). Das EUCC-System für IKT-Produkte und das kommende EUCS-System für Cloud-Dienste stellen Vertrauensmarken auf den Ebenen „Basis", „Substantiell" und „Hoch" aus. Dateiübertragungsdienste, die auf regulierte Käufer abzielen, streben SOC-2-Typ-II, ISO 27001, ISO 27701 für Datenschutz und nationale Zertifizierungen wie Frankreichs SecNumCloud oder Deutschlands C5 an. Die praktische Konsequenz: Anbieter ohne mindestens ISO 27001 werden bei regulierten Käufern in der EU aus Beschaffungslisten gestrichen.

Grenzüberschreitende Koordination und Zuständigkeit

Ein in Irland ansässiger Dateiübertragungsdienst, der Kunden in der gesamten EU bedient, hat unter der „Hauptniederlassungs"-Regel von NIS2 für digitale Anbieter eine federführende Aufsichtsbehörde in Irland. Vorfallmeldungen müssen jedoch möglicherweise auch an die Behörde in dem Land gehen, wo erhebliche Auswirkungen eingetreten sind. Die Kooperationsgruppe und das CSIRTs-Netzwerk koordinieren grenzüberschreitende Vorfälle. Anbieter sollten frühzeitig Beziehungen zu ihrem nationalen CSIRT aufbauen, da ein erster Vorfallbericht nicht der Zeitpunkt ist, Kontaktwege zu klären. Die Kontakte des CSIRTs-Netzwerks der ENISA sind öffentlich zugänglich.

Praktische Schritte für Übertragungsanbieter und -nutzer

Für Anbieter im Jahr 2026 sind die Mindestanforderungen: eine Artikel-21-Lückenanalyse, dokumentiert und vom Vorstand überprüft, eine namentlich benannte Incident-Response-Leitung mit 24/7-Rotation, ein geprüftes Lieferanteninventar mit Sicherheitsklauseln, eine veröffentlichte Vertrauens- und Compliance-Seite mit Verweis auf die NIS2-Bereitschaft sowie ein Penetrationstestbericht eines qualifizierten Anbieters aus den letzten 12 Monaten. Für Käufer: fordern Sie von Anbietern deren NIS2-Selbstbewertung, ihre nationale CSIRT-Kontaktperson, ihre Sub-Processor-Liste, ihre SLA für Sicherheitsverletzungsmeldungen und die kryptografischen Spezifikationen ihres Produkts an. Die Lieferkettensicherheitsmaßnahme nach Artikel 21(2)(d) macht diese Fragen zur Pflicht-Due-Diligence, nicht zur Option.

HexaTransfer verschlüsselt Dateien clientseitig mit AES-256-GCM, hostet auf EU-Infrastruktur und veröffentlicht seine Incident-Response-Richtlinie. Auf hexatransfer.com testen — kostenlos, ohne Konto, bis 10 GB.

NIS2 hat keine neuen Sicherheitspraktiken erfunden. Es hat sie verpflichtend gemacht, Leitungshaftung hinzugefügt und Fristen verkürzt. Dateiübertragungsdienste, die bereits disziplinierte Sicherheitsprogramme betrieben, mussten hauptsächlich dokumentieren, was sie bereits taten. Diejenigen, die das nicht taten, hatten zwei Jahre dringenden Aufholbedarfs. Für Käufer im Jahr 2026 lautet die Frage nicht, ob Ihr Anbieter NIS2-bewusst ist, sondern ob er es schriftlich beweisen kann, wenn Ihr Aufseher fragt.