Es gibt eine Frage, die sich selten jemand stellt, bevor er einen Vertrag mit dem Anbieter unterzeichnet, der das SOC oder den Vulnerability-Assessment-Service verwaltet: Was passiert eigentlich genau mit den Informationen, die wir täglich austauschen?
Logs, Alerts, Indikatoren für Kompromittierungen, Details zu noch nicht behobenen Schwachstellen. Material, das in den falschen Händen mehr wert wäre als ein gestohlenes Passwort.
Artikel 17 des Dekrets NIS2 (D.Lgs. 138/2024) versucht genau hier Ordnung zu schaffen.
Monatelang stand er im Schatten der meistdiskutierten Themen der Verordnung: Verantwortung des Vorstands, Sicherheitsmaßnahmen, Meldung von Vorfällen, Management der Lieferkette. Die von der ACN veröffentlichten FAQs haben ihm wieder zentrale Bedeutung verliehen, und der Grund ist einfach: Er betrifft fast alle Organisationen, die für Sicherheitsaktivitäten auf einen externen Anbieter vertrauen.
Worum es in Artikel 17 wirklich geht
Die Norm erlaubt es wesentlichen und wichtigen Einrichtungen sowie deren Dritten, auf freiwilliger Basis Informationen zur Cybersicherheit auszutauschen: Bedrohungen, Beinahe-Störfälle, Schwachstellen, Taktiken der Angreifer, Indikatoren für Kompromittierungen, Konfigurationsempfehlungen. Der Austausch bleibt freiwillig; was die Norm vorschreibt, ist die Disziplin darum herum: Wenn er stattfindet, muss er durch eine Vereinbarung geregelt sein, die den Rahmen und die Schutzinstrumente definiert.
Hier kommt die Klarstellung, die mehr als einen IT-Verantwortlichen überrascht hat: Laut ACN fallen Verträge, die – auch nur teilweise – Cybersicherheitsdienste zum Gegenstand haben, in diese Kategorie. NOC, MDR, SOC, CSOC, CERT, Vulnerability Assessment und Penetration Test, Red Teaming, Cyber Threat Intelligence: die Liste der Dienste, die fast jedes strukturierte Unternehmen seit Jahren einkauft, oft ohne jemals die Klauseln zur Vertraulichkeit der ausgetauschten Daten erneut gelesen zu haben.
Eine Frage, die auch Menschen betrifft, nicht nur Juristen
Wer sich mit Awareness beschäftigt, weiß: Hinter jeder Austauschvereinbarung steht eine Beziehung zwischen Menschen. Weiß derjenige, der die Beziehung zum SOC-Anbieter pflegt, welche Informationen per E-Mail übermittelt werden dürfen und welche nicht? Versteht derjenige, der einen Penetration-Test-Bericht erhält, dass dieses Dokument bei unsachgemäßer Weitergabe zu einer Karte der Unternehmensschwachstellen wird, die denjenigen kostenlos angeboten wird, die sie nicht sehen sollten?
Verträge legen die Grenzen fest. Menschen respektieren oder ignorieren sie jeden Tag, wenn sie eine Datei an ein Ticket anhängen, wenn sie einen Alert an einen externen Mitarbeiter weiterleiten, ohne die Klassifizierung des Inhalts zu prüfen, oder wenn sie einen nicht vorgesehenen Kanal nutzen, weil es „einfach dringend war“. Die NIS2 formalisiert rechtliche Verpflichtungen; die Organisationskultur entscheidet, ob diese Verpflichtungen auf dem Papier bleiben oder zum täglichen Verhalten werden.
Fristen, die man im Hinterkopf behalten sollte
Die ACN hat eine schrittweise Anwendung vorgesehen. Für die jährliche Aktualisierung 2025 muss nur das gemeldet werden, was nach Inkrafttreten des Dekrets unterzeichnet wurde. Frühere Vereinbarungen, die vor Jahren unterzeichnet wurden, vielleicht ohne im Geringsten an die NIS2 zu denken, müssen bis zur jährlichen Aktualisierung 2026 analysiert und gegebenenfalls angepasst werden. Die allgemeine Frist zur Angleichung an die Vorschrift, im Einklang mit der Verabschiedung der Basissicherheitsmaßnahmen, fällt auf Oktober 2026.
Dies sollte als das genommen werden, was es ist, und nicht als Ausrede zum Aufschieben. Eine Verzögerung der Bestandsaufnahme bedeutet das Risiko, die Frist mit niemals gelesenen Verträgen, seit Jahren ohne klaren Rahmen geteilten Informationen und Verantwortlichkeiten, die niemand jemals wirklich zugewiesen hat, zu erreichen. Wer bis zum letzten Quartal 2026 wartet, um die Schublade mit den Lieferantenverträgen zu öffnen, wird mit Sicherheit mehr als eine Überraschung erleben.
Was konkret zu tun ist
Es ist nicht nötig, in aller Eile ein neues Dokument für jeden Lieferanten zu erstellen. Man muss mit einer realen Bestandsaufnahme beginnen: Wer erbringt SOC-, MDR-, VA/PT-, Red-Teaming- oder Threat-Intelligence-Dienste, welche Informationen werden tatsächlich mit jedem einzelnen ausgetauscht, was besagt der bestehende Vertrag bereits. Davon ausgehend wird beurteilt, ob eine eigene Vereinbarung erforderlich ist oder ob es ausreicht, Vertraulichkeitsklauseln in den bestehenden Vertrag zu integrieren.
Und dann der Schritt, der oft übersprungen wird: Diejenigen im Unternehmen, die diese Beziehungen operativ verwalten, müssen darüber informiert werden, was die Vereinbarung in der Praxis bedeutet. Kein isoliertes Webinar, sondern ein Weg, der die Unterscheidung zwischen teilbaren und zu schützenden Informationen sowie die konkreten Folgen eines unachtsamen Austauschs vertraut macht.
Das Fazit
Artikel 17 verlangt, etwas explizit zu machen, was bereits geschieht: den Austausch sensibler Informationen mit denjenigen, die unsere digitale Verteidigung verwalten. Es ist nicht nötig, die Unternehmenssicherheit von Grund auf neu zu schreiben. Der technische und der rechtliche Teil können an Spezialisten delegiert werden. Der menschliche Teil, also die Personen, die jeden Tag entscheiden, was sie in ein Ticket schreiben oder an eine E-Mail anhängen, bleibt der Punkt, auf dem wir unseren Schulungsansatz aufbauen: Eine gut geschriebene Vereinbarung ist so viel wert wie die Gewohnheiten derer, die sie jeden Tag anwenden.
