Seit dem 6. Dezember 2025 gelten in Deutschland die Pflichten des NIS-2-Umsetzungsgesetzes. Für betroffene Unternehmen endet das Risikomanagement nicht an der eigenen Systemgrenze. Auch die Sicherheit der Lieferkette und die Zusammenarbeit mit unmittelbaren Anbietern und Diensteanbietern müssen berücksichtigt werden.

Damit wird die Auswahl und Steuerung von Software-, Plattform- und Betriebsdienstleistern zu einer konkreten Sicherheitsaufgabe. Entscheidend ist nicht, ob ein Anbieter allgemein mit Sicherheit wirbt. Unternehmen müssen nachvollziehen können, wer für welche Systeme, Zugänge, Updates und Reaktionen verantwortlich ist.

Genau an dieser Schnittstelle arbeitet polargold: Wir beraten, entwickeln und integrieren Pimcore-Plattformen, Produktdatenlösungen sowie Kundenportale und begleiten sie auf Wunsch auch nach dem Go-live. Sicherheitsverantwortung behandeln wir deshalb nicht als Zusatzdokument am Projektende, sondern als Bestandteil von Architektur, Umsetzung und Betriebsmodell.

Warum IT-Dienstleister Teil des Risikomanagements werden

Digitale Plattformen entstehen heute selten innerhalb einer einzigen Organisation. Softwarehersteller, Implementierungspartner, Cloud-Anbieter, Hoster und weitere Spezialdienste arbeiten zusammen. Fällt ein Baustein aus oder bleibt eine Schwachstelle unbehandelt, kann das die gesamte Plattform beeinträchtigen.

§ 30 BSIG nennt deshalb ausdrücklich die Sicherheit der Lieferkette einschließlich der sicherheitsbezogenen Beziehungen zu unmittelbaren Anbietern und Diensteanbietern. Ebenfalls erfasst sind Sicherheitsmaßnahmen bei Erwerb, Entwicklung und Wartung von IT-Systemen sowie der Umgang mit Schwachstellen.

Das bedeutet nicht, dass jedes Risiko vollständig an den Dienstleister übertragen werden kann. Das betroffene Unternehmen bleibt für sein Risikomanagement verantwortlich. Es benötigt aber klare Vereinbarungen und belastbare Informationen seiner Partner.

Welche Verantwortung übernimmt welcher Partner?

Bei einem Kundenportal oder einer Pimcore-Plattform können mindestens vier Rollen beteiligt sein:

  • Das Unternehmen bestimmt Schutzbedarf, Geschäftsprozesse und interne Verantwortlichkeiten.
  • Der Softwarehersteller pflegt das Standardprodukt und veröffentlicht Produkt- sowie Sicherheitsupdates.
  • Der Implementierungspartner entwickelt Datenmodelle, Funktionen, Schnittstellen und projektspezifische Erweiterungen.
  • Der Hosting- oder Cloud-Anbieter betreibt die zugrunde liegende Infrastruktur.

In unseren Projekten verantwortet polargold typischerweise die Lösungsarchitektur, Individualentwicklung, Schnittstellen, Rollenmodelle und den Anwendungssupport. Der Betrieb der Infrastruktur kann beim Unternehmen, bei einem Hostingpartner oder in einer Cloud- beziehungsweise PaaS-Umgebung liegen. Wir machen diese Grenzen früh sichtbar, damit Aufgaben weder doppelt noch überhaupt nicht übernommen werden.

Diese Rollen dürfen nicht nur im Angebot erkennbar sein. Für den laufenden Betrieb muss geklärt werden, wer Sicherheitsmeldungen bewertet, Updates testet, Protokolle prüft, Backups überwacht und bei einem Vorfall erreichbar ist. Besonders riskant sind Aufgaben, für die sich mehrere Parteien zuständig fühlen, tatsächlich aber niemand einen verbindlichen Prozess betreibt.

Zehn Fragen an Software- und Plattformdienstleister

Diese Fragen sollten Unternehmen nicht nur potenziellen Partnern stellen. Wir verwenden sie auch, um unseren eigenen Leistungsumfang in einem Projekt eindeutig zu beschreiben:

  1. Welche Systeme, Komponenten und Daten liegen im Verantwortungsbereich des Dienstleisters?
  2. Welche Unterauftragnehmer, Cloud- und Plattformdienste werden eingesetzt?
  3. Wie werden administrative und privilegierte Zugänge vergeben, geschützt und entzogen?
  4. Wie werden Sicherheitsupdates bewertet, getestet und eingespielt?
  5. Über welchen Weg können Schwachstellen gemeldet werden und wie werden sie priorisiert?
  6. Welche Ereignisse werden protokolliert und welche Abweichungen lösen eine Alarmierung aus?
  7. Welche Daten und Konfigurationen werden gesichert und wie häufig wird die Wiederherstellung getestet?
  8. Welche Kontakt-, Reaktions- und Eskalationswege gelten bei einem Sicherheitsvorfall?
  9. Wie werden Änderungen entwickelt, geprüft, freigegeben und dokumentiert?
  10. Wie werden Daten, Dokumentation und Zugänge bei einem Anbieterwechsel vollständig übergeben?

Welche Nachweise sind in der Praxis sinnvoll?

Die benötigten Unterlagen hängen vom Schutzbedarf und vom Leistungsumfang ab. Für ein geschäftskritisches Portal können unter anderem folgende Nachweise und Vereinbarungen relevant sein:

  • eine eindeutige Leistungs- und Verantwortungsbeschreibung;
  • technische und organisatorische Maßnahmen sowie ein aktuelles Verzeichnis relevanter Unterauftragnehmer;
  • Regelungen zu Wartung, Updates und Schwachstellen;
  • ein abgestimmter Kontakt- und Eskalationsweg für Sicherheitsvorfälle;
  • Vereinbarungen zu Protokollierung, Monitoring, Backups und Wiederherstellung;
  • Reaktionszeiten, Wartungsfenster und klar benannte Leistungsgrenzen;
  • Dokumentation der Architektur, Schnittstellen und administrativen Zugänge.

polargold kann diese Unterlagen gemeinsam mit der Kunden-IT, dem Hostingpartner und weiteren beteiligten Dienstleistern aufbauen. Dazu gehören beispielsweise System- und Datenflussübersichten, dokumentierte Integrationen, Zuständigkeitsmatrizen sowie abgestimmte Update- und Eskalationsprozesse. Vorhandene Dokumentation prüfen wir dabei gegen die tatsächlich betriebene Plattform.

Ein Zertifikat allein beantwortet diese projektspezifischen Fragen nicht. Es kann ein Baustein der Bewertung sein, ersetzt aber weder die technische Bestandsaufnahme noch eine eindeutige Aufgabenteilung.

Warnsignale bei bestehenden Plattformen

Handlungsbedarf besteht häufig, wenn niemand eine vollständige Übersicht der angebundenen Systeme besitzt, administrative Konten gemeinsam genutzt werden oder Updates nur bei akuten Fehlern erfolgen. Weitere Warnsignale sind ungeprüfte Backups, nicht dokumentierte Schnittstellen, unklare Unterauftragnehmer und fehlende Kontaktwege für Schwachstellen oder Sicherheitsvorfälle.

Wenn wir eine bestehende Pimcore- oder Portalplattform übernehmen, beginnen wir deshalb nicht sofort mit neuen Funktionen. Zuerst klären wir Systemstand, Erweiterungen, Zugänge, Integrationen, Deployment, Wartung und aktuelle Verantwortlichkeiten. Daraus entsteht eine priorisierte technische Arbeitsgrundlage statt einer allgemeinen Sicherheits-Checkliste.

Solche Lücken sind nicht ausschließlich ein NIS-2-Problem. Sie erschweren bereits den normalen Betrieb, verlängern Ausfälle und erhöhen die Abhängigkeit von einzelnen Personen.

Was Unternehmen von uns als Softwarepartner erwarten dürfen

polargold entwickelt und integriert Pimcore-Lösungen, Produktdatenplattformen sowie Kunden- und Self-Service-Portale. Wir begleiten Unternehmen nicht nur bei der technischen Umsetzung. Gemeinsam mit Fachbereich, IT und Informationssicherheit schaffen wir einen klar abgegrenzten Verantwortungsbereich für die Plattform.

  • Wir machen Datenflüsse, Systemabhängigkeiten und technische Verantwortlichkeiten transparent.
  • Wir konzipieren Rollen, Rechte, SSO, Mehrfaktor-Authentifizierung und abgesicherte Integrationen.
  • Wir vereinbaren nachvollziehbare Entwicklungs-, Freigabe-, Update- und Schwachstellenprozesse.
  • Wir planen mit Ihnen Monitoring, Backups, Wiederherstellung und Eskalationswege.
  • Wir bleiben auf Wunsch auch nach dem Go-live für Wartung, Support und Weiterentwicklung verantwortlich.

Damit erhalten Sie nicht nur eine Empfehlungsliste, sondern einen Partner, der priorisierte Maßnahmen in der Plattform tatsächlich umsetzen kann. Wir leisten keine rechtliche Betroffenheitsprüfung und geben keine pauschale NIS-2-Konformitätszusage. Unser Beitrag ist die belastbare technische Grundlage innerhalb Ihres übergeordneten Sicherheitsprozesses.

IT-Dienstleister und Plattformverantwortung einordnen

In einem kostenlosen Erstgespräch klären wir, welche Systeme, Dienstleister und Betriebsaufgaben für Ihre Plattform relevant sind und ob eine technische Bestandsaufnahme sinnvoll ist.

Kostenlose Erstberatung zur Plattform-Sicherheit anfragen

Quellen: § 30 BSIG – Risikomanagementmaßnahmen, § 38 BSIG – Pflichten der Geschäftsleitung, BSI-Informationen zu NIS-2. Der Beitrag ersetzt keine Rechtsberatung.