Wie man Open Source ausbremst, ohne es zu verbieten
Benedikt Langer
6 Min. Lesezeit Das schärfste Argument gegen Chinas beste offene KI kommt von einem Mann bei OpenAI. ...
Zum Beitrag
8 Min. Lesezeit
In vielen Unternehmen gilt der CISO als die Person, die für Sicherheit geradesteht. Diese Vorstellung entlastet die Geschäftsleitung nur scheinbar. Seit NIS2 liegt die Verantwortung ausdrücklich bei den Leitungsorganen und lässt sich nicht wegdelegieren. Managed Security Services lösen das Kapazitätsproblem, nicht das Haftungsproblem. Wer beides verwechselt, kauft operative Entlastung und überschätzt den rechtlichen Schutz.
Das Wichtigste in Kürze
- Verantwortung ist nicht delegierbar. NIS2 verpflichtet die Geschäftsleitung persönlich, Sicherheitsmaßnahmen zu genehmigen und zu überwachen. Den operativen Betrieb darf sie auslagern, die Haftung bleibt im Haus.
- Der MSSP trägt die Kapazität, nicht das Mandat. Ein externer Dienstleister liefert durchgängige Überwachung und knappe Fachkräfte. Die Sicherheitsstrategie und ihre Steuerung gehören weiter ins eigene Haus.
- Tragfähig wird Auslagerung nur mit interner Steuerung. Strategie und Verantwortung bleiben innen, Betrieb und Skalierung können nach außen. Wer diese Trennlinie sauber zieht, gewinnt Entlastung ohne Kontrollverlust.
Verwandt:Cloud-Souveränität wird Vorstandssache/Wer haftet, wenn der KI-Agent handelt
Warum Haftung aus der CISO-Rolle herauswandert
Was ist ein Managed Security Service? Ein Managed Security Service verlagert ausgewählte Sicherheitsaufgaben an einen spezialisierten Dienstleister, den Managed Security Service Provider. Typisch sind dauerhaft besetzte Überwachung, Angriffserkennung und erste Reaktionen auf Vorfälle. Der Anbieter stellt Technik, Prozesse und Fachpersonal, die ein einzelnes Unternehmen oft nicht dauerhaft vorhalten kann.
Das vertraute Muster lautet: Es gibt einen CISO, also ist Sicherheit geregelt. Dieses Muster hat mit der Umsetzung von NIS2 seine Grundlage verloren. Die Richtlinie verpflichtet ausdrücklich die Leitungsorgane, Risikomaßnahmen zu billigen, ihre Umsetzung zu überwachen und sich schulen zu lassen. Sie nennt nicht den CISO als Adressaten, sondern die Geschäftsführung. Damit verschiebt NIS2 Sicherheit aus der Funktionsrolle in die Leitungsverantwortung.
In Deutschland ist diese Vorgabe seit Dezember 2025 über das nationale Umsetzungsgesetz in Kraft. Es sieht persönliche Bußgelder für die Leitungsebene vor, in der Spitze bis zu einer halben Million Euro, dazu in schweren Fällen ein vorübergehendes Tätigkeitsverbot für Führungskräfte. Wer das als reine Formalie liest, unterschätzt die Wirkung. Persönliche Haftung verändert Prioritäten in der Geschäftsleitung stärker als zusätzliche Schulungsformate.
500.000 Euro
persönliches Bußgeld kann die Leitungsebene nach dem deutschen NIS2-Umsetzungsgesetz in der Spitze treffen, zusätzlich zum Unternehmensbußgeld.
Quelle: NIS2-Umsetzungsgesetz (NIS2UmsuCG), in Kraft seit Dezember 2025
Genau hier entsteht das Missverständnis. Viele Häuser reagieren auf den Druck, indem sie einen Dienstleister beauftragen und das Thema damit für erledigt halten. Den Betrieb kann man auslagern. Die Pflicht, zu wissen was abgesichert ist und ob die Maßnahmen wirken, bleibt bei der Leitung. Ein Vertrag mit einem Dienstleister ist kein Haftungsausschluss, sondern ein Werkzeug, das selbst gesteuert werden muss.
Was der MSSP übernimmt und was im Haus bleibt
Managed Security Services wachsen, weil die operative Lücke real ist. Sechzig Prozent der Sicherheitsverantwortlichen nennen den Fachkräftemangel inzwischen als ihre größte Sorge, noch vor der reinen Personalzahl. Allein in der EU fehlen rund 300.000 Fachkräfte. Ein durchgängig besetztes eigenes Lagezentrum ist für die meisten Unternehmen unterhalb der Konzerngröße schlicht nicht finanzierbar.
Diese Lücke füllt ein Dienstleister sinnvoll. Er bündelt knappe Fachleute über viele Kunden und betreibt eine Überwachung im Dauerbetrieb, die ein einzelnes Unternehmen kaum dauerhaft stemmen kann. Entscheidend ist aber die saubere Trennung zwischen dem, was sich auslagern lässt, und dem, was im Haus bleiben muss.
| Funktion | Sinnvoll beim MSSP | Bleibt im Haus |
|---|---|---|
| Überwachung rund um die Uhr | ja, Skaleneffekt | Eskalationswege |
| Angriffserkennung | ja, Werkzeuge und Routine | Kontext zum Geschäft |
| Sicherheitsstrategie | nein, nur Beratung | ja, volle Hoheit |
| Compliance-Nachweis | Zuarbeit und Belege | Verantwortung der Leitung |
| Haftung nach NIS2 | nicht übertragbar | vollständig im Haus |
Die letzte Zeile entscheidet über das Modell. Ein Dienstleister kann die Arbeit übernehmen, die Belege liefern und im Ernstfall schnell reagieren. Den Nachweis gegenüber der Aufsicht, dass angemessene Maßnahmen beschlossen und überwacht wurden, schuldet die Leitung selbst. Wer diese Zeile übersieht, hat ausgelagert und glaubt, abgesichert zu sein.
Wie Hybridsteuerung ohne Kontrollverlust funktioniert
Aus der Trennung folgt ein nüchternes Betriebsmodell. Die Sicherheitsleitung bleibt im Haus, oft als CISO oder, bei kleineren Häusern, als ausgelagerter virtueller CISO mit klarem Mandat. Sie definiert, was geschützt wird, mit welcher Priorität und gegen welche Risiken. Der Dienstleister setzt diese Vorgaben im Betrieb um und meldet zurück.
Damit dieses Modell trägt, braucht es zwei Voraussetzungen, die in der Governance oft fehlen. Erstens eine interne Person mit dem Mandat und der Zeit, den Dienstleister zu steuern. Ein MSSP ohne Gegenüber im Haus liefert Berichte, die niemand liest. Zweitens klar definierte Eskalationswege. Wenn um drei Uhr nachts ein Angriff läuft, muss feststehen, wer im eigenen Haus entscheidet und wer informiert wird. Diese Entscheidung lässt sich nicht im Vorfall klären.
Wo Auslagerung trägt und wo sie bremst?
Ob ein Managed Security Service Entlastung bringt oder ein neues Risiko schafft, entscheidet sich weniger am Anbieter als an der eigenen Vorbereitung. Die folgenden Muster trennen das eine vom anderen.
Was bremst
- Auslagern in der Annahme, damit sei auch die Haftung weg
- Kein interner Verantwortlicher, der den Dienstleister steuert
- Eskalationswege erst im laufenden Vorfall klären
- Vertrag ohne klare Berichts- und Nachweispflichten
Was trägt
- Strategie und Verantwortung bleiben sichtbar im Haus
- Ein benanntes Gegenüber mit Mandat für den Dienstleister
- Eskalationswege vorab definiert und geprobt
- Verträge, die Belege für den Compliance-Nachweis liefern
Der Unterschied zwischen den Spalten ist keine Frage des Budgets. Er ist eine Frage der Klarheit darüber, was man eigentlich einkauft. Ein Managed Security Service ist verlängerte Werkbank für den Sicherheitsbetrieb, nicht der Ersatz für eine Führungsentscheidung. Wer ihn so behandelt, bekommt echte Entlastung. Wer mehr erwartet, kauft ein Risiko mit Rechnung.
Häufige Fragen
Kann ein Unternehmen seine NIS2-Haftung an einen Dienstleister auslagern?
Nein. NIS2 verpflichtet die Leitungsorgane persönlich, Sicherheitsmaßnahmen zu billigen und zu überwachen. Operative Aufgaben lassen sich an einen Managed Security Service Provider übertragen, die Verantwortung und Haftung bleiben bei der Geschäftsleitung. Ein Vertrag ist kein Haftungsausschluss.
Wann lohnt sich ein Managed Security Service?
Vor allem dann, wenn ein durchgängig besetztes eigenes Lagezentrum nicht finanzierbar ist und der Fachkräftemangel die interne Besetzung verhindert. Der Dienstleister bündelt knappe Expertise und liefert eine Überwachung rund um die Uhr. Für Unternehmen unterhalb der Konzerngröße ist das oft der einzige realistische Weg zu einem belastbaren Betrieb.
Was muss trotz Auslagerung im eigenen Haus bleiben?
Die Sicherheitsstrategie, die Steuerung des Dienstleisters, die Definition der Eskalationswege und der Compliance-Nachweis gegenüber der Aufsicht. Es braucht eine interne Person mit Mandat, die den Dienstleister führt. Ohne dieses Gegenüber bleiben die Berichte des Anbieters folgenlos.
Was ist ein virtueller CISO?
Ein virtueller CISO ist eine ausgelagerte Sicherheitsleitung, die auf Mandatsbasis arbeitet, statt fest angestellt zu sein. Für kleinere Unternehmen, die keinen eigenen CISO finanzieren können, bringt das Führungskompetenz ins Haus. Wichtig ist ein klares Mandat, damit die Rolle steuern kann und nicht nur berät.
Welche Frage gehört vor jeden MSSP-Vertrag?
Wer im eigenen Haus steuert diesen Dienstleister, und welche Nachweise liefert er für unseren Compliance-Bericht? Steht die Antwort nicht vor der Unterschrift fest, entsteht eine Auslagerung ohne Gegenüber. Dann verschiebt der Vertrag das Problem, statt es zu lösen.
Weiterlesen auf Digital Chiefs
Digital ChiefsTechnische Schuld: Warum der Vorstand jetzt handeln mussDigital ChiefsDatenräume: Wo Smart Industry und Smart City zusammenwachsenDigital ChiefsZero Trust braucht Prozesswissen, nicht nur ToolsMehr aus dem MBF Media Netzwerk
cloudmagazinPlatform Engineering für Compliance: IDPs erzwingen NIS2 und DORA mybusinessfutureGPAI wird zur Doku-Falle im Mittelstand securitytodayNIS2 wird vollstreckt: Erste Verfahren, persönliche HaftungBildquelle: KI-generiert (Juni 2026)