Ratgeber

Fernwartung und NIS2

Seit Dezember 2025 gilt in Deutschland das neue BSI-Gesetz. Es verlangt von besonders wichtigen und wichtigen Einrichtungen Maßnahmen, die den Fernzugriff direkt betreffen: Zugriffskontrolle, Multi-Faktor-Authentifizierung, Kryptografie und die Sicherheit der Lieferkette. Diese Seite ordnet ein und nennt die Quellen.

Keine Rechtsberatung. Diese Seite gibt den Gesetzesstand vom 19.10.2026 vereinfacht wieder. Ob und wie Ihr Unternehmen betroffen ist, klären Sie mit Ihrer Rechtsberatung; maßgeblich ist der Gesetzestext in der jeweils geltenden Fassung (Quellen).

NIS2 in Deutschland: der Stand

Die EU-Richtlinie 2022/2555 (NIS-2) verlangt Maßnahmen für ein hohes Cybersicherheitsniveau¹.
Deutschland hat sie mit dem Gesetz vom 2. Dezember 2025 umgesetzt (BGBl. 2025 I Nr. 301). Es ist am 6. Dezember 2025 in Kraft getreten². Die Pflichten der Unternehmen stehen im neuen BSI-Gesetz (BSIG)³.
Wer betroffen ist, regelt § 28 BSIG: „besonders wichtige“ und „wichtige Einrichtungen“ nach Sektor (Anlagen 1 und 2) und Größe, in vielen Sektoren ab 50 Beschäftigten oder ab bestimmten Umsatz- und Bilanzgrenzen. Eine erste Einschätzung gibt die Betroffenheitsprüfung des BSI⁴.
Betroffene Einrichtungen müssen sich beim BSI registrieren (§ 33), erhebliche Sicherheitsvorfälle melden (§ 32: spätestens nach 24 Stunden, 72 Stunden und einem Monat), und die Geschäftsleitung muss die Maßnahmen umsetzen, überwachen und sich regelmäßig schulen lassen (§ 38).

Was § 30 BSIG für die Fernwartung bedeutet

§ 30 BSIG verlangt geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen und zählt in Absatz 2 zehn Bereiche auf, die mindestens dazugehören³. Fernwartung ist ein Zugang ins Netz von außen und berührt mehrere davon. Die Tabelle zeigt, was BrowserDesk dafür mitbringt — die Maßnahmen selbst und ihre Dokumentation bleiben Ihre Aufgabe.

Bereich nach § 30 Abs. 2 BSIG	Was BrowserDesk mitbringt
Zugriffskontrolle (Nr. 9)	Rollen für Konsolenkonten, Zugänge mit eigenen Geräten und Benutzern, Bestätigung am Gerät, Steuern nur aus dem eigenen Zugang, Zugriff nur aus vertrauten Netzen, Trennung nach Leerlauf und Höchstdauer je Sitzung
Multi-Faktor-Authentifizierung (Nr. 10)	zweiter Faktor (TOTP) für Konsolenkonten und für Mitglieder eines Zugangs, je Zugang als Pflicht einstellbar; Anmeldung über OIDC oder LDAP/AD möglich
Kryptografie (Nr. 8)	Bild und Eingabe Ende zu Ende verschlüsselt (DTLS/SRTP), TLS 1.3 zum Relay, Gerätezertifikate (mTLS); die Verbindungsanzeige zeigt den Weg
Bewältigung von Sicherheitsvorfällen (Nr. 2)	Prüfprotokoll mit Hash-Kette und Anker außer Haus, auf Wunsch Sitzungsaufzeichnung; abgewiesene Anmeldeversuche von Geräten stehen in der Konsole
Lieferkette (Nr. 4)	Relay auf Wunsch im eigenen Haus; signierte Updates; Software-Stückliste (SBOM) und Schwachstellenprüfung je Fassung auf Anfrage; AV-Vertrag; Sitz in Deutschland

Was BrowserDesk nicht hat: eine Zertifizierung wie ISO/IEC 27001 oder SOC 2. Verlangt Ihr Einkauf solche Nachweise, prüfen Sie das vorab. Die Unterlagen für Einkauf und Datenschutz nennt die Anleitung Nachweise für Einkauf und Datenschutz.

Fernzugriff von Dienstleistern: die Lieferkette

Greift ein IT-Dienstleister per Fernwartung auf Ihre Systeme zu, gehört er zu Ihrer Lieferkette (§ 30 Abs. 2 Nr. 4 BSIG). Diese Fragen helfen bei der Bewertung — für jedes Werkzeug, nicht nur für BrowserDesk:

Über welchen Server laufen die Sitzungen, und wer betreibt ihn? Lässt er sich im eigenen Haus betreiben?
Sieht die Person am Gerät jede Sitzung, und muss sie zustimmen? Lässt sich der Zugriff auf feste Netze beschränken?
Ist ein zweiter Faktor für alle Techniker Pflicht, und endet eine Sitzung nach Leerlauf von selbst?
Lässt sich nachweisen, wer wann auf welches Gerät zugegriffen hat — auch nach Monaten?
Wie kommen Updates, sind sie signiert, und gibt es eine Software-Stückliste?

Wie Sie Zugriffe mit BrowserDesk belegen, steht in der Anleitung Nachweisen, wer wann was getan hat; den Datenschutz behandelt die Seite DSGVO-konforme Fernwartung.

Häufige Fragen

Gilt NIS2 in Deutschland schon?

Ja. Das Gesetz zur Umsetzung der NIS-2-Richtlinie vom 2. Dezember 2025 (BGBl. 2025 I Nr. 301) ist am 6. Dezember 2025 in Kraft getreten. Die Pflichten stehen im neuen BSI-Gesetz (BSIG).

Woran erkenne ich, ob mein Unternehmen betroffen ist?

Maßgeblich sind Sektor und Größe nach § 28 BSIG mit den Anlagen 1 und 2. Eine erste Einschätzung gibt die NIS-2-Betroffenheitsprüfung des BSI; ihr Ergebnis ist laut BSI nur eine Orientierungshilfe und rechtlich nicht bindend.

Schreibt NIS2 Multi-Faktor-Authentifizierung für die Fernwartung vor?

§ 30 Abs. 2 Nr. 10 BSIG nennt Lösungen zur Multi-Faktor-Authentifizierung als Maßnahme. Welche Maßnahmen im Einzelfall verhältnismäßig sind, richtet sich nach § 30 Abs. 1 — klären Sie das für Ihr Haus mit Ihrer Rechtsberatung.

Ist BrowserDesk „NIS2-zertifiziert“?

Nein. NIS2 verpflichtet Einrichtungen, nicht Werkzeuge. BrowserDesk hat auch keine Zertifizierung wie ISO/IEC 27001 oder SOC 2. Welche Funktionen BrowserDesk für Ihre Maßnahmen mitbringt, steht in der Tabelle auf dieser Seite.

Wie schnell muss ein Sicherheitsvorfall gemeldet werden?

Nach § 32 BSIG: eine frühe Erstmeldung spätestens 24 Stunden nach Kenntnis eines erheblichen Sicherheitsvorfalls, eine Meldung spätestens nach 72 Stunden und eine Abschlussmeldung spätestens einen Monat danach.

Hilft ein eigenes Relay bei NIS2?

Es verkleinert die Lieferkette: Sitzungen laufen dann nur über Ihren Server, und wir verarbeiten keine Sitzungsdaten. Die Pflichten aus dem BSIG bleiben bei Ihnen.

Quellen

Richtlinie (EU) 2022/2555 vom 14.12.2022 (NIS-2-Richtlinie), ABl. L 333 vom 27.12.2022, Art. 21: eur-lex.europa.eu/eli/dir/2022/2555/oj/deu (abgerufen am 19.10.2026)
Gesetz zur Umsetzung der NIS-2-Richtlinie und zur Regelung wesentlicher Grundzüge des Informationssicherheitsmanagements in der Bundesverwaltung vom 02.12.2025, BGBl. 2025 I Nr. 301: recht.bund.de/eli/bund/bgbl-1/2025/301 (abgerufen am 19.10.2026)
BSI-Gesetz (BSIG) in der geltenden Fassung, §§ 28, 30, 32, 33, 38: gesetze-im-internet.de/bsig_2025 (abgerufen am 19.10.2026)
BSI, NIS-2-Betroffenheitsprüfung: bsi.bund.de/dok/nis-2-betroffenheitspruefung (abgerufen am 19.10.2026)

Weiterlesen

Ratgeber Glossar Fernwartung Fernwartung kostenlos DSGVO-konforme Fernwartung Fernwartung selbst hosten TeamViewer-Alternative AnyDesk-Alternative RustDesk-Alternative Splashtop-Alternative Fernwartung für IT-Dienstleister