Instructure/Canvas-Verletzung - Die Konsequenzen für IT-Anbieter

Instructure/Canvas-Verletzung und NIS2/Cybersicherheitsgesetz – Konsequenzen für IT-Anbieter

Was ist passiert?

Am 2. Mai 2026 bestätigte Instructure einen Sicherheitsvorfall in Canvas, bei dem möglicherweise studentische Daten, einschließlich Namen, E-Mail-Adressen, Studentenausweise und Nachrichten, offengelegt wurden. Insgesamt waren 31 schwedische Hochschulen betroffen, die alle Canvas über SUNET bezogen haben.

Wer trägt die Verantwortung?

Drei Akteure sind involviert: Instructure (der Softwareanbieter), SUNET (schwedischer Vermittler und Beschaffungsstelle) und die Universitäten (Endkunden). Gemäß dem Cybersicherheitsgesetz trägt SUNET in Schweden die größte Verantwortung:

Haftung in der Lieferkette. Das Cybersicherheitsgesetz verlangt von Organisationen, Sicherheitsanforderungen an Lieferanten und Subunternehmer zu stellen, die digitale Dienste erbringen. SUNET könnte daraufhin überprüft werden, ob sein Vertrag mit Instructure angemessene Anforderungen enthielt.

Meldung von Vorfällen. Im Falle eines schwerwiegenden Vorfalls muss der Betreiber innerhalb von 24 Stunden eine Frühwarnung, innerhalb von 72 Stunden eine detailliertere Meldung, einen Fortschrittsbericht, wenn der Vorfall noch andauert, und schließlich einen Abschlussbericht einreichen.

Sanktionen. Die Geschäftsleitung kann persönlich für Mängel haftbar gemacht werden, und die Organisation riskiert erhebliche finanzielle Strafen basierend auf dem globalen Umsatz.

MSPs und kritische IT-Anbieter stehen vor genau der gleichen Gefährdung

Dies ist nicht nur SUNETs Problem. Als MSP oder IT-Anbieter im öffentlichen Sektor; Schulen, Gemeinden, Regionen, Regierungsbehörden. Sie sind in genau der gleichen Lage. Sie sind das Bindeglied zwischen einer zugrunde liegenden Plattform und einem Endkunden, der vom Gesetz abgedeckt wird.

Und hier ist, was wirklich Aufmerksamkeit erregen sollte: Die Verletzung erfolgte nicht bei den schwedischen Universitäten, sondern bei deren Anbieter in den USA.

Dennoch tragen die schwedischen Akteure in der Kette die Meldepflichten, sind der Prüfung ausgesetzt und riskieren Sanktionen. Als kritischer IT-Anbieter können Sie hohe Geldstrafen für die Sicherheitsversagen eines anderen erhalten, wenn Sie nicht über Folgendes verfügen:

• Dokumentierte Sicherheitsanforderungen an Ihre Subunternehmer in Verträgen
• Einen Notfallreaktionsplan mit den engen Fristen (24/72 Stunden)
• Prozesse zur kontinuierlichen Überwachung und Nachverfolgung der Sicherheitslage Ihrer Lieferanten

Betreiber müssen auch selbst identifizieren, dass sie abgedeckt sind und sich bei der schwedischen Behörde für Zivilschutz und Notfallplanung registrieren. Es wird keine Behörde anklopfen. Das alleinige Versäumnis dieses Schritts kann Aufsichtsmaßnahmen auslösen.

Die Bußgelder sind nicht symbolisch: Für wesentliche Einrichtungen können Sanktionen 10 Millionen Euro oder 2 % des globalen Jahresumsatzes erreichen. Für wichtige Einrichtungen liegt die Obergrenze bei 7 Millionen Euro oder 1,4 %. Der Canvas-Fall ist eine konkrete Veranschaulichung, wie die Verordnung in der Praxis greift, und ein weiterer Weckruf für die gesamte schwedische IT-Lieferindustrie.