NIS 2 Lieferkette: Grundlagen
Artikel 21 Abs. 2 Buchst. d NIS 2 (in Deutschland § 30 Abs. 2 Nr. 4 BSIG) verpflichtet regulierte Unternehmen zu Maßnahmen für die Sicherheit der Lieferkette, einschließlich der sicherheitsbezogenen Aspekte der Beziehungen zu ihren unmittelbaren Anbietern und Diensteanbietern. Diese Seite erklärt die Grundlagen: was die Regel verlangt, wen sie erreicht, was Ihre Kunden fragen können und wie Zulieferer Cybersicherheit nachweisen, ohne selbst reguliert zu werden.
Warum auch kleine Zulieferer von NIS2 betroffen sind
NIS2 (Art. 21 Abs. 2 Buchst. d NIS-2-Richtlinie, in Deutschland § 30 Abs. 2 Nr. 4 BSIG) verpflichtet jede besonders wichtige und wichtige Einrichtung (laut BSI rund 29.500 in Deutschland) zu Maßnahmen für die Sicherheit der Lieferkette, einschließlich der sicherheitsbezogenen Aspekte der Beziehungen zu unmittelbaren Anbietern und Diensteanbietern. Bei der Auswahl muss sie die spezifischen Schwachstellen jedes unmittelbaren Anbieters und die Gesamtqualität der Produkte und der Cybersicherheitspraxis berücksichtigen (Art. 21 Abs. 3). Verträge sind der übliche Weg: die Gesetzesbegründung nennt vertragliche Vereinbarungen mit Zulieferern als Beispiel.
Wenn Ihr Unternehmen weniger als 50 Mitarbeiter hat und Umsatz und Bilanzsumme nicht beide über 10 Mio. EUR liegen, sind Sie in der Regel nicht direkt von NIS2 reguliert. Einige Einrichtungsarten sind unabhängig von ihrer Größe erfasst, etwa Vertrauensdiensteanbieter, DNS-Diensteanbieter, TLD-Registries, kleine Anbieter öffentlicher Telekommunikation und Betreiber kritischer Anlagen (§ 28 BSIG). Wenn Sie IT-Dienstleistungen, Software, Komponenten, Logistik oder andere Services an ein reguliertes Unternehmen liefern, können NIS2-Anforderungen über Ihre Verträge auf Sie zukommen.
§ 30 Abs. 2 Nr. 4 BSIG: Sicherheit in der Lieferkette
Regulierte Einrichtungen müssen Maßnahmen zur „Sicherheit der Lieferkette einschließlich sicherheitsbezogener Aspekte der Beziehungen zu unmittelbaren Anbietern oder Diensteanbietern“ ergreifen (§ 30 Abs. 2 Nr. 4 BSIG, in Umsetzung von Art. 21 Abs. 2 Buchst. d NIS-2-Richtlinie). Die Pflicht bleibt bei der regulierten Einrichtung; ein Zulieferer übernimmt Pflichten nur über das, was er mit diesem Kunden vereinbart.
Vertragliche Anforderungen
Viele NIS2-regulierte Unternehmen erfüllen ihre Lieferkettenpflicht über Lieferantenverträge; die Gesetzesbegründung nennt als Beispiele Vereinbarungen zu Risikomanagementmaßnahmen, zur Bewältigung von Sicherheitsvorfällen und zum Patchmanagement. Rechnen Sie mit solchen Klauseln beim nächsten Vertrag oder der nächsten Verlängerung.
Lieferanten-Audits und Fragebögen
Ihre Kunden können Sicherheitsfragebögen senden und Audits durchführen. Antworten, die Sie schon aufgeschrieben haben, sind schnell gegeben.
Meldepflichten bei Vorfällen
Führt ein Sicherheitsvorfall bei Ihnen zu einem erheblichen Sicherheitsvorfall bei einem NIS2-regulierten Kunden, muss dieser ihn dem BSI melden: frühe Erstmeldung innerhalb von 24 Stunden, Meldung innerhalb von 72 Stunden, Abschlussmeldung einen Monat danach (§ 32 BSIG). Um diese Fristen zu halten, muss er schnell von Ihnen erfahren.
Wettbewerbsvorteil
Wenn ein reguliertes Unternehmen zwischen zwei Zulieferern wählt und einer kann NIS2-konforme Sicherheit nachweisen, der andere nicht: ist die Wahl offensichtlich. Compliance wird zum Verkaufsargument.
Risikobewertung
Identifizieren und dokumentieren Sie Risiken für Systeme, die Sie für Kundenarbeit nutzen. Muss nicht komplex sein: eine strukturierte Liste mit Behandlungsplänen genügt.
Zugangskontrolle
Wer hat Zugang zu Kundendaten und -systemen? Rollenbasierte Zugriffe, MFA für Fernzugriff und dokumentierte Benutzerverwaltung.
Vorfallbehandlung
Ein dokumentierter Prozess zur Erkennung, Reaktion und Meldung von Sicherheitsvorfällen. Eine gesetzliche Frist für Zulieferer gibt es nicht; maßgeblich ist, was Sie mit dem Kunden vereinbaren, und dessen eigene Frist beginnt bei 24 Stunden.
Geschäftskontinuität
Was passiert, wenn Ihre Systeme ausfallen? Backup-Strategie, Wiederherstellungsverfahren und getestete Pläne zur weiteren Lieferfähigkeit.
Richtlinien und Nachweise
Schriftliche Sicherheitsrichtlinien, Schulungsnachweise und ein Audit-Trail als Beweis, dass Sie Ihre eigenen Regeln befolgen. Das ist es, was Auditoren tatsächlich prüfen.
Betroffenheit prüfen
Nutzen Sie unsere kostenlose Betroffenheitsprüfung, um Ihren NIS2-Status zu klären. Auch wenn Sie nicht direkt betroffen sind: Identifizieren Sie, welche Ihrer Kunden NIS2-reguliert sind: diese Verträge werden neue Anforderungen enthalten.
Gap-Analyse durchführen
Vergleichen Sie Ihre aktuellen Sicherheitspraktiken mit den 10 Maßnahmen aus § 30 BSIG. Die meisten kleinen Unternehmen tun einiges davon bereits informell: die Lücke ist meist die Dokumentation, nicht die Praxis.
Grundlagen umsetzen
Beginnen Sie mit den wirkungsvollsten Maßnahmen: Zugangskontrolle, Backup-Strategie, Incident-Response-Prozess. Die nisd2.eu-Plattform führt Sie mit vorgefertigten Vorlagen durch jede Anforderung.
Nachweispaket aufbauen
Wenn Ihr Kunde einen Sicherheitsfragebogen schickt, brauchen Sie fertige Antworten. Richtlinien, Schulungsnachweise, Risikobewertungen und technische Maßnahmen: alles dokumentiert und exportierbar.
Jährlich überprüfen
NIS2-Compliance ist kein einmaliges Projekt. Planen Sie eine jährliche Überprüfung Ihrer Risiken, aktualisieren Sie Ihre Richtlinien und frischen Sie Mitarbeiterschulungen auf.
Häufig gestellte Fragen
Bin ich als kleiner Zulieferer gesetzlich zur NIS2-Compliance verpflichtet?▾
Nicht direkt: NIS2 gilt für Unternehmen ab 50 Mitarbeitenden ODER (über 10 Mio. EUR Umsatz UND über 10 Mio. EUR Bilanzsumme) in einem regulierten Sektor (EU-Mittelstandsdefinition 2003/361/EG). Einige Einrichtungsarten sind unabhängig von der Größe erfasst (§ 28 BSIG). Allerdings sind Ihre NIS2-regulierten Kunden gesetzlich zu Maßnahmen für die Sicherheit der Lieferkette verpflichtet (§ 30 Abs. 2 Nr. 4 BSIG, Art. 21 Abs. 2 Buchst. d NIS-2). Ihr Kunde kann Anforderungen im Vertrag an Sie weitergeben. Sie werden nicht vom BSI bestraft, aber Sie können Aufträge verlieren.
Was passiert, wenn ich nicht compliant bin?▾
Ihren NIS2-regulierten Kunden drohen Bußgelder bis zu 10 Mio. EUR / 2 % des weltweiten Jahresumsatzes (wesentliche Einrichtungen) oder 7 Mio. EUR / 1,4 % (wichtige Einrichtungen), wenn sie ihre Pflichten zur Lieferkettensicherheit verletzen (§ 65 BSIG). Sie werden entweder Ihre Compliance einfordern oder Sie durch einen Zulieferer ersetzen, der compliant ist. Die praktische Konsequenz ist Geschäftsverlust, kein BSI-Bußgeld.
Was kostet Zulieferer-Compliance?▾
Für ein kleines Unternehmen sind die Hauptkosten Zeit. Wie viel, hängt davon ab, was schon vorhanden ist: das Gesetz verlangt Maßnahmen, die zur Risikoexposition und Größe passen (§ 30 Abs. 1 BSIG), und ein nicht regulierter Zulieferer schuldet nur, was er mit seinen Kunden vereinbart.
Kann ich NIS2-Compliance als Verkaufsargument nutzen?▾
Ja. Wenn Sie NIS2-konforme Sicherheitspraktiken mit dokumentierten Nachweisen vorweisen können, erleichtern Sie Ihrem Kunden die Erfüllung seiner Lieferkettenpflicht.
Was, wenn mein Kunde noch nicht gefragt hat?▾
Das kann kommen. Die BSI-Registrierungsfrist lief am 6. März 2026 ab, und Lieferkettensicherheit ist eine der 10 Maßnahmen aus § 30 Abs. 2 BSIG (Nr. 4). Wer sich vorbereitet, hat die Antwort parat, wenn die Anfrage kommt.
In der Praxis
Wo das im Durchgang vorkommt
Im Durchgang werden daraus Schritte, die Sie ausfüllen, mit dem Gesetz jeweils daneben erklärt. Öffnen Sie einen Schritt, um ihn ausgefüllt am Beispiel einer erfundenen Firma zu sehen.
Lieferkettensicherheit
Aufschreiben, wer für Sie arbeitet
Eine Liste Ihrer Lieferanten und Dienstleister.
Lieferkettensicherheit
Festhalten, was Sie mit Ihren Lieferanten vereinbart haben
Für jeden Lieferanten: Was regelt der Vertrag zur Sicherheit?
Sie sollen sich um NIS2 kümmern?
Am Ende haben Sie alles in einem Dokument: was getan ist, was noch offen ist, und die Freigabe Ihrer Geschäftsführung mit Namen und Datum. Die Texte schreibt die App.
