NIS2 verpflichtet betroffene Unternehmen, die Sicherheit ihrer Lieferkette zu managen (§ 30 BSIG). Deshalb reichen sie Anforderungen vertraglich an Dienstleister und Zulieferer weiter — über Sicherheitsfragebögen, Vertragsklauseln, Audits und Zertifikatsforderungen. Zulieferer haften dann vertraglich, nicht gesetzlich. Wer sein Sicherheitsniveau dokumentiert nachweisen kann, verkürzt Prüfungen und sichert Aufträge.
„Wir haben nur 20 Mitarbeitende, NIS2 betrifft uns nicht“ — dieser Satz stimmt oft nur zur Hälfte. Direkt betroffen sind Sie unterhalb der Schwellenwerte meist nicht. Aber wenn Ihre Kunden unter das Gesetz fallen, erreicht Sie NIS2 auf anderem Weg: über Sicherheitsfragebögen im Posteingang, neue Vertragsanhänge im Rahmenvertrag und die Frage im Jahresgespräch, wie es denn um Ihre Informationssicherheit stehe.
Dieser Artikel erklärt, warum das Gesetz die Lieferkette ausdrücklich einbezieht, mit welchen Instrumenten regulierte Unternehmen ihre Anforderungen weiterreichen, welche Zulieferer besonders im Fokus stehen — und wie Sie als Lieferant reagieren, ohne jede Klausel ungeprüft zu unterschreiben oder in überdimensionierte Sicherheitsprojekte zu laufen.
Warum NIS2 die Lieferkette ausdrücklich einbezieht
Die Sicherheit der Lieferkette ist eine der zehn Pflichtmaßnahmen des § 30 BSIG: Betroffene Einrichtungen müssen sicherheitsbezogene Aspekte der Beziehungen zu ihren unmittelbaren Anbietern und Diensteanbietern berücksichtigen — also Risiken bewerten, Anforderungen stellen und deren Einhaltung nachhalten.
Der Grund ist empirisch: Ein erheblicher Teil erfolgreicher Cyberangriffe läuft über Dritte. Kompromittierte Fernwartungszugänge, Schadcode in Software-Updates, gekaperte IT-Dienstleister mit Zugriff auf hunderte Kundennetze — bekannte Vorfälle der letzten Jahre haben gezeigt, dass die beste eigene Firewall wenig nützt, wenn der Angreifer durch die Tür des Dienstleisters kommt. Der Gesetzgeber zieht daraus die Konsequenz: Wer reguliert ist, muss seine Zulieferer in das eigene Risikomanagement einbeziehen.
Für die Praxis bedeutet das eine Kaskade: Das Gesetz verpflichtet die rund 29.500 direkt betroffenen Einrichtungen — und diese verpflichten vertraglich ihre Lieferanten. So erreicht NIS2 einen Wirkungskreis, der weit über die gesetzlich erfassten Unternehmen hinausgeht. Genau das ist beabsichtigt.
So kommen die Anforderungen bei Ihnen an
Regulierte Unternehmen nutzen vier typische Instrumente, um ihre Lieferkettenpflicht zu erfüllen. Als Zulieferer sollten Sie alle vier kennen:
| Instrument | Was verlangt wird | Typischer Aufwand für Sie |
|---|---|---|
| Sicherheitsfragebogen | Selbstauskunft zu Maßnahmen: Backups, MFA, Patch-Management, Verschlüsselung, Notfallprozesse | Stunden bis Tage — deutlich weniger, wenn Antworten einmal sauber dokumentiert vorliegen |
| Vertragsklauseln / Sicherheitsanhang (AVV-ähnlich) | Verbindliche Mindestmaßnahmen, Informationspflichten bei Vorfällen (oft 24–72 h), Auditrechte, teils Vertragsstrafen | Prüfung nötig — Fristen und Pflichten müssen zu Ihren Prozessen passen |
| Lieferantenaudit | Prüfung Ihrer Maßnahmen vor Ort oder remote durch den Kunden oder dessen Beauftragte | 1–2 Tage plus Vorbereitung; entfällt oft, wenn ein anerkannter Nachweis vorliegt |
| Zertifikatsforderung | Nachweis eines ISMS, meist ISO 27001; je nach Kunde akkreditiert oder als glaubwürdiger Systemnachweis | Mehrmonatiger Systemaufbau, dann jährliche Pflege — dafür entfallen viele Einzelprüfungen |
Die Instrumente werden häufig kombiniert: erst der Fragebogen, bei kritischen Leistungen zusätzlich Vertragsklauseln, bei hohem Risiko Audit oder Zertifikat. Je zentraler Ihre Leistung für den Kunden ist, desto weiter oben in dieser Eskalation landen Sie.
Welche Zulieferer besonders im Fokus stehen
Nicht jeder Lieferant wird gleich intensiv geprüft. Die Risikologik der Kunden stellt vor allem auf Zugriff und Kritikalität ab. Im Fokus stehen:
- IT-Dienstleister und Managed-Service-Provider: Wer Systeme des Kunden administriert, hat privilegierten Zugriff — und ist damit das relevanteste Lieferkettenrisiko überhaupt. Größere MSPs fallen zudem oft selbst unter NIS2 (Sektor IKT-Dienstleistungsmanagement).
- Softwareanbieter: Software, die beim Kunden läuft oder Daten verarbeitet, ist ein direkter Angriffsvektor — Stichwort kompromittierte Updates.
- Alle mit Fernzugriff: Maschinenhersteller mit Fernwartung, Gebäudetechniker mit Aufschaltung, Abrechnungsdienstleister mit Systemzugang.
- Lieferanten kritischer Komponenten: Wer Teile liefert, deren Ausfall die Produktion des Kunden stoppt, wird unter Kontinuitätsgesichtspunkten geprüft — auch ohne IT-Zugriff.
- Verarbeiter sensibler Daten: Lohnbüros, Aktenvernichter, Archivdienste, Kanzleien und Agenturen mit Zugriff auf vertrauliche Informationen.
Wenn Sie sich in dieser Liste wiederfinden, ist die Frage nicht, ob Anforderungen kommen, sondern wann — und ob Sie dann vorbereitet antworten können oder unter Zeitdruck improvisieren müssen. Erfahrungsgemäß kommen die Anforderungen gebündelt: Sobald der erste große Kunde seine Lieferantenprüfung startet, ziehen die übrigen binnen weniger Quartale nach, weil deren Einkaufsabteilungen denselben gesetzlichen Druck spüren.
Ihr rechtlicher Status: vertraglich gebunden, nicht gesetzlich
Für nicht direkt betroffene Zulieferer ist die Unterscheidung wichtig: Die NIS2-Pflichten — Registrierung, Meldefristen, Bußgelder — treffen Sie nicht. Das BSI ist nicht Ihre Aufsichtsbehörde. Was Sie bindet, sind die Verträge mit Ihren Kunden. Daraus folgen drei praktische Konsequenzen:
- Verhandelbarkeit: Vertragliche Anforderungen sind — anders als Gesetze — verhandelbar. Eine 24-Stunden-Meldefrist an den Kunden, unbegrenzte Auditrechte oder pauschale Vertragsstrafen müssen Sie nicht unbesehen akzeptieren. Angemessene Gegenvorschläge (etwa „unverzüglich, spätestens 48 Stunden“ oder Audits mit Ankündigungsfrist) sind üblich und legitim.
- Haftungsrisiko: Was Sie unterschreiben, gilt. Verletzen Sie zugesagte Sicherheitsmaßnahmen und entsteht dem Kunden daraus Schaden, drohen Schadensersatz und Vertragsstrafen. Sagen Sie deshalb nur zu, was Sie tatsächlich leisten und belegen können.
- Marktrealität: Verhandlungsspielraum endet dort, wo der Kunde Alternativen hat. Wer Sicherheitsnachweise kategorisch verweigert, fliegt bei der nächsten Lieferantenbewertung aus dem Rennen — nicht wegen eines Gesetzes, sondern wegen der Einkaufsrichtlinie.
Die kluge Position liegt dazwischen: ein belastbares, ehrlich dokumentiertes Sicherheitsniveau aufbauen und vertraglich nur das zusagen, was diesem Niveau entspricht.
Die richtige Reaktion: Fünf Schritte für Zulieferer
So bereiten Sie sich strukturiert vor, bevor der erste kritische Fragebogen kommt — oder als Aufarbeitung, wenn er schon da ist:
- Eigene direkte Betroffenheit ausschließen: Prüfen Sie zuerst, ob Sie nicht doch selbst unter NIS2 fallen — etwa als Managed-Service-Provider oder über die Konzernzurechnung. Das ändert die Rechtslage grundlegend.
- Basismaßnahmen umsetzen: Multi-Faktor-Authentifizierung, getestete Offline-Backups, zeitnahes Patchen, Berechtigungskonzept, Grundschulung der Mitarbeitenden. Das ist der Kern fast jedes Kundenfragebogens — und schützt zuerst Sie selbst.
- Dokumentieren: Halten Sie Ihre Maßnahmen in einem kompakten Sicherheitskonzept fest. Damit beantworten Sie Fragebögen in Stunden statt Tagen und wirken im Audit vorbereitet statt ertappt.
- Verträge bewusst verhandeln: Prüfen Sie Meldefristen, Auditrechte und Haftungsklauseln, bevor Sie unterschreiben. Sichern Sie nur zu, was Sie leisten.
- Nachweis abwägen: Ab einer gewissen Zahl anspruchsvoller Kunden lohnt ein ISMS nach ISO 27001 — es bündelt die Einzelanforderungen in einem System. Ob ein akkreditiertes Zertifikat nötig ist, bestimmen Ihre Kunden: Wo Ausschreibungen oder Konzernrichtlinien es ausdrücklich fordern, führt kein Weg daran vorbei. Wo Kunden „nachvollziehbare Sicherheit“ verlangen, kann auch eine nicht akkreditierte Zertifizierung die Systematik samt externem Auditblick liefern — zu deutlich geringeren Kosten, aber ohne formale Anerkennung als akkreditierter Nachweis. Diese Grenze sollten Sie kennen und offen kommunizieren.
Zur Priorisierung ein pragmatischer Maßstab: Rechnen Sie den Umsatzanteil Ihrer regulierten Kunden zusammen. Liegt er über einem Drittel, ist Informationssicherheit für Sie faktisch Vertriebsvoraussetzung, und ein systematischer Aufbau lohnt fast immer. Liegt er darunter, genügt zunächst die dokumentierte Basis — mit der Option, bei wachsender Nachfrage aufzurüsten. Wichtig ist nur, die Entscheidung bewusst zu treffen statt sie vom nächsten Fragebogen erzwingen zu lassen — und sie jährlich zu überprüfen, wenn sich Ihre Kundenstruktur verändert.
Vom Kostenfaktor zum Vertriebsargument
Es lohnt sich, die Perspektive zu drehen: Die Lieferkettenanforderungen sind für alle Ihre Wettbewerber gleich. Wer sie früh und sichtbar erfüllt, macht aus einer Pflicht einen Vorteil:
- Schnellere Vergaben: Ein vorbereiteter Sicherheitsnachweis verkürzt die Lieferantenfreigabe von Wochen auf Tage — ein reales Argument, wenn der Kunde schnell besetzen will.
- Bestandsschutz: Einkaufsabteilungen konsolidieren Lieferanten auch nach Prüfaufwand. Wer Nachweise liefert, bleibt gelistet, wenn andere aussortiert werden.
- Preisargument: Nachgewiesene Sicherheit rechtfertigt Preise, weil sie beim Kunden Prüf- und Risikoaufwand senkt — das lässt sich im Jahresgespräch beziffern.
- Eigenschutz: Der oft übersehene Nutzen: Die geforderten Maßnahmen schützen zuerst Ihr eigenes Unternehmen. Ein Ransomware-Vorfall trifft einen 20-Personen-Betrieb ohne getestete Backups existenziell — ganz ohne NIS2.
Realistisch bleibt: Der Aufbau kostet Zeit und Geld, und nicht jeder Kleinbetrieb braucht sofort ein zertifiziertes ISMS. Aber die Richtung ist eindeutig — Sicherheitsnachweise werden im B2B-Geschäft zur Eintrittskarte, so wie es Qualitätsnachweise nach ISO 9001 seit Jahren sind. Wer die Entwicklung aktiv gestaltet, zahlt weniger als der, den sie überrollt.
Häufige Fragen
Direkt in der Regel nicht, wenn Sie unter 50 Mitarbeitenden und 10 Millionen Euro Umsatz bleiben und kein Sonderfall wie ein DNS- oder Vertrauensdienst vorliegt. Indirekt aber häufig: NIS2-regulierte Kunden müssen ihre Lieferkette absichern und reichen Anforderungen vertraglich weiter — über Fragebögen, Sicherheitsklauseln und Nachweisforderungen. Diese binden Sie zivilrechtlich.
Nein — die gesetzliche Meldepflicht trifft nur direkt betroffene Einrichtungen. Als Zulieferer können Sie aber vertraglich verpflichtet sein, Vorfälle Ihrem Kunden zu melden, oft binnen 24 bis 72 Stunden, damit dieser seine eigene BSI-Meldung fristgerecht abgeben kann. Prüfen Sie solche Klauseln vor Unterschrift und richten Sie intern eine passende Meldekette ein.
Ja — als privatrechtliche Vertragsbedingung ist das zulässig und zunehmend üblich, gesetzlich vorgeschrieben ist es nicht. Verhandelbar ist es wie jede Vertragsbedingung: Manche Kunden akzeptieren alternativ einen ausgefüllten Sicherheitsfragebogen, ein Audit oder ein nicht akkreditiertes Zertifikat als Systemnachweis. Klären Sie konkret, welchen Nachweis der Kunde wirklich braucht, bevor Sie investieren.
Das hängt von Ihrer Kundenstruktur ab. Bei einzelnen Anfragen genügt oft ein gut dokumentiertes Sicherheitskonzept mit soliden Basismaßnahmen. Wenn mehrere Kunden regelmäßig Nachweise fordern oder Sie privilegierten Zugriff auf Kundensysteme haben, bündelt ein ISMS nach ISO 27001 die Anforderungen effizienter als viele Einzelantworten — und ein Zertifikat ersetzt zunehmend die Einzelaudits.
Vor allem vier Punkte: Meldefristen bei Vorfällen (sind 24 Stunden für Sie leistbar?), Umfang der zugesagten Maßnahmen (nur zusagen, was Sie nachweislich umsetzen), Auditrechte (Ankündigungsfristen und Kostentragung regeln) und Haftung samt Vertragsstrafen (Begrenzung verhandeln). Vertragliche Anforderungen sind verhandelbar — anders als Gesetze.
Der gemeinsame Nenner fast aller Fragebögen: Multi-Faktor-Authentifizierung für Fernzugriffe, getestete und offline gehaltene Backups, zeitnahes Einspielen von Sicherheitsupdates, geregelte Zugriffsrechte, Mitarbeiterschulungen und ein definierter Prozess für Sicherheitsvorfälle inklusive Information des Kunden. Wer diese Basis dokumentiert vorweisen kann, besteht die meisten Lieferantenprüfungen.
In 4–6 Wochen zum Zertifikat – zum Festpreis.
Kostenloses Erstgespräch: Wir sagen Ihnen ehrlich, ob eine nicht akkreditierte Zertifizierung für Ihren Fall reicht – oder eben nicht.
Erstgespräch vereinbaren
Thomas KowollInhaber und Leitung Zertifizierung bei KCERT. Auditiert Managementsysteme nach ISO 9001, 14001, 45001, 27001 und 50001. Mehr über KCERT