Lieferkettensicherheit ist einer der 10 Pflichtbereiche der Risikomanagementmaßnahmen unter NIS2. Grundlage ist Artikel 21 Absatz 2 Buchstabe d der NIS2-Richtlinie, in Deutschland umgesetzt durch § 30 Abs. 2 Nr. 4 BSIG. Die Logik dahinter: Angreifer nutzen zunehmend schwächer gesicherte Lieferanten als Einfallstor in gut geschützte Unternehmen — deshalb endet die Sicherheitsverantwortung nicht an der eigenen Firewall.
Die drei Kernpflichten
- Bewerten: Die Cybersicherheit kritischer Lieferanten und Dienstleister systematisch bewerten (Due Diligence)
- Vertraglich regeln: Sicherheitsanforderungen in Verträge aufnehmen — bei Bestandsverträgen über Ergänzungsvereinbarungen
- Regelmäßig überprüfen: Die Einhaltung der Anforderungen fortlaufend kontrollieren, zum Beispiel durch jährliche Überprüfungen
Warum auch kleine Zulieferer betroffen sind
Die Lieferkettenpflichten machen NIS2 zur Kettenreaktion: Auch Unternehmen unter den Schwellenwerten (50 Mitarbeiter oder 10 Mio. Euro Umsatz) bekommen die Anforderungen zu spüren, sobald ein Kunde unter NIS2 fällt. Typisch sind umfangreiche Sicherheitsfragebögen zu ISMS, Incident-Response, Patch-Management, Backups und Zugriffskontrollen. Die Anforderungen können zudem kaskadierend an Sub-Dienstleister weitergereicht werden.
Wer als nicht direkt reguliertes Unternehmen nicht mitzieht, riskiert kein BSI-Bußgeld — wohl aber Vertragsverlust, Schadensersatzforderungen nach einem Vorfall und Ausschluss bei Ausschreibungen. Details dazu im Artikel NIS2 Lieferkette: Warum auch Zulieferer betroffen sind.
Was Sie konkret tun sollten
- Alle IT-Dienstleister und kritischen Lieferanten inventarisieren
- Risikobewertung für jeden kritischen Lieferanten durchführen
- Sicherheitsanforderungen in neue und bestehende Verträge aufnehmen
- Meldepflichten der Lieferanten bei Sicherheitsvorfällen vereinbaren
- Jährliche Überprüfung der Lieferanten-Sicherheit fest einplanen
Als Zulieferer gilt umgekehrt: Bauen Sie die wichtigsten Sicherheitsdokumente proaktiv auf (Informationssicherheitsleitlinie, Incident-Response-Plan, Backup-Richtlinie), bevor der Fragebogen Ihres Kunden kommt — das sichert Aufträge und verschafft einen Wettbewerbsvorteil.
Häufige Fragen
Gilt die Pflicht für alle Lieferanten?
Der Fokus liegt auf kritischen Lieferanten und Dienstleistern, also solchen mit Zugriff auf Ihre Systeme oder Bedeutung für Ihre Dienstleistung. Die Bewertung muss verhältnismäßig zum Risiko sein.
Fällt mein Unternehmen selbst unter NIS2?
Der kostenlose Betroffenheitscheck klärt das in etwa 5 Minuten — inklusive Einschätzung, ob Sie als besonders wichtige oder wichtige Einrichtung gelten.