Die NIS2 Lieferkette ist der Teil des neuen Cybersicherheitsrechts, der die meisten mittelständischen Unternehmen unvorbereitet trifft. Nicht, weil sie selbst reguliert wären – sondern weil ihr größter Kunde es ist. Seit dem 6. Dezember 2025 gilt in Deutschland das NIS2-Umsetzungsgesetz, und mit ihm die Pflicht regulierter Unternehmen, die Cybersicherheit ihrer eigenen Lieferanten zu bewerten und abzusichern. Das Ergebnis landet in Form von Sicherheitsfragebögen, neuen Vertragsklauseln und Nachweispflichten bei Zulieferern und IT-Dienstleistern, die vom Gesetz selbst gar nicht erfasst sind.
Dieser Beitrag zeigt, was § 30 BSIG zur Lieferkette konkret verlangt, woran Sie erkennen, ob Sie als kritischer Lieferant eingestuft werden, welche Nachweise Auftraggeber typischerweise fordern – und wie Sie in fünf Schritten lieferfähig bleiben, ohne ein vollständiges Managementsystem aus dem Boden zu stampfen.
Was § 30 BSIG zur NIS2 Lieferkette verlangt
Das NIS2-Umsetzungsgesetz überträgt Artikel 21 der EU-Richtlinie in deutsches Recht. Der zentrale Pflichtenkatalog steht in § 30 BSIG und umfasst zehn Mindestmaßnahmen des Risikomanagements – von der Risikoanalyse über Backup-Konzepte und Zugriffskontrolle bis zur Kryptografie. Maßnahme Nummer vier betrifft ausdrücklich die Lieferkette. Verlangt wird die „Sicherheit der Lieferkette einschließlich sicherheitsbezogener Aspekte der Beziehungen zwischen den einzelnen Einrichtungen und ihren unmittelbaren Anbietern oder Diensteanbietern“.
Zwei Formulierungen sind dabei entscheidend:
„Unmittelbare Anbieter“ begrenzt den Kreis auf die direkten Vertragspartner, im Beschaffungsjargon also auf Tier 1. Ein reguliertes Unternehmen muss nicht die gesamte Wertschöpfungskette bis zum Rohstoff durchleuchten, sehr wohl aber jeden Dienstleister, mit dem es selbst einen Vertrag hat.
„Angemessen und verhältnismäßig“ bedeutet, dass der Aufwand zum Risiko passen muss. Ein Cloud-ERP-Anbieter mit Vollzugriff auf Produktivdaten wird anders geprüft als ein Büromateriallieferant. Genau diese Abstufung ist für kleine Zulieferer die gute Nachricht – und zugleich der Hebel, mit dem sich überzogene Forderungen sachlich zurückweisen lassen.
Wie die Lieferkettenpflicht in den übrigen Pflichtenkatalog eingebettet ist, haben wir ausführlich in unserem Überblick zu den NIS2 Anforderungen beschrieben.
Warum auch nicht-regulierte Unternehmen betroffen sind
Der Anwendungsbereich des NIS2UmsuCG ist an Größenschwellen und Sektoren geknüpft. Vereinfacht gilt: Als besonders wichtige Einrichtung zählt, wer mindestens 250 Beschäftigte hat oder über 50 Millionen Euro Jahresumsatz bei mehr als 43 Millionen Euro Bilanzsumme erzielt. Als wichtige Einrichtung zählt, wer mindestens 50 Beschäftigte hat oder über 10 Millionen Euro Umsatz und Bilanzsumme kommt – jeweils vorausgesetzt, das Unternehmen ist in einem der 18 erfassten Sektoren tätig. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) geht von rund 29.500 direkt betroffenen Unternehmen in Deutschland aus.
Ein Maschinenbauzulieferer mit 30 Mitarbeitern, ein regionales Systemhaus oder eine Softwareschmiede mit 15 Entwicklern fallen damit in aller Regel nicht unter das Gesetz. Nur: Das schützt sie nicht. Denn ihre regulierten Kunden sind gesetzlich verpflichtet, die Sicherheit ihrer Lieferanten zu bewerten – und der einzige Weg, dieser Pflicht nachzukommen, führt über den Vertrag. Juristisch entsteht so ein Durchgriff: Was das Gesetz dem Auftraggeber auferlegt, gibt dieser als Vertragspflicht an den Zulieferer weiter.
Für Sie als Lieferant heißt das: Die Frage ist nicht mehr, ob NIS2 auf Sie anwendbar ist. Die Frage ist, ob Sie die Anforderungen Ihres Kunden erfüllen können – und was passiert, wenn nicht. In der Praxis ist die Konsequenz selten ein Bußgeld, sondern der Verlust des Auftrags an einen Wettbewerber, der die Nachweise vorlegen kann.
Wer als kritischer Lieferant gilt: drei Prüffragen
Regulierte Unternehmen klassifizieren ihre Lieferanten typischerweise entlang von drei Kriterien. Prüfen Sie für Ihr eigenes Unternehmen ehrlich:
- Systemzugang: Haben Sie technischen Zugriff auf IT-Systeme Ihres Kunden – per VPN, Fernwartung, API oder administrativem Konto?
- Datenzugang: Verarbeiten oder speichern Sie vertrauliche Daten Ihres Kunden, etwa Konstruktionsdaten, Personaldaten oder Kundendatenbanken?
- Verfügbarkeitseinfluss: Würde ein Ausfall Ihres Dienstes den Geschäftsbetrieb Ihres Kunden spürbar stören?
Trifft mindestens eines dieser Kriterien zu, gelten Sie als kritischer Lieferant und müssen mit einer vertieften Prüfung rechnen. In der gängigen Einstufungspraxis ergibt sich daraus folgendes Bild:
| Stufe | Einstufung | Typische Lieferanten | Prüftiefe |
|---|---|---|---|
| A | Kritisch | Cloud-ERP, Managed-Security-Provider, Softwarehäuser mit Produktivzugriff | Jährlicher Nachweis, Auditrecht, feste Meldefristen |
| B | Relevant | Rechenzentren, Telekommunikation, Facility-Management mit Serverraumzugang | Nachweis alle zwei bis drei Jahre, Fragebogen |
| C | Unkritisch | Büromaterial, Catering, Marketing ohne Systemzugriff | Keine vertiefte Prüfung |
Diese Einstufung ist kein gesetzlich vorgeschriebenes Schema, sondern gängige Praxis. Sie ist trotzdem nützlich: Wenn Sie wissen, in welche Stufe Sie fallen, können Sie Forderungen einordnen. Ein Catering-Dienstleister, der ein ISO-27001-Zertifikat vorlegen soll, darf und sollte nachfragen.
Was Auftraggeber konkret verlangen
Die Anforderungen, die über NIS2-Lieferkettenklauseln weitergegeben werden, folgen einem erkennbaren Muster. Drei Bausteine tauchen fast immer auf.
1. Verpflichtung auf einen anerkannten Sicherheitsstandard
Verlangt wird die Einhaltung eines etablierten Rahmenwerks – meist ISO/IEC 27001, alternativ BSI IT-Grundschutz oder ein branchenspezifischer Standard. Wichtig: Verpflichtung auf einen Standard ist nicht gleichbedeutend mit Zertifizierung. Für viele kleinere Zulieferer ist eine dokumentierte Selbstbewertung entlang des Standards der pragmatische und zulässige Weg.
2. Nachweispflicht und Auditrecht
Der Auftraggeber lässt sich das Recht einräumen, die Einhaltung zu überprüfen. Welche Nachweise akzeptiert werden, hängt von der Kritikalitätsstufe ab:
| Nachweisform | Aufwand | Typisch akzeptiert für |
|---|---|---|
| ISO/IEC 27001-Zertifikat | Hoch | Stufe A und B |
| TISAX®-Label | Hoch | Automobilbranche, Stufe A und B |
| SOC-2-Bericht | Hoch | Cloud- und SaaS-Anbieter |
| Prüfbericht eines Dritten | Mittel | Stufe A und B |
| Standardisierter Sicherheitsfragebogen | Gering | Stufe B und C, Einstieg für kleine Zulieferer |
3. Meldepflicht binnen 24 Stunden
Der dritte Baustein ist der, der am häufigsten unterschätzt wird. Regulierte Unternehmen müssen erhebliche Sicherheitsvorfälle nach § 32 BSIG in einem gestuften Verfahren an das BSI melden: eine Frühwarnung unverzüglich, spätestens binnen 24 Stunden nach Kenntnis, eine ausführlichere Meldung binnen 72 Stunden und eine Abschlussmeldung spätestens einen Monat nach der 72-Stunden-Meldung.
Diese Uhr können regulierte Unternehmen nur einhalten, wenn ihre Lieferanten schneller sind als sie. Entsprechend enthalten NIS2-Lieferkettenklauseln praktisch immer eine Verpflichtung, sicherheitsrelevante Vorfälle innerhalb von 24 Stunden – teils deutlich früher – an den Auftraggeber zu melden. Wer keinen definierten Prozess für die Erkennung und Eskalation von Vorfällen hat, kann diese Zusage schlicht nicht halten. Ein belastbarer Ablauf für den Ernstfall gehört deshalb zu den ersten Dingen, die Sie aufsetzen sollten – idealerweise verzahnt mit Ihrer Business Continuity-Planung.
Zusätzlich empfehlen die europäischen Durchführungsvorgaben sogenannte Kaskadierungsklauseln: Der Lieferant verpflichtet sich, dieselben Anforderungen an seine eigenen Unterauftragnehmer weiterzugeben. Prüfen Sie deshalb frühzeitig, welche Dienstleister Sie selbst einsetzen.
Der Stand in Deutschland: Fristen, Zahlen, Realität
Das NIS2-Umsetzungsgesetz trat am 6. Dezember 2025 in Kraft – ohne Übergangsfrist. Die Pflichten gelten seit dem ersten Tag. Betroffene Einrichtungen mussten sich innerhalb von drei Monaten, also bis zum 6. März 2026, beim BSI registrieren; das Meldeportal ging am 6. Januar 2026 in Betrieb.
Die Bilanz fiel ernüchternd aus: Bis zum Fristende hatten sich von den rund 29.500 erwarteten Unternehmen nur etwa 11.500 registriert. Das BSI hat daraufhin gegenüber Wirtschaftsverbänden eine Nachfrist bis zum 31. Juli 2026 kommuniziert, um Nachmeldungen zu ermöglichen.
Für Zulieferer ist diese Zahlenlage aus zwei Gründen relevant. Erstens: Ein erheblicher Teil der regulierten Unternehmen steht beim Thema Lieferkette noch ganz am Anfang – die Welle an Fragebögen und Vertragsanpassungen kommt für viele erst noch. Zweitens: Der Druck auf diese Unternehmen steigt. Bei besonders wichtigen Einrichtungen sieht der Rahmen Bußgelder von bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes vor, bei wichtigen Einrichtungen bis zu 7 Millionen Euro oder 1,4 Prozent. Wer unter diesem Druck steht, gibt Anforderungen selten zimperlich weiter. Welche Konsequenzen das für die Unternehmensleitung hat, beleuchtet unser Beitrag zur NIS2 und Geschäftsführer-Haftung.
In fünf Schritten lieferfähig bleiben
Sie müssen kein zertifiziertes Managementsystem betreiben, um in der NIS2 Lieferkette bestehen zu können. Sie müssen belegen können, dass Sie Ihre Risiken kennen und beherrschen. Der pragmatische Weg dorthin:
- Kundenportfolio sichten. Welche Ihrer Kunden fallen in einen der 18 NIS2-Sektoren und überschreiten die Größenschwellen? Diese Kunden werden auf Sie zukommen. Sortieren Sie nach Umsatzanteil – dort liegt Ihr Risiko.
- Eigene Kritikalität bestimmen. Beantworten Sie die drei Prüffragen zu System-, Datenzugang und Verfügbarkeitseinfluss je Kundenbeziehung. Das Ergebnis sagt Ihnen, welche Prüftiefe realistisch auf Sie zukommt.
- Lücken gegen § 30 BSIG erheben. Gehen Sie die zehn Mindestmaßnahmen durch und dokumentieren Sie ehrlich den Ist-Zustand. Erfahrungsgemäß liegen die größten Lücken bei Zugriffskontrolle, Multi-Faktor-Authentifizierung, getesteter Datensicherung nach dem 3-2-1-Backup-Prinzip und einem dokumentierten Vorfallprozess.
- Verträge und Unterauftragnehmer prüfen. Welche Zusagen haben Sie bereits gegeben? Und welche Dienstleister setzen Sie selbst ein, an die Sie Anforderungen weiterreichen müssen? Cloud-Dienste, externe Entwickler und Fernwartungszugänge gehören zwingend auf diese Liste.
- Nachweispaket vorbereiten. Legen Sie ein Standardpaket an: ausgefüllter Sicherheitsfragebogen, Beschreibung Ihrer technischen und organisatorischen Maßnahmen, Notfall- und Meldeprozess, Liste der Unterauftragnehmer. Wer das einmal sauber aufbereitet, beantwortet die nächsten zwanzig Anfragen in Stunden statt in Wochen.
Für kleinere Unternehmen ohne eigenes Security-Team ist Schritt drei der Punkt, an dem sich externe Unterstützung rechnet – sei es punktuell für die Lückenanalyse oder dauerhaft über einen Managed IT Services Provider, der Monitoring, Backup und Patch-Management verantwortet und die zugehörigen Nachweise gleich mitliefert.
Drei Fehler, die Zulieferer teuer zu stehen kommen
Abwarten, bis der Fragebogen kommt. Wer erst reagiert, wenn der Kunde eine Frist von vier Wochen setzt, verhandelt aus der schwächsten Position. Die Lückenanalyse ist in ruhigen Zeiten deutlich billiger.
Zusagen unterschreiben, die nicht gehalten werden können. Eine 24-Stunden-Meldepflicht ohne definierten Erkennungs- und Eskalationsprozess ist eine Vertragsverletzung mit Ansage. Verhandeln Sie lieber realistische Fristen, als eine unrealistische Zusage zu geben.
Alles auf ein Zertifikat setzen. Eine ISO-27001-Zertifizierung ist wertvoll, dauert aber typischerweise viele Monate und bindet erhebliche Ressourcen. Für Stufe-B- und Stufe-C-Lieferanten ist sie meist gar nicht erforderlich. Klären Sie zuerst, welcher Nachweis tatsächlich verlangt wird.
Fazit
Die NIS2 Lieferkette verschiebt die Frage der Betroffenheit vom Gesetz in den Vertrag. Für den Mittelstand bedeutet das: Auch wer die Schwellenwerte des NIS2-Umsetzungsgesetzes klar unterschreitet, muss die Sicherheit seiner IT künftig belegen können – nicht gegenüber dem BSI, sondern gegenüber seinen Kunden. Wer Systemzugang, Datenzugriff oder Verfügbarkeitsrelevanz für einen regulierten Auftraggeber hat, sollte nicht auf den ersten Fragebogen warten.
Die gute Nachricht: Der Aufwand ist beherrschbar, wenn er zur eigenen Kritikalität passt. Eine saubere Lückenanalyse gegen die zehn Maßnahmen des § 30 BSIG, ein belastbarer Meldeprozess und ein vorbereitetes Nachweispaket decken den Großteil dessen ab, was in der Praxis verlangt wird. Und das meiste davon ist ohnehin gute IT-Sicherheit – unabhängig davon, wer danach fragt.
Einen breiteren Überblick über die Richtlinie und ihre Auswirkungen gibt unser Leitfaden zur NIS2 Richtlinie im Mittelstand.
Sie sind Zulieferer eines NIS2-regulierten Unternehmens?
Wir unterstützen Sie bei der Lückenanalyse gegen § 30 BSIG, beim Aufbau eines belastbaren Melde- und Notfallprozesses und beim Betrieb der technischen Maßnahmen – von Monitoring über Backup bis Zugriffskontrolle.
Kontakt aufnehmen →
