NIS 2 in der Lieferkette: Was Zulieferer wirklich betrifft

Ab 1. Oktober 2026 macht ein Liefervertrag mit einem NIS-2-regulierten Kunden einen Zulieferer nicht automatisch selbst zur wesentlichen oder wichtigen Einrichtung. Ob das NISG 2026 direkt gilt, richtet sich nach den gesetzlichen Kriterien. Regulierte Unternehmen müssen ab diesem Stichtag jedoch die Sicherheit ihrer Lieferkette berücksichtigen – besonders die Beziehungen zu unmittelbaren Anbietern und Diensteanbietern. Deshalb können Sicherheitsfragebögen, Nachweisanforderungen und Vertragsklauseln auch kleinere Zulieferer erreichen.

Rechtsstand: 27.08.2026. Das NISG 2026 tritt am 1. Oktober 2026 in Kraft; vor einer Veröffentlichung ab diesem Tag sind RIS-Fassung und einschlägige Verordnungen erneut zu prüfen.

Direkt betroffen oder über den Kunden eingebunden?

Zwei Fragen werden oft vermischt:

1. Ist das eigene Unternehmen nach den §§ 24 bis 26 NISG 2026 eine wesentliche oder wichtige Einrichtung?
2. Welche Anforderungen stellt ein regulierter Kunde an seine Lieferkette?

Die erste Frage betrifft den gesetzlichen Anwendungsbereich. Sie hängt unter anderem von Einrichtungsart, Sektor, Größe und gesetzlichen Sonderfällen ab; dafür lässt sich die direkte Betroffenheit des eigenen Unternehmens prüfen. Die zweite Frage folgt aus dem Risikomanagement des Kunden: § 32 verlangt von wesentlichen und wichtigen Einrichtungen geeignete und verhältnismäßige technische, operative und organisatorische Maßnahmen. Zu den ausdrücklich genannten Feldern gehört die Sicherheit der Lieferkette.

Ein Kunde darf daraus nicht schlicht ableiten, dass jeder Lieferant selbst „NIS-2-pflichtig“ sei. Er muss seine eigenen Risiken bewerten und seine Maßnahmen verhältnismäßig ausgestalten. Für einen Anbieter kann daraus dennoch konkrete Arbeit entstehen – etwa ein Fragebogen, Nachweise zu Zugriffsschutz und Incident-Prozessen oder vertragliche Informationspflichten.

Rollenmatrix

Was § 32 bei der Lieferkette verlangt

§ 32 Abs. 4 lit. d nennt nicht nur „Lieferkette“ als Schlagwort. Bei unmittelbaren Anbietern und Diensteanbietern sind insbesondere deren spezifische Schwachstellen, die Gesamtqualität der Produkte, ihre Cybersicherheitspraxis und die Sicherheit ihrer Entwicklungsprozesse zu berücksichtigen.

Das Gesetz schreibt dabei kein identisches Kontrollpaket für jeden Anbieter vor. Die Maßnahmen müssen geeignet und verhältnismäßig sein. Maßgeblich sind unter anderem Risikoexposition, Größe der regulierten Einrichtung sowie Wahrscheinlichkeit und Schwere möglicher Vorfälle.

Daraus folgt für die Praxis: Ein Cloud-Dienst mit administrativem Zugriff auf zentrale Systeme braucht eine andere Prüfung als ein Lieferant von unkritischem Büromaterial. Eine reine Selbstauskunft kann in einem Fall genügen und im anderen zu wenig sein. Die Entscheidung sollte aus der Risikoanalyse nachvollziehbar hervorgehen. Die vollständige Arbeitsmatrix hilft, die Lieferkette in die §-32-Maßnahmen einzuordnen.

Welche Unterlagen Zulieferer vorbereiten können

Ein Sicherheitsfragebogen ist leichter zu beantworten, wenn die Grundlagen bereits dokumentiert sind. Sinnvoll sind – abhängig von Tätigkeit und Risiko – folgende Unterlagen:

• kurze Beschreibung der angebotenen Leistung und ihrer technischen Abhängigkeiten;
• benannte Kontaktstelle für Sicherheitsfragen und Vorfälle;
• Übersicht über relevante Netz- und Informationssysteme;
• Regeln für Zugriffe, Berechtigungen und Multi-Faktor-Authentifizierung;
• Patch-, Schwachstellen- und Änderungsprozess;
• Backup- und Wiederanlaufkonzept mit getesteten Wiederherstellungszielen;
• Incident-Prozess samt Eskalations- und Kundeninformation;
• Übersicht wesentlicher Unterauftragnehmer;
• vorhandene Prüfberichte oder Zertifikate mit Geltungsbereich und Laufzeit;
• dokumentierte Abweichungen und ein realistischer Maßnahmenplan.

Diese Liste ist kein gesetzlicher Mindestkatalog für jeden Zulieferer. Sie übersetzt häufige Risikofragen in vorbereitbare Nachweise. Entscheidend bleibt, welche Leistung erbracht wird, welchen Zugriff sie ermöglicht und welche Folgen ein Ausfall oder Sicherheitsvorfall hätte.

Due-Diligence-Checkliste für regulierte Kunden

Ein „Nein“ bedeutet nicht automatisch, dass die Beziehung unzulässig ist. Es zeigt, wo eine Risikobewertung, eine alternative Kontrolle oder eine dokumentierte Entscheidung fehlt.

Vertragsklauseln: präzise statt pauschal

Eine Klausel wie „Der Auftragnehmer erfüllt NIS 2“ ist oft zu unbestimmt. Besser ist eine Zuordnung zu konkreten Risiken und Leistungen. Prüfpunkte sind etwa:

• Welche Sicherheitsmaßnahmen gelten für die beauftragte Leistung?
• Welche Vorfälle und Verdachtsfälle muss der Anbieter wem und in welchem Zeitraum melden?
• Welche Informationen benötigt der Kunde, um einen eigenen erheblichen Vorfall zu bewerten und gegebenenfalls fristgerecht zu melden?
• Welche Nachweise werden akzeptiert, wie aktuell müssen sie sein und welcher Geltungsbereich ist erforderlich?
• Unter welchen Voraussetzungen sind Prüfungen oder ergänzende Auskünfte zulässig?
• Wie werden Unterauftragnehmer, Änderungen und festgestellte Mängel behandelt?
• Welche Unterstützung ist bei Vorfallsbehandlung, Wiederherstellung und Exit geschuldet?

Die konkrete Vertragsgestaltung hängt von Leistung, Risikoprofil und bestehendem Vertragsgefüge ab. Sie gehört im Einzelfall rechtlich geprüft.

Nachweisfähigkeit gehört zur Umsetzung

Das NISG 2026 trennt Maßnahmen und Nachweise nicht vollständig voneinander. Wesentliche und wichtige Einrichtungen müssen innerhalb von zwölf Monaten nach Eintritt ihrer Registrierungspflicht strukturierte Informationen zu umgesetzten Maßnahmen übermitteln. § 33 nennt dabei ausdrücklich auch die Sicherheit der Lieferketten und die Ergebnisse der Risikoanalyse.

Für die Lieferantensteuerung reicht es deshalb nicht, Fragebögen zu versenden und abzulegen. Die Einrichtung sollte erklären können, warum sie einen Anbieter als kritisch oder unkritisch einstuft, welche Kontrolle sie gewählt hat, wie sie offene Punkte verfolgt und wann sie die Bewertung aktualisiert. Dabei gehört auch die Verantwortung des Leitungsorgans in Reporting und Entscheidungen abgebildet.

Primärquellen je Rechtsclaim