Zum Inhalt springen
DEEN
Erstgespräch anfragenAnfragen

Leistungen

Sprache

DEEN
Erstgespräch anfragen security@cybersec42.com

NIS2 · Lieferkette

NIS2 in der Lieferkette: was Kunden jetzt von Zulieferern und Dienstleistern verlangen

Von Lucas Weber, CyberSec42 · Stand 28.10.2026

CyberSec42

NIS2 verpflichtet betroffene Unternehmen, die Sicherheit ihrer Lieferkette zu steuern, und zwar ausdrücklich auch die Beziehungen zu ihren unmittelbaren Anbietern und Dienstleistern (Art. 21 Abs. 2 Buchst. d NIS2, in Deutschland § 30 Abs. 2 Satz 2 Nr. 4 BSIG). Die Pflicht trifft den Kunden, nicht den Zulieferer. Sie kommt aber als Sicherheitsfragebogen, Vertragsklausel und Nachweisanforderung bei Ihnen an, auch wenn Ihr eigenes Unternehmen gar nicht unter NIS2 fällt. Wer eine Nachweis-Mappe, ein schlankes Sicherheitsmanagement und einen aktuellen Prüfbericht bereithält, beantwortet solche Anfragen deutlich schneller und fängt nicht bei jedem Kunden von vorn an.

Kurz gefasst.

Dieser Beitrag ordnet die Anforderungen praktisch ein und ist keine Rechtsberatung. Vertragsklauseln und die verbindliche Auslegung im Einzelfall gehören zu Ihrer Rechtsberatung.

Die Rechtsgrundlage

NIS2, BSIG und Gesetzesbegründung im Wortlaut.

Zum Abschnitt

Was Kunden verlangen

Fragebögen, Klauseln, Nachweise, Meldepflichten.

Zum Abschnitt

So bereiten Sie sich vor

Nachweis-Mappe, schlankes ISMS, Pentest, Antworten.

Zum Abschnitt

Die Checkliste

Alles auf einen Blick zum Abhaken.

Zum Abschnitt

Warum NIS2 auch Unternehmen erreicht, die nicht betroffen sind

NIS2 richtet sich an besonders wichtige und wichtige Einrichtungen. In Deutschland ist die Richtlinie durch das NIS2-Umsetzungsgesetz im neu gefassten BSI-Gesetz (BSIG) umgesetzt, das seit dem 6. Dezember 2025 gilt. Adressat der Pflichten ist nach § 30 Abs. 1 BSIG die Einrichtung selbst. Ein Softwarehaus mit 20 Mitarbeitenden, das einem Energieversorger eine Fachanwendung liefert, bekommt also keine eigene Pflicht aus dem Gesetz. Es bekommt sie über den Vertrag.

Der Grund liegt in einer der zehn Mindestmaßnahmen, die jede betroffene Einrichtung umsetzen muss:

FundstelleWas dort steht
Art. 21 Abs. 2 Buchst. d NIS2Sicherheit der Lieferkette einschließlich sicherheitsbezogener Aspekte der Beziehungen zwischen den einzelnen Einrichtungen und ihren unmittelbaren Anbietern oder Diensteanbietern.
Art. 21 Abs. 3 NIS2Bei der Auswahl der Maßnahmen berücksichtigen die Einrichtungen die spezifischen Schwachstellen der einzelnen unmittelbaren Anbieter, die Gesamtqualität ihrer Produkte und ihre Cybersicherheitspraxis einschließlich der Sicherheit ihrer Entwicklungsprozesse, außerdem die Ergebnisse koordinierter EU-Risikobewertungen kritischer Lieferketten (Art. 22 Abs. 1).
§ 30 Abs. 2 Satz 2 Nr. 4 BSIGDeutsche Umsetzung: Sicherheit der Lieferkette einschließlich sicherheitsbezogener Aspekte der Beziehungen zu unmittelbaren Anbietern oder Diensteanbietern.
Begründung zu § 30 Abs. 2 BSIG (BT-Drs. 21/1501)Nennt als Beispiele vertragliche Vereinbarungen mit Zulieferern und Dienstleistern zu Risikomanagementmaßnahmen, Bewältigung von Sicherheitsvorfällen und Patchmanagement sowie Security by Design und Security by Default. Sie übernimmt die Prüfmaßstäbe aus Art. 21 Abs. 3 NIS2.
Erwägungsgrund 85 NIS2Einrichtungen sollen insbesondere dazu angehalten werden, Risikomanagementmaßnahmen in die Verträge mit ihren direkten Lieferanten und Diensteanbietern aufzunehmen.

Ein Detail, das in vielen Darstellungen untergeht: Der Gesetzestext des § 30 BSIG übernimmt Art. 21 Abs. 3 NIS2 nicht wörtlich. Die Maßstäbe stehen in der Gesetzesbegründung, und das BSIG ist richtlinienkonform auszulegen. Für Sie als Zulieferer ändert das in der Praxis wenig: Ihr Kunde muss Ihre Sicherheitspraxis bewerten und das dokumentieren, denn § 30 Abs. 1 Satz 3 BSIG verlangt, dass die Einrichtung die Einhaltung ihrer Pflichten dokumentiert. Die Begründung nennt als mögliche Dokumentation ausdrücklich auch Vereinbarungen, Auditberichte, Zertifizierungen und Prüfungen.

Wer als unmittelbarer Anbieter gilt

Gemeint sind die direkten Vertragspartner der Einrichtung: Softwarehersteller, SaaS-Anbieter, IT-Dienstleister, Rechenzentren, Wartungsfirmen mit Fernzugang, aber auch Zulieferer, deren Produkte oder Zugänge die Netz- und Informationssysteme des Kunden berühren. Die Pflicht reicht nicht automatisch bis zum letzten Glied der Kette. Erwägungsgrund 85 sagt aber, dass Einrichtungen auch Risiken weiterer Ebenen berücksichtigen können. Deshalb fragen Kunden fast immer, welche Unterauftragnehmer Sie selbst einsetzen.

Sonderfall: Sie sind selbst betroffen

Manche Dienstleister stehen selbst in Anlage 1 des BSIG, etwa Anbieter von Cloud-Computing-Diensten, Rechenzentrumsdiensten, Managed Service Provider und Managed Security Service Provider. Ob Ihr Unternehmen dazugehört, hängt von Einrichtungsart und Größe ab und ist eine eigene Prüfung. Wie sie abläuft, beschreibt unser Beitrag NIS2: wer ist betroffen und was jetzt zu tun ist. Dieser Artikel behandelt den häufigeren Fall: Sie fallen nicht selbst unter NIS2, Ihre Kunden aber schon.

Was betroffene Kunden typischerweise verlangen

Eine sehr konkrete Vorlage für Lieferantenverträge steht in der Durchführungsverordnung (EU) 2024/2690. Sie gilt unmittelbar nur für bestimmte digitale Anbieter, etwa Cloud-Dienste, Rechenzentren, Managed Service Provider, Online-Marktplätze und Vertrauensdiensteanbieter. Weil sie die Lieferkettenpflicht aus Art. 21 Abs. 2 Buchst. d NIS2 Punkt für Punkt ausbuchstabiert, eignet sie sich auch für andere Einrichtungen als Orientierung. Nach Nummer 5.1.4 ihres Anhangs sollen Verträge mit Anbietern, soweit angemessen, Folgendes regeln:

Vertragsinhalt nach Nr. 5.1.4Was das für Sie als Zulieferer bedeutet
a) Cybersicherheitsanforderungen an den AnbieterEin Anhang mit Sicherheitsanforderungen, oft als Liste technischer und organisatorischer Maßnahmen.
b) Schulung, Qualifikation und gegebenenfalls Zertifizierungen der MitarbeitendenNachweis regelmäßiger Sensibilisierung, bei Fachpersonal manchmal Qualifikationen.
c) Zuverlässigkeitsüberprüfung der MitarbeitendenAngaben, wie Sie Personen mit Zugang zu Kundensystemen auswählen und überprüfen.
d) Unverzügliche Meldung von Vorfällen, die ein Risiko für die Systeme des Kunden darstellenEine vertragliche Meldepflicht mit Kontaktweg, oft mit fester Stundenfrist.
e) Prüfrecht oder Recht auf PrüfberichteDer Kunde darf prüfen oder bekommt Berichte, etwa ein Zertifikat oder einen Pentest-Bericht.
f) Behebung von Schwachstellen, die ein Risiko für den Kunden darstellenZusagen zu Patchzeiten und zum Umgang mit gemeldeten Schwachstellen.
g) Regeln zur UnterauftragsvergabeListe Ihrer Unterauftragnehmer und Weitergabe der Anforderungen an diese.
h) Pflichten bei VertragsendeHerausgabe und sichere Löschung der Daten des Kunden.

Hinzu kommt die Auswahlseite: Nach Nr. 5.1.2 legen die Einrichtungen Kriterien für die Auswahl von Anbietern fest, darunter deren Cybersicherheitsverfahren einschließlich der Sicherheit ihrer Entwicklungsprozesse und die allgemeine Qualität und Resilienz ihrer IKT-Produkte und -Dienste. Das ist der Moment, in dem der Fragebogen kommt, oft schon in der Ausschreibung und nicht erst beim Vertrag.

Sicherheitsfragebögen

Der Fragebogen ist der häufigste erste Kontakt mit NIS2 in der Lieferkette. Manche Kunden verwenden eigene Listen, andere standardisierte Formate. Der technische Leitfaden der ENISA zur Durchführungsverordnung nennt als mögliche Belege etwa Berichte nach dem Standardized Information Gathering (SIG) oder dem Consensus Assessment Initiative Questionnaire (CAIQ). Inhaltlich wiederholen sich die Themen: Zugriffskontrolle und Mehr-Faktor-Anmeldung, Verschlüsselung, Backup und Wiederherstellung, Umgang mit Schwachstellen und Updates, sichere Entwicklung, Protokollierung, Vorfallbehandlung, Unterauftragnehmer, Standort der Datenverarbeitung.

Nachweise statt Zusicherungen

Ein Kreuz bei „ja“ reicht vielen Einkaufsabteilungen nicht mehr, weil der Kunde seine Bewertung selbst belegen muss. Gefragt sind deshalb Unterlagen:

Meldepflichten im Vertrag

Betroffene Einrichtungen müssen erhebliche Sicherheitsvorfälle gestuft melden: eine frühe Erstmeldung spätestens 24 Stunden nach Kenntnis, eine Meldung spätestens nach 72 Stunden und eine Abschlussmeldung spätestens einen Monat danach (§ 32 Abs. 1 BSIG). Liegt die Ursache bei einem Dienstleister, kann der Kunde diese Fristen nur halten, wenn der Dienstleister ihn schnell informiert. Deshalb sehen Lieferantenverträge eine eigene Meldepflicht vor, wie sie auch Nr. 5.1.4 Buchst. d der Durchführungsverordnung nennt, oft mit fester Stundenfrist. Diese Frist ist eine vertragliche Vereinbarung, kein gesetzlicher Wert, und damit verhandelbar. Sagen Sie nur zu, was Ihre Bereitschaft außerhalb der Bürozeiten tatsächlich leisten kann.

So bereiten Sie sich als KMU oder SaaS-Anbieter vor

Die gute Nachricht: Fast alle Kunden fragen dieselben Dinge. Wer die Antworten einmal sauber erarbeitet, verwendet sie bei jedem weiteren Kunden wieder. Fünf Bausteine tragen den größten Teil der Arbeit.

1. Eine Nachweis-Mappe anlegen

Eine zentrale, aktuelle Sammlung aller Unterlagen, die Kunden typischerweise anfordern, mit einem Stand-Datum je Dokument:

Viele Inhalte decken sich mit den technischen und organisatorischen Maßnahmen, die Sie für Auftragsverarbeitungsverträge nach DSGVO ohnehin beschreiben. Beides aus einer Quelle zu pflegen verhindert Widersprüche zwischen den Dokumenten.

2. Ein schlankes ISMS statt eines Ordners

Hinter den Antworten muss ein gelebtes Informationssicherheits-Managementsystem stehen, sonst halten sie der ersten Rückfrage nicht stand. Für kleine Teams heißt das: eng geschnittener Geltungsbereich, wenige echte Risiken, Kontrollen, die technisch wirken und Belege erzeugen. Wie das für Software-Teams praktisch aussieht, steht in unserem Beitrag ISO 27001 für SaaS und Startups. Für das Lieferkettenthema ist ein Punkt besonders nützlich: ISO/IEC 27001:2022 enthält im Anhang A eigene Maßnahmen zu Lieferantenbeziehungen (5.19 bis 5.23). Ein Kunde mit ISO 27001 prüft seine Lieferanten also ohnehin nach einer Logik, die Ihr ISMS spiegeln kann.

3. Einen Penetrationstest als belastbaren Nachweis

Für SaaS-Anbieter ist ein Pentest-Bericht oft der schnellste Weg, die Frage nach der Sicherheit des Produkts mit einem Beleg statt mit einer Zusage zu beantworten. Damit der Bericht im Einkauf trägt, achten Sie auf drei Dinge:

Ein Penetrationstest ist eine autorisierte Prüfung im schriftlich vereinbarten Umfang. Wie Ablauf, Dauer und Scope aussehen, erklärt unser Beitrag Penetrationstest: Ablauf, Dauer und was ihn kostet.

4. Fragebögen ehrlich und wiederverwendbar beantworten

5. Vertragsklauseln vor der Unterschrift prüfen

Lieferantenverträge kommen oft als nicht verhandelte Vorlage. Prüfen Sie vor der Unterschrift mit Ihrer Rechtsberatung, ob Meldefristen mit Ihrer Bereitschaft erreichbar sind, ob ein Vor-Ort-Prüfrecht durch Prüfberichte ersetzt werden kann, ob Patchzeiten zu Ihrem Release-Prozess passen und ob Sie die Anforderungen an Ihre eigenen Unterauftragnehmer weitergeben können.

Die Checkliste

BereichMaßnahme
EinordnungGeklärt, ob Sie selbst unter NIS2 fallen oder nur über Kunden betroffen sind
EinordnungListe der Kunden, die besonders wichtige oder wichtige Einrichtungen sind oder sein könnten
OrganisationVerantwortliche Person für Sicherheitsfragen und Fragebögen benannt
NachweiseNachweis-Mappe mit Stand-Datum je Dokument angelegt und gepflegt
NachweiseISMS mit passendem Geltungsbereich, Zertifikat oder belastbarer Readiness-Stand
NachweisePenetrationstest des Produkts mit teilbarer Zusammenfassung und Nachtest
VorfälleVorfall- und Meldeprozess mit Erreichbarkeit, Kontaktwegen und realistischer Frist
SchwachstellenPatch- und Schwachstellenprozess mit Zielzeiten nach Schweregrad
EntwicklungSichere Entwicklung beschrieben und belegbar: Review, Abhängigkeiten, Trennung der Umgebungen
LieferketteEigene Unterauftragnehmer gelistet, Anforderungen an sie weitergegeben
FragebögenAntwortbibliothek mit Belegen, Lücken mit Plan und Termin
VerträgeMeldefrist, Prüfrecht, Patchzeiten und Vertragsende vor Unterschrift geprüft

Wobei CyberSec42 hilft

Typisch ist die Situation, in der ein großer Kunde Nachweise verlangt und die Frist schon läuft. Wir setzen an zwei Stellen an, einzeln oder kombiniert, im schriftlich vereinbarten Umfang.

SaaS-Penetrationstest

Prüfung von Anwendung, Schnittstellen, Mandantentrennung und Rollen, jeder Befund mit Nachweis, Bericht mit teilbarer Zusammenfassung und Nachtest.

Zur Leistung

Compliance-Readiness

Schlankes ISMS, Nachweis-Mappe und Antworten auf Kundenfragebögen, vorbereitet bis zur akkreditierten Stelle.

Zur Leistung

Ein Kunde verlangt Nachweise?

Schicken Sie uns den Fragebogen oder die Vertragsanlage. Im Erstgespräch ordnen wir ein, was davon Sie schon belegen können, was fehlt und in welcher Reihenfolge Sie es am schnellsten schließen.

Erstgespräch anfragen

CyberSec42 bereitet vor, setzt um, sammelt Nachweise und begleitet bis zur akkreditierten Stelle. CyberSec42 ist eine unabhängige technische Sicherheitsprüfung, keine akkreditierte Zertifizierungsstelle und keine Rechtsberatung.

Häufige Fragen

Muss ich als Zulieferer NIS2 erfüllen, wenn mein Unternehmen nicht betroffen ist?

Gesetzlich nicht. Das BSIG verpflichtet besonders wichtige und wichtige Einrichtungen. Ihre Kunden müssen aber die Sicherheit ihrer Lieferkette steuern und geben Anforderungen deshalb vertraglich an Sie weiter. Was Sie unterschreiben, wird für Sie verbindlich.

Welche Vorschrift im BSIG regelt die Lieferkette?

§ 30 Abs. 2 Satz 2 Nr. 4 BSIG: Sicherheit der Lieferkette einschließlich sicherheitsbezogener Aspekte der Beziehungen zu unmittelbaren Anbietern oder Diensteanbietern. Er setzt Art. 21 Abs. 2 Buchst. d NIS2 um. Die Prüfmaßstäbe aus Art. 21 Abs. 3 NIS2 stehen in der Gesetzesbegründung.

Brauche ich ein ISO-27001-Zertifikat?

Das Gesetz schreibt es Zulieferern nicht vor. Viele Kunden fragen aber danach, weil es ein verbreiteter Nachweis ist. Ohne Zertifikat helfen ein belastbarer Readiness-Stand, ein aktueller Pentest-Bericht und gut belegte Fragebogenantworten. Ob der Kunde das akzeptiert, entscheidet er selbst.

Wie schnell muss ich meinem Kunden einen Vorfall melden?

Das regelt Ihr Vertrag, nicht das Gesetz. Ihr Kunde muss erhebliche Vorfälle selbst spätestens nach 24 Stunden erstmals melden, deshalb verlangt er oft eine kurze Frist von Ihnen. Vereinbaren Sie nur, was Ihre Erreichbarkeit tatsächlich hergibt.

Reicht ein ausgefüllter Fragebogen als Nachweis?

Oft nicht allein. Kunden müssen ihre Bewertung dokumentieren und fragen deshalb nach Belegen: Zertifikat, Prüfbericht, Prozessbeschreibung. Antworten, die auf ein konkretes Dokument verweisen, werden schneller akzeptiert.

Muss ich den vollständigen Pentest-Bericht herausgeben?

Das ist Verhandlungssache. Üblich ist eine Zusammenfassung mit Datum, Umfang, Schweregraden und Behebungsstand, weitergegeben unter Vertraulichkeitsvereinbarung. Die Durchführungsverordnung nennt das Recht auf Prüfberichte als Alternative zum eigenen Prüfrecht des Kunden.

Weiterlesen

Quellen