NIS2 in der Lieferkette: Was Ihre Kunden jetzt von Ihnen verlangen

Was das Gesetz verlangt

§ 30 BSIG verpflichtet besonders wichtige und wichtige Einrichtungen zu geeigneten, verhältnismäßigen und wirksamen technischen und organisatorischen Maßnahmen und dazu, ihre Einhaltung zu dokumentieren. Zu den Mindestmaßnahmen zählt ausdrücklich die Sicherheit der Lieferkette einschließlich sicherheitsbezogener Aspekte der Beziehungen zu unmittelbaren Anbietern oder Diensteanbietern (§ 30 Abs. 2 Nr. 4 BSIG). Die Geschäftsleitung muss diese Maßnahmen umsetzen und ihre Umsetzung überwachen (§ 38 BSIG).

Die Vorgabe stammt aus Art. 21 der NIS-2-Richtlinie. Sie verlangt, bei der Lieferkette die Schwachstellen der einzelnen unmittelbaren Anbieter sowie die Qualität ihrer Produkte und ihrer Cybersicherheitspraxis zu berücksichtigen.

Was Kunden von Zulieferern typischerweise anfordern

• Selbstauskunft per Fragebogen zu Organisation, Technik und Verantwortlichkeiten.
• Nachweis eines ISMS – oft ein Zertifikat nach ISO/IEC 27001, in der Automobilindustrie ein TISAX-Label.
• Meldeweg bei Sicherheitsvorfällen: Ihr Kunde muss einen erheblichen Sicherheitsvorfall spätestens 24 Stunden nach Kenntnis frühzeitig melden (§ 32 BSIG) und braucht dafür schnelle Informationen von Ihnen.
• Technische Mindeststandards wie Multi-Faktor-Authentifizierung, geregelte Fernzugriffe, Schwachstellen- und Patchmanagement sowie Datensicherung.
• Vertragsklauseln zu Prüfrechten, Unterauftragnehmern und Vertraulichkeit.

So bereiten Sie sich als Zulieferer vor

1. Eigene Betroffenheit klären – ob Ihr Unternehmen selbst unter NIS2 fällt, regelt § 28 BSIG nach Branche, Mitarbeiterzahl und Umsatz.
2. Anforderungen sammeln – Fragebögen und Vertragsentwürfe Ihrer Kunden an einer Stelle zusammenführen; vieles wiederholt sich.
3. Basisschutz nachweisbar machen – nicht nur umsetzen, sondern dokumentieren: Richtlinien, Berechtigungen, Datensicherung, Updates.
4. Meldeweg festlegen – wer informiert den Kunden bei einem Vorfall, wie schnell und auf welchem Weg.
5. Nachweise bündeln – damit der nächste Fragebogen Stunden statt Tage dauert.
6. Zertifizierung erwägen – wenn viele Kunden fragen, ist ein ISMS nach ISO/IEC 27001 oft der wirtschaftlichere Weg.

Kostenloser Selbstcheck: Fällt Ihr Unternehmen selbst unter NIS2? Ergebnis sofort, ohne Anmeldung. Zum NIS2-Selbstcheck →

Für betroffene Einrichtungen: Lieferanten steuern

Sind Sie selbst NIS2-Einrichtung, brauchen Sie ein Lieferantenverzeichnis mit Kritikalität, eine Bewertung der wichtigen Anbieter, passende Vertragsklauseln und eine regelmäßige Überprüfung. Dafür setzen wir das Lieferanten-Risikomanagement in MGMSYS ein: Lieferantenprofile mit Risikobewertung, Bewertungsabläufe, Compliance-Prüfungen und Vorfälle entlang der Lieferkette an einem Ort.

Wir kennen beide Seiten: Seit 1983 betreuen wir Unternehmen als IT-Dienstleister – also selbst als Teil der Lieferkette unserer Kunden – und bauen Informationssicherheit nach ISO/IEC 27001 auf.

Häufige Fragen