NIS-2 in der Lieferkette: Was Zulieferer wissen müssen

Rechtsgrundlage: §§ 24–26, § 32 Abs. 1–4 lit. d und § 33 NISG 2026.

Ab 1. Oktober 2026 macht ein Liefervertrag mit einem NIS-2-regulierten Kunden einen Zulieferer nicht automatisch selbst zur wesentlichen oder wichtigen Einrichtung. Ob das NISG 2026 direkt gilt, richtet sich nach den gesetzlichen Kriterien. Regulierte Unternehmen müssen ab diesem Stichtag jedoch die Sicherheit ihrer Lieferkette berücksichtigen – besonders die Beziehungen zu unmittelbaren Anbietern und Diensteanbietern. Deshalb können regulierte Kunden risikobezogene Nachweise verlangen und Sicherheitsanforderungen in Ausschreibungen oder Verträgen vorsehen. Verbindliche Pflichten des Zulieferers ergeben sich daraus nur aufgrund des jeweiligen Vertrags oder einer sonstigen Rechtsgrundlage; eine eigene NISG-Einstufung entsteht nicht allein durch die Lieferbeziehung.

Rechtsstand: 11. September 2026. Das NISG 2026 tritt am 1. Oktober 2026 in Kraft; vor einer Veröffentlichung ab diesem Tag sind RIS-Fassung und einschlägige Verordnungen erneut zu prüfen.

Direkt betroffen oder über den Kunden eingebunden?

Zwei Fragen werden oft vermischt:

1. Ist das eigene Unternehmen nach den §§ 24 bis 26 NISG 2026 eine wesentliche oder wichtige Einrichtung?
2. Welche Anforderungen stellt ein regulierter Kunde an seine Lieferkette?

Die erste Frage betrifft den gesetzlichen Anwendungsbereich. Sie hängt unter anderem von Einrichtungsart, Sektor, Größe und gesetzlichen Sonderfällen ab; dafür lässt sich die direkte Betroffenheit des eigenen Unternehmens prüfen. Die zweite Frage folgt aus dem Risikomanagement des Kunden: § 32 verlangt von wesentlichen und wichtigen Einrichtungen geeignete und verhältnismäßige technische, operative und organisatorische Maßnahmen. Zu den ausdrücklich genannten Feldern gehört die Sicherheit der Lieferkette.

Aus § 32 Abs. 4 lit. d folgt nicht, dass jeder Lieferant selbst NIS-2-pflichtig ist. Welche Anforderungen der Kunde vertraglich verlangt und welche davon der Anbieter akzeptiert oder bereits schuldet, ist gesondert zu prüfen. Der Kunde muss seine eigenen Risiken bewerten und seine Maßnahmen verhältnismäßig ausgestalten. Für einen Anbieter kann daraus dennoch konkrete Arbeit entstehen – etwa ein Fragebogen, Nachweise zu Zugriffsschutz und Incident-Prozessen oder vertragliche Informationspflichten.

Rollenmatrix

Was § 32 bei der Lieferkette verlangt

§ 32 Abs. 4 lit. d nennt nicht nur „Lieferkette“ als Schlagwort. Bei unmittelbaren Anbietern und Diensteanbietern sind insbesondere deren spezifische Schwachstellen, die Gesamtqualität der Produkte, ihre Cybersicherheitspraxis und die Sicherheit ihrer Entwicklungsprozesse zu berücksichtigen.

Das Gesetz schreibt dabei kein identisches Kontrollpaket für jeden Anbieter vor. Die Maßnahmen müssen geeignet und verhältnismäßig sein. Maßgeblich sind unter anderem Risikoexposition, Größe der regulierten Einrichtung sowie Wahrscheinlichkeit und Schwere möglicher Vorfälle.

Daraus folgt für die Praxis: Ein Cloud-Dienst mit administrativem Zugriff auf zentrale Systeme braucht eine andere Prüfung als ein Lieferant von unkritischem Büromaterial. Eine reine Selbstauskunft kann in einem Fall genügen und im anderen zu wenig sein. Die Entscheidung sollte aus der Risikoanalyse nachvollziehbar hervorgehen. Die vollständige Arbeitsmatrix hilft, die Lieferkette in die §-32-Maßnahmen einzuordnen.

Welche Unterlagen Zulieferer vorbereiten können

Ein Sicherheitsfragebogen ist leichter zu beantworten, wenn die Grundlagen bereits dokumentiert sind. Sinnvoll sind – abhängig von Tätigkeit und Risiko – folgende Unterlagen:

• kurze Beschreibung der angebotenen Leistung und ihrer technischen Abhängigkeiten;
• benannte Kontaktstelle für Sicherheitsfragen und Vorfälle;
• Übersicht über relevante Netz- und Informationssysteme;
• Regeln für Zugriffe, Berechtigungen und Multi-Faktor-Authentifizierung;
• Patch-, Schwachstellen- und Änderungsprozess;
• Backup- und Wiederanlaufkonzept mit getesteten Wiederherstellungszielen;
• Incident-Prozess samt Eskalations- und Kundeninformation;
• Übersicht wesentlicher Unterauftragnehmer;
• vorhandene Prüfberichte oder Zertifikate mit Geltungsbereich und Laufzeit;
• dokumentierte Abweichungen und ein realistischer Maßnahmenplan.

Diese Liste ist kein gesetzlicher Mindestkatalog für jeden Zulieferer. Sie übersetzt häufige Risikofragen in vorbereitbare Nachweise. Entscheidend bleibt, welche Leistung erbracht wird, welchen Zugriff sie ermöglicht und welche Folgen ein Ausfall oder Sicherheitsvorfall hätte.

Due-Diligence-Checkliste für regulierte Kunden

Ein „Nein“ bedeutet nicht automatisch, dass die Beziehung unzulässig ist. Es zeigt, wo eine Risikobewertung, eine alternative Kontrolle oder eine dokumentierte Entscheidung fehlt.

Vertragsklauseln: präzise statt pauschal

Eine Klausel wie „Der Auftragnehmer erfüllt NIS 2“ ist oft zu unbestimmt. Besser ist eine Zuordnung zu konkreten Risiken und Leistungen. Prüfpunkte sind etwa:

• Welche Sicherheitsmaßnahmen gelten für die beauftragte Leistung?
• Welche Vorfälle und Verdachtsfälle muss der Anbieter wem und in welchem Zeitraum melden?
• Welche Informationen benötigt der Kunde, um einen eigenen erheblichen Vorfall zu bewerten und gegebenenfalls fristgerecht zu melden?
• Welche Nachweise werden akzeptiert, wie aktuell müssen sie sein und welcher Geltungsbereich ist erforderlich?
• Unter welchen Voraussetzungen sind Prüfungen oder ergänzende Auskünfte zulässig?
• Wie werden Unterauftragnehmer, Änderungen und festgestellte Mängel behandelt?
• Welche Unterstützung ist bei Vorfallsbehandlung, Wiederherstellung und Exit geschuldet?

Die konkrete Vertragsgestaltung hängt von Leistung, Risikoprofil und bestehendem Vertragsgefüge ab. Sie gehört im Einzelfall rechtlich geprüft.

Nachweisfähigkeit gehört zur Umsetzung

Das NISG 2026 trennt Maßnahmen und Nachweise nicht vollständig voneinander. Wesentliche und wichtige Einrichtungen müssen innerhalb von zwölf Monaten nach Eintritt ihrer Registrierungspflicht strukturierte Informationen zu umgesetzten Maßnahmen übermitteln. § 33 nennt dabei ausdrücklich auch die Sicherheit der Lieferketten und die Ergebnisse der Risikoanalyse.

Für die Lieferantensteuerung reicht es deshalb nicht, Fragebögen zu versenden und abzulegen. Die Einrichtung sollte erklären können, warum sie einen Anbieter als kritisch oder unkritisch einstuft, welche Kontrolle sie gewählt hat, wie sie offene Punkte verfolgt und wann sie die Bewertung aktualisiert. Dabei gehört auch die Verantwortung des Leitungsorgans in Reporting und Entscheidungen abgebildet.

Häufige Fragen

Sind alle Zulieferer von NIS 2 betroffen?

Nein. Ein Zulieferer wird nicht allein durch die Geschäftsbeziehung mit einer regulierten Einrichtung selbst zur wesentlichen oder wichtigen Einrichtung. Die direkte Betroffenheit ist nach den §§ 24 bis 26 NISG 2026 getrennt zu prüfen. Der regulierte Kunde kann jedoch risikobezogene Anforderungen stellen, weil er die Sicherheit seiner Lieferkette berücksichtigen muss.

Muss ein kleines Unternehmen jeden NIS-2-Fragebogen ausfüllen?

Ob und in welchem Umfang eine Antwort vertraglich geschuldet ist, hängt vom jeweiligen Vertrag ab. Praktisch sollte ein Unternehmen zuerst klären, welche Leistung und welches Risiko der Kunde bewertet, welche Angaben erforderlich sind und ob Vertraulichkeit sowie Aktualisierung geregelt sind.

Verlangt das NISG 2026 bestimmte Vertragsklauseln mit Zulieferern?

§ 32 Abs. 4 lit. d verlangt Lieferkettensicherheit und die Berücksichtigung bestimmter Anbietermerkmale. Er enthält aber keinen universellen Mustervertrag für jede Lieferantenbeziehung. Welche Klauseln angemessen sind, folgt aus Risikoanalyse, Leistung und Verhältnismäßigkeit.

Reicht eine Zertifizierung als Nachweis?

Ein Zertifikat kann nützlich sein, wenn Geltungsbereich, Laufzeit und geprüfte Systeme zur Leistung passen. Es ersetzt keine Prüfung jener Risiken, die außerhalb des Zertifikats liegen. Nach § 33 Abs. 2 können einschlägige gültige Zertifikate den Nachweis der operativen und organisatorischen Umsetzung unterstützen oder ermöglichen; für den technischen Nachweis nennt die Bestimmung diese Alternative nicht. Geltungsbereich, Aktualität und konkrete Aufforderung der Behörde bleiben maßgeblich.