NIS2-betroffene Unternehmen müssen die Sicherheit ihrer Lieferkette in das Risikomanagement einbeziehen. Daraus entstehen Anforderungen an bestehende Dienstleister und Zulieferer: Sicherheitsfragebögen, Nachweisanforderungen, vertragliche Zusagen und regelmäßige Bewertungen.
Im Betrieb entstehen daraus zwei verschiedene Arbeitslagen. Welche davon gerade vorliegt, entscheidet über das weitere Vorgehen.
§30 BSIG zählt Lieferkettensicherheit ausdrücklich zu den Risikomanagement-Maßnahmen — einschließlich sicherheitsbezogener Beziehungen zu unmittelbaren Anbietern und Diensteanbietern. Das BSI hat das operationalisiert: bwE und wE müssen Zulieferer vertraglich zur Einhaltung von Sicherheitsmaßnahmen verpflichten und sich das nachweisen lassen. Unter Umständen bedeutet §30 BSIG, dass bwE und wE nicht mehr mit jedem Anbieter zusammenarbeiten können, ohne Pflichtverstöße zu riskieren.
Welche Anbieter oder Diensteanbieter sind für Prozesse, Daten oder Verfügbarkeit kritisch?
Welche technischen, organisatorischen oder vertraglichen Nachweise liegen vor?
Welche offenen Punkte bleiben, welche Auflagen werden gesetzt, wann wird erneut bewertet?
Cloud-, SaaS- und Managed-Service-Modelle erleichtern Teile der Nachweisführung. Anbieter liefern Zertifizierungen, standardisierte Dokumentation und technische Kontrollen. Das ist nützlich — deckt aber nicht ab, was das Unternehmen intern verantwortet: Konfiguration, Berechtigungen, Datenklassifikation, Vorfallprozess, Restrisikobewertung. Digitale Souveränität heißt in diesem Kontext nicht Cloud-Verzicht, sondern: Abhängigkeiten, Zugriffe und Verantwortungsgrenzen so zu kennen, dass Entscheidungen auch ohne Bauchgefühl erklärt werden können.
Cloudanbieter sind nicht verantwortlich für das, was ein Unternehmen falsch konfiguriert, zu weit freigibt oder nicht dokumentiert. Ein ISO-27001-Zertifikat des Anbieters beantwortet keine Fragen zur eigenen Konfiguration, Berechtigungsstruktur oder Restrisikobewertung.
NIS2-betroffene Unternehmen müssen ihre kritischen Lieferanten bewerten — und geben diese Anforderung wirtschaftlich weiter, auch wenn der Lieferant selbst nicht unter §28 BSIG fällt. Der Lieferant wird dadurch nicht automatisch NIS2-pflichtig. Er wird erklärungsbedürftig.
Direkte Verpflichtung: Das BSI kann prüfen, Bußgelder verhängen, Maßnahmen anordnen — aber nur gegenüber bwE und wE.
Indirekte Verpflichtung: Kommt vertraglich vom Kunden. Keine Behörde dahinter — aber der Kunde kann den Vertrag kündigen oder den Lieferanten für kritische Leistungen nicht mehr einsetzen. In vielen Geschäftsbeziehungen ist das die frühere Konsequenz.
Neue Verträge enthalten NIS2-Klauseln bereits häufig von Anfang an. Das eigentliche Thema sind die bestehenden Beziehungen, die nachträglich neu qualifiziert werden müssen — oft ohne Vorwarnung.
Ein IT-Dienstleister mit 45 Mitarbeitenden arbeitet seit acht Jahren für einen Energieversorger. Stabiles Verhältnis, verlängerter Rahmenvertrag. Dann kommt eine Anfrage aus dem Einkauf: Im Rahmen unserer NIS2-Anforderungen nach §30 BSIG bitten wir um Ausfüllung eines IT-Sicherheits-Fragebogens sowie Nachweise zu folgenden Bereichen.
Der IT-Dienstleister fällt selbst nicht unter §28 BSIG. Keine eigene Registrierungspflicht. Er hat jedoch Systemzugang beim Energieversorger — und dieser Zugang macht ihn aus Kundensicht zu einem Faktor, den der Kunde bewerten und dokumentieren muss.
Die Tiefe der Prüfung richtet sich nach Kritikalität und Abhängigkeit — nicht nach der Unternehmensgröße des Lieferanten. Ein kleiner Dienstleister mit direktem Systemzugang wird häufiger und tiefer befragt als ein großer Lieferant ohne operativen Einfluss.
Anforderungen erfassen, betroffene Leistung abgrenzen, vorhandene Nachweise zuordnen, offene Punkte festhalten und die Antwort intern freigeben.
Die beiden Arbeitsdokumente übersetzen die Anforderungen nach §30 BSIG in eine konkrete Nachweisgrundlage. Welches davon passt, ergibt sich aus der Lage: eine eingegangene Kundenanfrage oder eine eigene Lieferantenbewertung.
Liegt eine Kundenanfrage vor, geht es um Anforderungen, Nachweise und eine freigegebene Antwort. Steht eine eigene Lieferantenbewertung an, geht es zuerst um Kritikalität und Prüftiefe.