NIS2-Lieferantenverträge: 8 Pflichtklauseln im Muster-Wortlaut — und die AGB-Falle nach § 307 BGB

Eine Sicherheitsklausel, die einer AGB-Kontrolle nicht standhält, ist kein halber Schutz – sie ist gar keiner. Wird sie nach § 307 BGB für unwirksam erklärt, tritt an ihre Stelle das dispositive Gesetzesrecht, und das enthält keinerlei Cybersicherheitsanforderung. Das Unternehmen steht dann ohne vertragliche Absicherung da – und gleichzeitig ohne den Nachweis, den § 30 Abs. 2 Nr. 4 BSIG verlangt. Zwei Ausfälle aus einem einzigen Formulierungsfehler – und der zweite fällt erst auf, wenn eine Aufsichtsbehörde fragt.

Anhang 5.1.4 der Durchführungsverordnung (EU) 2024/2690 nennt acht Themen, die ein Lieferantenvertrag abdecken soll. Dieser Leitfaden liefert für die praxiskritischen davon einen deutschen Muster-Wortlaut und zeigt bei jedem, wo die AGB-Kontrolle ansetzt.

Was § 30 Abs. 2 Nr. 4 BSIG verlangt – und was er offenlässt

Kurz gefasst: Das Gesetz verpflichtet Sie, die Sicherheit Ihrer Lieferkette zu managen. Es schreibt Ihnen aber keine einzige Vertragsklausel vor. Diese Lücke müssen Sie selbst schließen – und Sie müssen begründen können, warum genau so.

Der Wortlaut von § 30 Abs. 2 Nr. 4 BSIG ist knapp: „Sicherheit der Lieferkette einschließlich sicherheitsbezogener Aspekte der Beziehungen zwischen den einzelnen Einrichtungen und ihren unmittelbaren Anbietern oder Diensteanbietern“ [3]. Das Wort unmittelbar ist die wichtigste Begrenzung: Die Pflicht endet bei Ihren direkten Vertragspartnern. Artikel 21 Abs. 2 lit. d der NIS2-Richtlinie verwendet dieselbe Einschränkung, und Artikel 21 Abs. 3 präzisiert, woran sich Ihre Bewertung ausrichten muss: an den Schwachstellen, die für den jeweiligen Lieferanten spezifisch sind, sowie an der Gesamtqualität seiner Produkte und Cybersicherheitspraktiken einschließlich seiner sicheren Entwicklungsverfahren [1]. Die Maßnahmen sollen dabei den Stand der Technik einhalten und auf einem gefahrenübergreifenden Ansatz beruhen [3]. Was das für einen Vertragstext heißt, sagt weder das BSIG noch die Richtlinie.

Das BSI wird in seinem Informationspaket zur sicheren Lieferkette konkreter als das Gesetz: Einrichtungen sollen „vertragliche Vereinbarungen (Service Level Agreements) mit Zulieferern und Dienstleistern zu Risikomanagementmaßnahmen, Bewältigung von Cybersicherheitsvorfällen und Patchmanagement abschließen“ und ihre Zulieferer „vertraglich zur Einhaltung von Sicherheitsmaßnahmen verpflichten und sich dies auch nachweisen lassen“ [7]. Der zweite Halbsatz ist der eigentliche Maßstab: gefordert ist ein Nachweis, nicht nur ein Versprechen. Musterklauseln stellt das BSI ausdrücklich nicht bereit; es verweist auf die Best-Practice-Empfehlungen des UP KRITIS für Anforderungen an Lieferanten [10].

Die acht Pflichtthemen aus Anhang 5.1.4 – mit Muster-Wortlaut

Die meisten deutschsprachigen Übersichten nennen sechs Vertragsthemen. Anhang 5.1.4 der CIR 2024/2690 listet acht – regelmäßig unter den Tisch fallen lit. f (Umgang mit Schwachstellen) und lit. g (Unterauftragnehmer). Beide sind gerade die Themen, an denen Lieferantenketten in der Praxis reißen. Jedes Thema steht in der Verordnung unter dem Vorbehalt „where appropriate“ – soweit angemessen; es handelt sich also um einen risikoorientierten Katalog, nicht um acht bedingungslose Mussklauseln [2].

Die Risikoeinstufung in der letzten Spalte ist unsere eigene Bewertung, wie anfällig die jeweilige Klausel für eine Inhaltskontrolle nach § 307 BGB ist, wenn sie standardisiert gegenüber vielen Lieferanten verwendet wird – keine Vorgabe aus der Verordnung.

Muster-Wortlaut: Meldeklausel (lit. d)

Der Auftragnehmer informiert den Auftraggeber unverzüglich, spätestens jedoch innerhalb von 24 Stunden ab Kenntnis, über jeden Sicherheitsvorfall, der Systeme, Daten oder Dienste des Auftraggebers betrifft oder betreffen kann. Die Meldung erfolgt in Textform an [Kontaktstelle] und enthält, soweit bekannt: Zeitpunkt und Art des Vorfalls, betroffene Systeme und Daten, ergriffene und geplante Gegenmaßnahmen sowie eine erreichbare Ansprechperson. Der Auftragnehmer aktualisiert die Meldung unaufgefordert, sobald sich der Kenntnisstand wesentlich ändert.

Warum 24 Stunden und nicht 72? Weil Ihre eigene Frist bereits läuft. Die NIS2-Meldepflicht verlangt die Frühwarnung nach Art. 23 Abs. 4 lit. a „without undue delay and in any event within 24 hours of becoming aware of the significant incident“ [13] – erfährt Ihr Dienstleister am Montag von einem Vorfall und meldet ihn Ihnen am Donnerstag, ist Ihre eigene Frist verschäumt, bevor Sie überhaupt wussten, dass sie lief. Die Vertragsfrist muss deshalb kürzer sein als Ihre gesetzliche.

Muster-Wortlaut: Prüfrecht (lit. e)

Der Auftraggeber ist berechtigt, die Einhaltung der vereinbarten Sicherheitsanforderungen einmal je Kalenderjahr sowie anlassbezogen nach einem Sicherheitsvorfall zu überprüfen. Die Prüfung wird mit einer Frist von 20 Werktagen angekündigt, findet während der üblichen Geschäftszeiten statt und beschränkt sich auf die zur Leistungserbringung genutzten Systeme und Prozesse. Die Kosten der turnusmäßigen Prüfung trägt der Auftraggeber; die Kosten einer anlassbezogenen Prüfung trägt der Auftragnehmer, wenn die Prüfung eine von ihm zu vertretende Abweichung bestätigt. Der Auftragnehmer kann eine Vor-Ort-Prüfung durch Vorlage eines höchstens zwölf Monate alten Prüfberichts eines unabhängigen Dritten ersetzen, soweit dieser den Prüfgegenstand abdeckt.

Diese Fassung enthält vier bewusst gesetzte Anker: Häufigkeit, Ankündigungsfrist, Gegenstandsbegrenzung und Kostenverteilung. Genau daran unterscheidet sie sich von der Variante, die in vielen Musterverzeichnissen steht – „der Auftraggeber ist jederzeit berechtigt, den Auftragnehmer zu prüfen“ – und die als vorformulierte Bedingung angreifbar ist. Die Ersetzung durch einen Drittbericht ist zugleich der Hebel, mit dem sich größere Anbieter überhaupt zu einer Unterschrift bewegen lassen; die Verordnung stellt Audit und Erhalt von Prüfberichten gleichrangig nebeneinander [2].

Muster-Wortlaut: Schwachstellen (lit. f) und Unterauftragnehmer (lit. g)

Der Auftragnehmer unterhält ein dokumentiertes Verfahren zum Umgang mit Schwachstellen in den für den Auftraggeber erbrachten Leistungen. Er bewertet gemeldete und selbst festgestellte Schwachstellen nach Kritikalität, behebt sie innerhalb der vereinbarten Fristen und informiert den Auftraggeber über Schwachstellen, die dessen Systeme oder Daten betreffen können.

Der Einsatz von Unterauftragnehmern für sicherheitsrelevante Leistungsteile bedarf der vorherigen Information des Auftraggebers in Textform. Der Auftragnehmer verpflichtet jeden Unterauftragnehmer zu Sicherheitsanforderungen, die den Anforderungen dieses Vertrages inhaltlich entsprechen, und bleibt dem Auftraggeber gegenüber für deren Einhaltung verantwortlich. Der Auftraggeber kann dem Einsatz eines Unterauftragnehmers aus wichtigem Grund widersprechen.

Die Unterauftragnehmer-Klausel arbeitet bewusst mit Informationspflicht plus Widerspruchsrecht statt mit einem allgemeinen Zustimmungsvorbehalt: Ein Zustimmungsvorbehalt ohne Entscheidungskriterien und ohne Frist gibt dem Verwender ein weitgehend freies Bestimmungsrecht über die Leistungserbringung des anderen und ist damit eher angreifbar als eine Regelung, die einen sachlichen Grund verlangt. Die Kaskade reicht genau eine Ebene tief, entsprechend der Beschränkung auf unmittelbare Lieferanten in Art. 21 Abs. 2 lit. d [1] und dem Rückverweis auf lit. a in 5.1.4 lit. g [2].

Für die Beendigung (lit. h) genügt ein kurzer Absatz: Rückgabe oder nachweisliche Löschung aller erhaltenen Informationen, Entzug aller Systemzugänge, Bestätigung in Textform binnen 30 Tagen – und ein Vorbehalt für gesetzliche Aufbewahrungspflichten. Ohne diesen Vorbehalt verlangt die Klausel etwas, das der Lieferant rechtlich gar nicht leisten darf.

Die AGB-Falle: Wenn Ihr Standard-Klauselwerk unwirksam wird

Kurz gefasst: Sobald Sie dieselben Sicherheitsklauseln gegenüber mehreren Lieferanten verwenden, sind es Allgemeine Geschäftsbedingungen – auch im B2B-Geschäft, auch ohne separates Dokument.

§ 305 Abs. 1 BGB definiert AGB als „alle für eine Vielzahl von Verträgen vorformulierten Vertragsbedingungen, die eine Vertragspartei (Verwender) der anderen Vertragspartei bei Abschluss eines Vertrags stellt“ [4]. Ob sie in einem Anhang stehen oder mitten im Vertragstext, in welcher Schriftart und in welchem Umfang, ist ausdrücklich unerheblich. Ein NIS2-Klauselwerk, das Ihr Einkauf jedem neuen Dienstleister vorlegt, erfüllt diese Definition am ersten Tag.

Gegenüber Unternehmern gelten die Klauselverbotskataloge der §§ 308 und 309 BGB nicht – das stellt § 310 Abs. 1 BGB klar. Die Generalklausel des § 307 Abs. 1 und 2 BGB bleibt aber anwendbar, wobei „auf die im Handelsverkehr geltenden Gewohnheiten und Gebräuche… angemessen Rücksicht zu nehmen“ ist [6]. Unwirksam ist danach, was den Vertragspartner „entgegen den Geboten von Treu und Glauben unangemessen benachteiligt“; eine unangemessene Benachteiligung kann sich auch daraus ergeben, dass eine Bestimmung nicht klar und verständlich ist [5].

Der Mechanismus, der daraus für NIS2 folgt, wird selten ausgesprochen. § 306 Abs. 1 BGB stellt klar, dass der Vertrag im Übrigen wirksam bleibt, und Abs. 2 regelt den Rest: „Soweit die Bestimmungen nicht Vertragsbestandteil geworden oder unwirksam sind, richtet sich der Inhalt des Vertrags nach den gesetzlichen Vorschriften.“ [12] Die Klausel wird also nicht auf das gerade noch Zulässige zurückgestutzt – sie fällt weg, und an ihre Stelle tritt das gesetzliche Recht. Und das gesetzliche Werkvertrags- oder Dienstvertragsrecht kennt weder eine 24-Stunden-Meldepflicht noch ein Auditrecht noch eine Löschpflicht. Wer sich auf ein zu scharf formuliertes Klauselwerk verlassen hat, hat am Ende weniger Absicherung als jemand, der eine moderate Klausel vereinbart hat – und muss der Aufsichtsbehörde trotzdem erklären, wie er § 30 Abs. 2 Nr. 4 BSIG erfüllt.

Vier Formulierungen tragen dieses Risiko in der Praxis am deutlichsten: das jederzeitige, unangekündigte und unbegrenzte Prüfrecht; die pauschale Vertragsstrafe für jeden Verstoß ohne Verschuldensbezug und ohne Höchstgrenze; der vollständige Ausschluss oder die unbegrenzte Ausweitung der Haftung; und das einseitige Recht, die Sicherheitsanforderungen während der Vertragslaufzeit beliebig zu ändern. In jedem dieser Fälle hilft dasselbe Gegenmittel: Angemessenheitsanker einbauen – Frist, Häufigkeit, Gegenstand, Kostentragung, Obergrenze, sachlicher Grund.

Für Ihre wenigen wirklich kritischen Lieferanten gibt es einen zweiten Weg: die Individualvereinbarung. Eine Klausel, die zwischen den Parteien ernsthaft verhandelt wurde, ist keine AGB und unterliegt der Inhaltskontrolle nicht [4]. In der Praxis wird dafür allerdings mehr verlangt, als den Text zu versenden und auf Widerspruch zu warten – die Klausel muss inhaltlich zur Disposition gestellt und der Verhandlungsverlauf dokumentiert worden sein. Genau deshalb lohnt sich echtes Verhandeln nur dort, wo der Ausfall des Lieferanten Sie tatsächlich trifft. Welche das sind, ergibt sich aus Ihrer NIS2-Risikobewertung, nicht aus dem Bestellvolumen.

Bestandsverträge: der Teil, den niemand plant

§ 30 BSIG gilt seit dem Inkrafttreten des NIS2UmsuCG am 6. Dezember 2025 – ohne Übergangsregelung für bestehende Verträge. Ihr Rahmenvertrag mit dem ERP-Dienstleister aus dem Jahr 2021 enthält keine dieser acht Klauseln, läuft aber noch drei Jahre. Genau hier scheitern die meisten Umsetzungsprojekte, weil sie nur den Neuvertragsprozess anfassen.

Der letzte Fall ist der ehrlichste: Gegenüber großen Cloud- oder Softwareanbietern haben mittelständische Einrichtungen faktisch keine Verhandlungsmacht. Die vertretbare Antwort ist kein Blufftext im Vertrag, sondern eine dokumentierte Kette aus vier Schritten: Anforderung gestellt, Ablehnung oder Nichtreaktion festgehalten, verfügbare Ersatznachweise eingeholt, Restrisiko bewertet und durch die Geschäftsleitung akzeptiert. Diese Kette ist prüfbar. Eine Klausel, die der Anbieter nie unterschrieben hat, ist es nicht.

Was dabei nicht funktioniert, hat das BSI unmissverständlich formuliert: „Auch wenn die IT komplett ausgelagert ist, bleiben Sie als besonders wichtige oder wichtige Einrichtung selbst verantwortlich.“ [8] Die Verantwortung wandert nicht mit dem Vertrag zum Dienstleister – ein Punkt, der auch für die persönliche Haftung der Geschäftsführung unmittelbar relevant ist. Die Erwägungsgründe der Richtlinie – rechtlich unverbindliche Auslegungshilfen, keine Anspruchsgrundlagen – stützen dieselbe Wertung: Nach Erwägungsgrund 83 gelten die Pflichten unabhängig davon, ob Systeme intern betrieben oder deren Wartung ausgelagert wird; Erwägungsgrund 85 ermutigt dazu, Risikomanagementmaßnahmen in die Verträge mit unmittelbaren Lieferanten aufzunehmen, und Erwägungsgrund 86 mahnt bei Managed-Security-Dienstleistern eine „erhöhte Sorgfalt“ bei der Auswahl an [9] – sie sind tief in Ihre Systeme integriert und damit selbst ein lohnendes Angriffsziel.

Rollen, Nachweise und was eine Prüfung sehen will

Lieferantenverträge scheitern in der Umsetzung selten am Text, sondern an der Zuständigkeit: Der Einkauf verhandelt, die IT-Sicherheit kennt die Anforderung, das Ergebnis landet in keinem Verzeichnis.

Als Nachweispaket sollten sechs Dinge jederzeit greifbar sein: die Lieferkettensicherheits-Richtlinie, das Lieferantenverzeichnis mit Kritikalitätseinstufung, der verwendete Sicherheitsanhang in aktueller Fassung, die Rückläufe der Selbstauskünfte, die eingeholten Zertifikate oder Prüfberichte und die dokumentierten Risikoakzeptanzen. Nicht-KRITIS-Einrichtungen müssen diese Unterlagen nicht von sich aus einreichen, sondern erst auf Verlangen des BSI vorlegen [8] – was die Vorbereitung nicht weniger dringlich macht, sondern nur den Zeitpunkt verschiebt, zu dem eine Lücke sichtbar wird.

Ein verbreitetes Missverständnis zum Zeitrahmen: Die Nachsicht, die das BSI bei der Registrierung zeigt – der gegenüber Wirtschaftsverbänden kommunizierte 31. Juli 2026 war ausdrücklich „kein neuer gesetzlicher Stichtag“ [11], nachdem die Frist des § 33 BSIG bereits am 6. März 2026 ablief [8] – betrifft die Registrierung, nicht die Maßnahmen nach § 30. Für Lieferantenverträge gab es nie eine Schonfrist. Klassifizierung, laufende Überwachung und Lückenanalyse ordnet unser Leitfaden zur NIS2-Lieferkettensicherheit ein; fertige deutsche Dokumente finden Sie in der Vorlagenübersicht.

Häufig gestellte Fragen

Muss ich Anhang 5.1.4 umsetzen, wenn ich kein Cloud- oder DNS-Anbieter bin?
Rechtlich gebunden sind nur die in Artikel 1 der CIR 2024/2690 genannten Anbieterkategorien – unter anderem DNS-Dienste, TLD-Registries, Cloud- und Rechenzentrumsanbieter, CDN, Managed Service und Managed Security Service Provider, Online-Marktplätze, Suchmaschinen, soziale Netzwerke und Vertrauensdiensteanbieter [2]. Für alle anderen Einrichtungen folgt die Pflicht aus § 30 Abs. 2 Nr. 4 BSIG, und Anhang 5.1.4 ist der beste verfügbare Auslegungsmaßstab dafür, was eine Aufsichtsbehörde unter angemessenen vertraglichen Regelungen versteht.

Muss ich mit jedem Lieferanten einen Sicherheitsanhang abschließen?
Nein. Die Pflicht ist risikoorientiert, und Anhang 5.1.4 stellt jedes Thema unter den Vorbehalt der Angemessenheit [2]. Maßgeblich ist, welche Lieferanten Zugang zu Ihren Systemen und Daten haben oder eine Leistung erbringen, deren Ausfall Ihre Dienste beeinträchtigt. Der Büromateriallieferant gehört regelmäßig nicht dazu, der Fernwartungsdienstleister immer.

Reicht ein ISO/IEC 27001-Zertifikat des Lieferanten aus?
Als Nachweis für ein funktionierendes Managementsystem ist es stark, als Ersatz für vertragliche Pflichten reicht es nicht. Ein Zertifikat begründet Ihnen gegenüber keinen Anspruch auf eine 24-Stunden-Meldung, keine Kaskade auf Unterauftragnehmer und keine Löschpflicht bei Vertragsende. Sinnvoll ist die Kombination: Zertifikat als Nachweis, Vertrag als Anspruchsgrundlage.

Wie tief muss die Kaskade auf Unterauftragnehmer reichen?
Artikel 21 Abs. 2 lit. d beschränkt Ihre eigene Pflicht auf unmittelbare Anbieter [1], und 5.1.4 lit. g verlangt, dass Ihr Lieferant seinen Unterauftragnehmern Anforderungen entsprechend lit. a auferlegt [2]. Sie regeln also eine Ebene, Ihr Lieferant die nächste. Eine Durchgriffspflicht auf die vierte Ebene der Lieferkette begründet NIS2 nicht.

Was tun, wenn der Lieferant die Klauseln schlicht ablehnt?
Dokumentieren Sie die gestellte Anforderung, die Ablehnung, die ersatzweise eingeholten Nachweise, die Bewertung des verbleibenden Risikos und dessen Freigabe durch die Geschäftsleitung. Diese Kette ist der prüfbare Nachweis dafür, dass Sie die Maßnahme ergriffen haben – und sie ist bei einem faktisch nicht verhandelbaren Standardprodukt das einzige realistische Ergebnis.

Dieser Beitrag enthält allgemeine Informationen und keine Rechtsberatung. Die Muster-Formulierungen sind Ausgangspunkte, keine geprüften Vertragstexte; ihre Wirksamkeit hängt vom konkreten Vertrag, der Branche und der Verhandlungssituation ab. Lassen Sie Klauselwerke vor dem Einsatz anwaltlich prüfen.

Quellen

• [1] Artikel 21 der NIS2-Richtlinie (EU) 2022/2555 – Risikomanagementmaßnahmen
• [2] Durchführungsverordnung (EU) 2024/2690, Anhang Nummer 5 – EUR-Lex
• [3] § 30 BSIG – Risikomanagementmaßnahmen, Gesetze im Internet
• [4] § 305 BGB – Einbeziehung Allgemeiner Geschäftsbedingungen
• [5] § 307 BGB – Inhaltskontrolle
• [6] § 310 BGB – Anwendungsbereich
• [7] BSI – #nis2know: Sichere Lieferkette
• [8] BSI – Allgemeine FAQ zu NIS-2
• [9] Erwägungsgründe 83, 85 und 86 der NIS2-Richtlinie (rechtlich unverbindlich)
• [10] UP KRITIS – Best-Practice-Empfehlungen für Anforderungen an Lieferanten (BSI)
• [11] NIS-2-Registrierung bis 31. Juli 2026 – SCHUTZWERK
• [12] § 306 BGB – Rechtsfolgen bei Nichteinbeziehung und Unwirksamkeit
• [13] Artikel 23 der NIS2-Richtlinie – Meldepflichten bei Sicherheitsvorfällen