NIS2-Lieferkettensicherheit: Anforderungen und Implementierungsleitfaden

Beim SolarWinds-Angriff 2020 luden rund 18.000 Kunden ein manipuliertes Software-Update herunter und installierten es; bei einem Teil von ihnen, darunter mehrere US-Bundesbehörden, nutzten die Angreifer den so geschaffenen Zugang aus [6]. NotPetya verursachte 2017 weltweit Schäden in Milliardenhöhe, nachdem es sich über den Update-Mechanismus einer ukrainischen Buchhaltungsanwendung verbreitet hatte [9]. Keiner dieser Angriffe richtete sich zunächst direkt gegen die späteren Opfer. Beide nutzten die Lieferkette als Einfallstor.

Dies waren keine Ausnahmeerscheinungen. Laut dem Verizon 2025 Data Breach Investigations Report ist mittlerweile bei 30 % aller Datenschutzverletzungen ein Dritter beteiligt – doppelt so viele wie im Vorjahr [4]. Lieferkettenkompromittierungen gehören zudem zu den langwierigsten Vorfällen: Laut IBM Cost of a Data Breach Report 2025 dauert es im Durchschnitt 267 Tage, bis sie erkannt und eingedämmt sind [6].

Der EU-Gesetzgeber hat dies zur Kenntnis genommen. Unter der ursprünglichen NIS-Richtlinie (NIS1) wurde die Sicherheit der Lieferkette bestenfalls am Rande erwähnt. NIS2 — Richtlinie (EU) 2022/2555 — macht sie zu einer von zehn Risikomanagementmaßnahmen in Artikel 21(2)(d). In Deutschland setzt § 30 Abs. 2 Nr. 4 BSIG diese Vorgabe um, und die Durchführungsverordnung der Kommission (CIR) 2024/2690 fügt für bestimmte digitale Anbieter detaillierte Anforderungen an Konzepte, Lieferantenverträge und die laufende Bewertung hinzu.

Für viele Einrichtungen gehört dies zu den spürbarsten operativen Veränderungen gegenüber NIS1. Einrichtungen sind nicht mehr nur für ihre eigene Cybersicherheit verantwortlich – sie müssen auch die Risiken verstehen und steuern, die ihre Lieferanten in die eigene Umgebung einbringen.

Dieser Leitfaden erläutert, was § 30 BSIG, die Richtlinie und die CIR vorschreiben, wie sich Lieferanten nach Risiko klassifizieren lassen, welche Vertragsthemen Anhang 5.1.4 der CIR vorsieht und wie Sie einen Überwachungsprozess aufbauen, der § 30 BSIG – und, soweit anwendbar, der CIR – gerecht wird und einer Prüfung durch das BSI standhält.

Was § 30 BSIG, Artikel 21 NIS2 und die CIR vorschreiben

In Deutschland ist die Pflicht in § 30 Abs. 2 Nr. 4 BSIG verankert: Die Risikomanagementmaßnahmen besonders wichtiger und wichtiger Einrichtungen müssen zumindest die „Sicherheit der Lieferkette einschließlich sicherheitsbezogener Aspekte der Beziehungen zu unmittelbaren Anbietern oder Diensteanbietern“ umfassen [8]. Die Vorschrift setzt Artikel 21(2)(d) der NIS2-Richtlinie um, der von „sicherheitsbezogene[n] Aspekte[n] der Beziehungen zwischen den einzelnen Einrichtungen und ihren unmittelbaren Anbietern oder Diensteanbietern“ spricht [1]. Nach § 30 Abs. 1 BSIG müssen die Maßnahmen geeignet, verhältnismäßig und wirksam sein; ihre Einhaltung ist zu dokumentieren [8].

Unter NIS1 wurde die Sicherheit der Lieferkette kaum thematisiert. NIS2 widmet ihr eine eigene Maßnahme – und die Durchführungsverordnung der Kommission (CIR) 2024/2690 legt die Einzelheiten in Anhang Nummer 5 fest, unmittelbar verbindlich allerdings nur für bestimmte Anbieter (siehe unten).

Was die Richtlinie vorschreibt

Artikel 21(3) konkretisiert, was bei der Wahl geeigneter Maßnahmen zur Sicherheit der Lieferkette zu berücksichtigen ist:

• die spezifischen Schwachstellen der einzelnen unmittelbaren Anbieter und Diensteanbieter
• die Gesamtqualität der Produkte und der Cybersicherheitspraxis der Anbieter und Diensteanbieter, einschließlich der Sicherheit ihrer Entwicklungsprozesse
• die Ergebnisse koordinierter Risikobewertungen kritischer Lieferketten, die gemäß Artikel 22 Absatz 1 durchgeführt wurden

Artikel 21(3) richtet sich an die Mitgliedstaaten; sein Wortlaut wurde nicht in § 30 BSIG übernommen. Da § 30 BSIG richtlinienkonform auszulegen ist, bleiben diese Kriterien dennoch der maßgebliche Orientierungsrahmen. Die Pflicht aus § 30 Abs. 2 Nr. 4 BSIG gilt grundsätzlich für alle in den Anwendungsbereich von NIS2 fallenden Einrichtungen – besonders wichtige wie wichtige; für Betreiber öffentlicher Telekommunikationsnetze, bestimmte Energieanlagenbetreiber und DORA-Finanzunternehmen gelten nach § 28 Abs. 5 und 6 BSIG Sonderregeln. Sie bezieht sich auf die unmittelbaren Anbieter und Diensteanbieter der Einrichtung; wie tief die Prüfung im Einzelfall geht, richtet sich nach dem Risiko.

Was die CIR ergänzt

Die CIR 2024/2690 gilt nach ihrem Artikel 1 unmittelbar nur für elf Einrichtungsarten: DNS-Diensteanbieter, TLD-Namenregister, Anbieter von Cloud-Computing-Diensten, Anbieter von Rechenzentrumsdiensten, Betreiber von Inhaltszustellnetzen (CDN), Anbieter verwalteter Dienste (MSP), Anbieter verwalteter Sicherheitsdienste (MSSP), Anbieter von Online-Marktplätzen, Online-Suchmaschinen, Plattformen für Dienste sozialer Netzwerke und Vertrauensdiensteanbieter [2]. § 30 Abs. 3 BSIG gibt ihr für genau diese Einrichtungsarten Vorrang [8]. Für alle anderen Einrichtungen – etwa Energieversorger, Krankenhäuser oder Maschinenbauer – ist Anhang Nummer 5 kein unmittelbar geltendes Recht, aber ein naheliegender Maßstab dafür, wie sich § 30 Abs. 2 Nr. 4 BSIG konkretisieren lässt.

Anhang Nummer 5 der CIR gliedert die Sicherheit der Lieferkette in zwei Bereiche:

5.1 — Konzept für die Sicherheit der Lieferkette. Einrichtungen legen ein Konzept fest, das die Beziehungen zu ihren direkten Anbietern und Diensteanbietern regelt, setzen es um und wenden es an. Darin bestimmen sie ihre eigene Rolle in der Lieferkette und teilen sie den direkten Anbietern mit (5.1.1), legen Kriterien für die Auswahl von Anbietern und die Auftragsvergabe fest (5.1.2), berücksichtigen – soweit anwendbar – die Ergebnisse koordinierter Risikobewertungen (5.1.3) und stellen sicher, dass ihre Verträge – soweit angemessen – acht Themen regeln (5.1.4, im Abschnitt zu Vertragsklauseln unten näher ausgeführt). Das Konzept wird in geplanten Abständen sowie bei wesentlichen Änderungen der Betriebsabläufe oder Risiken und bei erheblichen Sicherheitsvorfällen überprüft (5.1.6).

5.2 — Verzeichnis der Anbieter und Diensteanbieter. Einrichtungen führen ein aktuelles Verzeichnis ihrer direkten Anbieter und Diensteanbieter mit den Kontaktstellen und einer Liste der IKT-Produkte, -Dienste und -Prozesse, die der jeweilige Anbieter bereitstellt [2]. Die Technische Implementierungsleitlinie von ENISA (veröffentlicht am 26. Juni 2025) richtet sich an die von der CIR erfassten Einrichtungsarten und enthält zusätzliche Details und Nachweisbeispiele zur praktischen Umsetzung dieser Maßnahmen [3].

Was dies in der Praxis bedeutet: Für eine in den Anwendungsbereich fallende Einrichtung laufen die Anforderungen auf vier Bausteine hinaus – ein schriftliches Konzept zur Sicherheit der Lieferkette, ein Lieferantenverzeichnis, einen dokumentierten Bewertungsprozess für die relevanten Lieferanten und Verträge, die die acht Themen aus Anhang 5.1.4 der CIR abdecken, soweit dies angemessen ist. Eine vollständige Übersicht aller zehn NIS2-Risikomanagementmaßnahmen finden Sie in unserer NIS2-Anforderungsübersicht.

Lieferanten nach Kritikalität klassifizieren

Nicht jeder Lieferant birgt das gleiche Risiko. Ihr Cloud-Infrastrukturanbieter und das Unternehmen, das Büromaterial liefert, erfordern nicht dasselbe Maß an Cybersicherheitsprüfung. § 30 Abs. 1 BSIG verlangt „geeignete, verhältnismäßige und wirksame“ Maßnahmen, und auch die CIR stellt die Vertragsinhalte unter den Vorbehalt „soweit angemessen“ – Verhältnismäßigkeit beginnt mit der Klassifizierung.

Ein Drei-Stufen-Modell eignet sich für die meisten Organisationen:

Stufe	Beschreibung	Beispiele	Bewertungshäufigkeit
Kritisch (Stufe 1)	Direkter Zugang zu Ihrem Netzwerk, Ihren Systemen oder sensiblen Daten. Eine Unterbrechung würde Ihre Kerndienste zum Erliegen bringen.	Cloud-/Hosting-Anbieter, verwaltete Sicherheitsdienste, ERP-/Kernsoftwareanbieter, Identitätsanbieter	Jährliches Audit + kontinuierliche Überwachung
Wichtig (Stufe 2)	Eingeschränkter Systemzugang oder Verarbeitung nicht kritischer Daten. Eine Unterbrechung würde den Betrieb beeinträchtigen, aber nicht zum Stillstand bringen.	E-Mail-Plattformen, HR-Software, spezialisierte SaaS-Tools, Zahlungsdienstleister	Jährlicher Fragebogen + regelmäßige Überprüfung
Standard (Stufe 3)	Kein Systemzugang oder Datenverarbeitung. Minimale betriebliche Auswirkungen bei Unterbrechung.	Bürobedarf, Gebäudemanagement, Marketingagenturen (ohne Systemzugang)	Vereinfachte Prüfung beim Onboarding + Überprüfung bei Vertragsverlängerung

Vier Klassifizierungskriterien

Verwenden Sie diese Faktoren, um jeden Lieferanten einer Stufe zuzuordnen:

1. Systemzugangsebene — Verbindet sich der Lieferant mit Ihrem Netzwerk, greift er auf Produktionssysteme zu oder verfügt er über administrative Anmeldedaten?
2. Datensensibilität — Verarbeitet, speichert oder überträgt der Lieferant personenbezogene Daten, Geschäftsgeheimnisse oder nach Ihrem internen Klassifizierungsschema vertrauliche Daten?
3. Substituierbarkeit — Wie schnell könnten Sie zu einem alternativen Anbieter wechseln? Eine hohe Abhängigkeit stuft den Lieferanten in eine höhere Kategorie ein (vgl. Anhang 5.1.2 Buchst. d der CIR: Diversifizierung der Versorgungsquellen).
4. Dienstkritikalität — Würde eine Unterbrechung die Erbringung der Dienste beeinträchtigen, mit denen Ihre Einrichtung unter NIS2 fällt?

Wenn ein Lieferant bei einem einzelnen Faktor einen hohen Wert erzielt, stufen Sie ihn in eine höhere Kategorie ein. Klassifizieren Sie Grenzfälle nach oben – die Kosten einer Überbewertung sind im Vergleich zu den Kosten eines unkontrollierten kritischen Lieferanten vernachlässigbar.

Wer ist für die Klassifizierung zuständig? In Organisationen mit einem CISO leitet das Sicherheitsteam diesen Prozess in Abstimmung mit der Beschaffungsabteilung. Für KMU ohne dediziertes Sicherheitspersonal sollten der Geschäftsinhaber oder IT-Verantwortliche die Liste gemeinsam durcharbeiten – der Prozess ist unkompliziert, sobald die Kriterien definiert sind.

Sicherheitsanforderungen nach Lieferantenstufe

Sobald die Lieferanten klassifiziert sind, wenden Sie stufenspezifische Anforderungen an. Diese Tabelle überträgt die Themen aus Anhang Nummer 5 der CIR – ergänzt um Betriebskontinuität – in praktische Maßnahmen je Stufe. Die Abstufung ist eine Praxisempfehlung, keine Vorgabe der Verordnung:

Anforderung (Orientierung: CIR Anhang 5)	Kritisch (Stufe 1)	Wichtig (Stufe 2)	Standard (Stufe 3)
Überprüfung der Sicherheitsrichtlinie	Vollständige Richtlinienüberprüfung + Nachweise	Richtlinienzusammenfassung + Selbstbescheinigung	Standardbedingungen akzeptieren
Risikobewertung	Gemeinsame Risikobewertung	Lieferant stellt eigene Bewertung bereit	Entfällt
Vorfallmeldung	Echtzeitbenachrichtigung (< 24h)	Benachrichtigung innerhalb von 72h	Nur wesentliche Vorfälle
Prüfrechte	Jährliches Vor-Ort- oder Fernaudit	Jährliche Fernbewertung	Nur Vertragsklausel
Mitarbeiterüberprüfung	Hintergrundprüfungen bestätigt	Schulungszertifikate bestätigt	Nur vertragliche Verpflichtung
Sichere Entwicklung	SDLC-Nachweise + Penetrationstests	Selbstbescheinigung	Entfällt
Betriebskontinuität	Getesteter BCP/DR-Plan erforderlich	BCP-Dokumentation erforderlich	Entfällt
Beendigungsplan	Datenrückgabe + Systemübergabe	Bestätigung der Datenlöschung	Standardvertragsbedingungen

Vorgehensweise bei der Lückenanalyse

Für jeden kritischen und wichtigen Lieferanten:

1. Den aktuellen Stand des Lieferanten den oben genannten Anforderungen gegenüberstellen
2. Lücken identifizieren – Anforderungen, die noch nicht erfüllt sind
3. Jede Lücke nach Aufwand klassifizieren: Gering (Aktualisierung von Vertragsklauseln), Mittel (Lieferant muss Kontrollen implementieren), Hoch (erfordert Infrastrukturänderungen oder Lieferantenwechsel)
4. Behebungsfristen festlegen – mit Blick darauf, dass § 30 BSIG seit dem 6. Dezember 2025 ohne Übergangsfrist gilt, auch für bestehende Lieferantenverträge

Diese Lückenanalyse dient gleichzeitig als Prüfdokumentation. § 30 Abs. 1 Satz 3 BSIG verlangt, die Einhaltung der Maßnahmen zu dokumentieren; ordnet das BSI bei besonders wichtigen Einrichtungen Audits an oder überprüft es bei wichtigen Einrichtungen anlassbezogen die Umsetzung (§§ 61, 62 BSIG), ist die ausgefüllte Matrix ein zentraler Nachweis Ihres Risikomanagementprozesses für die Lieferkette [8].

Acht Vertragsthemen aus Anhang 5.1.4 der CIR

Anhang 5.1.4 der CIR 2024/2690 listet acht Themen – Buchstaben a bis h –, die in Verträgen mit Anbietern und Diensteanbietern, gegebenenfalls über Leistungsvereinbarungen (SLAs), festgelegt werden sollen, jeweils „soweit angemessen“ [2]. Für die elf CIR-Einrichtungsarten ist das verbindlich, für alle anderen Einrichtungen ein Orientierungsmaßstab für § 30 Abs. 2 Nr. 4 BSIG. Hier ist, was jede Klausel abdecken sollte:

1. Cybersicherheitsanforderungen (Buchst. a). Legen Sie die Sicherheitsanforderungen fest, die der Lieferant erfüllen muss – einschließlich der Anforderungen an die Sicherheit beim Erwerb von IKT-Diensten oder -Produkten nach Nummer 6.1 des Anhangs. Für kritische Lieferanten bieten sich ISO/IEC 27001 oder SOC 2 als Referenz an. Für wichtige Lieferanten kann eine dokumentierte Informationssicherheitsrichtlinie ausreichen. Nehmen Sie Anforderungen zu Verschlüsselung, Zugangskontrolle und Schwachstellenmanagement auf, die dem erbrachten Dienst angemessen sind.

2. Sensibilisierung, Qualifikation, Schulung und Zertifizierungen der Mitarbeitenden (Buchst. b). Mitarbeitende des Lieferanten mit Zugang zu Ihren Systemen sollten eine Cybersicherheits-Sensibilisierungsschulung absolvieren. Fordern Sie für kritische Lieferanten, soweit angemessen, den Nachweis spezifischer Zertifizierungen (CISSP, CISM oder gleichwertig) für Schlüsselpersonal. Definieren Sie eine Mindestschulungshäufigkeit – etwa jährlich.

3. Zuverlässigkeitsüberprüfungen (Buchst. c). Für Lieferanten, deren Mitarbeitende Zugang zu Ihren sensiblen Systemen oder Daten haben, sind angemessene Hintergrundprüfungen zu vereinbaren. Was als „angemessen“ gilt, hängt von Sektor und Funktion ab und ist durch Arbeits- und Datenschutzrecht begrenzt – etwa Führungszeugnis, Referenzprüfungen oder, wo gesetzlich vorgesehen, Sicherheitsüberprüfungen.

4. Vorfallmeldung (Buchst. d). Lieferanten müssen Sie über Sicherheitsvorfälle, die ein Risiko für die Sicherheit Ihrer Netz- und Informationssysteme darstellen, „unverzüglich“ informieren. Definieren Sie den Zeitrahmen ausdrücklich, etwa 24 Stunden für kritische und 72 Stunden für wichtige Lieferanten – Ihre eigene Frühwarnung an das BSI ist nach § 32 BSIG binnen 24 Stunden fällig. Legen Sie den Kommunikationskanal, die erforderlichen Informationen (Umfang, Auswirkungen, Abhilfemaßnahmen) und die Eskalationsverfahren fest. Dies steht im Einklang mit den weitergehenden Meldepflichten für Vorfälle gemäß NIS2.

5. Prüfrecht oder Recht auf Prüfberichte (Buchst. e). Sie benötigen das vertragliche Recht, die Sicherheitslage Ihres Lieferanten zu beurteilen. Die CIR stellt das Recht auf Prüfung und das Recht auf Erhalt von Prüfberichten gleichrangig nebeneinander. Für kritische Lieferanten bedeutet dies typischerweise Vor-Ort- oder Fernprüfungsrechte, die etwa jährlich ausgeübt werden können. Für andere Lieferanten das Recht, Compliance-Nachweise anzufordern – Zertifizierungen, Prüfberichte, Richtliniendokumente. Definieren Sie die Ankündigungsfrist und die Mitwirkungspflichten.

6. Umgang mit Schwachstellen (Buchst. f). Der Lieferant verpflichtet sich, Schwachstellen zu beheben, die ein Risiko für die Sicherheit Ihrer Netz- und Informationssysteme darstellen. Vereinbaren Sie Behebungsfristen nach Kritikalität und eine Pflicht, Sie über Schwachstellen zu informieren, die Ihre Systeme oder Daten betreffen können.

7. Unterauftragsvergabe (Buchst. g). Regeln Sie, ob und unter welchen Bedingungen der Lieferant Unterauftragnehmer einsetzen darf. Lassen Sie die Unterauftragsvergabe zu, muss der Lieferant seinen Unterauftragnehmern Cybersicherheitsanforderungen auferlegen, die den unter Buchstabe a vereinbarten Anforderungen entsprechen.

8. Pflichten bei Vertragsende (Buchst. h). Bei Vertragsende muss der Lieferant die im Rahmen seiner Tätigkeit erlangten Informationen zurückgeben oder sicher löschen und alle Zugänge zu Ihren Systemen entziehen; lassen Sie sich das in Textform bestätigen und sehen Sie einen Vorbehalt für gesetzliche Aufbewahrungspflichten vor. Dies verhindert Datenlecks bei Anbieterwechseln und ist eine Anforderung, die viele Organisationen übersehen, bis es zu spät ist.

Vorformulierte Klauseln zu diesen Themen enthält Dok. 43 (Lieferanten-Sicherheitsklauseln) im NIS2 Lieferketten-Paket (199 €), zusammen mit Dok. 42 (Lieferkettensicherheits-Richtlinie), Dok. 45 (Lieferantenverzeichnis) und Dok. 60 (Lieferanten-Selbstbewertung). Einen Überblick über alle Dokumente bietet unsere NIS2-Vorlagenseite. Die Vorlagen orientieren sich an Anhang Nummer 5 der CIR und sollten vor dem Einsatz in Verträgen rechtlich geprüft werden.

Muster-Wortlaut für die praxiskritischen Klauseln und die Grenzen, die das deutsche AGB-Recht ihnen setzt, finden Sie im Leitfaden zu NIS2-Lieferantenverträgen.

Überwachung und laufende Verpflichtungen

Die Lieferantenbewertung ist kein einmaliger Vorgang. Für die CIR-Einrichtungsarten schreibt Anhang 5.1.6 und 5.1.7 eine laufende Überwachung vor; für alle anderen Einrichtungen gehört sie zu wirksamen Maßnahmen nach § 30 BSIG. Überprüfungen werden durch bestimmte Ereignisse ausgelöst:

• Geplante Intervalle — die CIR spricht von geplanten Abständen; verbreitet ist eine jährliche Überprüfung für alle klassifizierten Lieferanten, mit vierteljährlicher oder kontinuierlicher Überwachung für die kritische Stufe
• Wesentliche Änderungen — neue Dienste, Änderungen der Systemarchitektur, Fusionen und Übernahmen oder Änderungen in der Eigentümerschaft oder Geschäftsführung des Lieferanten
• Sicherheitsvorfälle — jeder Vorfall, der den Lieferanten oder seine Unterlieferanten betrifft und Auswirkungen auf Ihre Systeme haben könnte
• Koordinierte EU-Risikobewertungen — führt die Kooperationsgruppe nach Artikel 22 Absatz 1 eine koordinierte Risikobewertung zu Produkten oder Diensten durch, die Sie nutzen, sind deren Ergebnisse nach Artikel 21 Absatz 3 Unterabsatz 2 NIS2 (und, soweit anwendbar, Anhang 5.1.3 der CIR) zu berücksichtigen. Dokumentieren Sie, wie Sie das getan haben oder warum eine Bewertung für Sie nicht einschlägig ist [1]

Dokumentations-Checkliste

Führen Sie für jeden klassifizierten Lieferanten eine prüfbare Aufzeichnung:

• Eintrag im Lieferantenverzeichnis mit Kontaktstelle und bereitgestellten IKT-Produkten, -Diensten und -Prozessen (vgl. Anhang 5.2 der CIR)
• Stufenklassifizierung mit dokumentierter Begründung
• Ausgefüllte Bewertungsfragebögen oder Prüfberichte
• Unterzeichneter Vertrag, der die acht Themen aus Anhang 5.1.4 abdeckt, soweit angemessen – oder eine dokumentierte Begründung und Risikoakzeptanz
• Vorfallmeldeprotokoll
• Überprüfungsplan und -ergebnisse
• Verfolgung der Lückenbehebung mit Fristen

Diese Dokumentation erfüllt zwei Zwecke: Sie setzt das in der CIR geforderte Konzept zur Sicherheit der Lieferkette praktisch um und dient als Nachweis für die Dokumentationspflicht nach § 30 Abs. 1 Satz 3 BSIG, auf den das BSI im Rahmen seiner Aufsicht (§§ 61, 62 BSIG) zurückgreifen kann [8]. Ohne Aufzeichnungen lässt sich die Umsetzung kaum nachweisen. Ein vollständiges Compliance-Tracking-Framework finden Sie in unserer NIS2-Compliance-Checkliste.

Häufig gestellte Fragen

Muss ich jeden Lieferanten bewerten?

Nicht in gleicher Tiefe. § 30 Abs. 1 BSIG verlangt verhältnismäßige Maßnahmen und nennt dafür unter anderem das Ausmaß der Risikoexposition und die Größe der Einrichtung als Kriterien [8]; die CIR stellt die Vertragsinhalte unter den Vorbehalt „soweit angemessen“. Klassifizieren Sie Lieferanten in Stufen auf der Grundlage von Systemzugang, Datensensibilität, Substituierbarkeit und Dienstkritikalität. Standard-Lieferanten (Stufe 3) – solche ohne Systemzugang oder Datenverarbeitung – benötigen in der Regel lediglich grundlegende Vertragsklauseln und vereinfachte Onboarding-Prüfungen. Konzentrieren Sie Ihren Bewertungsaufwand auf Lieferanten der kritischen und wichtigen Stufe.

Was ist zu tun, wenn ein Lieferant unsere Sicherheitsanforderungen ablehnt?

Dies ist eine Risikoentscheidung und nicht nur eine Compliance-Frage. Wenn ein kritischer oder wichtiger Lieferant den an Anhang 5.1.4 der CIR orientierten Klauseln nicht zustimmt, haben Sie drei Möglichkeiten: alternative Kontrollen oder Nachweise aushandeln, die dasselbe Sicherheitsergebnis erzielen, das Restrisiko akzeptieren und Ihre Begründung samt Freigabe durch die Geschäftsleitung im Risikoregister dokumentieren oder einen Ersatzlieferanten suchen. Für kritische Lieferanten ist die Ablehnung grundlegender Anforderungen wie Vorfallmeldung oder Prüfrechte in der Regel ein Ausschlusskriterium.

Schreibt NIS2 vor, dass meine Lieferanten ISO 27001-zertifiziert sein müssen?

Nein. Weder NIS2 noch die CIR noch § 30 BSIG schreiben eine ISO/IEC-27001-Zertifizierung für Lieferanten vor. (§ 30 Abs. 6 BSIG ermöglicht lediglich, per Rechtsverordnung für bestimmte IKT-Produkte, -Dienste und -Prozesse eine europäische Cybersicherheitszertifizierung vorzuschreiben.) Eine ISO 27001-Zertifizierung vereinfacht jedoch Ihren Bewertungsprozess – sie liefert Drittparteinachweise eines strukturierten Informationssicherheitsmanagementsystems. Sie ist eine nützliche Grundlage für kritische Lieferanten, garantiert jedoch für sich allein keine NIS2-Compliance. Zu prüfen bleibt, ob der Lieferant die für Ihre Beziehung relevanten spezifischen Anforderungen erfüllt. Einen detaillierten Vergleich finden Sie in unserem Leitfaden zu NIS2 vs. ISO 27001.

Wie weit muss ich die Lieferkette zurückverfolgen?

§ 30 Abs. 2 Nr. 4 BSIG und Artikel 21(2)(d) NIS2 beziehen sich auf „unmittelbare Anbieter oder Diensteanbieter“. Es wird nicht erwartet, dass Sie die Lieferanten Ihrer Lieferanten direkt auditieren. Unterlieferanten-Risiken steuern Sie über den direkten Anbieter: In der Praxis bedeutet dies, dass Sie von Ihren kritischen Lieferanten fordern, nachzuweisen, dass sie über eigene Prozesse zur Sicherheit der Lieferkette verfügen – was eine Kaskade von Verantwortlichkeit entlang der Lieferkette schafft. Die einzige Norm, die Unterauftragnehmer ausdrücklich nennt, ist Anhang 5.1.4 Buchstabe g der Durchführungsverordnung (EU) 2024/2690 — und sie wirkt über Ihren Vertrag mit dem direkten Anbieter, nicht über ein Prüfrecht gegenüber der zweiten Ebene. Welche vier Mechanismen Tier-2-Risiken tatsächlich erfassen und wo die Pflicht endet, zeigt unser Beitrag zu Tier-2-Lieferanten und der Reichweite der NIS2-Lieferkettenprüfung.

Was gilt für Open-Source-Software-Abhängigkeiten?

Open-Source-Komponenten sind Teil Ihrer Lieferkette. Sonatype verzeichnete in seinem Bericht 2024 innerhalb eines Jahres über 512.000 schädliche Pakete in Open-Source-Ökosystemen – ein Anstieg von 156 % im Jahresvergleich [7]. Für die CIR-Einrichtungsarten gelten hier zusätzlich die Anforderungen aus Anhang Nummer 6 (Sicherheit bei Erwerb, Entwicklung und Wartung); für alle anderen ergibt sich der Maßstab aus § 30 Abs. 2 Nr. 4 und Nr. 5 BSIG. Führen Sie eine Software Bill of Materials (SBOM) für Ihre kritischen Anwendungen, überwachen Sie bekannte Schwachstellen in Abhängigkeiten und beziehen Sie Open-Source-Risiken in Ihr Konzept zur Sicherheit der Lieferkette ein.

Quellen

1. Richtlinie (EU) 2022/2555 (NIS2-Richtlinie), Europäisches Parlament und Rat, 14. Dezember 2022. EUR-Lex.
2. Durchführungsverordnung (EU) 2024/2690 der Kommission, 17. Oktober 2024, Artikel 1 und Anhang Nummer 5. EUR-Lex.
3. ENISA, NIS2 Technical Implementation Guidance, 26. Juni 2025.
4. Verizon Business, 2025 Data Breach Investigations Report (Pressemitteilung vom 23. April 2025).
5. ENISA, Threat Landscape for Supply Chain Attacks, 29. Juli 2021.
6. DeepStrike, Supply Chain Attack Statistics 2025 (u. a. Angaben aus dem IBM Cost of a Data Breach Report 2025 und zum SolarWinds-Angriff).
7. Sonatype, 2024 State of the Software Supply Chain.
8. § 30 BSIG – Risikomanagementmaßnahmen; §§ 61, 62 BSIG – Aufsichts- und Durchsetzungsmaßnahmen, Gesetze im Internet.
9. The White House, Statement from the Press Secretary zu NotPetya, 15. Februar 2018.

Dieser Artikel dient ausschließlich der allgemeinen Information und stellt keine Rechts- oder Regulierungsberatung dar. Die Anforderungen können je nach Rechtsordnung und Organisationstyp variieren. Konsultieren Sie für eine auf Ihre Situation zugeschnittene Beratung einen qualifizierten Rechtsanwalt oder Compliance-Spezialisten.