Tier-2-Lieferanten und NIS2: Die Prüfpflicht endet bei Tier 1 — vier Mechanismen reichen trotzdem tiefer

Das Wort „Tier“ kommt in der NIS2-Richtlinie kein einziges Mal vor. In der englischen Fassung: null Treffer [2]. In der Durchführungsverordnung (EU) 2024/2690, die die Anforderungen technisch ausbuchstabiert: ebenfalls null [6]. Die Tier-1/Tier-2-Sprache stammt aus der Beschaffung, nicht aus dem Recht — und genau deshalb kursieren zu der Frage, wie tief Sie prüfen müssen, zwei unvereinbare Antworten.

Der Gesetzestext ist an dieser Stelle ungewöhnlich präzise. § 30 Absatz 2 Nummer 4 BSIG verlangt „Sicherheit der Lieferkette einschließlich sicherheitsbezogener Aspekte der Beziehungen zu unmittelbaren Anbietern oder Diensteanbietern“ [3]. Unmittelbar: Ihre direkte Vertragsbeziehung. Nicht deren Vorlieferant, nicht deren Rechenzentrum, nicht die Open-Source-Bibliothek drei Ebenen darunter.

Damit ist die Frage aber erst zur Hälfte beantwortet. Vier Mechanismen holen Tier 2 trotzdem in Ihre Akte — und keiner davon ist ein Prüfrecht gegenüber dem Unterauftragnehmer. Dieser Artikel nennt für jeden Mechanismus die Fundstelle, den Wortlaut und die Grenze.

Was das Gesetz wörtlich verlangt — und welches Wort darin fehlt

Kurzfassung: Ihre gesetzliche Lieferkettenpflicht bezieht sich auf die Anbieter, mit denen Sie selbst einen Vertrag haben. Deren Unterlieferanten sind kein eigener Prüfgegenstand — wohl aber ein Risiko, das Sie über den direkten Anbieter steuern müssen.

Beide maßgeblichen Normen benutzen dasselbe Wort. Artikel 21 Absatz 2 Buchstabe d der NIS2-Richtlinie nennt „sicherheitsbezogene Aspekte der Beziehungen zwischen den einzelnen Einrichtungen und ihren unmittelbaren Anbietern oder Diensteanbietern“ [1]; § 30 Absatz 2 Nummer 4 BSIG übernimmt die Formulierung fast wortgleich [3]. Die englische Richtlinienfassung spricht von „direct suppliers or service providers“ [2].

Wie eng diese Regelung im deutschen Recht sitzt, lässt sich auszählen. Im gesamten konsolidierten BSI-Gesetz — 80 Paragraphen, rund 196.000 Zeichen, Stand einschließlich der Änderungen bis zum 23. Juli 2026 — kommt das Wort „Lieferkette“ genau einmal vor: in § 30 Absatz 2 Nummer 4 [4]. Es gibt keinen zweiten Lieferketten-Paragraphen, keine Verordnungsermächtigung speziell für Unterlieferanten und keine Registerpflicht für Vorlieferanten.

Fundstelle	Wortlaut zur Reichweite	Praktische Grenze
Art. 21 Abs. 2 Buchst. d NIS2 [1]	„ihren unmittelbaren Anbietern oder Diensteanbietern“	Erste Ebene
§ 30 Abs. 2 Nr. 4 BSIG [3]	„Beziehungen zu unmittelbaren Anbietern oder Diensteanbietern“	Erste Ebene
DVO 2024/2690, Anhang 5.1.1 [6]	Konzept regelt „die Beziehungen zu ihren direkten Anbietern und Diensteanbietern“	Erste Ebene
DVO 2024/2690, Anhang 5.2 [6]	„ein Verzeichnis ihrer direkten Anbieter und Diensteanbieter“	Verzeichnispflicht endet bei Tier 1
Erwägungsgrund 85 NIS2 [1]	„könnten auch die Risiken berücksichtigen, die von Lieferanten … anderer Ebenen ausgehen“	Unverbindlich, Kann-Formulierung

Die letzte Zeile ist die einzige Stelle im gesamten Regelwerk, die über die erste Ebene hinausblickt. Sie verdient einen eigenen Abschnitt.

Die einzige Tier-2-Stelle der Richtlinie steht in einem Erwägungsgrund

Erwägungsgrund 85 der NIS2-Richtlinie behandelt Lieferkettenrisiken ausführlich. Er endet mit diesem Satz: „Diese Einrichtungen könnten auch die Risiken berücksichtigen, die von Lieferanten und Dienstleistern anderer Ebenen ausgehen.“ Die englische Fassung lautet: „Those entities could consider risks stemming from other levels of suppliers and service providers.“ [1][2]

Drei Eigenschaften dieses Satzes entscheiden darüber, was er wert ist.

Erstens: Er steht in einem Erwägungsgrund. Erwägungsgründe sind Auslegungshilfen und begründen keine Pflichten. Eine Verpflichtung muss aus einem Artikel folgen — hier tut sie das nicht.

Zweitens: Er verwendet das schwächste verfügbare Modalverb. Derselbe Erwägungsgrund benutzt für die erste Ebene „sollten insbesondere dazu angehalten werden“, Vertragsklauseln mit direkten Lieferanten zu vereinbaren. Für tiefere Ebenen fällt die Sprache auf „könnten auch“ ab. Der Unterschied ist kein Stilmittel, sondern bewusste Abstufung.

Drittens: Er nennt keine Zahl von Ebenen. „Andere Ebenen“ ist unbegrenzt und damit auch unbestimmt — es gibt keine Norm, aus der eine Pflicht bis „Tier 2“, „Tier 3“ oder „bis zum Rohstofflieferanten“ folgt. Wer Ihnen eine solche Tiefe als Rechtspflicht verkauft, kann die Fundstelle nicht nennen, weil es sie nicht gibt.

Praktisch heißt das: Tier-2-Risiken zu betrachten ist gute Praxis und in kritischen Ketten sinnvoll. Als Aufsichtsmaßstab taugt Erwägungsgrund 85 nicht.

Was Deutschland nicht ins Gesetz geschrieben hat

Artikel 21 Absatz 3 der NIS2-Richtlinie ist die Norm, die der Lieferkettenpflicht ihre Substanz gibt. Sie verlangt, bei der Erwägung geeigneter Maßnahmen „die spezifischen Schwachstellen der einzelnen unmittelbaren Anbieter und Diensteanbieter sowie die Gesamtqualität der Produkte und der Cybersicherheitspraxis ihrer Anbieter und Diensteanbieter, einschließlich der Sicherheit ihrer Entwicklungsprozesse“ zu berücksichtigen. Der zweite Unterabsatz verpflichtet zusätzlich, die Ergebnisse der koordinierten Risikobewertungen nach Artikel 22 Absatz 1 zu berücksichtigen [1].

Im BSIG steht dieser Text nicht. Eine Volltextprüfung des konsolidierten Gesetzes ergibt für sämtliche Schlüsselbegriffe null Treffer: „spezifischen Schwachstellen“, „Cybersicherheitspraxis“, „Qualität der Produkte“, „Entwicklungsverfahren“, „kritischer Lieferketten“, „Artikel 22 Absatz 1 der NIS“ [4]. Damit die Nullbefunde nicht auf einem Extraktionsfehler beruhen, haben wir gegengeprüft, ob erwartbare Begriffe im selben Textkörper auftauchen — „Geldbuße“ 12-mal, „NIS-2-Richtlinie“ 17-mal, „§ 65“ viermal, „Risikomanagementmaßnahmen“ siebenmal. Der Text war vollständig erfasst.

Gefunden wird Artikel 21 Absatz 3 an anderer Stelle: in der Gesetzesbegründung. Der Regierungsentwurf, Bundestags-Drucksache 21/1501 vom 8. September 2025, gibt ihn im Abschnitt „Zu Absatz 2“ nahezu wortgleich wieder, einschließlich der Pflicht, die koordinierten Risikobewertungen zu berücksichtigen [5]. Der dortige Verweis auf „Absatz 4 Nummer 4“ ist dabei ein Redaktionsversehen — die Nummerierung steht im verkündeten Gesetz in Absatz 2.

Für die Praxis folgt daraus keine Entwarnung, aber eine andere Argumentationslage. Die Begründung ist kein Gesetzestext; sie ist die maßgebliche Auslegungshilfe für § 30 Absatz 2 Nummer 4, und die Norm ist im Licht der Richtlinie auszulegen. Wer in einer Aufsichtssituation argumentiert, sollte deshalb nicht auf den Gesetzeswortlaut allein verweisen, sondern Drucksache 21/1501 kennen. Dieselbe Begründung nennt übrigens konkrete Maßnahmen, die im Gesetz ebenfalls fehlen: vertragliche Vereinbarungen zu Patchmanagement und Vorfallbewältigung, die Berücksichtigung von BSI-Empfehlungen, das Anhalten von Zulieferern zu „Security by Design oder Security by Default“ und ausdrücklich External-Attack-Surface-Scans [5].

Vier Mechanismen, die Tier 2 trotzdem in Ihre Akte holen

Die direkte Pflicht endet bei der ersten Ebene. Die Risiken tun das nicht — und an vier Stellen greift das Recht das auf. Jeder Mechanismus wirkt anders, und keiner gibt Ihnen einen Anspruch gegen den Unterauftragnehmer.

1. Vertragliche Durchreichung — die einzige operative Tier-2-Norm

Anhang 5.1.4 der Durchführungsverordnung (EU) 2024/2690 verpflichtet Einrichtungen, „soweit angemessen“ bestimmte Inhalte in ihren Lieferantenverträgen festzulegen. Buchstabe g lautet: „Anforderungen an die Unterauftragsvergabe und — sofern die betreffenden Einrichtungen die Vergabe von Unteraufträgen zulassen — Cybersicherheitsanforderungen an Unterauftragnehmer im Einklang mit den unter Buchstabe a genannten Cybersicherheitsanforderungen“ [6].

Das ist die einzige Fundstelle im gesamten NIS2-Rechtsbestand, die Unterauftragnehmer ausdrücklich adressiert. Eine Volltextprüfung der drei maßgeblichen Instrumente bestätigt das: Der Wortstamm „Unterauftrag“ kommt in der Durchführungsverordnung dreimal vor — alle drei Vorkommen stehen in diesem einen Satz [6] —, in der NIS2-Richtlinie [1] und im BSIG [4] dagegen kein einziges Mal. „Subunternehmen“, „Unterlieferant“ und „Nachunternehmer“ erscheinen in keinem der drei Texte.

Die Konstruktion ist der eigentliche Punkt. Die Norm gibt Ihnen kein Prüfrecht gegenüber Tier 2, sondern eine Torwächterposition gegenüber Tier 1: Sie entscheiden, ob Unterauftragsvergabe überhaupt zulässig ist. Lassen Sie sie zu, sind die Anforderungen aus Buchstabe a durchzureichen. Ein Verbot oder ein Zustimmungsvorbehalt verlagert die Frage dagegen vollständig in den Vertrag mit Ihrem direkten Anbieter — wo Sie sie auch durchsetzen können. Welche acht Klauselinhalte Anhang 5.1.4 insgesamt vorgibt — von der Meldepflicht bis zum Prüfrecht nach Buchstabe e — behandelt unser Beitrag zu NIS2-Lieferantenverträgen und ihren acht Pflichtklauseln im Muster-Wortlaut.

2. Das Produkt statt das Unternehmen

Anhang 5.1.2 Buchstabe c verlangt als Auswahlkriterium „die allgemeine Qualität und Resilienz der IKT-Produkte und -Dienste und die darin enthaltenen Risikomanagementmaßnahmen im Bereich der Cybersicherheit, einschließlich der Risiken und der Klassifizierungsstufe“ [6].

„Darin enthalten“ ist der Mechanismus. Ein Softwareprodukt enthält die Arbeit seiner Vorlieferanten — Bibliotheken, Komponenten, unterlagerte Dienste. Indem Sie das Produkt bewerten statt die Firma, erfassen Sie Tier-2-Risiko, ohne je eine Tier-2-Beziehung anfassen zu müssen. Das ist der praktikabelste der vier Wege, weil er keine fremde Mitwirkung braucht: Schwachstellenhistorie, Patchkadenz und Abkündigungsverhalten eines Produkts können Sie selbst erheben.

3. Koordinierte EU-Risikobewertungen

Artikel 22 Absatz 1 NIS2 erlaubt der Kooperationsgruppe, koordinierte Risikobewertungen kritischer IKT-Lieferketten durchzuführen — die Norm sagt „kann“, die Durchführung liegt also im Ermessen der EU-Ebene [1]. Existiert eine solche Bewertung aber, kehrt sich die Modalität um: Artikel 21 Absatz 3 Unterabsatz 2 verlangt, ihre Ergebnisse zu berücksichtigen, und Anhang 5.1.3 der Durchführungsverordnung wiederholt das „soweit anwendbar“ [1][6].

Seit dem 13. Februar 2026 ist das kein theoretischer Fall mehr. Die NIS-Kooperationsgruppe hat gemeinsam mit Kommission und ENISA eine EU-Toolbox für die Sicherheit von IKT-Lieferketten veröffentlicht, flankiert von einer Risikobewertung zu vernetzten und automatisierten Fahrzeugen [8]. Diese Bewertungen betrachten ganze Ketten, nicht nur erste Ebenen — hier kommt Tier-2-Wissen tatsächlich von außen zu Ihnen. Die Toolbox selbst ist ein von der Kooperationsgruppe angenommenes Instrument, kein Rechtsakt; die Pflicht aus Artikel 21 Absatz 3 bezieht sich auf die Ergebnisse der Bewertungen nach Artikel 22 Absatz 1 und besteht darin, sie zu berücksichtigen und ihre Behandlung zu dokumentieren. Wer nicht im betroffenen Bereich tätig ist, sollte genau diese Feststellung aktenkundig machen, statt die Klausel zu ignorieren.

4. Konzentrationsrisiko und Abhängigkeit

Anhang 5.1.2 Buchstabe d verlangt, „die Fähigkeit der betreffenden Einrichtungen, ihre Versorgungsquellen zu diversifizieren und — soweit anwendbar — ihre Abhängigkeit von bestimmten Anbietern zu begrenzen“ als Auswahlkriterium zu führen [6]. Erwägungsgrund 90 nennt als Zweck koordinierter Bewertungen ausdrücklich „kritische Abhängigkeiten“ und „potenzielle einzelne Fehlerquellen“ [1].

Hier entsteht der Tier-2-Bezug ohne jeden Vertrag: Wenn drei Ihrer vier unabhängig ausgewählten Anbieter dieselbe Cloud-Region, denselben Zertifizierungsdienst oder dieselbe Bibliothek nutzen, ist Ihre Diversifizierung nur auf dem Papier vorhanden. Diese gemeinsame Ebene sichtbar zu machen, ist der einzige Grund, aus dem sich eine Tier-2-Erhebung für die meisten Einrichtungen betriebswirtschaftlich rechnet.

Mechanismus	Fundstelle	Was er verlangt	Was er nicht verlangt
Vertragliche Durchreichung	DVO Anhang 5.1.4 Buchst. g [6]	Regeln zur Unterauftragsvergabe; bei Zulassung Anforderungen an Unterauftragnehmer	Kein Prüfrecht, kein Direktkontakt, kein Audit bei Tier 2
Produktbewertung	DVO Anhang 5.1.2 Buchst. c [6]	Qualität, Resilienz und eingebettete Maßnahmen des Produkts bewerten	Keine Offenlegung der Vorlieferantenliste
Koordinierte EU-Bewertungen	Art. 21 Abs. 3 UAbs. 2, Art. 22 Abs. 1 NIS2; DVO 5.1.3 [1][6]	Vorliegende Ergebnisse berücksichtigen und dokumentieren	Keine eigene Ketten-Risikoanalyse durch die Einrichtung
Konzentrationsrisiko	DVO Anhang 5.1.2 Buchst. d [6]	Diversifizierung und Abhängigkeitsbegrenzung als Kriterium führen	Kein Zwang zum Zweitanbieter

Für wen die Durchführungsverordnung unmittelbar gilt

Ein Punkt, den die meisten Übersichten überspringen: Die Durchführungsverordnung 2024/2690 gilt nach ihrem Artikel 1 nicht für alle Einrichtungen. Erfasst sind DNS-Diensteanbieter, TLD-Namenregister, Cloud-Anbieter, Rechenzentren, CDN-Betreiber, verwaltete Dienste (MSP), verwaltete Sicherheitsdienste (MSSP), Online-Marktplätze, Suchmaschinen, soziale Netzwerke und Vertrauensdiensteanbieter [6]. § 30 Absatz 3 BSIG bestätigt, dass die Verordnung für genau diese Einrichtungsarten Vorrang hat [3].

Sind Sie ein Energieversorger, ein Krankenhaus oder ein Maschinenbauer, ist Anhang 5 für Sie kein unmittelbar geltendes Recht. Er bleibt trotzdem der belastbarste verfügbare Maßstab — weil er dieselbe Richtliniennorm ausbuchstabiert, an der auch Sie gemessen werden, und weil § 30 Absatz 2 BSIG selbst nur die zehn Maßnahmenbereiche benennt, ohne sie zu konkretisieren. Die zehn Maßnahmenbereiche, in die sich Ihre Pflichten gliedern, erklärt unser Überblick zu den zehn NIS2-Risikomanagementmaßnahmen.

Rolle	Wichtigste Konsequenz aus diesem Artikel
CISO / IT-Sicherheit	Tier-2-Erfassung nicht als Firmenliste aufsetzen, sondern als Produkt- und Konzentrationsanalyse (Mechanismen 2 und 4)
Compliance / Recht	Nachweisführung stützt sich auf § 30 BSIG plus BT-Drs. 21/1501; Unterauftragsklausel nach Anhang 5.1.4 Buchst. g in das Klauselwerk aufnehmen
Einkauf	Zustimmungsvorbehalt für Unterauftragsvergabe ist wirksamer und billiger als jede Tier-2-Befragung
Geschäftsführung	Budget für unbegrenzte Lieferkettentiefe ist nicht begründbar; die Pflicht ist eng, die Dokumentation der Begründung nicht verhandelbar

Was Sie konkret tun — und was Sie sich sparen können

Die Daten sprechen dafür, dass Einrichtungen eher zu breit als zu tief arbeiten. Laut der ENISA-Studie NIS Investments 2025 (1.080 befragte Organisationen, 83 % Großunternehmen) setzen 90 % spezifische Drittparteien-Kontrollen um: 63 % verlangen Standards oder Zertifikate, 54 % führen Lieferanten-Risikobewertungen oder Audits durch, 48 % nehmen Cybersicherheitsanforderungen in Verträge auf. Trotzdem bleibt die Kompromittierung von Lieferketten und Dritten die zweithäufigste genannte Zukunftssorge (47 %) [9].

Die Erklärung liefert dieselbe Studie: Das Risiko sei besonders ausgeprägt, wenn Lieferanten KMU sind, „whose limited resources and capabilities can amplify exposure throughout the chain“ [9]. Genau dort sitzt Tier 2 in der Regel — und genau dort hilft ein weiteres Zertifikat vom Tier-1-Anbieter am wenigsten.

Pflicht (dokumentieren)	Sinnvoll, aber nicht gefordert	Rechtlich nicht verlangt
Verzeichnis der direkten Anbieter mit Kontaktstelle und Leistungsliste (Anhang 5.2)	Konzentrationsanalyse über gemeinsame Vorlieferanten	Verzeichnis der Unterlieferanten
Auswahlkriterien nach 5.1.2 Buchst. a bis d	Offenlegung wesentlicher Unterauftragnehmer als Vertragspflicht	Audit oder Fragebogen bei Tier 2
Unterauftragsregelung im Vertrag (5.1.4 Buchst. g)	Zustimmungsvorbehalt bei Anbieterwechsel in Tier 2	Prüfung „bis zum Rohstofflieferanten“
Berücksichtigung koordinierter Bewertungen (5.1.3)	Eigene Bewertung kritischer Ketten	Eigene Ketten-Risikobewertung nach Art. 22

Ein Detail entscheidet über die Prüffestigkeit der mittleren Spalte. Die Qualifizierungen in Anhang 5 sind nicht gleich verteilt: Die Auswahlkriterien 5.1.2 Buchstaben a, b und c stehen ohne Einschränkung, nur Buchstabe d trägt „soweit anwendbar“; der Vertragskatalog 5.1.4 steht insgesamt unter „soweit angemessen“ [6]. Und Artikel 2 Absatz 2 Unterabsatz 2 der Verordnung bestimmt verbindlich: Wer eine so qualifizierte Anforderung für nicht angemessen, nicht anwendbar oder nicht durchführbar hält, „muss … ihre diesbezügliche Begründung in verständlicher Weise dokumentieren“ [6]. Weglassen ist also erlaubt — schweigend weglassen nicht. Für die unqualifizierten Kriterien a bis c gibt es diesen Weg gar nicht erst. Wie sich das in ein vollständiges Lieferantenprogramm einfügt, zeigt unser Leitfaden zur NIS2-Lieferkettensicherheit.

Ab Dezember 2027 ändert sich die Sichtbarkeit, nicht die Pflicht

Der Cyber Resilience Act verschiebt die Lage auf der Produktseite. Nach Anhang I Teil II Nummer 1 müssen Hersteller Schwachstellen und Komponenten ihrer Produkte ermitteln und dokumentieren, „u. a. durch Erstellung einer Software-Stückliste in einem gängigen maschinenlesbaren Format, aus der zumindest die obersten Abhängigkeiten der Produkte hervorgehen“. Die Verordnung gilt nach Artikel 71 Absatz 2 ab dem 11. Dezember 2027; Artikel 14 greift bereits ab dem 11. September 2026 [7].

Zwei Einschränkungen verhindern, dass daraus die erhoffte Tier-2-Transparenz wird. Der Pflichtumfang endet bei den obersten Abhängigkeiten — eine Ebene, nicht der vollständige Abhängigkeitsbaum. Und die Stückliste ist nicht für Sie bestimmt: Erwägungsgrund 77 hält ausdrücklich fest, die Hersteller „sollten nicht verpflichtet sein, die Software-Stückliste zu veröffentlichen“. Anhang VII Nummer 8 sieht die Vorlage nur „auf begründetes Verlangen der Marktüberwachungsbehörde“ vor, und Anhang II Nummer 9 regelt lediglich den Fall, dass ein Hersteller sie dem Nutzer freiwillig zur Verfügung stellt [7]. Ein Herausgabeanspruch des Kunden entsteht daraus nicht. Wer die Stückliste will, muss sie sich vertraglich zusichern lassen — womit man wieder bei Mechanismus 1 ist.

Häufige Fragen

Muss ich meine Tier-2-Lieferanten nach NIS2 prüfen?
Nein, nicht als eigene Pflicht. § 30 Absatz 2 Nummer 4 BSIG und Artikel 21 Absatz 2 Buchstabe d NIS2 erfassen unmittelbare Anbieter. Tier 2 erreichen Sie über den Vertrag mit Tier 1 (Anhang 5.1.4 Buchstabe g) und über die Produktbewertung, nicht über eine direkte Prüfung.

Darf ich meinem Lieferanten Unterauftragsvergabe verbieten?
Anhang 5.1.4 Buchstabe g setzt voraus, dass Sie darüber entscheiden („sofern die betreffenden Einrichtungen die Vergabe von Unteraufträgen zulassen“). Ob ein Verbot oder ein Zustimmungsvorbehalt im konkreten Vertrag durchsetzbar und AGB-fest ist, ist eine zivilrechtliche Frage und sollte anwaltlich geprüft werden.

Gilt die Durchführungsverordnung für mein Unternehmen?
Unmittelbar nur, wenn Sie zu den in Artikel 1 genannten digitalen Einrichtungsarten gehören (Cloud, MSP, MSSP, Rechenzentren, DNS, TLD, Marktplätze, Suchmaschinen, soziale Netzwerke, Vertrauensdienste). Für alle anderen ist sie der beste verfügbare Auslegungsmaßstab zu § 30 BSIG.

Muss mein Lieferantenverzeichnis Unterlieferanten enthalten?
Nein. Anhang 5.2 verlangt ein Verzeichnis der direkten Anbieter mit Kontaktstellen und den bereitgestellten IKT-Produkten, -Diensten und -Prozessen. Wesentliche Unterauftragnehmer aufzunehmen ist zulässig und oft sinnvoll, aber nicht gefordert.

Was passiert, wenn ich eine Anforderung aus Anhang 5 weglasse?
Bei den mit „soweit angemessen/anwendbar/durchführbar“ qualifizierten Anforderungen verlangt Artikel 2 Absatz 2 Unterabsatz 2 eine verständlich dokumentierte Begründung. Bei den unqualifizierten Auswahlkriterien 5.1.2 Buchstaben a bis c existiert dieser Ausweg nicht.

Rechtlicher Hinweis

Dieser Artikel enthält allgemeine Informationen und stellt keine Rechts- oder Compliance-Beratung dar. Anforderungen können je nach Rechtsordnung, Einrichtungsart und Unternehmensstruktur abweichen. Für eine auf Ihre Situation bezogene Einschätzung wenden Sie sich an eine qualifizierte Rechtsanwältin, einen qualifizierten Rechtsanwalt oder eine Compliance-Fachkraft.

Quellen

1. [1] Richtlinie (EU) 2022/2555 (NIS2) — deutscher Volltext, Art. 21, Art. 22 und Erwägungsgründe 85, 86, 90 (EUR-Lex)
2. [2] Directive (EU) 2022/2555 (NIS 2) — englischer Volltext, Recital 85 (EUR-Lex)
3. [3] § 30 BSIG — Risikomanagementmaßnahmen besonders wichtiger und wichtiger Einrichtungen (Bundesministerium der Justiz)
4. [4] BSI-Gesetz vom 2. Dezember 2025 — konsolidierter Gesamttext (Bundesministerium der Justiz)
5. [5] Bundestags-Drucksache 21/1501 vom 8. September 2025 — Regierungsentwurf NIS2-Umsetzungsgesetz, Begründung zu § 30 (Deutscher Bundestag, PDF)
6. [6] Durchführungsverordnung (EU) 2024/2690 — Art. 1, Art. 2 und Anhang Abschnitt 5 „Sicherheit der Lieferkette“ (EUR-Lex)
7. [7] Verordnung (EU) 2024/2847 (Cyber Resilience Act) — Anhang I Teil II Nr. 1 und Art. 71 (EUR-Lex)
8. [8] Toolbox to improve ICT supply chain security, 13. Februar 2026 (Europäische Kommission)
9. [9] NIS Investments 2025, Insight #6 — Supply chain risk (ENISA)