NIS2-Entwicklungen bei Lieferanten richtig einordnen

Rechtsstand: August 2026

NIS2-Entwicklungen bei Lieferanten betreffen längst nicht nur große IT-Dienstleister. Auch mittelständische Unternehmen erhalten vermehrt Sicherheitsfragebögen, neue Vertragsanlagen oder Forderungen nach Nachweisen zum Informationssicherheitsmanagement. Wer Software bereitstellt, IT betreibt, Cloud-Dienste nutzt oder kritische Geschäftsprozesse unterstützt, wird Teil einer Lieferkette, die genauer geprüft wird.

Der Grund liegt in einem zentralen Gedanken der NIS2-Richtlinie: IT-Sicherheit endet nicht an den Grenzen des eigenen Unternehmens. Angriffe auf Dienstleister, Fernwartungszugänge oder eingesetzte Software können ganze Lieferketten beeinträchtigen. Betroffene Unternehmen müssen deshalb Risiken bei unmittelbaren Lieferanten und Dienstleistern angemessen berücksichtigen. Daraus entstehen praktische Anforderungen, auch wenn ein Lieferant selbst nicht unmittelbar in den Anwendungsbereich von NIS2 fällt.

Warum NIS2 Lieferanten stärker in den Blick nimmt

Die NIS2-Richtlinie verpflichtet betroffene Einrichtungen zu Maßnahmen für das Risikomanagement im Bereich der Cybersicherheit. Dazu gehört ausdrücklich die Sicherheit der Lieferkette. Gemeint sind insbesondere Beziehungen zu unmittelbaren Lieferanten und Dienstleistern, deren Produkte oder Leistungen für die Sicherheit von Netz- und Informationssystemen relevant sind.

In der Praxis kommt es auf die Rolle des Lieferanten an. Ein Anbieter von Büromaterialien ist anders zu bewerten als ein Managed-Service-Provider mit administrativem Zugriff auf Systeme, ein Softwarehaus mit Wartungszugang oder ein Cloud-Anbieter, auf dessen Plattform zentrale Unternehmensdaten liegen. Entscheidend sind Zugriffsrechte, Abhängigkeiten, die Kritikalität der Leistung und mögliche Auswirkungen eines Ausfalls oder Sicherheitsvorfalls.

NIS2 verlangt keine schematische Gleichbehandlung jedes Vertragspartners. Unternehmen sollten ihre Prüfungen risikobasiert gestalten. Zu umfangreiche Anforderungen können kleinere Lieferanten überfordern und Beschaffungsprozesse unnötig verzögern. Zu oberflächliche Prüfungen lassen dagegen genau dort Lücken, wo ein Angriff besonders folgenreich wäre.

Welche Entwicklungen bei Lieferanten jetzt sichtbar sind

Viele Anforderungen entstehen nicht allein durch ein Gesetzeswortlaut, sondern durch die Umsetzung in Einkauf, IT und Vertragsmanagement. Unternehmen, die selbst unter NIS2 fallen oder hohe Sicherheitsanforderungen ihrer Kunden erfüllen müssen, geben diese Erwartungen entlang der Lieferkette weiter.

Von Selbstauskünften zu belastbaren Nachweisen

Früher genügte häufig eine allgemeine Erklärung, angemessene IT-Sicherheitsmaßnahmen zu treffen. Heute fragen Kunden konkreter nach: Gibt es geregelte Zugriffsrechte? Wie werden Sicherheitsvorfälle erkannt und behandelt? Werden Backups getestet? Wie ist die Wiederherstellung nach einem Angriff organisiert? Welche Unterauftragnehmer erhalten Zugriff auf Daten oder Systeme?

Nicht jeder Lieferant muss dafür sofort ein umfangreiches Zertifikat vorlegen. Je nach Risiko können dokumentierte Prozesse, technische Nachweise oder eine nachvollziehbare Sicherheitsorganisation ausreichen. Wer jedoch sensible Daten verarbeitet, privilegierte Zugänge hat oder eine zentrale IT-Leistung erbringt, muss regelmäßig mit höheren Anforderungen rechnen.

Verträge werden präziser

Neue oder überarbeitete Verträge enthalten häufiger Regelungen zu Informationssicherheit, Meldewegen, Mitwirkung bei Sicherheitsvorfällen, Auditrechten und Unterauftragnehmern. Besonders relevant sind Fristen: Ein Dienstleister muss einen Vorfall oft deutlich früher an den Kunden melden, als dieser selbst gegenüber Behörden oder anderen Stellen reagieren muss.

Solche Klauseln sollten nicht ungeprüft übernommen werden. Eine Meldepflicht ist nur sinnvoll, wenn klar ist, welche Ereignisse zu melden sind, welche Informationen erwartet werden und wer auf beiden Seiten erreichbar ist. Unklare Begriffe wie „unverzüglich“ können im Ernstfall zu Streit führen, wenn keine internen Eskalationswege bestehen.

Unterauftragnehmer rücken mit in die Prüfung

IT-Leistungen werden selten vollständig durch einen einzigen Anbieter erbracht. Hosting, Support, Software-Komponenten, Sicherheitsüberwachung und Entwicklung können bei verschiedenen Unternehmen liegen. Für den Auftraggeber ist daher relevant, ob und wie ein direkter Lieferant seine eigenen Dienstleister auswählt und kontrolliert.

Ein vollständiges Verbot von Unterauftragnehmern ist in der digitalen Praxis oft weder realistisch noch wirtschaftlich. Sinnvoller sind transparente Informationen über kritische Unterauftragnehmer, Anforderungen an deren Sicherheitsniveau sowie ein Verfahren für wesentliche Änderungen. Bei besonders kritischen Leistungen kann zudem ein Zustimmungs- oder Widerspruchsrecht angemessen sein.

Resilienz wird neben Vertraulichkeit wichtiger

Datenschutz und IT-Sicherheit werden weiterhin häufig zusammen betrachtet. Sie verfolgen aber nicht dasselbe Ziel. Datenschutz fragt vor allem nach dem rechtmäßigen Umgang mit personenbezogenen Daten. NIS2 legt einen starken Schwerpunkt auf die Verfügbarkeit, Integrität und Widerstandsfähigkeit von Systemen.

Für Lieferanten bedeutet das: Ein Vertrag zur Auftragsverarbeitung ersetzt keine Sicherheitsprüfung nach NIS2-Gesichtspunkten. Auch wenn keine personenbezogenen Daten betroffen sind, können Ausfälle, Manipulationen oder kompromittierte Zugänge erheblichen Schaden verursachen. Notfallpläne, Wiederanlaufverfahren und getestete Backups gewinnen dadurch an Gewicht.

Was betroffene Unternehmen von Lieferanten verlangen dürfen

Welche Anforderungen angemessen sind, hängt vom Einzelfall ab. Maßgeblich sind insbesondere die Art der Leistung, die Größe und Komplexität der Beteiligten, bekannte Bedrohungen, technische Abhängigkeiten und mögliche Auswirkungen auf den Geschäftsbetrieb. Ein mittelständisches Unternehmen aus der Region Stuttgart muss nicht dieselben Prüfprozesse aufbauen wie ein internationaler Betreiber kritischer Infrastruktur. Es sollte aber seine wichtigsten IT- und Prozessabhängigkeiten kennen und nachvollziehbar bewerten können.

Bei kritischen Lieferanten sind vor allem vier Punkte sinnvoll: eine klare Sicherheitsverantwortung, geregelte Zugriffs- und Berechtigungskonzepte, ein belastbarer Prozess für Sicherheitsvorfälle sowie Vorkehrungen für Betriebsausfälle. Hinzu kommen Regelungen zur Mitwirkung bei Untersuchungen, zur Beweissicherung und zur Kommunikation mit Kunden.

Auditrechte sind ein typisches Beispiel für den notwendigen Ausgleich. Ein Auftraggeber braucht ausreichende Kontrollmöglichkeiten. Ein Lieferant kann aber berechtigterweise verlangen, dass Prüfungen angekündigt, auf relevante Bereiche begrenzt und unter Wahrung von Geschäftsgeheimnissen durchgeführt werden. Häufig sind abgestufte Nachweise, externe Prüfberichte oder strukturierte Fragebögen praktikabler als Vor-Ort-Audits.

Was Lieferanten jetzt selbst tun sollten

Lieferanten sollten NIS2 nicht nur als zusätzliche Vertragslast behandeln. Wer die eigenen Sicherheitsprozesse kennt und belegen kann, beantwortet Kundenanfragen schneller und verhandelt Vertragsklauseln auf einer besseren Grundlage. Gerade für IT-Dienstleister, Softwareanbieter und Anbieter digitaler Plattformen kann dies ein relevantes Auswahlkriterium werden.

Der erste Schritt ist eine Bestandsaufnahme. Welche Kunden erhalten welche Leistungen? Wo bestehen Fernzugriffe, administrative Berechtigungen oder Abhängigkeiten von einzelnen Systemen? Welche Unterauftragnehmer werden eingesetzt? Anschließend sollte geprüft werden, ob Sicherheitsmaßnahmen und Zuständigkeiten nicht nur vorhanden, sondern auch dokumentiert und im Alltag umsetzbar sind.

Besondere Aufmerksamkeit verdienen Incident-Response-Prozesse. Mitarbeitende müssen wissen, wann ein Sicherheitsereignis intern eskaliert wird, wer die Bewertung übernimmt und wie betroffene Kunden informiert werden. Ein formaler Prozess hilft wenig, wenn er außerhalb eines Handbuchs niemandem bekannt ist. Regelmäßige Übungen können Schwachstellen sichtbar machen, ohne dass ein echter Vorfall eintreten muss.

Auch bestehende Vertragsmuster sollten überprüft werden. Widersprüchliche Regelungen zu Haftung, Vertraulichkeit, Datenschutz, Verfügbarkeit und Sicherheitsmeldungen führen im Krisenfall zu Unsicherheit. Bei langfristigen IT-Verträgen kann es sinnvoll sein, Anpassungsmechanismen vorzusehen. Sicherheitsstandards, Bedrohungslagen und gesetzliche Vorgaben entwickeln sich weiter.

Typische Fehler bei NIS2 und Lieferanten

Ein häufiger Fehler ist, Sicherheitsfragebögen vollständig an die IT-Abteilung weiterzugeben. Viele Fragen betreffen auch Vertragsmanagement, Einkauf, Datenschutz, Personalprozesse und Geschäftsleitung. Eine koordinierte Antwort ist meist aussagekräftiger und verhindert Zusagen, die organisatorisch nicht eingehalten werden können.

Problematisch ist auch die Annahme, nur unmittelbar regulierte Unternehmen müssten handeln. Selbst wenn ein Lieferant nicht direkt unter nationale NIS2-Umsetzungsvorschriften fällt, können Kunden nachvollziehbare Sicherheitsanforderungen vertraglich vereinbaren. Umgekehrt darf ein Kunde Anforderungen nicht beliebig oder pauschal auf alle Lieferanten übertragen. Verhältnismäßigkeit bleibt ein wesentlicher Maßstab.

Schließlich sollten Unternehmen nicht allein auf Zertifikate vertrauen. Ein Zertifikat kann ein relevanter Nachweis sein, beantwortet aber nicht jede Frage zur konkreten Leistung, zum tatsächlichen Zugriffsmodell oder zur Reaktion bei einem Vorfall. Entscheidend bleibt, ob Sicherheitsmaßnahmen zum jeweiligen Risiko passen.

Wann eine rechtliche Prüfung sinnvoll ist

Eine rechtliche Prüfung bietet sich an, wenn ein Unternehmen neue Sicherheitsanlagen akzeptieren soll, kritische IT-Leistungen einkauft oder Sicherheitsanforderungen an eigene Dienstleister weitergibt. Das gilt besonders bei weitreichenden Auditrechten, kurzen Meldefristen, pauschalen Haftungszusagen, Vorgaben für Unterauftragnehmern oder unklaren Begriffsbestimmungen.

NIS2 berührt dabei nicht nur IT-Recht. Je nach Vertragsgestaltung spielen Datenschutzrecht, Geheimnisschutz, Haftungsrecht und arbeitsorganisatorische Fragen mit hinein. Eine pauschale Vorlage kann diese Schnittstellen selten zuverlässig abbilden. Dieser Beitrag dient der ersten Orientierung und ersetzt keine Prüfung des konkreten Unternehmens, Vertrags und Risikoprofils.

Wer in Fellbach, Stuttgart, Waiblingen oder bundesweit NIS2-Anforderungen in Lieferantenverträgen einordnen oder umsetzen möchte, kann eine individuelle rechtliche Prüfung anfragen. Klare Verantwortlichkeiten und realistische Prozesse schaffen dabei mehr Sicherheit als möglichst lange Vertragsanhänge.