NIS2-Check / Lieferkette

NIS2 in der Lieferkette

Die meisten Unternehmen begegnen NIS2 zuerst als Fragebogen eines Kunden. Der Grund steht in § 30 BSIG: Betroffene müssen die Sicherheit ihrer Lieferkette steuern.

Betroffenheit kostenlos prüfen

Zu den Mindestmaßnahmen des § 30 BSIG gehört die Sicherheit der Lieferkette, ausdrücklich einschließlich der sicherheitsbezogenen Aspekte der Beziehungen zu unmittelbaren Anbietern und Dienstleistern. Betroffene Einrichtungen müssen also nicht nur die eigene IT absichern, sondern auch das Risiko steuern, das über Dienstleister und Zulieferer hereinkommt.

Die Weitergabe erfolgt vertraglich, nicht gesetzlich

Das ist die entscheidende Unterscheidung. Der Zulieferer wird durch die Pflicht seines Kunden nicht selbst zur betroffenen Einrichtung. Er bekommt aber Anforderungen über den Vertrag: Sicherheitsanhänge, Fragebögen, Meldepflichten gegenüber dem Kunden mit eigenen Fristen, Regelungen zu Subunternehmern, Fernzugriff und Audits. Wer nicht liefert, verliert im Zweifel den Auftrag, und zwar ohne dass eine Behörde beteiligt wäre.

Was typischerweise gefragt wird

Sind Sie selbst NIS2-betroffen, und in welcher Kategorie?
Gibt es ein dokumentiertes Sicherheitskonzept oder ein ISMS?
Wie melden Sie einen Sicherheitsvorfall an uns, und in welcher Frist?
Wie sind Fernzugriffe auf unsere Systeme abgesichert?
Welche Subunternehmer setzen Sie ein, und wie steuern Sie diese?
Wie stellen Sie Wiederanlauf und Backup sicher?

Effizient antworten statt jedes Mal neu

Praktisch bewährt hat sich ein kleines Standardpaket: die eigene Einstufung als datiertes Dokument, ein zweiseitiges Sicherheitskonzept, ein benannter Ansprechpartner für Vorfälle mit Erreichbarkeit und eine Liste der eingesetzten Unterauftragnehmer. Damit lassen sich die meisten Fragebögen in kurzer Zeit beantworten, statt jede Anfrage einzeln zu bearbeiten.

Auch nicht Betroffene brauchen die Antwort. Die Frage nach der eigenen Einstufung steht in fast jedem Fragebogen. Ein belastbares Nein mit Datum und Begründung ist genauso wertvoll wie ein Ja.

Und in die andere Richtung

Wenn Sie selbst betroffen sind, müssen Sie Ihre eigenen Dienstleister steuern. Ein Verzeichnis der kritischen Lieferanten, eine Risikoeinschätzung je Lieferant und vertraglich verankerte Melde- und Mitwirkungspflichten sind dafür die Grundlage. Besonders relevant sind Anbieter mit privilegiertem Zugang, also IT-Dienstleister, Fernwartungspartner und Softwarelieferanten.

Beide Registrierungsfristen sind abgelaufen. Die gesetzliche Frist endete am 6. März 2026, die vom BSI kommunizierte Nachfrist am 31. Juli 2026. Wer betroffen und nicht registriert ist, sollte die Registrierung jetzt nachholen und den Zeitpunkt der eigenen Prüfung dokumentieren.

Der Ausgangspunkt bleibt die eigene Einstufung

Der kostenlose NIS2-Check liefert sie mit Paragrafenbezug, und das Ergebnis lässt sich direkt an Kunden weitergeben.

Häufige Fragen

Werden wir durch die Anforderungen unseres Kunden selbst betroffen?

Nein. Die gesetzliche Betroffenheit richtet sich allein nach Sektor und Größe. Die Anforderungen des Kunden sind vertraglicher Natur.

Müssen wir Vorfälle an den Kunden melden?

Wenn der Vertrag es vorsieht, ja. Diese vertraglichen Fristen sind oft kürzer als die gesetzlichen Fristen gegenüber dem BSI.

Reicht ein Zertifikat als Antwort?

Häufig ja, insbesondere ISO 27001 oder TISAX. Die Frage nach der eigenen NIS2-Einstufung beantwortet ein Zertifikat aber nicht.

Sind Sie NIS2-betroffen? Prüfen Sie es kostenlos.

Sektor und Größe eingeben, in unter einer Minute Ihre Einstufung, die Registrierungspflicht und den Pflichten-Fahrplan erhalten. Kostenlos, ohne Konto.

Betroffenheit prüfen

Keine Rechtsberatung. Eine erste Einschätzung auf Basis Ihrer Angaben und der aktuellen Struktur des NIS2-Umsetzungsgesetzes.