Mit NIS2 hat der europäische Gesetzgeber die Anforderungen an Cybersicherheit deutlich verschärft, und ein Bereich tritt dabei besonders in den Vordergrund: die Sicherheit der Lieferkette. Unternehmen, die unter die Richtlinie fallen, haften nicht nur für die eigene IT-Sicherheit, sondern auch für Risiken, die durch externe Dienstleister, Softwareanbieter oder Zulieferer entstehen. Das macht NIS2 Lieferkette zu einem der komplexesten Handlungsfelder der gesamten Richtlinie.
Gerade im Mittelstand sind Lieferketten oft gewachsen und wenig dokumentiert. Viele Unternehmen arbeiten mit Dutzenden von Drittanbietern zusammen, ohne deren Sicherheitsniveau systematisch bewertet zu haben. Genau das reicht unter NIS2 nicht mehr aus.
Lieferkettensicherheit als Kernpflicht unter NIS2
NIS2 verankert die Sicherheit von Lieferketten als eigenständige Pflicht, nicht als Randthema. Artikel 21 der Richtlinie verpflichtet betroffene Einrichtungen ausdrücklich, Risiken in der Lieferkette zu berücksichtigen, einschließlich der Sicherheitspraktiken von Lieferanten und Dienstleistern. Wer als wesentliche oder wichtige Einrichtung eingestuft wird, muss nachweisen können, dass auch die externe IT-Versorgungskette angemessen abgesichert ist.
Der Gedanke dahinter ist nachvollziehbar: Viele der gravierendsten Cyberangriffe der letzten Jahre haben nicht direkt beim Zielunternehmen angesetzt, sondern bei einem Dienstleister mit privilegiertem Zugang. NIS2 zieht daraus eine klare Konsequenz: Wer kritische Prozesse an Dritte auslagert, überträgt damit nicht die Verantwortung für die Sicherheit.
Konkrete Pflichten gegenüber Lieferanten und Dienstleistern
Die Richtlinie formuliert keine abschließende Liste von Maßnahmen, sondern fordert einen risikobasierten Ansatz. Betroffene Unternehmen müssen sicherstellen, dass Lieferanten und Dienstleister angemessene Sicherheitsstandards einhalten, und dies auch vertraglich verankern. Das betrifft sowohl technische Dienstleister wie Managed Service Provider und Cloud-Anbieter als auch Softwarehersteller, deren Produkte im Betrieb kritischer Systeme eingesetzt werden.
Konkret bedeutet das: Unternehmen müssen wissen, welche Drittanbieter Zugang zu ihren Systemen haben, welche Daten sie verarbeiten und welche Sicherheitsanforderungen für sie gelten. Eine reine Selbstauskunft des Lieferanten reicht in der Regel nicht aus. Gefordert sind nachvollziehbare Nachweise, etwa in Form von Zertifizierungen, Auditberichten oder vertraglich vereinbarten Sicherheitsstandards.
Risikobasierte Bewertung der Lieferkette in der Praxis
Nicht jeder Lieferant stellt das gleiche Risiko dar. Ein Bürobedarfslieferant ohne Systemzugang ist anders zu bewerten als ein IT-Dienstleister, der Fernwartung an produktionskritischen Systemen durchführt. Die risikobasierte Bewertung beginnt deshalb mit einer vollständigen Inventarisierung aller externen Dienstleister und einer Einschätzung, welche Systeme, Daten und Prozesse sie berühren.
In der Praxis hat sich eine Kategorisierung nach Kritikalität bewährt. Lieferanten mit direktem Systemzugang oder der Verarbeitung sensibler Daten werden als hochkritisch eingestuft und unterliegen strengeren Anforderungen. Lieferanten ohne relevante IT-Berührungspunkte können mit vereinfachten Prozessen behandelt werden. Diese Abstufung macht das Lieferkettenmanagement handhabbar, ohne auf Vollständigkeit zu verzichten.
Kriterien für die Risikoeinstufung
Bei der Bewertung einzelner Lieferanten spielen mehrere Faktoren eine Rolle:
- Art und Umfang des Systemzugangs (lesend, schreibend, administrativ)
- Verarbeitete Datenkategorien und deren Sensitivität
- Abhängigkeit des eigenen Betriebs von der Leistung des Lieferanten
- Vorhandene Sicherheitsnachweise wie ISO 27001, SOC 2 oder branchenspezifische Zertifizierungen
- Vertragliche Regelungen zu Sicherheitsvorfällen und Meldepflichten
Diese Kriterien lassen sich in einem standardisierten Fragebogen oder einer Lieferantenbewertungsmatrix abbilden, die regelmäßig aktualisiert wird.
Vertragliche und organisatorische Umsetzungsmaßnahmen
Neben der Bewertung müssen die Ergebnisse in konkrete Maßnahmen übersetzt werden. Verträge mit kritischen Lieferanten sollten Sicherheitsanforderungen, Auditrechte, Meldepflichten bei Sicherheitsvorfällen und Mindeststandards für den Datenschutz enthalten. Das ist keine Formalität, sondern Voraussetzung für die Nachweispflicht gegenüber Aufsichtsbehörden.
Organisatorisch braucht es einen definierten Prozess für die Aufnahme neuer Lieferanten, regelmäßige Reviews bestehender Lieferantenbeziehungen und klare Verantwortlichkeiten. In vielen Unternehmen fehlt genau diese Struktur: Lieferanten werden einmalig geprüft und dann jahrelang nicht mehr hinterfragt, obwohl sich sowohl die Bedrohungslage als auch die Lieferantenstruktur laufend verändern.
Herausforderungen für den Mittelstand bei der Umsetzung
Für mittelständische Unternehmen ist die NIS2 Supply Chain Compliance besonders anspruchsvoll. Die Ressourcen für ein strukturiertes Lieferantenmanagement fehlen häufig, und die Lieferketten sind historisch gewachsen, ohne dass Sicherheitsaspekte im Vordergrund standen. Gleichzeitig sind viele Mittelständler selbst Lieferanten größerer Unternehmen und erhalten von dort zunehmend Anfragen zu ihrem eigenen Sicherheitsniveau.
Ein weiteres Problem ist die Durchsetzbarkeit gegenüber großen Softwareherstellern oder Cloud-Anbietern. Wer Microsoft 365 oder AWS nutzt, kann keine individuellen Vertragsklauseln aushandeln. Hier müssen Unternehmen auf die verfügbaren Sicherheitsnachweise dieser Anbieter zurückgreifen und dokumentieren, dass sie diese bei der Lieferantenbewertung berücksichtigt haben. Das ist zulässig, muss aber nachvollziehbar belegt sein.
Hinzu kommt der zeitliche Druck: NIS2 gilt in Deutschland seit 2025, und die Aufsichtsbehörden beginnen schrittweise mit der Durchsetzung. Unternehmen, die die Lieferkettensicherheit bislang zurückgestellt haben, stehen vor einem erheblichen Aufholbedarf.
NIS2-Lieferkettensicherheit strukturiert angehen
Ein pragmatischer Einstieg beginnt mit der Bestandsaufnahme: Welche Lieferanten haben Zugang zu welchen Systemen? Diese Frage lässt sich oft in wenigen Tagen beantworten, wenn die richtigen Personen einbezogen werden. Darauf aufbauend kann die Risikobewertung und die Priorisierung von Maßnahmen erfolgen.
Wichtig ist, das Thema nicht als einmaligen Kraftakt zu verstehen. NIS2 Compliance Lieferkette ist ein fortlaufender Prozess, der in die regulären Sicherheitsprozesse integriert werden muss. Das bedeutet: Lieferantenbewertungen in Beschaffungsprozesse einbauen, Verträge regelmäßig prüfen und bei Sicherheitsvorfällen bei Lieferanten klare Eskalationswege haben.
So unterstützt UBESAFE bei der NIS2-Lieferkettensicherheit
UBESAFE begleitet Unternehmen durch den gesamten NIS2-Prozess, von der ersten Betroffenheitsanalyse bis zur dauerhaften Umsetzung. Für die Lieferkettensicherheit bedeutet das konkret:
- Strukturierte Bestandsaufnahme aller relevanten Drittanbieter und deren Risikoprofil
- Entwicklung einer praxistauglichen Bewertungsmatrix und Lieferantenkategorisierung
- Erarbeitung vertraglicher Anforderungen und Sicherheitsklauseln für kritische Lieferanten
- Integration der Lieferkettenbewertung in ein bestehendes oder neu aufzubauendes ISMS
- Kontinuierliches Monitoring und regelmäßige Reviews im Rahmen des Managed Service
Das NIS2-Audit von UBESAFE analysiert den aktuellen Reifegrad, deckt Lücken auf und legt einen konkreten Maßnahmenplan fest. Der anschließende Managed Service stellt sicher, dass die Anforderungen nicht einmalig erfüllt, sondern dauerhaft eingehalten werden, inklusive technischer Maßnahmen wie 24/7-Monitoring, Schwachstellen-Scans und SIEM. Wer wissen will, wo das eigene Unternehmen heute steht, kann mit einem kostenlosen Erstaudit starten.