Wie bewertet man Lieferketten-Risiken nach NIS2?

Alexander Brütsch · 25 Aug. 2026

NIS2 verpflichtet betroffene Unternehmen nicht nur dazu, die eigene IT-Sicherheit zu verbessern, sondern auch Risiken entlang der Lieferkette systematisch zu bewerten und zu steuern. Das stellt viele Betriebe vor eine praktische Herausforderung: Lieferanten und Dienstleister lassen sich nicht so einfach kontrollieren wie interne Systeme. Wer die NIS2-Anforderungen ernst nimmt, braucht einen strukturierten Ansatz, um zu entscheiden, welche Drittanbieter relevant sind, wie Risiken bewertet werden und welche Maßnahmen verhältnismäßig sind.

Die Bewertung von Lieferketten-Risiken nach NIS2 ist kein einmaliges Projekt, sondern ein fortlaufender Prozess. Dieser Artikel erklärt, wie Unternehmen dabei methodisch vorgehen können.

Welche Lieferanten unter NIS2 relevant sind

Nicht jeder Lieferant muss mit demselben Aufwand bewertet werden. NIS2 zielt auf Drittanbieter ab, die direkten oder indirekten Einfluss auf die Sicherheit kritischer Dienste haben. Das sind vor allem IT-Dienstleister, Softwareanbieter, Cloud-Plattformen, Netzwerkbetreiber und Unternehmen, die Zugang zu internen Systemen oder sensiblen Daten haben.

Ein erster Schritt ist die Klassifizierung aller Lieferanten nach ihrer Systemrelevanz. Dabei helfen Fragen wie: Hat der Anbieter Zugriff auf produktionskritische Systeme? Könnte ein Ausfall oder Sicherheitsvorfall beim Lieferanten den eigenen Betrieb gefährden? Je höher die Abhängigkeit, desto intensiver fällt die Bewertung aus. Lieferanten ohne Systemzugang oder ohne Einfluss auf kritische Prozesse können mit einem vereinfachten Verfahren behandelt werden.

Risikokriterien für die Lieferkettenbewertung

Eine belastbare NIS2-Risikobewertung der Lieferkette braucht klare Kriterien. Ohne definierte Maßstäbe bleibt die Bewertung subjektiv und gegenüber Aufsichtsbehörden schwer nachvollziehbar.

Typische Risikokriterien umfassen die folgenden Dimensionen:

Zugriffsniveau: Welche Systeme, Daten oder Netzwerke kann der Lieferant erreichen?
Kritikalität der Abhängigkeit: Was passiert, wenn der Lieferant ausfällt oder kompromittiert wird?
Sicherheitsreifegrad des Anbieters: Verfügt er über ein ISMS, Zertifizierungen oder nachweisbare Sicherheitspraktiken?
Geografische und rechtliche Risiken: In welchen Rechtsräumen operiert der Anbieter, und welche Datenschutzanforderungen gelten?
Subauftragnehmer: Setzt der Lieferant selbst Dritte ein, die Zugang zu den eigenen Systemen erhalten könnten?

Diese Kriterien erlauben eine Priorisierung: Anbieter mit hohem Zugriff und niedrigem Sicherheitsreifegrad erfordern sofortige Maßnahmen, während unkritische Lieferanten mit nachgewiesenen Sicherheitsstandards weniger Aufmerksamkeit beanspruchen.

Methoden zur strukturierten Risikobewertung

Für die praktische Durchführung gibt es verschiedene Ansätze, die sich je nach Unternehmensgröße und Lieferantenanzahl kombinieren lassen.

Fragebögen und Selbstauskünfte

Der häufigste Einstieg ist ein standardisierter Sicherheitsfragebogen, den Lieferanten ausfüllen. Er erfasst Informationen zu Zertifizierungen, Sicherheitsrichtlinien, Vorfallmanagement und technischen Schutzmaßnahmen. Der Aufwand ist gering, die Aussagekraft hängt aber stark davon ab, wie ehrlich und präzise die Antworten sind.

Risikobasierte Tiefenprüfung

Für kritische Lieferanten empfiehlt sich eine intensivere Prüfung: Dokumentenanalyse, Interviews mit Ansprechpartnern oder technische Audits. Dabei geht es darum, die tatsächliche Sicherheitspraxis zu verstehen, nicht nur die dokumentierte. Unternehmen mit ISO 27001- oder TISAX-Zertifizierung liefern hier einen belastbaren Nachweis, der den Aufwand reduziert.

Risikomatrix und Scoring

Eine einfache Risikomatrix, die Eintrittswahrscheinlichkeit und Schadensausmaß kombiniert, hilft dabei, Lieferanten vergleichbar zu bewerten und Prioritäten zu setzen. Das Ergebnis ist ein Risikoprofil pro Anbieter, das als Grundlage für Maßnahmen und Vertragsgestaltung dient.

Vertragliche und technische Schutzmaßnahmen

Die Risikobewertung allein reicht nicht aus. NIS2 erwartet, dass identifizierte Risiken durch konkrete Maßnahmen adressiert werden, sowohl vertraglich als auch technisch.

Auf vertraglicher Seite gehören Sicherheitsanforderungen als verbindliche Bestandteile in Lieferantenverträge: Meldepflichten bei Sicherheitsvorfällen, Anforderungen an Mindestsicherheitsstandards, Auditrechte und Regelungen zur Subauftragnehmer-Kontrolle. Verträge, die diese Punkte nicht abdecken, schaffen eine Lücke in der Nachweiskette gegenüber Behörden.

Technisch lassen sich Risiken durch Zugriffsbeschränkungen, Netzwerksegmentierung, Monitoring von Drittanbieter-Aktivitäten und regelmäßige Schwachstellenscans begrenzen. Besonders wichtig ist, dass privilegierte Zugänge für externe Dienstleister strikt kontrolliert und protokolliert werden. Wer hier auf ein SIEM-System zurückgreift, kann Auffälligkeiten frühzeitig erkennen.

Lieferkettenbewertung als kontinuierlicher Prozess

Eine einmalige Bewertung erfüllt die NIS2-Anforderungen nicht dauerhaft. Lieferantenbeziehungen ändern sich, neue Anbieter kommen hinzu, und die Bedrohungslage entwickelt sich weiter. NIS2-Lieferkettensicherheit ist daher als laufende Aufgabe zu verstehen.

Bewährte Praxis ist ein jährlicher Review-Zyklus für alle relevanten Lieferanten, ergänzt durch anlassbezogene Neubewertungen bei wesentlichen Änderungen, etwa wenn ein Anbieter seinen Betrieb verlagert, neue Subunternehmer einsetzt oder selbst von einem Sicherheitsvorfall betroffen war. Ein zentrales Lieferantenregister, das Risikoeinstufungen, Bewertungsdaten und Maßnahmenstatus dokumentiert, macht den Prozess nachvollziehbar und auditierbar.

Unternehmen, die diesen Prozess in ihr bestehendes Risikomanagement integrieren, schaffen keine Parallelstruktur, sondern nutzen vorhandene Governance-Strukturen effizienter.

Lieferkettensicherheit mit externem NIS2-Support umsetzen

UBESAFE begleitet Unternehmen bei der vollständigen NIS2-Umsetzung, einschließlich der strukturierten Bewertung von Lieferanten und Drittanbieterrisiken. Der Einstieg ist ein NIS2-Audit, das den aktuellen Stand analysiert, die Anwendbarkeit der Anforderungen prüft und mit einer GAP-Analyse konkrete Handlungsfelder aufzeigt. Darauf aufbauend übernimmt UBESAFE im Rahmen eines Managed Service die laufende Überwachung, regelmäßige Reviews und die technische Umsetzung.

Für die Lieferkettenbewertung bedeutet das in der Praxis:

Entwicklung eines praxistauglichen Lieferantenklassifizierungsmodells passend zur eigenen Branche und Unternehmensgröße
Erstellung standardisierter Fragebögen und Bewertungsvorlagen für Drittanbieter
Aufbau eines dokumentierten Lieferantenregisters, das Auditanforderungen standhält
Technische Maßnahmen wie Zugriffskontrolle, SIEM und Schwachstellenscans zur Absicherung von Drittanbieter-Schnittstellen
Vertragsvorlagen mit NIS2-konformen Sicherheitsklauseln

Wer NIS2-Lieferkettensicherheit nicht intern aufbauen kann oder will, findet in UBESAFE einen Partner, der technisches Know-how mit Compliance-Erfahrung verbindet. Für einen ersten Überblick über den eigenen Stand empfiehlt sich ein kostenfreier Erstcheck, um ohne Aufwand zu verstehen, wo konkreter Handlungsbedarf besteht.