Was tun, wenn ein kritischer IT-Lieferant keine Sicherheitsnachweise liefert?

Alexander Brütsch · 08 Okt. 2026

Wenn ein kritischer IT-Lieferant keine Sicherheitsnachweise liefert, muss das betroffene Unternehmen handeln, denn die Verantwortung für Lieferkettensicherheit liegt nicht beim Lieferanten allein, sondern beim Auftraggeber. Unter NIS2 gilt das ausdrücklich: Wer als betroffenes Unternehmen Dritte in sicherheitsrelevante Prozesse einbindet, haftet für das Risiko, das diese Dritten mitbringen. Die folgenden Abschnitte beantworten die wichtigsten Fragen, die sich in dieser Situation stellen.

Welche Sicherheitsnachweise darf ein kritischer IT-Lieferant nicht verweigern?

Ein kritischer IT-Lieferant darf grundlegende Sicherheitsnachweise nicht verweigern, wenn er vertraglich oder regulatorisch dazu verpflichtet ist. Dazu gehören Zertifikate (z. B. ISO 27001), ausgefüllte Sicherheitsfragebögen, Penetrationstestergebnisse, Datenschutz-Folgenabschätzungen sowie Nachweise über Patch- und Schwachstellenmanagement. Wer diese Dokumente nicht vorlegen kann oder will, ist kein verlässlicher Partner für sicherheitsrelevante IT-Leistungen.

Welche Nachweise konkret eingefordert werden können, hängt von der Kritikalität der erbrachten Leistung ab. Ein Lieferant, der Zugang zu Produktionssystemen hat oder Clouddienste für personenbezogene Daten betreibt, steht in einer anderen Pflicht als ein Anbieter von Standardsoftware ohne Datenzugriff. Sinnvolle Kategorien für Sicherheitsnachweise sind:

Aktuelle Zertifizierungen oder Auditberichte (ISO 27001, SOC 2, TISAX)
Ausgefüllte standardisierte Fragebögen wie der VSM (Vendor Security Management) oder branchenspezifische Formate
Nachweis eines funktionierenden Incident-Response-Prozesses
Belege für regelmäßige Schwachstellenscans und Patchzyklen
Subunternehmer-Übersicht und deren Sicherheitsstatus

Fehlen diese Nachweise, entsteht eine dokumentierbare Schutzlücke in der eigenen Lieferkette, die bei einem Vorfall oder einer Behördenprüfung direkt auf das beauftragende Unternehmen zurückfällt.

Was sind die rechtlichen Konsequenzen fehlender Lieferanten-Compliance unter NIS2?

Unter NIS2 sind betroffene Unternehmen verpflichtet, Sicherheitsrisiken in der Lieferkette aktiv zu steuern. Wer nachweislich keine Sicherheitsanforderungen an Lieferanten stellt oder deren Einhaltung nicht überprüft, riskiert Bußgelder, Haftung der Geschäftsleitung und behördliche Anordnungen. Die Pflicht zur NIS2-Lieferkettensicherheit ist keine Empfehlung, sondern eine gesetzliche Anforderung.

Konkret verlangt NIS2 von betroffenen Einrichtungen, dass sie Sicherheitsanforderungen gegenüber Lieferanten und Dienstleistern vertraglich verankern und deren Umsetzung kontrollieren. Kommt es zu einem Sicherheitsvorfall, der auf einen ungeprüften Lieferanten zurückzuführen ist, müssen Unternehmen gegenüber der zuständigen Behörde nachweisen, dass sie ihrer Sorgfaltspflicht nachgekommen sind. Fehlt dieser Nachweis, drohen:

Bußgelder von bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes für wesentliche Einrichtungen
Persönliche Haftung von Geschäftsführern und Vorständen
Behördliche Auflagen bis hin zur temporären Betriebseinschränkung
Reputationsschäden durch verpflichtende Meldepflichten

Das Third-Party-Risikomanagement ist damit kein optionales Qualitätsmerkmal, sondern ein Pflichtbestandteil eines NIS2-konformen Informationssicherheitssystems.

Wie eskaliert man fehlende Sicherheitsnachweise strukturiert beim Lieferanten?

Fehlende Sicherheitsnachweise sollten in klar definierten Stufen eskaliert werden, beginnend mit einer schriftlichen Anforderung mit Fristsetzung und endend mit vertraglichen Konsequenzen, falls keine Reaktion erfolgt. Entscheidend ist, jeden Schritt zu dokumentieren, damit das eigene Unternehmen im Zweifelsfall nachweisen kann, dass es seiner Sorgfaltspflicht nachgekommen ist.

Ein praxistaugliches Eskalationsmodell für fehlende IT-Lieferanten-Sicherheitsnachweise sieht typischerweise so aus:

Schriftliche Erstanforderung mit konkreter Liste der benötigten Nachweise und einer realistischen Frist (z. B. 14 Tage)
Erinnerung mit Eskalationsankündigung, falls keine Reaktion erfolgt, verbunden mit dem Hinweis auf vertragliche Pflichten
Formelle Mängelrüge durch die Rechtsabteilung oder Geschäftsführung mit Nennung der konkreten Vertragsparagrafen
Risikoentscheidung, ob der Lieferant weiter beauftragt werden kann oder ob Kompensationsmaßnahmen (z. B. erhöhtes Monitoring, Netzwerksegmentierung) erforderlich sind
Vertragliche Konsequenzen, falls weiterhin keine Nachweise geliefert werden, bis hin zur Kündigung

Wichtig ist, dass die Eskalation nicht als Konflikt, sondern als regulärer Bestandteil des Lieferantenmanagements kommuniziert wird. Viele Lieferanten, insbesondere kleinere Anbieter, haben schlicht keine Prozesse für Sicherheitsnachweise aufgebaut und reagieren konstruktiv, sobald klar wird, dass die Anforderung ernst gemeint ist.

Welche Alternativen gibt es, wenn ein Lieferant dauerhaft keine Nachweise liefert?

Wenn ein IT-Lieferant dauerhaft keine Sicherheitsnachweise vorlegt, gibt es im Wesentlichen drei Wege: technische Kompensationsmaßnahmen, die das Risiko begrenzen, eine kontrollierte Übergangsphase bis zum Lieferantenwechsel oder die sofortige Kündigung bei hoher Kritikalität. Welcher Weg sinnvoll ist, hängt davon ab, wie tief der Lieferant in kritische Systeme eingebunden ist und wie schnell ein Ersatz beschafft werden kann.

Technische Kompensationsmaßnahmen können das Risiko eines Lieferanten ohne Sicherheitsnachweise temporär reduzieren. Dazu gehören die Netzwerksegmentierung, um den Zugriff des Lieferanten auf das Minimum zu beschränken, erhöhtes Logging und Monitoring aller Aktivitäten dieses Anbieters sowie regelmäßige manuelle Überprüfungen statt automatisiertem Vertrauen. Diese Maßnahmen ersetzen keine Sicherheitsnachweise, aber sie begrenzen die Angriffsfläche, bis eine dauerhafte Lösung gefunden ist.

Parallel sollte ein Lieferantenwechsel vorbereitet werden. Dabei ist zu beachten, dass ein Wechsel bei tief integrierten IT-Diensten (z. B. Managed Services, Cloud-Infrastruktur) Monate dauern kann. Die Übergangsphase muss aktiv gemanagt werden, mit klaren Meilensteinen und einer schriftlich festgehaltenen Risikoakzeptanz durch die Geschäftsführung.

Wie verhindert man das Problem durch klare Vertragsklauseln von Anfang an?

Das Problem fehlender Sicherheitsnachweise lässt sich am effektivsten durch vertragliche Regelungen vor Vertragsabschluss verhindern. Wer Sicherheitsanforderungen, Nachweispflichten und Konsequenzen bei Nichterfüllung von Anfang an in den Vertrag schreibt, schafft eine durchsetzbare Grundlage, die spätere Eskalationen deutlich vereinfacht oder ganz vermeidet.

Konkrete Klauseln, die in Verträge mit kritischen IT-Lieferanten gehören:

Pflicht zur Vorlage aktueller Sicherheitszertifikate oder Auditberichte, mindestens einmal jährlich
Recht des Auftraggebers, eigene Sicherheitsprüfungen oder Audits beim Lieferanten durchzuführen
Meldepflicht des Lieferanten bei Sicherheitsvorfällen, die den Auftraggeber betreffen könnten, innerhalb definierter Fristen
Verbot der Weitergabe von Auftraggeber-Daten an Subunternehmer ohne vorherige schriftliche Zustimmung
Außerordentliches Kündigungsrecht bei dauerhafter Verweigerung von Sicherheitsnachweisen

Gute Vertragsklauseln allein reichen nicht aus: Sie müssen durch ein aktives Lieferantenmanagement begleitet werden. Das bedeutet, Nachweise nicht nur einmalig bei Vertragsschluss einzufordern, sondern in regelmäßigen Abständen zu überprüfen und den Status im eigenen Risikoregister zu dokumentieren. Wer das konsequent macht, hat im Ernstfall eine belastbare Grundlage gegenüber Behörden und Kunden.

Wie UBESAFE bei der Lieferkettensicherheit unterstützt

UBESAFE begleitet Unternehmen beim Aufbau eines strukturierten Third-Party-Risikomanagements, das NIS2-konform ist und in der Praxis funktioniert. Das beginnt mit einer Bestandsaufnahme der kritischen Lieferanten und endet mit einem dokumentierten Prozess, der bei Behördenprüfungen standhält. Konkret umfasst das Angebot:

NIS2-Audit zur Bewertung der aktuellen Lieferkettensicherheit und Identifikation offener Anforderungen
Entwicklung von Lieferanten-Fragebögen und Bewertungsrahmen, abgestimmt auf die eigene Branche und Kritikalität
Aufbau von Vertragsvorlagen mit belastbaren Sicherheitsklauseln
Kontinuierliches Monitoring im Rahmen des Managed IT Service, damit Lieferantenrisiken nicht zwischen Audits unbemerkt wachsen
Unterstützung bei Eskalationen gegenüber Lieferanten durch strukturierte Dokumentation und Prozessbegleitung

Wer wissen möchte, wo das eigene Unternehmen bei der Lieferkettensicherheit heute steht, kann mit einem kostenlosen Erstaudit starten und bekommt eine klare Einschätzung ohne Verpflichtung.