Lieferkettensicherheit unter NIS-2: Was Zulieferer und Dienstleister jetzt wissen müssen

Wer NIS-2 hört, denkt oft zuerst an Betreiber kritischer Dienste wie Krankenhäuser, Energieversorger, Verwaltungen oder Telekommunikation. In der Praxis trifft die Richtlinie aber längst nicht mehr nur „die Großen“. Sie wirkt tief in die Lieferketten hinein. Dienstleister und Zulieferer in kritischen Sektoren geraten ebenso in den Fokus wie die Unternehmen, die diese beauftragen.

Genau hier liegt für viele Organisationen die eigentliche Herausforderung: Die eigenen Systeme sind vielleicht schon gut abgesichert, aber was passiert bei den Partnern, auf deren Leistungen Sie täglich angewiesen sind? Und umgekehrt: Wie gut sind Sie selbst aufgestellt, wenn ein wichtiger Kunde NIS-2-pflichtig ist und plötzlich konkrete Anforderungen an Ihre Lieferkettensicherheit stellt?

Dieser Beitrag zeigt, warum Lieferkettensicherheit in NIS-2 eine zentrale Rolle spielt, welche Anforderungen auf Zulieferer und Dienstleister in kritischen Sektoren zukommen und wie Sie sich sowohl als Auftraggeber wie als Dienstleister pragmatisch darauf vorbereiten können.

Die EU verfolgt mit NIS-2 ein klares Ziel: die Cybersicherheit in Europa insgesamt erhöhen. Dafür reicht es nicht, nur die „sichtbaren“ kritischen Einrichtungen zu adressieren. Ein Angreifer nutzt gerne den Weg des geringsten Widerstands und der führt häufig über Dienstleister, Softwareanbieter oder kleinere Zulieferer.

Genau deshalb rückt die Lieferkettensicherheit stärker in den Mittelpunkt. Organisationen sollen nicht nur ihre eigenen Netz- und Informationssysteme schützen, sondern auch die Risiken in ihrer Lieferkette verstehen und steuern.

Für Sie bedeutet das:

• Wenn Ihr Unternehmen unter den NIS-2-Geltungsbereich fällt, müssen Sie auch Ihre Dienstleister und Zulieferer betrachten.
• Wenn Sie selbst „nur“ Dienstleister sind, kann NIS-2 indirekt Druck aufbauen, weil Ihre Kundschaft höhere Anforderungen stellt.

Damit verschwimmen die Grenzen: Lieferkettensicherheit wird zu einem gemeinsamen Thema von Auftraggebenden und Auftragnehmenden.

Die Anforderungen von NIS-2 an die Lieferkettensicherheit betreffen vor allem drei Gruppen:

1. Betreiber kritischer oder wichtiger Dienste
   Organisationen, die direkt unter NIS-2 fallen, müssen künftig systematisch prüfen, wie abhängig sie von bestimmten Dienstleistern sind und wie diese abgesichert sind.
2. IT- und Cloud-Dienstleister
   Hosting-Anbieter, SaaS-Lösungen, Plattformen für Fachverfahren oder Kommunikationssysteme. Also alle, die zentrale IT-Dienste bereitstellen, werden häufig als sicherheitskritische Teile der Lieferkette eingestuft. Sie sind also entweder selbst unmittelbar als Betroffene einzustufen oder aber sie werden von ihren Auftraggebern, welche selbst betroffen sind, in die Pflicht genommen.
3. Spezialisierte Zulieferer in kritischen Sektoren
   In Gesundheit, Sozialwirtschaft, Industrie oder Verkehr gibt es viele spezialisierte Fachanwendungen und technische Dienstleister. Fällt ein solcher Service aus, steht oft mehr auf dem Spiel als „nur“ Komfort.

Kurz gesagt: NIS-2 trifft nicht nur Organisationen mit eigener großer Infrastruktur, sondern auch diejenigen, die im Hintergrund dafür sorgen, dass Prozesse überhaupt laufen.

Weiterführende Informationen dazu finden sich hier: https://www.bsi.bund.de/DE/Themen/Regulierte-Wirtschaft/NIS-2-regulierte-Unternehmen/NIS-2-Infopakete/NIS-2-Risikoanalyse/NIS-2-Risikoanalyse_node.html

b) Sicherheitsanforderungen in der Beschaffung

NIS-2 fordert, dass Sicherheitsaspekte bereits im Einkaufs- und Vergabeprozess berücksichtigt werden. Das kann bedeuten:

• Mindestanforderungen an Informationssicherheit und Datenschutz,
• strukturierte Sicherheitsfragen in Ausschreibungen.

Diese lassen sich zum Beispiel durch eine Zertifizierungen nach ISO 27001 abbilden.

Wer den Zuschlag will, sollte also künftig mehr liefern als nur einen guten Preis. 

c) Vertragliche Regelungen und Nachweise

Ein zentrales Instrument sind Verträge. Diese sollten mindestens folgende Themen bearbeiten:

1. Resilienz gegenüber Cyberangriffen

Ein einziger kompromittierter Zulieferer kann IT-Systeme lahmlegen, Datenlecks verursachen und dadurch den Geschäftsbetrieb stören. Je komplexer die Lieferkette, desto größer die Angriffsfläche für Cyberkriminelle.

2. Vermeidung von Schadsoftware und kompromittierter Hardware

Hat eine Lieferkette Schwachstellen, kann bereits bei der Entwicklung oder Auslieferung von Hardware oder Software Schadcode eingeschleust werden (z. B. durch manipulierte Updates oder kompromittierte Komponenten).

3. Schutz sensibler Daten und Systeme

Schwachstellen in der Informationssicherheit der Lieferkette erhöhen das Risiko für Datendiebstahl, Industriespionage oder Systemmanipulation.

4. Vertrauen in Produkte und Anbieter

Unternehmen müssen sich darauf verlassen können, dass ihre Produkte nicht kompromittiert oder manipuliert werden oder wurden. Eine vertrauenswürdige Lieferkette bedeutet: Verifizierte Herkunft, geprüfte Komponenten und nachvollziehbare Prozesse. Vorfälle gefährden nicht nur sensible Informationen, sondern auch Vertrauen, Handlungsfähigkeit und Reputation eines Unternehmens.

d) Monitoring und Zusammenarbeit im Incident-Management

Lieferkettensicherheit ist kein einmaliger Haken in einer Checkliste. Sie erfordert laufendes Monitoring:

• regelmäßige Überprüfung wichtiger Dienstleister,
• strukturierte Reviews von Nachweisen, Berichten oder Zertifikaten,
• abgestimmte Prozesse für den Umgang mit Sicherheitsvorfällen.

Wird ein Dienstleister Opfer eines Cyberangriffs, stellt sich unter NIS-2 schnell die Frage: Welche Vorfallsmeldungen sind erforderlich und wer meldet was an wen? Ohne vorherige Abstimmung wird das im Ernstfall unangenehm.

Für Zulieferer und Dienstleister ist NIS-2 eine deutliche Zäsur. Vieles, was bisher „nice to have“ war, wird nun zum Wettbewerbsfaktor und teilweise zur Voraussetzung für Geschäftsbeziehungen.

Typische Veränderungen:

• Mehr Fragebögen und Sicherheitsabfragen
  Kundinnen und Kunden verlangen detaillierte Angaben zu technischen und organisatorischen Maßnahmen, Incident-Management, Backup-Strategien oder Zugriffsrechten.
• Nachweise statt Absichtserklärungen
  Aussagen wie „Wir kümmern uns um IT-Sicherheit“ reichen nicht mehr. Gefordert werden dokumentierte Prozesse, Richtlinien und messbare Kontrollen.
• Wachsende Bedeutung von Zertifizierungen
  Eine ISO 27001-Zertifizierung oder vergleichbare Standards können helfen, NIS-2-Anforderungen an Lieferkettensicherheit effizient zu adressieren. Sie sind kein Muss, aber in Ausschreibungen zunehmend ein Pluspunkt.
• Verstärkte vertragliche Verpflichtungen
  Service Level, Reaktionszeiten, Meldewege, technische Mindeststandards. All das findet sich zunehmend in Verträgen wieder. Wer hier nicht mitziehen kann, verliert mittelfristig Aufträge.

Gerade für mittelständische Dienstleister in kritischen Sektoren kann das anstrengend wirken. Gleichzeitig eröffnet es eine klare Chance: Wer NIS-2-Anforderungen an Lieferkettensicherheit früh und sichtbar erfüllt, positioniert sich als verlässlicher Partner in einem Markt, in dem Vertrauen immer wichtiger wird.

Ob Sie selbst unter NIS-2 fallen oder „nur“ eng mit NIS-2-pflichtigen Organisationen zusammenarbeiten: Ein strukturiertes Vorgehen hilft, den Aufwand beherrschbar zu halten.

Schritt 1: Überblick schaffen

• Erfassen Sie Ihre wichtigsten Dienstleister und Zulieferer.
• Markieren Sie diejenigen, die für kritische Prozesse wesentlich sind oder sensible Daten verarbeiten.
• Prüfen Sie, welche davon möglicherweise selbst unter NIS-2 fallen.

Schritt 2: Kritikalität und Anforderungen definieren

• Teilen Sie Dienstleister in Klassen ein. Etwa „kritisch“, „wichtig“, „unproblematisch“.
• Legen Sie pro Klasse Mindestanforderungen fest (z. B. bestimmte Sicherheitskontrollen, Nachweise, maximale Ausfallzeiten).
• Stimmen Sie diese Kriterien mit Informationssicherheit, Datenschutz und Compliance ab.

Schritt 3: Verträge und Prozesse überprüfen

• Prüfen Sie bestehende Verträge auf Sicherheitsanforderungen, Meldepflichten und Auditrechte.
• Ergänzen Sie diese, wo nötig, pragmatisch und abgestuft nach Kritikalität.
• Richten Sie einen standardisierten Onboarding-Prozess für neue Dienstleister ein, in dem Sicherheitsfragen verbindlicher Teil der Auswahl sind.

Schritt 4: Nachweise und Monitoring etablieren

• Vereinbaren Sie, welche Nachweise Dienstleister regelmäßig liefern sollen (z. B. Zertifikate, Prüfberichte, Sicherheitsberichte).
• Definieren Sie klare Ansprechpersonen für Sicherheitsfragen auf beiden Seiten.
• Verankern Sie regelmäßige Bewertungen kritischer Dienstleister im Risikomanagement.

Schritt 5: Incident-Response gemeinsam denken

• Stimmen Sie mit wichtigen Dienstleistern ab, wie Sie im Sicherheitsvorfall zusammenarbeiten.
• Legen Sie Meldewege, Ansprechpartner und Eskalationsstufen fest.
• Üben Sie, sofern möglich, gemeinsam Szenarien, bei denen ein Vorfall beim Dienstleister Auswirkungen auf Ihre Organisation hat.

So wird Lieferkettensicherheit nicht zum bürokratischen Monster, sondern zu einem nachvollziehbaren Baustein im NIS-2-konformen Risikomanagement.