Ein Angriff auf einen kleinen Dienstleister kann einen ganzen Konzern lahmlegen. Genau hier setzt die NIS2 Lieferkette an. Denn NIS2 zwingt betroffene Firmen, die Sicherheit ihrer Zulieferer zu steuern. Und zwar nicht nur die eigene IT. Deshalb geben große Kunden ihre Pflichten an Partner weiter. Somit landet das Thema auch bei KMU, die sich nie als kritisch gesehen haben.
Dieser Beitrag zeigt, wie die NIS2 Lieferkette konkret funktioniert. Zunächst geht es um die Grundlage in Artikel 21. Danach um die Prüfung der Zulieferer. Zudem um passende Klauseln im Vertrag. Zum Schluss um die Frage, was nicht betroffene Betriebe tun. Das Ziel ist ein klarer Fahrplan. Also praktische Schritte statt vager Warnungen.
Was NIS2 für die Lieferkette bedeutet
Die NIS2 Lieferkette meint die Sicherheit aller Partner Ihres Betriebs. Dazu zählen Software-Anbieter, Cloud-Dienste und klassische Zulieferer. Dabei geht NIS2 von einer einfachen Erkenntnis aus. Ein Angreifer sucht sich das schwächste Glied. Deshalb reicht die eigene Absicherung nicht aus. Denn ein Angriff auf den Dienstleister öffnet die Tür zum Kunden. Somit zählt die Kette. Nicht nur das eigene Haus.
Österreich setzt NIS2 mit dem NISG 2026 um. Damit wird die europäische Richtlinie 2022/2555 zu nationalem Recht. Die Pflichten gelten seit 1. Oktober 2026. Ob Ihr Betrieb überhaupt direkt betroffen ist, klären Sie am besten vorab. Dabei hilft unser Beitrag zur Prüfung der NIS2-Betroffenheit.
Warum Angriffe über Partner zunehmen
Die Zahlen sprechen eine deutliche Sprache. Laut ENISA zielen immer mehr Attacken auf Zulieferer statt auf das Opfer selbst. Denn ein Einbruch beim Anbieter erreicht viele Kunden auf einmal. Also ein Treffer, viele Opfer. Genau das macht solche Angriffe so attraktiv. Ein Blick in die ENISA-Studie zur Lieferketten-Sicherheit zeigt das Muster. Deshalb rückt die NIS2 Lieferkette in den Fokus des Gesetzgebers.
Direkter und indirekter Kreis
NIS2 unterscheidet zwei Rollen. Zunächst das betroffene Unternehmen selbst. Es muss seine Lieferanten aktiv steuern. Danach der Zulieferer, der selbst nicht direkt unter das Gesetz fällt. Er spürt die Pflichten trotzdem. Nämlich über den Vertrag. Somit wirkt NIS2 weit über den engen Kreis der Einrichtungen hinaus. Wir ordnen Ihre Rolle im Rahmen unserer NIS2-Beratung ein.
Für viele KMU ist das eine neue Erfahrung. Früher war die Sicherheit der Partner eine reine Vertrauensfrage. Heute ist sie eine Rechtspflicht mit klaren Vorgaben. Deshalb sorgt die NIS2 Lieferkette gerade im Mittelstand für viele Fragen. Genau hier setzt dieser Leitfaden an.
Artikel 21 und die Sicherheit der Lieferkette
Die rechtliche Grundlage der NIS2 Lieferkette steht in Artikel 21 der Richtlinie, in Österreich in § 32 Abs. 4 lit. d NISG 2026. Dort listet der Gesetzgeber die Risikomanagement-Maßnahmen auf. Eine davon betrifft ausdrücklich die Sicherheit der Lieferkette. Konkret nennt Artikel 21 Absatz 2 lit. d die Beziehungen zu direkten Anbietern und Dienstleistern. Somit ist die Lieferkette kein Nebenthema. Sie steht neben Verschlüsselung und Zugriff auf Systeme.
Der Wortlaut ist bewusst breit gehalten. Denn er soll jede Branche erfassen. Die gesamte Liste der Pflichten erklären wir im Beitrag zu den NIS2-Maßnahmen nach Artikel 21. Den vollständigen Rechtstext finden Sie in der Richtlinie 2022/2555 auf EUR-Lex.
Was der Gesetzgeber konkret verlangt
Artikel 21 verlangt eine bewusste Steuerung der Partner. Betroffene müssen die Schwachstellen ihrer Lieferanten bewerten. Zudem zählt die Qualität der Produkte. Dabei geht es nicht nur um den direkten Anbieter. Auch dessen Prozesse gehören dazu. Somit reicht die Prüfung tiefer als ein Vertrag. Vielmehr verlangt sie einen echten Überblick über die Risiken.
Die Rolle der Geschäftsführung
NIS2 nimmt die Leitung in die Pflicht. Die Geschäftsführung muss die Maßnahmen freigeben und überwachen. Das gilt auch für die Lieferkette. Wird ein Risiko übersehen, kann das auf die Leitung zurückfallen, etwa als Schadenersatz gegenüber der Gesellschaft. Was das bedeutet, lesen Sie zur Geschäftsführerhaftung unter NIS2. Deshalb gehört die Steuerung der Partner auf die Agenda der Chefetage. Nicht allein in die IT-Abteilung.
Ein bestehendes Managementsystem hilft dabei enorm. Denn ein ISMS nach ISO 27001 deckt die Steuerung der Lieferanten bereits ab. Die Norm kennt eigene Controls für den Umgang mit Partnern. Somit müssen Betriebe mit ISMS das Rad nicht neu erfinden. Sie ergänzen ihr System gezielt um die NIS2-Themen.
Ein Beispiel aus der Praxis
Nehmen wir einen Netzbetreiber als wesentliche Einrichtung. Er nutzt eine externe Software für die Fernwartung. Genau diese Software ist ein Einfallstor. Deshalb muss der Netzbetreiber den Anbieter aktiv prüfen. Er verlangt ein Zertifikat und ein Prüfrecht. Zudem klärt er, wie schnell der Anbieter Vorfälle meldet. Somit wird aus Artikel 21 eine konkrete Handlung. Nicht bloß ein Satz im Gesetz. Genau so übersetzt sich die NIS2 Lieferkette in den Alltag.
NIS2 Lieferkette: So prüfen Unternehmen ihre Zulieferer
Betroffene Unternehmen prüfen ihre Zulieferer in einem klaren Verfahren. Zunächst verschaffen sie sich einen Überblick über alle Partner. Danach ordnen sie diese nach ihrem Risiko. Zum Schluss legen sie fest, welche Nachweise sie verlangen. Somit wird aus einer vagen Sorge ein klarer Prozess. Genau das erwartet die NIS2 Lieferkette von jedem betroffenen Betrieb.
Schritt eins: die Lieferanten erfassen
Legen Sie zuerst eine Liste aller relevanten Partner an. Wer hat Zugriff auf Ihre Systeme? Welche Partner liefern kritische Vorprodukte? Und wer betreibt Ihre Cloud? Diese Fragen decken die wichtigsten Abhängigkeiten auf. Dabei zeigt sich oft eine überraschende Zahl an Dienstleistern. Ein IT-Security-Audit bringt hier schnell Struktur hinein.
Schritt zwei: nach Risiko einstufen
Nicht jeder Lieferant birgt das gleiche Risiko. Ein Anbieter mit Vollzugriff auf Ihre Daten wiegt schwer. Ein reiner Papierlieferant wiegt kaum. Deshalb teilen Sie die Partner in Klassen ein. Ein einfaches Ampelsystem genügt für den Anfang. Rot heißt hohes Risiko und volle Prüfung. Grün heißt wenig Risiko und wenig Aufwand. Somit lenken Sie Ihre Kraft dorthin, wo sie zählt.
Die folgende Tabelle zeigt ein mögliches Raster für die Einstufung. Sie hilft, den Aufwand pro Lieferant sinnvoll zu dosieren.
| Risikoklasse | Beispiel-Lieferant | Geforderter Nachweis |
|---|---|---|
| Hoch (rot) | Cloud-Anbieter, IT-Dienstleister mit Systemzugriff | ISO-27001-Zertifikat, Audit-Bericht, Vertragsklauseln |
| Mittel (gelb) | Software-Zulieferer, externe Wartung | Selbstauskunft, Sicherheitsfragebogen |
| Gering (grün) | Büromaterial, Reinigung, Catering | Keine oder minimale Prüfung |
Schritt drei: Nachweise einholen
Verlangen Sie danach passende Belege je Klasse. Bei hohem Risiko genügt kein Versprechen. Hier braucht es ein Zertifikat oder einen Bericht. Bei mittlerem Risiko reicht oft ein Fragebogen. Zudem dokumentieren Sie jede Entscheidung. Denn die Behörde kann später fragen, wie Sie Ihre Partner steuern. Ein sauberes Register schützt Sie dabei. Mehr zur Umsetzung finden Sie in unserem Beitrag zum Cybersecurity-Aufbau für KMU.
Vertragsklauseln und Nachweise im Detail
Der Vertrag ist das zentrale Werkzeug der NIS2 Lieferkette. Denn ohne klare Klauseln bleibt jede Anforderung unverbindlich. Deshalb schreiben betroffene Unternehmen ihre Erwartungen in die Verträge. Das reicht von konkreten Sicherheitsmaßnahmen bis zum Recht auf Prüfung. Somit wird aus einer Empfehlung eine durchsetzbare Pflicht.
Diese Klauseln gehören in den Vertrag
- Schutz: Der Lieferant sichert konkrete Maßnahmen zu, etwa Verschlüsselung und Zugriff nur für Befugte.
- Meldung: Der Partner meldet einen Vorfall sofort. So halten Sie Ihre eigenen Fristen ein.
- Prüfrecht: Sie dürfen die Vorgaben kontrollieren, etwa per Audit oder Fragebogen.
- Weitergabe: Der Lieferant gibt die Vorgaben an seine eigenen Partner weiter.
Die Meldepflicht ist dabei besonders heikel. Denn NIS2 verlangt eine erste Warnung binnen 24 Stunden. Das schaffen Sie nur, wenn Ihr Lieferant sofort informiert. Details dazu lesen Sie im Beitrag zur NIS2-Meldepflicht. Deshalb gehört eine enge Meldekette in jeden kritischen Vertrag.
Der Bezug zum Datenschutz
Viele Lieferantenbeziehungen berühren auch personenbezogene Daten. Dann greift zusätzlich die DSGVO. Wer Daten im Auftrag verarbeiten lässt, braucht ohnehin einen Vertrag. Wie dieser aussieht, zeigt unser Beitrag zum Auftragsverarbeitungsvertrag. Somit lassen sich NIS2- und Datenschutz-Klauseln oft im selben Dokument bündeln. Das spart Aufwand und schafft Klarheit.
Welche Nachweise wirklich zählen
Nicht jeder Nachweis hat das gleiche Gewicht. Ein ISO-27001-Zertifikat einer akkreditierten Stelle wiegt schwer. Denn es belegt ein geprüftes Managementsystem. Eine reine Selbstauskunft ist schwächer, aber für kleine Partner oft angemessen. Was eine Zertifizierung kostet, lesen Sie im Beitrag zu den ISO-27001-Kosten. Die österreichische WKO-Übersicht zur Lieferketten-Sicherheit nennt weitere gültige Nachweisformen. Deshalb wählen Sie den Nachweis passend zum Risiko des Lieferanten.
Warum auch nicht betroffene KMU gefordert sind
Auch ein nicht direkt betroffenes KMU spürt die NIS2 Lieferkette. Denn die Pflichten wandern über den Vertrag zum Zulieferer. Ein Beispiel macht das greifbar. Ein kleiner Softwarebetrieb beliefert einen Energieversorger. Der Versorger ist eine wesentliche Einrichtung. Deshalb verlangt er von seinem Partner klare Nachweise. Der Betrieb selbst fällt nicht unter das Gesetz. Trotzdem muss er liefern. Sonst verliert er den Auftrag.
Genau dieser Effekt zieht viele KMU in die Pflicht. Die NIS2 Lieferkette wirkt wie ein Dominoeffekt. Große Kunden geben ihre Anforderungen nach unten weiter. Und deren Kunden ebenso. Somit reicht die Wirkung bis zum kleinen Handwerksbetrieb. Wer hier nicht vorbereitet ist, riskiert Aufträge.
Was auf Zulieferer konkret zukommt
Auf Zulieferer kommen meist Fragebögen und Zusätze zum Vertrag zu. Dabei will der Kunde wissen, wie Sie Ihre Systeme schützen. Dazu zählen Zugriffskontrolle, Backups und ein Notfallplan. Zudem fragt er nach Ihrer Reaktion auf Vorfälle. Deshalb lohnt sich ein solider Notfallplan im Rahmen des BCM. Denn wer die Fragen souverän beantwortet, gewinnt Vertrauen. Und behält den Auftrag.
Aus der Pflicht einen Vorteil machen
Die Weitergabe hat einen positiven Nebeneffekt. Sie zieht das Sicherheitsniveau nach oben. Denn wer vorbereitet ist, sticht bei Ausschreibungen hervor. Ein Zulieferer mit sauberer Sicherheit gewinnt Aufträge leichter. Vor allem gegenüber jenen, die das Thema aufschieben. Somit wird aus einer lästigen Pflicht ein echtes Verkaufsargument. Genau darum lohnt sich die Vorbereitung doppelt. Sie erfüllt die Anforderung des Kunden. Und sie schützt das eigene Geschäft vor Angriffen.
Ein Zertifikat kann diesen Vorteil verstärken. Denn es beantwortet viele Kundenfragen auf einen Schlag. Statt jeden Fragebogen einzeln auszufüllen, legen Sie das Zertifikat vor. Somit sinkt der Aufwand bei jeder neuen Anfrage. Deshalb prüfen wachsende Zulieferer oft früh eine ISMS-Einführung nach ISO 27001. Sie zahlt sich über viele Kundenbeziehungen aus.
NIS2 Lieferkette: Risikomanagement in der Praxis
Ein gutes Lieferanten-Risikomanagement macht die NIS2 Lieferkette beherrschbar. Denn es macht aus einer großen Aufgabe einen laufenden Prozess. Zunächst bauen Sie das Register auf. Danach pflegen Sie es regelmäßig. Somit bleibt der Überblick erhalten. Auch wenn neue Partner dazukommen. Genau diese Kontinuität erwartet der Gesetzgeber.
Der Prozess in vier Etappen
Das Verfahren folgt einer klaren Schleife. Zunächst identifizieren Sie neue Lieferanten und stufen sie ein. Danach holen Sie die passenden Nachweise ein. Anschließend überwachen Sie die Partner im laufenden Betrieb. Zum Schluss prüfen Sie das Register einmal im Jahr neu. Diese vier Etappen wiederholen sich fortlaufend. So orientiert sich das Vorgehen am C-SCRM-Ansatz, den auch das BSI für die Lieferkette empfiehlt.
Wer den Prozess steuert
Kleine Betriebe haben selten einen eigenen Sicherheitschef. Trotzdem braucht der Prozess eine feste Zuständigkeit. Hier hilft ein Fachmann von außen. Ein virtueller CISO übernimmt die Steuerung ohne feste Anstellung. Somit erhalten auch KMU professionelle Führung im Thema. Denn ohne klare Verantwortung verläuft der Prozess schnell im Sand.
Ein Zeitplan macht die Sache greifbar. Rechnen Sie mit mehreren Wochen für den ersten Aufbau. Zunächst kostet die Erfassung der Partner etwas Zeit. Danach folgt die Einstufung. Zudem holen Sie die Nachweise ein. Zum Schluss steht die laufende Pflege. Da die Pflichten seit Oktober 2026 gelten, sollten Sie damit nicht länger warten.
Typische Fehler vermeiden
Manche Betriebe prüfen nur die großen Lieferanten. Doch oft sitzt das Risiko beim kleinen Dienstleister mit Zugriff. Deshalb zählt die Rolle, nicht die Größe des Partners. Andere holen Nachweise ein. Dann legen sie diese ungeprüft ab. Somit entsteht nur Papier, aber keine Sicherheit. Deshalb gehört zu jedem Nachweis eine kurze Bewertung. Genau diese Punkte klären wir gemeinsam. Ein Blick von außen deckt die blinden Flecken schnell auf. Vereinbaren Sie dazu ein Erstgespräch.
Häufig gestellte Fragen
Was verlangt NIS2 für die Lieferkette?
NIS2 verlangt in Artikel 21 (in Österreich § 32 Abs. 4 lit. d NISG 2026), dass betroffene Unternehmen die Sicherheit ihrer direkten Lieferanten steuern. Dazu gehört die Bewertung der Risiken und passende Vertragsklauseln. Somit ist die NIS2 Lieferkette eine echte Rechtspflicht. Sie steht gleichberechtigt neben Verschlüsselung und Zugriffskontrolle.
Sind auch nicht betroffene KMU von NIS2 gefordert?
Ja, indirekt. Betroffene Kunden geben ihre Pflichten über Verträge weiter. Deshalb müssen auch nicht direkt betroffene Zulieferer oft Sicherheitsnachweise liefern. Andernfalls droht der Verlust des Auftrags. Genau darum lohnt sich die frühe Vorbereitung.
Welche Nachweise fordern betroffene Unternehmen?
Das hängt vom Risiko des Lieferanten ab. Bei hohem Risiko zählt ein ISO-27001-Zertifikat oder ein Bericht aus einem Audit. Hingegen genügt bei geringem Risiko oft eine Selbstauskunft. Deshalb passt man den Nachweis stets an die Rolle des Partners an.
Welche Klauseln gehören in Lieferantenverträge?
Wichtig sind Klauseln zu Sicherheitsmaßnahmen, zur Meldepflicht bei Vorfällen und zum Prüfrecht. Zudem sollte der Lieferant die Anforderungen an seine Subunternehmer weitergeben. Somit bleibt die ganze Kette abgesichert. Denn ohne klare Klauseln bleibt jede Anforderung unverbindlich.
Reicht eine ISO-27001-Zertifizierung für die Lieferkette?
Sie ist ein starkes Fundament. Denn ein ISMS deckt die Steuerung der Lieferanten bereits ab. Zudem beantwortet ein Zertifikat viele Kundenfragen auf einen Schlag. Doch NIS2 bringt eigene Punkte mit, etwa die Meldefristen. Deshalb ergänzen wir das ISMS gezielt um die NIS2-Themen.
Wie schnell muss ein Lieferant einen Vorfall melden?
Der Vertrag sollte eine unverzügliche Meldung fordern. Denn das betroffene Unternehmen muss selbst binnen 24 Stunden eine Frühwarnung an das zuständige CSIRT senden. Das schafft es nur mit einer schnellen Meldekette. Deshalb gehört die Meldepflicht in jeden kritischen Vertrag.
Ab wann gilt die NIS2 Lieferkette in Österreich?
Die Pflichten gelten mit dem NISG 2026 seit 1. Oktober 2026. Zudem verlangen viele Kunden schon jetzt Nachweise. Deshalb sollten Zulieferer nicht länger warten. Denn der Aufbau des Risikomanagements braucht mehrere Wochen Vorlauf.
Fazit: Die Lieferkette wird zur Pflicht
Die NIS2 Lieferkette macht die Sicherheit der Partner zur Rechtspflicht. Betroffene Unternehmen prüfen ihre Zulieferer. Sie stufen sie nach Risiko ein. Zudem sichern sie die Beziehung im Vertrag ab. Deshalb reichen sie ihre Vorgaben an die ganze Kette weiter. Somit spüren auch nicht direkt betroffene KMU die Wirkung des Gesetzes. Nämlich über Fragebögen und Vertragszusätze ihrer großen Kunden.
Der beste Zeitpunkt für die Vorbereitung ist jetzt. Denn es ist mehr zu tun, als viele denken. Wer sein Lieferanten-Risikomanagement früh aufbaut, gewinnt Aufträge und schützt sein Geschäft. Ein früher Start spart zudem Geld und Nerven. Denn Hektik kurz vor der Frist ist immer teurer.
SecTec begleitet Sie dabei. Herstellerunabhängig und mit Blick auf das Ganze. Jetzt Erstgespräch vereinbaren