Für viele deutsche Mittelständler ist NIS2 nicht nur eine direkte Compliance-Pflicht, sondern eine geschäftskritische Realität: Wer als Zulieferer für größere Unternehmen oder KRITIS-Betreiber arbeitet, wird über die Lieferkette indirekt zu NIS2-pflichtig. Seit dem NIS2-UmsuCG am 6. Dezember 2025 gilt: Unternehmen in der Lieferkette müssen Sicherheitsnachweise erbringen — sonst drohen Auftragsverluste.
Dieser Artikel erklärt, was Zulieferer konkret tun müssen und wie Sie Ihre Kundenanforderungen systematisch erfüllen.
NIS2 erreicht die gesamte Lieferkette
Die NIS2-Richtlinie (Richtlinie (EU) 2022/2555) erweitert den Kreis der Betroffenen erheblich gegenüber dem Vorgänger-NISG. Das Besondere: Art. 21 Abs. 2 lit. d verpflichtet alle NIS2-pflichtigen Unternehmen, Sicherheitsmaßnahmen entlang ihrer Lieferkette zu gewährleisten EUR-Lex: Art. 21.
Das heißt praktisch:
- Ein Automobilzulieferer muss nachweisen, dass sein IT-Dienstleister angemessene Sicherheitsmaßnahmen trifft
- Ein KRITIS-Betreiber verlangt von seinem Logistikpartner Compliance-Nachweise
- Ein NIS2-betroffenes Unternehmen prüft seine Software-Lieferkette nach Schwachstellenrisiken
Für Mittelständler mit ≤ 50 Mitarbeitern bedeutet das oft: Sie selbst fallen nicht unter NIS2, aber Ihr Kunde (oder dessen Kunde) verlangt trotzdem Nachweise — als Voraussetzung für Ausschreibungen und Vertragsverlängerungen.
Die drei Ebenen der Lieferketten-Pflichten
Ebene 1: Direkte Betroffenheit prüfen
Zunächst muss jedes Unternehmen klären, ob es selbst unter NIS2 fällt. Das BSI-Unternehmenskonto und die Registrierungspflicht ab 3 Monaten nach Qualifikation sind zentral BSI: Mein Unternehmenskonto.
Betroffenheit entsteht durch:
- ≥ 50 Mitarbeiter ODER ≥ 10 Mio. EUR Umsatz (KMU-Kriterium) plus
- Tätigkeit in einem der elf prioritären Sektoren (Energie, Verkehr, Gesundheit, Finanzen, IT-Dienstleistungen, Wasser, Abfall, Chemie, Lebensmittel, Produktion, digitale Infrastruktur)
Wer beide Kriterien erfüllt, hat sich innerhalb weniger Monate beim BSI registrieren und einen Incident-Response-Prozess dokumentieren müssen. Die Frist endete für etablierte Unternehmen im März 2026.
Ebene 2: Eigene Lieferanten bewerten
Sie sind NIS2-pflichtig? Dann dürfen Sie Ihre Lieferanten nicht ignorieren. Art. 21 Abs. 2 fordert, dass Unternehmen Risikomanagement- und Sicherheitsmaßnahmen ihrer direkten Lieferkette prüfen und dokumentieren BSI: Lieferketten-Risiken.
Konkret fordert das typischerweise:
| Nachweis | Was Kunden prüfen |
|---|---|
| ISMS-Zertifikat (ISO 27001 oder TISAX) | Existiert ein geauditertes Informationsmanagement? |
| SOC 2 Type II-Bericht | Unabhängiger Sicherheitsbericht für Cloud-Dienstleister |
| Selbstauskunft / Fragebogen | Standardisierte Sicherheitsfragebögen (CAIQ, C5, B100) |
| Penetrationstest-Ergebnis | Letzter Test ≤ 12 Monate alt, kritische Schwachstellen geschlossen |
Ebene 3: Eigene Kunden erfüllen (als Zulieferer)
Sie sind nicht NIS2-pflichtig, aber Lieferant eines? Dann verlangen Ihre Kunden trotzdem Nachweise — oft als „Contractual Obligation” oder Vorbedingung für Aufträge.
Typische Anforderungen aus der Praxis:
- Automobilindustrie: TISAX®-Zertifizierung nach VDA ISA-Score ≥ 3 (hoher Schutzbedarf)
- Finanzsektor: BSI C5-Konformität oder MaRisk-Erfüllung für IT-Dienstleister
- Gesundheitswesen: DSGVO-konforme Verarbeitung von Gesundheitsdaten (Art. 9 DSGVO) plus ISO 27001 bzw. branchenspezifischer Sicherheitsstandard (B3S)
- Öffentlicher Dienst: VS-NfD-Kennzeichnung, BSI Grundschutz
Ohne diese Nachweise erhalten Sie keine Ausschreibungen oder verlieren bestehende Verträge.
Der praktische Rollout für Mittelständler als Zulieferer
Wenn Ihre Kunden NIS2-Nachweise einfordern, folgen Sie dieser Checkliste:
Schritt 1: Bestandsaufnahme der Kundenanforderungen
Listen Sie alle Kunden auf, die Sicherheitsnachweise abfragen. Fragen Sie konkret nach:
- Welche Zertifikate oder Standards verlangen Sie?
- Gibt es einen vereinheitlichten Fragebogen (z. B. CAIQ, C5)?
- Wie oft müssen Nachweise aktualisiert werden?
Tipp: Bündeln Sie ähnliche Anforderungen. TISAX® deckt viele Aspekte ab, die auch für NIS2 relevant sind — nutzen Sie Synergien statt isolierter Zertifizierungen.
Schritt 2: Lücken identifizieren
Vergleichen Sie Ihre aktuelle IT-Sicherheitspraxis gegen die Kundenanforderungen. Typische Lücken bei Mittelständlern:
| Bereich | Häufige Lücke | Praktische Lösung |
|---|---|---|
| ISMS | Kein dokumentiertes Sicherheitsmanagement | ISO 27001-Begleitung (ca. 6–9 Monate) oder TISAX®-Start |
| Incident Response | Keine definierten Eskalationspfade | NIS2-konformer IR-Prozess nach BSI Checkliste erstellen |
| MFA | Administratoren noch ohne Zwei-Faktor | Microsoft Entra ID Conditional Access Policies einrichten |
| Penetrationstest | Letzter Test > 18 Monate alt | Jährlichen externen Pentest beauftragen, Nachweis sichern |
Schritt 3: Zertifikate planbar aufbauen
Für die meisten Mittelständler ist ISO 27001 der schnellste Weg zu akzeptierten Sicherheitsnachweisen. Ein typischer Rolloutplan:
| Phase | Dauer | Inhalt |
|---|---|---|
| Gap-Analyse | 4–6 Wochen | Bestandsaufnahme, Lücken-Report |
| Umsetzungsphase | 3–5 Monate | Richtlinien, Prozess-Änderungen, Schulungen |
| Audit-Vorbereitung | 2–4 Wochen | Dokumentensammlung, internes Audit |
| Zertifikats-Audit | 1 Woche | Externes Audit durch akkreditierte Stelle |
Kostenrahmen: Je nach Unternehmensgröße 8.000–25.000 EUR für Beratung und Audit bei ≤ 100 Mitarbeitern.
Schritt 4: Dokumentation bereitstellen
Kunden benötigen nicht nur ein Zertifikat, sondern auch kontextuelle Nachweise:
- ISMS-Richtlinien: Zugriffskontrollen, Change Management, Notfallplanung
- Testergebnisse: Penetrationstest-Berichte (gekürzt für Kunden)
- Vertragliche Regelungen: NDA, Datenschutzvereinbarungen, SLA mit Sicherheitsanforderungen
- Nachweisführungen: Audit-Sheets, Schulungsnachweise
Empfehlung: Erstellen Sie ein „Security One-Pager” — eine einseitige Zusammenfassung Ihrer Sicherheitssysteme für Kundenanfragen. Das beschleunigt Ausschreibungsprozesse erheblich.
NIS2 und KI in der Lieferkette: Neue Pflichten 2026
Ein neuer Aspekt im Jahr 2026: Wer KI-Dienste nutzt (ChatGPT, Microsoft Copilot, Anthropic Claude), integriert diese Anbieter in die eigene Cybersecurity-Lieferkette. Die in Art. 21 Abs. 2 lit. d der NIS2-Richtlinie geforderte Sicherheit der Lieferkette umfasst grundsätzlich auch eingesetzte Subprozessoren und API-Anbieter (EUR-Lex: Richtlinie (EU) 2022/2555, Art. 21).
Praktisch bedeutet das:
- KI-Anbieter bewerten: Prüfen Sie SOC 2 Zertifikate, Subprocessor-Listen und Incident-Meldepfade für genutzte KI-Dienste
- Vertragliche Absicherung: Nutzen Sie DPA (Data Processing Agreements) mit spezifischen KI-Sicherheitsklauseln
- Vorfälle melden: Ein AI-generierter Datenleck ist meldepflichtig, wenn er personenbezogene Daten betrifft
Das BSI warnt zunehmend vor unkontrolliertem „Shadow AI”-Nutzung in Unternehmen — dokumentieren Sie die Zulässigkeit von KI-Tools und erstellen Sie Nutzungsrichtlinien.
Zusammenfassung: Drei Handlungsfelder für Mittelständler
NIS2-Lieferkette ist 2026 kein Nischenthema mehr, sondern eine zentrale Geschäftsanforderung für alle, die als Zulieferer arbeiten:
- Betroffenheit prüfen: Füllen Sie das BSI-Unternehmenskonto aus — auch wenn Sie sich nicht betroffen glauben, die Prüfung gibt Rechtssicherheit
- Nachweise bündeln: ISO 27001 oder TISAX® schaffen Vertrauen bei mehreren Kunden gleichzeitig statt isolierter Einzelzertifikate — der Weg dahin führt über strukturierte Security-Audits & Compliance
- Dokumentation vorbereiten: Erstellen Sie ein Security One-Pager und sammeln Sie Nachweise (Pentests, Schulungen, Richtlinien) für schnelle Ausschreibungsantworten
Für eine verbindliche Einschätzung Ihrer spezifischen Situation empfehlen wir, einen Fachanwalt für IT-Recht oder Datenschutzbeauftragten hinzuzuziehen. Die NIS2-Haftung kann persönlich bei Geschäftsführern greifen — im Einzelfall ist rechtliche Beratung unumgänglich. Wie die grundlegenden NIS2-Pflichten aussehen, lesen Sie in unserem Beitrag NIS2-Gesetz: Pflichten für den Mittelstand.
Dieser Artikel dient der Information und ersetzt keine Rechtsberatung. Stand: August 2026.