NIS-2 und die Lieferkette: Warum es Sie als Zulieferer trifft

Das neue Cybersicherheitsrecht verpflichtet regulierte Unternehmen ausdrücklich, die Sicherheit ihrer Lieferkette abzusichern – und macht damit auch deren Zulieferer zum Thema, obwohl das Gesetz sie selbst gar nicht adressiert.

Das Gesetz denkt in Ketten, nicht in Einzelfällen

Das neue Cybersicherheitsrecht verpflichtet regulierte Unternehmen ausdrücklich, die Sicherheit ihrer Lieferkette abzusichern – konkret die sicherheitsbezogenen Aspekte der Beziehungen zu ihren unmittelbaren Anbietern und Dienstleistern. Das ist keine Randnotiz, sondern eine der Kernpflichten. Und sie hat eine Konsequenz, die weit über die regulierten Unternehmen hinausreicht: Deren Zulieferer werden in die Pflicht genommen, obwohl das Gesetz sie selbst gar nicht adressiert.

Der Mechanismus ist einfach. Ein regulierter Kunde haftet für die Sicherheit seiner Kette. Absichern kann er sie nur, wenn seine Zulieferer mitspielen. Also verlangt er Nachweise, Zusagen und Vertragsklauseln. Für Sie als Zulieferer wird damit aus einer fremden Gesetzespflicht eine ganz reale Geschäftsbedingung.

Woran Sie merken, dass es ernst wird

Erfahrungsgemäß kommt der Druck nicht über die IT-Abteilung, sondern über den Einkauf. Typische Signale:

• Ein Sicherheits-Fragebogen landet auf Ihrem Tisch – oft mit Dutzenden Fragen zu Ihren technischen und organisatorischen Maßnahmen.
• In einer Vertragsverlängerung oder Ausschreibung tauchen plötzlich Sicherheitsklauseln auf: Meldepflichten bei Vorfällen, Mindeststandards, Auditrechte.
• Ein Kunde fragt nach einem Zertifikat oder einem Nachweis Ihrer Informationssicherheit.

Wer darauf nicht antworten kann, verliert im besten Fall Zeit – im schlechtesten den Auftrag. Denn der Kunde hat einen einfachen Ausweg: Er wählt den Zulieferer, der liefern kann, ohne sein eigenes Risiko zu erhöhen.

Ihre Vorbereitung in fünf Schritten

Sie müssen nicht das gesamte Pflichtenprogramm eines regulierten Unternehmens erfüllen. Sie müssen belegen können, dass Sie Ihre eigenen Risiken im Griff haben. Das ist machbar, auch als kleines Unternehmen:

1. Kunden sortieren. Erstellen Sie eine Liste Ihrer größten Kunden und markieren Sie, welche davon selbst reguliert sein könnten (große Unternehmen in kritischen Sektoren). Das sind die, von denen der erste Fragebogen kommt.
2. Eigene Sicherheit dokumentieren. Halten Sie schriftlich fest, welche Maßnahmen Sie tatsächlich umsetzen: Zugriffskontrolle, Datensicherung, Umgang mit Updates, Passwort- und Zugangsregeln, Notfallkontakte. Ein Fragebogen prüft nicht Perfektion, sondern Nachvollziehbarkeit.
3. Einen Ansprechpartner benennen. Legen Sie intern fest, wer Sicherheitsanfragen von Kunden beantwortet. Nichts wirkt unvorbereiteter als ein Fragebogen, der wochenlang niemandem gehört.
4. Vertragsklauseln vorab verstehen. Prüfen Sie, welche Meldepflichten und Auditrechte ein Kunde vernünftigerweise verlangen kann – und wo Sie eine Grenze ziehen. So verhandeln Sie aus einer Position der Klarheit statt der Überraschung.
5. Aus der Pflicht ein Argument machen. Wer nachweisbar sicher arbeitet, hat im Vertrieb ein Verkaufsargument. Machen Sie Ihre Vorbereitung sichtbar, bevor der Kunde danach fragt.

Der Denkfehler beim Auslagern

Ein letzter Punkt, der in Lieferketten regelmäßig teuer wird: „Wir haben unsere IT ausgelagert, also sind wir aus dem Schneider." Das stimmt nicht. Sie können die Ausführung auslagern, die Verantwortung bleibt bei Ihnen. Fällt Ihr IT-Dienstleister oder Cloud-Anbieter zwei Tage aus, steht nicht er vor der Existenzfrage, sondern Sie. Das Gesetz verlangt von regulierten Unternehmen sogar ausdrücklich, das Risiko der eigenen Dienstleister zu kennen – und genau diese Erwartung geben regulierte Kunden an Sie weiter.