NIS2 in der Lieferkette: Welche Sicherheitsnachweise dürfen Kunden verlangen?

Fällt mein Betrieb selbst unter das BSI-Gesetz?

Die deutsche Umsetzung der NIS-2-Richtlinie steht im neu gefassten BSI-Gesetz (BSIG), das nach dem Nachweis auf gesetze-im-internet.de am 6. Dezember 2025 in Kraft getreten ist. Wichtige Einrichtungen sind nach § 28 Abs. 2 Nr. 3 BSIG Unternehmen, die einer Einrichtungsart der Anlagen 1 oder 2 zuzuordnen sind und mindestens 50 Mitarbeiter beschäftigen oder einen Jahresumsatz und eine Jahresbilanzsumme von jeweils über 10 Millionen Euro aufweisen. Gezählt wird nach der KMU-Empfehlung der EU-Kommission von 2003; Daten von Partner- und verbundenen Unternehmen werden dabei grundsätzlich einbezogen, es sei denn, das Unternehmen ist mit Blick auf seine IT von ihnen unabhängig (§ 28 Abs. 4). Ein kleiner Zulieferer in einer Unternehmensgruppe kann so über die Schwelle kommen. Für besonders wichtige Einrichtungen gelten höhere Schwellen (§ 28 Abs. 1 Nr. 4); Betreiber kritischer Anlagen, Vertrauensdiensteanbieter und Telekommunikationsanbieter sind nach eigenen Regeln erfasst. Anlage 2 nennt etwa den Maschinenbau, die Herstellung elektrischer Ausrüstungen und die industrielle Lebensmittelverarbeitung. Ein Zulieferer mit 30 Beschäftigten, der keiner Einrichtungsart der Anlagen angehört, ist danach in aller Regel nicht selbst verpflichtet. Das BSI bietet online eine Betroffenheitsprüfung an; sie ersetzt keine Einzelfallprüfung, ist aber ein guter Einstieg.

Warum gibt mein Kunde die Pflichten an mich weiter?

§ 30 Abs. 1 BSIG verpflichtet erfasste Einrichtungen zu geeigneten, verhältnismäßigen und wirksamen technischen und organisatorischen Maßnahmen und dazu, deren Einhaltung zu dokumentieren. Zu den Mindestinhalten nach § 30 Abs. 2 gehört ausdrücklich die „Sicherheit der Lieferkette einschließlich sicherheitsbezogener Aspekte der Beziehungen zu unmittelbaren Anbietern oder Diensteanbietern“ (Nr. 4). Daneben nennt die Vorschrift unter anderem Backup-Management und Krisenmanagement (Nr. 3), Schulungen (Nr. 7) und Multi-Faktor-Authentifizierung (Nr. 10). Ihr Kunde muss also zeigen können, dass er seine Lieferanten in den Blick genommen hat – deshalb fragt er bei Ihnen nach.

Für die Verhandlung ist wichtig: Das Gesetz richtet sich an den Kunden, nicht an Sie. Ihre Pflichten entstehen erst durch den Vertrag, und dessen Inhalt ist grundsätzlich verhandelbar. Bei der Verhältnismäßigkeit der eigenen Maßnahmen berücksichtigt § 30 Abs. 1 Satz 2 BSIG unter anderem die Risikoexposition, die Größe der Einrichtung und die Umsetzungskosten. Das ist ein sachliches Argument dafür, dass die Anforderungen an einen kleinen Lieferanten zum tatsächlichen Risiko seiner Leistung passen sollten.

Welche Klauseln sollte ich vor der Unterschrift prüfen?

Typisch sind Sicherheitsfragebögen, Audit- und Zutrittsrechte, Pflichten zur Meldung von Vorfällen innerhalb kurzer Fristen, Vorgaben zu Zertifizierungen sowie Haftungs- und Freistellungsklauseln. Prüfen Sie für jede Anforderung, ob Sie sie heute erfüllen, was die Umsetzung kostet und ob die Frist realistisch ist. Sind die Klauseln vom Kunden für viele Lieferanten vorformuliert, unterliegen sie als Allgemeine Geschäftsbedingungen auch zwischen Unternehmern der Inhaltskontrolle nach § 307 Abs. 1 und 2 BGB (§ 310 Abs. 1 BGB); unangemessen benachteiligende Regelungen sind unwirksam. Verlassen sollten Sie sich darauf nicht. Besser ist es, unbegrenzte Haftung, pauschale Vertragsstrafen oder Auditrechte ohne Ankündigung und Kostenregel schon in der Verhandlung zu begrenzen.

Bereiten Sie Ihre Nachweise so auf, dass Sie sie für mehrere Kunden verwenden können: eine kurze Beschreibung Ihrer Maßnahmen, Belege für Schulungen, ein Backup- und Wiederherstellungskonzept, die Nutzung von Multi-Faktor-Authentifizierung und einen Notfallplan mit Ansprechpartnern. Sagen Sie nur zu, was Sie belegen können.

Was Sie jetzt vorbereiten können

• Eigene Einordnung mit der BSI-Betroffenheitsprüfung und § 28 BSIG dokumentieren
• Kundenanforderungen in einer Tabelle den Maßnahmen aus § 30 Abs. 2 BSIG zuordnen
• Lücken bewerten: Was ist vorhanden, was kostet die Umsetzung, welche Frist ist realistisch?
• Haftung, Auditrechte, Meldefristen und Kostenverteilung im Vertrag verhandeln
• Standardnachweise zu Schulungen, Backups, Multi-Faktor-Authentifizierung und Notfallplan als Paket vorbereiten
• Eigene Unterauftragnehmer und IT-Dienstleister in die Anforderungen einbeziehen