Stand: Juli 2026 · Die gesetzlichen Vorschriften zur Cybersicherheit in der digitalen Lieferkette setzen hohe Anforderungen für den Schutz von Daten und Informationssystemen. Der Beitrag liefert Ihnen einen Überblick zum aktuellen Stand bzgl. DSGVO, NIS2, DORA und CRA.
Durch DSGVO, NIS2, DORA etc. werden Unternehmen verpflichtet, umfassende Sicherheitsmaßnahmen zu implementieren und kontinuierlich zu überwachen. Die Vorschriften zielen darauf ab, die digitale Widerstandsfähigkeit zu stärken, Datenschutz zu gewährleisten und Risiken in der Lieferkette zu minimieren.
Rechtsvorschrift
Die DSGVO ist eine Verordnung zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr. Sie in allen ihren Teilen verbindlich und gilt unmittelbar in allen Mitgliedsländern.
Ziel
Schutz der personenbezogenen Daten der EU-Bürger vor missbräuchlicher Verwendung und Verarbeitung.
Betroffene Einrichtungen:
In der EU ansässige Unternehmen: wenn sie personenbezogene Daten verarbeiten, unabhängig davon, wo die tatsächliche Datenverarbeitung stattfindet.
Außerhalb der EU ansässige Organisationen: bspw. wenn sie Produkte oder Dienstleistungen für Einzelpersonen in der EU anbieten oder deren Verhalten überwachen.
Anforderungen
Die Verordnung verpflichtet datenverarbeitende Unternehmen, geeignete technische und organisatorische Maßnahmen zur Gewährleistung der Datensicherheit zu ergreifen. Dazu zählt auch das Management von Dritten in der Lieferkette. Im Hinblick auf den Artikel 28 DSGVO macht es Sinn, beauftragte Auftragsverarbeiter in der Lieferkette auf den ordnungsgemäßen Schutz personenbezogener Daten und die Einhaltung der Datenschutzgesetze zu prüfen. Nicht zuletzt auch, um im Fall der Fälle einen Nachweis liefern zu können. Gut zu wissen: Wer als Auftraggeber beweisen kann, dass er sich von der DSGVO-konformen Arbeitsweise eines Verarbeiters überzeugt hat, kann einer Haftung aus einem Verstoß durch den Auftragsverarbeiter häufig entgehen.
Gültigkeit: Seit 25. Mai 2018
Rechtsvorschrift
NIS 2 ist eine Richtlinie zur Cybersicherheit in der EU. Die Mitgliedsländer müssen die erforderlichen Maßnahmen zur Einhaltung der Richtlinie innerhalb einer Frist in nationales Recht umsetzen.
Ziel
NIS 2 zielt darauf ab, das Sicherheitsniveau in den EU Mitgliedstaaten zu harmonisieren und zu verbessern.
Betroffene Einrichtungen
Öffentliche und private Organisationen, die ihre Dienste in der EU erbringen. Unterscheidung in zwei Kategorien, aus denen sich unterschiedliche Verpflichtungen ergeben.
1) Besonders wichtige Einrichtungen · §28 (1)
Große Unternehmen der Sektoren: Energie, Transport/Verkehr, Finanzwesen, Gesundheit, Wasser/Abwasser, Digitale Infrastruktur, Weltraum sowie Sonderfälle unabhängig ihrer Größe.
2) Wichtige Einrichtungen · §28 (2)
Große und mittlere Unternehmen zahlreicher Sektoren.
Anforderungen
Einrichtungen, die unter die Vorgaben der NIS 2 Verordnung fallen, sind unter anderem verpflichtet, Maßnahmen zur Sicherung ihrer Lieferkette zu ergreifen. Im Umkehrschluss bedeutet das, sich auch vor Gefahren zu schützen, die aus anderen Teilen der Lieferkette kommen könnten. Betroffene Unternehmen sind gefordert, sich ihre Geschäftspartner- und Lieferantenbeziehungen genau anzuschauen und hinsichtlich der IT-Sicherheitsanforderungen zu überprüfen.
Gültigkeit:
Die NIS-2-Richtlinie ist auf EU-Ebene seit dem 16. Januar 2023 in Kraft. In Deutschland wurde sie mit dem NIS2-Umsetzungsgesetz (NIS2UmsuCG) umgesetzt, das am 6. Dezember 2025 in Kraft trat. Seitdem gelten die neuen Pflichten für rund 29.500 betroffene Unternehmen; die Frist zur Registrierung beim BSI lief am 6. März 2026 ab. Bei Verstößen drohen Bußgelder von bis zu 10 Mio. Euro bzw. 2 % des weltweiten Jahresumsatzes.
Rechtsvorschrift
DORA ist eine Verordnung über digitale operationale Resilienz im Finanzsektor. Sie in allen ihren Teilen verbindlich und gilt unmittelbar in allen Mitgliedsländern.
Ziel
DORA schafft einen einheitlichen Rahmen für ein umfassendes Cybersicherheits- und IKT-Risiko-Management im EU-Finanzsektor. Ziel der Verordnung ist es, die digitale Widerstandsfähigkeit und Sicherheit der in der EU-tätigen Finanzinstitute zu verbessern. Dies umfasst die Stärkung der Informations- und Kommunikationstechnologie (IKT) der Finanzunternehmen ebenso wie das Drittparteienrisikomanagement.
Betroffene Einrichtungen
DORA gilt für alle in der EU tätigen Finanzinstitute, darunter Banken, Zahlungsdienstleister, Wertpapierfirmen, Versicherungsgesellschaften, Handelsplätze und Anbieter von Datenübermittlungsdiensten. Darüber hinaus fallen unter die Regulierung Unternehmen, die Dienstleistungen für die Finanzindustrie bereitstellen, wie Softwareanbieter, Managed IT Services, Hardware-as-a-Service-Anbieter, Cloud-Computing-Dienstleister und Rechenzentren.
Anforderungen
Im Hinblick auf das Management des IKT-Drittparteirisiko sind die Finanzinstitute unter anderem gefordert, bereits vor Vertragsabschluss eine Risikoanalyse und Due-Diligence bei dem jeweiligen IKT-Drittdienstleister durchzuführen. Im Verlauf der Geschäftsbeziehung sind die Einhaltung der IT- und DSGVO-Compliance sowie die Wirksamkeit der Sicherheitsmaßnahmen kontinuierlich zu testen. Das Management des IKT-Drittparteirisikos wird von DORA in Kapitel 5 geregelt.
Gültigkeit:
DORA ist am 16. Januar 2023 in Kraft getreten und gilt seit dem 17. Januar 2025 verbindlich für alle betroffenen Finanzunternehmen und ihre IKT-Drittdienstleister in allen 27 EU-Mitgliedstaaten.
Mehr zum Thema DORA Digital Operational Resilience Act
Rechtsvorschrift
Der Cyber Resilience Act (CRA) ist eine EU-Verordnung. Sie gilt automatisch und einheitlich in allen EU-Ländern.
Ziel:
Der Cyber Resilience Act ist eine neue EU-Vorgabe, die Hersteller und Händler dazu verpflichtet, digitale Produkte während ihres gesamten Lebenszyklus vor unbefugtem Zugriff und Manipulation zu schützen. Vorrangiges Ziel ist es, die Cybersicherheit in der EU durch die Schaffung eines standardisierten Rechtsrahmens für diese Produkte zu stärken.
Betroffene Einrichtungen
Alle in der EU aktiven Hersteller, Importeure und Händler von Hardware- und Softwareprodukten (Geräte, Lösungen und Komponenten) aus dem Verbraucher- oder dem Industriesektor.
Anforderungen:
Im Rahmen der neuen Vorschriften müssen Hersteller und Händler regelmäßige Risikobewertungen durchführen und detaillierte Unterlagen über die Sicherheitsmerkmale und Funktionen ihrer Produkte und Dienstleistungen führen. Es wird erwartet, dass etwa 90 Prozent der auf dem europäischen Markt erhältlichen Produkte in die Standardkategorie fallen.
Gültigkeit:
Der CRA ist am 10. Dezember 2024 in Kraft getreten. Die Anforderungen gelten gestaffelt: die Meldepflichten für aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle ab dem 11. September 2026, die übrigen Hauptpflichten (u. a. grundlegende Cybersicherheitsanforderungen vor dem Inverkehrbringen sowie Schwachstellenmanagement über den gesamten Produktlebenszyklus) ab dem 11. Dezember 2027.
LocateRisk unterstützt mit automatisierten IT-Risikoanalysen und digitalen Fragebögen bei der Erfüllung Ihrer Sorgfaltspflicht in der Lieferkette. Das sorgt für die notwendige Transparenz und beschleunigt Ihren Sicherheitsprozess.
Mehr zum Thema Lieferanten-Risikomanagement für komplexe Lieferketten – leicht gemacht
Erkennen und reduzieren Sie Ihre Cyberrisiken durch einen vergleichbaren und verständlichen Überblick Ihrer IT-Sicherheit. Lassen Sie sich von unseren Experten beraten und finden Sie heraus, wie LocateRisk Ihnen bei der Lösung Ihrer Cyberrisiken helfen kann.
Deutsch 
English 
Français