Veröffentlicht: 6. August 2026

NIS2 und Lieferkettensicherheit: Drittanbieter-Risiken im Griff

Angreifer nehmen häufig nicht ihr eigentliches Ziel ins Visier, sondern dessen Dienstleister. Die NIS2-Richtlinie zieht daraus die Konsequenz und verpflichtet betroffene Unternehmen, die Sicherheit ihrer Lieferkette aktiv zu steuern. Dieser Beitrag zeigt, was das deutsche Umsetzungsgesetz konkret verlangt und wie Sie Drittanbieter-Risiken effizient in den Griff bekommen (Stand: August 2026).

Im Zusammenhang mit NIS2 werden häufig Lieferantenrisikomanagement, Vendor Risk Management (VRM), Third-Party Risk Management (TPRM) und Cyber Supply Chain Risk Management (C-SCRM) genannt. Die Begriffe überschneiden sich, setzen aber unterschiedliche Schwerpunkte: VRM betrachtet vor allem Lieferanten, TPRM sämtliche Drittparteien und C-SCRM gezielt die Cyberrisiken innerhalb der Lieferkette.

Das Wichtigste in Kürze

• Das NIS2-Umsetzungsgesetz ist am 6. Dezember 2025 ohne Übergangsfrist in Kraft getreten. Nach Angaben des BSI wächst der Kreis der beaufsichtigten Einrichtungen von rund 4.500 auf rund 29.500.
• § 30 Absatz 2 Nummer 4 BSIG fordert ausdrücklich die Sicherheit der Lieferkette einschließlich der Beziehungen zu unmittelbaren Anbietern oder Diensteanbietern.
• Unternehmen müssen die spezifischen Schwachstellen ihrer Lieferanten bewerten, Sicherheitsanforderungen vertraglich verankern und die Einhaltung laufend überwachen.
• Bei Verstößen drohen nach § 65 BSIG Bußgelder bis zu zehn Millionen Euro, bei hohen Umsätzen bis zu 2 Prozent des Gesamtumsatzes. Die Geschäftsleitung trägt eine persönliche Umsetzungs- und Überwachungspflicht.
• Automatisierte Security Ratings in Kombination mit Vendor Risk Management machen die Bewertung vieler Lieferanten praktikabel und dokumentierbar.

Warum NIS2 die Lieferkette ausdrücklich regelt

Die NIS2-Richtlinie (EU) 2022/2555 zählt die Sicherheit der Lieferkette zu den zehn Mindestmaßnahmen des Cyber-Risikomanagements. Artikel 21 Absatz 2 Buchstabe d nennt sie ausdrücklich, einschließlich der sicherheitsbezogenen Aspekte der Beziehungen zu unmittelbaren Anbietern oder Diensteanbietern. Der deutsche Gesetzgeber hat diese Vorgabe nahezu wortgleich in § 30 Absatz 2 Nummer 4 des neuen BSI-Gesetzes übernommen.

Den Grund benennt Erwägungsgrund 85 der Richtlinie: Es häufen sich Vorfälle, bei denen Unternehmen über Schwachstellen in Produkten und Diensten Dritter kompromittiert werden. Ein Fernwartungszugang, eine manipulierte Softwarekomponente oder ein unzureichend gesicherter Cloud-Dienst öffnet Angreifern den Weg in ansonsten gut geschützte Netze. Die eigene Firewall hilft wenig, wenn ein Zulieferer mit privilegiertem Zugriff selbst verwundbar ist.

Seit dem 6. Dezember 2025 gilt das NIS2-Umsetzungsgesetz in Deutschland, und zwar ab dem ersten Tag ohne Schonfrist. Das BSI beaufsichtigt damit nach eigenen Angaben rund 29.500 Einrichtungen aus 18 Sektoren, von Energie und Gesundheit über Verkehr bis zum verarbeitenden Gewerbe. Viele mittelständische Unternehmen fallen erstmals unter eine Cybersicherheitsregulierung. Einen Gesamtüberblick über Anwendungsbereich, Schwellenwerte und Pflichten gibt unser Beitrag zur NIS2-Richtlinie.

Was das Gesetz konkret verlangt: Bewertung, Verträge, Überwachung

Die Pflicht zur Lieferkettensicherheit besteht aus drei Bausteinen. Erstens die Lieferantenbewertung: Artikel 21 Absatz 3 der Richtlinie verlangt, die spezifischen Schwachstellen jedes unmittelbaren Anbieters zu berücksichtigen, ebenso die Gesamtqualität seiner Produkte und seine Cybersicherheitspraxis einschließlich der Sicherheit der Entwicklungsprozesse. Eine pauschale Einschätzung nach Bauchgefühl genügt diesem Maßstab nicht.

Zweitens die vertragliche Verankerung. Sicherheitsanforderungen wirken nur, wenn sie verbindlich vereinbart sind. In der Praxis gehören dazu unter anderem:

• konkrete Sicherheitsanforderungen an den Dienstleister, etwa zu Patch-Management und Verschlüsselung
• Meldewege und Fristen bei Sicherheitsvorfällen, die Ihre eigenen Meldepflichten bedienen
• Auskunfts- und Prüfrechte, damit Sie die Einhaltung kontrollieren können
• Regelungen für den Einsatz von Subdienstleistern
• Exit-Klauseln und Mitwirkungspflichten bei einer geordneten Trennung

Drittens die kontinuierliche Überwachung. Eine einmalige Prüfung beim Onboarding bildet die Risikolage nicht dauerhaft ab, denn die Angriffsfläche eines Lieferanten ändert sich mit jedem neuen System und jeder Konfigurationsänderung. Hinzu kommt die Governance-Ebene: Nach § 38 BSIG muss die Geschäftsleitung die Risikomanagementmaßnahmen umsetzen, ihre Umsetzung überwachen und sich regelmäßig schulen lassen. Verletzt sie diese Pflichten, haftet sie der eigenen Einrichtung für schuldhaft verursachte Schäden. Welche weiteren Maßnahmen der Katalog umfasst, zeigt unsere Übersicht der NIS2-Anforderungen und Pflichtmaßnahmen.

Fragebogen, Security Rating, Audit: drei Methoden im Vergleich

Für die Lieferantenbewertung haben sich drei Methoden etabliert, die unterschiedliche Perspektiven einnehmen und sich gegenseitig ergänzen. Fragebögen erfassen Prozesse und Organisation aus Sicht des Lieferanten. Ein Security Rating misst die tatsächlich aus dem Internet sichtbare Angriffsfläche. Audits prüfen interne Abläufe in der Tiefe. Die Unterschiede zeigt die folgende Übersicht.

In der Praxis bewährt sich die Kombination: Ratings liefern die laufende, objektive Basis über das gesamte Portfolio. Fragebögen vertiefen Prozessthemen bei relevanten Partnern. Audits bleiben den wenigen Lieferanten vorbehalten, die tief in Ihre Systeme eingebunden sind. So verteilen Sie den Aufwand dorthin, wo das Risiko sitzt.

Automatisierte Security Ratings und VRM: so gelingt die Umsetzung

Wer 50 oder 200 Lieferanten bewerten soll, stößt mit manuellen Verfahren schnell an Kapazitätsgrenzen. Automatisierte Security Ratings lösen dieses Skalierungsproblem. Die Analyse betrachtet die extern erreichbaren Systeme eines Lieferanten aus der Perspektive eines Angreifers, ohne Agenten-Installation und ohne Mitwirkung des Unternehmens. Die technische Grundlage dafür bildet External Attack Surface Management (EASM). Erste Ergebnisse liegen bei LocateRisk innerhalb von 48 Stunden vor, danach hält eine regelmäßige Neubewertung das Bild aktuell.

Bei Lieferantenratings hängt die Aussagekraft auch von der Aktualität der Schwachstellendaten ab. LocateRisk nutzt Preemptive Intelligence, um Meldungen aus mehreren Quellen mit der Angriffsfläche eines Anbieters abzugleichen, auch wenn noch keine abschließende NVD-Bewertung vorliegt. Neue potenzielle Risiken werden dadurch früher als Anlass für eine risikobasierte Prüfung sichtbar.

Wichtig für eine ehrliche Erwartungshaltung: Das Rating macht sichtbar, welche Systeme eines Lieferanten aus dem Internet erreichbar sind, welche Software dort im Einsatz ist und wo Konfigurationsmängel bestehen. Ob eine konkret installierte Version tatsächlich verwundbar ist, klärt im Zweifel der Lieferant selbst. Das Rating liefert dafür die priorisierten Ansatzpunkte und macht das Gespräch konkret, wo ein Fragebogen abstrakt bleibt.

Die zweite Komponente ist ein strukturiertes Vendor Risk Management. Damit steuern Sie Fragebögen zentral, bewerten Antworten, hinterlegen Nachweise wie Zertifikate und erinnern Lieferanten automatisch an offene Rückmeldungen. Die Kombination aus technischer Außensicht und dokumentierter Selbstauskunft ergibt ein belastbares Gesamtbild je Lieferant und erzeugt zugleich die Dokumentation, die Sie gegenüber Geschäftsleitung und Aufsicht benötigen. Wie das im Alltag aussieht, zeigt unsere Seite zum Third Party Risk Management. LocateRisk betreibt die Plattform DSGVO-konform in zertifizierten deutschen Rechenzentren, mit einem ISO-27001-zertifizierten ISMS.

Praxis-Workflow: Lieferkettensicherheit in fünf Schritten

Der Einstieg muss kein Großprojekt sein. Mit diesem Ablauf bauen Sie die geforderten Prozesse Schritt für Schritt auf:

1. Lieferanten inventarisieren und klassifizieren. Erfassen Sie alle unmittelbaren Anbieter und Diensteanbieter, vom IT-Dienstleister bis zum Softwarelieferanten. Klassifizieren Sie nach Kritikalität: Wer hat Zugriff auf Ihre Systeme oder Daten, wie schnell ließe sich ein Partner ersetzen?
2. Risiken bewerten. Starten Sie ein Security Rating über das gesamte Portfolio, um eine objektive Ausgangsbasis zu erhalten. Kritische Lieferanten vertiefen Sie zusätzlich mit einem gezielten Fragebogen zu Prozessen, Zertifizierungen und Notfallvorsorge.
3. Verträge anpassen. Verankern Sie Sicherheitsanforderungen, Meldepflichten bei Vorfällen, Prüfrechte und Regelungen für Subdienstleister in neuen Verträgen. Bestehende Verträge priorisieren Sie nach Kritikalität und passen sie zur nächsten Verlängerung an.
4. Kontinuierlich überwachen. Lassen Sie Ratings regelmäßig aktualisieren und definieren Sie Schwellenwerte, ab denen Sie reagieren, etwa bei einer deutlichen Verschlechterung des Sicherheitsniveaus. Planen Sie wiederkehrende Re-Assessments für kritische Partner.
5. Dokumentieren und berichten. Halten Sie Bewertungen, Maßnahmen und Entscheidungen nachvollziehbar fest. Berichten Sie der Geschäftsleitung regelmäßig, denn sie muss die Umsetzung nach § 38 BSIG überwachen und braucht dafür belastbare Kennzahlen.

Der Aufwand verteilt sich damit über das Jahr, und jeder Schritt erzeugt zugleich die Nachweise, die im Ernstfall oder bei einer Prüfung gefragt sind.

Häufige Fragen

---

Gilt die Lieferkettensicherheit auch für Unternehmen, die selbst nicht unter NIS2 fallen?

Mittelbar ja. Regulierte Unternehmen müssen ihre unmittelbaren Anbieter bewerten und geben Sicherheitsanforderungen vertraglich weiter. Wer als Zulieferer oder IT-Dienstleister für NIS2-pflichtige Kunden arbeitet, sollte daher mit Fragebögen, Ratings und neuen Vertragsklauseln rechnen. Ein nachweisbar gutes Sicherheitsniveau wird damit zum Faktor im Vertrieb, nicht nur in der Compliance.

---

Reicht ein jährlicher Fragebogen für die NIS2-Konformität aus?

Fragebögen bleiben ein sinnvoller Baustein, decken aber nur einen Teil der Anforderungen ab. Artikel 21 Absatz 3 der Richtlinie verlangt, die spezifischen Schwachstellen jedes unmittelbaren Anbieters und die Qualität seiner Cybersicherheitspraxis zu berücksichtigen. Dafür braucht es zusätzlich eine technische Sicht auf die tatsächliche Angriffsfläche und eine laufende Beobachtung zwischen den Befragungszyklen.

---

Welche Lieferanten muss ich in die Bewertung einbeziehen?

Die gesetzliche Pflicht bezieht sich auf unmittelbare Anbieter und Diensteanbieter, also Ihre direkten Vertragspartner. Ein risikobasiertes Vorgehen ist dabei sinnvoll: Priorisieren Sie Partner mit Zugriff auf Systeme oder Daten, etwa IT-Dienstleister, Softwareanbieter, Cloud- und Rechenzentrumsbetreiber sowie Wartungsfirmen mit Fernzugängen.

---

Welche Sanktionen drohen bei Verstößen gegen die Lieferkettenpflichten?

§ 65 BSIG sieht für besonders wichtige Einrichtungen Bußgelder bis zu zehn Millionen Euro vor, bei mehr als 500 Millionen Euro Jahresumsatz bis zu 2 Prozent des Gesamtumsatzes. Für wichtige Einrichtungen gelten bis zu sieben Millionen Euro beziehungsweise 1,4 Prozent. Daneben haftet die Geschäftsleitung nach § 38 BSIG in Verbindung mit den Regeln des Gesellschaftsrechts gegenüber der eigenen Einrichtung für schuldhaft verursachte Schäden aus Pflichtverletzungen.

Fazit: Vom Pflichtprogramm zum steuerbaren Prozess

NIS2 macht die Sicherheit der Lieferkette zur nachweisbaren Managementaufgabe: Lieferanten bewerten, Anforderungen vertraglich verankern, Einhaltung laufend überwachen. Mit automatisierten Security Ratings und einem strukturierten Vendor Risk Management erfüllen Sie diese Pflichten ohne großen Personalaufbau und behalten Ihr gesamtes Lieferantenportfolio im Blick. Wie der Einstieg konkret aussieht, zeigt unsere Seite Vendor Risk Management leicht gemacht. Dort können Sie eine Demo anfragen und die Bewertung Ihrer ersten Lieferanten direkt starten.