NIS2 in der Lieferkette: Warum jetzt auch Zulieferer Fragebögen erhalten
Die NIS2-Regulierung erreicht deutlich mehr Unternehmen, als das Gesetz direkt verpflichtet. Der Hebel steht in § 30 Absatz 2 Nummer 4 BSIG: Regulierte Einrichtungen müssen die Sicherheit ihrer Lieferkette gewährleisten, einschließlich sicherheitsbezogener Aspekte der Beziehungen zu unmittelbaren Anbietern und Dienstleistern. In der Praxis heißt das: Wer einen NIS2-regulierten Kunden beliefert – als IT-Dienstleister, Softwareanbieter, Logistiker, Wartungsbetrieb oder Komponentenlieferant – bekommt dessen Pflichten in Form von Fragebögen, Vertragsklauseln und Auditrechten weitergereicht.
Dass dieser Kanal keine Theorie ist, zeigen die Lageeinschätzungen der Behörden: Der BSI-Lagebericht 2025 zählt für seinen Berichtszeitraum 950 Ransomware-Angriffe in Deutschland, rund 80 Prozent der Opfer waren kleine und mittlere Unternehmen. Angreifer nehmen häufig das schwächste Glied einer Kette ins Visier – und das ist selten der regulierte Konzern, sondern sein Dienstleister mit privilegiertem Zugang.
Was Kunden typischerweise verlangen
Die Fragebögen ähneln sich: Gibt es eine Informationssicherheitsleitlinie? Wie sind Zugänge abgesichert, gibt es Multi-Faktor-Authentifizierung? Wie schnell werden Sicherheitsupdates eingespielt? Existiert ein getesteter Notfall- und Backup-Plan? Wer ist im Vorfall erreichbar, und in welcher Frist wird der Kunde informiert? Hinzu kommen vertragliche Erwartungen, etwa Melde- und Unterstützungspflichten bei Vorfällen, die auf die 24- und 72-Stunden-Fristen des Kunden abgestimmt sind.
Für Zulieferer ohne eigene NIS2-Pflicht ist das ärgerlich und eine Chance zugleich. Ärgerlich, weil der Aufwand real ist. Eine Chance, weil belastbare Antworten zum Auswahlkriterium werden: Wer ein dokumentiertes Sicherheits- und Compliance-Niveau vorweisen kann, verkürzt Vertragsverhandlungen und hebt sich von Wettbewerbern ab, die jede Anfrage neu improvisieren. Sinnvoll ist ein einmal sauber aufgebauter Maßnahmen- und Nachweisbestand, aus dem sich Fragebögen wiederholbar beantworten lassen.
SPECTOR unterstützt beide Seiten dieser Beziehung: Regulierte Einrichtungen führen ihr Lieferanten-Register mit Kritikalität und Wiedervorlagen im Modul NIS2; Zulieferer dokumentieren Maßnahmen und Nachweise über das Modul Compliance.
