Sind Sie über die Lieferkette von NIS2 betroffen, wenn B2B-Kunden Nachweise verlangen?

Ein größerer Kunde schickt einen Fragebogen mit dem Titel "NIS2-Lieferantenanforderungen", fordert ein Information-Security-Management-System, eine Service-Level-Vereinbarung zur Meldung von Sicherheitsvorfällen und einen jährlichen Nachweis. Daraus entsteht regelmäßig die Frage, ob das eigene Unternehmen damit selbst unter die NIS2-Regulierung fällt. Die kurze Antwort: Eine Nachweisforderung eines Kunden begründet keine gesetzliche Betroffenheit. Sie begründet eine vertragliche Pflicht, sofern Sie die entsprechende Klausel unterzeichnen. Wer gesetzlich reguliert ist, entscheidet sich nach dem novellierten BSI-Gesetz anhand der Einrichtungsart und der Unternehmensgröße, für einige Einrichtungen wie Betreiber kritischer Anlagen auch unabhängig von der Größe, nicht nach den Wünschen eines Geschäftspartners.

Zwei verschiedene Quellen einer Pflicht

Für die Einordnung ist es hilfreich, zwei Ebenen sauber zu trennen. Die erste Ebene ist die gesetzliche Regulierung: Ein Unternehmen ist Adressat des BSI-Gesetzes, weil es einem regulierten Sektor angehört und bestimmte Schwellenwerte überschreitet. Die zweite Ebene ist die vertragliche Bindung: Ein Unternehmen verpflichtet sich gegenüber einem Kunden zu bestimmten Sicherheitsmaßnahmen, weil dieser Kunde es als Vertragsbedingung verlangt. Beide Ebenen können unabhängig voneinander bestehen. Ein Zulieferer kann vertraglich strenge Pflichten übernehmen, ohne jemals selbst aufsichtsrechtlich gegenüber dem Bundesamt für Sicherheit in der Informationstechnik verantwortlich zu sein.

Diese Trennung ist mehr als eine juristische Feinheit. Sie entscheidet darüber, gegenüber wem Sie sich verantworten, welche Fristen gelten, welche Meldepflichten Sie treffen und ob Bußgeldtatbestände des BSI-Gesetzes überhaupt anwendbar sind. Die Pflicht zur Sicherheit der Lieferkette ist im Gesetz auf der Seite des regulierten Unternehmens verankert, nicht auf der Seite seiner Zulieferer. Das novellierte Recht verlangt vom regulierten Unternehmen, sicherheitsbezogene Aspekte der Beziehungen zu seinen unmittelbaren Anbietern zu steuern. Es verlangt nicht, dass jeder dieser Anbieter dadurch selbst zur regulierten Einrichtung wird.

Der Rechtsstand seit Dezember 2025

Die NIS-2-Richtlinie der Europäischen Union, die Richtlinie (EU) 2022/2555, ist in Deutschland durch das Gesetz zur Umsetzung der NIS-2-Richtlinie (NIS2UmsuCG) umgesetzt worden. Dieses Gesetz ist am 06.12.2025 in Kraft getreten. Mit der Novelle wurde das BSI-Gesetz neu strukturiert und in der Fachliteratur als "BSIG 2025" bezeichnet. Die zentralen Pflichtenkataloge sind dabei umnummeriert worden: Die früheren Vorgaben aus dem alten §8a finden sich jetzt in den §§30 und 31, die früheren Meldepflichten aus dem alten §8b in §32 und die Registrierungspflicht in §33, und die Nachweispflicht ist in §39 geregelt.

Die NIS-2-Richtlinie selbst nennt die Risikomanagementmaßnahmen in ihrem Artikel 21. Artikel 21 Absatz 2 Buchstabe d benennt ausdrücklich die Sicherheit der Lieferkette als verpflichtenden Bestandteil. Das deutsche Recht hat diese Vorgabe in §30 BSIG übernommen. Dort heißt es in Absatz 2 Nummer 4, dass die Maßnahmen die "Sicherheit der Lieferkette einschließlich sicherheitsbezogener Aspekte der Beziehungen zu unmittelbaren Anbietern oder Diensteanbietern" umfassen müssen. Diese Formulierung adressiert das regulierte Unternehmen und seine direkten Lieferantenbeziehungen.

Wer ist gesetzlich betroffen?

Die gesetzliche Betroffenheit folgt einem zweistufigen Test. Zunächst kommt es auf den Sektor an. Die Anlage 1 zum BSIG listet die Sektoren der besonders wichtigen und wichtigen Einrichtungen mit hoher Kritikalität auf, darunter Energie, Transport und Verkehr, Finanzwesen, Gesundheit, Wasser, digitale Infrastruktur und Weltraum. Die Anlage 2 ergänzt weitere Sektoren wie Post- und Kurierdienste, Abfallwirtschaft, das verarbeitende Gewerbe in bestimmten Bereichen, Chemie, Lebensmittel sowie Anbieter digitaler Dienste. Einrichtungen aus Anlage 1 sind ab 250 Beschäftigten oder ab mehr als 50 Millionen Euro Jahresumsatz und zugleich mehr als 43 Millionen Euro Jahresbilanzsumme besonders wichtige Einrichtungen (§28 Absatz 1 Nummer 4 BSIG); kleinere Einrichtungen aus Anlage 1 und Einrichtungen aus Anlage 2 sind ab den Schwellen des §28 Absatz 2 Nummer 3 BSIG wichtige Einrichtungen.

Die zweite Stufe ist die Unternehmensgröße. Die Größenschwellen in §28 BSIG knüpfen an die unionsrechtliche Definition kleiner und mittlerer Unternehmen an. Maßgeblich sind in der Regel mindestens 50 Beschäftigte oder ein Jahresumsatz und eine Jahresbilanzsumme von jeweils mehr als zehn Millionen Euro. Bestimmte Einrichtungstypen, etwa Anbieter öffentlicher elektronischer Kommunikationsnetze oder Vertrauensdiensteanbieter, sind unabhängig von ihrer Größe erfasst. Die KRITIS-Betreiber bilden dabei eine Teilmenge der besonders wichtigen Einrichtungen mit zusätzlichen Pflichten.

Warum Kunden Nachweise verlangen

Die Nachweisforderung Ihres Kunden ist kein Übergriff, sondern in vielen Fällen schlicht die Erfüllung seiner eigenen gesetzlichen Pflicht. Ist Ihr Kunde eine regulierte Einrichtung, dann muss er nach §30 Absatz 2 Nummer 4 BSIG die Sicherheit seiner Lieferkette steuern. Das Bundesamt für Sicherheit in der Informationstechnik beschreibt auf seiner Informationsseite zur Lieferkette, dass regulierte Unternehmen mögliche Schwachstellen in den Cybersicherheitspraktiken ihrer Anbieter im Risikomanagement berücksichtigen und vertragliche Vereinbarungen über Risikomanagementmaßnahmen, den Umgang mit Sicherheitsvorfällen und das Patchmanagement schließen sollen.

Daraus folgt: Wenn ein regulierter Kunde Ihnen Service-Level-Vereinbarungen, Meldepflichten bei Vorfällen oder Sicherheitsstandards in den Vertrag schreibt, setzt er damit seine eigene gesetzliche Maßnahme um. Sie werden dadurch nicht zur regulierten Einrichtung, übernehmen aber gegenüber diesem Kunden eine vertragliche Verpflichtung. Ob Sie diese eingehen, ist eine geschäftliche Entscheidung. Üblicherweise wird empfohlen, die geforderten Klauseln vor Unterzeichnung dahingehend zu prüfen, ob die zugesagten Maßnahmen technisch und organisatorisch tatsächlich leistbar sind, da die Nichterfüllung später als Vertragsverletzung geltend gemacht werden kann.

Mittelbare Effekte der Lieferketten-Pflicht

Auch ohne eigene gesetzliche Betroffenheit kann ein Zulieferer faktisch erhebliche Anforderungen zu erfüllen haben. Die Steuerung der Lieferkette durch regulierte Kunden wirkt sich kaskadenartig aus. Das BSI weist darauf hin, dass regulierte Unternehmen unter Umständen nicht mehr mit jedem Anbieter zusammenarbeiten können, ohne Pflichtverstöße zu riskieren. In der Praxis bedeutet das, dass Zulieferer, die keine belastbaren Sicherheitsnachweise vorlegen können, im Auswahlprozess regulierter Kunden ins Hintertreffen geraten.

Diese mittelbaren Effekte sind keine gesetzliche Pflicht, aber ein realer wirtschaftlicher Druck. Wer regelmäßig regulierte Kunden beliefert, wird die häufig geforderten Bausteine ohnehin vorhalten wollen. Dazu zählen typischerweise ein dokumentiertes Risikomanagement, ein definierter Meldeweg für Sicherheitsvorfälle, ein Patch- und Schwachstellenmanagement sowie Zugriffskontrollen. Diese Bausteine entsprechen inhaltlich den Mindestmaßnahmen, die §30 Absatz 2 BSIG für regulierte Einrichtungen vorsieht, ohne dass der Zulieferer dadurch selbst Adressat des Gesetzes würde.

• Systematische Bewertung der eigenen Cybersicherheit, oft entlang anerkannter Normen wie ISO/IEC 27001.
• Vertragliche Festlegung von Sicherheitsanforderungen, Reaktionszeiten und Meldewegen gegenüber dem Kunden.
• Regelmäßige Überprüfung und Aktualisierung der zugesagten Standards.
• Nachweisfähige Dokumentation, damit der Kunde seine eigene Lieferanten-Überwachung belegen kann.

Nachweise und Fristen richtig einordnen

Für Betreiber kritischer Anlagen sieht §39 Absatz 1 BSIG vor, dass die Umsetzung der Risikomanagementmaßnahmen in Bezug auf die kritischen Anlagen gegenüber dem BSI durch Sicherheitsaudits, Prüfungen oder Zertifizierungen nachgewiesen wird, anschließend alle drei Jahre. Andere besonders wichtige und wichtige Einrichtungen trifft dieser feste Zyklus nicht. Der Zyklus ist eine aufsichtsrechtliche Pflicht gegenüber der Behörde und gilt für den Betreiber selbst. Für einen reinen Zulieferer ohne eigene gesetzliche Betroffenheit besteht dieser dreijährige Nachweiszyklus gegenüber dem BSI nicht. Die Nachweise, die ein solcher Zulieferer erbringt, erbringt er gegenüber seinem Kunden auf vertraglicher Grundlage, in der vertraglich vereinbarten Form und Frequenz.

Diese Unterscheidung ist für die eigene Planung wichtig. Wer fälschlich annimmt, einer behördlichen Drei-Jahres-Frist zu unterliegen, plant Ressourcen anders, als wer eine jährliche vertragliche Berichtspflicht gegenüber einem einzelnen Großkunden erfüllt. Im Einzelfall kann die genaue Ausgestaltung vertraglicher Nachweispflichten stark variieren, weshalb die konkreten Klauseln des jeweiligen Liefervertrags maßgeblich bleiben.

Der kostenlose NIS2-Check gibt eine vorläufige, orientierende Einschätzung der Betroffenheit; eine Einzelfallprüfung ersetzt er nicht.

Abgrenzung zu KRITIS-Dachgesetz und DORA

Bei der Selbsteinschätzung werden drei Regelungswerke häufig vermischt. Das BSI-Gesetz in seiner novellierten Fassung regelt die Cybersicherheit, also die Sicherheit von Netz- und Informationssystemen. Davon getrennt ist das KRITIS-Dachgesetz (KRITISDachG), das am 17.03.2026 in Kraft getreten ist und die EU-Richtlinie 2022/2557 zur Resilienz kritischer Einrichtungen umsetzt. Dieses Gesetz betrifft die physische Resilienz kritischer Anlagen, etwa den Schutz vor Naturgefahren, Sabotage oder Ausfall, nicht primär die digitale Sicherheit. Betreiber kritischer Anlagen registrieren sich nach §8 Absatz 1 KRITISDachG spätestens drei Monate, nachdem eine Anlage als kritische Anlage gilt; einen festen Stichtag nennt das Gesetz nicht.

Ein drittes Regelungswerk ist die Verordnung (EU) 2022/2554 (DORA) zur digitalen operationalen Resilienz im Finanzsektor. DORA gilt unmittelbar in allen Mitgliedstaaten und ist seit dem 17.01.2025 anwendbar. Die ergänzenden technischen Regulierungsstandards und Durchführungsstandards (RTS und ITS) wurden in mehreren Paketen erarbeitet. Das erste Paket dieser Standards ist als Delegierte Verordnungen im Amtsblatt veröffentlicht und gilt: (EU) 2024/1774 zum IKT-Risikomanagementrahmen, (EU) 2024/1773 zur Leitlinie für vertragliche Vereinbarungen über die Nutzung von IKT-Dienstleistungen zur Unterstützung kritischer oder wichtiger Funktionen und (EU) 2024/1772 zur Klassifizierung von IKT-Vorfällen. Für Finanzunternehmen im Sinne von Artikel 2 Absatz 2 DORA gelten die §§30, 31, 32, 35, 36, 38 und 39 BSIG nach §28 Absatz 6 Nummer 1 BSIG nicht; an ihre Stelle tritt DORA. Diese Ausnahme erfasst nicht die IKT-Dienstleister der Finanzunternehmen: Ein Cloud- oder IT-Dienstleister bleibt nach dem BSIG reguliert, soweit er selbst unter Anlage 1 oder 2 und die Größenschwellen des §28 BSIG fällt.

Die saubere Trennung dieser drei Werke verhindert zwei typische Fehler. Der erste Fehler besteht darin, sich aufgrund einer physischen Kritikalität für cyber-reguliert zu halten oder umgekehrt. Der zweite Fehler besteht darin, als Finanzunternehmen im Sinne von DORA die BSIG-Risikomanagementpflichten zu prüfen, obwohl nach §28 Absatz 6 BSIG DORA an ihre Stelle tritt. In beiden Fällen entsteht entweder unnötiger Aufwand oder eine gefährliche Lücke.

Praktische Selbsteinordnung in vier Schritten

Eine belastbare Einschätzung lässt sich entlang einer festen Reihenfolge erarbeiten. Im ersten Schritt wird der eigene Wirtschaftszweig den Sektoren der Anlage 1 und Anlage 2 gegenübergestellt. Gehört die eigene Tätigkeit keinem dieser Sektoren an, scheidet eine unmittelbare gesetzliche Betroffenheit in der Regel aus. Im zweiten Schritt werden die Größenschwellen nach §28 geprüft, also Beschäftigtenzahl, Umsatz und Bilanzsumme. Im dritten Schritt wird geklärt, ob besondere größenunabhängige Tatbestände greifen, etwa bei bestimmten Anbietern digitaler Infrastruktur. Erst im vierten Schritt werden die vertraglichen Anforderungen der Kunden betrachtet, die unabhängig vom Ergebnis der ersten drei Schritte bestehen können.

Diese Reihenfolge stellt sicher, dass die gesetzliche Frage nicht mit der vertraglichen Frage vermengt wird. Ergibt die Prüfung eine gesetzliche Betroffenheit, treffen das Unternehmen die Pflichten aus den §§30 ff. BSIG einschließlich Registrierung und Meldepflichten, als Betreiber kritischer Anlagen zusätzlich der Nachweis nach §39 BSIG; Ausnahmen bestehen etwa nach §28 Absatz 5 und 6 BSIG. Ergibt die Prüfung keine gesetzliche Betroffenheit, bleibt es bei den vertraglichen Pflichten gegenüber den jeweiligen Kunden, deren Umfang sich allein aus den unterzeichneten Verträgen ergibt. In beiden Fällen ist eine nachweisfähige Dokumentation der eigenen Sicherheitsmaßnahmen sinnvoll, da sie sowohl der aufsichtsrechtlichen als auch der vertraglichen Belegpflicht dient.

Häufige Fragen

Werde ich durch eine NIS2-Klausel meines Kunden automatisch selbst NIS2-reguliert?

Nein. Die gesetzliche Betroffenheit richtet sich nach der Einrichtungsart (Anlage 1 oder Anlage 2 BSIG) und der Größe (§28 BSIG); einige Einrichtungen, etwa Betreiber kritischer Anlagen, sind unabhängig von der Größe erfasst. Eine Vertragsklausel begründet eine zivilrechtliche Pflicht gegenüber Ihrem Kunden, aber keine aufsichtsrechtliche Pflicht gegenüber dem BSI. Beide Ebenen sollten getrennt geprüft werden.

Muss ich als Zulieferer alle zehn Mindestmaßnahmen aus §30 BSIG umsetzen?

Gesetzlich nur dann, wenn Sie selbst eine regulierte Einrichtung sind. Verlangt ein regulierter Kunde vertraglich einzelne dieser Maßnahmen, sind Sie an diese Zusagen gebunden. In der Praxis fordern regulierte Kunden oft Teile des Maßnahmenkatalogs, weil sie damit ihre eigene Lieferketten-Pflicht nach §30 Absatz 2 Nummer 4 BSIG erfüllen.

Gilt für mich der Drei-Jahres-Nachweiszyklus, wenn mein Kunde Nachweise verlangt?

Der Nachweiszyklus von drei Jahren aus §39 BSIG ist eine Pflicht der Betreiber kritischer Anlagen gegenüber dem BSI. Als reiner Zulieferer ohne eigene gesetzliche Betroffenheit unterliegen Sie diesem behördlichen Zyklus nicht. Form und Häufigkeit der Nachweise gegenüber Ihrem Kunden ergeben sich aus dem Vertrag.

Ist das KRITIS-Dachgesetz für meine NIS2-Frage relevant?

In der Regel nicht direkt. Das seit 17.03.2026 geltende KRITIS-Dachgesetz regelt die physische Resilienz kritischer Anlagen und setzt die EU-Richtlinie 2022/2557 um. Die Cybersicherheits-Pflichten zur Lieferkette stehen dagegen im BSI-Gesetz. Beide Regelwerke können nebeneinander gelten, betreffen aber unterschiedliche Schutzgüter.