Informationssicherheits- und Datenschutzexpertin
December 9, 2025
6 Minuten
.svg)
Lieferantenverträge sind ein zentrales Steuerungsinstrument für die NIS2-Compliance.
Ohne klare Cybersecurity-Klauseln entsteht ein erhebliches Haftungsrisiko für die Geschäftsführung.
Meldepflichten und Auditrechte entscheiden im Ernstfall über Ihre Handlungsfähigkeit.
NIS2 macht die Sicherheit der Lieferkette zur rechtlich bindenden Managementaufgabe.
Stellen Sie sich vor, Ihr wichtigster Cloud-Anbieter erleidet einen massiven Cyberangriff. Ihre Produktion steht still, Kundendaten sind betroffen und der Betrieb ist lahmgelegt. Mitten im Krisenmanagement meldet sich die Aufsichtsbehörde und fragt: „Welche vertraglichen Vereinbarungen zur Cybersicherheit hatten Sie mit diesem Lieferanten?“
Für viele Unternehmen ist das eine beunruhigende Frage. Lange Zeit war die Sicherheit der eigenen Lieferkette eine Blackbox. Doch mit der NIS2-Richtlinie wird aus dieser Blackbox eine gesetzliche Verpflichtung. Plötzlich sind Ihre Lieferantenverträge nicht mehr nur juristische Formalitäten, sondern ein zentraler Baustein Ihrer eigenen Cyber-Resilienz und Compliance.
Dieser Leitfaden ist Ihr praktischer Wegweiser. Wir übersetzen das Juristendeutsch des NIS2-Artikels 21 in klare, umsetzbare Schritte und zeigen Ihnen, wie Sie Ihre Verträge so gestalten, dass sie nicht nur dem Gesetz entsprechen, sondern Ihr Unternehmen auch wirklich schützen.
Ein Cyberangriff trifft selten nur ein Unternehmen allein. Angreifer suchen sich oft den Weg des geringsten Widerstands – und das ist häufig ein weniger gut geschützter Partner in der Lieferkette. Die NIS2-Richtlinie erkennt diese Realität an und nimmt Betreiber wesentlicher und wichtiger Einrichtungen in die Pflicht, die Cybersicherheit ihrer gesamten Wertschöpfungskette zu managen.
Das Herzstück dieser Anforderung ist Artikel 21 der NIS2-Richtlinie. Er verlangt, dass Unternehmen die Cybersicherheitsrisiken, die von ihren direkten Lieferanten und Dienstleistern ausgehen, aktiv steuern. Das bedeutet konkret: Sie sind dafür verantwortlich, sicherzustellen, dass Ihre Partner angemessene Sicherheitsstandards einhalten. Und das wirksamste Werkzeug dafür ist ein gut formulierter Vertrag.
Artikel 21 ist keine vage Empfehlung, sondern eine klare Handlungsanweisung. Unternehmen müssen die Sicherheit ihrer Lieferkette durch gezielte Risikomanagement-Maßnahmen gewährleisten. Dazu gehört die Bewertung und Berücksichtigung der Cybersicherheitspraktiken Ihrer Lieferanten. Verträge werden damit zum entscheidenden Instrument, um diese Anforderungen rechtsverbindlich festzulegen.
Die Sicherheit Ihrer Zulieferer ist damit untrennbar mit Ihrer eigenen verbunden. Ohne klare vertragliche Regelungen agieren Sie im Blindflug und setzen Ihr Unternehmen unnötigen Risiken aus.
Ein NIS2-sicherer Vertrag ist mehr als nur eine Standard-Datenschutzklausel. Er ist ein präzises Instrument, das die Verantwortlichkeiten klar verteilt. Schauen wir uns die wesentlichen Bausteine an, die in keinem Vertrag mit einem wichtigen Dienstleister fehlen sollten.
Warum es wichtig ist: Sie müssen sicherstellen, dass Ihr Lieferant ein Sicherheitsniveau einhält, das Ihrem eigenen Schutzniveau und den gesetzlichen Anforderungen entspricht.
Was die Klausel regeln sollte:
Musterformulierung (Beispiel):
„Der Auftragnehmer verpflichtet sich, während der gesamten Vertragslaufzeit angemessene technische und organisatorische Maßnahmen gemäß dem Stand der Technik zu implementieren und aufrechtzuerhalten, um die Sicherheit der verarbeiteten Informationen zu gewährleisten. Als Mindeststandard gilt die Zertifizierung nach ISO/IEC 27001, deren Gültigkeit auf Verlangen jährlich nachzuweisen ist.“
Warum es wichtig ist: Im Falle eines Sicherheitsvorfalls bei Ihrem Lieferanten, der auch Sie betrifft, zählt jede Minute. NIS2 sieht strenge Meldefristen vor (eine Erstmeldung oft innerhalb von 24 Stunden). Diese Fristen können Sie nur einhalten, wenn Sie unverzüglich von Ihrem Lieferanten informiert werden.
Was die Klausel regeln sollte:
Warum es wichtig ist: Sie müssen sich darauf verlassen können, dass die vertraglich vereinbarten Sicherheitsmaßnahmen nicht nur auf dem Papier existieren, sondern auch in der Praxis gelebt werden. Auditrechte sind Ihr Werkzeug zur Überprüfung.
Was die Klausel regeln sollte:
Musterformulierung (Beispiel):
„Der Auftraggeber ist berechtigt, nach angemessener Vorankündigung und während der üblichen Geschäftszeiten die Einhaltung der in diesem Vertrag festgelegten technischen und organisatorischen Maßnahmen durch den Auftragnehmer zu überprüfen oder durch einen zur Verschwiegenheit verpflichteten Dritten überprüfen zu lassen. Der Auftragnehmer verpflichtet sich, die hierfür erforderlichen Auskünfte zu erteilen und Zugang zu relevanten Dokumentationen zu gewähren.“
Warum es wichtig ist: Ein Sicherheitsvorfall kann enorme Kosten verursachen – von Bußgeldern über Wiederherstellungskosten bis hin zu Reputationsschäden. Die Haftungsklausel regelt, wer für welche Schäden aufkommt, die aus einer Pflichtverletzung des Lieferanten resultieren. Die persönliche Haftung von Geschäftsführern unter NIS2 macht dieses Thema noch brisanter.
Was die Klausel regeln sollte:
Die Durchführung einer automatisierten Risikobewertung von Lieferanten kann Ihnen helfen, das Risiko und die notwendige Strenge der Haftungsklauseln besser einzuschätzen.
Das Wissen um die perfekten Klauseln ist die eine Sache, sie in bestehende und neue Verträge zu bekommen, die andere. Ein systematischer Ansatz ist hier entscheidend.
Schritt-für-Schritt zur Umsetzung:
Gerade in stark regulierten Branchen wie der Automobilindustrie müssen Unternehmen die spezifischen Anforderungen an die Lieferkettensicherheit und deren Zusammenspiel mit anderen Regularien wie dem Cyber Resilience Act berücksichtigen, was die Vertragsgestaltung weiter verkompliziert. Insbesondere die Wechselwirkungen von NIS2 in der Automobilbranche erfordern sorgfältige Abstimmung.
Um Ihnen den Einstieg zu erleichtern, haben wir die wichtigsten Klausel-Elemente in unterschiedlichen Härtegraden zusammengefasst. So können Sie je nach Kritikalität des Lieferanten die passende Tiefe wählen.
Dieser Werkzeugkasten dient als Ausgangspunkt. Es ist immer ratsam, die endgültigen Vertragstexte mit Ihrer Rechtsabteilung oder spezialisierten Beratern abzustimmen.
Die NIS2-konforme Vertragsgestaltung ist kein einmaliges Projekt, sondern ein kontinuierlicher Prozess. Sie ist ein entscheidender Schritt, um die Kontrolle über Ihre digitale Lieferkette zurückzugewinnen und die Cyber-Resilienz Ihres Unternehmens nachhaltig zu stärken.
Beginnen Sie heute damit, Ihre Verträge nicht mehr nur als rechtliche Notwendigkeit, sondern als aktives Steuerungsinstrument für Ihre Cybersicherheit zu betrachten. Für Unternehmen, die diesen Prozess systematisch und effizient gestalten möchten, bieten Plattformen wie das Digital Compliance Office eine zentrale Lösung zur Verwaltung aller Compliance-Anforderungen – von NIS2 über ISO 27001 bis hin zur DSGVO. So wird aus einer komplexen Anforderung ein beherrschbarer und automatisierter Prozess.
NIS2 ist eine EU-weite Gesetzgebung zur Stärkung der Cybersicherheit. Sie löst die ursprüngliche NIS-Richtlinie ab und erweitert deren Anwendungsbereich erheblich. Ziel ist es, ein hohes, gemeinsames Sicherheitsniveau für Netz- und Informationssysteme in der gesamten EU zu gewährleisten.
Die Richtlinie gilt für eine breite Palette von Sektoren, die in „wesentliche“ und „wichtige“ Einrichtungen unterteilt sind. Dazu gehören unter anderem Energie, Verkehr, Gesundheitswesen, digitale Infrastruktur, öffentliche Verwaltung, aber auch die Produktion von bestimmten Gütern und digitale Dienste. Viele Unternehmen, die bisher nicht reguliert waren, fallen nun unter NIS2.
Die Verantwortung für die Sicherheit der Lieferkette liegt bei Ihnen. Wenn ein Vorfall bei einem nicht-konformen Lieferanten zu einem Problem bei Ihnen führt, können Sie von den Behörden belangt werden. Mögliche Konsequenzen sind hohe Bußgelder, aufsichtsrechtliche Maßnahmen und im schlimmsten Fall eine persönliche Haftung der Geschäftsleitung.
Sie sollten alle Verträge überprüfen, aber die Anpassungen risikobasiert priorisieren. Konzentrieren Sie sich zuerst auf die Lieferanten, die für Ihren Geschäftsbetrieb kritisch sind, Zugriff auf sensible Daten haben oder Teil Ihrer IT-Infrastruktur sind.
Nandini Suresh ist Compliance Expert bei SECJUR und spezialisiert auf Datenschutz, Cybersecurity und geistiges Eigentum. Bevor sie zu SECJUR kam, war sie unter anderem bei Bird & Bird sowie Lorenz Seidler Gossel tätig und betreute dort internationale Mandate im Marken- und Datenschutzrecht. Durch ihre Erfahrung an der Schnittstelle von Recht, Technologie und Compliance verbindet sie juristische Präzision mit einem tiefen Verständnis für die regulatorischen Anforderungen moderner Unternehmen.
SECJUR steht für eine Welt, in der Unternehmen immer compliant sind, aber nie an Compliance denken müssen. Mit dem Digital Compliance Office automatisieren Unternehmen aufwändige Arbeitsschritte und erlangen Compliance-Standards wie DSGVO, ISO 27001 oder TISAX® bis zu 50% schneller.
Automatisieren Sie Ihre Compliance Prozesse mit dem Digital Compliance Office
Everything you need to know about the product and billing.
Ein Cybervorfall ist überstanden, doch mit NIS2 beginnt jetzt die entscheidende Phase: die Post-Incident-Analyse. Erfahren Sie, wie Sie Ursachen systematisch aufdecken, Maßnahmen gezielt ableiten und gesetzliche Dokumentationspflichten erfüllen. Dieser Leitfaden zeigt praxisnah, wie Sie aus einem Sicherheitsvorfall nachhaltige Resilienz, bessere Prozesse und echte NIS2-Compliance schaffen.
Videokonferenzsysteme sind heutzutage für viele Unternehmen unverzichtbar. Doch bei der Nutzung solcher Systeme sollten Datenschutzaspekte nicht außer Acht gelassen werden. Schließlich werden bei Videokonferenzen zahlreiche personenbezogene Daten verarbeitet, weshalb spezifische datenschutzrechtliche Anforderungen beachtet werden müssen. In unserem neuesten Blogartikel präsentieren wir Ihnen fünf wichtige DSGVO-To-Dos, um Ihre Datenschutzmaßnahmen während Videocalls zu verbessern. Lesen Sie jetzt mehr!
Viele Unternehmen sehen dokumentierte Informationen als reine Formalität. Doch richtig gesteuert, werden sie zum Fundament eines wirksamen Qualitätsmanagements. Dieser Leitfaden zeigt, wie Sie Dokumente und Nachweise effizient lenken, digitale Tools gezielt einsetzen und so Ihr QMS von bürokratisch zu strategisch transformieren.
.svg)
.svg)
.svg){kind=small}